Aantal vragen over IPv6

[M.Koers]

Voor studie ben ik bezig met IPv6.
Na hier erg veel over gelezen te hebben snap ik eht naar mijn idee wel.
Blijf alleen met een paar vragen zitten.
Aangezien ik op internet niks kan vinden probeer ik het hier.

Met IPv6 krijg je als bedrijf/gebruiker een IPv6 reeks toegekend.
Al je systemen binnen je eigen netwerk zullen dezelfde prefix delen en in principe rechtstreeks benaderbaar zijn vanaf internet. Er wordt immers geen gebruik meer gemaakt van NAT.

Hoe gaan we ervoor zorgen dat het netwerk veilig is. Geen direct verkeer van buiten naar binnen behalve naar de DMZ.
Naar mijn idee zullen we op de eerste router binnen het netwerk een Accesslijst moeten plaatsen die alles blokt. En vervolgens voor mail, citrix csg enzovoort regels toevoegen.
Klopt dit?

Roept gelijk de volgende vraag op:
Stel die accesslijst is er en ik ga met mijn pc het internet op.
De request aan www.tweakers.net zal aankomen. Maar de data die retour komt zal worden geblokkeert door de accesslijst.
Klopt dit?

Misschien hebben mensen links naar websites waar ik dit soort info kan vinden?

[job]

Eigenlijk stel je 2 vragen. Het ipv6 verhaal staat los van het verhaal over het niet natten.
Zie het als 2 verschillende vragen.

Je kan ook met ipv4 al je pc's een publiek ip geven (op de rug hebben alle pc's een publiek ip adres).
Je kan ook met ipv6 gaan natten. Haal dus die twee zaken (nat en ipv6/4) los van elkaar.

[ Voor 8% gewijzigd door job op 27-04-2011 12:31 ]

[M.Koers]

Ja ok.

Maar met IPv4 werd NAT gebruikt om het tekort te bestrijden.
IPv6 heeft geen NAT omdat eht voor de aantallen niet nodig is.

Daarnaast ga je met een dual stack omgeving ga je geen NAT-PT gebruiken.

Met IPv4 kon je als je NAT gebruikt makkelijk jeomgeving dichtzetten omdat je alles via hetzelfde publieke IP liet communiceren.

Met IPv6 geef je alles een publiek adres omdat je geen NAT-PT gebruikt. (is ook niet de bedoeling).
De vraag is dus, hoe ga ik ervoor zorgen dat al mijn systemen in mijn prive netwerk veilig zijn?

[CyBeR]

NAT is geen firewall, en NAT gebruiken als zodanig is gemakzuchtig. IPv6 staat je die luiheid niet meer toe. Je zult gewoon een normale firewall in moeten zetten. Of je dat doet in de vorm van een volledige stateful firewall of een simpele router met access lists is je eigen zaak.

[MAX3400]

Al eens gekeken naar Microsoft NAP, bijvoorbeeld?

Ik denk dat er wel 50 manieren/technologieen zijn om alleen "trusted" IPv6-adressen toe te staan om vanaf public/private connectie te maken/krijgen naar resources "binnen" een bedrijf/omgeving.

Ik zal de vraag ook wel niet geheel snappen...

[Kabouterplop01]

wat je zoekt zijn ipv6 reflect access-lists dit is net zoiets als een established access list.

van binnen wordt een tcp sessie opgezet, 3way handshake dan heb je een established sessie. Als er dus van binnen uit een bestaande sessie is, dan kan die dus weer terug naar binnen. (ervan uitgaande dat de rest wel dicht zit, anders heeft het geen zin.

Stel die accesslijst is er en ik ga met mijn pc het internet op.
De request aan www.tweakers.net zal aankomen. Maar de data die retour komt zal worden geblokkeert door de accesslijst.
Klopt dit?

niet met een reflect .... (nu UDP nog, maar het voorzetje is er )

[ Voor 29% gewijzigd door Kabouterplop01 op 27-04-2011 12:48 ]

[M.Koers]

Gaat mij voornamelijk om de datastromen.

Bijvoorbeeld:

ik heb op dit moment 8 publieke IPv4 adressen.
Al deze adressen zijn gekoppeld aan onze firewall met adresobjecten.
3 adressen worden gebruikt om toegang te verlenen tot diensten.
1 -> Owa server (443)
2 -> Citrix CSG (443)
3 -> Emailsecurity (443, 25)
Dit zijn intern dus private IPv4 adressen.

Verkeersverloop is dan:
WAN -> WAN-IP -> NAT -> Betreffende server

Nu maak ik het interne netwerk dual stack.
Alle systemen hebben IPv4 en IP6 adressen.
IPv6 adressen zijn publiek.

Hoe kan ik ervoor zorgen dat alleen de 3 bovenstaande servers te bereiken zijn.
En de rest geblokkeert maar ze moeten wel op internet kunnen.

Lijkt me dat de firewall/router het volledige blok voor zijn rekening neemt en dat ik daar accesslijsten zal moeten inzetten?

Verkeersverloop is dan:
WAN -> Betreffende server (Rechtstreeks)

[Equator]

Move naar Netwerken