Vlákno názorů k článku IPv6 je jako mexická chřipka od pepak - Párkrát jsem si říkal, že tedy aspoň experimentálně...

Mně se po zadání www.lupa.cz objevila normální adresářová struktura, prostě IPv6 lupa zřejmě běží na jiném stroji než www.lupa.cz a požadavek určený pro ipv6.lupa.cz s hlavičkou GET http://www.lupa.cz/ jej natolik vyvedl z míry, že mi normálně zobrazil adresář s jeho obsahem, takže jsem si mohl prohlédnout návrh nové verze lupy, stažený web nějakého ministerstva atd :-)

No právě. Vždyť vlákno začalo tím, jak udělat, aby se na stroj v IPv6 nešlo zvenku připojit.

Nikoliv "na stroj". Na všechny stroje ve vnitřní síti (a podotýkám, že zdaleka ne na všechny si uživatel může firewall nainstalovat) a navíc se skrytím veškeré informace o struktuře té vnitřní sítě, včetně třeba počtu počítačů.

Ano, souhlasím, zakázání veškerého příchozího provozu je prasárna a můj počítač by měl alespoň odpovídat na echo request. Ale cílem bylo demonstrovat, že to jde, ne ctít RFC :-).

Řešením je přidat do netfilteru ještě jedno pravidlo, které povolí ICMP.

Tak se podobny pravidla strci na router, tu samou skatuli co dneska dela NAT. ESTABLISHED a RELATED bez omezeni a NEW pouze zevnitr. A bezpecnost "aby nekdo nevlezl dovnitr" je vyresena. Zbyva jen "aby nam nekdo nespocital pocitace", a na to by mohly stacit Privacy Extensions, tj. casto se menici nahodny adresy. Pozorovatel uvidi milion adres, ale kolik tam je ve skutecnosti pocitacu, muze jen hadat. Pravda, v podani NATu tohle tajnustkarstvi funguje lip. Ale on stejne nakonec nekdo udela NAT i pro IPv6, i kdyz je to prisernej napad.

No vždyť já nemám zapnutý firewall na tom vnitřním počítači. To zablokování provozu jsem nastavoval na routeru, který je na lince k mému ISP. Pokud chceš zablokovat komunikaci na všechny počítače, tak do parametru -d dej místo jednoho počítače celou podsíť.
„navíc se skrytím veškeré informace o struktuře té vnitřní sítě, včetně třeba počtu počítačů.“
Tohle půjde jenom IPv6 1:n NAT nebo SOCKS proxy - stejný princip, jako u IPv4. A stejně jako u IPv4 pak analýzou provozu půjde s velmi vysokou pravděpodobností určit, jestli tam těch počítačů víc je.

S privacy extensions to muze byt docela orisek :-)

A jo, to mě nenapadlo.

ty firewally jsou svině, co? :-)

V současnosti je většina providerských sítí konstruovaná pomocí MPLS, čili tato otázka je poněkud zbytečná.

A i kdyby, je několik možností, jak to udělat:
1. některé routovací protokoly vůbec nevyžadují žádné adresování (OSPFv3)
2. může se použít ULA (varianta privátních adres) a jedinou adresu, kterou router potřebuje je ta na Loopbacku, kterou si skriptem změníte na stovkách routerů během minuty.

> některé routovací protokoly vůbec nevyžadují žádné adresování (OSPFv3).

OSPFv3 sice nepotrebuje verejne IPv6 adresy pro spoje mezi routery, ale aby melo OSPFv3 nejaky smysl, pak routery musi mit nejake sitove prefixy, ktere skrz OSPFv3 propaguji.

> jedinou adresu, kterou router potřebuje je ta na Loopbacku, kterou si skriptem změníte na stovkách routerů během minuty.

Tedy zadne automaticke preadresovani, ale rucni.

Síť s desítkami routerů bez jejich automatické aktualizace je podle mne asi amatéřina.
Co by mě ale zajímalo je probíhající komunikace počítačů během readresace.
Co se stane, když komunikuji s nějakým cočítačem ve vnitřní síti a dojde k readresaci? Nezačnou se ztrácet data když dejmetomu jeden už bude readresovaný ale druhý bude posílat data na původní IP?
A co celá infrastruktura DNS? Je nějak specifikováno, jak se mají chovat DNS servery (lokální) v případě readresace? A co DNS cache na klientech, je zaručeno že se vyprázdní aby nevrecely staré IP?
Jinak by mě ještě zajímalo, jak je to s privátní částí IP. Přiřadí se při readresaci stejná? Eventuelně jde nastavit jako fixní a vrámci vntiřní sítě pouižívat pro adresaci jen tuto část (bez části přidělené providerem). Pokud ne, mohl by to být problém v menší síti, kde se nepoužívá DNS svázané s MAC adresou síťovky. Musely by se všude přepisovat IP.

