IPv6 в энтерпрайзе

яннп, но ipv6 умеет в nat, как вы сейчас решаете задачу с ipv4? Так же и решайте с ipv6.

один для внутренних сервисов (по dhcp), второй для внешних (по slaac)

это вроде как нельзя, назначать адреса надо одним способом

Сперва напрягся, неужели ipv6 действительно кому-то нужен, но увидев фразу про косное руководство, выдохнул.

это вроде как нельзя, назначать адреса надо одним способом

Как я понял раздавать можно и то и другое одновременно, вопрос в том смогут ли клиенты брать сразу из двух источников...не подумал

NAT6:6? Ну да в принципе можно попробовать на VPN делать NAT, но это не по философии V6 получается.

NAT6:6? Ну да в принципе можно попробовать на VPN делать NAT, но это не по философии V6 получается.

А такое есть? философия V6 ? Вы делаете так как вам нужно. А V4 или V6 разницы не имеет.

Какая философия имеется ввиду? Глобально уникальный адрес для каждого устройства?

Нужен, но пока нет

А такое есть?

От реализации зависит, ip6tables дает NAT правила создавать. На сколько они на деле работают, не проверял.

Какая философия имеется ввиду? Глобально уникальный адрес для каждого устройства?

Ну типа того, это сейчас софт проектируется для работы с NAT, а в «идеальном мире с ipv6» никакого NAT быть недолжно и неизвестно как софт написанный в эпоху v6 будет на nat реагировать.

Почему, кстати, миграция вызывает столько проблем - там же трансляцию адресов замутить можно. Т. е. v4 -> v6 проходит гарантированно, v6 -> v4 проходит, если никто в период миграции не будет за диапазон v4 своими адресами вылазить

От реализации зависит, ip6tables дает NAT правила создавать. На сколько они на деле работают, не проверял.

Работает и давно. Я проверял :)

Да поговаривают что в современных системах стек IPv4 это придаток к IPv6 и все работает через маппинг...но пруфов у меня нет

Я не знаю, почему насчёт nat-а так много негатива. Ну то есть понятно, что приложения в server-mode отваливаются, но это уже сколько лет решено проксями для протоколов более высокого уровня. Адресовать человека даже по уникальному белому ипшнику всё равно проблематично(в случае смены подсети этим человеком)

Там только 1:1 или Много:1 тоже работает?

Вот ещё нашел в старых закладках https://forum.ubuntu.ru/index.php?topic=186059.0
Не сильно актуально, но общий смысл думаю будет понятен.

Так же как в ipv4 никакой разницы.

Адресовать человека даже по уникальному белому ипшнику всё равно проблематично

Это позиция компании, что белые адреса (оформленные на юр. лицо) светиться не должны.

Я не знаю, почему насчёт nat-а так много негатива.

Большая нагрузка, записи conntrack как бэ «не добавляют снижения» нагрузки, в отличии от простого роутинга.
Но с учетом указанного в топике, что сейчас робит на v4, разницы не будет и на v6.

Да там не только conntrack, надо в заголовок лезть и менять адрес+порт+чексуммы, а если ALG включен, то и транспортные заголовки читать...так что ненависть не на пустом месте.

Да, точно. Но всё равно это эпичный способ экономить адреса(вангую, что v6 тоже закончатся)

Я это все сократил до conntrack. А так и ежику понятно.

Ну и кстати с v6 conntrack никуда не уйдет по крайней мере для stateful firewall... но ему легче должно стать с flow label

Минусы v6 имхо только ленивый не обсуждает, уже много лет. А-ля нефиг моей микроволновке в инете делать.

Ну может станет как v4, когда поймут что адреса могут закончится отойдут от идеи EUI-64 и /64 на подсеть и будут более вменяемые, типа /112 выдавать...2^16 адресов для конечной квартиры или офиса - это более чем дофига.

/64 на подсеть

Да, вот эта шняга в первую очередь намекает

Кто-то тут из хэйтеров v6 писал, что когда внедрят v6 по всей планете уже будет разработан v10. Судя по «скорости» внедрения v6 у провов нам до него ещё очень далеко. Так что имхо это правильное высказывание.

Не знаю, если отбросить фигню вида «адресов хватит всем и ещё останется» и никакую скорость миграции, v6 вполне хорош. Тот же v4 с расширением адресов и некоторыми небольшими доработками

Ну если посчитать, то таких подсетей около 6млр вроде выйдет (это не вычитая мультикаст и прочие служебные), на каждого жителя по подсети не получится, но всеравно дофига и думаю мы до кризиса адресов v6 не доживем даже с /64.

/64

Давно пилиться. Но все ещё есть проблемы по отзывам. У меня дома туннельный /64 распилин, на современных дистрах и устройствах уже норм робит. Ранее были проблемы, здесь создавал тему.

