IPv6 nová éra Internetu?

nová éra Internetu? NET4 / L2 Miroslav Brzek Systems Engineer mibrzek@cisco.com Sponsor Logo Sponsor Logo Sponsor Logo CIscoEXPO 1

Agenda 1. Výzvy a problémy dnešního Internetu 2. současný stav 3. V čem je jiný? 4. Migrace na / integrace s 2

Globální Internet dnešní výzvy 1. Dva základní problémy: 2. Nedostatek Globálních i Privátních IPv4 adres Privátní RFC1918 rozsah není dost velký pro mnoho SPs Řešení nabízí a nástroje jako NAT a CIDR 3. Rostoucí velikost Internetové směrovací tabulky V současné době přes 300.000 prefixů Nárůst 2500 prefixů/měsíc Rostou nároky na paměti směrovačů 4

Nárůst počtu připojených uživatelů Kde dojde k vyčerpání IPv4 prostoru nejdříve? Rozvinuté země Pevné sítě Mobilní sítě Rozvojové země Pevné sítě Mobilní sítě Počet uživatelských přípojek Ustálený!!! Ustálený!!! Chytré telefony budou klíčovým spotřebitelem dodatečných IPv4 adres Předpovídaný CAGR: 18%-21%* 17.4% ze všech dodávaných mobilních zařízení v roce 2009** Čína: 120 million uživatelů přistupujících na Internet přes mobilní zařízení... Indie: Mobilní uživatelé Internetu předstihnou tradičně přistupující uživatele * Source: http://www.mobile-tech-today.com/story.xhtml?story_id=65091 5 2010 Cisco Systems, Inc. All rights reserved. Cisco ** Public Source: http://www.ciol.com/biz-watch/news-reports/smartphones-ring-in-healthy-growth-in-2009/5309116823/0/

Nárůst počtu adresovatelných zařízení Kde dojde k vyčerpání IPv4 prostoru nejdříve? Rozvinuté země Pevné sítě Mobilní sítě Rozvojové země Pevné sítě Mobilní sítě Počet zařízení za uživ. přípojkou!!! OK OK OK Která zařízení potenciálně potřebují veřejnou IP adresu? 6

Alokace IPv4 adres 1. Spotřeba IPv4 adres roste exponenciálně 3 2.75 2.5 2.25 2 2. IANA odhady indikují vyčerpání IPv4 adres okolo roku 2012 1.75 1.5 1.25 1 0.75 0.5 0.25 3. Růst ve všech regionech 0 J a n -9 5 J a n -9 6 J a n -9 7 J a n -9 8 J a n -9 9 J a n -0 0 J a n -0 1 J a n -0 2 J a n -0 3 J a n -0 4 J a n -0 5 J a n -0 6 J a n -0 7 J a n -0 8 J a n -0 9 Nejrychlejší nárůst prefixů v Internetové směrovací tabulce je v Asii Alokace adres nejrychlejší v Evropě. 7

Statistika a predikce alokace /8 adresních bloků IPv4 free pool of large IPv4 /8 blocks will expire sometime in 2011/2012 timeframe 1. Větší detaily na http://www.potaroo.net/tools/ipv4/index.html 9

Můžeme zůstat u IPv4? Obchodování s IPv4 prefixy => IP adresy se stávají komerčním zbožím, koupě/pronájem prefixů Překlad IPv4 do IPv4 => Sdílení jedné veřejné adresy více zákazníky 10

Obchodování s IPv4 prefixy 1.Dnešní cena adresního prostoru IPv4 je nízká Víceméně administrativní poplatky Někteří poskytovatelé zpoplatňují možnost pevné veřejné IP adresy 2.S úbytkem volných IPv4 adres cena významně poroste SP budou komerčně nakupovat prostor od jiných organizací, akvizice celých firem 3.Současné alokační IPv4 mechanismy nepočítají s dynamickou realokací adres => problémy!!! Technické problémy zvýšené nároky na směrovací tabulky směrovačů, zvýšení počtu prefixů a jejich prodloužení Bezpečnostní problémy krádeže IP adres (hijacking, false announcements) => Tlak na nové bezpečnostní mechanismy, např. BGP Prefix Origin Validation (RFC draft-pmohapat-sidr-pfx-validate-03) 11

