IPV6 und VLANs

[Simaryp]

Hi,

dass ich mein OPNsense setup eingerichtet habe,ist schon etwas her. Damals habe ich das Thema IPv6 letztlich wegen fehlendem Provider Support ad acta gelegt.

Ich muss demnächst nen neuen Router konfigurieren und perspektivisch könnte das Thema für mich an neuer Adresse relevant werden.

Damals habe ich mir eine ziemliche Platte gemacht, wie ich IPv6 äwuivalent zu v4 aufsetzen kann und nicht ganz durchgeblickt. Ich gabe mit einigem Abstand die Vermutung, dass es auch Quatsch gewesen ist. Ich denke ich brauche das gar nicht zu machen, weil ich inter-VLAN routing einfach über v4 machen kann, wie jetzt auch und v6 nur fürs Traffic ins Netz einrichten muss. Die verschiedenen VLANs, sollten dann auch nicht über v6 kommunizieren können, wenn ich da prefix delegation himbekomme oder?

Wäre echt super, wenn mir jemand mit mehr Ahnung das bestätigen könnte. Dann mussich mir jetzt beim einrichten demnächst nicht schon groß Gedanken wegen v6 machen.

[meyergru]

Hast Du dies schon gelesen?

Im Prinzip kannst Du ULAs in allen VLANs vergeben lassen und dann den Inter-VLAN-Zugriff genauso regeln wie für IPv4. Zunächst mal ist es aber ziemlich unhandlich, überhaupt mit IPv6 umzugehen, um darauf im eigenen Netz zuzugreifen.

Eigentlich bietet es sich an, den ausgehenden Zugriff zu erlauben (wie mit IPv4 wohl auch), aber von außen nach innen höchstens sehr selektiv:

a. Musst Du die Maschinen überhaupt zuverlässig adressierbar machen und DHCPv6 ist "schwierig". Mit SLAAC geht es, aber die IPs haben die EUI-64, die aus der MAC gebildet wird.
b. Bei dynamischen Präfixen ist das Ganze noch komplexer und das ist leider der Regelfall. Denk' nur an den DynDNS dafür...

Deshalb nutze ich grundsätzlich dafür nur Reverse Proxys - und die können "intern" ja immer die (V)LAN-IPv4 nehmen, dafür braucht es keine IPv6.
Das Gleiche gilt für den Inter-VLAN Verkehr: Warum IPv6? Ist nur komplexer.

Abseits eines Heimanschlusses ist das natürlich ein anderer Schnack...

[Simaryp]

Ne, hatte ich noch nicht gelesen. Danke für den Link.

Aber wenn ich dich richtig verstehe, dann liege ich mit meiner Vermutung richtig.

Ich schalte einfach den outgoing traffic frei, blocke den ingoing. Die andere Kommunikation dann per v4.

Ich vermute, wenn ich dann nen Wireguard unterwegs mit v6 aufbaue,kann ich dann auch durch den Tunnel auch v4 nutzen.