Китайцы уже NewIP разрабатывают с динамической длинной адреса. Видимо не зашел им v6.

корона - Ничего, нас скоро всех «по сокращают» и опять хватит v4 на всю планету :)

А еще есть firewall…в схеме с NAT можно было сделать простой firewall, который lan-to-wan пропускает новые соедиения, а обратно только установленные, получается дополнительная линия защиты…IPv6 говорит нам о том, что между двумя хостами должна быть полная связанность, получается на маршрутизаторах надо разрешать входящие соединения wan-to-lan иначе часть сервисов может не заработать и остается надеяться на нормально работающий firewall на оконечных устройствах.

тут всё неправильно, представь себе, что для ipv4 не изобрели NAT. NAT никак не отменяет необходимость иметь firewall, и вообще это 2 разных понятия.

в региональные офисы по префиксу /64 выделили

тут тоже неправильно. /64 выделяют конечному устройству. и её делёж хоть и возможен, но считается дурным тоном.

NAT никак не отменяет необходимость иметь firewall

Да это понятно. Я к тому что приложения делаются с учетом nat и того что напрямую не связаться с конечным хостом. И на firewall можно считать все NEW подключения из вне враждебными.

Не, выделяется /64 на оконечную подсеть, а уже в ней устройства выбирают себе адреса по EUI-64 (ну или dhcp). Выделять по 2^64 адресов на каждое устройство - это перебор...

Выделять по 2^64 адресов на каждое устройство - это перебор…

даже для связи маршрутизаторов между собой выделяют по /64. тут дело вовсе не в количестве адресов в подсети /64 а в удобстве управления префиксами на маршрутизаторах в том числе.

приложения делаются с учетом nat

это как?

Учитывают что за 1 ip может быть несколько пользователей и что просто так нельзя в обратку отправить.

даже для связи маршрутизаторов между собой выделяют по /64

Ну это да. Но на каждое оконечное устройство (ноутбук, телефон) никто подсеть /64 не дает.

У вас есть, как мне кажется, некоторые заблуждения касательно IPv6.

Окей у нас раздается на ПК конечного пользователя два адреса: один для внутренних сервисов (по dhcp), второй для внешних (по slaac).

DHCPv6, в общем случае, не может работать сам по себе, как в IPv4. Первичная настройка осуществляется с помощью Route Advertisement, и уже внутри Route Advertisement может быть указан флаг, чтобы клиент обратился к DHCP и запросил себе адрес.

Внутренняя сеть может быть организована полностью на публичных адресах, может быть на публичных адресах + ULA (аналог приватных диапазонов типа 10.0.0.0/8 в IPv4), либо как-нибудь ещё, причем количество разных диапазонов на одном ПК не ограничено, у меня вполне бывает, что на одном интерфейсе по 10+ адресов, причем маршрутизация между ними работает корректно автоматически (как правило), в отличие от IPv4, где нужно настраивать таблицы и правила маршрутизации.

Я рекомендую вам на каждый офис запрашивать диапазон /56, как рекомендует RIPE. В IPv6, в общем случае, минимальная единица адресации — /64, и если вы будете запрашивать у провайдера только одну /64, вам будет очень неудобно настраивать маршрутизацию и логическую сегрегацию сегментов, а с /56 вы сможете, например, выделить /64 под публичный интернет, /64 для внутренних ресурсов конкретного филиала, /64 для серверов, /64 для административных нужд, и по каждой /64 будет удобно настраивать общие правила доступа на межсетевом экране, а не для каждого отдельного адреса.
Одну /64 банально нельзя «легко» раздать в локальную сеть: если сеть direct connected, а не routed (когда настроена на провайдерском маршрутизаторе непосредственно на интерфейсе, и используется ND, а не маршрутизация) вам придётся применять костыли в виде nd-proxy (аналог arp-proxy), а если сеть routed, то будут проблемы с назначением глобального адреса самому маршрутизатору, на котором настраивается IPv6.

Если вам не нравится идея маршрутизации по глобальным адресам, и вы мыслите категориями NAT в IPv4, то не стоит беспокоиться: любые современные межсетевые экраны можно настроить на блокировку входящего трафика, но при этом разрешить любой исходящий, при этом не будет происходить трансляция адресов.
Либо можно использовать только stateless-экран, с блокировкой портов ниже 1024, как это делает мобильный МТС по умолчанию (да, у МТС в РФ есть IPv6 на всю страну, включена по умолчанию).

Дальше, есть указание скрывать внешние IP при выходе в «дикий» интернет, т.к. IPv6 привязывается к юр. лицу префиксом, то надо скрывать целиком префикс…ну окей, покупаем VPN с /56, делаем до него туннельный IPsec и либо надеемся что vpn провайдер будет dhcpv6-pd в туннель пускать, либо статикой.

