Jakým stylem řešíte IPv6 na "Mikrotik bodech"?

peckma · 2024-10-15T07:44:42+00:00

Ahoj, má tu někdo řešenou IPv6 na lokalitách routovaných po Mikrotiku? Zkrátka vesnice, AP routované OSPF a koncáci na bezdrátu? Jak to nejlépe uchopit,?...

skrivy

gemb Koukám, že chceš nasazovat "na Bartoše". Buď všechno nebo nic. Nechci ti do toho kecat, ale tenhle způsob nasazování jsme tady teď viděli a nedopadlo to dobře.

mirek_k

Pokud je všude Mikrotik, dá se to zvládnout.
Z hraničního routeru přiděluji /47 na APčka, kde se routuje.
Z přidělení AP se dále přiděluje /56 na klienta.
Klient je většinou router pro klientskou síť, kde se nastaví adresa s Advertisment a přes domácí wifi v bridgi to běží na čemkoliv. Pokud má klient vlastní router, obvykle není problém převzít PD.
Vše se dá nastavit na statické adresy.
Je třeba samozřejmě nastavit IPv6 firewall a nezapomenout dát rozsahy do QT či SQ.

k3ny

mirek_k /47 na AP a neni to malo? Aktuálne mame /44.

mirek_k

k3ny Myslím, že není. Kolik klientů máte na AP? Např. někde stačí /51, kde při klientech /56 jich na AP může být 32, což nikde nemáme.

ludvik

mirek_k No ... pokud se tam jednomu zblázní TPLINK routřík, tak ti vyžere i /48. Vlastní zkušenost ...

mirek_k

ludvik Jak, když dostane /56?

petrbacina

ludvik TPlinky tohle už pár let nedělají. Nějaké první FW obsahovaly chyby právě tohoto typu, ale jinak si drží jak DUID tak IAID i po restartu. Minimálně C6 a AX všechny,

ludvik

mirek_k Jednoduše, součástí identifikace proti DHCPv6 serveru je IAID, tedy číslo rozhraní. Tplink ho nemá permanentní, ale po každém rebootu jiné. Takže když se zblázní elektrika, napájecí zdroj, nebo dhcp klient ... máš každých pár vteřin novou lease.
Nemluvě o tom, že takovému zařízení nedáš statický příděl pomocí DHCP.

A vyžere to tobě, jako DHCP serveru. Ne sobě jako klientu.

P.S.: /48 jsem přehnal, byl tam menší segment. Ale to je fuk :-)

mirek_k

ludvik Pokud je to takové zařízení, co stále mění IAID či DUID, tak je samozřejmě v tomto scénáři nepoužitelné. Ale i tak si neumím představit, že z AP vyžere víc adres, než má AP k dispozici.

skrivy

ludvik A jak se pak řeší zpětné dohledání uživatele pro potřeby PČR, když rozdáváte adresy mimo nějakou organizovanou alokaci?

m4rk3J

ludvik Tak to není problém, ne? Nebo vy přidělujete klientům prefix jinak než podle MAC adresy? Mně to s MAC přijde jako jediné reálně použitelné. Prostě něco ve stylu dhcpy6d.

zero

petrbacina

Souhlas.
Já byl z toho kdysi neštastnej a plánoval sem se na celou IPv6 vysrat, ale poslední cca rok co dáváme AX, tak to drží.

ludvik

/48 je 65536 podsítí. Pokud si jednu lízne každou vteřinu, stačí mu 18 hodin k likvidaci volného poolu. A to počítám s extra prasárnou /64 pro klienta ... (což samozřejmě nedělám).
Default lease-time na mikrotiku jsou tři dny.

A u mne to byl jeden z prvních, měl jsem tam myslím /54, nebo /52 a přiděloval /60. To šlo fakt rychle pryč :-)

ludvik

skrivy Ty jsi někdy viděl žádost policajtů na IPv6??? :-)

A co by ... dostanou výseč na mapě ať se starají sami.

skrivy

ludvik My tu situaci máme obrácenou - my fízlum adresy poskytujeme (resp. už ne, protože to máme definované jako osobní údaj, který nezpracováváme). Dost často jsme jim 6ky posílali. Když nás moc srali, tak jsme posílali 4ky jako mapované 6ky ve formátu ::ffff:mapovaná(ipv4).

ludvik

Také bych raději dle MAC. Ale diskuse je o mikrotiku ...

Mimochodem jaký dhcpv6 daemon na linuxu podporuje přidělování prefixů dle MAC?

