IP4 to IP6 respektive IP6 to IP4?

Matyas

Leta jsem se snažil vyhýbat protokolu IP6, ale je to čím dál tím těžší a tak bych si rád ujasnil pár věci.
Případ číslo1
Mějme routerboard s veřejnou IP4 který do interní LAN IP4 NATUje a mapuje porty třeba 3389 RDP na 192.168.0.10.
Otázka zní zda a jak umožnit PC i IP 192.168.0.10 přistup na PC s adresou IP6?
Vím,že na to používalo Teredo, ale dal bych přednost řešení na straně routerboardu.
Případ číslo 2
Vlastně to samé, ale opačně routerboard a celá sít je v IP6 a pro změnu potřebujeme zpřístupnit vzdálenou plochu na serveru, který má IP4 a opět předává porty do interní LAN IP4?

Poradíte?
Děkuji

petrbacina

Matyas jsi ISP nebo zákazník? Od toho se to celé odvíjí.

zajdee

Matyas RouterOS zadny meziprotokolovy preklad mezi IPv4 a IPv6 neumi. A pokud s IPv6 zacinate, rozhodne zvolte dual-stack (tedy IPv6 vedle IPv4), jak psal @skrivy.
TL;DR (plati pokud jste ISP i zakaznik, lisi se v detailech):

ziskejte blok IPv6 adres (alespon /64) pro LAN a naroutujte ho na routerboard (pokud nadrazeny router podporuje DHCPv6-PD, jde to automatizovat; jinak je potreba rucni konfigurace)
k siti z bodu 1 (napr. "2001:db8:dead:beef::") pripojte koncovou adresu (napr "1") a vyslednou adresu i s maskou site (napr. "2001:db8:dead:beef::1/64") na routerboardu nakonfigurujte tento blok adres z bodu 1. na LAN rozhrani a zapnete "Advertise"
Nakonfigurujte firewall, jak psal @skrivy
Stanice v LAN by mely ziskat IPv6 adresy automaticky; traceroute na IPv6-enabled cile (treba nebezi.cz) by mel uspesne dobehnout do konce

Detaily v bodu 1 se odviji od toho, jestli jste ISP nebo koncovy zakaznik (a v tom pripade jakou IPv6 konfiguraci pouziva ISP).

Pokud jste ISP, kazdy Vas zakaznik by mel dostat blok alespon /56.

skrivy

Doporučuju začít dualstackem - tzn. všechny prvky budou mít jak IPv4, tak IPv6 adresy.

U IPv6 proti NATované IPv4 si dej akorát pozor na nutnost definovat firewall, který se teď v NATovaných sítích moc neřeší. Nabízí se možnost na mikrotiku ve FORWARD pravidlech povolit spojení ven, ale dovnitř jen navázána + porty, které potřebuješ. Je to ale stejné jako bys měl postavenou IPv4 jen na veřejkách bez NATu.

No a pak jen stačí dodržovat jedno doporučení - jedna síť (vlana) = /64 IPv6, aby fungovaly auto konfigurační mechanismy.

Na přechod mezi 4 a 6 pak slouží NAT46 a NAT64 mechanismy, ale jestli s tím začínáš, tak doporučuju si to oťukovat na dualstacku a pak teprve řešit co dál.

Trnec

tady mas zakladni firewall pro ipv6:

/ipv6 firewall filter add action=accept chain=input comment="Allow OSPFv3" protocol=ospf
/ipv6 firewall filter add action=accept chain=input comment="Allow ICMPv6" protocol=icmpv6
/ipv6 firewall filter add action=accept chain=input comment="Allow DHCPv6" dst-port=546,547 protocol=udp
/ipv6 firewall filter add action=accept chain=input comment="Allow established" connection-state=established
/ipv6 firewall filter add action=accept chain=input comment="Allow related" connection-state=related
/ipv6 firewall filter add action=accept chain=forward comment="Allow LAN to internet" out-interface=bridge-WAN src-address=2001:db8:dead::/40
/ipv6 firewall filter add action=drop chain=input comment="Drop invalid" connection-state=invalid
/ipv6 firewall filter add action=accept chain=input comment="Allow ULA (fd00::/8)" src-address=fd00::/8
/ipv6 firewall filter add action=accept chain=input comment="Allow link-local" src-address=fe80::/10
/ipv6 firewall filter add action=accept chain=forward comment="Allow ICMPv6" protocol=icmpv6
/ipv6 firewall filter add action=accept chain=forward comment="Allow DHCPv6 forward" dst-port=546,547 protocol=udp
/ipv6 firewall filter add action=accept chain=forward comment="Allow established forward" connection-state=established
/ipv6 firewall filter add action=accept chain=forward comment="Allow related forward" connection-state=related
/ipv6 firewall filter add action=drop chain=forward comment="Drop invalid forward" connection-state=invalid
/ipv6 firewall filter add action=drop chain=input comment="Block input from WAN" in-interface=bridge-WAN
/ipv6 firewall filter add action=drop chain=forward comment="Block forward from WAN" in-interface=bridge-WAN

skrivy

Trnec Dávám k diskuzi a rád bych se případně naučil něco nového.

/ipv6 firewall filter add action=accept chain=input comment="Allow OSPFv3" protocol=ospf

S ospf nemám praktickou zkušenost, ale dává mi smysl ho povolovat jen na adresy peerů. Nebo je nějaký důvod ho mít úplně veřejně dostupný? Nebo je automaticky dostupný jen pro peery?

/ipv6 firewall filter add action=accept chain=input comment="Allow ULA (fd00::/8)" src-address=fd00::/8
/ipv6 firewall filter add action=accept chain=input comment="Allow link-local" src-address=fe80::/10

Jaký je důvod k tomuto? Aby ses na mikrotik dostal po lokálních adresách? Případně, aby se na ně dostali zákazníci?

pgb

skrivy protože to smysl na běžném wan rozhraní domácího RB nedává

ludvik

Povolit OSPF všude má smysl, když nechceš konfigurovat na více místech zároveň ... Stačí ti passive vlastnost OSPF. Ale já si to třeba řídím i přes interface listy.
Doma bych to zaříznul komplet. Klidně v RAW tabulce. Ale je to jen pro pocit, v podstatě je to zbytečné, když proces nepoběží. A firewall má stejně končit DROP ALL :-)