IPv6 není jen náhradou IPv4, je to úplně nový internet (diskuse)

[Luboš Doležel (Doli)]

Jak zajistit veřejnou adresu internetovému providerovi navzdory

Natunelovat si ji tam odněkud, kde ji máte, to není zrovna zajistit. To samé s můžu udělat i u IPv4.

[Petr Bravenec]

Problém je, že ty IPv4 adresy nemám. A na připojení jakéhosi zařízení kdesi v kamsi je nemá nikdo - v současné situaci to vidí každý jako plýtvání. Či spíš nad tím vůbec nepřemýšlí a hledá berličky, jak se bez veřejné adresy úplně obejít. Takže potom to vypadá tak, že technik, který se v zařízení vyzná, složitě volá někomu s přístupem, aby mu přečetl, co to má za problém, místo aby se podíval přímo - a nehorší na tom je, že to každému připadá normální.

[Bill Gates]

A k čemu běžný user potřebuje veřejnou IP? Ten kdo potřebuje veřejnou IP se poohlíží přinejmenším po VPS, kde ji dostane takřka pokaždé (jinak asi nevím) a tím pádem ji (veřejnou IP) může používat i když je za natem - může se protunelovat. Já jsem doma za natem od providera a vyhovuje mi to. Neleze mi tak na rozhraní tuna bordelu. Končí u providera. Věci z venku tuneluji domů skrz VPN, vyhovuje mi to - provider neví co se na spoji děje. 2x mi to vyhovuje. VPN mi překlene drobné výpadky providera. 3x mi to vyhovuje. Na věci zevnitř ven veřejnou IP nepotřebuji. Nevidím důvod proč mít veřejnou IP jinak než pro účely serveru.

Používat výrazy jako "vidí každý" je zavádějící. Skutečně každý to tak nevidí, tím si buďte jist. Mám pocit jakoby někdo zažil nějaký problém s nastavením něčeho za natem a tak ho to vzteklo, že celé IPV4 je kvůli tomu na houno a jediné možné východisko je IPV6. No ne vždy.

[xkucf03]

Neleze mi tak na rozhraní tuna bordelu. Končí u providera.

To není výhoda – jen děláš z nouze ctnost. ISP ti místo NATu může poskytnout firewall, bordel odfiltruje a ty si k sobě necháš posílat jen vybrané služby.

Snad jediná výhoda NATu je pocit anonymity resp. utajení vlastní identity (skrytí za společnou IP adresu). Ale tento pocit je falešný a prázdný, protože ISP stejně všechno loguje.

[Jendа]

Snad jediná výhoda NATu je pocit anonymity resp. utajení vlastní identity (skrytí za společnou IP adresu)

A o Piracy Extensions slyšeli?

[student]

Nech si ISP loguje*; mne hlavne vadi, ze ma podla IP poznaju weby.

* nie kazdy ISP loguje tak, aby to na nieco bolo - doma mam garazoveho providera, co ma len WEP sifrovanie, ale kluc vie kazdy, kto ma alebo mal internet (a kopec ludi, co to crackne). ISP si pri pripajani zapisoval MAC adresu PC "pre pripad problemov", ale nijak sa to neprejavilo zakazanim inych MAC adries. Snad kazdy, koho poznam, sa k sieti pripaja aj priamo z nenahlaseneho notebooku, takze keby niekto taky nieco spravil, tak ISP asi len poskytne svoje logy policii a mozno povie ze islo o neopravneny pristup...

[Jendа]

A k čemu běžný user potřebuje veřejnou IP?

K tomu, aby mohl využívat služeb na Internetu. Namátkou třeba telefonie, sdílení souborů, vzdáleného přístupu. Nebo třeba k tomu, aby nekolidovaly adresní rozsahy s firemní sítí a routy (řeší se níže).

Ten kdo potřebuje veřejnou IP se poohlíží přinejmenším po VPS

Ne.

Já jsem doma za natem od providera a vyhovuje mi to. Neleze mi tak na rozhraní tuna bordelu.

Další, co si plete NAT a firewall.

Věci z venku tuneluji domů skrz VPN, vyhovuje mi to - provider neví co se na spoji děje.