> Co se stane, když komunikuji s nějakým cočítačem ve vnitřní síti a dojde k readresaci? Nezačnou se ztrácet data když dejmetomu jeden už bude readresovaný ale druhý bude posílat data na původní IP?

Obecně je to tak, že počítač může mít několik IPv6 adres z různých sítí. Router ohlašuje všechny sítě s různými prioritami a časem životnosti. Ve fázi přechodu máte dvě IPv6 adresy, pak změníte všechno co potřebujete v DNS a nakonec vyhodíte starou adresu, až ji nikdo nepoužívá.

> A co celá infrastruktura DNS? Je nějak specifikováno, jak se mají chovat DNS servery (lokální) v případě readresace? A co DNS cache na klientech, je zaručeno že se vyprázdní aby nevrecely staré IP?

Opět řeší souběžná existence adres a DNS cache se vyprázdní po uplynutí TTL.

Co se týká zbytku, tak ta klientská část může zůstat stejná (pokud ovšem nemáte zapnutou privacy extension, kdy se adresa mění každých pár minut :-)

A pokud má někdo zafixované adresy v konfiguráku, tak pokud to ví, může ve své organizaci používat i ULA adresy (obdoba privátních adres). Jinak mu samozřejmě nezbývá než to změnit v konfiguraci.

> Síť s desítkami routerů bez jejich automatické aktualizace je podle mne asi amatéřina.

Porad tu nezminil nikdo zadny protokol, ktery by zajistil automatickou readresaci rozsahlejsi site. IMHO to je chimera a nic takoveho se prakticky nepouziva.

... ale byla by to super adrenalinova jizda. Dam "SUBMIT" a pak uz jenom cekam, esli se mi vsechny krabice v siti propoji :-)

Co treba radsi: Dam "ADD" a ke vsem adresam v siti pribydou jejich dvojnici s jinym prefixem. Dam "SWITCH" a defaultne (jako src a dst pro spojeni uvnitr site) se zacnou pouzivat ty nove (ale stare stale funguji pri explicitnim pouziti). a pak dam "REMOVE" pro odstraneni tech starych.

> Vnitrni sit by z principu nemela obsahovat desitky routeru.

Asi mame jinou definici 'vnitrni site'. Nevidim duvod, proc by se vnitrni sit vetsi organizace nemohla skladat z desitek L2 siti a routeru mezi nima. Routery klidne muzou pouzivat dynamicke routovani (treba OSPFv3). To ale nezajisti automaticke preadresovani.

To asi mame. Samozrejme pokud mame velkou sit, pouzijeme jine reseni, napriklad klasicky multihoming a BGP.

Tady je spise rec o necem vyrazne jednodussim - mam dva routery, kazdy pripojeny k jinemu ISP, oznamujici do jednoho lokalniho segmentu pomoci ra tu svoji pridelenou /64 od toho konkretniho ISP. Na segmentu jsou uz jednotlive koncove hosty (ale teoreticky by asi nevadilo, kdyby tam byly i routery, me tak napada).

V pripade, ze dojde k vypadku jedne z konektivit, prestane tento router oznamovat, ze je router a "preadresovani" (ac o preadresovani de facto hovorit nelze, nebot ty adresy jsou v beznem provoznim stavu na kazdem interface dve ruzne globalni plus jeste link local) si udelaji ty stroje na tom segmentu samy tim, ze ztrati danou ipv6 adresu na interface a tedy i cestu k dane default gw a musi pouzit tu druhou. To je cele, zadny specialni protokol na to neni potreba ;-)

No, to se ale vyjadrujete o necem o dost jednodussim - jen o zmene routovani a zadnem preadresovani. Pod preadresovanim si predstavuju situaci, kdy prechazim od jednoho ISP k jinemu (novemu) a tedy musim prejit na jine, uplne nove (PA) adresy. Reseni takove situace AFAIK neni v IPv6 o moc jednodussi nez v IPv4 (snad az na to, ze na IPv6 budu mit v obou pripadech jeden stejne dlouhy prefix, takze preadresovani bude mozne delat uniformne).

To tak mozna v pripade domacnosti ci minifirmy. V pripade vetsi organizace to znamena minimalne prenastavit IP adresy vsech routeru a serveru a vyskyty IP adres v konfiguracich sluzeb a prekonfigurovat DNS.