Ciao a tutti,
a quanto so io tra tutti gli operatori "BIG" in Italia Fastweb è l'unica, ad oggi, a fornire IPv6. Non ho però capito il metodo che utilizza per passare da WAN IPv6 a LAN solo IPv4.

Mi spiego meglio: mettiamo che la mia rete locale sia solo IPv4 e per uscire su internet su IPv4 c'è il NAT, fin qui tutto ok. Se voglio entrare nella mia rete locale da internet devo specificare un inoltro delle porte sul nat che punta a un IP locale e fin qui tutto ok.
Cosa succede se da Internet punto verso la WAN del Fastgate con IPv6 ? In teoria nulla poichè non c'è il NAT IPv6 oppure sbaglio? Inoltre so che se anche la mia rete la avesse IPv6 per raggiungere un host dentro essa da Internet non passo dal NAT poichè il mio IPv6 è univoco. Mi autate un po' a capire? Grazie a tutti

    premesso che non ho ne' fastweb, ne' ipv6, ma da quel che so io:

    • e' possibile fare Nat in ipv6 anche se e' sconsigliato
    • non succede nulla in quanto quegli ipv6 non sono assegnati a nulla.
    • se la tua lan fosse ipv6 immagino tu dovresti semplicemente impostare l'ipv6 assegnatoti sulla scheda lan e dovresti poter raggiungere il pc dall'esterno (salvo eventuali ulteriori impostazioni da cambiare sul router fastweb, che non ho e non so dirti quindi)

      Immagina che ci fossero abbastanza IPv4 per averne uno pubblico per ogni dispositivo anche dentro la LAN. Basta che apri il firewall e puoi raggiungere il dispositivo da remoto. Ora mettici IPv6 invece che IPv4. Da altri thread però pare che il Fastgate tenga tutto chiuso e non funziona molto bene (o non apre proprio del tutto il firewall v6).

      Braccoz e' possibile fare Nat in ipv6 anche se e' sconsigliato

      Ok, quindi se la mia rete locale è IPv6 e la mia WAN ha un IPv6 posso fare il NAT con inoltro porte in modo analogo ad IPv4. Tuttavia non ha senso poichè di IPv6 ce ne sono moltissimi è meglio esporre direttamente su Internet l'host interessato giusto? Questa operazione la si fa mettendo una eccezione nel firewall perimetrale, corretto?
      Se non ho capito male con Fastweb si userebbe la sconsigliata tecnica del NAT, è impossibile pubblicare un IPv6, corretto?
      Grazie

          Matteo_Mabesolani non so risponderti alle domande specifiche per fastweb, pero' posso dirti che io non esporrei MAI un ip della lan direttamente su internet. non con tutte le porte aperte.

            Matteo_Mabesolani con il Fastgate da quel che vedo io ogni host della rete ha un IPv6 pubblico, ma è poco chiaro come funzioni il firewall. Nel modem c'è scritto:

            Il Firewall in modalità spento permette tutte le connessioni in uscita senza restrizioni. In ingresso, le connessioni IPv4 sono regolamentate dalle sezioni di DMZ e Port Mapping, le connessioni IPv6 sono senza restrizioni.

            Mentre se attivo il firewall in modalità "medio" dice:

            Il Firewall in modalità medio permette solamente l’utilizzo della navigazione web e della posta elettronica. In ingresso, le connessioni IPv4 sono regolamentate dalle sezioni di DMZ e Port Mapping, le connessioni IPv6 sono limitate alle sole risposte dei servizi inizializzati dall’interno.

            Io attualmente ce l'ho disattivato e effettivamente una porta con un servizio IPv6 è accessibile liberamente dall'esterno, ammesso che il firewall di Windows (o quello che è) consenta le connessioni IPv6 su quel servizio/porta.

            Se attivo il firewall sul modem invece io capisco che non è più possibile accedere agli IPv6 degli host della rete del tutto.

            EDIT: ma poi cosa vuol dire "Il Firewall in modalità medio permette solamente l’utilizzo della navigazione web e della posta elettronica"? 😅

            EDIT2: non ci posso credere, blocca le porte in uscita (tipo la 22/SSH). Quindi uno come dovrebbe impedire l'accesso IPv6 dall'esterno?

                onestamente, io dovessi usare ipv6 metterei in mezzo un bel router openwrt...

                matteocontrini Grazie della risposta, in effetti il fastgate è molto poco chiaro. Mi pare che IPv6 sul fastgate si possa pure disattivare. In questo caso cosa accade? Ovviamente gli host locali della rete hanno sempre il loro IPv6, ma vuol dire che quello della wan non sarà visibile? Che il firewall sarà blindato? Che la WAN non avrà proprio IPv6? Inoltre considerato che IPv6 su reti locali non lo useremo quasi mai, viene effettuata una conversione insieme al nat ipv6/ipv4 e viceversa? non capisco proprio

                    Matteo_Mabesolani c'è questa opzione qua:

                    Che non assegna IPv6 pubblici agli host (che quindi non possono navigare in IPv6). Non so se il router comunque si espone sulla WAN con un IPv6. Probabile ma boh, non c'è scritto neanche qual è...

