Hallo,
ich habe mir lange überlegt, ob ich hier antworten soll. Wenn ich aber die Ratschläge lese, IPv6 im Router zu deaktivieren, dann muss ich einfach etwas dazu schreiben.
Irgendwann in hoffentlich nicht allzu ferner Zeit müssen sich auch die letzten "IPv6-Verweigerer" gezwungenermaßen mit IPv6 befassen. Auch wenn es immer noch Provider gibt, welche einen Zugang mit echtem Dualstack anbieten (bspw.1&1 auf begründete Nachfrage), so laufen die meisten Internetzugänge heute doch wohl mit DS-lite, also priorisiert mit IPv6. Es ist also höchste Zeit, sich damit zu befassen und es ist langsam zu spät, sich immer noch zu verweigern.
Eigentlich hat ja "the other" mit seinem Beitrag #15 alles schon richtig beschrieben. (<= Danke!)
Es geistern trotzdem immer noch Meinungen durchs Netz, dass jedes Gerät mit seinen (es sind mehrere!) IPv6 immer aus dem bösen Netz erreichbar sind. Stimmt auch grundsätzlich und es ist auch gut so (WOWEREIT!) dass die alte Krücke, welche sich NAT nennt, so langsam nicht mehr benötigt wird. Und auf jeden Fall nicht mehr für IPv6!
Aber schon ein einfacher Plastik-Router wie unsere Fritz!Box lässt im Grundzustand keine von außen kommenden und nicht (von innen) angeforderten Pakete an die im Heimnetz stehenden Geräte rein. Erst wenn für bestimmte Geräte (= bestimmte IPv4 und IPv6) eine Portfreigabe (bewusst identische GUI für beide Protokolle!), also für IPv6 eine Öffnung der Firewall für diese IP und einen oder mehrere Ports angelegt werden, dann sind diese Geräte über ihre IPv6 auch erreichbar.
BTW: Da jedes Gerät eine (mehrere) eigene IPv6 bekommt, sind auch mehrere Geräte über ihren DynDNS-Namen auf dem gleichen Port erreichbar.
Ich befasse mich schon viele Jahre ganz bewusst mit IPv6 (anfangs sogar mit einem Tunnelanbieter - weil ich's einfach wissen wollte) und habe natürlich auch von diesen Befürchtungen gelesen. Aber ich wollte es wissen und habe mein Netz mit allen auf jedem Linux-Rechner installierten Tools intensiv "traktiert".
Ergebnis: Es ist mir in keinem Fall gelungen die/den Firewall der F!B zu durchbrechen. Auch die auf meinen "Opfergeräten" installierten Sensoren konnten keinen Angriff erkennen.
Vier Bemerkungen noch:
1. Mein "Gegner" ist kein Geheimdienst. Vor denen können wir uns wohl kaum schützen.
2. Und solche dummen Einstellungen wie "QickConnect" oder UPnP sollte man natürlich niemals nutzen.
3. Die Fritz!Box sollten wir nicht mit einer ausgewachsenen Firewall (zum Preis eines Kleinwagens) vergleichen. Das wäre einfach ungerecht.
4. Trotz alledem gibt es in meinem Heimnetz keinerlei gewollte Zugriffe aus dem Internet auf meine internen Geräte - außer über mein Wireguard-VPN natürlich ... .
vy 73 de Peter
