Vlákno názorů k článku IPv6 Mýty a skutečnost, díl VI. - Bezpečnostní mechanizmy od Petr Bedle - Zacit od piky by byl problem, protoze nikde...
-
Petr Bedle (neregistrovaný)
Zacit od piky by byl problem, protoze nikde neni zaruceno, ze by to nevypadalo uplne stejne jako IPv6. Nejspis i to nove od piky vytvarene by vytvareli stejni lide - takze cekani dalsich 15 let, nez by nove IPvX bylo ve stejnem stavu jako je dnes IPv6.
Vysledek za 15 let by byl nejspis takovy, ze bychom v sitich provozovali:
IPv4 - se vsemi jeho problemy
IPv6 - se vsemi jeho problemy
IPvX - se vsemi jeho problemy -
Děkuji za výzvu ač nejsa šlechticem vždy jsem ochoten se postavit jakékoliv výzvě....nicméně položit život za IPV4 rozhodně nehodlám....
Faktem zůstáva, že mne trochu straší jak je možné, že nastala to co nastalo, že docházejí IPV4 adresy a celý ten systém okolo nebyl schopen vyplodit nic lepšího než tento podle mého názoru nedomyšlený paskvil.
No a když vidím co všechno se bude muset ještě vyřešit, mám pocit, že začít od píky by bylo možná mnohem jednodušší. Protože co si budeme nalhávat tak prakticky jakékoliv zařízení, které dnes pro IPV6 pořídíte bude za pár let stejně na vyhození, protože nemůže implementovat to co dnes není dořešené. -
ondra.novacisko.cz (neregistrovaný)
Ta potreba IPv6 jeste stale neni tak vysoka. Tohle jsou trzni zakony, ktere bohuzel malokdo z nas dokaze respektovat. Porad je levnejsi ziskat IPv4 adresu a klienty hazet za NAT (oni si poradi, VPN, N2N, Hamachi, Teredo, Skype a podobne) nez budovat nakladnou IPv6 sit. A o tom to je. Ti co IPv6 implementuji pak delaji proto, aby meli oproti konkurenci +1 feature navic, jenze vzdycky tam hraje roli ze jsou +X chechtaku drazsi, nez konkurence. Takhle se IPv6 placa od nikud nikam, ale pomalu dopredu. Ceka se na firmu Y, ktera nabidne uceleny a relativne levny system, uspeje s tim na trhu a prevalcuje s tim ostatni a ustanovi defacto standard (a standarizacni instituce se tomu prispusobi). A prave slovo "levny" je dulezity, protoze musi byt levnejsi, nez soucasne IPv4 reseni, pripade prinaset neco klientum, napriklas nove uzivatele.
Jeste nas ceka obdobi kseftovani s IPv4 adresami (rozsahy). Ocekavam jej tak do roka a bude trvat cca 3 roky(muj odhad)
-
ondra.novacisko.cz (neregistrovaný)
No zatím se to neprojevuje na koncových cenách. Pořád mám šanci si koupit 1 IP trvale. Dřív nebo později dojde k pronájímání IP adres za nějakou cenu.
Aby mě nebylo chytáno za slovo, pronájem IP adres sem už taky viděl, na různých cloudech a podobných VPS. Zatím jsou ceny takové, že zavádět IPv6 oproti tomu je drahé. Takže proč by se měl svět honit za něčím lepším?
Co nás čeká teď? No čeká nás IPv6. Otázkou je, kdy. Následujících pár let rozhodně masivní nasazení IPv6 neočekávám.
-
x (neregistrovaný)
Mno, to mate bud tu smlouvu blbe napsanou, nebo ste si ji blbe precet, v kazdym pripade by to mozna mohlo zajimat RIPE - to totiz IPcka taky neprodava, ale prideluje, a tudiz totez ocekava od tech, kterym je pridelil, v opacnem pripade jim je totiz muze taky odebrat.
Ovsem pokud ja vim, tak napr UPC si uctuje 100Kc (nebo tak nejak) za prideleni staticke IP, nikoli za tu kterou IP adresu (a nejak nechapu, proc si uctujou za jednorazovy ukon opakovany poplatek, ale to je na dlouhou debatu).