Ví to provider na druhé straně.

Nevidím důvod proč mít veřejnou IP jinak než pro účely serveru.

Pokud obě strany VoIP nebo třeba Jabberu považujete za servery, tak máte naprostou pravdu.

Používat výrazy jako "vidí každý" je zavádějící. Skutečně každý to tak nevidí, tím si buďte jist.

Vidí každý se týkalo plýtvání.

Mám pocit jakoby někdo zažil nějaký problém s nastavením něčeho za natem a tak ho to vzteklo, že celé IPV4 je kvůli tomu na houno a jediné možné východisko je IPV6.

Já jsem s IPv4 zažil obrovský problém, když jsem se do jedné sítě pokoušel připojit víc než 4 miliardy zařízení, a bylo to skutečně na houno. A IPv6 je v současnosti asi jediný protokol, který tohle umí vyřešit.

[dumblob]

A IPv6 je v současnosti asi jediný protokol, který tohle umí vyřešit.

No, treba LISP (byla o nem i prednaska na Internet a Technologie 12) se mi libi vice. Dokonce v Japonsku ho udajne pouzivaji v ostrem provozu jiz na mnoha sitich.

[Petr Bravenec]

K tomu "vidí každý": Zkuste zajít k ISP, který vám tahá linku kamsi doprostřed pole uprostřed země nikoho a řekněte mu, že potřebujete dvacet IP adres. Reakce jsou jednoznačné - ISP vám řekne: "OK, ale bude to stát šílené prachy a tolik IP adres považujeme za plýtvání, jestli potřebujete, my vám to pronatujeme", majitel, kterému takové řešení navrhnete, vám řekne: "Proč mám platit takové prachy, když ISP říkal, že se to da obejít, tohle považuju za plývání penězi" a konkurence řekne: "Neplýtvejte svými penězi, pane majiteli, my vám to uděláme laciněji!" No a potom člověk týden oživuje po telefonu lokální síť s poloneandrtálcem někde u Černého moře (to narážka na kvality několika konkrétních místních ISP, jakýkoli jiný význam odmítám). I já v takovém stavu vidím požadavek na dvacet IP adres jako plýtvání...

Pokud vidíte pouze servery, máte příliš omezený rozhled. Je spousta zařízení, která servery v pravém slova smyslu nejsou, ale bez veřejné ip adresy jsou jen obtížně k použití: bezpečnostní kamery, zabezpečení objektů, sběr dat, nastavení a ovládání zařízení, sběr meteorologických informací. Jistě - často se to dá obejít natem, ale místo jednoduchého "Zapoj to do sítě" to obvykle znamená sáhodlouhé telefonování s výše uvedeným poloneandrtálcem. A při každé výměně libovolného zařízení se uvedený scénář opakuje.

Jiné řešení - například VPN, kterou mi tady doporučovali - je ještě neschůdnější. Místo debaty s jedním "odborníkem" od ISP (který mívá aspoň rámcovou představu o použitých technologiích) je nutné jednat s dvaceti naprostými laiky a nastavovat jim VPN každému zvlášť (a taky po telefonu).

Používáním natu se navíc zbavujeme technologie, která dokáže mnohé usnadnit: DNS. Jak by se mi líbilo, kdybych měl zařízení v síti přístupná takto:

• kamera1.sofie.bulharsko.firma.cz
• kamera2.sofie.bulharsko.firma.cz
• pco.sofie.bulharsko.firma.cz
• invertor1.sofie.bulharsko.firma.cz
• invertor1.sofie.bulharsko.firma.cz
• meteo.sofie.bulharsko.firma.cz

Ale to ne, nat mě nutí používat tohle:

• sofie.bulharsko.firma.cz:80
• sofie.bulharsko.firma.cz:81
• sofie.bulharsko.firma.cz:22
• sofie.bulharsko.firma.cz:2000
• sofie.bulharsko.firma.cz:90
• sofie.bulharsko.firma.cz:8080
• sofie.bulharsko.firma.cz:8022
• sofie.bulharsko.firma.cz:8023
• sofie.bulharsko.firma.cz:8024
• sofie.bulharsko.firma.cz:8035
• sofie.bulharsko.firma.cz:8034
• sofie.bulharsko.firma.cz:8067
• sofie.bulharsko.firma.cz:8098
• sofie.bulharsko.firma.cz:10000
• sofie.bulharsko.firma.cz:10010
• sofie.bulharsko.firma.cz:10030
• sofie.bulharsko.firma.cz:10040

