IPv6 & Sicherheit

[servilianus]

Guten Morgen liebe Fachleute,

ich denke, es ist für mich langsam an der Zeit, mich intensiver mit dem Thema IPv6 zu beschäftigen. Zum einen, weil ich mich mit dem Gedanken trage, mein Haus ans Glasfasernetz anschließen zu lassen, zum anderen, weil ich natürlich auch von den Vorteilen von IPv6 profitieren will - und es uns alle ja ohnehin früher oder später betreffen wird.

Allerdings sind mir einige Punkte noch nicht so recht klar. Folgendes habe ich mir bisher angelesen - ich hoffe, ich habe das korrekt verstanden.

- Jedes Gerät im Heimnetz erhält eine eindeutige IP, mit der das Gerät aus dem WAN heraus erreichbar ist

- Weil keine Übersetzung der privaten IP in eine öffentliche IP mehr nötig ist, entfällt das NAT (und damit auch die NAT-Probleme, bsp. bei VoIP-Telefonaten)

- Entfall des NAT bedeutet aber, dass für die Steuerung der Zugriffe auf die Geräte der Firewall eine herausgehobene Bedeutung zukommt.

Dazu folgende Fragen:

- Wenn ich überhaupt nicht möchte, dass der Zugriff von außen auf das Heimnetz möglich ist (also dass die Geräte-IPs nicht im WAN sichtbar sind), müsste ich ja eine entsprechende Firewall-Regel erstellen. Aber: Wie komme ich dann selbst von außen in mein Heimnetz? Bisher funktioniert das ja von einem fremden Netzwerk ziemlich simpel und sicher via VPN. Bleibt auch bei IPv6 VPN erhalten? Oder wie hätte man sich den eigenen Zugriff bzw. dessen Steuerung vorzustellen?

- Nehmen wir an, ich betreibe einen Webserver. Der wäre auch bei IPv6 mit der IPv6-IP-Nummer (also irgendwas in eckigen Klammern) + Portnummer 443 von außen erreichbar. Nun möchte ich aber nicht, dass man von außen via Port 5000/5000 auf das DSM kommt. Bisher habe ich dazu im NAT einfach keine entsprechende Portweiterleitung angelegt. Wie würde man das denn jetzt bewerkstelligen?

- bei IPv6 kann man ja aus dem WAN relativ einfach feststellen, in welchen Netzen ein bestimmtes Gerät unterwegs ist - also sind Bewegungsprofile möglich. Aus Datenschutzgründen werden daher die letzten IPv6-Stellen verschleiert und ändern sich. Wenn ich aber selbst von außen auf ein Gerät zugreifen will - woher weiss ich dann, welche aktuelle IPv6-Adresse (bzw. welche gerade aktuelle Endung) ich eingeben muss?

- und noch eine praktische Frage: Wenn ich bisher im heimischen Lan auf meine Syno will, gebe ich einfach die entsprechende IP ein; die ist ja leicht zu merken, weil sich für die Geräte ja nur die letzten Stellen ändern. Dann, bei IPv6 müsste ich ja eine ziemlich komplizierte IP-Adresse eintippen, die ich mir natürlich nicht merken kann, also irgendwo ablegen müsste. Wie gelingt also der schnelle Zugriff bei IPv6 auf das Gerät?

Ich danke Euch!

 

[Ramihyn]

Guckst du hier
Das wird die meisten deiner Fragestellungen beantworten, insbesondere betreffend Zugriff von aussen etc. Und betreffend deines Browseraufruf-Problems: sorg einfach dafür, dass du einen IPv6-tauglichen Router verwendest (der insbesondere in der Lage sein muss, ein per Prefix Delegation erhaltenes Subnetz an die Endgeräte zu verteilen) und gleichzeitig für dein Heimnetz den DNS spielt, dann ist auch das kein Problem mehr.

Wie du meiner Signatur entnimmst, bin ich schon lange mit IPv6 unterwegs. Und von aussen kommt niemand auf meine Geräte, ausser VoIP und VPN wird zur Fritzbox nichts durchgelassen.

 

[servilianus]

Danke Ramihyn für Deinen Post und der Verweis auf den Wikipedia-Eintrag. Zumindest der letzte Punkt - das Eingeben der IP-Adresse - ist mir jetzt klarer geworden, also ein funktionierender DNS-Server im Netz. Aber: Zu meinen anderen drei Fragen bin ich aber aus/mit dem Wikipedia-Artikel nicht so recht schlau geworden; im Gegenteil noch stärker verwirrt. Aus Deiner Antwort interpretiere ich, dass auch mit IPv6 VPN möglich ist (IpSec)? Vielleicht könntest Du meine Fragen freundlicherweise kurz beantworten? Das wäre freundlich.

