IPv6 v roce 2020

seppuku

ano, link-local stačí. Do té doby, než tě naštve výstup traceroute :-)

naštvat tě to nemusí. Stačí vytvořit fiktivní bridge co nemá žádný porty a umístit na něj klidně /128 adresu a pak se na router dostaneč po IPv6 odkudkoliv a tuhle adresu začne používat i pro odpovědi na tracert a přitom dál lokálně používá LL.

přesně takhle to mám taky :-)

rsaf

Viděl jsem spojovačku řešenou jako /64, ale místo adres : a : byly použity nějaké náhodné delší adresy (něco jako ::), údajně kvůli útokům/scannování (proscannovat všechny : v každé /64 z přídělu není zase takový problém, proscannova celý rozsah už ano...). Co si o tom myslíte?

zajdee

Nahodne adresy jsou videt v traceroute. Skenovat /64 nikdo nebude, skenovat prvnich N adres v bloku uz je samozrejme jednodussi. Pokud chci ale zjistit adresy routeru na ceste, muzu pouzivat traceroute nebo ping s umyslne snizenym TTL, a routery v ceste (pokud maji alespon jednu globalni adresu a nezahazuji ICMPv6 Hop Limit Expired) mi poslusne odpovi s celou svou adresou.

Na ochranu je lepsi pouzit firewall spis nez obfuskaci adres. ;-)

Mimochodem pokud je na spojovacce prirazen /64 on-link rozsah, tak skenovani porad muze vycerpat kapacitu neighbor table (na neosetrenych strojich). Proto je lepsi pro spojovacky pouzit mensi prefix (a je pak na kazdem, jestli pro kazdou spojovacku alokuje /64 z vetsiho bloku /48 a na interface priradi napr. /126, nebo jestli bude alokovat /126 z /64 a na interface prirazovat po /126, neno jestli zvoli nejakou cestu mezi).

okoun

ano, link-local stačí. Do té doby, než tě naštve výstup traceroute :-)

řekl bych že je na to blbej pohled, jednak ospfv3 by mělo kopírovat ospf tedy myslím jako costově takže tracert bych stále dělal jako v4 protože stejně ten primární backend sítě pojede jako v4, takhle to bude ještě hodně hodně dlouhou než bude vše ipv4 only.... přeci jen furt ipv4 se v hlavě lépe pamatuje a dělat na vše revezní dns stojí také trochu práce :(

seppuku

Na ochranu je lepsi pouzit firewall spis nez obfuskaci adres. ;-)

OT/ROFL: von tam není takovej ten přirozenej NAT firewall? to musí bejt nebezpečný!:

ludvik

Měl bys pravdu, kdyby ipv6 bylo stejně spolehlivé, jako ipv4. Bohužel stále není.

A stejná trasa být též nemusí. Třeba chci obcházet NAT.

ano, link-local stačí. Do té doby, než tě naštve výstup traceroute :-)

Kromě toho jsem nemluvil o DNS, ale o adresách. Bez globálních máš v traceroute jen hvězdičky.

---

Ad. loopbacky pro traceroute: dost pochybuji, že takový mikrotik při příchodu nějakého ICMP/UDP paketu bude odpovídat s adresou, kterou si někde u sebe náhodně vybere na nějakém z bridgů (nutno přiznat, že už jsem to dlouho nezkoušel, třeba to tam nějak dobastlili). Ještě bych věřil nějakým specializovanějším routerům, co mají doslova loopback adresu. Ale mikrotik/linux má prostě "jen adresy".

Ano, samozřejmě ji mohu použít pro ostatní běžné služby. Ono to bez toho vlastně ani moc nejde (mám-li více cest a může-li to padat).

hapi

hmm proč ne? při tracertech z globálů ti logicky odpoví globální. Je jedno na jakém iface je když ostatní jsou lokální. Pak router odpoví na globální adresu globální adresou. Je to běžná praxe, nikdo si to tady nevymyslel. Tušim že to je i jako příklad na wiki mikrotiku. Zajistí ti to full IPv6 síť. Když se na router nemůžu dostat přes IPv6 tak to podle mě není IPv6 síť. Navíc to má jednu podstatnou výhodu. Můžeš narvat do jedný /64 všechny OSPF routery a jedním vrzem je chránit na hraničním routeru pravidlem.

