Manuál pre prípravu adresného plánu IPv6

Transkript

1 Manuál pre prípravu adresného plánu IPv6 1. Úvod 1.1 Čo je cieľom tohto dokumentu? Adresy formátu IPv4 sa už skoro vyčerpali a stále viac a viac súkromných firiem a rôznych inštitúcií registruje potrebu migrácie na adresný systém formátu IPv6. IPv6 adresa má 128 bitov, čo teoreticky znamená, že k dispozícii je adries, čo je výrazne viac ako to bolo pri adresách typu IPv4 (2 32 = 4,3 miliárd). Pre získanie lepšej predstavy je možné uviesť, že predstavuje približne množstvo zrniek piesku na našej planéte. Adresný plán využívajúci systém IP4 adries obmedzuje v súčasnosti možnosti organizácií, pretože existuje už iba relatívne málo voľných IPv4 adries. Práve preto je tento systém založený na efektívnom, ale obmedzenom prideľovaní na základe využiteľnosti. Ak na rozdiel od tohto požiadate ľubovoľného lokálneho poskytovateľa internetu (ďalej len LPI ) o pridelenie IPv6 adresy, získate 2 80 adries. To je tak obrovské množstvo, že využiteľnosť už virtuálne prestane byť problémom. Vzhľadom na vyššie uvedené sa preto oplatí prijať adresný plán IPv6. V správne navrhnutom adresnom pláne IPv6 sa adresné rozsahy IPv6 zoskupujú efektívne a logicky, čo má niekoľko výhod, napr.: ľahšie sa implementujú bezpečnostné politiky, akými sú napr. aj konfigurácie prístupových politík a firewallov, ľahšie sa stopujú adresy, pretože obsahujú aj informácie o type využitia alebo mieste, kde sa adresa využíva, k dispozícii je značná škálovateľnosť, pretože adresný systém sa môže ľahko expandovať o nové miesta alebo typy využitia, zvyšuje sa efektívnosť manažmentu sietí. Tento manuál poskytuje informácie o tom, ako takýto správny adresný plán IPv6 vytvoriť. Pri vytváraní plánu bude potrebné urobiť niekoľko dôležitých rozhodnutí. Je potrebné si ich dobre premyslieť, aby adresný plán skutočne zodpovedal potrebám organizácie. Manuál poskytuje aj nápovedu, ktorá pomôže správne sa rozhodnúť. 1.2 Komu je tento dokument určený? Manuál je určený pre architektov a správcov sietí, ktorí vo svojich organizáciách implementujú IPv6. Predpokladá sa, že majú skúsenosti s nastavovaním sietí formátu IPv4. 2. Štruktúra IPv6 adries 2.1 Zapisovanie adries IPv6 adresy sa skladajú zo 128 bitov, z ktorých každý môže mať hodnotu 0 alebo 1. Pretože adresa zložená zo 128-ich jednotiek a núl je bežne nečitateľná, vyvinul sa vhodnejší formát. Tento je založený na hexadecimálnej číselnej sústave, ktorá sa rozoznáva omnoho jednoduchšie, ale stále si zachováva blízku príbuznosť binárnemu formátu.

2 Každá cifra v hexadecimálnej sústave je ekvivalentná 4 bitom, IPv6 adresa zložená zo 128 bitov sa preto skladá zo 128/4 = 32 hexadecimálnych cifier. Zapisovanie je nasledovné: 2001:0db8:0000:0000:0000:0000:0000:0000 Keďže zaznamenávanie všetkých núl je nepraktické, vzhľadom na určité konvencie je ich možné preskočiť, čo znamená, že pre každú skupinu cifier oddelených dvojbodkami môžu byť vynechané úvodné nuly. Výsledok bude potom nasledovný: 2011:db8:0:0:0:0:0:0 Séria núl a dvojbodiek môže tiež byť skrátená na dve dvojbodky. Výsledkom je: 2011:db8:: Presné pravidlá pre zapisovanie IPv6 adries sú uvedené v RFC ). 2.2 Zoskupovanie adries IPv6 adresy sa zoskupujú pomocou ich binárnych adries. Zoskupenie sa vytvára použitím tzv. prefixu. Prefix sú všetky adresy, ktoré sa začínajú s rovnakou postupnosťou bitov. Dĺžka identických postupností je zaznamenaná za vlastnou adresou a oddelená lomítkom. Prefix 2011:db8::/32 preto obsahuje všetky adresy od 2001:0db8:0000:0000:0000:0000:0000:0000 do 2001:0db8:ffff:ffff:ffff:ffff:ffff:ffff 1)

