16.03.2018

5056

IPv6 auf einem HP 1920 ausschalten - Sinnvoll ? wenn ja, wie

Hallo zusammen,

Jahrelang war ich stiller Mitleser in diesem tollen Board.
Nun angemeldet und eine Frage an euch:

Meine Umgebung:

- HP 1920 48 Port Switch -
- 5 VLAN definiert. Nicht "getagged" -> keines der Netze sollte sich "sehen" bzw pingbar sein. > Ich wollte keine 5 Switche kaufen. Daher die Unterteilung in VLANs.
- Das produktive Netz geht via sophos UTM und LANCOM ins Internet.
- Die anderen 4 Netzte sind Test und Lab. Sie gehen dierekt an den LANCOM und dann ins Internet.

Ich habe auch keine Probleme im lokalen Netz.

Ich verwende lediglich IPv4. Jedoch sind ja im normalen Netzwerk (jedenfalls unter MS Windows) das IPv6 Protokoll mit eingeschaltet und
so wie ich das verstehe, sollte man auch dieses nicht abschalten (besonders beim DC und Exchange nicht).

Nun würde ich gerne wissen, ob die Netze sich evtl. doch irgendwie sehen, denn auf dem HP ist IPv6 eingeschaltet.

- Ist es sinnvoll, das abzuschalten?
- Wenn ja, wie geht es.

Ich danke euch

Grüße

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 368394

Url: https://administrator.de/contentid/368394

Ausgedruckt am: 23.11.2024 um 07:11 Uhr

14 Kommentare

Neuester Kommentar

Zitat von @bujtuk:

Hallo zusammen,

Moin,

Nun würde ich gerne wissen, ob die Netze sich evtl. doch irgendwie sehen, denn auf dem HP ist IPv6 eingeschaltet.

Solange da keiner routet, sehen die sich aucht nicht.

- Ist es sinnvoll, das abzuschaltet?

Nein.

- Wenn ja, wie geht es.

RTFM

lks

Hallo,

Zitat von @bujtuk:
Ich verwende lediglich IPv4.

Jedoch sind ja im normalen Netzwerk (jedenfalls unter MS Windows) das IPv6 Protokoll mit eingeschaltet und

Und jetzt die Frage, Um welche OSe geht es denn nun? Was ist auf den OSen an Software Installiert? Ein Exchange 2016 mag es jedenfalls nicht wenn der kein IPv6 kann, ein Exchange 2003 ist es eher wurscht ob du an der netzwerkkarte IPv6 deaktivierst.

so wie ich das verstehe, sollte man auch dieses nicht abschalten (besonders beim DC und Exchange nicht).

Wie so oft, es kommt drauf an

Nun würde ich gerne wissen, ob die Netze sich evtl. doch irgendwie sehen, denn auf dem HP ist IPv6 eingeschaltet.

Wenn diese kein IPv6 können jedenfalls nicht, egal ob dein Switch IPv6 kann oder nicht. Und auch bei IPv6 solltest du Hand anlegen dami dein Netz dein Netz bleibt.

- Ist es sinnvoll, das abzuschalten?

Nur an der NIC abschalten oder komplett abschalten oder beides?

- Wenn ja, wie geht es.

https://support.microsoft.com/de-de/help/929852/how-to-disable-ipv6-or-i ...
http://tweaks.com/windows/40099/how-to-properly-disable-ipv6/
https://techjourney.net/disable-turn-off-ipv6-support-in-windows-10-8-1- ...
https://praxistipps.chip.de/windows-10-ipv6-deaktivieren-so-gehts_45412

Es gibt noch mehr davon in dein Internet

https://www.google.de/search?q=deaktivate+IPv6+Network+card
https://www.google.de/search?q=disable+IPv6+Windows

Geht IPv6 über dein Router bzw. ISP oder nicht?

Gruß,
Peter

ob die Netze sich evtl. doch irgendwie sehen, denn auf dem HP ist IPv6 eingeschaltet.

Wenn sie sich via IPv4 nicht "sehen" werden sie es wohl auch kaum unter IPv6 können, was ja logisch ist.

denn auf dem HP ist IPv6 eingeschaltet.

Auch hier bist du recht laienhaft und oberflächlich

Was bedeutet das denn genu ? Das IPv6 auf dem Management Interface aktiv ist ?
Das heisst ja dann nur das du den Switch auch über IPv6 manangen kannst aber logischerweise NICHT das zwischen den VLANs geroutet werden kann.
Dazu müsstest du denn eine IP Adresse in jedem VLAN haben um zw. den VLAN zu routen bzw. zu kommunizieren.
Wenn du weder IPv4 noch IPv6 VLAN IPs hast auf dem Switch ist das technisch unmöglich !
Leider teilst du uns aber nicht mit wie dein Netz konfiguriert ist aber da du die VLANs alle isoliert hast gehen wir mal davon aus das diese VLAN IP Adressen gar nicht existieren. Also auch keine Routing und keine Kommunikation. Das sagt einem auch schon der einfache IT Verstand.
Guckst du auch hier:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern

@Pjordorf

Danke für deine Rückmeldung.
Ich habe mich da wohl nicht richtig ausgedrückt. Ich will ipv6 unter MS nicht deaktivieren (im OS) und auch
nicht auf der NIC.

