On Thu, 2 May 2024 10:10:20 +0200
Marco Moock <mm+solani@dorfdsl.de> wrote:

> Am 02.05.2024 schrieb Marcel Mueller <news.5.maazl@spamgourmet.org>:
>
> > Und wenn es um die Sicherung öffentlich erreichbarer Accounts geht,
> > dann wären in 5 Minuten alle existierenden Accounts gesperrt, weil
> > irgendein Depp versucht es immer mal. Das wäre quasi ein sehr
> > einfacher Angriffsverktor für eine DOS-Attacke.
>
> Daher macht man das auch nicht pro Account sondern pro
> IP-Adresse/Netz. Dann ist der Kollateralschaden sehr begrenzt und wer
> meint, sich mit so Leuten ein Netz teilen zu müssen, hat halt ein
> Problem.

Das Problem ist, dass sowohl ISO 27001:2022 Annex A Control 5.17 als
auch BSI Grundschutz ORP.4.A17 dieses Muster nicht erwähnen und
spätestens bei den Branchen-Standards ist die Sperre nach n Versuchen
vorgeschrieben.

Bei meinen Kundinnen richten wir GeoDB-basiertes Greylisting ein:
Anmeldeversuche aus neuen oder unbekannten AS bekommen beim ersten
Versuch einen Auth Fail. IPs aus Risikostaaten blocken wir ganz.

> Mit IPv6 gibt es kein CGNAT & anderen Mist mehr und man kann
> sehr genau den Verursacher abstrafen.

Ich habe schon mal von IPv6-VPN-Gateways und IPv6 in Enterprise
gehört, aber halte diese Erzählungen so glaubwürdig wie die über den
Osterhasen, den Weihnachstmann und die Zahnfee.

Um den CIO eines großen Amerikanischen Techkonzern zu zitieren "IPv6
ist toll... außer im Netzwerk."

Falk D.

--
Falk Dµebbert <falk@duebbert.com>

Falk Dµebbert <falk@duebbert.com> wrote:
>Um den CIO eines großen Amerikanischen Techkonzern zu zitieren "IPv6
>ist toll... außer im Netzwerk."

Wer solche Manager hat braucht echt keine guten Netzwerker mehr.

--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
> Falk Dµebbert <falk@duebbert.com> wrote:
>>Um den CIO eines großen Amerikanischen Techkonzern zu zitieren "IPv6
>>ist toll... außer im Netzwerk."
>
> Wer solche Manager hat braucht echt keine guten Netzwerker mehr.

s/ braucht/, hat/

HTH,
Alex.
--
"Opportunity is missed by most people because it is dressed in overalls and
looks like work." -- Thomas A. Edison

On Wed, 8 May 2024 17:40:23 +0200
Alexander Schreiber <als@usenet.thangorodrim.de> wrote:

>
> Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
> > Falk Dµebbert <falk@duebbert.com> wrote:
> >>Um den CIO eines großen Amerikanischen Techkonzern zu zitieren "IPv6
> >>ist toll... außer im Netzwerk."
> >
> > Wer solche Manager hat braucht echt keine guten Netzwerker mehr.
>
> s/ braucht/, hat/
>
> HTH,
> Alex.

Das Problem mit IPv6 im Netz ist, dass es keinerlei Vorteile bietet
aber dafür viele Möglichkeiten die Kiste richtig fies vor die Wand zu
fahren.

Ich habe fünf große IPv6-Einführungen in bestehende Netze mitgemacht,
davon zwei als der Lead / Architekt. Nur eine ist am Ende so geworden
wie vorher geplant. 3 wurden abgebrochen.

Bei Greenfields ziehe ich IPv6 mit, aber IPv6 follows IPv4 (= wir
kopieren die Bitmuster der internen IPv4 Adressen hinter ein globales
Präfix) und auch nur dann, wenn wir ein globales Präfix bekommen
können und wenn man irgendwie Bedarf herbeireden kann. Entwickelt und
gesteuert wird auf IPv4. Skripte und Automationen passen IPv6 dann
jeweils an.