3 Ako je možné vidieť, prvých 32 bitov (t.j. prvých osem hexadecimálnych cifier) je rovnakých. Prefix 2011:db8:1234::/64 obsahuje všetky adresy od 2001:0db8:1234:0000:0000:0000:0000:0000 do 2001:0db8:1234:0000:ffff:ffff:ffff:ffff Bežnou praxou je oddeľovanie odlišných skupín násobkami štyroch bitov, čo výrazne uľahčuje dekódovanie adries. K tomuto sa využívajú najmä prefixy /48, /52, /56, /60 a /64. Ak takéto oddelenie nenastane, dekódovanie sa stane náročným ukážkou je nasledujúci príklad. Príklad: Prefix, ktorý nie je násobkom štyroch Ak nie je dĺžka prefixu násobkom štyroch, v strede hexadecimálneho čísla sa vykonáva binárne oddelenie. To znamená, že všetky hexadecimálne čísla, ktoré začínajú rovnakou postupnosťou bitov patria k tomuto prefixu. Prefix 2001:db8::/61 teda obsahuje všetky adresy od 2001:0db8:0000:0000:0000:0000:0000:0000 do 2001:0db8:0000:0007:ffff:ffff:ffff:ffff pretože všetky hexadecimálne čísla od 0 po 7 začínajú binárnou hodnotou 0. Podobne napr. prefix 2001:db8:0:8::/61 obsahuje všetky adresy od 2001:0db8:0000:0008:0000:0000:0000:0000 do

4 2001:0db8:0000:000f:ffff:ffff:ffff:ffff pretože všetky hexadecimálne čísla od 8 po f začínajú binárnou hodnotou Prideľovanie adresných blokov Rozsahy IPv6 adresy sú prideľované nasledovne: Prefix Pridelené Počet adries /32 LPI (lokálnemu 2 96 internetovému registrátorovi, obvykle lokálnemu poskytovateľovi internetu) /48 Organizácii 2 80 /64 Organizačnej sieti [subnet] 2 64 /128 Hostiteľskému serveru [host] (PC, server, tlačiareň, router) 1 Na účely tohto manuálu sa predpokladá, že všetky siete používajú adresný blok /64. Tým sa nebráni využitiu iných adresných blokov, ale tento postup sa neodporúča, nakoľko niektoré nástroje môžu s odlišnými formátmi pracovať odlišne. Predpokladá sa aj, že vašej organizácii bol pridelený adresný blok formátu /48 a preto je pre pridelenie adries sieťam k dispozícii 16 bitov (64-48). Ak je vaša situácia odlišná, budete musieť výpočty tohto manuálu primerane upraviť. Vzhľadom na informáciu vyššie je 48 prvých bitov vášho IPv6 plánu nemenných. V manuáli sa ako príklad využíva 2011:db8:1234::/48. To znamená, že pre vašu sieť môžete použiť prefixy formátu /64 od 2001:db8:1234:000::/64 do 2001:db8:1234:ffff::/64 čo tvorí spolu 16 bitov. Vo vašom adresnom pláne musíte samozrejme nahradiť čísla v príkladoch prefixom, ktorý je v skutočnosti k dispozícii.

5 2.4 Zápis pridelených adries V rámci manuálu sa 16 dostupných bitov ďalej prerozdeľuje do samostatných skupín. Rozoznávajú sa nasledovné typy skupín: B: bit je prideliteľný L: bit je pridelený miestu G: bit je pridelený typu použitia Uvedené značenie si ukážeme na príklade. Poradie znakov je náhodné a má iba príkladný charakter: 2001:db8:1234: L L L L G G G G B B B B B B B B ::/64 Každá bunka (rámik) predstavuje 1 bit. Štyri bunky preto predstavujú jednu hexadecimálnu cifru IPv6 adresy. Vyššie uvedený príklad teda vytvára nasledovnú štruktúru adresy: 2001:db8:1234:LGBB::/64 Bity 1-4 sú v tomto príklade pridelené miestu, bity 5-8 sú pridelené typu použitia a bity 9-16 zostávajú voľné pre pridelenie. 3. Možnosti pre prácu bez adresného plánu 3.1 Žiadny adresný plán Malé organizácie, ktoré nemajú vlastnú organizačnú štruktúru (s niekoľkými oddeleniami v rámci organizácie, ktoré by sa starali napr. o prideľovanie IP adries) alebo technickú štruktúru (definované rozlišovanie rôznych druhov sietí a typov použitia) môžu fungovať bez adresného plánu. Namiesto neho môžu cieľovým zariadeniam či miestam náhodne prideľovať voľné IPv6 adresy. Nevýhodou tohto postupu je, že vzhľadom na neexistenciu štruktúry bude ťažké rozoznávať tú-ktorú sieť na základe adresy, ako je to obvyklé, a preto ak je takáto informácia dôležitá alebo výhodná, odporúča sa radšej vytvoriť adresný plán. V prípade, že budete napriek všetkému pracovať bez adresného plánu, odporúča sa vytvorenie a centrálna správa zoznamu pridelených sietí, napr. v nejakom tabuľkovom dokumente, internej Wiki stránke či v reverznej DNS konfigurácii. 3.2 Priame prepojenie medzi adresami formátov IPv4 a IPv6 Ak existujúce IPv4 siete používajú iba podsiete typu /24 (napr. od do ), medzi IPv4 adresami a novými IPv6 adresami môže byť vytvorené priame prepojenie. V tomto prípade sa v IPv6 podsieti uvedie predposledné číslo IPv4 adresy (napr. 113 v /24). IPv6 adresa potom bude 2001:db8:1234:113::/64.

