IPv6 im Netzwerk - 2012R2 DHCP

[Ste83 10]

Hallo Forum,

 

ich würde gerne IPv6 bei uns im Netzwerk konfigurieren. Wir haben ein einfaches Netz, wo alle Geräte in einem Subnetz sind und über ein Gateway ins Internet kommen, falls sie es dürfen.

 

IP4 Adressen sind für Server und einige Geräte fest vergeben, Rest wird per DHCP Verteilt. Server sind 2012R2 und ein paar ältere 2008 Server. Clients meist Win 10 und Win7. Aber auch ein paar XP für BDE Erfassung (ohne Internet).

 

Habe schon eine gut klingende Anleitung von Heise gefunden um meinen DHCP um IPv6 zu erweitern. Wichtig ist noch das unsere Firewall kein IPv6 kann. Es würde aktuell nur Intern eingesetzt werden.

 

Für mich stellt sich nun die Frage ob:

 

a) IPv6 mit einer Adresse aus einem Privaten Bereich (fdXX:: )

 

b) Oder IPv6 mit einer Adresse die uns die Telekom zuweist (im Kundencenter gibt es unsere feste IPv4, einen Bereich für IPv6 Öffentlich und einen IPv6 fürs Kundennetz / LAN). Ich würde das für das Kundennetz nehmen. Wäre hier 2003:000A:*::

 

c) Oder würdet ihr sagen, lass den Käse wie er ist und bleib bei den Einstellungen wie sich die Server und Clients installiert haben (Link Lokale Adressen)

 

Vielen Dank.

 

 

 

 

[magheinz 110]

Ich würde da nicht machen.

Wozu willst du IPv6 konfigurieren wenn du es nicht wirklich nutzen kannst?

 

Nimm c oder mach es richtig inklusive Austausch der Firewall durch eine IPv6-fähige

[lefg 276]

Moin,

 

sorry, meine Frage beantwortet nicht deine Bitte, aber: Wozu willst Du das machen? Welchen Sinn soll das haben? Welchen Mehrwert soll es bringen?

 

Falls es also nicht zwingend, Du nicht wirklich Kenntnis, da es ein Kundennetz betrifft, lass es sein! :)

bearbeitet 19. Oktober 2016 von lefg

[Ste83 10]

Hmm. Der BPA vom DHCP sagt mir er muss mindestens an eine IPv6 Adresse gebunden werden. Dadurch bin ich drauf gekommen.

 

Da reicht die Link Lokale wohl nicht.

 

Der Sinn ist, das man ja irgendwann mit IPv6 anfangen sollte/müsste. Und ich dachte mir, ichhabe jetzt Zeit mich damit zu beschäftigen. Außerdem denke ich, dass wenn es korrekt konfiguriert ist, ich es auch verstanden habe. Bisher weiß ich nur, dass ich IPv6 nicht deaktiviert habe, es aber auch nicht konfiguriert habe.

 

Natürlich gibt es grad nichts was nicht funktioniert. Und ich kenn die Regel Never Touch a Running System...

 

Deshalb erst mal der kleine Schritt das jeder Client eine passende IPv6 IP bekommt und DNS/DHCP intern richtig funktioniert. Dann könnte man auch einfacher auf Externe Anbindung wechseln wenn die Firewall das kann. Von daher wahrscheinlich eher der Bereich der Telekom.

 

Oder ich lass es doch.

 

Generell handelt es sich nicht um ein Kundennetz, sondern es ist das eigene Netz.

[magheinz 110]

witzigerweise benötigt man für IPv6 nicht mal unbedingt einen DHCP-Server...

[NilsK 2.939]

Moin,

 

falscher Weg, weil grundsätzliches Missverständnis.

 

Mit IPv6 kannst du erst dann richtig "anfangen", wenn du es mit deinem Provider zusammen tust. IPv6 hat kein Konzept von "privaten" Adressbereichen, weil das nur eine Krücke von IPv4 ist (die dort ursprünglich auch nicht vorgesehen war).

 

In Kurzform die Empfehlung für die meisten kleineren und mittleren Netzwerke:

• Die IPv6-Einstellungen auf den Rechnern so lassen, wie sie sind - sie konfigurieren sich dann für das lokale Subnetz selbst (Stateless Address Autoconfiguration, SLAAC). Damit können sie im eigenen Subnetz mit anderen Rechnern per IPv6 kommunizieren, haben aber keinen Weg nach draußen.
• IPv6 in den Eigenschaften des Netzwerks nicht abschalten.
• Teredo, ISATAP und 6to4 hingegen sollte man abschalten (z.B. per GPO), es sei denn, man hat konkreten Bedarf (manche Implementierungen von DirectAccess etwa)

IPv6 geht nicht, ohne mit dem Provider zusammenzuarbeiten. Es benötigt dann Ende-zu-Ende-Konfiguration. Insbesondere Firewalls und Router müssen dabei im Design berücksichtigt werden, DHCP ist eher ein untergeordnetes Thema.

 

Gruß, Nils

bearbeitet 19. Oktober 2016 von NilsK

[Dunkelmann 96]

Moin,

 

noch als Ergänzung zum Bereits geschriebenen:

Private v6 Adressen gibt es eigentlich nicht. Die Adressen sind unique local oder unique local unicast. Das Gebastel mit einem pseudo v6 NAT ist auch nicht wirklich zielführend.

 

Für eine umfassende IPv6 Einführung benötigst Du auf jeden Fall eine v6 fähige Infrastruktur (Router, Firewalls, VPN Gateway etc.) sowie einen global unicast Adressraum. Den bekommst Du i.d.R. vom Provider.

 

Ums kurz zu machen: mach es richtig oder lass v6 im staless mode laufen. Alles andere ist Frickelei ohne erkennbaren Mehrwert.

[NilsK 2.939]

Moin,

 

Die Adressen sind unique local oder unique local unicast.

 

fast. ;)

 

Unique Local oder Global Unicast. Wobei von Unique Local allgemein abgeraten wird.

 

Gruß, Nils

[Ste83 10]

Guten Morgen,

 

danke für die Meinungen. Dann werde ich es mal doch lassen. Firewall wird nächstes Jahr getauscht. Dann könnte ich ja nochmal einen Anlauf wagen.

[Nobbyaushb 1.472]

Moin,

 

nö. Lieber IPv6 im stateless Mode als gar nicht.

 

Viele MS-Produkte reden intern nur IPv6, z.B. Exchange.

 

Wir haben zwar extern eine Range, diese aber an der FW nicht eingerichtet.

 

Intern im stateless Mode und keine Probleme.

 

:)

[Ste83 10]

Will es ja nicht abschalten. Sondern ich lass es so wie es ist.

Sollte ja ja automatisch im stateless mode sein.

[NilsK 2.939]

Moin,

 

jupp, das ist die empfohlene Interims-Konfiguratoin.

 

Gruß, Nils