Ich habe vor kurzem ein UCG Ultra in unser Netzwerk integriert und konnte auch dank
der super Videos von Dennis – Danke Dennis ! – die Einstellungen hierfür konfigurieren.
(Randnotiz: ich bin kein gelernte ITler, deswegen hat es auch eine Woche in Anspruch genommen)
Ich habe einen DS Lite-Anschluss und möchte über IPv6 eine Verbindung zu meinem Container im Proxmox Server im Subnetz herstellen, die Geräte haben alle eine IPv6 Adresse. Die Router IPv6 Adresse/Präfix wird übermittelt und ist bei ipv64.net
gehostet und wird automatisch aktuell gehalten.
Was mir aufgefallen ist, dass im UCG keine Möglichkeit besteht, Suffixe (der Host-ID Teil) in den Einstellungen der IPv6-Firewall-Regeln, funktionsfähig -versteht sich-,
zu vergeben.
Denn: Wenn ich eine FW Regel >Internet IPv6 IN accept all< manuell vergebe, funktioniert der externe Zugriff auch von überall. → schön, aber blöd.
Ich möchte ja nicht die Firewall komplett freigeben.
Kann mir jemand erklären, warum das so ist? Gibt es vielleicht eine spezielle Konfiguration oder einen Workaround, um dieses Problem zu umgehen?
Man muss bei IPv6 Firewall Regeln ein wenig umdenken. Man packt immer Geräte die das selbe Schicksal leiden in eine Zone.
Z.B. Webserver in die Zone WEB. Und diese Zone wird auf Port 443 / 80 in der Firewall freigegeben. Dann sind alle „unbekannte“ IPs in dieser Zone offen und erreichbar.
Man muss leider bei v6 1x komplett umdenken.
Scheinbar kann man bei UniFi keine fixen Static v6 IPs vergeben. Nutze es dafür selber zu wenig.
Gut, angenommen ich erstelle ein weiteres VLAN mit „Webserver“.
Ich bin aber dann auch wieder der Unifi Konfigurationseigenheit ausgeliefert.
Wie sagte Nr.5 ? Brauche Input!
"Das zonenbasierte Firewalling (ZBF) von UniFi vereinfacht die Firewall-Verwaltung, indem es Ihnen ermöglicht, Netzwerkschnittstellen – wie VLANs, WANs oder VPNs – in Zonen zu gruppieren. Mit diesem Ansatz können Sie effizient Richtlinien definieren und durchsetzen, die steuern, wie der Datenverkehr zwischen diesen Zonen fließt, und so die Verwaltung der Netzwerksicherheit und -segmentierung vereinfachen. "
Also bei der pfsense kann man auch dann einzelne IPv6 freigeben deren Präfix sich ändert (in meinem Fall sogar täglich, weil o2 das so will) wenn man unter Firewall → Aliases einen Aliasnamen anlegt und diesen auf den DynDNS-FQDN des Servers zeigen lässt, für den die Regel gelten soll.
Unter Firewall → Rules → WAN wird dann als Destination der Aliasname eingetragen.
Kann sein, dass es noch andere Lösungen gibt, aber das ist die, die ich nutze.
