Natives IPV6 Firewall und RoutingOS, was nutzt ihr da?

[boospy]

Hallo Leute

Ich bin auch schon drauf gekommen das es an der Zeit ist die Umstellung zu vollziehen. Ich nutzte ein Linuxfirewall-OS (IPFIRE) früher hatte ich IPCOP. Ipfire hat in seinem Webinterface noch nicht IPV6 implementiert. Dies kommt vielleicht, aber wirklich nur vielleicht mit Version 3.0. Natürlich kann die derzeitige Version 2.9 auch IPV6, aber alles was man sich manuell einstellt geht dann bei nem Update verloren. Also so super ist das dann ja nicht.

Deshalb meine Frage, was für Linuxfirewalllösungen nutzt ihr denn, was ähnlich einfach zu konfigurieren geht? DHCP6 mit DNSupdates an Board haben usw.

Event. kommt bei IPV6 ja auch das AVAHIprotokoll vermehrt zum Einsatz.

lg
boospy

[ViennaAustria]

In den meisten Fällen verwenden wir "selbstbau" Linux Firewalls. Also ganz normale Linux Distris, deren mitgeliefertes Firewallprodukt wird abschalten bzw. deinstallieren und stattdessen unser eigenes Shellscript bauen, das mit iptable und ip6table Anweisungen das aufbaut, was wir an der jeweiligen Stelle gerade benötigen. Das ist für uns viel transparenter und flexibler, als die üblichen Web-gesteuerten Lösungen - vor allem, wenn man grosse Zahlen gleichartiger Regeln hat, die bei unserem Selbstbausystem minutenschnell mit einer Schleife aufgebaut werden, während man sich bei Web-Systemen die Finger wund klickt...

Bei drei Kunden verwenden wir Astaro (http://www.astaro.com/) als zweite (innere) Firewall. Die neueren Versionen können auch IPv6. Ich habe aber leider noch keine Erfahrung damit, weil wir diese Kunden noch nicht mit IPv6 "beglückt" haben. Das kommt aber recht bald. Ich werde gerne berichten.

---

(07-22-2011 07:28 PM)ViennaAustria schrieb:  Astaro (http://www.astaro.com/)

Hihi, habe gerade festgestellt, dass Astaro derzeit anscheinend mit IPv6 herumbastelt, weil sie per v4 erreichbar sind, per v6 aber nicht:

Code:

# ping -c 1 -W 5 www.astaro.com
PING astaro.com (85.115.22.3) 56(84) bytes of data.
64 bytes from 85.115.22.3: icmp_req=1 ttl=57 time=22.1 ms

--- astaro.com ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 22.113/22.113/22.113/0.000 ms

# ping6 -c 1 -W 5 www.astaro.com
PING www.astaro.com(2a02:788:12:38::5) 56 data bytes

--- www.astaro.com ping statistics ---
1 packets transmitted, 0 received, 100% packet loss, time 0ms

Ja, so wird's und künftig wohl noch öfter gehen...

[boospy]

ja, viel anders wird es wohl nicht gehen, hab mich in den vergangenen Tagen wieder vermehrt in das Thema eingelesen. Es gibt nix gscheites webbasierend. Wird wohl ein Gentoo werden. Fakt ist aber trotzdem das ich leider vom Provider noch IPV4 bekommen. Also intern im Netzwerk möchte ich ein reines IPV6 Netz haben. Nach aussen muss es halt auch IPV4 sein.

Weil du sagst Eigenbau. Hältst du dafür SE-Linux als notwendig?

lg
boospy

[ViennaAustria]

Ein reines IPv6 Netz halte ich in den nächsten Jahren für nicht sinnvoll. 100% der Welt ist per v4 erreichbar und vielleicht 5% bereits mit v6 - ich kenne die aktuellen Statistiken nicht. Ohne v4 bist Du also noch lange Zeit ein Aussenseiter.

...und "NAT" zwischen v6 und v4 geht auch nicht.

Aber schau Dir mal die Astaro Fireewall an. Die ist extrem gut, es gibt eine kostenfreie Lizenz für Privatanwender (als Software und Hardware ISO, sowie als VMware Appliance) und zumindest am Papier kann sie nun auch IPv6. Damit habe ich aber, wie schon gesagt, noch keine Erfahrung. Nachdem alles andere von denen aber sehr sattelfest ist, wird IPv6 wohl auch ganz manierlich funktionieren...