6 Takýto prechod z IPv4 do IPv6 bude potom vyzerať takto: V takto vytvorenom adresnom pláne je prepojenie IPv4 a IPv6 sietí evidentné na prvý pohľad. V prípade dôležitých zariadení, ako napr. servery alebo routre, môže byť praktické využitie aj posledného čísla IPv4 adresy. Napr. IPv4 adresa bude do IPv6 adresy prevedená ako 2001:db8:1234:2::123. Možné je aj vloženie celej IPv4 adresy do IPv6 adresy. IPv6 adresa je v takomto prípade 2001:db8:1234:2:192:0:2: Príprava adresného plánu pre siete 4.1 Úvod Pri príprave adresného plánu je potrebné sa rozhodnúť, aký systém prideľovania adries sieťam sa bude používať. Existuje niekoľko vhodných metód prideľovania adries. sieť: Táto kapitola popisuje možné adresné plány, kde sa ako príklad používa nasledovná

7 4.2 Základná štruktúra adresného plánu V súvislosti s protokolom IPv6 je k dispozícii tak veľa adries, že je možné vytvoriť jednu alebo viac podsietí. Je napr. možné prideliť adresy podľa typu použitia alebo podľa miesta, prípadne použiť kombináciu oboch. Je možné prideliť adresy najprv podľa typu použitia a potom podľa miesta. Po takomto určení subsietí stále ostane množstvo bitov na pridelenie podľa potreby. Využijeme príklad v kapitole 2.4: 2001:db8:1234: L L L L G G G G B B B B B B B B ::/64 Z príkladu je viditeľné, že 4 bity sú pridelené miestu (L) a 4 bity sú pridelené typu použitia (G). Stále však ostáva 8 voľných bitov (B). Použijúc tento plán môže byť adresovaných 16 2) miest a každé miesto má 16 3) prideliteľných typov použitia. Každé z týchto miest môže vytvoriť 256 4) sietí pre každý typ použitia. 4.3 Určenie primárnej podsiete Najprv je potrebné rozhodnúť sa o adresovaní primárnych subsietí. Ako primárnu subsieť odporúčame zvoliť buď miesto alebo typ použitia (napr. študenti, zamestnanci, servery, switche, routery, verejnosť, atď.). Uvedené možnosti sú podrobnejšie popísané v ďalších častiach Miesto Ak je primárnou subsieťou miesto, každá budova, oddelenie atď. bude mať pridelený určitý počet adries. Dôraz je v tomto prípade kladený na optimalizáciu trasovacích tabuliek (angl. routing tables). Všetky siete na jednom mieste budú agregované do jednej trasy v trasovacej tabuľke, čím sa zabezpečí kompaktnosť trasovacej tabuľky Typ použitia Ak je primárnou subsieťou typ použitia, nie je možné použiť trasovaciu optimalizáciu vyššie, pretože typy použitia sú rozmiestnené na viacerých miestach. Väčšina routerov však s tým praxi nebude mať problém. Táto možnosť výrazne uľahčuje implementáciu bezpečnostnej politiky. Väčšina nastavení firewallov je založená na type použitia a nie na umiestnení v sieti. Firewally preto častokrát vyžadujú pre jeden typ použitia iba jednu politiku Odporúčanie Vzhľadom na informácie uvedené vyššie, odporúčame zavedenie primárnych sietí založených na typoch použitia, čím sa výrazne uľahčí integrácia s existujúcimi politikami a opatreniami. Dôvody pre zavedenie primárnych subsietí založených na mieste však môžu byť: 2) Počet možných kombinácií pre 4 bity miest 3) Počet možných kombinácií pre 4 bity typov použitia 4) Počet možných kombinácií per 8 prideliteľných bitov

8 Niektoré miesta budú mať vlastný adresný plán. Routre nedokážu spracovať veľký počet trás bez ďalšej agregácie. 4.4 Určenie adresového priestoru potrebného pre zvolený adresný plán V rámci tohto kroku je potrebné určiť, ktorá časť 16 bitov voľného adresového priestoru (viď. kapitola 2.3) je potrebná pre zvolený adresný plán. Počet skupín v primárnej subsieti určuje počet potrebných bitov. Jeden bit môže obsahovať 2 skupiny (21), 2 bity môžu obsahovať 4 skupiny (22), atď. (vid. príloha). Počet skupín sa môže určiť nasledovne: 1. Najprv sa určí počet miest alebo typov použitia vo vašej organizácii. Každé miesto alebo typ použitia počítajte ako jednu skupinu. 2. Počet sa zvýši o jednu skupinu (potrebné pre chrbticovú a inú infraštruktúru). 3. Ak bolo zvolené použitie primárnych subsietí založených na mieste, pridáva sa ďalšia skupinu pre všetky siete, ktoré nemajú pevné miesto. Takýmito sieťami sú napr. VPN a tunely. V prípade založenia primárnej subsiete na type použitia sa tento bod ignoruje. 4. Pridáva sa jedna alebo dve skupiny vzhľadom na umožnenie budúcej expanzie. V prípade subsietí založených na typoch použitia sa odporúča zvážiť vyšší počet. 5. Pre vytvorenie praktického adresného plánu by mal byť počet blokov, do ktorých sa rozdelí adresový priestor, deliteľný číslom 2. Počet bitov z krokov 1 až 4 sa preto zaokrúhli hore k najbližšiemu číslu, deliteľnému 2. Výsledkom bude počet skupín primárnej subsiete. Použitá metóda je vysvetlená v nižšie uvedených príkladoch, pričom detailnejší popis je uvedený aj v kapitole 5. Príklad 1: Podsieť založená na mieste V tomto príklade sú primárnymi subsieťami miesta. Počet potrebných skupín bude: Počet miest: Chrbticová alebo iná infraštruktúra: Siete bez určeného miesta: Budúce miesta: Spolu: Tri skupiny Jedna skupina Jedna skupina Dve skupiny Sedem skupín

9 Vzorová sieť bude vyzerať takto: Keď sa získané číslo zaokrúhli hore k číslu deliteľnému 2, výsledkom bude osem podsietí. Zavedenie takéhoto počtu primárnych subsietí do IPv6 adries si bude vyžadovať 3 bity (L) (2 3 = 8, viď. aj príloha). Distribúcia bitov bude potom nasledovná: 2001:db8:1234: L L L B B B B B B B B B B B B B ::/64 K dispozícii bude 13 voľných bitov (B). Príklad 2: Podsieť založená na type použitia V tomto príklade sú primárnymi subsieťami typy použitia. Počet potrebných skupín bude: Počet typov použitia (zamestnanci, študenti, hostia, servery a VPN): Chrbticová alebo iná infraštruktúra: Budúce typy použitia: Spolu: Päť skupín Jedna skupina Štyri skupiny Desať skupín

10 Vzorová sieť bude vyzerať takto: Keď sa získané číslo zaokrúhli hore k číslu deliteľnému 2, výsledkom bude 16 podsietí. Zavedenie takéhoto počtu primárnych subsietí do IPv6 adries si bude vyžadovať 4 bity (G) (2 4 = 16). Distribúcia bitov bude potom nasledovná: 2001:db8:1234: G G G G B B B B B B B B B B B B ::/64 K dispozícii bude 12 voľných bitov (B). 4.5 Voliteľné sekundárne podsiete Ostávajúce bity môžu byť v rámci zvoleného adresného plánu použité pre číslovanie sekundárnych subsietí. Ak sú primárne subsiete založené na miestach, viaceré siete môžu byť adresované prostredníctvom miesta; ak sú primárne subsiete založené na typoch použitia, adresované môžu byť napr. viaceré študentské siete, či siete serverov. Ostávajúce bity môžu byť použité aj na kombináciu subsietí podľa miesta alebo typu použitia. Keď je subsieť založená na mieste ako v príklade 1 a sekundárna sieť bude založená na type použitia ako v príklade 2, výsledok bude nasledovný: 2001:db8:1234: L L L G G G G B B B B B B B B B ::/64 Podľa tohto adresného plánu je vytvorený priestor pre 8 miest, kde každá používa 16 typov použitia. Pre každý typ použitia je k dispozícii ďalších 512 (2 9 vďaka 9 voľných bitom) sekundárnych subsietí. Uvedená kombinácia primárnych a sekundárnych subsietí používa primárne siete založené na mieste. Tento postup zjednodušuje optimalizáciu trasovacích tabuliek, ale komplikuje tvorbu

11 bezpečnostnej politiky. Politiky firewallov sú aplikovateľné iba na základe prvých čísiel adresy, zatiaľ čo adresa v tomto prípade začína miestom a nie typom použitia. S cieľom zjednodušiť dizajnovanie bezpečnostnej politiky je kombináciu možné otočiť, čím sa primárnou sieťou stanú typy použitia podľa príkladu 2 a sekundárnymi subsieťami miesta podľa príkladu 1. Výsledok bude nasledovný: 2001:db8:1234: G G G G L L L B B B B B B B B B ::/64 Typ použitia je v tejto adrese na prvom mieste a preto nebudú mať firewally s jej použitím žiadny problém. Vzhľadom na praktickosť sa odporúča použiť práve tento systém. 4.6 Kontrola Spočítaním počtu bitov ostávajúcich po vytvorení primárnych a sekundárnych subsietí je možné overiť, či vytvorený adresný plán zodpovedá vašim požiadavkám. Ak bude po vytvorení primárnych subsietí typu miesto potrebné ešte vytvorenie viacerých študentských sietí na každom uvedenom mieste, musí na to ostať dostatok bitov. V príklade v kapitole 4.5 ostalo k dispozícii 9 bitov, čo poskytuje pre každý typ použitia a miesto 512 (29) možných hodnôt. Takáto hodnota je obvykle viac než dostatočná. 4.7 Odchýlka Ak nie je počet zostávajúcich bitov dostatočný, je možné to kompenzovať priradením primárnych a sekundárnych subsietí. V predchádzajúcom príklade boli použité 4 bity pre typy použitia a 3 bity pre miesta, čo ponechalo k dispozícii 9 bitov pre vytvorenie 512 sietí. 2001:db8:1234: G G G G L L L B B B B B B B B B ::/64 Aj keď je tento počet väčšinou dostatočný, môže sa stať, že pre jedno miesto bude potrebných napr VPN sietí. Toto je možné uskutočniť zmenou priradenia primárnych a sekundárnych subsietí, IPv6 adresy sa však stanú ťažšie dekódovateľné v hexadecimálnom formáte. Ďalšou možnosťou je rezervovať v rámci subsietí pre typy použitia štyri skupiny pre VPN siete. Ak zatriedime čísla týchto štyroch skupín v zoskupeniach binárnych čísiel (decimálne: 0-3, 4-7, 8-11 z 12-15; hexadecimálne: 0-3, 4-7, 8-B, C-F), stále ich bude možné spravovať jednou politikou firewallu. Skupiny potom môžu vyzerať takto: 0 Chrbticová a iná infraštruktúra 1 Servery 2 Budúci rozvoj 3 Budúci rozvoj 4 Zamestnanci 5 Študenti 6 Hostia 7 Budúci rozvoj

12 8 VPN 9 VPN A VPN B VPN C Budúci rozvoj D Budúci rozvoj E Budúci rozvoj F Budúci rozvoj 4.8 Čitateľnosť Ak je k dispozícii dostatok bitov, je možné ich použiť tak, aby boli IPv6 čitateľnejšie. Každá hexadecimálna cifra v IPv6 adresy je ekvivalentná 4 bitom. Zvolením priraďovacieho systému založeného na násobkoch 4 bitov bude každá skupina korešpondovať s jednou cifrou v IPv6 adrese. V nasledovnom príklade boli použité 3 bity pre miesto a 4 bity pre typ použitia. Použitím 4 bitov pre miesto sa zvýšila čitateľnosť, pretože miesto aj typ použitia sú potom pohodlne rozvrhnuté do 4-bitovej skupiny: 2001:db8:1234: L L L G G G G B B B B B B B B B ::/ :db8:1234: G G G G L L L L L B B B B B B B B B ::/64 z čoho sa stane: 2001:db8:1234: L L L L G G G G B B B B B B B B ::/64 Štyri L bity sú v IPv6 adrese zobrazené ako jedna hexadecimálna cifra, rovnako ako štyri G bity. Výsledkom bude nasledovná štruktúra adries formátu IPv6: 2001:db8:1234:LGBB::/64 Navrhnutý systém umožňuje jednoduché určenie tak miesta (L), ako aj typu použitia (G).

13 4.9 Použitie čísiel typu VLAN Niektoré organizácie už aj v súčasnosti zahrnuli miesta a/alebo popisy typov použitia v ich číselnom pláne typu VLAN. V tomto prípade je vhodnejšie zvážiť priame prebranie týchto čísiel do adresného systému IPv6, než postupovať podľa vyššie uvedenej metódy. Prebratie je možné aj ak VLAN nie je založený na miestach ani na typoch použitia. Systémoví správcovia budú na základe takéhoto princípu schopní jednoducho identifikovať vzťahy medzi VLAN a IPv6 adresami. Nevyužitie miest alebo typov použitia však zabráni optimalizácii bezpečnostných politík a trasovacích tabuliek, preto sa tento postup neodporúča. Číslo VLAN má dĺžku 12 bitov, zatiaľ čo IPv6 adresa poskytuje 16 bitov. Ak sa v adresnom pláne použije iba číslo VLAN, časť IPv6 príde nazmar. Menším organizáciám to však pravdepodobne nespôsobí žiadne problémy, dokonca to môže byť pre ne praktické. Existujú dve metódy vysporiadania sa s touto situáciou: 1. VLAN čísla môžu byť začlenené do IPv6 adries decimálne. Hexadecimálne cifry od A po F nebudú využité. Tento formát je ľahko čitateľný, ale je nevhodnejší pre implementáciu politík firewallov, ktoré sú založené na bitoch v adrese, a sú preto kombatibilné s hexadecimálnym formátom. 2. VLAN čísla môžu byť začlenené do IPv6 adries hexadecimálne. Jedno hexadecimálne číslo IPv6 adresy zostane nevyužité. V prípade nevyužitia ľavej cifry 0, stále je možné použiť cifry od 1 po F pre hexadecimálny zápis. Napr.: Číslo VLAN IPv6 decimálne IPv6 hexadecimálne :db8:1234:0001::/ :db8:1234:0001::/ :db8:1234:0012::/ :db8:1234:000c::/ :db8:1234:4094::/ :db8:1234:0ffe::/ Reverzia VLAN zápisu do IPv6 štruktúry Existujú aj možnosti pre reverziu predtým definovaných VLAN zápisov. Ak sú čísla VLAN priradené najprv podľa miesta a potom podľa typov použitia, je stále možné priradiť IPv6 adresy v opačnom poradí, najprv podľa typu použitia a potom podľa miesta. V nasledujúcom príklade VLAN štruktúry je hexadecimálny zápis miesta a typu použitia vložený medzi zátvorky: Číslo VLAN Miesto Typ použitia 0001 (001) 0 (0) 1 (01) 0529 (211) 2 (2) 17 (11) 4094 (FFE) 15 (F) 254 (FE) 4 bity čísla VLAN v tomto príklade identifikujú miesto. Ostatných 8 bitov popisuje typ použitia. Priamym skopírovaním do IPv6 adresy je možné optimalizovať trasovaciu tabuľku, nie však bezpečnostnú politiku. Dôvodom je, že miesto sa nachádza na začiatku adresy. Ak by IPv6 adresy mali byť optimalizované s ohľadom na bezpečnostné politiky, typ použitia musí byť na začiatku adresy. Toto je možné dosiahnuť presunom prvých 4 bitov VLAN čísla

14 (popisujúcich miesto) na posledné 4 bity IPv6 subsiete. Posledných 8 bitov VLAN čísla (popisujúcich typy použitia) budú tým pádom presunuté pred uvedené 4 bity Hexadecimálny zápis Príklad hexadecimálneho zápisu je uvedený nižšie, pričom hexadecimálny zápis miesta a typu použitia je vložený medzi zátvorky. Číslo VLAN Miesto Typ použitia IPv6 hexadecimálne 0001 (001) 0 (0) 1 (01) 2001:db8:1234:0010::/ (211) 2 (2) 17 (11) 2001:db8:1234:0112::/ (FFE) 15 (F) 254 (FE) 2001:db8:1234:0fef::/ Decimálny zápis Podobný systém zápisu môže byť použitý aj ak je číslo VLAN rozdelené decimálne. Ak napr. prvé dve cifry označujú miesto a posledné dve cifry typ použitia, v IPv6 adrese to môže byť opačne: Číslo VLAN Miesto Typ použitia IPv6 decimálne :db8:1234:0100::/ :db8:1234:2905::/ FE 2001:db8:1234:9440::/ Adresovanie prepojení typu bod po bode Ak používate prepojenia typu bod po bode (angl. point-to-point), použitie adries typu /64 môže v kombinácii s niektorými konfiguráciami routerov predstavovať problém. Nepoužité adresy /64 systému sú na jednej alebo druhej strane vrátené routerom späť. Dáta zaslané na takúto adresu budú teda vracané medzi routermi tam a späť ako ping-pingové loptičky, čo spôsobí nechcenú záťaž siete. V niektorých prípadoch preto môže byť praktické pre tieto prepojenia použiť namiesto prefixu /64 prefix typu /127. Poznámka: takáto konfigurácia väčšinou funguje, avšak nie je v súlade so štandardmi IPv6. V adresnom pláne sa pre takéto prepojenia odporúča zarezervovať prefix typu /64, a to aj keď sa používa iba prefix typu /127. V okamihu korekcie konfigurácie routera dodávateľom je možné použiť prefix typu /64 bez potreby modifikácie adresného plánu. 5. Podrobné príklady 5.1 Priraďovanie iba podľa typu použitia Nasledovný príklad popisuje subsieť pre typy použitia, ktorý rozlišuje nasledovné skupiny: Počet typov použitia (zamestnanci, študenti, hostia, servery a VPN): Chrbticová alebo iná infraštruktúra: Spolu: Štyri skupiny Jedna skupina Päť skupín