Překlad IPv4 do IPv4 (NAT44) SP Large Scale NAT host IPv4 Customer Router 6TS Internet IPv4 IPv4 host SP NAT Sharing IPv4 address(es) E.g. Carrier Grade Service Engine CGSE IPv4 Internet Subscriber Network SP IPv4-only Network using RFC1918 addresses Internet Cisco Transition Solution (6TS) Carrier Grade NAT = CGN NAT44 12

Nedostatky NAT44řešení Multiple connection applications 1. Google Maps opens ~ 70 parallel connections 2. itunes store has been shown to open as many as 300 parallel connections 3. New apps that have not emerged yet??? 4. IPv4/NAT multiplexes multiple users through the port range, so 64k divided by 300 parallel connections results in ~200 customers per ISP based NAT address (assuming each customer is only allowed to run one simultaneous instance of itunes or similar apps). 5. Services generally don t allow connections from the same host to span multiple public side addresses, so use of more ports on another address will cause the application to fail. 13

Nedostatky NAT44řešení Multiple connection applications Max 20 Connections Source: Shin Miyakawa, Ph.D. NTT Communications Corporation 14

Nedostatky NAT44řešení Multiple connection applications Max 15 Connections Source: Shin Miyakawa, Ph.D. NTT Communications Corporation 15

Jak dál? Nasadit protokol 16

současný stav 5 stavů akceptace protokolu : Odpor; Hněv; Smlouvání; Deprese; Akceptace 4 úrovně požadavků a zájmu uživatelů Očekává se plná parita mezi funkcionalitou protokolu IPv4 a Všechny produkty musí podporovat a plně splňovat požadavky definované DoD nebo certfikací Ready Veškerý HW musí podporovat Nemáme čas se protokolem zabývat (stejně se nikdy nenasadí) 3 základní fakta přechodu na Většina zákazníků není na tento velký skok připravena Zatím není plná parita funkcí mezi IPv4 a Klíčem k úspěchu je plná připravenost na, včetně vzdělávání IT 2 hlavní obavy 1 Pravda Chaotické nasazování protokolu Měnící se požadavky se stává realitou 18

Co ovlivňuje přechod na protokol Nedostatek IPv4 adres Limitace pro nové Internetové technologie Omezení expanze firem na nové trhy jako implicitní a preferovaný protokol v Microsoft OS Peer-to-peer aplikace vyžadují (P2P framework) jakou součást klientských OS Národní IT strategie Compliance: U.S. Federal Mandate, task force Next Generation Internet (CNGI) projekt v Číně a Japonsku Doporučení Evropské komise DOCSIS 3.0,Quad Play Mobile SP Networks in Motion Networked Sensors Vývoj komunikační infrastruktury 19

Kdo dnes používá? Service Providers Carrier Transit services http://www.sixxs.net/faq/connectivity/?faq=ipv6transit Internet exchange Point (IX) NRN & ISP http://www.bgp4.as/internet-exchanges Broadband SP Japan - http://www.ipv6style.jp/en/statistics/services/index.shtml Europe - http://www.sixxs.net/faq/connectivity/?faq=native Mobile SP R&D and Trials for 3G/4G services Service Providers Enterprises U N I V E R S I T Y NRN, Universities, Schools, Research Labs Government agencies, eg. US Federal mandate, Eurocontrol, Military IT Vendors and System Integrators, eg. Cisco, Bechtel, Microsoft, Command Information, IT department deploying Vista, Windows 7 and Server 2008 20

v Evropské Unii 1. V květnu 2008 Evropská komise oznámila, že bude výrazně podporovat nasazení V roce 2010 by 25% uživatelů mělo být schopno přistupovat na Internet přes a mít přístup k hlavnímu obsahu 2. EK prezentovala konkrétní action plan zahrnující mj.: 1. Podpora přístupu k obsahu, službám a aplikacím 2. Vytvoření poptávky po konektivitě a zařízeních prostřednictvím nákupů ve veřejné správě 3. Podpořit připravenost na skrze cílené vzdělávající programy, publikace a univerzitní programy 4. Spolupráce s evropskými organizacemi jako je European Network and Information Security Agency (ENISA) na vytvoření best practice doporučení a vyřešení případných bezpečnostních rizik 21

v České republice 1. První experimentální implementace před deseti lety CESNET 2. ~40% sítí připojených do NIX.CZ již peeruje na, Minimum poskytovatelů nabízí komerčně prefix pro koncové uživatele V současnosti spíše organizace a serverhousing 3. Statistika toku v NIX.CZ 22