Falk D.
--
Falk Dµebbert <falk@duebbert.com>

Alexander Schreiber <als@usenet.thangorodrim.de> wrote:
>Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
>> Falk Dµebbert <falk@duebbert.com> wrote:
>>>Um den CIO eines großen Amerikanischen Techkonzern zu zitieren "IPv6
>>>ist toll... außer im Netzwerk."
>>
>> Wer solche Manager hat braucht echt keine guten Netzwerker mehr.
>
>s/ braucht/, hat/

Weil die bei so einer Ansage gleich von selbst gehen?

Leider gibt es auch in unserer Branche rückgratlose Wendehälse, und
davon viel zu viele.

Grüße
Marc
--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Falk Dµebbert <falk@duebbert.com> wrote:
>Bei Greenfields ziehe ich IPv6 mit, aber IPv6 follows IPv4 (= wir
>kopieren die Bitmuster der internen IPv4 Adressen hinter ein globales
>Präfix) und auch nur dann, wenn wir ein globales Präfix bekommen
>können und wenn man irgendwie Bedarf herbeireden kann. Entwickelt und
>gesteuert wird auf IPv4. Skripte und Automationen passen IPv6 dann
>jeweils an.

Exakt so macht man das NICHT. Kein Wunder dass deine Projekte in die
Hose gegangen sind.

--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Falk Dµebbert wrote:
> On Wed, 8 May 2024 17:40:23 +0200
> Alexander Schreiber <als@usenet.thangorodrim.de> wrote:
>
>>
>> Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
>>> Falk Dµebbert <falk@duebbert.com> wrote:
>>>> Um den CIO eines großen Amerikanischen Techkonzern zu zitieren "IPv6
>>>> ist toll... außer im Netzwerk."
>>>
>>> Wer solche Manager hat braucht echt keine guten Netzwerker mehr.
>>
>> s/ braucht/, hat/
>>
>> HTH,
>> Alex.
>
> Das Problem mit IPv6 im Netz ist, dass es keinerlei Vorteile bietet
> aber dafür viele Möglichkeiten die Kiste richtig fies vor die Wand zu
> fahren.
>
> Ich habe fünf große IPv6-Einführungen in bestehende Netze mitgemacht,
> davon zwei als der Lead / Architekt. Nur eine ist am Ende so geworden
> wie vorher geplant. 3 wurden abgebrochen.
>
> Bei Greenfields ziehe ich IPv6 mit, aber IPv6 follows IPv4 (= wir
> kopieren die Bitmuster der internen IPv4 Adressen hinter ein globales
> Präfix) und auch nur dann, wenn wir ein globales Präfix bekommen
> können und wenn man irgendwie Bedarf herbeireden kann. Entwickelt und
> gesteuert wird auf IPv4. Skripte und Automationen passen IPv6 dann
> jeweils an.

Das erscheint so, als sei IPv6 in der Realität ungeeignet - eine Fehlentwicklung.

IPv6 kam schon vor 2000, wird bald 30 Jahre alt.
Damals wurde oft darauf hingewiesen, daß IPv6 _nicht_ eine simple Erweiterung
etwa 123.123.123.123 --> 123.123.123.123.111.222 ist, sondern eine erweiterte Struktur hat.

Ich hätte damals jedoch eine simple Erweiterung
.. uchar v4[4];
.. // auf
.. ushort v6[6];
befürwortet.
Wobei die ersten 4 Array-Elemente die gleiche Bedeutung wie bei v4 gehabt hätten.
Das Array v6 hätte gleichzeitig IPv4 und IPv6 halten können.
Es hätten beide Darstellungen Dezimal und Hex generiert werden können.