15 Keď sa získané číslo zaokrúhli hore k číslu deliteľnému 2, výsledkom bude 8 primárnych podsietí. Zavedenie týchto subsietí do IPv6 adries si bude vyžadovať 3 bity (2 3 = 8). Tri nevyužité bity poskytnú dostatočné miesto pre budúci rozvoj. Zo 16 bitov k dispozícii sa využili 3, ostáva ich teda ešte 13, pričom sa využila možnosť nerozdeľovať ich medzi sekundárne siete. S cieľom zvýšiť čitateľnosť sa pre každý typ použitia využijú 4 bity, takže zostane ešte 12 bitov. Toto poskytne pre každý typ použitia adresový priestor pre 4096 (2 12 ) možných sietí: 2001:db8:1234: G G G G B B B B B B B B B B B B ::/64 Výsledkom je teda nasledovná adresová štruktúra: 2001:db8:1234:GBBB::/64 Pre ilustráciu uvádzame popis štruktúry aj vo forme tabuľky: Typ použitia (G) Prideliteľné (B) Sieť Infraštruktúra (0) :db8:1234:0000::/64 Infraštruktúra (0) :db8:1234:0001::/64 Infraštruktúra (0) :db8:1234:000c::/64 Infraštruktúra (0) :db8:1234:0064::/64 Študenti (1) :db8:1234:1000::/64 Študenti (1) :db8:1234:100c::/64 Študenti (1) :db8:1234:1141::/64 Atď. 5.2 Prideľovanie podľa typu použitia a miesta V tomto prípade sa navrhuje primárna subsieť založená na type použitia a sekundárna subsieť založená na mieste. Rozlišujú sa nasledovné typy použitia: Počet typov použitia (zamestnanci, študenti, hostia, servery a VPN): Chrbticová alebo iná infraštruktúra: Spolu: Štyri skupiny Jedna skupina Päť skupín Keď sa získané číslo zaokrúhli hore k číslu deliteľnému 2, výsledkom bude 8 primárnych podsietí. Zavedenie týchto subsietí do IPv6 adries si bude vyžadovať 3 bity (2 3 = 8). Tri nevyužité bity poskytnú dostatočné miesto pre budúci rozvoj.

16 Tento príklad predpokladá existenciu 35 miest. Ak sa použije 6 bitov, k dispozícii bude adresový priestor pre 64 (2 6 ) miest, čo je viac ako dostačujúce. Zatiaľ sa primárnym a sekundárnym sieťam pridelilo 9 bitov, takže ich zostáva ešte 7. Tieto sa môžu využiť na vytvorenie 128 (27) sietí pre každý typ použitia a miesto. V tomto príklade sa využila možnosť nevykonávať žiadne modifikácie v súvislosti s čitateľnosťou. V skutočnosti sa takéto modifikácie odporúčajú, ale v tomto príklade sa demonštruje dopad neoptimálneho adresného plánu na čitateľnosť. Štruktúra IPv6 adries je teda nasledovná: 2001:db8:1234: G G G L L L L L L B B B B B B B ::/64 Je evidentné, že v adresách nemôžu byť trasované skupiny: Typ použitia (G) Miesto (L) Prideliteľné (B) Sieť Infraštruktúra (0) Neviazané k :db8:1234:0000::/64 miestu (0) Infraštruktúra (0) Neviazané k :db8:1234:0001::/64 miestu (0) Infraštruktúra (0) Neviazané k :db8:1234:0002::/64 miestu (0) Infraštruktúra (0) Miesto :db8:1234:0080::/64 Infraštruktúra (0) Miesto :db8:1234:1180::/64 Študenti (1) Neviazané k :db8:1234:2000::/64 miestu (0) Študenti (1) Miesto :db8:1234:208c::/64 Študenti (1) Miesto :db8:1234:3189::/64 Atď. 5.3 Zvyšovanie čitateľnosti Metóda prideľovania z predchádzajúceho príkladu môže síce fungovať perfektne, ale rozlišovanie adries je však veľmi náročné. S cieľom zvýšiť čitateľnosť sa preto adresy rozdelia na skupiny po 4 bitoch. Pre typ použitia sa použijú 4 bity a pre miesta 8 bitov. Toto ponechá pre vytváranie sietí pre každý typ použitia a miesto 4 bity, je však potrebné overiť, či je tento počet dostatočný. Príkladom ich nedostatočnosti je potreba viac ako 16 (24) študentských sietí pre jedno miesto. V tomto prípade je možné použiť extra odchýlku o jeden bit pre typ použitia ako to bolo popísané v kapitole 2.4. Situácia je teda nasledovná: 2001:db8:1234: G G G G L L L L L L L L B B B B ::/64 Vytvorí sa nasledovná štruktúra adries:

