[OT] IPV6 kommt näher und ich hab Angst :)

piefke · n00b Joined: 05 Sep 2003 Posts: 57

he

sixxs funktioniert mit dynamischer ip, entweder mit heartbeat oder dem experimentiellen aiccu:
http://noc.sixxs.net/archive/sixxs/heartbeat/
http://noc.sixxs.net/tools/aiccu/
wobei bei aiccu uebrigens im source ein ebuid enthalten ist.

zu den anfangsfragen:

Clou · n00b Joined: 15 Sep 2003 Posts: 21

moe · Posted: Sat Sep 18, 2004 8:35 pm Post subject:

Also ich bin jetzt schon einen Schritt weiter, auf meinem Router steht der Tunnel zu SixXS, auf das Subnetz muss ich allerdings noch eine Woche warten, wegen ihrem Credit-System.. Achja apropos Zeiten, bei SixXS gibts ja ein Log was man sich ansehen kann, demnach hat die Anmeldung 15 Minuten gedauert, die Einruchtung des Tunnels 41 Minuten, beides war ein Werktag gegen 8 Uhr abends..
Jo Tunnel steht, und der Router kann auch ipv6-Adressen in der Welt anpingen, aber wie nun weiter? Das Subnet kann ich ja frühestens nächsten Freitag beantragen, bis dahin wollte ich eigentlich lokale IPv6 Addressen einrichten und diese NATten, wobei ich das für einige Hosts auch danach beibehalten möchte, da nicht jeder Host hier (bzw. der Benutzer davor (LAN mit Nachbarn)) sich um die Sicherheit kümmern kann/will, und deshalb lieber mit Einschränkungen durch NAT leben will, vom Konfigurationsaufwand ganz zu schweigen, aber den hab ja ich

Aber beim Thema IPv6 im Lan fängts schonwieder an, fe80, ffce oder was und wie muss ein solcher Prefix sein? Das IPv6-Howto von Gentoo.de hatte ich schon gelesen, es lässt dieses Thema aber aussen vor. Wie die Adresse auszusehen hat ist sicherlich das kleinere Problem, das grössere dann NAT, ist das völlig analog zu IPv4 oder muss es ein anderes Regelwerk sein? Gibts schon grafische ip(6)tables-GUIs die damit klarkommen? (Deever bitte ignoriere die letzte Frage :lol:

)
Und das mit DNS totd und ptrtd wie es im Gentoo-Howto beschrieben ist, ist mir auch nicht 100%ig klar, auf dem Router läuft ja schon ein DNS-Server (dnsmasq), also muss totd auf einem anderen Port laufen, nur wie bring ich das den Clienten bei, oder bring ichs denen gar nicht bei, sondern meinen "Haupt-DNS-Server"? Für mich klingts logisch, einen lokalen "echten" DNS-Sever aufzusetzen, dem auch AAAA-Records für die lokalen Maschinen beizubringen, und als forwarding-dns den totd anzugeben (natürlich neben den DNS-Servern meines ISPs), ist das so richtig?
Und wie siehts überhaupt mit DNS fürs Internetz aus, wenn eine Domain auch ipv6 hat, sagts mir dann der DNS den mir mein ISP (Arcor) zuweist oder sollte ich einen anderen DNS-Server als externen DNS nutzen?
Achja und wie ists mit der Unterstützung für ipv6 in den initscripts, der Tunnel wird ja durch aiccu ge"up"t, aber wie siehts bei den anderen Interfaces aus? /etc/conf.d/net enthält nichts was irgendwie nach ipv6 aussieht, reines uppen wird nicht reichen, da ich nicht radvd sondern dhcpv6 verwenden möchte..

Gruss ein noch immer verwirrter Maurice

Clou · n00b Joined: 15 Sep 2003 Posts: 21

daemonb · Apprentice Joined: 24 Jul 2002 Posts: 242

kann jemand mal wieder die frage von moe aufgreifen, gibt es da erfahrungen?
Will meine internen Rechner nach wie vor hinter meiner Firewall behalten, alles andere ist mir einfach zu unsicher, deswegen, werde ich das konzept mit den (FE??) addressen auch nutzen.
Hat das schon jemand gemacht?
Wenn ich dann den Tunnel stehen habe, kann ich doch eigentlich ohne weiteres, meine FE Adressen NAT en , müsste ja genauso sein wie bei V4 oder?
Kann FWbuilder das schon?

danke

DaemonB

kannX · Tux's lil' helper Joined: 21 Jul 2002 Posts: 76

Du solltest auf alle Fälle Firewall und NAT nicht durcheinander brigen - in der Tat macht es von der Sicherheit her absolut keinen Unterschied ob man NATet oder nicht (auch wenn das viele immer noch nicht wahrhaben wollen).