--
Mit freundlichen Grüßen
Helmut Schellong

On Thu, 09 May 2024 09:59:41 +0200
Marc Haber <mh+usenetspam1118@zugschl.us> wrote:

> Falk Dµebbert <falk@duebbert.com> wrote:
> >Bei Greenfields ziehe ich IPv6 mit, aber IPv6 follows IPv4 (= wir
> >kopieren die Bitmuster der internen IPv4 Adressen hinter ein globales
> >Präfix) und auch nur dann, wenn wir ein globales Präfix bekommen
> >können und wenn man irgendwie Bedarf herbeireden kann. Entwickelt und
> >gesteuert wird auf IPv4. Skripte und Automationen passen IPv6 dann
> >jeweils an.
>
> Exakt so macht man das NICHT. Kein Wunder dass deine Projekte in die
> Hose gegangen sind.

Den persönlichen Angriff halte ich für nicht angebracht.

Benenne doch einen ergebniswirksamen Vorteil einer IPv6 Einführung.

Falk D.

--
Falk Dµebbert <falk@duebbert.com>

On Thu, 9 May 2024 15:08:41 +0200
Helmut Schellong <var@schellong.biz> wrote:

> > Bei Greenfields ziehe ich IPv6 mit, aber IPv6 follows IPv4 (= wir
> > kopieren die Bitmuster der internen IPv4 Adressen hinter ein
> > globales Präfix) und auch nur dann, wenn wir ein globales Präfix
> > bekommen können und wenn man irgendwie Bedarf herbeireden kann.
> > Entwickelt und gesteuert wird auf IPv4. Skripte und Automationen
> > passen IPv6 dann jeweils an.
>
> Das erscheint so, als sei IPv6 in der Realität ungeeignet - eine
> Fehlentwicklung.

"Fehl" ist zu hart. Aber das befürchtete Problem - zu hoher
Ram-Verbrauch für Routing-Tabellen bei starkem NAT-Gebrauch trat nicht
ein bzw. wurde durch den Preisverfall von RAM nicht zum Problem.
> IPv6 kam schon vor 2000, wird bald 30 Jahre alt.

1995...

> Damals wurde oft darauf hingewiesen, daß IPv6 _nicht_ eine simple
> Erweiterung etwa 123.123.123.123 --> 123.123.123.123.111.222 ist,
> sondern eine erweiterte Struktur hat.

Man sah die Bedeutung interner IP-Netze und die Absicherungskonzepte
durch Zonenbildung nicht vorher. Die ersten session aware Firewalls
kamen gerade frisch auf dem Markt und waren richtig teuer.

Bei IPv6, wie es sich dessen Eltern vorstellen, muss ich am Anfang
festlegen, welche Präfixlänge ich für welche Zonenebene vorsehe und
wenn ich das Präfix nicht an allen Standorten zur Verfügungen stellen
kann oder darf muss ich doch NAT66 machen.

RFC4864 ist ein schönes Beispiel akademischer Überheblichkeit und
Ahnungslosigkeit gepaart mit Interessen von damals Cisco und IBM.

Damals wollte Cisco die Firewalls nicht weiter aufbohren und
verweigerten sich ewig lange den NextGen-Firewalls. Folgerichtig
gehörten sie zu den Treibern bei IPv6.

Heute stelle ich für Cisco Viptela oder Meraki, aber auch für jedes
andere Overlay-SD-WAN als erstes die IPv6-Priorisierung der
Betriebssysteme aus.

Falk D.

--
Falk Dµebbert <falk@duebbert.com>

Falk Dµebbert <falk@duebbert.com> wrote:
>On Thu, 09 May 2024 09:59:41 +0200
>Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
>
>> Falk Dµebbert <falk@duebbert.com> wrote:
>> >Bei Greenfields ziehe ich IPv6 mit, aber IPv6 follows IPv4 (= wir
>> >kopieren die Bitmuster der internen IPv4 Adressen hinter ein globales
>> >Präfix) und auch nur dann, wenn wir ein globales Präfix bekommen
>> >können und wenn man irgendwie Bedarf herbeireden kann. Entwickelt und
>> >gesteuert wird auf IPv4. Skripte und Automationen passen IPv6 dann
>> >jeweils an.
>>
>> Exakt so macht man das NICHT. Kein Wunder dass deine Projekte in die
>> Hose gegangen sind.
>
>Den persönlichen Angriff halte ich für nicht angebracht.