v české státní správě 1. Dle usnesení vlády České republiky číslo 727 musí ministři zajistit zpřístupnění služeb/portálů na již do konce roku 2010 a všechny obnovované aktivní prvky musí již nyní umět!!! Vláda:... II. ukládá ministrům a vedoucím ostatních ústředních orgánů státní správy zajistit 1. od 30. června 2009 při pravidelné obnově síťových prvků jejich kompatibilitu s internetovým protokolem verze 6 (), 1. do 31. prosince 2010 přístup k internetovým stránkám a veřejně dostupným službám egovernmentu internetovým protokolem verze 4 (IPv4) i internetovým protokolem verze 6 (); 23

adresace 25

Hlavní výhody 1. Obrovský adresní prostor 2. Jednodušší formát hlavičky paketu Efektivní manipulace s pakety Odstraněn checksum, fragmentace přesunuta na koncové stanice 3. Hierarchická síťová infrastruktura Efektivní směrování možný vysoký stupeň agregace 4. Autokonfigurace a podpora plug-and-play 5. Redukce technologie NAT 6. Optimalizován pro mobilní Internetové aplikace Nové typy peer-to-peer aplikací 7. Vyšší počet dostupných multicast adres 8. Flow labels pro QoS 26

Porovnání záhlaví paketu IPv4 IPv4 záhlaví záhlaví Version IHL Identification Type of Service Total Length Flags Fragment Offset Version Traffic Class Flow Label Time to Live Protocol Header Checksum Payload Length Next Header Hop Limit Source Address Destination Address Options Padding Source Address Legenda Pole v IPv4 i Pole pouze v IPv4 Nové jméno a pozice pole v Nové pole v Destination Address 27

adresní model 1. Adresy jsou přiřazeny rozhraním Změna oproti IPv4: Předpokládá se, že rozhraní je přiřazeno více adres 2. Adresy mají tzv. scope Link Local Unique Local Global Unique Local Link Local Global 3. Adresy mají určitý lifetime Valid a preferred lifetime 28

Typy adres 1. Unicast Adresa jednoho rozhraní. One-to-one delivery. 2. Multicast Adresa skupiny rozhraní. One-to-many delivery. 3. Anycast Adresa skupiny rozhraní. One-to-one-of-many delivery (doručení nejbližšímu rozhraní z dané skupiny) 4. V se nepoužívají broadcast adresy 29

Způsob alokace adres IANA 2001::/3 AfriNIC ::/12 to::/23 APNIC ::/12 to::/23 ARIN ::/12 to::/23 LACNIC ::/12 to::/23 RIPE NCC ::/12 to::/23 ISP ISP ISP/32 /32 /32 ISP ISP ISP/32 /32 /32 ISP ISP ISP/32 /32 /32 ISP ISP ISP/32 /32 /32 ISP ISP ISP/32 /32 /32 Site Site Site/48 /48 /48 Site Site Site/48 /48 /48 Site Site Site/48 /48 /48 Site Site Site/48 /48 /48 Site Site Site/48 /48 /48 30

Alokace adres uvnitř privátní sítě Provider Site Host 48 Bits 16 Bits 64 Bits Global Routing Prefix SLA Interface ID 31

Možnosti dnešních poskytovatelů 1. Zůstat u IPv4 Obchodování s IPv4 prefixy Překlad IPv4 do IPv4 => Sdílení jedné veřejné adresy více zákazníky, neškáluje 2. Zavést Nativní v6 => Podpora v celé síti Překlad /IPv4 a naopak Tunelování => Enkapsulace do současných technologií (IPv4, dual-stack PPP, 6rd = 6 Rapid Deployment) Dual-stack v části sítě/celé síti jako přechodnéřešení MPLS transport => over MPLS 33

Protokolový překlad AFT64 Stateful Translators Any address addresses representing IPv4 hosts IPv4 Mapped Addresses Format is: PREFIX (/96):IPv4 Portion: (optional Suffix) Stateful AFT64 AFT keeps binding state between inner address and outer IPv4+port Supports only host initiated communication NAT64 ALGs are still required NAT64 LSN IPv4 address announced IPv4 Public UE PREFIX:: announced in IGP NAT AFT64 LSN64 Responsible for Synthesizing IPv4-Mapped addresses N:1 Multiple addresses map to single IPv4 A Records with IPv4 address AAAA Records with synthesized Address: PREFIX:IPv4 Portion DNS64 34