-
y (neregistrovaný)
RIPE by to mozna zajimalo, ale tim to nejspis konci. Maximalne nejaka inkvizicni komise, ktera by dojela, adresy nasilne odkonfigurovala a zrusila jejich propagaci do BGP.
Ve smlouvach se naprosto bezne uvadeji IP adresy a pokud by ISP jen tak menil zakaznikovi adresy, tak by taky velice rychle mohl o toho zakaznika taky prijit.
IP adresy je komodita se kterou se uz dnes vicemene obchoduje, byt je to mnohdy ruznymi formami skryte.
-
ondra.novacisko.cz (neregistrovaný)
A je to tak dobře. Obchod s IP adresemi nakonec bude úplně normální, ať se to IPv6 jasánkům nelíbí sebevíc. Právě cena za IPv4 jednoznačně určuje termín nasazení IPv6 masově. Zdražte IPv4 a úspěch je zaručen. Jenže to tak jednoduché není, jak se zdá
(proto ty keci o tom, jak je obchod s IP adresami nelegální)
-
y (neregistrovaný)
Uplny souhlas. Ja prilis nerozumim tomu, kde vznikl ten nazor, ze obchod s IP adresami je nelegalni a naproste fuj. Pravidla RIPE a spol. jsou jedna vec, ale jejich pravni vymahatelnost je podle me sporna. Internet nema centralni rizeni a je prakticky veci dohody co se do BGP siri a co ne (byt se to dnes opira o DB RIPE atd.). Nejake centralni zdrazeni adres provest nelze protoze Internet zadne "oni" nema. Vec pripadne urci trh - a zrovna tady to bude fungoat velice dobre.
Ona obecna manie ze s koncem adres jakoby jako mel skoncit Internet je jen takova hysterie. Je to proste "rozdani lidu, co jeho jest", ktery si casti bude za uplatu dle uvazeni smenovat. To ze je adres malo je dano hlavne tim, ze zdanlive nemaji zadnou hodnotu a jsou ted prakticky zadarmo - jen blazen by je dnes pustil.
Nakonec k tomu stejne bude muset dojit, protoze IPv6 absolutne neni pripraveno pro seriozni pouzivani a bude nutne ziskat dalsi cas pro jeho vyvoj, nasazeni a samozrejme nekonecne debatovani o nem na Lupe :-)
-
ZP (neregistrovaný)
Advocatus diaboli: Ten ISP muze vybirat penize za to, ze jeho zarizeni prideli zakaznikovi adresu pokazde identickou a ze tuto adresu bude smerovat krz svoji sit. Protoze o vlastnictvi te site a narocich na vynosy z ni patrne zadna pochybnost nepanuje, jista pravni jistota tam prece jen je.
Aneb IP adresu si klient muze nastavit, jakou chce, to je jeho boj. Ale jenom s tou jednou (dvema, osmi, dvestepadesatisesti apod.), kterou mu rekneme a budeme smerovat, mu to bude fugnovat.
-
x (neregistrovaný)
Ehm, IP adresa, dns, ... neni (a nikdy sem to nevidel) soucasti smlouvy s ISP, ale soucasti technicke specifikace, kterazto se muze kdykoli zmenit (v souladu se smlouvou a vseobecnymi podminkami).
Ono se totiz klidne muze stat, ze ISP vymeni vic malych rozsahu za jeden vetsi (uz sem parkrat videl) a nasledne musi samozrejme precislovat celou sit.
-
Zbynku nema smysl si hrat na pravni kutily :-) Realita je takova, ze prodej adres je zapovezen pravidly.
Bohuzel blby je, ze se klidne muze stat, ze stejnou adresu si nastavi Franta Voprsalek na zaklade jeho pripojky od ISP blackhat, s.r.o. a pri vhodnem nastaveni smerovani to muze napachat docela velkou rotyku (coz jsme vsichni videli nazivo pri kauze "YouTube v Pakistanu").