Allgemeine Erklätung:
Prod Netz: Es kommt ein DC, ein Exchange und win7 und win10 Clients zum Einsatz.
Mir ging es um das Deaktivieren von IPv6 auf dem HP Switch.

Auf den anderen Netzen laufen Testinstallationen.
Sowohl Linux als auch win10 / Server 2016 zum testen.

Ich habe gerade mal nachgeshen, mein ISP verbindet mich nur mit IPv4

Grüße

@ aqui

mmh, du hast Recht. Ihr könnt ja nicht sehen, was ich im Kopf habe

Also, ich schalte mich mit IPv4 auf den Switch (jedes netz hat dor auf dem Switch seine "feste Management IP"
Daher bin ich mir nun gar nicht sicher, ob ich IPv6 generell aktiviert habe und die am Switch abgebildeten IPv6 Adressen lediglich
dem Admin login entsprechen.

Im Anhang ein screen über das IPv6 Routing.

Ich denke, da geht gar nichts hin oder her.

Grüße

Hier noch mal eine Übersicht des VLAN interface IPv6 auf dem Switch.

Meine Annahme: Admin Status = Up -> IP V6 ist aktiv

Grüße

mein ISP verbindet mich nur mit IPv4

Vermutlich aber nur weil du kein IPv6 auf deinem Internet Router aktiviert hast, oder ?
Generell machen (fast) alle Provider auch IPv6 !!

jedes netz hat dor auf dem Switch seine "feste Management IP"

Das ist dann natürlich tödlich, denn dann routet dein Switch zwischen den VLANs auch. Sofern die HP Gurke Layer 3 Switching kann ?!
So wie es aussieht kann sie das:
https://vmfocus.com/2012/09/26/how-to-configure-layer-3-static-routes-vl ...

Daher bin ich mir nun gar nicht sicher, ob ich IPv6 generell aktiviert habe

Warum siehst du dann nicht einfach mal nach in der Switchkonfig. IPv4 routest du ja schon dadurch das du in jedem VLAN eine IP hast !! Deinen Vorgabe "keines der Netze sollte sich "sehen" bzw pingbar sein." hast du damit glorreich ausgehebelt und dir eine Backdoor Route eingebaut. Tödlich wenn du Sicherheit willst !

Im Anhang ein screen über das IPv6 Routing.

Auf das "+" klicken nicht vergessen. (Siehe FAQ)

Ich denke, da geht gar nichts hin oder her.

Doch ! Ist ja eine Link Local Adresse FE80:xyz drauf konfiguriert. Wenn der Switch jetzt noch IPv6 RAs (Route Advertisements) sendet hast du einen klasse IPv6 Router auf der HP Gurke.

Meine Annahme: Admin Status = Up -> IP V6 ist aktiv

Yepp, ganz genau !
Du routest IPv4 und auch IPv6 über den Switch und hast deine Sicherheit damit komplett ausgehebelt.
Solltest du besser korrigieren !

Hallo aqui...

Trotz und auch wegen deiner "drastischen" Worte, danke für deine Kommentare.

- Stimmt, du hast Rercht, mein Provider macht auch IPv6. Ist auf dem Router deaktiviert.

- Ich bin davon ausgegangen, das die Management IP dazu da ist, dass jeder Switch in seinem Netz erreichbar ist
und administriert werden kann. Meine Frage: Warum routet denn der Swicht, wenn man eine Managment IP einrichtet?
Ich habe jaj die einzelnen Ports auf "untagged" gesetzt und aktiv kein routing erlaubt (jedenfalls meine ich es).

Oder ist es "Best Practice", nur ein Admin Interface zu erstellen. (Wenn ja, warum?)
Dann müsste ich bis auf ein Netzwerk alle Admin Interfaces löschen.