Ansosten funktioniert das mit Netfilter genauso wie mit mit ipv6 wie ipv4, vorrausgesetzt das man netfilter für ipv6 im Kernel hat.
Die ganzen Firewallregeln funktionieren auch mit ipv6 (genau genommen ist es dem Netfilter ziemlich schnuppe ob ipv4 oder ipv6), du musst die Regeln halt nur auf das neue Interface erweitern.

moe · Posted: Fri Sep 24, 2004 11:01 pm Post subject:

Um das von kannX mal näher zu erläutern (habs zu Anfang auch nicht verstanden):
Man bekommt von seinem Tunnelbroker ein Subnetz zugewiesen, sagen wir mal 2001:xxxx:yyyy:zzzz::/48, Adressen innerhalb diesen Bereiches kann man frei in seinem Lan verteilen, und brauch dann im Prinzip auch keine fe??:: Adressen.. Da ja trotzdem nur ein Router zur Aussenwelt existiert, kann dieser auch ohne NAT den Zugriff verhindern/einschränken/QOSen oder wasauchimmer..
Zur iptables-Frage bin ich auch noch nicht viel schlauer, GUIs die auch ipv6 können hab ich noch nicht gefunden. Und ausser dem Device (bzw. das auch nicht in jedem Fall) muss man doch iptables6 statt iptables verwenden, oder?
Und dann hab ich aktuell auch noch ein Problem, oder mehrere:
Ich hab seit heute auch mein Subnetz von SixXS, komischerweise ist die Adresse des Netzes eine andere als die, die ich über den Tunnel habe, dort habe ich 2001:xxxx:yyyy:zzzz::1 als Tunnel-Endpunkt in Hamburg, ..::2 als mein Endpunkt, aber mit /64 und laut whois von 6bone "gehören" mir auch Adressen wie ...::3, hab ich jetzt 2 Subnets oder ist das nur organisatorischer Natur, dass das von SixXS zuegewiesene Netz ein anderes ist (2001:aaaa:bbbb::/48 )?
Und die eigentlich viel wichtigere Frage, hab hier nen Router auf dem auch der Tunnelendpunkt liegt, aufm Router klappt auch alles wunderbar, kann fremde IPV6 Adressen erreichen. Zum Probieren mit NAT bin ich gar nicht gekommen, also hab ich heute mit dem Subnetz erst meinen ersten Versuch unternommen, auch meine Workstation mit ipv6 zu konnektieren.. Hab ihr also eine Adresse aus dem zugewiesenen Subnetz zugeteilt, und eine Route zum Router erstellt:
ip -6 route add default via fec0::fffe dev eth0
(Hab hier im Netz lokale Adressen zusätzlich zu den externen, auch wenns eigentlich Quatsch ist..
Auf dem Router hab ich dann noch ipv6 forwarding aktiviert:
echo 1 > /proc/sys/net/ipv6/conf/all/forwarding
Pingen zwischen beiden Rechnern klappt sowohl über die interne, als auch über die externe IP, nur mit der Workstation komm ich nicht raus.. Die Route an sich scheint zu stimmen, wenn ich einen ping auf eine externe IPv6-Adresse mache, steigt auch der TX-Zähler des Tunneldevices im Router, allerdings steht der RX.. Ein Traceroute von extern (Webinterface auf ipv6-net.org) geht auch nicht, jedenfalls nicht auf die zugeteilten Adressen des Subnetzes. Auf die Adresse ..::2 meines Tunnels läuft der Traceroute durch, auf die externe IP meiner Workstation (aus dem neu zugeteilten Subnetz) bleibt er bei der Station hängen, die beim trace davor die vorletzte war..

Weiss jmd woran das ungefähr liegen könnte?

Gruss Maurice

kannX · Tux's lil' helper Joined: 21 Jul 2002 Posts: 76

Ich setze mal voraus das "ipv6" in den Use-Flags vorhanden ist und iptables auch mit dieser Optionen emerged wurde, dann braucht man auch kein iptables6 oder so.
Damit der Routing auch funktioniert muss man die entsprechenden Einträge in der FORWARD chain setzen:

daemonb · Apprentice Joined: 24 Jul 2002 Posts: 242

ja stimmt ja, Firewall != NAT..., aber ist es nicht sicherer intern FE Adressen zu haben, da diese ja nicht routbar sind?

Clou · n00b Joined: 15 Sep 2003 Posts: 21

The_Paranoid · Posted: Mon Sep 27, 2004 4:50 pm Post subject:

so, hab das ganze dann auch mal ausprobiert. Lokales IPv6 Netz zwischen meinem Gentoo und meinem WinXP Laptop hat gut geklappt. Tunnel bei Sixxs beantragt und heute Mail gekriegt. Krieg zwar ne adresse zugewiesen allerdings kann ich nicht rauspingen. Auch den POP Endpoint nicht

Liegt das möglichweise daran, dass ich hinter nem Netgear Router hänge ?

Clou · n00b Joined: 15 Sep 2003 Posts: 21

The_Paranoid · Posted: Tue Sep 28, 2004 8:39 am Post subject:

jupp, die zugewiesene kann ich pingen. Per aiccu