主机特定的ipv6地址范围，用于在pfsense dhcpv6中旋转地址

Question

我已经开始在企业局域网中配置ipv6网络了。局域网中的所有主机都有一个VLAN。我使用的是pfsense 2.3.4软件。

我现在必须弄清楚局域网中的地址分布。地址不应该允许从全局网络中识别任何主机，因此有两个选项。使用本地地址或全局地址旋转的NATv6，但我读到过NATv6是一个糟糕的选择。我可以设置与全局地址轮转的地址，但这将阻止我创建基于IP地址的防火墙规则，因为地址总是会改变的。

我是否可以将IPv6地址范围分配给每个主机，以便在该范围内旋转它们的地址，这样我仍然可以为每个范围(而不是静态地址)编写防火墙规则，并在一定程度上向全局查看者隐藏(在某种程度上)主机的公共地址？这在实际意义上可行吗？

我还可以为办公室中的每个不同角色创建一个VLAN，并按每个角色旋转全局地址，并在每个角色的基础上创建防火墙规则，但这不是一种选择。

Answer 1

在过去的几天里，我做了更多的调整和修修补补，取得了很好的成绩。

所以我会写一篇总结我要做的工作。

要刷新主题:我想在pfsense框的单个(LAN)接口后面创建一个网络。对网络的要求是为网络中的工作站提供工作的ipv6地址。网络不应该允许全局网络识别该网络上的设备，但是应该提供一个选项，根据该网络中的地址编写防火墙规则。我希望这个网络中的所有主机都能够“匿名”浏览网页并保持身份不明，我希望这个网络中的所有主机对直接连接到我的pfsense盒的其他网络都有访问限制。因此，我需要识别每个主机，并编写每个主机(或每个员工角色)限制对内部资源的某些访问的防火墙规则。

据我所知，实现这一目标有三种方法。

1. 在内部通信中使用ULAs (唯一本地地址)，并对静态ULAs具有访问限制，但使用NAT66进行全局通信，以保护主机的身份。这被认为是不好的。
2. 在网络中有多个每个员工角色(访问级别)VLAN。这样，防火墙规则就可以基于VLAN编写，忽略地址，每个主机都可以拥有用于全局和本地通信的GUAs (全局唯一地址)。可以有临时的隐私地址来帮助保护身份不受全球网络的影响。这不是一种选择，因为我想用一个VLAN来做这件事。
3. 仍然有一个带有GUAs的VLAN，但是为每个主机分配一个特定的地址范围，它可以在其中旋转自己的地址。通过这种方式，我可以根据这些范围编写防火墙规则，并使用旋转地址保护身份。这是我想要实现的，但发现在pfsense (相对于一些商业解决方案)是不可能的。

现在我找到了实现这一目标的第四种方法。

1. 局域网中的每个主机都有两个不同的网络地址:一个ULA和一个GUA。实际上可以有多个GUAs，因为GUAs是自动生成的。我可以让路由器的广告通过向网络中的主机宣传全球前缀来照顾GUAs。然后，这些GUAs将被用于到达全局网络，并且主机可以使用隐私(旋转)地址，从而使它们无法从全局网络中识别。至于ULAs: DHCPv6服务器将处理这些地址，为每个主机提供每个DUID的statitc。这些地址可以用于上述内部通信，并根据它们编写防火墙规则。为了完成这项工作，我需要每个主机在这个本地网络中只有一个地址，所以我必须禁用RAs (路由器广告)作为这个前缀。默认情况下，pfsense生成带有所有RA列表前缀的/var/etc/radvd.conf配置文件，并且始终将DHCPv6前缀添加到RA中。通过这种方式，所有主机都会获得多个地址，这将导致它们使用隐私地址作为源，而我的防火墙规则将毫无用处，因此我注释掉了从/etc/inc/services/inc文件中为radvd.conf文件生成radvd.conf前缀子句的部分，并且DHCP网络不再使用路由器广告进行广告宣传。这样，每个主机在这个本地前缀中只有一个地址。此外，我还必须确保主机将始终使用ULA访问内部资源和GUA获取全局资源，这要归功于RFC6724 (https://www.rfc-editor.org/rfc/rfc6724)源地址选择协议中的第二条规则，该规则规定，与目的地具有相同范围(全局、本地、链接本地)的源地址将被预先设置。由于这一点和内部资源，也有本地地址，我有一切工作方式，我希望它。唯一的方法是更改/etc/inc/services.inc文件以注释掉这一部分。此外，我还必须为LAN接口设置IP别名类型的Virtual，其地址来自网络的第二个前缀。因此，一个地址被设置为接口(在我的例子中是本地地址)，另一个地址(全局地址)被设置为虚拟IP。

因此，第四种方式正在按预期工作，并且不需要更多的VLAN或NAT66，或者不提供特性pfsense。