Pochopitelně nemusím zmiňovat, že na každé elektrárně je číslovací schéma obvykle úplně jiné a závisí jednak na zapojených zařízeních a druhak na tvořivosti ISP, takže předem nikdy netušíte, co se vám na uvedeném čísle portu ozve, případně kde byste měl hledat požadované zařízení.

[Petr Bravenec]

Ještě jednou k tomu "vidí každý" - jako plýtání to v dané situaci vidí každý ze zúčastněných. Vy, jako diskutér na internetu, na to můžete mít svůj názor, ale ten je zcela mimo, protože nejste zúčastněný.

[prqek]

Je to sice opět obezlička, nikoli řešení problému, ale to s tím DNS se dá relativně snadno vyřešit tak, že na sofie.bulharsko.firma.cz poběží nějaký proxy server, který každý dotaz na základě jména nasměruje na správnou adresu ve vnitřní síti. Tedy pokud se jedná o http (nebo jiný protokol, který do dotazu zamontovává hostname). S ipv6 je to lepší netřeba řešit, který je to protokol

[Petr Bravenec]

V roli NAT routeru je bohužel na každé elektrárně jiná jednoúčelová krabička od jiného čínského výrobce, kterou poskytnul obvykle ISP. Každá taková krabička se nastavuje jinak, že by některá z nich uměla proxy server, mi není známo

[prqek]

Aha.. to mě nenapadlo. Nejde tam dát ani OpenWRT nebo něco podobného? To by asi neprošlo přes ISP, co? Tak je tu možnost dát za krabičku vlastní krabičku, ale to už je opravdu moc obezliček. IPv6 je prostě lepší.

[Petr Bravenec]

Já jsem doma za natem od providera a vyhovuje mi to. Neleze mi tak na rozhraní tuna bordelu.

Než plácnete takovou blbost a prozradíte na sebe, že tématu ve skutečnosti nerozumíte, přečtěte si alespoň tuto diskusi celou.

[pavlix]

Tady jde asi spíš o to, že v IPv6 to funguje samo. Takže dáváš tunely jen tam, kde skutečně konektivitu nemáš.

[Ondrej 'SanTiago' Zajicek]

Takze to, co ti pomohlo, jsou IP tunely, a vlastne to az tak nesouvisi s IPv6 (mohl bys je klidne provozovat s IPv4 a vyhody by to melo prakticky stejne).

[Petr Bravenec]

Ne, s tunelem na IPv4 bych měl ten jeden konec pokaždé v nějaké privátní síti a na internetu nepřístupné. IPv6 je cesta k veřejné adrese. Nevidím reálně, že by mi dneska dal nějaký ISP několik desítky či stovky IPv4 adres "abych si tam mohl protunelovat elektrárnu" - odkázal by mě na NAT.

[Ondrej 'SanTiago' Zajicek]

NAT nepotrebujes, v podstate ti staci privatni rozsah pouzity uvnitr tunelu/VPN a kazdeho, kdo by k nemu mel mit pristup, pridat do te VPN. Samozrejme to by (narozdil od vyuziti IPv6) nefungovalo, pokud by pristup mel mit kdokoliv, nicmene vzhledem k navhrovane aplikaci (monitorovani elektraren) me nenapadlo, ze by to samo o sobe mohla byt nevyhoda.

[Petr Bravenec]

Cituji sám sebe:

Takže potom to vypadá tak, že technik, který se v zařízení vyzná, složitě volá někomu s přístupem, aby mu přečetl, co to má za problém, místo aby se podíval přímo - a nehorší na tom je, že to každému připadá normální.

Vám to připadá normální?

