Öffentlich IP, ja ok! Intern aber über DHCP6

[boospy]

Hallo Leute

Ich habe natürlich den Beitrag schon gelesen: http://www.ipv6-forum.com/forum/showthread.php?tid=95

Mir ist es aber noch nicht ganz klar. Mit IPV6 könnte man für jeden Rechner ne fixe eindeutige öffentliche IP haben. Ist sicher nicht immer gewollt Also ich stell mir das nach wie vor so vor:

Öffentlich IPV6ip (über nen Tunnelbroker) hat mein Firewall OS wo auch DHCP6 usw. trauf laufen. Die Clients konfigurieren sich ja sowiso selbst. DHCP6 übergibt ja nur mehr DNS, NTP usw. an die Clients. Somit haben wir wieder einen Sicherheitsaspekt. Hab ich das jetzt so einigermassen verstanden?

lg
boospy

[Wolfgang Ninaus]

Hallo!

Dein DHCP oder RADVD (siehe dazu http://www.ipv6-forum.com/forum/showthread.php?tid=85 ) vergibt trotzdem öffentliche IPs (für einen privaten Bereich würde man ja NAT brauchen). Wie aber in den beiden Beiträgen geschrieben, kannst du

1. jedes mal eine neue IP vergeben und
2. da alles über deinen Router läuft, am Router einen Paketfilter installieren (zB ip6tables) und damit verhindern, dass neue Paktete durchgeroutet werden

[boospy]

Ok, das wäre also so als würde ich in nem IPV4 Netz dem DHCP 88.18.17.39 - 88.18.17.66 zusweisen, und nachdem ja eh ein Paketfilter davor ist, ist es wieder gleich sicher. So im groben oder?

lg
boospy

[ViennaAustria]

(07-04-2011 09:59 AM)Wolfgang Ninaus schrieb:  DHCP oder RADVD

Als Fan von exakten Definitionen möchte ich einwenden, dass es das "Oder" so nicht gibt.

Man hat ein v6 Netz entweder "unmanaged", also nur mit Routing Advertisment (z.B. radvd), wo sich die Clients Ihre IP selbst definieren dürfen...

...oder "managed", wo einem das Advertisment aber darauf hinweist, dass einen DHCPv6 Server gibt, welcher die IP Adressen vergibt - und noch weitere Infos (also radvd UND dhcpd6).

DHCPv6 alleine - ohne Router Advertisment - tut gar nichts, weil kein Client den DHCP befragen würde.

[boospy]

Ich seh schon du kennst dich damit aus. Ich hoffe du hast nichts dagegen wenn ich dich noch ein wenig ausquetsche ^^

Ich hab Onkel Google nochmal gefragt was Radvd angeht. Ist gar nicht so leicht, die Infos in Verbindung mit IPV6 sind spärlich.

Also wenn ich das jetzt richtig verstehe geben sich die Clienst bei Radvd selbst ne IP (irgend eine Phanatsieadresse, oder über die MAC).
Aber dann gibt es doch noch das Problem mit dem Defaultgateway, NTP oder der DNSauflösung. Das würde dann wohl ein zusätzlicher DHCPv6 dazuübermitteln, die Adressen selbst geift er vermutlich nicht an. Also wie schon richtig sagest "Radvd und DHCPv6".

Wie hast du das dann mit dem DNS gelöst, ich mein wie teilen die Clients dem DNSserver mit wie sie heisen?

Sorry wegen der für dich sicher seltsam klingenden Fragen.

lg
boospy

[ViennaAustria]

Ich habe in /etc/radvd.conf in der "interface" Sektion

Code:

AdvManagedFlag on;

eingetragen und dafür keinen "prefix" Block angegeben, um zu verhindern, dass der RADVD IP Adressen mit den Clients aushandelt. Weiters läuft eine aktuelle Version vom ISC DHCP Server mit DHCPv4 und DHCPv6 (dhcp-server-4.2.1.P1-6.1.i586.rpm; es gibt sicher schon neuere).

(07-22-2011 11:18 PM)boospy schrieb:  Wie hast du das dann mit dem DNS gelöst, ich mein wie teilen die Clients dem DNSserver mit wie sie heisen?

Das ist wieder eine andere Sache: da geht es darum, dass Client oder DHCP Server nach dem Aushandeln der IP Adresse dafür sorgen, dass der Hostname damit im DNS eingetragen wird. Leider kann ich hier nicht mit Informationen dienen, denn damit habe ich mich noch nicht beschäftigt. Bei IPv4 erfolgt das üblicherweise durch eine Trust Relation zwischen DHCP und DNS (bei ISC und Bind z.B. oder bei Windows). Ich gehe davon aus, dass das bei IPv6 auch so sein wird, weil's mir vernünftig erscheint. Aber, wie gesagt, ich kenne mich da (noch) nicht aus.

[boospy]

So, ich bin jetzt ein fettes Stück weiter gekommen. Ich hab mich entschlossen ein IPV6 Netzwerk zu meinem IPV4 dazu zu bauen.

Ziel der ganzen Sache ist die Netz intern nur mehr mit IPV6 zu kommunizieren. Zur Hilfe kommt mir hierbei "Avahi, MDNS, radvd".

Und es funktioniert. Ich kann jeden Clienten (bis jetzt nur Ubuntu, mit Gentoo haberst da noch) mit ping6 FQDN erreichen. Ohne DNS ohne DHCP6. Ne feine Sache. Mir ist jetzt aber noch nicht klar was die 2 IPV6 Adressen bedeuten:

Code:

eth0      Link encap:Ethernet  Hardware Adresse 52:54:00:b8:25:f5  
          inet Adresse:192.168.1.49  Bcast:192.168.1.255  Maske:255.255.255.0
          inet6-Adresse: 2001:db8:1:0:5054:ff:feb8:25f5/64 Gültigkeitsbereich:Global
          inet6-Adresse: fe80::5054:ff:feb8:25f5/64 Gültigkeitsbereich:Verbindung

Warum zwei, ich mein Ok, funktionieren tut nur die wo global dabei steht. Was ist denn dann die andere woe Verbindung dabei steht, die existiert ja schon ohne radvd. Die konnte ich aber nicht pingen oder irgendwie gebrauche.

lg
boospy

[Wolfgang Ninaus]

Hallo!
Adressen mit fe80 beginnend sind sogenannte "Link Local Unicast Adressen"
Siehe dazu z.B. wikipedia: http://de.wikipedia.org/wiki/IPv6
"fe80::/10 (fe80… bis febf…) sind link-lokale Adressen ... sollen von Routern nicht weitergeleitet werden und ... Von ihnen wird insbesondere im Rahmen der Autokonfiguration Gebrauch gemacht."

Ich hoffe das hilft weiter ;-)