                    Matteo_Mabesolani Ovviamente gli host locali della rete hanno sempre il loro IPv6,

                    Disattivando l'opzione hanno un IPv6 "link local" (che hanno in ogni caso), che in teoria si dovrebbe poter usare per comunicare in LAN.

                    Matteo_Mabesolani Inoltre considerato che IPv6 su reti locali non lo useremo quasi mai, viene effettuata una conversione insieme al nat ipv6/ipv4 e viceversa?

                    Non ho capito la domanda

                            Se @LucaTNT ci considera, lui sarebbe più preciso di me sicuramente 😂

                            Non sarò @LucaTNT, ma uso IPv6 da prima che Fastweb lo implementasse, per tutto il tempo che sono stato con loro ed anche ora.

                            Matteo_Mabesolani Cosa succede se da Internet punto verso la WAN del Fastgate con IPv6?

                            La WAN di Fastweb NON ha IPv6. È un tunnel, la connessione IPv6 è incapsulata in pacchetti IPv4. Gli host sono raggiungibili (firewall permettendo) da qualunque altra macchina nel mondo con un IPv6.

                            matteocontrini c'è questa opzione qua:

                            Che non assegna IPv6 pubblici agli host (che quindi non possono navigare in IPv6). Non so se il router comunque si espone sulla WAN con un IPv6. Probabile ma boh, non c'è scritto neanche qual è...

                            L'opzione IPv6 su LAN assegna un prefisso alla LAN (una sola LAN), ed a quel punto tutti gli host hanno un IPv6 routable con un prefisso che inizia con 2001:b07::, che fa parte dei prefissi assegnati a Fastweb. Ovviamente avranno anche l'indirizzo link-local (che inizia con fe80..). Uno stesso host può avere multipli indirizzi IPv6, ad esempio nella mia rete linux ho settato in modo che abbiamo un indirizzo temporaneo con cui navigare ma anche un secondo indirizzo statico a cui siano raggiungibili (anche dall'esterno).

                            Il Fastgate assegna gli indirizzi IPv6 agli host via DHCPv6, con cui annuncia anche il DNS, ma è possibile farlo senza, in modalità stateless , con RA (Router Advertisement). Android ad esempio non usa DHCPv6, ma i telefoni nella rete wireless Fastweb ottengono il loro bravo indirizzo IPv6...

                            Se si usa IPv6, bisogna dimenticarsi il concetto di NAT. Semplicemente non ha senso di esistere. Tutti gli host sono su internet, tutti gli host devono avere un firewall attivo. Tenete conto che è possibile assegnare indirizzi temporanei per la navigazione, a protezione della privacy. Quando vi assegnano un /64, come nel caso di Fastweb, vi assegnano 18.446.744.073.709.551.616 indirizzi. Direi che per una LAN sola sono abbastanza, ed anche per rendere praticamente irrintracciabile una singola macchina.

                            Del firewall del Fastgate non mi sono mai fidato per nulla, se volete provare la vostra esposizione in IPv6 potete fare un test al sito https://ipv6.chappell-family.com/ipv6tcptest/ anche per porte specifiche ed anche per UDP.

                            Ricordo che tutta la connettività IPv6 per funzionare usa il protocollo ICMP, quindi bisogna essere "pingabili", o meglio, si possono filtrare le echo request, ma non altri tipi di comunicazione ICMP...

                            IPv6 è un sistema estremamente pratico e semplice per implementare reti, che sono autoconfiguranti, ed anche un grande passo avanti per la sicurezza, vista l'enormità degli indirizzi disponibili. Scompare (o quasi) il concetto di rete privata (anche se esistono IPv6 privati, del blocco fd00::/8), ci sono indirizzi statici a volontà (almeno quanti sono i MAC delle schede di rete), sparisce la necessità di port forwarding e tutte le complicazioni legate al NAT. Già, perchè il NAT non deve essere considerato un motivo di sicurezza, ma solo una complicazione nata dalla carenza di indirizzi...

                            Attualmente uso un tunnel IPv6 Hurricane Electric, che mi assegna un /48, cioè la possibilità di distribuire indirizzi a 65.536 LAN con 18.446.744.073.709.551.616 indirizzi disponibili ciascuna. Viva l'abbondanza!

                            Spero di essere stato utile, nel limite delle mie conoscenze di vecchio smanettone (tanta pratica, ma troppa poca teoria...)

                                @matteocontrini confermo quanto detto da @psychotrain65, ottima spiegazione.

                                Ho usato troppo poco il FASTGate come router per potermi esprimere su come funziona il suo firewall, ma secondo me la modalità corretta dovrebbe essere:

                                • ICMP libero da internet verso tutti gli host v6 "interni"
                                • Tutte le porte chiuse da internet verso gli host v6 "interni"
                                • Possibilità di aprire determinate porte in maniera analoga a quanto si fa con il port forwarding in IPv4 (solo che, naturalmente, non sarà un forwarding ma una semplice "apertura" del firewall)

                                Per la cronaca, il mio pfSense è impostato esattamente come sopra 😁

                                Grazie a tutti. Provvedo anzitutto a rispolverare un po' le mie conoscenze su IPv6 e poi ci risentiamo. Buone feste intanto!

                                • Hadx ha messo mi piace.

                                Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈
                                P.I. IT16712091004 - info@fibraclick.it

                                ♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile