Jutri svetovni dan IPv6

Nisem ga hotel. Hotel sem pač ipv6 naslov.

Dobil sem zraven še povezovalni segment.

Pri povezovanju.

IP povezovalnega segmenta daš na zunanjo stran routerja, default gateway je T-2jev peer (v tem povezovalnem segmentu). Na notranjo stran daš svoj IPv6 naslov, ki postane default gateway za tvoje mašine.
Ne vem kaj si ti sčaral, ampak zadeva ni dosti drugačna kot pri IPv4. Tudi tam imaš "povezovalni segment" (javni IPv4 naslov) in pa svoj subnet (ponavadi 192.168.x.x, lahko pa tudi javni IPv4 subnet če si l33t)
V osnovi je tako ane, da se pri vsakem routerju spremeni subnet...T-2 ti torej dodeli 2 subneta, eden kjer sta samo tvoj in njihov router (povezovalni) in drugega na notranji strani tvojega routerja za lokalne mašine...

Sem ravnokar dobil odgovorod T-2jevega človeka.

Gre za drugo možnost- njihov router za ta 64/ segment preda paket mojemu routerju, potem se pa ta ukvarja naprej z njim.

To so ja osnove rutanja. Identično kot pri IPv4.

NDP je boljknone novi ARP in z rutingom nima dosti veze. Razen za kliente, za ruter pa skoraj nič.

Klient bi bil če bi zahteval SLAAC opcijo ?

Pa saj /64 sem dobil.

Nekako tako sem laično pričakoval zadeve. Evo ti 16 giga giga naslovni sveženj, preko NDPja zveš vse.

Pričakoval sem, da bo en od teh naslovov moj default gw.

Nije da se bunim, tud tole je videt čisto OK.

Blo bi pa fajn, če bi bil kje kak mini howto.

No,s aj ta opcija mi je nekako bolj všeč koneckoncev...

Se pravi da je native slaac /64 za tiste ki nimajo ruterja, in vsaka masina samostojno komunicira z netom
povezovalni segment /126 + subnet /64 ali max /56, pa za to ce, imas zadaj firewall, in ip pride na firewall, naprej pa od ruterja/firewalla pa sam usmerjas?

ali pa ce mi lahko prosim nekdo zelo po kmecko razlozi.

Čak slaac /64 za tiste brez routerja? To mi pa ne gre v glavo, če ni routerja, imaš doma samo en računalnik ane, pa zihr nisi mislil, kot da je slaac /64 za en sam računalnik?

Jaz razumem kot slaac /64 in opcijo z povezovalcem kot dva različna protokola sporazumevanja, ampak sem 100% da na oba lahko pripneš router, ki dela firewall or whatever. Glavna razlika med tema dvema opcijama bo torej najbrž podpora v routerjih oziroma OSih?

Da, /64 je najmanjša alokacija...za en samcat računalnik brez routerja boš dobil slaac /64. Welcome to IPv6

@Azgard: ne, SLAAC je protokol za avtokonfiguracijo IPv6, neke sorte poenostavljen DHCP. Podpirat ga pa mora praktično vsak router, ki govori IPv6.

Ja nesporazum, sem mislil, da ne štekaš tega :) Se pravi bi ti rad bridging firewall, ki dela na LAN strani SLAAC. out of the box to verjetno ne bo delalo tako kot ti hočeš.

pri SLAAC imaš dve vrsti paketkov v osnovi, eni so router solicitation (ki jih pošlje klient), drugi pa router advertisement (ki jih pošilja router kot odgovor na router solicitation, pa tudi vsake toliko sam od sebe). tvoj firewall bi moral pofejkat advertisemente od pravega routerja (se pravi od ISP-ja). Izvedljivo, ampak mislim da česa takega še ni na voljo. Lahko se pa motim.

Če imaš bridging firewall in SLAAC, potem ne bi rabil nič fejkat?

Najbrž izvedljivo z -WRT na routerju, vprašanje pa kdaj bo out-of-the-box.

Ja, res ne vem, kaj bi rad dodatno. Vse gre skozi tvojo napravo (če jo postaviš) in lahko blokiraš (ali manglaš) kaj češ.

Jaz ne bi rad nič posebnega. Rad bi sam se odločil kater IP izmed /64 bi dodelil kateremu računalniku recimo, namesto da mi to dela ISPjev SLAAC. Lahko da se odločim za svoj SLAAC(pol res nisem dosti naredil:)), lahko da grem statiko. In zdaj je debata, ali bojo komercialni home routerji to znali, ali bodo znali to delat samo v primeru, da ti ISP povezovalni segment da.

Pa recimo T-2jev DHCP za ipv4, ko dobiš dva IPja, tista dva IPja med sabo nimata lokalnega adresa, isto bi bilo sklepam če bi ipv6 ISP ponujal preko SLAAC, torej odpade network sharing diskov, tiskalnikov, itd! Razen če so pri ipv6 kaki drugi protokoli glede lokalnega omrežja? Sam kakor sem jaz videl še vedno dobiš tudi lokalni ipv6, tako kot lokalni ipv4(192.168.x.x)

Lonsarg je 20. jul 2011 ob 00:47 izjavil:

Pa recimo T-2jev DHCP za ipv4, ko dobiš dva IPja, tista dva IPja med sabo nimata lokalnega adresa, isto bi bilo sklepam če bi ipv6 ISP ponujal preko SLAAC, torej odpade network sharing diskov, tiskalnikov, itd!

Zakaj bi odpadel?
To dela lepo na IPv4 in na IPv6 bo tudi.

Kot je b rekel, skrbi te problem, ki ne obstaja.

Glej, brezveze tle nekaj na široko razpravljat kaj bi bilo, če bi bilo. Počakaj, da za IPv6 ne bo potrebnih posebnih prošenj in takrat se bo že našel kdo, ki bo napisal podrobna navodila kako usposobit vse kar bi rad.

Kot sem že napisal prej, vse kar te muči, je izvedljivo, tako ali drugače.

Kaj zdej, se ali se ne vidijo T-2 mašine z različnimi javnimi IPji med sabo:) Problem ni v tehnični izvedbi, komot daš IP 80.x.x.x in 172.x.x.x v isti subnet, tle ni nobenih omejitev, sam jaz bi rekel da T-2 to ne dela.

Ampak dobro, ipv6 ima očitno porihtan subnet že v samem protokolu, torej ne rabiš posebaj ustvarjat subnet, ampak je subnet avtomatsko vse naprave, ki jim SLAAC /64 pošleš, torej niti nima veze, kak se je pri ipv4 T-2 odločil, ker pri ipv6 bo že po specifikacijah subnet delal avtomatsk:)

Firewalla je pa itak samo zgaga. Naj vsaka naprava skrbi zase, vdre se folku v kompe prek lukenj in trojanev, ne zaradi pomankanja firewalla.

You keep using that word. I do not think it means what you think it means.

Mašine se itak "vidijo" drugače bi internet rahlo bogo deloval, ne windows network neighborhood zraven mešat. SMB je med različnimi nodi filtriran (le zakaj..) lokalno pa bolj nepredvidljivo deluje in je bolje če ne delaš tega na tak način. IPv6 naprave uporabljajo link-local naslove za komunikacijo med seboj v istem fizičnem segmentu(od viste naprej naprimer je smb preko ipv6), seveda jih lahko nasloviš tudi s public naslovi a tam uspeh ni garantiran zaradi požarnih zidov. In firewall ni zgaga, tako imaš border firewall kjer prebiraš kaj spuščaš v/iz mreže kar pa ne odpravi potrebo po firewallu na končni napravi, ali obratno.

MrStein verjamem :)

SasoS je 20. jul 2011 ob 10:43 izjavil:

Ne, link-local nima veze z SLAAC. Vsak IPv6 interface ima link-local naslov, tudi če ni nikamor povezan.

Firewall je še kako pomemben...če ga ne bi bilo, se ne bi noben matral s trojanci :)

Ja vsak IPv6 ima link-local. Ta komunimacija preko link-local linkov se pa ustavi pri SLAAC routerju, do tja ni fizičnih ovir, torej ima lokalna mreža še kako veze z SLAAC.
Torej če ti ISP da SLAAC /64 se vidijo vse naprave, ki so naprej od tega routerja, ki to rihta, torej če en prereže kabel, ki pride do tvoje bajte in da vmes switch bo v tvoji lokalni mreži:) Torej T-2. Amis pa Siol imata tunele do bajte, pa pol naprej modem rihta.