Protokolový překlad AFT64 Stateless Translators addresses assigned to hosts IPv4 Translatable addresses Format is: PREFIX:IPv4 Portion:(SUFFIX) addresses representing IPv4 hosts IPv4 Mapped Addresses Format is: PREFIX:IPv4 Portion:(SUFFIX) Stateless AFT64 AFT keeps no binding state <-> IPv4 mapping computed Algorithmically Supports both and IPv4 host initiated communication NAT64 ALGs are still required NAT64 ISP s IPv4 LIR address announced IPv4 Public UE 0::0 announced in IGP NAT Stateless AFT64 LSN64 Responsible for Synthesizing IPv4-Mapped addresses 1:1 Single addresses map to single IPv4 A Records with IPv4 address AAAA Records with synthesized Address: PREFIX:IPv4 Portion:(SUFFIX) DNS64 35

Obecné problémy s překladem adres mezi a IPv4 1. Stavové AFT Nedostupnost škálující implementace Nutnosti zásahů do DNS a většinou i potřeba ALG (application level gateway) NAT-PT (RFC 2766): zneplatněno RFC4966 NAT64 / DNS64: zatím pouze draft, žádná dostupná komerční implementace, podporuje pouze spojení iniciovaná v síti 2. Bezestavové AFT Statický překlad, užírá IPv4 adresní prostor - neškáluje 36

Implementace v podnikové síti Dual Stack NAT-PT Deprecated By IETF /IPv4 IPv4: 192.168.99.1 : 2001:db8:1::1/64 IPv4-Only Segment IPv4 only Server Host Network Configured/ 6to4 Tunnel IPv4 Configured/ 6to4 Tunnel Network Host ISATAP Router IPv4 ISATAP/Teredo Tunneling Dual Stack IPv4 and Addresses 37

Implementace v LAN a campus sítích Dual-stack infrastruktura 1. Všechna L3 zařízení v síti typu dual-stack 2. Distribuční a páteřní L3 přepínače by měly podporovat HW přepínání paketů 3. Z pohledu přístupových L2 přepínačů je transparentní nutná pouze podpora pro MLD snooping, případně ACL a QoS 4. Větší nároky na DRAM a CPU L3 přepínačů Současné směrování protokolů IPv4 a 5. Nativní podpora multicast, standardní implementace QoS, bezpečnostních mechanismů ( ACL) apod. /IPv4 Dual Stack Hosts v6- Enabled v6- Enabled v6-enabled Dual Stack Dual Stack Dual-stack Server Dual Stack Dual Stack Dual Stack L2/L3 v6- Enabled v6- Enabled v6-enabled Přístupová vrstva Distribuční vrstva Páteřní vrstva Agregační vrstva (DC) Přístupová Vrstva (DC) 38

Implementace v LAN a campus sítích Hybridní infrastruktura 1. Kombinace dvou základních metod Dual-stack Tunely manuální nebo automatické (ISATAP) 2. Dual-stack pouze na části síťových zařízení 3. Možnost postupného přechodu na kompletní dual-stack infrastrukturu 4. Tunely vytvářejí překryvnou infrastrukturu 5. ISATAP tunely nepodporují Multicast Not v6- Enabled v6- Enabled v6-enabled Hybrid Model ISATAP Tunnel Dual Stack ISATAP Tunnel Dual Stack L2/L3 Not v6- Enabled v6- Enabled v6-enabled Přístupová vrstva Distribuční vrstva Páteřní vrstva Agregační vrstva (DC) Přístupová Vrstva (DC) Dual-stack Server 39

Implementace v LAN a campus sítích Dedikovaný modul VLAN 2 VLAN 3 1. Rychlé nasazení bez zásahu do stávající komunikační infrastruktury 2. Pevná kontrola a řízení datových toků 3. Přístup koncových stanic k službám prostřednictvím dynamických ISATAP tunelů Přístupová vrstva Distribuční vrstva IPv4 infrastruktura ISATAP Dedikovaný modul Dedikovaný FW 4. Propojení s datacentrovým modulem pomocí např. GRE tunelů 5. Dedikované spojení do sítě Internet pomocí firewallu s podporou Páteřní vrstva Agregační vrstva (DC) IOS FW Internet Primární ISATAP Tunel Záložní ISATAP Tunel Manuální tunel Datacentrový modul IPv4 internet modul 40

