Danke für eure Erfahrungen und Einschätzungen
Kommt halt drauf an, was Du erreichen willst. Aber grundsätzlich würde ich sagen: für ein typisches Heimnetz eher optional als notwendig. Bei mir gibt es wenig Clients (bspw. Apple-Geräte), die IPV6 überhaupt beherrschen.
Daher ist bei mir IPv6 auf meiner UDM Pro aktuell auch nicht aktiv konfiguriert. Will sagen, habe nichts spezifisch dazu eingestellt – ich hab bewusst darauf verzichtet, weil mein internes Netz komplett auf IPv4 (192.168.x.x) läuft und ich da keine Notwendigkeit gesehen hab, das umzustellen.
Der wichtige Unterschied wäre wohl, dass sich im internen Netz durch IPv6 erstmal wenig ändert – private Adressen (fc00::/7 oder link-local fe80::) funktionieren ähnlich wie vermutlich in Deinem aktuellen RFC1918-Schema. Spannend wird's eher Richtung WAN / öffentliche Erreichbarkeit. Mit IPv6 bekommt jedes Gerät potenziell eine global routbare Adresse, was NAT überflüssig macht aber, wie Du ja anmerktest, eben auch bedeutet, dass Firewall-Regeln kritisch werden, weil der NAT-"Schutzeffekt" wegfällt. Ich hatte mal "versehentlich" meinen pi-hole DNS-Service öffentlich freigegeben. Ca. 24 Std. später kam eine Email von meinem Provider, ich hätte gefährdete Dienste-Ports offen:
Zitat
Wir wurden vom CERT-Bund auf ein mögliches Sicherheitsproblem aufmerksam gemacht, das von einem an Ihrem Glasfaseranschluss angeschlossenen Endgerät ausgeht. CERT-Bund ist das Computer-Notfallteam (Computer Emergency Response Team) der Bundesverwaltung und fungiert als nationales CERT für Deutschland. Informationen werden automatisiert ausgewertet und anhand der IP-Adressen betroffener Systeme dem jeweils zuständigen Provider zugeordnet. Dieser ist angehalten, seine betroffenen Kunden entsprechend zu informieren.
Offene DNS-Resolver werden täglich zur Durchführung von
DDoS-Reflection/Amplification-Angriffen gegen IT-Systeme Dritter
missbraucht.
Im Anhang senden wir Ihnen eine Liste offener DNS-Resolver in
Ihrem Netzbereich, welche für DDoS-Angriffe missbraucht werden können,
sofern keine Gegenmaßnahmen wie Rate-Limiting implementiert wurden.
Der Zeitstempel (Zeitzone UTC) gibt an, wann der jeweilige offene
DNS-Resolver identifiziert wurde.
Wir möchten Sie bitten zu prüfen, ob die offenen Resolver in Ihrem
Netzbereich beabsichtigt als solche konfiguriert sind und falls ja,
ob entsprechende Schutzmaßnahmen zur Verhinderung des Missbrauchs
der Server für DDoS-Reflection-Angriffe implementiert wurden.
Falls Sie kürzlich bereits Gegenmaßnahmen getroffen haben und diese
Benachrichtigung erneut erhalten, beachten Sie bitten den angegebenen
Zeitstempel. Wurde die Gegenmaßnahme erfolgreich umgesetzt, sollten
Sie keine Benachrichtigung mit einem Zeitstempel nach der Umsetzung
mehr erhalten.
Weitere Informationen vom CERT zu diesem und anderen Sicherheitsvorfällen finden Sie hier: BSI Sicherheitsvorfälle oder auf Nachfrage beim BSI:
Erreichbarkeit: Montag bis Freitag von 08:00-18:00 Uhr
Telefon: 0800 274 1000 (kostenlos aus dem deutschen Fest- und Mobilfunknetz)
Fax: +49 228 99 10 9582 82 82
E-Mail: service-center@bsi.bund.de
Alles anzeigen
Für ein reines Heimnetz ohne Bedarf an direkter IPv6-Erreichbarkeit von außen würde ich es erstmal nicht anfassen, solange's nicht ein ISP-seitiges Muss ist.