bujtuk
Goto Top

IPv6 auf einem HP 1920 ausschalten - Sinnvoll ? wenn ja, wie

Hallo zusammen,


Jahrelang war ich stiller Mitleser in diesem tollen Board.
Nun angemeldet und eine Frage an euch:


Meine Umgebung:

- HP 1920 48 Port Switch -
- 5 VLAN definiert. Nicht "getagged" -> keines der Netze sollte sich "sehen" bzw pingbar sein. > Ich wollte keine 5 Switche kaufen. Daher die Unterteilung in VLANs.
- Das produktive Netz geht via sophos UTM und LANCOM ins Internet.
- Die anderen 4 Netzte sind Test und Lab. Sie gehen dierekt an den LANCOM und dann ins Internet.

Ich habe auch keine Probleme im lokalen Netz.

Ich verwende lediglich IPv4. Jedoch sind ja im normalen Netzwerk (jedenfalls unter MS Windows) das IPv6 Protokoll mit eingeschaltet und
so wie ich das verstehe, sollte man auch dieses nicht abschalten (besonders beim DC und Exchange nicht).

Nun würde ich gerne wissen, ob die Netze sich evtl. doch irgendwie sehen, denn auf dem HP ist IPv6 eingeschaltet.

- Ist es sinnvoll, das abzuschalten?
- Wenn ja, wie geht es.


Ich danke euch

Grüße

Content-Key: 368394

Url: https://administrator.de/contentid/368394

Ausgedruckt am: 19.03.2024 um 06:03 Uhr

Mitglied: Lochkartenstanzer
Lochkartenstanzer 16.03.2018 aktualisiert um 22:24:26 Uhr
Goto Top
Zitat von @bujtuk:

Hallo zusammen,

Moin,


Nun würde ich gerne wissen, ob die Netze sich evtl. doch irgendwie sehen, denn auf dem HP ist IPv6 eingeschaltet.

Solange da keiner routet, sehen die sich aucht nicht.

- Ist es sinnvoll, das abzuschaltet?

Nein.

- Wenn ja, wie geht es.

RTFM

lks
Mitglied: Pjordorf
Pjordorf 16.03.2018 um 22:32:38 Uhr
Goto Top
Hallo,

Zitat von @bujtuk:
Ich verwende lediglich IPv4.
OK

Jedoch sind ja im normalen Netzwerk (jedenfalls unter MS Windows) das IPv6 Protokoll mit eingeschaltet und
Und jetzt die Frage, Um welche OSe geht es denn nun? Was ist auf den OSen an Software Installiert? Ein Exchange 2016 mag es jedenfalls nicht wenn der kein IPv6 kann, ein Exchange 2003 ist es eher wurscht ob du an der netzwerkkarte IPv6 deaktivierst.

so wie ich das verstehe, sollte man auch dieses nicht abschalten (besonders beim DC und Exchange nicht).
Wie so oft, es kommt drauf an face-smile

Nun würde ich gerne wissen, ob die Netze sich evtl. doch irgendwie sehen, denn auf dem HP ist IPv6 eingeschaltet.
Wenn diese kein IPv6 können jedenfalls nicht, egal ob dein Switch IPv6 kann oder nicht. Und auch bei IPv6 solltest du Hand anlegen dami dein Netz dein Netz bleibt.

- Ist es sinnvoll, das abzuschalten?
Nur an der NIC abschalten oder komplett abschalten oder beides?

- Wenn ja, wie geht es.
https://support.microsoft.com/de-de/help/929852/how-to-disable-ipv6-or-i ...
http://tweaks.com/windows/40099/how-to-properly-disable-ipv6/
https://techjourney.net/disable-turn-off-ipv6-support-in-windows-10-8-1- ...
https://praxistipps.chip.de/windows-10-ipv6-deaktivieren-so-gehts_45412

Es gibt noch mehr davon in dein Internet face-smile
https://www.google.de/search?q=deaktivate+IPv6+Network+card
https://www.google.de/search?q=disable+IPv6+Windows

Geht IPv6 über dein Router bzw. ISP oder nicht?