Če si paranoičen proti takimi stvarmi rabiš dobit povezovalni segment in sam router namestit v svoji bajti:)

Firewall ti pa pomaga samo v primeru aplikacij z luknjami na interface strani in samo izključno to. To kot prvo je dokaj zanemarljivo proti vsem ostalim varnostnim pomankljivostim. Kot drugo pa lahko tudi frewall na client strani to dela.
Trojance še vedno rabiš.

Ampak v tem primeru, da daš bridge firewall dodatno si namesto, da bi SLAAC router prestavil bližje domu, namesto da je pri ISPju, zakompliciral in raje vmes vrgel še dodatno birdge firewall.

Namesto da bi protokol pravilno sam po sebi omejil do kam grejo link lokal adresi, mora za isto stvar ena naprava vsem paketkom prebiral prefixe, da stvar lavfa:) Dobro je pač rešitev, če dobiš sam switch, da daš pol firewall, da ločiš do kje je subnet.

Mene zanima, če bi ti dejansko si tudi pri ipv6 kar vse porte zaprl z firewallom, da bogi klienti zadi ne bi mogli incoming povezav sprejemat... Jaz upam, da folk tega ne bo delal, ker pričakujem z ipv6 hud porast aplikacij, ki rabijo incoming povezljivost. Ne pa napol delujoč internet samo z outband povezljivostjo.

Lonsarg je 7. jun 2011 ob 15:55 izjavil:

Ja vsaki člen v verigi mora podpirat IPv6, tudi router in skoraj noben home router še ne podpira, razen eni custom firmweri.

Kaj da ne. Npr Dlink DIR-655. Pa vsak cajt še še par routerjev za domačo in zahtevno uporabo.

OmegaBlue je 20. jul 2011 ob 13:22 izjavil:

Kako točno bi protokol po tvoje pravilno (s kristalno kuglo) omejeval "do kam" gredo link-local. Link-lokal se določajo lahko z lokalnim dhcpv6 ali z autokonfiguracijo kjer uporabljajo NDP tako kot pri ipv4 uporabljaš ARP za teženje kdo ima v loklanem segmentu tisti naslov. "Do kam" gre katera zadeva se absolutno ne spremeni in je enako kot na ipv4, določene zadeve so filtrirane s strani ISP-ja.

Kakšno kristalno kroglo, jasno da je router tisti, ki omeji, do kje je lokalno. Sam na velko eni tle pišejo kako bo praksa, da boš imel SLAAC že direkt od ISPja, torej BREZ routerja v bajti. Je pa res malce brezvezno špekulirat o tem, ker je to stvar ISPjev in sploh ne protokola samega.

OmegaBlue je 20. jul 2011 ob 13:22 izjavil:

Firewall ni samo le za preprečevanje napadov na luknjaste aplikacije in če želiš spodobno nastavljeno večje omrežje potrebuješ border, bridge in client firewalle.

Noben ni nikoli govoril o večjih omrežjih. Ti lahko oziroma celo morajo čist za vsak slučaj še razne firewalle, ki so kot backup namestit. Če ne druzga že celo vsem klientom v lastni mreži se ne zaupa.
Pač za določen % bolj varno bo omrežje, statistika. Do neke količine layerjev se splača.

Pri home userjih je pa omejit inbound povezljivost v imenu varnosti bullshit, zanemaljiva pridobitev, glede na to, kaj počne navaden user.

Folk se je tak navadu NATa, ki je hkrati firewall, da mnogi sploh ne znajo več racionalno v svoji glavi premislit o potrebi DODATNEGA border firewalla(klienti skrbijo za varnost na več področjih, en gor dol(firewall) jim nič tok ne olajša delo) border naprava, ki loči lokalno omrežje je za navadnega userja vse kar rabi, pa naj je pri ISPju, ISPjevem modemu/router ali pa tvojemu routerju.

Da ne omenjam, da bi eni imeli firewall, potem pa UpnP vklaplali, da jim p2p deluje. TO JE WORKAROUND ZA IPv4 NAT!
Firewall + UPnP = no firewall z varnostnega stališča!