getrübte Freude über den Glasfaser Ausbau mangels öffentlicher IP v4 WAN Adresse

Zitat von DaVu

Es gibt also kein NAT.

Zumindest ist das standardmäßig nicht vorgesehen. wie @te36 ja auch schon geschrieben hatte kann man das dennoch abbilden wenn man denn möchte.

Zitat von DaVu

Somit muss ich meine Geräte selbst schützen und kann das keinem zentralem Gerät überlassen.

Die Firewall spielt bei IPv6 eine deutlich gewichtigere Rolle als noch bei IPv4. Ich denke das kann man definitiv so sagen.
Die Netzwerksicherheit würde ich aber nicht von Client-Seite aus aufziehen, sondern sehe hier eher den Router mit seiner integrierten Firewall als zentrales Gerät.

Ich kenne jetzt die USG nicht im Detail, aber bei einer OPNsense z.B. ist per default erst einmal alles dicht und man kann absolut Zugriffe vollkommen granular über Regeln festlegen.
Auch die interne Adresszuweisung. Hatte jetzt tatsächlich noch keinen Fall den ich damit nicht umsetzen konnte.

Zitat von DaVu

Es sei denn, ich setze einen intenen VPN Server auf.

Wenn ich deinen Gedankengang jetzt richtig verstehe würde ein interner VPN dir bzgl. dem Mehr an Sicherheit durch NAT intern nur dann etwas bringen, wenn die internen Clients ihren ausgehenden Traffic über den VPN tunneln und damit quasi ein NAT erzwungen wird.
Das wäre aber einfacher über entsprechende Einstellungen am Router zu bewerkstelligen.

Zitat von DaVu

In dem Fall tatsächlich nur eine öffentlcihe.

Das ist natürlich sehr ärgerlich!
Es wäre gerade im Hinblick auf die schier unendliche Anzahl an verfügbaren Adressen wirklich wünschenswert, wenn alle Provider ihren Kunden sowohl eine WAN-IPv6-Adresse, als auch einen IPv6-Präfix zuweisen würden. Wahlweise statisch oder dynamisch. Das würde so vieles einfacher machen.
Ich meine mich daran zu erinnern, irgendwo auch gelesen zu haben, dass das eigentlich seitens der IANA so in den 1995 erlassenen Richtlinien so vorgegeben wurde.

Zitat von DaVu

Wie immer...an einem Tisch mit nem Bier wäre vieles einfacher

Da stimme ich dir voll und ganz gut
Aber wir kommen schon klar hier

Zitat von DaVu

Für mich war aber an dieser Stelle viel wichtiger, dass ich ein Gerät habe, welches meine VPN Verbindung entgegen nimmt und ich von dort aus alle Geräte in meinem Netzwerk ansprechen kann.

Dann brauchst du an sich ja nichts anderes wie einen VPN-Server. Entweder direkt auf dem USG (ich kenn den Funktionsumfang des Gerätes hier leider nicht), oder auf einem anderen Gerät im Netzwerk für das du eingehende Anfragen an den VPN-Server dann in der USG freigibst.
Ich habe den VPN-Server direkt auf der OPNsense aktiv, was es mir deutlich leichter macht die Zugriffe über VPN ins Netzwerk oder auch in meine verschiedenen Subnetze granular zu reglementieren.

Zitat von DaVu

Ich habe einen 56er Präfix bei mir einetragen. Nur sagtest du ja, dass ich mehr ale eine öffentliche IPv6 am Interface angezeigt bekommen soll. Und das ist nicht der Fall.

Du hast also eien 56er Präfix von deinem Provider? Ich hatte Dich jetzt so verstanden, dass du vom Provider nur eine einzige Adresse erhalten hast.