[Ondrej 'SanTiago' Zajicek]

Mozna, ze oba mluvime o necem trochu jinem. V tom mem navrhovanem modelu preci neni o moc vetsi problem, aby kazdy, kdo k zarizeni ma mit pristup, k nemu take pristup mel, nez v tom tvem modelu. Stejne je, hadam, treba zajistit nejakou autentizaci.

[Petr Bravenec]

Pokud tam mají mít přístup pouze technici, je na IPv4 stejně efektivní i VPN.

Jenže konkrétně u těch elektráren jsou k vidění věci, kdy část informací má jedna firma a část informací jiná firma, a i když je vše "na internetu", vlastníkovi elektrárny často nezbývá nic jiného, než volat několika různým subdodavatelům. Na IPv4 je to normální, na IPv6 by taková situace nenastala.

Možná vhodnější příklad je ten teploměr v garáži, to si dovede představit každý.

[Ondrej 'SanTiago' Zajicek]

Nechtel bych tu vypadat jako odpurce IPv6, sam jsem priznvce, ale napadaji me stale daleko vhodnejsi priklady (treba prime volani mezi IP telefony).

On i ten teplomer v garazi je dost priklad na hrane - preci jen clovek nebude chtit mit teplomer jen jeden a pri vetsim mnozstvi (napr. rizeni tobeni v baraku) je daleko vodnejsi teplomery pripojit treba na RS-485 nebo 1-wire sbernici, na ni nejaky protokol s malym overheadem a IP-adresovatelny jen centralni bod. S 1-wire totiz clovek muze mit doma klidne 24 teplomeru, aniz by k tomu potreboval vecne zapnuty 24portovy switch (zerouci tak minimalne 10 W) a nekolik krabic kabelaze. Nehlede na spravu pristupu - tu nelze rozumne delat na transportni vrstve (IPsec se pro to moc nehodi), tu je treba delat na aplikacni, takze pri vetsim mnozstvi teleplomeru by bud clovek musel spravovat kazdy sam, nebo mit nejake centralizovane reseni (at uz na bazi certifikacnich aurotit ci neceho jako RADIUS). Samozrejme zpristupnit takovy centralni bod do Internetu je jednodussi na IPv6 nez pres NAT na IPv4.

[Ondrej 'SanTiago' Zajicek]

Samozrejme zpristupnit takovy centralni bod do Internetu je jednodussi na IPv6 nez pres NAT na IPv4.

I kdyz, pokud bude standardnim klientskym zarizenim na IPv6 router se stavovym firewallem (s cimz pocitaji nektere navrhy), tak ten rozdil uz zas takovy nebude.

[vencour]

Přidal jsem do výběru.

[pavlix]

Jsou to téměř na den dva roky, co jsem zde na abclinuxu napsal zápisek o IPv6 s provokativním názvem "IPv4 nefunguje! Ať žije IPv6". V době, kdy jsem svůj zápisek v blogu psal, jsem se ani nedokázal představit, jak budu jednou za IPv6 ještě vděčný.

Jo to já teďka řeším, jak by správně měla fungovat autokonfigurace IPv6 v linuxovém kernelu a v NetworkManageru. Poslední jobovka spočívá v podpoře většího množství routerů, které můžou na síti fungovat nezávisle a dodávat klientům různé informace. V podstatě se tak ze záklaní konfigurace (bez DHCP) vytratil koncept: „Toto je můj server a teď mi dal konfigurační údaje, já je aplikuju a pak prohlásím spojení za nakonfigurované.“

Navíc je ta konfigurace tak vtipně jednoduchá, že už nemusím ani provádět ani útok na ARP, ani být včas na místě s DHCP serverem, ale prostě sousedovi pošlu routu :).

[pavlix]

Jestli je něco, co mi na IPv4 opravdu vadí, pak je to NAT.

A proto nemáme pro IPv6 implementováno „connection sharing“.

[David Jaša]

Co standardy, myslí na to, nebo jsou sto let za opicema?

[pavlix]

Standardy na to myslí. DHCP umí přidělovat prefixy. Jenže uživatelé jsou z IPv4 zvyklí, že connection sharing funguje (skoro) všude, ne jen tam, kde je na to síť specificky nakonfigurovaná.

