SLAAC - зачем?

Это уже детали реализации, на самом деле. Авторы radvd могли бы запросто сделать и так, как ты описал. Попробуй им реквест заслать, чтобы добавить опциональное поведение.

рядом с ним должен быть запущем DHCPv6 сервер, который будет отдавать все остальные опции.

какие?

и всеравно работает совместно с новой?

зачем?

сущность, может, и не нужна, но, чует мое сердце, что DHCPv6 тебе не нужен.

какие?

из популярного DNS, NTP например

то есть в 90+% сетапов нафиг не нужен.

Тоесть ты предлагаешь dns руками вбивать? Ну ок. Я сейчас говорю не про текущий DualStack, когда у тебя может быть DNS от IPv4, а про IPv6 only конфигурацию, если что.

IPv6 only конфигурацию

в 90+% сетапов нафиг не нужен

Ну всё верно

Я предлагаю во всех некорпоративных сценариях гонять DNS-over-TLS с глобального well-known адреса.

Отдельный юзерспейсный демон для SLAAC нужен хотя-бы для всяких нестандартных конфигураций вроде - несколько внешних интерфейсов со своими префиксами, один внешний интерфейс с несколькими префиксами, какое-нибудь сложное туннелирование соединения и отсутствие внешнего префикса (или ipv6 nat, например), несколько внешних и внутренних интерфейсов со своими префиксами.

Очевидно, что такие задачи проще решать в отрыве от основного DHCP демона. Всё-таки линуксовый софт должен быть модульным и создаваться по принципам KISS. Также, очевидно, нельзя внедрять логику SLAAC демона прямо в ядро.

По этим причинам, нужен дополнительный демон в довесок к DHCPv6. Так или иначе, ресурсов на роутере он много не жрёт.

А потом приходит товарищ майор, делает bgp hijack и все твои «мокрые киски скачать без СМС» как на ладони.

RDNSS таки уже реализовали многие. Это сильно проще чем нормальный dhcpv6 который хоть как-то на массовых устройствах начал лишь пару-тройку лет назад.

Что-что делает товарищ майор и откуда у него сертификат на cloudflare-dns.com?

нельзя внедрять логику SLAAC демона прямо в ядро

Зато клиент можно!
Только поднимаешь интерфейс ip link set up на голом ядре - и немедленно получаешь ip, открытый всем ветрам, к тому же светящийся мак-адресом в правой части

Я так понял, что речь была о сервере.

к тому же светящийся мак-адресом в правой части

Можно ведь юзать Privacy Extensions. Или сгенерировать новый мак-адрес. Да и в чём вообще проблема с мак-адресом ? Кровавому Моссаду будет проще вас «по IP» вычислить ?

Можно ведь юзать Privacy Extensions

Можно, но по умолчанию они не включены.
И айпишник всучается без каких бы то ни было настроек, просто по поднятию интерфейса

А ты в DNS ходишь по DNS имени?

Нет, мне заранее известны IP-адреса от него.

А ты думаешь, что TLS без DNS не работает?

А ты думаешь что если тебе сделали bgp-hijack тебе tls поможет?

PKI мне поможет, естественно, иначе нафиг бы это все нужно было.

SLAAC проще и удобнее, чем DHCPv6. Он работает и в случаях, когда в сети более одного шлюза. Опция DNS есть, и прекрасно работает. Если кто-то ее еще не использует, ССЗБ.

В 90+% случаев SLAAC вполне хватает, и использовать DHCPv6 не нужно вовсе. Как правило, DHCPv6 используется тогда, когда надо раздавать клиентам префиксы. Т.е. провайдеры обычно используют DHCPv6, а внутри локальной сети - SLAAC.

Почему в Линуксе SLAAC реализован в виде отдельного демона? Ну где-то же этот код должен быть. Код редко используемый, не критичный к скорости, сетевой сервер по сути. Логично разместить его в юзерспейсе, а не ядре. Вообще тащить всё подряд в ядро - это зло.

получаешь ip, открытый всем ветрам, к тому же светящийся мак-адресом в правой части

MAC-адрес в правой части не обязателен. Сейчас принято использовать псевдослучайные квазистабильные адреса, номер RFC по памяти не скажу. В продукции Apple это появилось давно, Linux тоже поддерживает, как минимум при использовании Network Manager. Ну и Privacy Extensions никто не отменял.

как минимум при использовании Network Manager

не нужно, просто надо записать сид в /proc/sys/net/ipv6/conf/eth0/stable_secret перед поднятием интерфейса

Но речь про поведение в ядре по умолчанию.

Так если можно брать не MAC, то что все так ноют, что меньше /64 на подсеть это плохо? Ну будет подсеть /72, а в ней стабильные псевдослучайные адреса.

что все так ноют, что меньше /64 на подсеть это плохо?

Из-за совместимости.

есть rfc про раздачу dns, но вроде его мало кто реализовал

Как уже справедливо заметили, RDNSS через RA уже давно раздаются и понимаются, Linux, MacOS, iOS, Android (который, кстати, напротив не использует DHCP6 и эта принципиальная позиция служила источником многих эпичных перебранок), Windows 10, начиная с creator update.

Причина, почему RA раньше использовался только для раздачи префиксов, идеологическая: некоторые пуристы протоколов в начале разработки IPv6 считали, что DNS, как протокол более высокого, чем IP уровня, должен конфигурироваться на более высоком уровне. И тогда ещё было мнение, что DNS могут чем-то заменить, поэтому включать его поддержку в такую базовую сущность, как RA, неосмотрительно. Сейчас такие идеи уже считаются маргинальными, так что RFC 8106 - неоспоримый стандарт.

Конечно, DHCP позволяет передать загружаемому хосту намного больше информации: не только NTP, но и syslog, next-server (необходимый для бездисковой загрузки или инсталляции) и кучу другого. Когда это необходимо, придётся использовать DHCP, хотя некоторые ребята пользуются DNS SRV, насколько я слышал.