 

[Ramihyn]

Mit dem Artikel wollte ich dich insbesondere dahin bringen, dich mit "link local" Adressen und solchen mit global scope auseinander zu setzen. Unabhängig von der Vergabe einer globalen IPv6 hat jedes UIPv6-fähige Netzgerät automatisch immer auch eine link local Adresse (fe80::....). Es spielt also keine Rolle, ob die globale IPv6 mit SLAAC verschleiert wird oder nicht.

Ich selbst nutze OpenVPN, IPSec geht aber grundsätzlich auch - vorausgesetzt auch deine Gegenstelle, von der aus du ins VPN rein willst, ist ebenfalls mit einer globalen IPv6 ausgestattet. In allen anderen Fällen brauchst du einen Portmapper-Dienst, und die wiederum bieten üblicherweise nur TCP-Portmappings an, keine für UDP. Damit ist dann alles andere als OpenVPN aus dem Rennen.

Die Lernkurve für IPv6 ist erstmal relativ steil, man muss sich einfach damit auseinandersetzen und etwas Zeit investieren.

 

[servilianus]

Ja, ist mir schon klar, dass ich mir erstmal die ganzen Grundlagen verschaffen muss. Aber es ist schonmal gut zu wissen, dass ich grundsätzlich - so wie bisher - auch bei IPv6 mit VPN arbeiten kann.

 

[Fusion]

@Ramihyn - solltest den Artikel wohl auch nochmal durchlesen. Die von servilianus angesprochenen Privacy extension (variabler Host-Teil der IPv6 zur Verschleierung des Client gegenüber IP-trackern, darauf verlässt sich eh fast kein Benutzertracker mehr) und SLAAC, die Zustandlose Autokonfiguration (zero_conf) von IPv6 auf einem Client, sind zwei verschiedene paar Schuhe.
Auch die Prefix Delegation ist nur nötig, wenn man hinter dem Router noch weitere Router/Netze betrieben will. Für den 0815 Fall mit Router und einem LAN also auch nicht nötig.

@servilianus - Mit IPv4 und IPv6 sind grundsätzlich die gleiche Funktionelitäten möglich solange Software und Hardware mitspielt. Nur die praktische Umsetzung fällt teilweise anders aus.
Bsp dynDNS muss (gibt Ausnahmen) der Client auf dem Endgerät laufen, damit er die richtige IPv6 erkennt.
Ein Client hat mehrere IPv6 Adressen.
Globale Adressen z.B. 2 Stück, eine mit und eine ohne privacy extensions. Also eine fest und eine mit variablem Hostteil.
Für Server, Erreichbarkeit von Außen, nimmt man normal die feste. Hier ändert sich, z.B. bei Reseller-(v)DSL Anschlüssen, nur das Netzwerk-Prefix, der vordere Teil. Wie gewohnt auch per dynDNS erreichbar.
Die mit Privacy Extensions war für anonymeres Surfen gedacht, aber ....
Die dritte link-local mit fe80 prefix ist nur im LAN nützlich.
Wenn in der Fritzbox noch ULA, unique local adresses, aktiv ist findet sich auch noch eine vierte Adresse mit dem Netz-Prefix von der Fritte und einen kurzen Host-teil. Bsp 2001:ab10:5345::10
Der letzte Teil ist jener den die Fritzbox nur jeweils einem Host im LAN gibt.

Bezüglich Ports musst du die Ports in der DS von 5001 auf andere ändern, wenn du diesen Zugang nutzen willst. In der fritzbox wird nur noch eine Portfreigabe (Firewall-Öffnung) angegeben. Eine Portumleitung wie 15001 > 5001 geht hier nicht mehr.
Deshalb sind so Dienste wie Drive Server (sync Port 6690) und andere, wo Syno keine Konfiguration zulässt so ärgerlich.

Wenn du im lokalen Netz auch mit IP zugreifst, kannst auch weiterhin einfach die besser zu merkende IPv4 verwenden.
Von extern spielt es immer eine Rolle, ob der Client ebenfalls IPv4/v6 spricht / sprechen darf.
Außer dem Telekom Mobilfunknetz spricht z.B. noch keiner, weder Vodafone noch Telefonica, IPv6 im Mobilfunknetz. Also anzuraten die IPv4 Erreichbarkeit zu erhalten wenn möglich. Andernfalls braucht man wie angesprochen einen (eigenen externen) Portmapper Dienst um IPv4 über IPv6 zu tunneln.

 

[servilianus]

@Fusion: Super, danke für diese hilfreichen Informationen, die mich schonmal weiterbringen. Beim Umstieg auf Glasfaser ist es aber, soweit ich es gelesen habe, auf jeden Fall Essig, da man auch gegen mehr Geld kein IPv4 mehr bekommt. Was in meinem Fall aber egal wäre, da auch die anderen Geräte/Netze IPv6-Fähig sind und ich auch beim Mobilfunk bei der Telekom bin. Ich werde jetzt mal mit den Basics beginnen und am Router rumschrauben und dort ausprobieren.