[boospy]

Achso, ne du verstehst mich falsch, ich meine das interne LAN reines IPV6, nach aussen V4 und V6.
Zitat von hier: http://wiki.ipfire.org/de/howto/ipv6_ipfire2

Zitat:Wenn man IPv6 ausprobieren will, kann der erste Schritt sein, dass man den IPFire 2.x über DNS IPv6 Adressen für Hosts im lokalen LAN kommunizieren lässt. Der IPFire benutzt den DNS-Proxy dnsmasq um DNS-Anfragen an den nächsthöheren DNS-Server weiterzuleiten und die DNS Antworten zu cachen. dnsmasq beantwortet aber auch selber DNS-Anfragen, wenn diese Hosts betreffen, die in der /etc/hosts drinstehen. Und genau das wollen wir ausnützen, um lokalen Hostnamen eine IPv6 Adresse zuzuweisen. Das Problem daran ist allerdings, dass der mit IPFire 2.x mitgelieferte dnsmasq ohne IPv6 Unterstützung kompiliert wurde.

Wenn man nun eine IPv6-enabled Version auf dem IPFire 2.x hat, kann man ganz einfach IPv6 Adressen in die /etc/hosts eintragen und dnsmasq verteilt diese dann im lokalem LAN. Der IPFire selber ist dabei nur mit IPv4 erreichbar und routet auch nur IPv4 Traffic. Mit dieser Methode kann man nur dafür sorgen, dass man selber im lokalen Netzwerk per DNS IPv6 Adressen verteilen kann. Die IPv6 Adressen der Hosts muss man aber manuell konfigurieren (Wie man den IPFire 2.x auch über IPv6 ansprechen kann und IPv6 Adressen automatisch verteilen kann, wird in einem späteren Abschnitt behandelt werden).

Verstehe ich das denn falsch, wenn ich ein Gateway habe das IPV6 auf nimmt, und in IPV4 weiter routet, kann ich doch im LAN nativ V6 ohne V4 fahren? Echt verwirrend das Thema.

PS. der asiatische Raum hat schon vor vielen Jahren auf IPV6 umgestellt. Europa ist von allen am weitesten hinten. Ausserdem sind schon fast alle Rootserver weltweit auf IPV6 umgestellt. Ich glaub 2 oder 3 fehlen noch.

Nachtrag: Astaro sieht nicht schlecht aus, hab mir grad mal die Screenshots angesehen. Könnte event. eine Lösung sein, damit ich nicht 2 Firewalls brauche.

lg
boospy

[jkfhmjn]

Deshalb meine Frage, was für Linuxfirewalllösungen nutzt ihr denn, was ähnlich einfach zu konfigurieren geht? DHCP6 mit DNSupdates an Board haben usw.

---

Astaro sieht nicht schlecht aus, hab mir grad mal die Screenshots angesehen. Könnte event. eine Lösung sein, damit ich nicht 2 Firewalls brauche.

[boospy]

Fakt ist: DHCPV6 benötige ich nicht. Ich nutze folgendes:

- Monowall oder Mikrotik als Firewall und Router
- Auf der Firewall läuft auch RADVD
- Zum Verteilen von DNS verwende ich Avahi
- DNSserver intern auch nicht nötig. Auch das managet avahi mit einer öffentlichen Domäne, also nicht .local!!!
- Die Rechner die ich gerne von aussen erreichen möchte, die sind halt bei einem Provider im DNS eingetragen.
- Die meisten Rechner haben keine IPV4 mehr, da es einfach nicht mehr nötig ist. Ausser natürlich die Desktops zum Surfen.

Funzt seit Monaten echt super.

lg
boospy

---

[iewpoapag]

- Die meisten Rechner haben keine IPV4 mehr, da es einfach nicht mehr nötig ist. Ausser natürlich die Desktops zum Surfen.

[jsbdgh]

Ein reines IPv6 Netz halte ich in den nächsten Jahren für nicht sinnvoll. 100% der Welt ist per v4 erreichbar und vielleicht 5% bereits mit v6 - ich kenne die aktuellen Statistiken nicht. Ohne v4 bist Du also noch lange Zeit ein Aussenseiter.

---

Die meisten Rechner haben keine IPV4 mehr, da es nicht mehr nötig ist. Ausser natürlich die Desktops zum Surfen.