- Das du (und auch andere hier) HP als Switch nicht besonders gut findest, habe ich verstanden. (HP Gurke)

Wie sähen die Alternativen aus (48 Ports und VLAN). Bitte daran denken, ist für privat. Das hiesst aber nicht, das Sicherheit
keine Rolle spielen soll. Mir geht es hier hauptsächlich um verstehen.
Da ich merke, dass Layer 3 Switche eine Menge können und man viel falsch machen kann. (Wenn man nicht der Meister der Switche ist)

Alternativ kann man sich ja auch 5 Switche einbauen, die nichts können und man hat halt eine physikalische Lösung. Aber dass will ich ja nicht. (Z.B Stromverbrauch)

Ich werde mir noch mal in Ruhe FAQ zum HP-Switch anschauen und versuchen, das zu korregieren.
ich denke, die Anforderung ist ja eher einfach:

- 5 VLAN (eingene Netze)
- Kein Netz soll sich sehen -> Kein Routing erforderlich
- Nur IPv4 ist notwendig.

Danke und Grüße
wünsche einen schönen Sonntag

Trotz und auch wegen deiner "drastischen" Worte

Es geht dir ja um Sicherheit wie du selber betonst und dann wirds halt mal drastisch

Ich bin davon ausgegangen, das die Management IP dazu da ist, dass jeder Switch in seinem Netz erreichbar ist

Dem ist auch so ! Es reicht dazu aber logischerweise eine einzige IP Adresse. Idealerweise die die im Management VLAN liegt.

Warum routet denn der Swicht, wenn man eine Managment IP einrichtet?

Wenn du nur EINE Management IP einrichtest, dann routet er logischerweise nicht. Die gruselige HP Gurke ist aber ein Layer 3 Switch also ein Routing fähiger Switch. Wenn du also den Fehler machst wie oben und in JEDEM der VLANs eine IP vergibst dann verhält sich der Switch wie ein Router der ein Routing Bein in jedem VLAN hat.
Mit Management hat das erstmal nichts zu tun.

nicht besonders gut findest, habe ich verstanden.

Stimmt, davon sollte man die Finger lassen wenn man kann. Bei dir ist's zu spät

dass Layer 3 Switche eine Menge können und man viel falsch machen kann.

So ist es !

Alternativ kann man sich ja auch 5 Switche einbauen...

Na ja das wäre ja gelinge gesagt laienhafter Schwachsinn. Sorry, aber sowas macht im 20ten Jahrhundert keiner mehr höchstens noch Neandertaler.
Im Grunde ist die Lösung doch ganz einfach:

Eins der VLANs ist dein Management VLAN dort, und NUR dort, vergibst du eine IP
In allen anderen VLAN vergibst du KEINE IP, weder IPv4 noch IPv6
Damit ist Routing im Switch dann unmöglich ! (Klar die IP Adressen dazu fehlen)

Alternative ist wenn du allen VLANs eine IP gegeben hast das du dann Accesslisten auf jedem Interface definierst um den Zugang zu regeln.
Das wäre aber Unsinn, denn der Konfig Aufwand ist dann erheblich.
Du hast ja explizit eine VLAN Kommunikation bei dir ausgeschlossen über den Switch, deshalb ist die Option kein IP Adresse für dich die einfachste und sinnvollste und da du ja scheinbat kein Meister der Switche bist für dich am einfachsten zu handhaben. Keep ist simple stupid !

mal in Ruhe FAQ zum HP-Switch anschauen

Das hat natürlich primär nichts mit HP zu tun sondern ist simpelste VLAN Logik die man auch als Netzwerk Anfänger (eigentlich) kennen sollte. Du kennst es ja jetzt

die Anforderung ist ja eher einfach:

Ja, das ist recht banal und die Lösung shet oben wie gesagt unter den Bulletpoints... du musst nur noch machen.

aqui,

du hast einen leicht schwarzen englischen Humor. Jedenfalls schriebst du so ! *daumenhoch* mir gefällt es.

Folgendes habe ich gemacht:

- 4 von 5 IP Adressen auf den VLAN Interface gelöscht. Es ist nur noch eine zum administrieren über.
- Alle IPv6 Adressen gelöscht. Da ich kein IPv6 verwenden will

Das sieh nun so aus:

Unter IP Routing im V4 sieht es nun so aus:

und im v6 so:

Da ich kein Neandertaler sein möchte

hoffe ich, das dies nun die richtige Lösung ist.

Somit könnte ich die "gruselige Gurke" weiter verwenden.

Danke euch, besonders aqui für die Geduld.
Ich bin nun etwas schlauer

Grüße

Was ich noch vergessen habe,

den "Admin Status" der VLANs ohne IP, habe
ich auf "down" gesetzt.

Sieht so aus:

Grüße

hoffe ich, das dies nun die richtige Lösung ist.

Jepp, nun sieht das gut aus ! Jetzt ist kein Backdoor Routing mehr möglich mit der Gurke.
Kosmetisch könnte man noch in IPv4 Routing eine Default Route ( 0.0.0.0 /0) auf die IP Adresse des Lancom definieren, dann wäre es wirklich perfekt ! Ist aber nicht zwingend. Nur dann, wenn du von anderen Netzen mal auf das management in VLAN 10 zugreifen willst.