Gruß,
Peter
Mitglied: aqui
aqui 17.03.2018 um 10:52:47 Uhr
Goto Top
ob die Netze sich evtl. doch irgendwie sehen, denn auf dem HP ist IPv6 eingeschaltet.
Wenn sie sich via IPv4 nicht "sehen" werden sie es wohl auch kaum unter IPv6 können, was ja logisch ist.
denn auf dem HP ist IPv6 eingeschaltet.
Auch hier bist du recht laienhaft und oberflächlich face-sad
Was bedeutet das denn genu ? Das IPv6 auf dem Management Interface aktiv ist ?
Das heisst ja dann nur das du den Switch auch über IPv6 manangen kannst aber logischerweise NICHT das zwischen den VLANs geroutet werden kann.
Dazu müsstest du denn eine IP Adresse in jedem VLAN haben um zw. den VLAN zu routen bzw. zu kommunizieren.
Wenn du weder IPv4 noch IPv6 VLAN IPs hast auf dem Switch ist das technisch unmöglich !
Leider teilst du uns aber nicht mit wie dein Netz konfiguriert ist aber da du die VLANs alle isoliert hast gehen wir mal davon aus das diese VLAN IP Adressen gar nicht existieren. Also auch keine Routing und keine Kommunikation. Das sagt einem auch schon der einfache IT Verstand.
Guckst du auch hier:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Mitglied: bujtuk
bujtuk 17.03.2018 aktualisiert um 14:27:37 Uhr
Goto Top
@Pjordorf

Danke für deine Rückmeldung.
Ich habe mich da wohl nicht richtig ausgedrückt. Ich will ipv6 unter MS nicht deaktivieren (im OS) und auch
nicht auf der NIC.


Allgemeine Erklätung:
Prod Netz: Es kommt ein DC, ein Exchange und win7 und win10 Clients zum Einsatz.
Mir ging es um das Deaktivieren von IPv6 auf dem HP Switch.

Auf den anderen Netzen laufen Testinstallationen.
Sowohl Linux als auch win10 / Server 2016 zum testen.

Ich habe gerade mal nachgeshen, mein ISP verbindet mich nur mit IPv4

Grüße
Mitglied: bujtuk
bujtuk 17.03.2018 um 14:45:22 Uhr
Goto Top
@ aqui

mmh, du hast Recht. Ihr könnt ja nicht sehen, was ich im Kopf habe face-wink

Also, ich schalte mich mit IPv4 auf den Switch (jedes netz hat dor auf dem Switch seine "feste Management IP"
Daher bin ich mir nun gar nicht sicher, ob ich IPv6 generell aktiviert habe und die am Switch abgebildeten IPv6 Adressen lediglich
dem Admin login entsprechen.

Im Anhang ein screen über das IPv6 Routing.


Ich denke, da geht gar nichts hin oder her.

Grüße
ipv6 routing
Mitglied: bujtuk
bujtuk 17.03.2018 aktualisiert um 15:00:25 Uhr
Goto Top
Hier noch mal eine Übersicht des VLAN interface IPv6 auf dem Switch.


