A zase to IPv6 :-(

21let

Ahoj všem, mám dotaz. Jsem nováčkem v IPv6, mám Mikrotik a na něm nastavenu IPv6 od poskytovatele. Ping na mikrotik z internetu mi funguje bez problémů. Je tady někdo, kdo by mi vysvětlil jak přinutit Centos, který je za mikrotikem k tomu, abych mohl na IPv6 provozovat webový server na Centosu (Apache)? V networking jsem si nastavil IP adresu z rozsahu od poskytovatele a jeho bránu. Když ale z Centosu zkouším pingovat bránu, odpověď je, že je brána nedostupná. Lokální ping na mnou zadanou IPv6 od poskytovatele funguje. Je nutné něco na mikrotiku krom routingu nastavit? Jak vůbec prosím IPv6 funguje, když není potřeba NATu? Mohu tedy na jakémkoli zařízení za Mikrotikem nastavit libovolnou IPv6 adresu z rozsahu od poskytovatele aniž bych ji musel zadávat na Mikrotiku? To vše je závislé jen na tom, že na mé přípojce mi poskytovatel přiřadil IPv6 rozsah? Znamená to tedy, že pokud mám před jakýmkoli zařízením v síti firewall / router, tak je to IPv6 jedno a i tak se proroutuje do internetu?

Děkuji za odpověď a upřesnění

Tomáš

ludvik

To se ptáš na moc věcí zároveň.

Pokud jsi dostal jen jednu IP (nebo i víc, ale jen autokonfigurací), tak ji máš jen na rozhraní mikrotiku. Pokud to potřebuješ dostat i dovnitř sítě, máš asi tak dvě možnosti.

1. Buď routovat - tedy ti musí ISP přidělit rozsah (síť, prefix), který pak máš uvnitř sítě. A to může asi tak dvěma způsoby - DHCPv6 prefix-delegation, nebo prostě staticky (nebo přes PPPoE, ale to neznám a nevím zda používáš).

2. bridge. Tedy vnitřní síť vystavíš ven a i ona bude dostupná pro autokonfiguraci od ISP.

Bez NAT to funguje správně/normálně. Na router přijde paket, podívá se na cílovou adresu, pak se podívá do routovací tabulky a pošle to tam, kam mu ta tabulka ukáže. Pokud nemáš vlastní síť/prefix, tak mu z routovací tabulky vyleze, že je to jeho síť a dál to prostě nepošle.

https://knihy.nic.cz/

zajdee

Podle popisku to skutecne vypada, ze chcete pouzivat stejnou sit (subnet od provozovatele) na RouterOSu i na CentOSu.

To by mohlo jit jen tehdy, pokud byste mel sit od ISP (WAN) i sit s CentOSem (LAN) spojenou na urovni L2 (bridge) nebo na mikrotiku mel aktivni NDP proxy. Obe varianty jsou svym zpusobem spatne/nouzove.

Lepsi je pozadat ISP o delegovani (naroutovani) dalsiho IPv6 prefixu na ten RouterOS a tuhle novou (dalsi) sit pak nastavil na LAN s CentOSem (na CentOSu napr. adresu : a na RouterOSu :, nebo - lepe - je nechte na automatice).

hocimin1

Pocitam, ze kdyz ma mikrotiku, tak uz mu nekdo deleguje nejaky prefix. Ale nemusi to byt pravidlem.

Co zatic tim, ze by jsi nam rekl jakou IPv6 adresu mas, a pripadne zdali mas v ipv6-dhcpv6 client nejaky pool prefix na tvoji LAN stranu a i ipv6-ipv6 pool

21let

Zdravím vás a moc děkuji. Napsal jsem v rychlosti svůj příspěvek a tak upřesním pár věcí.