Nur zum Teil. Deine Argumentation spricht für fundamentale Unkenntnis
eines für neue Implementierungen zwingend verlangten Protokolls, da
werde ich halt ein wenig kiebig.

Man kann jedes Projekt so aufsetzen dass es scheitert, egal wie
sinnvoll sein Ziel wäre. Das Weglassen des notwendigen Knowhows ist
Schritt eins davon.

>Benenne doch einen ergebniswirksamen Vorteil einer IPv6 Einführung.

Genau das ist das Problem: Man kann schlipstragenden
Zahlenfetischisten nicht angefallene Kosten für nicht mehr notwendige
Komplexität inklusive der von ihr erzeugten Störungen nur schlecht
belegen. Und deswegen bleiben die Netze halt teuer und komplex.

Grüße
Marc
--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Helmut Schellong <var@schellong.biz> wrote:
>Das erscheint so, als sei IPv6 in der Realität ungeeignet - eine Fehlentwicklung.

Das kannst Du zum Gück genau so wenig beurteilen wie ungefähr alles
anderem zu dem Du meinst Dich äußern zu können.

--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Falk Dµebbert <falk@duebbert.com> wrote:
>Bei IPv6, wie es sich dessen Eltern vorstellen, muss ich am Anfang
>festlegen, welche Präfixlänge ich für welche Zonenebene vorsehe

Und das ist einer der VORTEILE von IPv6. Netze sind immer gleich groß.

>und
>wenn ich das Präfix nicht an allen Standorten zur Verfügungen stellen
>kann oder darf muss ich doch NAT66 machen.

Das ist ein Trugschlus.

>Heute stelle ich für Cisco Viptela oder Meraki, aber auch für jedes
>andere Overlay-SD-WAN als erstes die IPv6-Priorisierung der
>Betriebssysteme aus.

Ich bin fassungslos. Das tue ich mir in meiner Freizeit nicht mehr an.
--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
> Alexander Schreiber <als@usenet.thangorodrim.de> wrote:
>>Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
>>> Falk Dµebbert <falk@duebbert.com> wrote:
>>>>Um den CIO eines großen Amerikanischen Techkonzern zu zitieren "IPv6
>>>>ist toll... außer im Netzwerk."
>>>
>>> Wer solche Manager hat braucht echt keine guten Netzwerker mehr.
>>
>>s/ braucht/, hat/
>
> Weil die bei so einer Ansage gleich von selbst gehen?

Ja. Gute Leute finden auch jemanden anders, der sie angemessen bezahlt,
oft genug gesehen.

> Leider gibt es auch in unserer Branche rückgratlose Wendehälse, und
> davon viel zu viele.

Tja. Meiner Erfahrung nach sind das aber selten gute (im fachlichen
Sinne) Leute.

Man liest sich,
Alex.
--
"Opportunity is missed by most people because it is dressed in overalls and
looks like work." -- Thomas A. Edison

On Thu, 09 May 2024 20:51:34 +0200
Marc Haber <mh+usenetspam1118@zugschl.us> wrote:

> >Benenne doch einen ergebniswirksamen Vorteil einer IPv6 Einführung.
>
> Genau das ist das Problem: Man kann schlipstragenden
> Zahlenfetischisten nicht angefallene Kosten für nicht mehr notwendige
> Komplexität inklusive der von ihr erzeugten Störungen nur schlecht
> belegen. Und deswegen bleiben die Netze halt teuer und komplex.

