Konzept IPv6 im Enterprise Bereich

[StefanWe 14]

Hallo,

 

wir bekommen jetzt ein /48 IPv6 Netz vom Provider. Wir möchten einige bestimmte Systeme in der DMZ über v6 direkt erreichbar machen. 
 

Da wir noch keine Erfahrung mit v6 haben die Frage, wie man die Subnetze nutzt. Wir haben eine zentrale Firewall welche den Zugang zum Internet routet. Und einen zentralen Core Router. 
 

würde man nun eins oder ka 10 der Subnetze Für die DMZ nutzen. Könnte / sollte man dann die anderen Subnetze im LAN verwenden?(später)

Im lan bedeutet, durch den core Routen lassen, wobei jedes Subnetz dann wie in v4 in ein eigenes Vlan gesteckt wird?

[DocData 85]

Du hast ein /48er bekommen. Das sind 65536 /64. Mehr als genug Platz. Pro VLAN ein /64. Du unterteilst einfach dein /48 in einzelne /64. Alternativ: Deine Firewall bekommt das /48 verpasst und per Prefix Delegation gibt sie /56er an anfragende Switches, Router weiter. Auf den Geräten kannst du dann das /56er in /64er unterteilen.

[NilsK 2.934]

Moin,

 

Ich habe vor einiger Zeit das Buch "Practical IPv6 for Windows Administrators" vin Edward Horley gelesen und fand das eine sehr gute Einführung.

 

Gruß, Nils

[StefanWe 14]

vor 19 Stunden schrieb DocData:

Du hast ein /48er bekommen. Das sind 65536 /64. Mehr als genug Platz. Pro VLAN ein /64. Du unterteilst einfach dein /48 in einzelne /64. Alternativ: Deine Firewall bekommt das /48 verpasst und per Prefix Delegation gibt sie /56er an anfragende Switches, Router weiter. Auf den Geräten kannst du dann das /56er in /64er unterteilen.

Bin jetzt nicht ganz sicher wie prefix delegation funktioniert, aber wenn mein Netz 2001:1234:1234::/48 ist, würde ich

 

2001:1234:1234:0001::2/64 für das wan interface nehmen 

 

2001:1234:1234:0002::1/64 für die dmz

 

2001:1234:1234:0003::1/64 als Transfernetz zum internen core

 

und dann die Netze 

 

2001:1234:1234:0004-Fffff::1/64 für die internen Netze nehmen und diese durch den core Routen lassen. 
 

oder bin ich auf dem Holzweg?

 

würde vom Bachgefühl auch auf Dhcpv6 setzen anstatt RA. Grade aus dem Grund DNS Server mitgeben zu können und die Option zu haben mit statischen und dynamischen ips in einem Subnetz arbeiten zu können. 

 

 

[DocData 85]

vor 2 Stunden schrieb StefanWe:

2001:1234:1234:0001::2/64 für das wan interface nehmen 

 

2001:1234:1234:0002::1/64 für die dmz

 

2001:1234:1234:0003::1/64 als Transfernetz zum internen core

 

 

 

Korrekt, die genannten Adressen könnte man als Interfaces verwenden. Statt 0001 etc. verwende ich da lieber die VLAN ID.

 

Zitat

würde vom Bachgefühl auch auf Dhcpv6 setzen anstatt RA. Grade aus dem Grund DNS Server mitgeben zu können und die Option zu haben mit statischen und dynamischen ips in einem Subnetz arbeiten zu können. 

 

Unnötig. RA ist schon okay, DNS kann man per Stateless DHCPv6 verteilen.