Od ISP jsem dostal prefix podobný tomuto 2a01::/64 a také IPv6 bránu (2a01 - zde mě jen napadá, že podle prefixu zasahuje tato IP brány do mnou přiděleného rozsahu IP, ne?). Z rozsahu jsem zadal na Mikrotiku v address IPv6 a to 2a01:/64. V Routes jsem nastavil ::/0 na bránu, kterou jsem dostal od ISPka. PING6 na Mikrotik mi z internetu funguje. Když jsem studoval IPv6 na Mikrotiku, všude jsou ukázky, kde je potřeba nastavit DHCP server pro IPv6, já bych nechtěl zatím žádné DHCP, ale statickou adresu z celého rozsahu, kterou jsem dostal od ISP. Dejme tomu, že bych na Centos webovém serveru chtěl mít adresu 2a01:. V networking mám nastaveny tyto parametry:

IPV6INIT=yes

IPV6_AUTOCONF=no

IPV6ADDR=2a01

IPV6_DEFAULTGW=2a01

Ping mi z Centos na bránu poskytovatele nefunguje. Pokud udělám Ping na lokálně nastavenou IPv6 končící :, ping mi projde. V Centos mám podporu IPv6 zapnutou a také povolen firewall. Tracert na bránu poskytovatele skončí jen na IPv6 v Centosu a to :

A má otázka také zní:

1) Na Centos v nastavení IPv6 mám nastavovat bránu od poskytovatele nebo bránu IPv6 Mikrotiku? Pokud bránu Mikrotiku, tak jakou?

2) Je nutností mít na Mikrotiku nastaven DHCPv6 server?

Děkuji

rsaf

Tak jak to je by jsi musel server dát "před mikrotika" přímo na síť od ISP.

Správný postup by byl, aby ISP na tvou přípojku (tvůj router) naroutoval mnohem větší síť než jednu /64 (alespoň /56) a ty si potom dáš /64 na své (teoreticky více než jednu) sítě doma. Jestli to ISP zaroutuje staticky, nebo se použije DHCPv6-PD, jestli na WAN straně bude spojovačka na globálních nebo link-local adresách je pak už v podstatě detail.

V každém případě ty DHCPv6 server provozovat nepotřebuješ, běžně by se u IPv6 měla použít bezstavová autokonfigurace (RA). Teoreticky můžeš potřebovat DHCPv6 klienta aby jsi získal prefix od ISP.

basty

o2 taky dava pouze /64. V jedne instalaci to u nas taky tak dopadne. V4 prozeneme pres router a v6 udelame oklikou mimo router primo lan site z modemu...

ludvik

Ty jsi nic nedostal. To je segment toho poskytovatele. Obdoba toho, co máš pro IPv4. Také tam ON má nějaký segment a v NĚM jednu IP sloužící jako default gateway pro tam zapojené klienty.

Není úplně obvyklé si v takovém případě nějaké adresy sám zvolit. Jestli je ten segment sdílený, můžeš se trefit do již existující IP. Měl bys to nechat na autokonfiguraci (v MK se musí zapnout Accept RA, sice adresy takto získané neukazuje ve winboxu, ale funguje to).

Od ISP jsem dostal prefix podobný tomuto 2a01::/64 a také IPv6 bránu (2a01 - zde mě jen napadá, že podle prefixu zasahuje tato IP brány do mnou přiděleného rozsahu IP, ne?). Z rozsahu jsem zadal na Mikrotiku v address IPv6 a to 2a01:/64.

Zbytek ti napsali už jiní. Ty v podstatě nemáš IPv6, tohle je nepoužitelné (alespoň ne jednoduše a rozumně).

sidi

o2 taky dava pouze /64. V jedne instalaci to u nas taky tak dopadne. V4 prozeneme pres router a v6 udelame oklikou mimo router primo lan site z modemu...

Mě na O2 DSL funguje přidělení /64 IPv6 pro "lokální" síť a normálně to routuju (modem v bridge, mikrotik za ním vytáčí PPPoE).

basty

Jo takto jo, ale ne když mám modem v režimu router a pak další router

rsaf

Tak se nemůžeš divit, když to máš blbě zapojené. I kdyby jsi dostal více jak /64 tak tak by to ten adsl router nejspíše neuměl poslat dál.

basty

O zapojení vyloženě nejde. Jde o to že obecně je přidělována /64 je knicemu.

sidi

O zapojení vyloženě nejde. Jde o to že obecně je přidělována /64 je knicemu.

