Alle IPv6-adressen worden als openbaar beschouwd, de juiste term is globale unicast-adressen, dit betekent dat al onze apparaten vanaf internet te zien zijn.

In IPv6 is het concept van NAT (Network Address Translation), zoals bekend in IPv4, in feite overbodig vanwege de enorme beschikbare adresruimte, waardoor vrijwel elk apparaat een wereldwijd uniek adres kan hebben.

In bepaalde scenario's wilt u misschien echter een vorm van isolatie of toegangscontrole implementeren, vergelijkbaar met NAT, om het verkeer tussen een 'privé' netwerk en het 'openbare' internet via IPv6 te beheren.

Hieronder beschrijven we hoe u een veelvoorkomend scenario in MikroTik kunt configureren om met deze situatie om te gaan:

Stap 1: IPv6-adrestoewijzing

Zorg er eerst voor dat uw internetprovider (ISP) u een blok IPv6-adressen heeft toegewezen. Een deel van dit blok gebruik je voor je interne netwerk.

1. Wijs adressen toe aan de WAN-interface: Configureer uw WAN-interface in MikroTik om een ​​IPv6-adres van uw ISP te ontvangen, statisch of via DHCPv6, afhankelijk van hoe uw ISP IPv6-connectiviteit biedt.
2. Wijs adressen toe aan het interne netwerk: definieer een segment van uw IPv6-blok voor uw lokale netwerk. Dit kunt u doen in MikroTik onder het IPv6-menu, waarbij u statische adressen toewijst of de DHCPv6-server gebruikt om adressen naar uw interne apparaten te distribueren.

Stap 2: Firewallconfiguratie

Hoewel NAT niet nodig is, speelt de firewall een cruciale rol in de beveiliging van uw IPv6-netwerk, waarbij inkomend en uitgaand verkeer wordt gefilterd volgens uw beleid.

1. Firewallregels voor binnenkomend verkeer: Configureer regels in de MikroTik-firewall om ongeautoriseerde toegang vanaf internet tot uw interne netwerk te beperken. Dit kan het blokkeren van bepaalde poorten of protocollen inhouden en het alleen toestaan ​​van specifiek inkomend verkeer naar gedefinieerde diensten.
2. Uitgaande firewallregels: Op dezelfde manier kunt u regels configureren om uitgaand verkeer te beheren, hoewel de meeste firewalls standaard al het uitgaande verkeer toestaan.

Stap 3: Voorvoegseldelegatie configureren (indien van toepassing)

Als u apparaten achter uw MikroTik-router heeft die ook globale IPv6-adressen nodig hebben, kunt u Prefix Delegation gebruiken om segmenten van uw toegewezen IPv6-blok naar deze apparaten of subnetten te distribueren.

Stap 4: IPv6-privacy-extensies configureren (indien gewenst)

Met privacyextensies voor SLAAC (Stateless Address Autoconfiguration) kunnen apparaten in uw netwerk IPv6-adressen gebruiken die periodiek veranderen, waardoor de privacy van gebruikers wordt vergroot.

Aanvullende overwegingen

• Veiligheid: Hoewel IPv6 de noodzaak van NAT voor adresbeheer elimineert, mag de beveiliging niet over het hoofd worden gezien. Zorg ervoor dat u een solide beveiligingsstrategie implementeert, inclusief een goed geconfigureerde firewall.
• Apparaatondersteuning: Controleer of al uw apparaten IPv6 ondersteunen. Hoewel de meeste moderne apparaten dit doen, zijn sommige oudere apparaten mogelijk niet compatibel.

Het configureren van IPv6 in MikroTik voor een “openbaar” naar “privé” netwerkscenario omvat voornamelijk het beheren van adrestoewijzingen en firewallconfiguraties, waardoor uw netwerk veilig blijft zonder de noodzaak van NAT.

Dit demonstreert de vooruitgang en verbeterde mogelijkheden die IPv6 biedt ten opzichte van IPv4 op het gebied van adresbeheer en netwerkbeveiliging.