Keine externe IPv6 bei WAN

Hallo unifi-beginner und herzlich willkommen hier in der Community!

Die Einstellungen am WAN sehen korrekt aus. Soweit ich 1&1 kenne sind die eigentlich auch nicht zickig oder machen irgendetwas Merkwürdiges in Sachen IPv6-Konnektivität.

Möglicherweise ist es nur ein Anzeige-Bug. Hast Du das CGU schon mal neu gestartet? Neuste Firmware ist sicherlich drauf, oder?

Quote from unifi-beginner

Es werden auch intern IPv6-Adressen zugewiesen.

Wie sieht das Präfix dieser Adresse aus? Wenn es GUAs sind, dann läuft IPv6 bei Dir schon tadellos, denn diese werden vom Provider verteilt (bzw. zumindest das jeweilige Präfix).

Wenn Deine Endgeräte ausschließlich (!) Adressen aufweisen, die mit "fe80:" anfangen, so sind dies Link-Local-Addresses (LLAs). Das würde bedeuten, dass IPv6 bei Dir in der Tat noch nicht so läuft, wie Du es Dir vorstellst (inklusive Internet-Konnektivität).

Ein Präfix mit 2001: stammt vom Provider, Du hast also GUAs und somit ist prinzipiell alles super. Du kannst mit einem Endgerät ja auch mal zu wieistmeineip.de gehen und dort prüfen, wie es im Internet "gesehen" wird.

Quote from unifi-beginner

Habe auch gesehen, dass die aktuelle Verbindungsgeschwindigkeit der einzelnen Geräte (z.B. beim Streamen) nicht korrekt angezeigt wird. Meistens nur 0,5 kB/s. Habe allerdings einen Pihole als DNS-Server. Könnte es daran liegen?

Meinst Du in der Topologie-Ansicht oder wie? Ich habe mich niche näher demit beschäftigt, aber plausible Werte sehe ich hier auch nicht. Mit dem DNS hat das auf jeden Fall nichts zu tun.

Quote from unifi-beginner

Auch wird das DDNS bei einem Reconnect nicht aktualisiert.

DDNS kennt eigentlich nur "funktioniert" oder "funktioniert nicht" .

Welchen Anbieter nutzt Du denn und wie ist Deine Konfiguration?

Das Problem habe ich auch bei 1und1. Über die Fritzbox wird ipv6 zugewiesen nur über das CGU nicht. DHCPv6 müsste doch die richtige Einstellung sein und auch das Präfix bei 56.

Für das Login habe ich ein H vor dem Benutzernamen gesetzt. Irgendwo stand, dass man es doch nicht braucht?

Bei Vodafone Cable ist das Präfix 59, muss nicht für alle gelten, aber probiere doch mal den Wert.

Verschiedene Präfixe habe ich jetzt durch. Bekomme einfach keine IPv6.

Quote from unifi-beginner

Würde aber gerne SPDYN nutzen. Hat da jemand die Konfig?

Habe ich früher benutzt und funktionierte auch, mittlerweile bin ich bei DDNSS, daher kann ich Dir leider die Konfig nicht mehr posten.

Es kann natürlich sein, dass nach Änderung entweder auf Seite A oder B sich SPDNS mittlerweile nicht mehr mit Unifi nutzen lässt.

Quote from unifi-beginner

Gehe ich nun auf wieistmeineip.de, erkennt er dort nur die IPv6 und sagt, dass er keine IPv4 erkennt

Ok, ist bei mir jetzt gerade ebenso, vermutlich ist der Dienst dann gerade einfach doof.

Wenn die englische Version Dir eine v6-Adresse zeigt, ist zu 100% alles in Ordnung.

Quote from unifi-beginner

Was habe ich falsch gemacht? Bzw. wie kann ich auf der WAN-Schnittstelle eine IPv6 erhalten?

Stell von dhcpv6 auf slaac um, nur dann bekommt die unifi Kiste auch was vom IPv6 Kuchen…

Grinst! Gerne.

Per dhcp gibt es nur ein prefix das ist explizit für die weiter Verteilung gedacht.

Per slaac gibt es neben dem /56 noch ein /64 fürs wan Interface. Das ist dann auch nur fürs wan..