Bitte benenne einen Vorteil! Wenn Du behauptest, so viel mehr Kenntnis
in meinem Beruf zu haben, muss jetzt was anderes als warme Luft kommen.

Falk D.

--
Falk Dµebbert <falk@duebbert.com>

Marc Haber wrote:
> Helmut Schellong <var@schellong.biz> wrote:
>> Das erscheint so, als sei IPv6 in der Realität ungeeignet - eine Fehlentwicklung.
>
> Das kannst Du zum Gück genau so wenig beurteilen wie ungefähr alles
> anderem zu dem Du meinst Dich äußern zu können.

Du hast, wie so oft, Probleme mit der deutschen Sprache.
Ich habe hier gar nichts beurteilt, sondern auf eine Beurteilung des Vorredners reagiert.

Denjenigen Text, auf den ich reagierte, hast Du ja gelöscht, wie so oft.
Und die Reaktion des Vorredners hast Du offenbar ignoriert.
Auch Namen von weiteren Beteiligten löschst Du.
Die inhaltliche Herkunft entfernst Du komplett.
Du unternimmst alles, um einen Text, den Du angreifen willst, zu isolieren.

Warum machst Du das alles, was gegen die NG-Etikette verstößt?
Du bist ein flammender Anhänger von IPv6, und alle anderen sollen das auch werden.

--
Mit freundlichen Grüßen
Helmut Schellong

Falk Dµebbert <falk@duebbert.com> wrote:
>On Thu, 09 May 2024 20:51:34 +0200
>Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
>
>> >Benenne doch einen ergebniswirksamen Vorteil einer IPv6 Einführung.
>>
>> Genau das ist das Problem: Man kann schlipstragenden
>> Zahlenfetischisten nicht angefallene Kosten für nicht mehr notwendige
>> Komplexität inklusive der von ihr erzeugten Störungen nur schlecht
>> belegen. Und deswegen bleiben die Netze halt teuer und komplex.
>
>Bitte benenne einen Vorteil!

Es ist VIEL einfacher. Und genau das mögen viele Leute nicht, die sich
in ihrem IPv4-Knowhow mit allen Krücken festklammern als würde ihr Job
daran hängen.

Aber ich bin mit der Diskussion fertig. Ich bin meiner seelischen
Gesundheit schuldig, in meiner Freizeit keine Dinge zu tun, die ich
selbst dann als Belastung empfinde, wenn ich dafür bezahlt werde.

--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Helmut Schellong <var@schellong.biz> wrote:
>Denjenigen Text, auf den ich reagierte, hast Du ja gelöscht, wie so oft.
>Und die Reaktion des Vorredners hast Du offenbar ignoriert.
>Auch Namen von weiteren Beteiligten löschst Du.
>Die inhaltliche Herkunft entfernst Du komplett.
>Du unternimmst alles, um einen Text, den Du angreifen willst, zu isolieren.
>
>Warum machst Du das alles, was gegen die NG-Etikette verstößt?

Bitte lies die interessanten Texte in de.newusers.infos, besonder die
Hinweise zum korrekten zitieren.

Und dann darfst Du um Entschuldigung bitten.

--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Alexander Schreiber <als@usenet.thangorodrim.de> wrote:
>Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
>> Leider gibt es auch in unserer Branche rückgratlose Wendehälse, und
>> davon viel zu viele.
>
>Tja. Meiner Erfahrung nach sind das aber selten gute (im fachlichen
>Sinne) Leute.

.... und morgen Entscheider. Weil sie Karriere machen.

Grüße
Marc
--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

On Fri, 10 May 2024 09:39:50 +0200
Marc Haber <mh+usenetspam1118@zugschl.us> wrote:

> >Bitte benenne einen Vorteil!
>
> Es ist VIEL einfacher. Und genau das mögen viele Leute nicht, die sich
> in ihrem IPv4-Knowhow mit allen Krücken festklammern als würde ihr Job
> daran hängen.

Ich dachte mir, dass nichts kommt.