Záleží o jakou přípojku se jedná. Co se týče domácností, tak tam většinou o IPv6 ani netuší a vzhledem k tomu, že tam je za routerem jediný subnet, tak i /64 stačí.

Speciální požadavky mají většinou firmy a ty mají trochu jiný přípojky, kde větší prefixy určitě nejsou problém.

Zkoušel jsi napsat na O2 o větší prefix, nebo jen jedeš na automatice?

21let

Děkuji všem a mám ještě dotaz.

Mám to chápat, že i když mi dá poskytovatel IPv6 /64, že to nejsem schopen na vnitřní síti za Mikrotikem nastavit? K čemu to pak poskytuje? Tvrdí mi, že celý /64 je můj a pro mou VLAN vyhrazený. Takže si akorát můžu tuto IPv6 nastavit na Mikrotiku a to je všechno? V čem je problém, že nemohu nastavovat tyto IPv6 adresy ani ve vnitřní síti za Mikrotikem? To on si myslí, že místo Mikrotika nasadím Linuxový server a v něm to nastavím? Jsem z toho celý zmatený. S IPv4 problém nemám, ale asi mi fakt nedochází základní funkčnost IPv6, kterou jsem se nikde nedozvěděl :(

basty

No pokud bude modem v bridge a MK bude vytacet pppoe, tak by to jit melo... viz vyse...

Tim padem pres lokalni adresu dostane MK rozsah /64 a ten bude mit MK na lanu...

ludvik

mikrotik = linux.

On ti tedy možná vyhradil /64 segment. Ale přidělil ti ho na WAN stranu - gateway přeci není u tebe. Tedy segment není tvůj, ale jeho.

Je to naprosto stejné, jako s IPv4 ... když ti dá 192.168.66.0/24 a výchozí bránu 192.168.66.1, taky můžeš jednu IP vzít a použít na LAN straně? Ne ... použiješ NAT (a na LAN straně jinou síť). Jenže to s IPv6 nemůžeš.

Jak bys to řešil s IPv4? Před mikrotik (router) dal switch a jednu z IP dal mikrotiku a jinou tomu serveru. Ale to znamená, že ten server není za routerem, ale přímo na síti poskytovatele (byť za switchem, ale toho nějaké IP adresy nezajímají). Opět je to stejné i v tomto IPv6 případě.

Pokud bys chtěl doma routovat veřejné IPv4, tak jak by to šlo? ISP by ti musel také přidělit SEGMENT, který by nasměroval na tvoji WAN adresu. A tvůj router ať se s tím popere jak umí (samozřejmě to lze řešit i pomocí NAT). A v podstatě stejné je to s IPv6, potřebuješ samostatný segment, který může být na tvé LAN straně.

Router přehazuje pakety podle cílových adres, pokud bude mít na dvou stranách stejnou síť, tak z logiky věci bude dost zmatený a tedy nefunkční ...

Typicky se to dělá tak, že ISP na wan stranu nepřiděluje nic, ono to vlastně není potřeba. Nebo i přidělí, ale tobě to může být vlastně fuk. IPv6 na WAN straně tě zajímá jen z toho pohledu, abys to zabezpečil firewallem. Zapomeň na NAT!, zapomeň na NAT!

Ale v konfiguraci oznamování té sítě nastaví, co má tvůj router za možnosti. Pro domácí přípojky je to typicky DHCPv6-PD (prefix delegation). Teprve tam určí, co máš za segment pro svoje potřeby.

Tvůj router pak si pak o ten segment (prefix) za pomoci DHCPv6-client řekne a uloží do ipv6 poolu. Mikrotik umí i vytvořit default route.

