Otázky IPv6. Pavel Satrapa, TU v Liberci Pavel.Satrapa@tul.cz

Rozměr: px

Začít zobrazení ze stránky:

Download "Otázky IPv6. Pavel Satrapa, TU v Liberci Pavel.Satrapa@tul.cz"

Viktor Kovář
před 8 lety
Počet zobrazení:

1 Otázky IPv6 Pavel Satrapa, TU v Liberci Pavel.Satrapa@tul.cz

2 Bonus zdarma: Odpovědi

3 Už tam budeme?

4 AMS-IX IPv6 cca 0,5 % provozu

5 Google duben ,81 % září ,87 %

6 Statistiky CZ.NIC 1,13 mil. domén.cz 228 tisíc (20 %) podporuje IPv6 163 tisíc (14 %) má IPv6 mail

7 Webový obsah 6lab.cisco.com

8 Webový obsah ČR jako světová velmoc: 61,22 % metodika: z každé země nejnavštěvovanějších 500 serverů podle Alexa ověřena dosažitelnost po IPv6 přepočítáno podle váhy serverů v ČR podporovalo 79 z 500 největších serverů, ale jednalo se o velké servery

dosažitelnost po IPv6 přepočítáno podle váhy serverů v ČR

9 Proč tak málo?

10 Problémy IPv6 (1) zpětná nekompatibilita uživatel musí mít možnost dostat se k IPv4 zdrojům slepice versus vejce málo služeb uživatelé nemají zájem málo uživatelů poskytovatelé služeb nemají zájem nedostatky protokolu spíše přeháněny má rutinně nasazeno Google a Facebook, NIXy tečou gigabity za sekundu

málo uživatelů poskytovatelé služeb nemají zájem nedostatky protokolu spíše

11 Problémy IPv6 (2) ekonomika vidím holuba na střeše, ale nejprve pořádně vyždímu vrabce v hrsti IPv6 není první technologií s tímto problémem chybí killer application není a nejspíš nebude

12 Zlepší se to? aneb Motivace pro IPv6

13 Vyčerpání IPv4 adres centrální: IANA 3. února 2011 RIR: APNIC 19. dubna 2011 RIPE NCC 14. září 2012 LACNIC září 2014 ARIN březen 2015 AFRINIC 2020

14 Co znamená vyčerpání? RIPE NCC má speciální politiku pro poslední /8 prefix každý LIR z něj může dostat jeden /22 prefix (1024 adres) pevná velikost, bez ohledu na potřeby každý LIR jen jednou prefixů, LIRů

15 Obsazení IPv4 prostoru internetcensus2012.bitbucket.org

16 Masové vracení adres? dobrovolné? chybí motivace nucené? vzbudí značný odpor přineslo by cca 10 let nestojí za námahu RIR nic nepodnikají nepravděpodobné ipv4.potaroo.net

17 Jak získat adresy? stát se LIRem registrace u RIPE NCC zřizovací poplatek 2000 Euro + roční 1800 Euro dostanete jednorázově 1024 IPv4 adres (prefix /22) bonus zdarma: IPv6 podle potřeby koupit od stávajícího vlastníka řídké obsazení lepší šance na nákup ceny postupně porostou

roční 1800 Euro dostanete jednorázově 1024 IPv4 adres (prefix /22)

18 Nová profese adresní makléř

19 Rostoucí složitost sítě Internet se kdysi dávno prosadil díky možnosti přímo komunikovat mezi libovolnými dvěma stroji pak byl vynalezen NAT uchovávání stavu je potenciálním zdrojem problémů vícenásobné NATy komplikace pro správu sítě škálovatelnost? zvykli jsme si (ale pořád se to zhoršuje)

uchovávání stavu je potenciálním zdrojem problémů vícenásobné NATy

20 Náklady na IPv6 obnova hardware nové prvky obvykle umí IPv6 software značné rozdíly jednorázové úsilí správa sítě nutno vyškolit personál a adaptovat nástroje hlídat funkčnost (zkušenost: nedělá problémy)

správa sítě nutno vyškolit personál a adaptovat

21 Krok stranou: IPv6 v praxi síť Technické univerzity v Liberci 70 podsítí 8000 zařízení IPv6 experimentálně od 1999 (nativně!) IPv6 plošně od 2004 prakticky v celé síti dual-stack WWW, DNS i servery DNS pro běžné stroje v doméně.ip6.tul.cz běží a nedělá problémy

