Názory k článku Směrovací hlavička v IPv6 a její problémy

Po zběžném vylistování sysctl: net.ipv6.conf.all.accept_source_route = 0. Není to to samé co u toho cisca?

Mno, pokud se trošku porozhlédnu ve zdrojáku, tak bych řekl, že by to mělo fungovat. toto je z 2.6.16.51:

 switch (hdr->type) {
        case IPV6_SRCRT_TYPE_0:
                if (accept_source_route > 0)
                        break;
                kfree_skb(skb);
                return -1;
        default:
                IP6_INC_STATS_BH(IPSTATS_MIB_INHDRERRORS);
                icmpv6_param_prob(skb, ICMPV6_HDR_FIELD, (&hdr->type) - skb->nh.
raw);
                return -1;
      }

Tak tedy nevím. Zkoušel jste to? :)

> Nabízí se použít stejný přístup i pro IPv6 a tuto vlastnost, označovanou za „vítězství zbytečných funkcí nad zdravým rozumem“, jednoduše zakázat.

Zakázat IPv6? Jsem všemi 21 pro..

Tohle projde jen hodne blbe nakonfigurovanym FW, obecne se na kazdym trochu normalne naconfenym FW zahodi vsechny pakety smerujici z verejneho do privatniho rozsahu a mel by to alespon pro IPv4 delat i kazdy router.

Informace pro (Open)Solaris lze najit v teto blog entry

IPV4+NATing je overene a fungujici reseni, IPV6 je nebezpecna zbytecnost, funkcni IPV6 je akorat snem vsech BOTnet masteru, nebezpecnost nasazeni IPV6 "v terenu" je opravdu hroziva (ta hlavicka to je jen ten nejmensi problem), navic by tim byl poznamenan i GeoTargeting a dalsi sluzby, ktere jsou s IPV4 v perfektnim souladu a s IPV6 by byly de-fakto na nic, takze prrr, IPV6 at si provozuji v Cine, mam bohate staci a bude stacit IPV4

Já bych ten nos tolik neohrnoval. Dřív nebo později budeme ipv6 stejně potřebovat. NAT je pěkně fuj, tedy pokud to neberete z úhlu lidí, kteří se chtějí schovat, aby je nikdo neviděl. Nechápu, proč by měl být nějak poznamenán GeoTargeting, to mi prosím objasněte. Co se týče botnetů - nevidím v tom až zas takový problém. V RFC (opravte mě, jestli se pletu) je psáno, že se budou přidělovat celé /64 rozsahy koncovým uživatelům. Tak se budou celé /64 rozsahy zakazovat. Horší to bude asi s DoSama, nicméně s tím si technika časem taky poradí.

Taky nechapu, proc by tyhle zalezitosti mely byt na IPv6 nejak obecne nebezpecnejsi. Ano, bude nutne pouzivat stavove firewally (alespon dokud nejake cune neudela IPv6 NAT resp. PAT), ale jinak tam zadne risiko, ktere by v IPv4 svete neexistovalo take, nevidim.

Bojím se že šmírování uživatelů je asi nejdůležitější faktor, který stojí za tlakem na IPV6. Pokud jste spolu s další tisícovkou uživatelů za NATem, a pravidelně promazáváte cookies, je obtížné vaše aktivity spojit do jedné identity.

Jakmile ale máte IPV6 adresu, jednoznačně vás podle ní poznají. A co je horší, při automatické konfiguraci poznají (a to nejen v lokální síti, kde je to samozřejmé) i vaši MAC adresu. Podle té vás najdou i když se přestěhujete, nebo změníte providera. Lze dohledat výrobce a typ síťové karty nebo základní desky, s trochou úsilí i prodejce co vám ji prodal- a jste v pééérdeli, pane hráábě.

IPv6 Privacy Extension – adresa stanice se náhodně mění, MAC adresu si také můžete změnit. Na anonymitu tu máme TOR.

Navíc když se přestěhujete, změní se vám celý prefix a IP adresa nemusí vůbec obsahovat vaši MAC adresu. Nešiřte tu bludy.

Bezva, takže zrušíme to "odporné" DHCP. Místo toho použijeme úžasný nový ADDRCONF + protože to má mouchy tak ještě úžasnější RFC 3041. A protože MD5 bude generovat konflikty, musíme přidat ještě DAD podle RFC 2462.

Brave new world, jeden jednoduchý mechanismus bude nahrazen třemi jinými, a bude to prezentováno jako "úspora". :)

Botnety se řídí obráceně, tj. uzel se připojuje k serveru, kvůli stavovým firewallům nebo NATU. IPv6 na tom nic nemění.

S DoSem bych si starosti nedelal. Problém není množství adres, ale pocet utocících strojů. Naopak bude-li mít každý veřejnou adresu, zablokujete jen útočníka a jeho sousedy tedy poškodíte.

Navíc s velkým adresním prostorem se slepé skenování stává neúčinné.

Jo, horší účinnost IP scanu je asi jediné praktické plus, bohužel jen krátkodobé. Seznamy živých IP adres se budou dolovat z logů a obchodovat podobně jako dnes e-mailové adresy, a jsme zase na začátku.

Poté co kocourkovští radní vymysleli source routing v IPV4 a poddaní ho nejen nepoužívali, ale rovnou odmítali, dospěla moudrá radnice k závěru že plebs je úplně blbej, ale napodruhé to určitě projde, a stejnou zbytečnost přidala (k mnoha jiným zbytečnostem) i do IPV6.

Co takhle byt konkretnejsi? I pro nas mentalne retardovane spokojene uzivatele ipv6.

Ze design by committee neni optimalni vim, ale me to prijde dostatecne dobre. Konec arpu a broadcastu, povinny ipsec a smerovani multicastu. A muzu si vybrat jakou adresu chci. Dalsi ficury jsem zatim nepotreboval.

Je to min spatne nez ipv4 a stejne se dozijem novejsiho protokolu. Protoze soucasna sit vic nez Zemi plus Mesic stejne nezvladne.
Muj OS uz dokonce umi i natovat ipv6, dalsi radovanky urcite nekdo brzo doprogramuje.