Meine Annahme: Admin Status = Up -> IP V6 ist aktiv


Grüße
vlan ipv6 interface
Mitglied: aqui
aqui 17.03.2018 aktualisiert um 15:50:17 Uhr
Goto Top
mein ISP verbindet mich nur mit IPv4
Vermutlich aber nur weil du kein IPv6 auf deinem Internet Router aktiviert hast, oder ?
Generell machen (fast) alle Provider auch IPv6 !!
jedes netz hat dor auf dem Switch seine "feste Management IP"
Das ist dann natürlich tödlich, denn dann routet dein Switch zwischen den VLANs auch. Sofern die HP Gurke Layer 3 Switching kann ?!
So wie es aussieht kann sie das:
https://vmfocus.com/2012/09/26/how-to-configure-layer-3-static-routes-vl ...
Daher bin ich mir nun gar nicht sicher, ob ich IPv6 generell aktiviert habe
Warum siehst du dann nicht einfach mal nach in der Switchkonfig. IPv4 routest du ja schon dadurch das du in jedem VLAN eine IP hast !! Deinen Vorgabe "keines der Netze sollte sich "sehen" bzw pingbar sein." hast du damit glorreich ausgehebelt und dir eine Backdoor Route eingebaut. Tödlich wenn du Sicherheit willst !
Im Anhang ein screen über das IPv6 Routing.
Auf das "+" klicken nicht vergessen. (Siehe FAQ)
Ich denke, da geht gar nichts hin oder her.
Doch ! Ist ja eine Link Local Adresse FE80:xyz drauf konfiguriert. Wenn der Switch jetzt noch IPv6 RAs (Route Advertisements) sendet hast du einen klasse IPv6 Router auf der HP Gurke.
Meine Annahme: Admin Status = Up -> IP V6 ist aktiv
Yepp, ganz genau !
Du routest IPv4 und auch IPv6 über den Switch und hast deine Sicherheit damit komplett ausgehebelt.
Solltest du besser korrigieren !
Mitglied: bujtuk
bujtuk 18.03.2018 aktualisiert um 16:20:13 Uhr
Goto Top
Hallo aqui...

Trotz und auch wegen deiner "drastischen" Worte, danke für deine Kommentare. face-wink

- Stimmt, du hast Rercht, mein Provider macht auch IPv6. Ist auf dem Router deaktiviert.

- Ich bin davon ausgegangen, das die Management IP dazu da ist, dass jeder Switch in seinem Netz erreichbar ist
und administriert werden kann. Meine Frage: Warum routet denn der Swicht, wenn man eine Managment IP einrichtet?
Ich habe jaj die einzelnen Ports auf "untagged" gesetzt und aktiv kein routing erlaubt (jedenfalls meine ich es).

Oder ist es "Best Practice", nur ein Admin Interface zu erstellen. (Wenn ja, warum?)
Dann müsste ich bis auf ein Netzwerk alle Admin Interfaces löschen.


- Das du (und auch andere hier) HP als Switch nicht besonders gut findest, habe ich verstanden. (HP Gurke)

Wie sähen die Alternativen aus (48 Ports und VLAN). Bitte daran denken, ist für privat. Das hiesst aber nicht, das Sicherheit
keine Rolle spielen soll. Mir geht es hier hauptsächlich um verstehen.
Da ich merke, dass Layer 3 Switche eine Menge können und man viel falsch machen kann. (Wenn man nicht der Meister der Switche ist)

Alternativ kann man sich ja auch 5 Switche einbauen, die nichts können und man hat halt eine physikalische Lösung. Aber dass will ich ja nicht. (Z.B Stromverbrauch)

Ich werde mir noch mal in Ruhe FAQ zum HP-Switch anschauen und versuchen, das zu korregieren.
ich denke, die Anforderung ist ja eher einfach:

- 5 VLAN (eingene Netze)
- Kein Netz soll sich sehen -> Kein Routing erforderlich
- Nur IPv4 ist notwendig.