A protoze zabezpeceni smerovani je na takove urovni, jake je, tak bych se spise budoucnosti IPv4 bal.
-
y (neregistrovaný)
No ci presneji receno jak je co nezabezpecene a jak kdo co nefiltruje. To ze se neco objevi v BGP ci nikoliv je veci vule nekoho prislusny blok inzerovat a dalsich subjektu tyto smerovaci informace akceptovat.
Pokud bude ekonomicky tlak bude i vule ustupovat. Vzhledem k tomu cely aparat propojovani Internetu je postaven na ekonomickych principech tak nevidim duvod proc by to neslo. Resp. mate dnes jinou alternativu?
To ze je to zakazane jistymi regulemi nic neznamena. Take by si nikdo nemel s ostatnimi vymenovat stazene mp3 a presto to spousta lidi dela. Pokud neni zalobce, neni soudce.
-
y (neregistrovaný)
Prodej adres je mozna zapovezen "jakymisi" pravidly, ale zkuste na tuto "protizakonnou" cinnost napasovat pro zacatek treba neco z legislativy CR.
... a timto se odsuzuje se k trestu odneti svobody na 9 mesicu za neopravneny prodej adresoveho bloku x.y.z.0/20 ....
a nebo spise
... za neopravnene sireni smerovacich informaci do BGP o prefixu x.y.z.0/20, ktery byl ziskan na zaklade neopravnene dohody se spolecnosti ABC....
-
Majkl (neregistrovaný)
No, co se týče IPsec a levných domácích krabiček, tak je to tal 1:4, co mám zkušenost. Respektive polovina v sobě má nějakou formu helperku do NATu, který to rozbije (většinou vypínatelný) a tam kde není nebo je vypnutý to funguje, ale stále zbývá tak čtvartina, kde ani za boha nechodí.
V kombinaci s ADSL je to ještě o trošku hůře, zejména v síti O2 vzhledme k jejich oblibě pro reordering paketů a nekorektní implementaci IPv4 v některých krámech, kdy neprojde vícenásobně fragmentovaný paket, pokud fragmenty nedorazí uspořádány v pořadí (což už úspěšně rozbije IKE fázi pokud se používají certifikáty, stjeně jako cokoliv nad UDP s dlouhými pakety).
Nemá smysl se hádat, zkrátka IPv6 má šanci část problémů vyřešit a část nových přinese. Vy zastáváte teorii, že to vše jen zhorší a rozbije, já, že to něco vyřeší. Bohužel, ideální rozřešení tohoto sporu ve formě osobního souboje se poslední století nedrží moc v náklonosti široké veřejnosti a i exekutivy (jinak bych tu měl před domem ideální romantické místo k takovému rozřešení za hradbami města, takže mimo dosah městkých zákonů, a i třídní původ mi umožňuje tuto metodiku), takže nám nezbude, než počkat pár let, jak to dopadne i bez našeho zapřičinění. :-( -
Majkl (neregistrovaný)
Selektivní pamět? To IPsec kontra NAT jsem psal já a stejně tak jsme psal, že jsem v prostředí, kde je IPsec povolen a blbá NAT implentace mi ho kazí, pokud by byly veřejné IPv4 adresy nebo IPv6, tak minimálně mám o tu NAT ptákovinu o starost míň...
Pokud je samozřejmě IPsec jako takový blokván, tak je jedno, zda mám IPv4/6 řešení.
Jinak očekávám obecně, že trošku rozumná firma má vnitřní síť zcela oddělenou a ven se jde jen přes aplikační proxy s rozumným filtrováním a autorizací klientů a volnější komunikace je jen na vybrané konce nebo z oddělených segmentů.
A kdo to tak nemá, tak občas změní názor, až třeba zjisít, že jeho skvělá multifunkční tiskárna/scener/fax/copy krom příslušných funkcí jako neohlášenou bokovku vše co jí prošlo posílá po netu někam do Koree (viděl jsem už tři takové). Takže v této úrovni IPv4/6 není výrazný rozdíl.