17 2001:db8:1234:GLLB::/64 Pre ilustráciu sa uvádza popis štruktúry aj vo forme tabuľky: Typ použitia (G) Miesto (L) Prideliteľné (B) Sieť Infraštruktúra (0) Neviazané k :db8:1234:0000::/64 miestu (0) Infraštruktúra (0) Neviazané k :db8:1234:0001::/64 miestu (0) Infraštruktúra (0) Neviazané k :db8:1234:0002::/64 miestu (0) Infraštruktúra (0) Miesto :db8:1234:0010::/64 Infraštruktúra (0) Miesto :db8:1234:0230::/64 Študenti (1) Neviazané k :db8:1234:1000::/64 miestu (0) Študenti (1) Miesto :db8:1234:101c::/64 Študenti (1) Miesto :db8:1234:1239::/64 6. Správa serverov 6.1 Adresovanie hostiteľských serverov Úvod Po tom ako je vytvorený adresný plán pre IPv6 siete, je možné prejsť k adresácii hostiteľských serverov v sieti. Existujú tri základné spôsoby ako to urobiť: bezstavová automatická konfigurácia [StateLess Address Auto Configuration] (SLAAC), protokol pre dynamickú konfiguráciu servera IPv6 [Dynamic Host Configuration Protocol for IPV6] (DHCPv6), statické IPv6 adresy. Pre väčšinu klientov sa odporúča automatická konfigurácia pomocou SLAAC alebo DHCPv6, pretože to výrazne uľahčuje riadenie. Po správnej implementácii to zároveň zvyšuje súkromie používateľov. Statická konfigurácia je odporúčaná iba pre zariadenia ako routery, switche, firewally a servery Bezstavová automatická konfigurácia (SLAAC) SLAAC je najľahším spôsobom ako prepojiť hostiteľské servery v IPv6 sieti. Router pošle Router Advertisements (ďalej len RAs ) a hostiteľské servery použijú informáciu v RAs v kombinácii s ich MAC adresami na priradenie IPv6 adresy. Ak v jednej sieti pošlú RAs viaceré routre, hostiteľské servery budú načúvať RAs aj konfiguračným adresám v oboch sieťach. Táto vlastnosť môže byť využitá k zahrnutiu určitej úrovne redundancie.

18 6.1.3 Súkromné rozšírenia [privacy extensions] Niektoré operačné systémy používajú okrem SLAAC aj súkromné rozšírenia. Tieto budú v závislosti od operačného systému prednastavené ako aktívne alebo neaktívne. Súkromné rozšírenia zaručujú, že tretie strany nevidia akú sieťovú kartu hostiteľský server používa. V štandardom SLAAC je táto informácia viditeľná, pretože k prihlasovaniu k sieti sa využíva MAC adresa. Keďže rovnaká MAC adresa sa používa k prístupu k rôznym sieťam (napr. cez smart telefóny), tretie strany dokážu identifikovať použitie rovnakého hostiteľského servera. Súkromné rozšírenia využívajú pre každý hostiteľský server viaceré náhodné adresy, čím sa efektívne zabráni ich jednoduchému vystopovaniu. Použitie súkromných rozšírení v kombinácii so SLAAC je však problematické, pokiaľ si správcovia sietí želajú sledovať kto a kedy využil tú-ktorú IPv6 adresu. Jedným z riešení je použitie centrálneho koordinovaného prideľovania adries prostredníctvom DHCPv6 (viď. kapitola 6.1.4). Nepodporujú to však všetky súčasné operačné systémy takýmto je napr. MAC OS X. Softvér DHCPv6 nie je ani štandardne nainštalovanou súčasťou distribúcií Linuxu a BSD Protokol pre dynamickú konfiguráciu servera IPv6 (DHCPv6) DHCPv6 môže byť implementovaný dvomi spôsobmi: Môže spolupracovať so SLAAC tak, že poskytuje hostiteľom všetky informácie, ktoré neposkytuje SLAAC, ako napr. DNS domény a servery a NTP servery. DHCPv6 môže byť použitý ako náhrada SLAAC, v tomto prípade sú IPv6 adresy explicitne distribuované DHCPv6 serverom. DHCPv6 môže poskytovať väčšiu kontrolu, ale nie všetci hostitelia ho podporujú. Ak sú adresy priraďované cez DHCPv6, odporúča sa naprogramovať switche tak, že hostitelia môžu používať iba adresy, ktoré im priradí DHCPv6. Upozornenie: toto nie je štandardom pre IPv4 ani IPv6. Mnoho dodávateľov si pre IPv4 implementovalo vlastné bezpečnostné politiky. Iba niekoľko switchov ponúka túto bezpečnosť pri IPv6. Vzhľadom na to je stopovateľnosť založená na MAC adrese zatiaľ stále najvhodnejším riešením tejto situácie Statické adresy Priraďovanie statických IPv6 adries sa odporúča iba pre zariadenia ako napr. routre, switche, firewally a servery. Automatická konfigurácia takýchto zariadení môže v dlhodobom meradle viesť k problémom. Ak sa napr. nahradí sieťový adaptér na serveri, zmení sa aj SLAAC adresa servera a nastane významné riziko, že osoba, ktorá vymieňa sieťový adaptér, zabudne modifikovať parametre servera v DNS. S cieľom zvýšenia vystopovovateľnosti dôležitých zariadení sa odporúča zahrnutie celej IPv4 adresy alebo jej časti do IPv6 adresy. Podrobnejšie informácie sú uvedené v kapitole 3.2. Záverečná informácia Tento manuál bol vypracovaný na základe dokumentu organizácie SURFnet bv, ktorý bol preložený do angličtiny organizáciou RIPE NCC.

19 Príloha Pomery medzi skupinami a bitmi Počet skupín Počet bitov