[David Jaša]

Takže prakticky to znamená, že ISP by měli dávat prefixy << /64 a "last hop" (nebo jak to říct) krabičky defaultně ty rozsahy přidělovat s adresami, aby to fungovalo podobně univerzálně jako NAT?

BTW má dhcp něco, čím klient řekne "chci rozsah"?

[pavlix]

Takže prakticky to znamená, že ISP by měli dávat prefixy << /64 a "last hop" (nebo jak to říct) krabičky defaultně ty rozsahy přidělovat s adresami, aby to fungovalo podobně univerzálně jako NAT?

Prakticky to znamená to, že by to fungovalo pouze v sítích, které počítají se sdílením spojení a mají z čeho rozdávat. Mě teda stále ještě láká to celé nějak vochcat přes bridge nebo ndp proxy, ale stále ještě platí, že IPv4 connection sharing je univerzálnější.

BTW má dhcp něco, čím klient řekne "chci rozsah"?

O tom právě mluvím, DHCP toto umožňuje. Dostaneš tak informaci o naroutovaném rozsahu. Myslím, že to je jeden z důvodů, proč se počítá s kombinací PPP a DHCP, protože jinak PPP těch pár konfiguračních údajů taky pošle.

[dumblob]

Mě teda stále ještě láká to celé nějak vochcat přes bridge nebo ndp proxy...

No, po rychle uvaze mi na tom bridge neprijde nic zase tak spatneho. U NDP proxy si jiz nejsem tak jisty (vzniklo by imho vice problemu). Ale i tak mi oboje prijde minimalne jako "fallback" reseni dobre.

[sigma]

Dá se udělat bridge mezi PPP a ethernetem? A i tak, k čemu to bude, když od operátora přes PPP dostanu jednu IPv6 adresu? Což je přesně ta situace, kde uživatelé jsou z IPv4 zvyklí, že connection sharing funguje (skoro) všude.

[dumblob]

Dá se udělat bridge mezi PPP a ethernetem?

Je pravda, ze jsem to jeste nikde nevidel (ja toho jeste nevidel ), ale technicky to lze realizovat.

A i tak, k čemu to bude, když od operátora přes PPP dostanu jednu IPv6 adresu?

Pak nezbyva nez nasadit IPv6 NAT. Z pavlixova prispevku jsem usoudil, ze toto se bude tykat okrajovych pripadu u hrstky koncovych uzivatelu (napr. v internetove kavarne si chci "nasdilet" net pro moje bluetooth zarizeni) - tedy ne velkoplosnych, kritickych nasazeni, a proto bych se nebal ruznych "silenosti".

Pochopitelne bych vsak mnohem radeji tlacil na ISP, aby se vubec nerozdavaly /64 prefixy, ale bez debat vetsi rozsahy (/56) a na pozadani /48 a vic, takze by se zodpovednost prenesla blize ke koncovemu uzivateli (treba na spravce site v kavarne ).

[Jendа]

napr. v internetove kavarne si chci "nasdilet" net pro moje bluetooth zarizeni

Zajímalo by mě, jaký je právě „oficiální“ způsob pro takováto „ilegální“ použití, kdy chci, aby připojená zařízení mohla používat alespoň nějakou omezenou podmnožinu služeb na Internetu. IPv6 maškarádu nemáme, takže nějaká SOCKS proxy?

[Luboš Doležel (Doli)]

Co bridge?

[Jendа]

Bridge kam? Síť na druhé straně mi nedovolí mít na daném ethernetovém portu víc MAC adres, na-autokonfigurovat si víc IPv6 adres atd.

[Ondrej 'SanTiago' Zajicek]

No, pokud je uplink ethernet (ci wifi), tak bys mohl delat bridge v kombinaci s L2-NAT (schovat se za MAC adresu) a pro ostatni pocitace vyuzit IPv6 adresy, ktere by vypadaly jako generovane podle privacy extensions.

To sice neni natolik spolehlive[*] jako klasicky NAT, ale pokud na uplinkove siti neni nejak zakazano pouzivat privacy extensions, tak by to melo fungovat.