Mit einem 56er-Präfix stehen dir eigentlich alle Möglichkeiten offen. Dein Router nimmt den vom Provider entgegen und kann die Adressen aus dessen Bereich nach deinen Vorgaben an die Clients delegieren.
Wenn du am Client nur eine öffentliche IPv6 angezeigt bekommst, würde ich darauf tippen, dass dein Router die Adressen mittels SLAAC zuweist und am Client die PrivacyExtensions nicht aktiv sind.
Wenn du die PrivacyExtensions aktivierst und z.B. noch DHCPv6 am Router, hättest du schon 3 öffentliche IPv6-Adressen am Client.

offtopic :

@psychofaktory , vllt hast du mal eine Idee zur Umgehung folgendes Problemes :

Ich nutze Openvpn über ein tap device, also Layer 2, erreichbar nur über IPV6 von extern.
Das ganze funktioniert aber nur wenn vorm starten des Tunnels auf den Clients der automatische Bezug einer IPV6 für das TAP Device untersagt wird.
Unter Windows z.b bei den Adapter Einstellungen den haken bei v6 rausnehme, oder unter Linux net.ipv6.conf.tapxyz.disable_ipv6 = 1.

Geht das vllt geschickter mit einem Pusch / pull ?
Ich hab viel gesucht, mich mittlerweile damit abgefunden .

@DeBaschdi

Tricky..
Aber ich würde das auch hier wieder eher von infrastruktureller Seite aus aufziehen als von den Clients aus.

Woher bekommen denn die Clients die IPv6-Adresse?
Ich schätze mal der Router weißt die Adresse zu.
Unter OPNsense würde ich das wohl so lösen, dass an der Schnittstelle an der die betreffenden Clients hängen IPv6 über ein Skript erst aktiviert wird wenn der Tunnel gestartet ist.
Ist jetzt zwar nur Theorie, aber ich denke das sollte so funktionieren.
Eine elegantere Lösung fällt mir zumindest jetzt auf die Schnelle nicht ein.

Das Problem ist, das Tap an den Clients bekommt vom "Client eigenem Router" die V6 zugewiesen, geschickt wäre es über ein pusch/pull v6 für den Client am Tap garnicht erst zu aktivieren, aber wie ..

Puh, da bin ich leider raus.

Zitat von DeBaschdi

Vllt kann ich da unterstützen,
Ich bin mit DG und fester (dynamischer) IPV6 für Unraid only unterwegs, nutze allerdings einen Glasfaser Router von der Frizbox (5530),

Siehe @Alphaspike Beitrag getrübte Freude über den Glasfaser Ausbau mangels öffentlicher IP v4 WAN Adresse
(Ihm hatte ich da auch unterstützt)

VPN funktioniert mindestens mit openvpn

So, nun muss ich auch mal fragen, hier geht auch im nächsten Jahr der Ausbau los. Zumindest wie wohl überall mit den 40% müssen sich melden…

Und ich habe jetzt das ganze Thema Gelsen, u d kaum was verstanden

Kann denn einer das mal für Dummys erklären?

Was ich jetzt nutze: Fritz VPN um auf das Netzwerk zuzugreifen, geht aber nur, wenn man draußen nicht einen VPN Sperre erlebt. Wie in meinem letzten Hotel
Und ich nutze MyFritz.
=> Hab gesehen, dass gibt es nur bei der größeren 5590, von DG erhält man die 5530.

Was mir reicht, plus Sicherheit ohne Zuviel Programmieren?

=> Emby Server von außen erreichbar
=> UnRaid Server erreichbar

Dann vorhanden Hardware
PC‘s , Shield, Raspi mit LMS, TV Geräte, AVR, Logitech Radio

Wie kann ich erkennen, ob die mit IPv6 umgehen können?

OK am PC ist je in den Netzwerkeinstellungen zu sehen, aber der Rest?

Zu dem Angebot von DG würde mich eben reizen, dass sie einem die 1990€ Anschlussgebühr im EFH schenken, wenn man bis zum 22.12.2022 einen Vertrag abschließt. Sowas reizt natürlich

Ja, da kann ich dir auch mein Addon ans Herz legen, ich nutze es selbst mit ipv6
Alles chiq.
Sobald dein Client verbunden ist, ist es so, als wäre er direkt mit kabel/wlan verbunden. Macht keinen Unterschied.

Dann werde ich mal an der Info Veranstaltung teilnehmen, und hören was da tatsächlich sein wird.
Muss man an den Clients oben etwas anders einstellen, oder alle auf automatische IP lassen, und die feste in der Fritte eintragen?

ja, nix was verändert werden müsste, lediglich der vpn port muss in der fritte auf die ipv6 von Unraid weitergeleitet werden. In unraid selbst sind auch ein paar settings notwendig