Danke und Grüße
wünsche einen schönen Sonntag
Mitglied: aqui
aqui 18.03.2018 um 13:57:15 Uhr
Goto Top
Trotz und auch wegen deiner "drastischen" Worte
Es geht dir ja um Sicherheit wie du selber betonst und dann wirds halt mal drastisch face-wink
Ich bin davon ausgegangen, das die Management IP dazu da ist, dass jeder Switch in seinem Netz erreichbar ist
Dem ist auch so ! Es reicht dazu aber logischerweise eine einzige IP Adresse. Idealerweise die die im Management VLAN liegt.
Warum routet denn der Swicht, wenn man eine Managment IP einrichtet?
Wenn du nur EINE Management IP einrichtest, dann routet er logischerweise nicht. Die gruselige HP Gurke ist aber ein Layer 3 Switch also ein Routing fähiger Switch. Wenn du also den Fehler machst wie oben und in JEDEM der VLANs eine IP vergibst dann verhält sich der Switch wie ein Router der ein Routing Bein in jedem VLAN hat.
Mit Management hat das erstmal nichts zu tun.
nicht besonders gut findest, habe ich verstanden.
Stimmt, davon sollte man die Finger lassen wenn man kann. Bei dir ist's zu spät face-smile
dass Layer 3 Switche eine Menge können und man viel falsch machen kann.
So ist es !
Alternativ kann man sich ja auch 5 Switche einbauen...
Na ja das wäre ja gelinge gesagt laienhafter Schwachsinn. Sorry, aber sowas macht im 20ten Jahrhundert keiner mehr höchstens noch Neandertaler.
Im Grunde ist die Lösung doch ganz einfach:
  • Eins der VLANs ist dein Management VLAN dort, und NUR dort, vergibst du eine IP
  • In allen anderen VLAN vergibst du KEINE IP, weder IPv4 noch IPv6
  • Damit ist Routing im Switch dann unmöglich ! (Klar die IP Adressen dazu fehlen)
Alternative ist wenn du allen VLANs eine IP gegeben hast das du dann Accesslisten auf jedem Interface definierst um den Zugang zu regeln.
Das wäre aber Unsinn, denn der Konfig Aufwand ist dann erheblich.
Du hast ja explizit eine VLAN Kommunikation bei dir ausgeschlossen über den Switch, deshalb ist die Option kein IP Adresse für dich die einfachste und sinnvollste und da du ja scheinbat kein Meister der Switche bist für dich am einfachsten zu handhaben. Keep ist simple stupid ! face-wink
mal in Ruhe FAQ zum HP-Switch anschauen
Das hat natürlich primär nichts mit HP zu tun sondern ist simpelste VLAN Logik die man auch als Netzwerk Anfänger (eigentlich) kennen sollte. Du kennst es ja jetzt face-wink
die Anforderung ist ja eher einfach:
Ja, das ist recht banal und die Lösung shet oben wie gesagt unter den Bulletpoints... du musst nur noch machen.
Mitglied: bujtuk
bujtuk 18.03.2018 aktualisiert um 18:25:55 Uhr
Goto Top
aqui,

du hast einen leicht schwarzen englischen Humor. Jedenfalls schriebst du so ! *daumenhoch* mir gefällt es.

Folgendes habe ich gemacht:

- 4 von 5 IP Adressen auf den VLAN Interface gelöscht. Es ist nur noch eine zum administrieren über.
- Alle IPv6 Adressen gelöscht. Da ich kein IPv6 verwenden will

Das sieh nun so aus:
ip vlan

Unter IP Routing im V4 sieht es nun so aus:

ip v4 routing


und im v6 so:

ip v6 routing


Da ich kein Neandertaler sein möchte face-wink
hoffe ich, das dies nun die richtige Lösung ist.

Somit könnte ich die "gruselige Gurke" weiter verwenden.

Danke euch, besonders aqui für die Geduld.
Ich bin nun etwas schlauer

Grüße
Mitglied: bujtuk
bujtuk 18.03.2018 um 18:35:44 Uhr
Goto Top
Was ich noch vergessen habe,

den "Admin Status" der VLANs ohne IP, habe
ich auf "down" gesetzt.

Sieht so aus:

status down

Grüße
Mitglied: aqui
Lösung aqui 19.03.2018 aktualisiert um 10:30:48 Uhr
Goto Top
hoffe ich, das dies nun die richtige Lösung ist.
Jepp, nun sieht das gut aus ! Jetzt ist kein Backdoor Routing mehr möglich mit der Gurke.
Kosmetisch könnte man noch in IPv4 Routing eine Default Route ( 0.0.0.0 /0) auf die IP Adresse des Lancom definieren, dann wäre es wirklich perfekt ! Ist aber nicht zwingend. Nur dann, wenn du von anderen Netzen mal auf das management in VLAN 10 zugreifen willst.
Mitglied: bujtuk
bujtuk 19.03.2018 um 19:57:08 Uhr
Goto Top
Danke dir.

Habe was dazu gerlernt durch dich / euch! face-smile
Kann man Dir einen virtuellen Pokal da lassen ?

Bis zur nächten Frage ...
Grüße
Mitglied: aqui
aqui 20.03.2018 um 08:57:18 Uhr
Goto Top
...lieber ein virtuelles (Craft) Bier ! face-big-smile