Ничего не понял. Что имеется в виду под скрытием адреса?

никто подсеть /64 не дает.

говорить за всех не нужно. мой провайдер даёт, scaleway даёт, he вообще раздаёт по /48 на брата один ipv4. а вот тех кто даёт меньше чем /64 на устройство действительно мало или нет вообще или они ССЗБ.

Учитывают что за 1 ip может быть несколько пользователей и что просто так нельзя в обратку отправить.

вот тут вообще непонятно о чём идёт речь, пример такого приложения можно увидеть?

Первичная настройка осуществляется с помощью Route Advertisement, и уже внутри Route Advertisement может быть указан флаг, чтобы клиент обратился к DHCP и запросил себе адрес.

Это от клиента зависит как я понял. Можно как в v4 запускать dhcp6c на интерфейсе и он получит адрес. В идеале да, должен запускать только когда M-flag.

Внутренняя сеть может быть организована полностью на публичных адресах

Ну так я об этом и говорю, но межу офисами трафик должен шифроваться и как я понял проще на роутерах делать транспортный ipsec чтобы не нагружать каждое устройство шифрованием.

и по каждой /64 будет удобно настраивать общие правила доступа на межсетевом экране, а не для каждого отдельного адреса.

Увы, но сейчас правила фильтрации на серверах завязаны на конкретные компы сотрудников. А насчет /56 в каждый регион...ну конечно можно взять с запасом, но объективно сейчас все ресурсы сконцентрированы в одном офисе и не думаю что в офисе из 3 сотрудников появится серверная подсеть.

Одну /64 банально нельзя «легко» раздать в локальную сеть

Мне по IA_PD приходит префикс (/64), я беру из него адрес назначаю на LAN, остальные по SLAAC или DHCP раздаю клиентам. На WAN беру адрес из IA_NA или SLAAC. Так ведь? Там где приходит префикс /56 я его разбиваю и по DHCP6-PD раздаю на нижестоящие роутеры более мелкие подсети.

Если вам не нравится идея маршрутизации по глобальным адресам

Не, в этом и вся суть, чтобы все ходили по глобальным адресам и убрать VPN между офисами.

Ничего не понял. Что имеется в виду под скрытием адреса?

Сейчас, когда у провайдера покупается IP он покупается на юр. лицо, у СБ от этого жопа горит и требуют чтобы адрес не светился, поэтому используем vpn где он миксуется с трафиком других пользователей.

he вообще раздаёт по /48 на брата один ipv4.

Ну да т.к. в теории может быть множество подсетей /64 за одним роутером. Я не понимаю откуда вы взяли что на каждое оконечное устройство полагается по 2^64 адресов?

вот тут вообще непонятно о чём идёт речь, пример такого приложения можно увидеть?

Которые не переваривают NAT? Ну банальные ftp, sip (да для них есть костыли которые лезут в пакет дальше сетевого заголовка и подменяют адреса там), ipsec(без nat-t).

Это от клиента зависит как я понял. Можно как в v4 запускать dhcp6c на интерфейсе и он получит адрес. В идеале да, должен запускать только когда M-flag.

Чистый DHVPv6, без RA, поддерживается, вроде бы, только в Android. Ну и в Linux, если вручную демон запустить, наверное.

Мне по IA_PD приходит префикс (/64), я беру из него адрес назначаю на LAN, остальные по SLAAC или DHCP раздаю клиентам. На WAN беру адрес из IA_NA или SLAAC. Так ведь? Там где приходит префикс /56 я его разбиваю и по DHCP6-PD раздаю на нижестоящие роутеры более мелкие подсети.

Да, верно. Не обязательно назначать адрес из IA_PD на LAN-интерфейс маршрутизатора, всё будет работать и через link-local-адрес.

Сейчас, когда у провайдера покупается IP он покупается на юр. лицо, у СБ от этого жопа горит и требуют чтобы адрес не светился, поэтому используем vpn где он миксуется с трафиком других пользователей.

Вы скамом занимаетесь, что ли? Зачем вам, в таком случае, вообще внешние диапазоны и глобальная адресация, если можно везде VPN сделать, а уже на VPN-сервере заказать /56 и настроить?

откуда вы взяли что на каждое оконечное устройство полагается по 2^64 адресов?

мне в he сказали что Certification Level: Sage и прислали крутую футболку.

тут

тут

«A single network at a customer site will be a /64»

Которые не переваривают NAT? Ну банальные ftp, sip

ну так да, эти разработывались с упором на то что никаких натов нет и коммуникация происходит напрямую. с переходом на ipv6 можно будет вдохнуть в эти протоколы вторую жизнь.