22 Perspektiva nákladů pro IPv6 budou klesat z exotiky se stává běžná věc šíří se povědomí a znalosti pro IPv4 porostou adresy NATy a další komplikátory IPv6 dnes často vnímáno jako náklad navíc jak dlouho ještě?

23 Ignorování může být nebezpečné mnohé operační systémy a platformy IPv6 podporují a mají implicitně zapnuto může způsobovat problémy pokud se stroj mylně domnívá, že má k dispozici funkční IPv6 lze zneužít a obcházet přes IPv6 bezpečnostní mechanismy IPv4 viz RFC 7123

24 IPv6 u zákazníků?

25 Zákazník a IPv6 jen IPv6 nemá smysl, lépe dual-stack motivace je problém těžko nabídnout něco hmatatelného využívají některé peer-to-peer služby lze nabídnout veřejné adresy lahůdka pro nerdy marketingová hodnota jsme progresivní technická realizace?

26 Dual-stack páteř páteř dual-stack, podpora IPv6 závisí na zákazníkově HW výhody: koncepční řešení nejméně problémových míst nevýhody: aktivní prvky páteře musí podporovat IPv6 vyžaduje IPv4 adresy

27 IPv4 páteř (1) IPv6 tunelováno lze doporučit 6rd (RFC 5569, 5969) vychází ze 6to4, ale poskytovatel má více kontroly vyžaduje poskytovatelův IPv6 prefix 6rd prefix dalších 32 bitů obsahuje IPv4 adresu IPv6 paket z koncové sítě, jehož adresa začíná 6rd prefixem, je tunelován na obsaženou IPv4 adresu ostatní předávány na 6rd relay (opět 6rd tunelem)

28 6rd přenos IPv6 koncová síť IPv6 Aplikace Aplikace páteř IPv4 domácí směrovač směrovač :db8:a01:203::1 2001:db8:a01:203::1 2a02:598:2::3 2a02:598:2:: :db8:a01:203::1 2001:db8:a01:203::1 2a02:598:2::3 2a02:598:2::3 Internet IPv6 6rd 6rd relay relay 2001:db8:a01:203::1 2001:db8:a01:203::1 2a02:598:2::3 2a02:598:2::3

29 IPv4 páteř (2) výhody 6rd evidentně funguje provozováno několika velkými ISP minimální zásah do páteře jen provoz 6rd relay nevýhody 6rd nutná podpora v zákaznických směrovačích rozvoj páteře závisí na IPv4 možný problém s nedostatkem adres (lze neveřejné)

30 IPv6 páteř vize: IPv4 se do stane pro páteř překážkou zatím pro odvážné Dual-Stack Lite IPv6 funguje nativně zákaznické IPv4 se tuneluje na centrální NAT (jediný potřebuje veřejné IPv4 adresy) centrální NAT pro mapování adres využívá i IPv6 adresu zákaznického prvku lze konfliktní neveřejné adresy

31 Co je nového?

32 Omezení hlaviček dlouhé řetězce rozšiřujících hlaviček jsou oblíbeným nástrojem útočníků všeho druhu bezstavový firewall nedokáže paket posoudit, pokud nemá kompletní hlavičky RFC 7112: všechny rozšiřující hlavičky se musí vejít do prvního fragmentu jinak zahodit datagram a poslat ICMPv6 zprávu

