NAT ist nur für ipv4 relevant. Für ipv6 - wenn Du es denn im Heimnetz einsetzen will...die Diskussion hatten wir weiter oben - gilt, in allen Szenarien, dass Du ne ipv6 Firewall im Router bzw. auf jedem Endgerät brauchst.
Es ist technisch weiterhin möglich und wird von mir mit einer pfSense auch praktiziert, es ist aber verpönt. Und ich rede nicht von NPt oder ähnlichem, sondern vom klassischen Port-Forwarding und Source NAT.
Korrekt, ich hatte hier allerdings mal eine Anleitung gepostet gehabt, wie es doch noch ging. Die ist hier aber seit meiner ungerechtfertigten Verbannung nicht mehr zu finden.
Gar nicht. Meine Aussage war ja, dass man Geräte voneinander abschotten kann. Und das geht halt mit so einem 30 EUR-Switch in einem flachen Netzwerk rein über die Ports: Alle Ports dürfen z.B. auf die Fritte zugreifen, aber Port 3-5 nicht auf Port 7-8, etc.
Wie verhinderst du die Kommunikation von Port 3 auf Port 7, die den Umweg über die L2 Verbindung zur FB nimmt? Die L2 Verbindung zur FB kennt keine VLANs.
Das ist genau der Punkt auf den ich hinaus will. Macht man wieder NAT und terminiert IPv6 von der FB, dann hat man es wie bei der IPv4.
Warum sollte denn ein Umweg gegangen werden? An einer Fritzbox ist das so gar nicht möglich. Es wird nur über über das Gateway gegangen, wenn das Ziel außerhalb des eigenen Netzes ist. Aber das weißt Du sicher viel besser als ich. Ok, vielleicht durch ein bestehendes NAT am WAN, müsste man dann beachten. Hier würde aber vermutlich wieder die Kindersicherung greifen, die ich ebenfalls erwähnte.
Die Fritzbox macht aber kein NAT für IPv6. Das ist auch an folgendem Screenshot abzuleiten. Würde sie Port-Forwarding machen, dann könntest Du auch dort den Port wechseln:
Das ist ein Irrtum, den ich nicht zum ersten mal lese. Die Fritzbox, so wie wohl alle NAT-Router, die eine IPv6 Unterstützung haben, haben auch eine Firewall. Diese wurde und wird aber mit dem Port-Dialog abgehandelt und es gibt keine eigenständige Firewall-Konfiguration. Dieser Umstand führte wohl zu dem Gerücht, die Geräte hätten keine Firewall. Wie es mit sehr alten Geräten aussieht, kann ich aber nicht sagen.
Das ist leider nicht so einfach. In der schönen Theorie gibt es Prefix Delegation, in der Praxis gibt es Provider, die nur /64er-Netze zuteilen und damit hat man ab dem zweiten Hop gar kein IPv6 mehr. Oder man betreibt klassisches Port Mapping wie bei IPv4, was dann ja "verpönt" ist. Bei mir habe ich es mittels IPv6-Bridging gelöst.
Wie meinst du das, ab welchem 2. Hop?
/64er kann man nicht mehr weiter unterteilen, das sieht der IPv6-Standard nicht vor. Deshalb sagt RIPE ja in den Vergaberichtlinien klar, daß vom ISP mindestens /56 (besser /48) zugeteilt werden muß, aber das interessiert in der Praxis dann wiederum keinen. Die 3GPP zum Beispiel die Standards im Mobilfunkbereich verwaltet, hat einfach /64 als Standardzuteilung gesetzt und hält sich damit nicht an die geltenden IPv6-Standards.
Gehen tut das schon, du kannst 1 zu 1 das erhaltene Prefix weiter Downstream delegieren, allerdings sind in dem Fall IP Kollisionen möglich weshalb man es NICHT machen sollte und man könnte natürlich einen nicht so flexiblen Router haben der dann einfach nö mach ich nicht sagt (OpenWRT hat damit z.B. kein Problem). Das Problem in den meisten Fällen ist eher das die Schrottbüchsen von den ISPs überhaupt keine Prefix Delegation können und dann sieht es schlecht aus.
Die Schrottbüchsen müssen nicht von den ISPs kommen. Kennst du ein Smartphone oder ein anderes Mobilfunk-CPE, das Prefix Delegation kann? Und gerade im Mobilfunk ist IPv6 ja wegen CGNAT ein entscheidendes Thema. Am IPv4-only-DSL-Anschluß ist das weniger interessant.
Du steckst den Mobilfunk Stick in deinen OpenWRT Router und boom du hast einen Router mit Mobilfunk Uplink der Prefix Delegation kann.
Welcher Mobilfunk-Stick kann denn Prefix Delegation mit /64er-Allocation?
Natürlich kann man die weiter unterteilen, nur bricht man damit SLAAC. Ein DHCPv6 only verwaltetes Netz hat damit keine Probleme.
Selbstverständlich geht das.
Router unterscheiden von sich aus nicht, ob es Sinn macht oder richtig ist, ein öffentliches Prefix über eine Transferstrecke mit RC1918-Adresse zu routen. Sie tun es einfach.
801.x ist schwer, da man da sofort in der Enterprisewelt ist.
Ja das einzige günstige was ich gefunden habe wäre von ZyXEL.
poa, nö, wenn das da steht, wird der das wohl können. 802.1x ist an sich ja kein Hexenwerk, muss halt implementiert werden.
bei RouterOS heisst das Dot1X und ist ist dann bei allen CRS-Modellen (RB- und andere Router-Modelle mit ROS sowieso) an Board: https://help.mikrotik.com/docs/display/ROS/Dot1X
Tja, wie üblich kann ich Dir sagen, dass Du zB einen Hex-S auch "nur" als Switch betreiben kannst, wenn Du das willst ;-) Bei MT sind die Ports, ausser manchmal für die Management-Konsole, nicht speziell für LAN/WAN vorbelegt, sondern in der Zuordnung völlig frei wählbar.
Es ist eher ein Armutszeugnis für die meisten deutschen Provider, die immer noch an 24h Disconnects und dynamischer Adressvergabe festhalten. Unsere europäischen Nachbarn handhaben das wesentlich entspannter.
Das ist nicht nur in dem Bereich so…
Glasfaser kann man ggf. auch direkt in einen VLAN-fähigen Switch geben. Am besten scheint mir bei dir aber der lab-Aufbau, die Sense als letztes als exposed host der Fritte. Mag nicht viel Sinn ergeben aber Du störst auch keinen. Und die zeitliche Einarbeitung ist auch nicht zu unterschätzen, abhängig natürlich von den Vorkenntnissen.Doof ist auch, das meine Zeit für zu viele Spielereien eigentlich eher begrenzt ist, aufgrund von Frau und Kind. Daher muss das gut geplant sein.
