Bridge Firewall LAN/Wan

Hier dreht sich alles um die aktuell von Vodafone Kabel Deutschland, von Vodafone West bzw. im Rahmen der eazy-Tarife verschickten Kabelrouter der Marken Arris, CommScope, Technicolor, Compal, Sagemcom und Hitron sowie um die SuperWLAN-Produkte von Vodafone. Speedprobleme bitten wir im entsprechenden Forum zu behandeln, wenn ihr Ursprung nicht auf diese Produkte zurückzuführen ist!
Forumsregeln
Forenregeln


Bitte gib bei der Erstellung eines Threads im Feld „Präfix“ an, ob du Kunde von Vodafone Kabel Deutschland („[VFKD]“), von Vodafone West („[VF West]“), von eazy („[eazy]“) oder von O2 über Kabel („[O2]“) bist.
Boba Fett
Kabelexperte
Beiträge: 976
Registriert: 07.10.2014, 12:23

Re: Bridge Firewall LAN/Wan

Beitrag von Boba Fett »

Schon klar.
reneromann hat geschrieben: -und- eine "temporäre" IPv6, damit nicht jeder mittracken kann, welches Gerät genau die Daten abgerufen hat.
Und wo kommt diese temporäre IPv6 her? Wenn sich jedes Endgerät diese selbst auswürfeln würde, könnte es zu Adresskollisionen kommen. Also muss diese auch entweder wieder der Router zentral DHCP-ähnlich verwalten, oder die kommen alle direkt vom VF-DHCP. Wenn das war mit "Privacy" zu tun haben soll, sollte sie eigentlich von meinem Router kommen, denn wenn VF das macht, dann kann ja auch VF zumindest wieder jedes einzelne Gerät anhand der "temporären" IPv6 identifizieren.

BTW: Auch Mac-Adressen kann man ändern. ;)
Elmoare
Newbie
Beiträge: 10
Registriert: 08.05.2017, 16:35

Re: Bridge Firewall LAN/Wan

Beitrag von Elmoare »

Um dann nochmal auf die alte Konfiguration (mit Switch an KD Bridge) zurückzukommen...

Also obwohl mehrere öffentliche IPv6 Adressen verteilt werden...

Hätte dann trotzdem nicht funktioniert Bzw nur mit 1 Gerät funktioniert oder?
reneromann
Insider
Beiträge: 4908
Registriert: 28.06.2015, 13:26

Re: Bridge Firewall LAN/Wan

Beitrag von reneromann »

Boba Fett hat geschrieben:Schon klar.
reneromann hat geschrieben: -und- eine "temporäre" IPv6, damit nicht jeder mittracken kann, welches Gerät genau die Daten abgerufen hat.
Und wo kommt diese temporäre IPv6 her? Wenn sich jedes Endgerät diese selbst auswürfeln würde, könnte es zu Adresskollisionen kommen. Also muss diese auch entweder wieder der Router zentral DHCP-ähnlich verwalten, oder die kommen alle direkt vom VF-DHCP. Wenn das war mit "Privacy" zu tun haben soll, sollte sie eigentlich von meinem Router kommen, denn wenn VF das macht, dann kann ja auch VF zumindest wieder jedes einzelne Gerät anhand der "temporären" IPv6 identifizieren.

BTW: Auch Mac-Adressen kann man ändern. ;)
Die "temporäre" IPv6 wird vom Gerät selbst ausgewürfelt - und ja, da kann es (theoretisch) zu Kollisionen kommen. Lies dir einfach die Spezifikation zu den IPv6 "Privacy Extensions" durch, dann merkst du, dass es selbst für dein Szenario entsprechende Fallbacks gibt.
Und nein, da wird nichts zentral vom Router vergeben ;-)
Und "privat" heißt "Privat", weil sich diese IPv6 wenigstens überhaupt mal ändert - denn die "normale" Hostadresse ändert sich bei SLAAC nicht - und das Präfix vom Provider ja i.d.R. auch nicht...

DHCP ist bei IPv6 "eigentlich" unnötig - die Adress"vergabe" geschieht per SLAAC (Stateless Adress Auto Configuration) in Kombination mit PD (Prefix Delegation).
robert_s
Insider
Beiträge: 7262
Registriert: 30.11.2010, 15:09
Bundesland: Berlin

Re: Bridge Firewall LAN/Wan

Beitrag von robert_s »

reneromann hat geschrieben:Und wie ich schon schrieb: I.d.R. hat ein Gerät am Ende 2 öffentliche IPv6-Adressen - eine "quasistatische" IPv6, die sich nicht ändert, weil der Host-Teil der IPv6 direkt aus der MAC abgeleitet wird -und- eine "temporäre" IPv6,
RFC7217 definiert noch eine dritte Variante: "stable privacy", und die ist im Gnome Network Manager implementiert und z.B. in Ubuntu per Default aktiviert. Die ist "statisch", entspricht aber nicht der MAC-Adresse - kann also für Serverdienste verwendet werden, ohne die MAC-Adresse preis zu geben.

Ansonsten muss man sich mit IPv6 von gewissen "Bequemlichkeiten" verabschieden, welche IPv4/NAT mit sich gebracht hat: DynDNS kann der Router nicht mehr ohne weiteres übernehmen, stattdessen braucht man nun einen Client auf dem jeweiligen Endgerät. Und man kann Portfreigaben nicht mehr einfach von einem Endgerät im LAN auf ein anderes umbiegen.

Wobei ich mich frage, wie das eigentlich die "großen" Serverbetreiber handhaben. Wenn z.B. mal die Serverhardware kaputt geht, konnte man bisher ja einfach das Gerät ersetzen, das letzte Backup einspielen und weiter ging's. Aber mit IPv6 wäre neues Gerät = neue IPv6-Adresse. Dann müsste man die DNS-Einträge ändern, und bis die überall angekommen sind, gehen jeden Menge Anfragen ins Leere - der Server wäre also deutlich länger "offline" als bisher. Wie lösen die das? Indem die MAC-Adresse der defekten Hardware auf die neue geklont wird?
reneromann
Insider
Beiträge: 4908
Registriert: 28.06.2015, 13:26

Re: Bridge Firewall LAN/Wan

Beitrag von reneromann »

IPv6 kennt noch immer die Möglichkeit einer statischen Adresse - und die Server in einem Rechenzentrum dürften eher mit statischer Konfiguration arbeiten als mit SLAAC (so wie dort auch nicht auf DHCP für IPv4 gesetzt wird)...