33 Bezpečnost objevování sousedů triky s objevováním sousedů umožňují falšovat automatické konfigurační mechanismy RFC 6980: zákaz fragmentace všech ND paketů porušující pakety potichu ignorovat výjimka: ohlášení certifikační cesty v SEND RFC 7113: vylepšení RA-Guard je třeba prohlížet všechny hlavičky datagramu zahazovat pakety, kde hlavičky přesahují 1. fragment

34 MAC adresy v DHCPv6 RFC 6939 definuje volbu Client Link-Layer Address do předané zprávy vloží DHCP relay server se dozví MAC adresu vzdáleného klienta umožní poskytovat konfiguraci protokolem DHCPv6 podle MAC adres, stejně jako IPv4 implementace (nemění klienta)

35 Výběr adresy RFC 6724 (náhrada RFC 3484) výběr zdrojové a cílové adresy pro datagram změny spíše kosmetické, základní principy zůstávají cílové typicky dodá DNS zdrojové vycházejí z individuálních adres odchozího rozhraní rozšířena tabulka politik potlačení historických prefixů

36 Tabulka politik prefix prio zn poznámka ::1/128 ::/0 ::ffff:0:0/ ::/ ::/32 fc00::/7 ::/96 fec0::/10 3ffe::/ loopback IPv4-mapované (historie) 6to4 Teredo unikátní lokální (ULA) IPv4-kompatibilní (historie) místní lokální (historie) 6bone (historie)

37 Výběr zdrojové adresy stejná adresa odpovídající dosah vyhýbat se odmítaným preferovat domácí preferovat odchozí rozhraní preferovat prefix ohlášený směrovačem po cestě preferovat shodné značky preferovat dočasné delší shodný prefix

38 Výběr cílové adresy vyhýbat se nedosažitelným odpovídající dosah vyhýbat se odmítaným preferovat domácí preferovat shodné značky preferovat vyšší prioritu preferovat nativní transport preferovat menší dosah delší shodný prefix neměnit pořadí beze změny

39 Řízení tabulky politik nová volba DHCPv6 Address Selection, RFC 7078 umožňuje nastavit tabulku automaticky příznak P preferovat adresy chránící soukromí Address Selection=48 rezerva A P Položky tabulky politik Délka

40 Rezervované adresy 100::/64 zahazování paketů (Remote Triggered Black Hole), RFC 6666) ff0x::db8:0:0/96 dokumentační prefix pro skupinové adresy (Any-Source Multicast), RFC 6676 specifické typy skupinových adres obsahující individuální používat individuální s dokumentačním prefixem

41 Na čem se pracuje

42 6man (1) stabilní adresy zachovávající soukromí (pseudo)náhodný identifikátor rozhraní, který v dané podsíti zůstává stabilní hodnota vychází z prefixu podsítě rozhraní identifikátoru sítě (SSID) počítadla duplicit draft-ietf-6man-stable-privacy-addresses

43 6man (2) 64bitová hranice pro identifikátor rozhraní draft-ietf-v6ops-design-choices skupinové adresy draft-ietf-6man-multicast-addr-arch-update draft-ietf-6man-multicast-scopes zlepšená detekce duplicitních adres řeší smyčky draft-ietf-6man-multicast-scopes

44 v6ops návrh IPv6 sítě nasazení IPv6 v síti organizace draft-ietf-v6ops-enterprise-incremental-ipv6 a v datových centrech draft-ietf-v6ops-design-choices draft-ietf-v6ops-dc-ipv6 zkušenosti s NAT64 draft-ietf-v6ops-nat64-experience

45 Děkuji za pozornost. Dotazy?

Podobné dokumenty

Proč implementace IPv6 vázne? Pavel Satrapa

Proč implementace IPv6 vázne? Pavel Satrapa Pavel.Satrapa@tul.cz Špetka statistik Google AMS-IX IPv6 cca 0,4 % provozu DE-CIX IPv6 cca 0,6 % provozu www.tul.cz celkový počet přístupů z vnitřní sítě TUL