Teprve z toho poolu pak ty přiděluješ adresy na svá LAN rozhraní (přesněji: sítě - už jako /64). Ty už pak fungují tak nějak samy, oznamují autokonfiguraci, stanice se samy nastaví, mají-li to povoleno. Ruční konfigurace ala tvůj server je také možná, to je jen tvůj boj, protože ten segment je opravdu jen tvůj.

Také ti místo dhcpv6-pd může nějaký segment naroutovat staticky. Ale opět - musí to být JINÝ segment, než je na wan. Ten pak jen nastavíš na LAN a je to (tvůj router zná jak LAN stranu, tak WAN stranu a má výchozí bránu - nic víc nepotřebuje).

Přečti si tu knihu, posílal jsem odkaz.

Pro jistotu: nemluvím o PPPoE.

21let

Děkuji za vyčerpávající vysvětlení, to je to co jsem potřeboval. Knihu jsem si přečetl z části, to je pak na pár nocí čtení :) Myslím si, že dost věcí už mi dochází. Nevěděl jsem jak se řeší právě to přidělování IPv6 na LAN straně, když je chci mít od poskytovatele. Myslel jsem si ke konci tvého komentáře, že to už chápu, ale je tam jedna část, která mi zase dloube v hlavě. Píšeš, že pokud na WAN nebudu mít nastavenu IPv6, pak ji můžu využít ve vnitřní síti. Když jsem na Mikrotiku nastavil DHCP Clienta a načítám address, tak mi nic nenačítá (asi poskytovatel "neposílá" DHCP), pokud by mi jej poslal, mohu to tak využít s tím, že adresu na WANu nebudu využívat a budu mít jen na LAN straně, je to tak?

Jen bych chtěl upřesnit, že PPPoE ani VDSL nemám :)

ludvik

Ne. To co ti dává on je pro WAN stranu. Nemůžeš to použít na LAN. (tedy krom věci jako NDP proxy, která v mikrotiku stejně není)

Já tím jen naznačoval, že je víc druhů IPv6 adres. V základu dvě - globální a lokální (link-local). Globální jsou ty, co tě zajímají, abys "měl internet". A lokální jsou jen a pouze pro jednu L2 síť (tedy switch) - žádný router je neforwarduje. Ale jinak to jsou adresy jako každé jiné, tedy na propoji mezi tebou a poskytovatelem jdou použít a nemusí tedy na tvé WAN straně žádná globální. Jelikož máš router, stačí to DHCPv6-PD, které umožní nastavit LAN stranu.

Já psal, že ji mít nemusíš, ne, že ji můžeš použít jinde ...

Zamysli se ještě nad jednou věcí. O každé síti musí mít povědomí i celý zbytek internetu. Pokud poskytovatel nastaví něco na svoji síť, tak to také tomu zbytku oznámí. Když ho ty použiješ jinde, tak se to celé rozsype ... poskytovatel na tu tvoji konfiguraci bude kašlat, protože o ní prostě neví (a mít jeden stejný segment na dvou částech sítě je nesmysl). Musíte spolu nějak komunikovat, aby to fungovalo - většinou právě pomocí PD které je standardem pro domácí přípojky.

Napiš svému ISP, že chceš přidělit IPv6 segment třeba /56 a ať ti napíše, jak to udělal ...

21let

Ludvíku, já mu napsal a napsal mi toto:

Dobry den,

IPv4 i IPv6 adresy si v nasi siti musite nastavovat staticky, pro serverove pouziti DHCPv6, pripadne DHCP neni zcela vhodne.

Vas /64 rozsah ma k dispozici tyto IPv6 adresy:

Prvni IP: 2a01-

Posledni IP: 2a01

Pro jistotu zasilam vsechny udaje znovu:

Prefix: 2a01::/64

Gateway: 2a01:

IPv6 adresy, ktere nelze pouzit a jsou pouzity pro nas ucel: 2a01: a 2a01:

Tedy jakou IP adresu ze subnetu pouzijete, je zcela na Vas.

ludvik

Nemám slov. Už jsem všechno řekl.

Další stránka »