Falk D.

--
Falk Dµebbert <falk@duebbert.com>

Falk Dµebbert <falk@duebbert.com> wrote:
>On Fri, 10 May 2024 09:39:50 +0200
>Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
>
>> >Bitte benenne einen Vorteil!
>>
>> Es ist VIEL einfacher. Und genau das mögen viele Leute nicht, die sich
>> in ihrem IPv4-Knowhow mit allen Krücken festklammern als würde ihr Job
>> daran hängen.
>
>Ich dachte mir, dass nichts kommt.

Bitte benenne einen Vorteil einer "Next Generation Firewall".

--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

On Fri, 10 May 2024 10:58:41 +0200
Marc Haber <mh+usenetspam1118@zugschl.us> wrote:

> Falk Dµebbert <falk@duebbert.com> wrote:
> >On Fri, 10 May 2024 09:39:50 +0200
> >Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
> >
> >> >Bitte benenne einen Vorteil!
> >>
> >> Es ist VIEL einfacher. Und genau das mögen viele Leute nicht, die
> >> sich in ihrem IPv4-Knowhow mit allen Krücken festklammern als
> >> würde ihr Job daran hängen.
> >
> >Ich dachte mir, dass nichts kommt.
>
> Bitte benenne einen Vorteil einer "Next Generation Firewall".

Im Gegensatz zu einer Circuit Based Firewall, die nur Quelladresse,
Zieladresse und Port kennt, ist eine Next Gen Firewall in der Lage,
IP-Sitzungen zu berücksichtigen, auf Anwendungskontexte oderhalb der
Protokollebene zu filtern und echte Inhaltskontrolle oder
protokollverändernde Operationen durchzuführen.

Der wichtige Punkt ist der mit der Anwendung (application awareness) und
bei polypotenten Ports wie 443 entscheidend.

Falk D.

--
Falk Dµebbert <falk@duebbert.com>

Falk Dµebbert <falk@duebbert.com> wrote:
>On Fri, 10 May 2024 10:58:41 +0200
>Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
>
>> Falk Dµebbert <falk@duebbert.com> wrote:
>> >On Fri, 10 May 2024 09:39:50 +0200
>> >Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
>> >
>> >> >Bitte benenne einen Vorteil!
>> >>
>> >> Es ist VIEL einfacher. Und genau das mögen viele Leute nicht, die
>> >> sich in ihrem IPv4-Knowhow mit allen Krücken festklammern als
>> >> würde ihr Job daran hängen.
>> >
>> >Ich dachte mir, dass nichts kommt.
>>
>> Bitte benenne einen Vorteil einer "Next Generation Firewall".
>
>Im Gegensatz zu einer Circuit Based Firewall, die nur Quelladresse,
>Zieladresse und Port kennt, ist eine Next Gen Firewall in der Lage,
>IP-Sitzungen zu berücksichtigen, auf Anwendungskontexte oderhalb der
>Protokollebene zu filtern und echte Inhaltskontrolle oder
>protokollverändernde Operationen durchzuführen.
>
>Der wichtige Punkt ist der mit der Anwendung (application awareness) und
>bei polypotenten Ports wie 443 entscheidend.

Benenne den finanziellen Vorteil. In Euro und Cent bitte.

--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Falk Dµebbert, 2024-05-08 22:31:

> On Wed, 8 May 2024 17:40:23 +0200
> Alexander Schreiber <als@usenet.thangorodrim.de> wrote:
>
>>
>> Marc Haber <mh+usenetspam1118@zugschl.us> wrote:
>>> Falk Dµebbert <falk@duebbert.com> wrote:
>>>> Um den CIO eines großen Amerikanischen Techkonzern zu zitieren "IPv6
>>>> ist toll... außer im Netzwerk."
>>>
>>> Wer solche Manager hat braucht echt keine guten Netzwerker mehr.
>>
>> s/ braucht/, hat/
>>
>> HTH,
>> Alex.
>
> Das Problem mit IPv6 im Netz ist, dass es keinerlei Vorteile bietet
> aber dafür viele Möglichkeiten die Kiste richtig fies vor die Wand zu
> fahren.