Gehen tut beides wenn man den Router nicht selber erreichbar braucht..

Quote from gierig

Gehen tut beides wenn man den Router nicht selber erreichbar braucht..

Ich hätte es gerne so, dass ich IPv6 nutzen kann (sprich Clients in meinem Netz auf Websites kommen welche IPv6 only sind z.B.

Aber intern mag ich überhaupt kein IPv6 haben - wie genau stellt man es dann ein?

Quote from opensec

wie genau stellt man es dann ein?

Gar nicht, das funktioniert so nicht. Du kannst an Clients (zumindest bei Computern) IPv6 abschalten, aber dann verwenden sie das Protokoll logischerweise auch nicht für Verbindungen ins Internet.

Ist bei IPv4 übrigens auch nicht anders, entweder nutzt Du es für LAN und WAN oder überhaupt nicht.

Was bei beiden Protokollen klappt, wäre der umgekehrte Weg, also die Nutzung ausschließlich im LAN.

Ok - und bekomme ich denn dann die UDM mit aktueller Firmware genauso sicher eingestellt, wie eine fritz.box welche ebenfalls IPv4 und IPv6 nutzt?

Wollte meine fritz.box Glasfaser mit integriertem Modem eigentlich mit einem Telekom Modem und der UDM SE ersetzen in dem Falle.

Quote from opensec

Ok - und bekomme ich denn dann die UDM mit aktueller Firmware genauso sicher eingestellt, wie eine fritz.box welche ebenfalls IPv4 und IPv6 nutzt?

Ja, selbstverständlich.

Was ich oben geschrieben habe ist auch keine Einschränkung bei Ubiquiti, sondern gilt für alle Hersteller. Es geht hier ja um Standards und Protokolle.

Quote from Networker

Ja, selbstverständlich.

Bekommt man denn somit die UDM sicherer konfiguriert, als man es bei einen fritz.box machen kann? Oder hängt da UniFi noch hinterher... Mein letzer Stand war ja der, dass IPv6 jetzt nicht so deren Steckenpferd ist.

Hmm, Deine Fragestellung lässt stark vermuten, dass Du zu einfache Antworten auf komplexe Fragen suchst. Wann ist ein Router denn "sicherer", wie "sicher" ist denn eine Fritzbox?

Wie genau sieht Dein IT-Sicherheitskonzept aus und was muss ein Router können, um es zu unterstützen?

In Sachen IPv6 hat Ubiquiti zuletzt einiges nachgeholt, es gäbe aber definitiv noch Dinge zu verbessern.

Was aber hat IPv6 jetzt für Dich mit Sicherheit zu tun?

Quote from Networker

Was aber hat IPv6 jetzt für Dich mit Sicherheit zu tun?

Ich habe "leider" wenig Ahnung/Durchblick bei IPv6 - weiß nur, dass dadurch (kein NAT usw.) Geräte direkt hinter dem Router erreichbar sind.

Würde das gerne Eingrenzen und auch Firewall-mäßig bei den VLANs (welche bei UniFi) möglich sind einschränken.

Bei AVM geht ja nix mit VLANs - aber IPv6 gibt es da ja schon länger, als wohl bei UniFi.

Geräte -wären- direkt erreichbar, wenn ein Router keine Firewall hätte. Selbstverständlich leitet ein vernünftiger Router keinerlei unangefragten Daten vom Internet ins LAN, weder bei IPv4, noch bei v6.

Auch in einem reinen v4-Netz kann ein Host eine "Internet-Adresse" (also nichts aus RFC 1918) konfiguriert haben und wäre somit nicht durch das NAT beschützt.

Davon abgesehen ist der Adressraum bei IPv6 so dermaßen riesig, dass er aktuell nicht sinnvoll gescannt werden kann. Darauf alleine darf man sich natürlich nicht verlassen, aber selbst wenn Du über IPv6 aus dem Internet direkt erreichbar bist, ist es höchst unwahrscheinlich, dass Dich jemand findet.

Und ja, AVM war sehr früh dran mit IPv6, das kann man ihnen bis heute zu Gute halten. Daraus eine besondere Qualität in Bezug auf Sicherheit abzuleiten wäre aber Quatsch.