TTT

ludvik https://www.isc.org/kea/ –> na lokalitu máme /35 (aby bylo možné segmenty agregovat) –> pomocí Kea přidělujeme dle MAC uživatelům /48 přes DHCP Relay Mikrotiku –> pomocí scriptu ukládáme routy do mikrotiku –> pomocí OSPF propagujeme v síti –> OSPF routy agregujeme na lokalitě (asi bychom ani nemuseli řešit)

–>> takže by se to dalo zjednodušit na:

pomocí Kea přidělujeme dle MAC uživatelům /48 přes DHCP Relay Mikrotiku –> pomocí scriptu ukládáme routy do Mikrotiku –> pomocí OSPF propagujeme v síti

vecino

TTT Chtěl bych se zeptat ohledně ISC Kea (neřeším teď MK) - pro práci s mac je potřeba mít od ISC zakoupený nějaký ty jejich prémiový hooky a nebo to Kea umí by default v základu? Jak na tom stroji řešíte routovací tabulku přidělených prefixů, aby to přežilo případný reboot routeru?

Díky

hocimin1

Možná by to chtělo nejdřív IPV6 plánování. Bývá takovým standartem /48 pro firemní zákazníky (i domácnosti) a /56 jenom domácnosti. Pokud už toto chci dodržet tak si nemohu na router/AP poslat nic menšího nejméně /47 a to je už dost málo a je lepší víc než míň. Tak v první řadě by bylo dobré vědět jaký máte přidělený prefix na celou IPV6 ? Potom zhruba lokalit a jak to máte routovaný. Pak udělat nějaký plán jak to dělit. Dobré rozdělení na začátku ulehčí práci v budoucnu (určitě kdyby jste dnes dělali znovu IPV4 na stávající síti udělali by jste to jinak a tady tu možnost máte).

no někdo to třeba segmentuje podle vlan a rozhrani na ktterých to je (routuju lokalitu 2a01:bc0::/40) : 2A01:BC01:čísloROUTERU:čísloVLAN::/48

někdo třeba používá klasicky IPV4 adres. že si tam místo písmen zapisuje 1921681001 (ale to je plejtvání), ale zas emu to sedí s jeho sítí a ví kde je hned problém

já používám tu první metodu s VLAN a routery

řeším /40 na AP v průměru je tam 8+ sektorů. Tak mám i dostatek na případné VIP /48 do budoucna.
potřeba jaké IP z prefixu /40 použiji na spojovačky a servisní věci (pokud mám servisní věci na IPV6, není potřeba)

a pak co s tím dál OSPF nebo BGP. Já OSPF, protože každé AP zálohujeme min ze 2 míst.

A pak klasicky DHCP-klient na MK a delegace prefixu /60 dovnitř, aby si případně další routery uvnitř dokázali ještě něco vzít a dál delegovat.

Používáme jak MK tak UBNT obojí to zvládne. Tplink nebo ostatní to umějí (prostě DHCP na WAN a RDNS dovnitř nebo prefix delegation)
samozřejmně buĎ smostatna QUEUE nebo spíše přidat pod hlavní QUEUE zákazníka (jinak mu jde jeden trafik po ipv4 a druhý po IPV6 a rychlost s emu sčítá)
a vpřípadě PPPoE propagujeme /48
klient si leasne, tak pak mu děláme staticky záznam. Protože ne vždy je DUID MAC adresa , někdy to tplink mrvil.

hapi

a já očekával že všichni jedou globálně PPPoE a tuhle věc řešit nemusí protože se to rozděluje z jednoho centra nezávisle na umístění v síti a pěkně popořadě bez nutnosti dopředného alokování.

hocimin1 klient si leasne, tak pak mu děláme staticky záznam. Protože ne vždy je DUID MAC adresa , někdy to tplink mrvil.

takže to fixneš na nějakém DHCP serveru u sektorů/na sektoru? To máš tedy nutnost zasahovat do páteřních prvků a v případě poruchy už musíš znát kompletní konfig páteřního prvku? To je dost omezující. neřeší pak takový páteřní prvek i zmíněné queue takže musí mít i docela výkon?

To bych už snad raději použil MPLS/VPLS+PPPoE případně jinou techniku pro spojení L2 mezi klientem a PPPoE serverem. Což samozřejmě zase vyžaduje na bodě zakončení v mikrotiku.

hocimin1

Tak rozhodně je řešení spousty. Já popisoval jak to mám například já. Myslím si, že většina nemá pppoe vůbec ani neví co to je natož aby měla ipv6( u mě už 5 let).

Ano asi dnes bych kompletně přešel na pppoe, ale po bitvě je každý generál.

Tak já mám napříkld na každém ap RB4011 nebo RB5009 a ten tech 100 SQ zvládne v pohodě, včetně OSPF a routingu a DHCP v4 a V6. Šel jsem cesto: vše co nejblíže ke klientovi, záloha min ze 2 míst, segmentace (v případě poruchy nejde jen jedno AP)

Tak v případě poruchy vždy musíš znát konfig prvků, které meníš-opravuješ. Tak díky automatickým zálohám a evidenci prvků to je celkem jednoduché

Jak říkám je to jedno řešeni z mnoha, ale primárně asi začít adresní plán

peckma

hocimin1

pppoe by se nám líbilo za předpokladu, že Mikrotik zvládne vložit do požadavku "circuit id".
Řešit to u každého zákazníka unikátním jménem a heslem se nám zdá strašně zaostalé.

« Předchozí stránka Další stránka »