Genau, deswegen wurde IPv6 auch entwickelt - damit man keine Vorteile
hat und viele Möglichkeiten für Fehler, schon klar m(.

> Ich habe fünf große IPv6-Einführungen in bestehende Netze mitgemacht,
> davon zwei als der Lead / Architekt. Nur eine ist am Ende so geworden
> wie vorher geplant. 3 wurden abgebrochen.
>
> Bei Greenfields ziehe ich IPv6 mit, aber IPv6 follows IPv4 (= wir
> kopieren die Bitmuster der internen IPv4 Adressen hinter ein globales
> Präfix) und auch nur dann, wenn wir ein globales Präfix bekommen
> können und wenn man irgendwie Bedarf herbeireden kann. Entwickelt und
> gesteuert wird auf IPv4. Skripte und Automationen passen IPv6 dann
> jeweils an.

Hast Du mit IPv6 wirklich tiefergehende Erfahrung oder war das nur
formal eine "Lead"-Position, die Du halt aus anderen Gründen hattest
aber nicht zwangsläufig wegen der fachlichen Eignung dazu?

--
Arno Welzel
https://arnowelzel.de

Falk Dµebbert, 2024-05-09 16:43:

[...]
> RFC4864 ist ein schönes Beispiel akademischer Überheblichkeit und
> Ahnungslosigkeit gepaart mit Interessen von damals Cisco und IBM.

Kannst Du das exemplarisch an 1-2 Absätzen aus dem RFC erläutern?

> Damals wollte Cisco die Firewalls nicht weiter aufbohren und
> verweigerten sich ewig lange den NextGen-Firewalls. Folgerichtig
> gehörten sie zu den Treibern bei IPv6.

Was haben "NextGen-Firewalls" damit zu tun, ob man IPv6 nutzen will oder
nicht?

Ich erlebe "NextGen-Firewalls" hier in einem Netz primär als stete
Quelle für Ärger, weil die Deep-Packet-Inspection regelmäßig legitimen
Datenverkehr kaputt macht. Am Ende wurde für die Entwickler ein eigenes
Netz eingerichtet, was ohne "NextGen-Firewall" auskommt.

> Heute stelle ich für Cisco Viptela oder Meraki, aber auch für jedes
> andere Overlay-SD-WAN als erstes die IPv6-Priorisierung der
> Betriebssysteme aus.

Aha. Warum?

--
Arno Welzel
https://arnowelzel.de

Helmut Schellong, 2024-05-09 22:46:

> Marc Haber wrote:
>> Helmut Schellong <var@schellong.biz> wrote:
>>> Das erscheint so, als sei IPv6 in der Realität ungeeignet - eine Fehlentwicklung.
>>
>> Das kannst Du zum Gück genau so wenig beurteilen wie ungefähr alles
>> anderem zu dem Du meinst Dich äußern zu können.
>
> Du hast, wie so oft, Probleme mit der deutschen Sprache.
> Ich habe hier gar nichts beurteilt, sondern auf eine Beurteilung des Vorredners reagiert.
>
> Denjenigen Text, auf den ich reagierte, hast Du ja gelöscht, wie so oft.
> Und die Reaktion des Vorredners hast Du offenbar ignoriert.
> Auch Namen von weiteren Beteiligten löschst Du.
> Die inhaltliche Herkunft entfernst Du komplett.
> Du unternimmst alles, um einen Text, den Du angreifen willst, zu isolieren.
>
> Warum machst Du das alles, was gegen die NG-Etikette verstößt?

Wo genau steht in der "NG-Etikette", das man mehr zitieren muss, als das
worauf man sich konkret bezieht?

--
Arno Welzel
https://arnowelzel.de