Mimochodem, tohle existuje i na IPv4. Když windows nenajde DHCP server tak si nastaví local link adresu v IPv4 což je něco z rozsahu 169.254.0.0/16 čímž zajistí lokální komunikaci s ostatními PC což je to samí jako local-link adresy u IPv6.

zajdee

Na ochranu je lepsi pouzit firewall spis nez obfuskaci adres. ;-)

OT/ROFL: von tam není takovej ten přirozenej NAT firewall? to musí bejt nebezpečný!:
Co bych ti na to asi tak mel rict, abychom nebyli moc offtopic? :

Ad odpovidani z globalnich adres, je to doporucene chovani podle RFC:
recommends that IPv6 addresses that are greater than link-local scope be used as the source IPv6 address for all generated ICMPv6 messages sent to a non-link-local address, with the exception of ICMPv6 redirect messages (as defined in Section 4.5 of ).
Jinak viz tez https://tools.ietf.org/html/rfc7404

zero

OT: je nějaká možnost rozjet IPv6ku na nějakým novějším Teplým Linku, kterej je přímo připojenej k našemu routeru na sajtu?
Máte někdo nasazeno?

rsaf

No záleží, jak IPv6 provozuješ. Třeba DHCPv6-PD?

zero

rsaf
Na tomhle sajtu ještě nijak - mám na výběr. Na routeru je VLANa s IPv4 DHCP a statický leasy pro klienty - cca 150.
K tomu potřebuju IPv6. Na hovno je, že je to mix přímo připojených PC vs. routery různejch značek. Tak přemejšlím jak nejlíp na to. Ale asi pro ty tři lidi, co chtěj IPv6 hodím nějakej MK a udělám DHCP s PD.

skrivy

zero
A takto vznikají technologické dluhy ...

obud

zero

Předpokládám, že first hop router je MikroTik.

Pokud CPE bude také MikroTik, stačí na first hop routeru na potřebném interface zapnut DHCPv6 server a na CPE klientském routeru zapnout DHCPv6 client. Spojovací adresy budou pouze link-local, není tedy potřeba evidovat adresu na WAN straně a co se týče přípojek ukončených na počítačích - tyto počítače zůstanou IPv4-only, budou mít pouze link-local jako doteď.
TP-Link by měl fungovat v této konfiguraci také, testováno před několika měsíci.

Pokud jako CPE budou různorodá zařízení, některé implementace vyžadují ještě zapnutý router advertisement pro nastavení brány. Je tedy na first hop routeru potřeba v nastavení IPv6 -> Addresses na interface přiřadit globální adresu, zapnout volbu Advertise a vůbec ještě před tím v nastavení IPv6 -> ND -> Prefixes -> Default odškrtnout volbu Autonomous. Tím se bude rozesílat router advertisement, ale připojená zařízení si nebudou "bezhlavě" nastavovat adresy. Jediná cesta, jak získat IPv6, bude stále přes DHCPv6 delegací prefixu.

hafieror

obud TP-Link by měl fungovat v této konfiguraci také, testováno před několika měsíci.

Na jaké konfiguraci si to prosím testoval? Zkouším tu Archer C5 a bez úspěchu. Pokud na stejnou větev dám Mikrotik s konfigurací níže, nebo Huawei gpon tak to šlape.

/ipv6 dhcp-server add address-pool=pool interface=bridge-lan name=server1 /ipv6 address add address=::1/64 from-pool=pool interface=bridge-lan /ipv6 dhcp-client add add-default-route=yes interface=pppoe-wan1 pool-name=pool request=prefix /ipv6 nd set [ find default=yes ] disabled=yes add advertise-dns=yes hop-limit=64 interface=bridge-lan mtu=1492 /ipv6 nd prefix default set preferred-lifetime=7h valid-lifetime=7h2m

zero

hafieror

Potvrzuju, testoval jsem teď na AC750 a nejede. Přitom MK bez problémů.

obud

zero Co tam přesně nejede? Můžete poslat nějaké snímky z konfigurace rozhraní?

V červnu jsem určitě zkoušel AC1200 a jelo na první dobrou.
Docela by mě zajímalo, co s tím zase provedli.

hafieror

obud
Nedovedu sem vložit obrázek, ale jediná konfigurace co tam je je:
IPv6 enable
Addressing Type: DHCPv6 nebo SLAAC
IPv6 default gateway pppoe_eth....

obud

Mimochodem, funguje někomu IPv6 v posledních třech verzích airOS 8 na UBNT v režimu routeru? Po upgradu z verze v8.5.x na v8.6.x přestal fungovat forwarding. Po downgradu na v8.5.x to opět začne chodit.

Pomůže změna IPv6 voleb pomocí sysctl. 😀

raket

seppuku Uz je to nejakou dobu fixnuty, ta routa pri pridelu pres dhcp-relay.

Další stránka »