Implementace ve WAN sítích 1. IPv4 transport Manuální GRE tunely propojení menšího počtu poboček, podpora multicast a IPSec DMVPN infrastruktura pro větší počet poboček, podpora multicast a IPSec 2. MPLS transport MPLS VPN (6VPE) optimálnířešení jak pro pronajaté MPLS VPN, tak i privátní MPLS VPN sítě over Pseudowires over MPLS ( over EoMPLS/VPLS) alternativnířešení pro privátní MPLS sítě 41

Implementace ve WAN sítích DMVPN infrastruktura 2001:db8:0:1::/64 2001:db8:0:1::/64 IPv4 IPv4 Public Public Network Network Dynamic Spoke to Spoke Tunnel 2001:db8:0:2::/64 2001:db8:0:2::/64 CE SPOKE Static Spoke to Hub Tunnel Static Spoke to Hub Tunnel CE SPOKE NHRP Database CE HUB 2002:db8::/64 2002:db8::/64 1. Hub-spoke nebo full-mesh konektivita 2. mgre tunely mohou být šifrovány pomocí IPSec 3. Podpora multicast komunikací 4. Dobrá škálovatelnost 42

Nasazení ve WAN sítích MPLS VPN (6VPE) IPv4 IPv4 VPN VPN A VPN VPN B CE /IPv4 VRF PE P P PE CE IPv4 IPv4 MPLS MPLS Core Core Dual-Stack CE Router IPv4 IPv4 VPN VPN A VPN VPN B only CE 1. RFC 4659 VRF IPv4 Only P 2. 6VPE využívá stávající IPv4 MPLS VPN infrastrukturu i pro VPN MPLS core používá IPv4 control plane se všemi jeho výhodami jako IGPv4, TE (Traffic Engineering), TE FRR (TE Fast ReRoute)... 3. Stejné funkce jako IPv4 MPLS VPN hub and spoke a overlay VPN sítě, QoS, internet acces... Dual-Stack IPv4/ PE Routers 43

Shrnutí 44

Základní aspekty nasazení 1. IT oddělení by měla uvažovat o jako o klíčovém elementu své IT strategie. Aplikace by měly být nezávislé na transportním protokolu 2. IPv4 a budou po určitou dobu koexistovat. Žádný den D 3. Pečlivé plánování a vzdělávání jsou klíčové aspekty úspěšného nasazení. 4. Implementace /IPv4 infrastruktury musí být škálovatelná, spolehlivá, a bezpečná. 5. není feature, ale další generace síťové infrastruktury pro transparentní end-end služby 45

Implementace podpora ze strany společnosti Cisco 1. Cisco IOS podporuje od roku 2001 2. Většina Cisco produktů podporuje již dnes nebo mohou být jednoduše upgradovány za účelem podpory 3. Ready Logo certifikace pro Cisco 18xx, 28xx, 38xx, 72xx, 76xx, 65xx, 45xx, plynule se certifikují další produkty 4. Veřejně dostupné dokumenty popisující metody přechodu na 5. Společně s našimi partnery nabízíme služby auditu kom. infrastruktury z hlediska její připravenosti na přechod na 6. Cisco ČR - Studie Nasazení ve státní správě 7. Cisco ČR - Cisco demobox pro možnost otestování komunikací 46

Cisco zdroje for free! 1. Cisco website http://www.cisco.com/go/ipv6 2. Configuration Guides Routing: http://www.cisco.com/en/us/docs/ios/ipv6/configuration/guide/12_4/ipv6_ 12_4_book.html Switching: http://www.cisco.com/en/us/docs/switches/lan/catalyst3750e_3560e/soft ware/release/12.2_50_se/configuration/guide/scg.html (look for features routing, multicast, ACLs etc.) 3. Cisco Validated Designs Deploying in Campus Networks http://www.cisco.com/en/us/docs/solutions/enterprise/campus/campipv 6.html Deploying in Branch Networks http://www.cisco.com/en/us/docs/solutions/enterprise/branch/brch. html More on Cisco Validated Design website http://www.cisco.com/go/cvd 47

Otázky a odpovědi Vaše otázky zaslané pomocí SMS na číslo 773 501 255 zodpovíme dnes od 17:45 v místnosti LEO 48

Dotazník Prosíme, vyplňte dotazník s hodnocením prezentace Děkujeme! 49