Ws etwas störend ist, ist das Thema IPv6 in pfsense:
- Leider wird die dynamische Zuordnung des Präfix, wie sie die DTAG vornimmt, in pfsense nicht unterstützt.
- Schaltet man einen Consumerrouter davor (z.B. Fritzbox), kommt es zu dem seltsamen Phänomen, dass nach Neuzuweisung des Präfix zwar die Endgeräte neue IPv6 bekommen, die alten aber nicht als deprecated gekennzeichnet werden (jedenfalls nicht zuverlässig, so passiert auf meinem Asterisk-Server.)
Da ich pfsense nicht missen möchte, habe ich jetzt DautschlanLAN bestellt, damit ivh kein wechselndes Prefix mehr habe.
Was Pakete auf einer Firewall angeht: Natürlich ist das immer ein Risiko - ob es aber grundsätlich höher ist, als wenn man die entsprechenden Ports öffnet, auf die gleiche Software auf einem dahinter in eigenem Netz reagiert, ist natürlich so eine Sache. Das Hauptproblem, das bei Paketen auf der Firewall besteht, ist m.E., dass die Pakete nicht unbedingt so aktuell sind, wie es die Software auf einem eigenen dedizierten Rechner für diesen Zweck sein kann. Insofern ist der offizielle Grund, warum das Paket Asterisk rausgeflogen ist, letztlich auch der Grund, dass die Sicherheit ohne jemanden, der sich um das Paket kümmert und aktuell hält, nicht gegeben ist.
Für mich gilt letztlich: Auf eine Router/Firewall gehört nur das, was unbedingt dort sein muss.