Jiná věc je, že IPsec nad IPv6 podpora u krámů je obvkyle tristní, přestože IPsec je papírově povinná součást.
Nu, já myslím, že šmírovací snahy našich vlád nás postupně donutí implementovat něco defacto podoně funkčního, kdy chudák ISP neuvidí nic, než jen IP adresy koncových bodů a vše, včetně protokolu vyšší vrstvy bude šifrováno (než nám to naši pohlaváři začnou zakazovat). Taková ta idea anonymního IPsec v reálu (ale jeho implmentace je ještě mizernější, než vlastního IPsec). Tohle asi zaítm spíše trápí ISPéčka, co se pokusila zamyslet a zjistila, že jejich systémy na řízení datových toků a řezání rchlostí z toho moc nevykoumají. -
>Selektivní pamět? To IPsec kontra NAT jsem psal já a stejně tak jsme psal, že jsem v prostředí, kde je IPsec povolen a blbá NAT implentace mi ho kazí, pokud by byly veřejné IPv4 adresy nebo IPv6, tak minimálně mám o tu NAT ptákovinu o starost míň...
No jo, ale psal jste to jako připomínku k tomu, že já tvrdím, že IPV6 nic dobrého nepřinese, že vše je realizovatelné i přes IPV4 a NAPT. A z dnešního článku vyšlo, že základní funkčností firemního firewallu by mělo být zakázání IPSec. Což mimochodem dává za pravdu mně.
Vy jse argumentoval, že v té konrétní síti IPSec povolene je ale že nepřeleze přes ten mizernej NAT z čehož jste evokoval, že když tam bude IPV6 tak že to bude bez NATu a IPSec Vám tedy projde a vy budete v síťovém ráji. To podle mne dnešní článek vyvrací. Navíc i to že v dané síti je povolen IPSec může být způsobenu i tím že není důvod zakazovat něco co stejně přes NAT neprojde....nicméně vzhledem k tomu, IPV4kový IPSec projde přes NAT mnohých levných domácích ADSL krabičkách bez problémů (při správném nastavení) není důvod se domnívat, že to nebylo způsobeno pouze nechutí, nebo neuměním toto nastavit. -
Obávám se, že to co nejvíce dusí IPV6 je především to, že před těmi 16 lety se pustili do úplně nového protokolu a vůbec nepočítali s masovým souběhem s IPV4 a snažili se vylepšit tehdejší neduhy IPV4 které byly ovšem mezi tím dávno vyřešeny. Ovšem další spusta problémů vznikla a vzhledem k mizernému rozšíření IPV6 jsou řešeny pouze na úrovni IPV4.
Také penetrace "zasíťování" je mnohem jinde. Já nevím jak Vy ale v roce 1995 byly páteřní linky na úrovni rychlostí 256kb/s-2Mb/s takže nějaký DDOs útok byl víceméně chimérou, o sítích zombie počítačů s nesmírnou výpočetní silou se také nikomu nezdálo.
Osobně se domnívám, že pokud by se dnes začal seriózně řešit nedostatek IPV4 adres nějakým rozumným rozšířením IPV4 protokolu, byla by velká šance na rozumné řešení. Jednoduché věci totiž fungujou. -
Pro profesionální nasazení v koncových sítích není ještě IPV6 ani po 16 letech usilovného "vývoje" použitelné.
Nejvíce se směji tomu IPSecu to mne vůbec nenapadlo, že nejdůležitější funkcí firewalu v IPV6 bude zakázat IPSec komunikaci .....hlavně mně to baví z pohledu mé polemiky se zarytými IPV6-jasánky, kteří se těší, že už žádný NAT/PAT/NAPT jim nebude překážet v IPSec komunikaci a ono ejhle ..ono to možná bude ještě horší....Osobně se obávám, že výsledkem postupné implementace IPV6 se vytvoří izolované ostrůvky postavené na jedné či druhé implementaci které budou mezi sebou protunelovány a situace bude ještě mnohem složitější než s dnešním NAPTem.
ČLÁNKY DO MAILU