[*] mysleno z hlediska nerozlisitelnosti od normalniho hosta.

[sigma]

Dá se udělat bridge mezi PPP a ethernetem?

Je pravda, ze jsem to jeste nikde nevidel (ja toho jeste nevidel ), ale technicky to lze realizovat.

Že (no, spíš jestli) to půjde "technicky realizovat" je jedna věc. Bridge forwarduje L2 rámce - jak chcete ethernetové rámce mapovat na to, co běhá přes PPP? Neumím si představit, jak to bude v obvyklých scénářích fungovat - bez dalších pomocných nástrojů. Třeba už to, že na PPP není nic jako ARP, tak k čemu bude že to dám do bridge s ethernetem? Přes PPP dostanu 2 adresy - local a remote (v případě IPv4, jak je to definováno pro IPv6 přiznám se nevím) - a ta hromada ethernetových zařízení spojená přes bridge se nakonfiguruje jak? I když na PPP bude běžet nějaký mechanismus pro získání více adres, samotný bridge nic neřeší.

[Ondrej 'SanTiago' Zajicek]

Bridge forwarduje L2 rámce - jak chcete ethernetové rámce mapovat na to, co běhá přes PPP?

On by to nebyl bridge jako spis router s proxy ARP (resp. proxy NDP). Ve smeru do ethernetu by se ten stroj tvaril, jako ze ma i tu IP adresu druhe strany PPP linky (odpovidal by na prislusne ARP/NDP pozdavky), ve smeru k PPP neni co resit.

Aby to fungovalo, tak by muselo byt korektni pro dany PPP klientsky endpoint pridelit vice IPv6 adres. Pokud by PPP linka mela /64 a adresy se pridelovaly router advertisementem (AFAIK PPP protokol sam pro IPv6 resi akorat link-local adresy), pak by snad slo vyuzit stejny postup s privacy extensions jaky zminuju vyse. Pokud by ta PPP linka vlastni prefix nemela a klientovi by se nejak pridelila /128 (coz mi prijde jako vcelku prirozeny postup, ale nevim, zda se toho nejak da bezne dosahnout), pak by asi nic moc nepomohlo.

[pavlix]

Právě o tom to je, spousta nápadů, ale nic tak univerzálního jako IPv4 maškaráda. Více informací v bug reportu:

https://bugzilla.gnome.org/show_bug.cgi?id=593815

[dumblob]

Takhle jsem si to prave predstavil. Ale jak pise pavlix, neni to vubec ono.

[dumblob]

...bez dalších pomocných nástrojů.

Bez nich by to pochopitelne neslo (teda ja alespon o nicem takovem momentalne nevim - ale vsechna RFC fakt prectena nemam a mit nebudu).

[Michal Kubeček]

Bridge forwarduje L2 rámce - jak chcete ethernetové rámce mapovat na to, co běhá přes PPP? Neumím si představit, jak to bude v obvyklých scénářích fungovat - bez dalších pomocných nástrojů. Třeba už to, že na PPP není nic jako ARP, tak k čemu bude že to dám do bridge s ethernetem?

On je PPP především (už podle názvu) point-to-point, takže logika toho rozhraní je úplně jiná. To, co uvádíte, jsou už jen důsledky. Nebo se stačí podívat do zdrojáků:

int br_add_if(struct net_bridge *br, struct net_device *dev)
{
        struct net_bridge_port *p;
        int err = 0;
        bool changed_addr;

        /* Don't allow bridging non-ethernet like devices */
        if ((dev->flags & IFF_LOOPBACK) ||
            dev->type != ARPHRD_ETHER || dev->addr_len != ETH_ALEN ||
            !is_valid_ether_addr(dev->dev_addr))
                return -EINVAL;

static void ppp_setup(struct net_device *dev)
{
        dev->netdev_ops = &ppp_netdev_ops;
        dev->hard_header_len = PPP_HDRLEN;
        dev->mtu = PPP_MRU;
        dev->addr_len = 0;
        dev->tx_queue_len = 3;
        dev->type = ARPHRD_PPP;
        dev->flags = IFF_POINTOPOINT | IFF_NOARP | IFF_MULTICAST;
        dev->features |= NETIF_F_NETNS_LOCAL;
        dev->priv_flags &= ~IFF_XMIT_DST_RELEASE;
}

a nebo to prostě zkusit.

