Gibt es überhaupt einen "richtigen" Weg, das irgendwie gangbar zu machen ohne den Debian-VMs öffentliche IPv6-Adressen zu geben?
Wenn du mehrere Netze verwenden willst musst du entsprechende Routingtabellen anpassen:
Hier der passende Eintrag, wie sowas ausssieht:
https://de.wikipedia.org/wiki/Routingtabelle unter Linux kannst du das mit ip r anpassen in der Fritz!Box unter Heimnetz -> Heimnetzübersicht -> Netzwerkeinstellungen -> IPv6-Routen
Dir sollte aber klar sein, dass du damit niemals ins Internet gehen kannst, weil das Internet nicht auf deine privaten Bedürfnisse hin seine Routingtabellen anpassen wird. Es ist nun mal die Idee Unique
Local Addresses, dass sie nur lokal funktionieren.
Soweit ich richtig verstanden habe, gibt es bei IPv6 kein NAT...?!?
In IPv4 gibt es laut Standard auch ausdrücklich kein NAT. (Es gibt dafür einen anderen, der NAT beschreibt.) Machen tut es trotzdem jeder. Das selbe gilt für IPv6. Aber wenn du eh auf Standards scheißt, kannst du auch einfach dein /64 nochmal unterteilen.
Ich etabliere mir jetzt ein zusätzliches Netz für diverse Testgeräte. Dort möchte ich ebenfalls via IPv6 raustelefonieren, allerdings soll das völlig abgeschottet von meinem LAN sein.
Mit der Fritz!Box wirst du das wahrscheinlich nicht erreichen können. Entweder Konnektivität oder nicht. Viel mehr kann die nicht. Für IPv4 gilt aber das selbe.
Zumal ich von meinem Anbieter "nur" ein dynamisches /62 bekomme.
Tja es gibt gründe, warum im Standard steht, dass man dem Endkunden mindestens ein /56 geben muss. Die Telekom gibt dir wie empfohlen ein /48.
ganz einfach: Ich möchte (perspektivisch) auf externe IPv6-Adressen zugreifen, traue mir aber nicht zu, auf jedem Gerät eine eigene Firewall bzw. eigene Filterregeln zu betreiben.
Ich weiß nicht was die ganze Filterung soll. Port, Protokoll und Verbindungsrichtung können ja durch den Client frei gewählt werden. Seit das Internet durch Firewalls kaputt geschossen wurde, nimmt doch eh jeder ausgehnes tcp auf Port 443. Die einzigen, die das nicht machen sind irgend welche Andwendungen aus den 90ern alla IRC, irgend welche Gutmenschen, die sich an den Standard halten wollen, und diverse Performanceoptimierungen die eben genau keine TCP nehmen wollen (quic, ICMP-Infos). Ganz sicher keine Malware und auch keine kommerzielle massen-Software. Die setzt weder das evil Bit noch nimmt sie einen anderen Port, oder ein anderes Protokoll nur weil sie kein https macht. Die will nicht auffallen und macht tcp Port 443 ausgehend.