[kralyk z abclinuxu]

Zápisek mi mluví z duše, NAT je hrozný peklo.

Když jsme u IPv6, poradil by někdo, jakej by byl vhodnej způsob rozchození starých aplikací, který podporujou jen IPv4, tzn. typicky starší hry (např. AoE, Diablo 2 a řada podobných), aby fungoval LAN play přes IPv6? (Tzn. všichni účastníci mají IPv6 konektivitu, ať už nativní, nebo přes tunel.) Dodám, že broadcast není potřeba.

[pavlix]

Obecné řešení je tunelovat privátní IPv4 rozsah po IPv6 :). Ale pokud je ta hra nějak rozumně udělaná, mělo by stačit ji zblbnout, aby si myslela, že po IPv6 jede, jenže i tak se musejí nějak mapovat adresy. Má někdo něco lepšího?

[prqek]

Co je myšleno NATem zvenku dovnitř a zevnitř dovnitř? To první je nasměrování nějakého portu na veřejné adrese na nějakou vnitřní, chápu to správně? Co je ale to druhé?

Dík.

[Petr Bravenec]

To druhé je nasměrování nějakého portu na veřejně adrese na nějakou vnitřní pro počítače vevnitř.

Zdá se to jako blbost, ale blbost to není, typická situace:

Pošta (imap) na vnitřním serveru 192.168.1.10 + zvenku NAT, takže je imap dostupný zvenku na veřejné IP adrese - říkejme jí jménem imap.mojefirma.cz. Pokud veřejnou adresu imap.mojefirma.cz nastavíte obchodníkovi do notebooku, bude mu pošta chodit bez problémů na cestách, ale nebude mu to chodit vevnitř sítě. Tam byste musel nastavit adresu imap serveru na těch 192.168.1.10, nebo nastavit NAT i zevnitř dovnitř. Prostě mají-li si povídat mezi sebou počítače v privátní síti za použití svých "veřejných" adres, musíte použít NAT i pro privátní síť. NAT je opruz.

Občas se servery viditelné z vnější sítě dávají do demilitarizované zóny. Potom je těch pravidel pro NAT ještě více.

Na IPv6 takové věci vůbec řešit nemusíte, stačí nastavit pravidlo pro forwarding.

[pavlix]

Proto i na IPv4 používám veřejné adresy. Alespoň na servery, ale naštěstí jsem jich dostal dostatek i pro domácí síť, takže nemusím řešit harakiri ohledně toho, který počítač chci mít dostupný i zvenku, vše je vyjádřeno jednoduchým firewallem.

[theo]

No já to štěstí neměl a veřejné IPv4 adresu máme doma jen dvě (na 4 počítače a asi 6 dalších zařízení, které s pomocí IP umí komunikovat), přičemž jedna je spolubydličova a druhá je pro zbytek sítě (ta jedna adresa je jeho, protože shodou okolností pracuje u ISP který nás připojuje a z pochopitelných důvodů, ze kterých tolik chrochtám nadšením nad IPv6, chce mít svůj stroj přístupný odkudkoliv). A dostat adresní rozsah na IPv6 je asi podobný problém jako se nadechnout v lese. Takže teď může mít v naší domácnosti vlastní veřejnou IPčku i každý útržek zatím nevybaleného hajzlpapíru a stejně mi jich nepředstavitelně větší hromada zbude :)

[pavlix]

A dostat adresní rozsah na IPv6 je asi podobný problém jako se nadechnout v lese.

Nevím. IPv4 jsem ukecal na /28, z IPv6 jsem si vyhradil jedno písmenko v první číslici, takže to vyšlo na /52. A kdyby to nešlo, pořád je tu sixxs s českým PoPem, což je takřka nerozlišitelné od nativní konektivity.

[prqek]

Jo s tím se taky parkrát setkal. Ale nedalo by se to řešit na úrovni DNS? Když mám zařízení, co dělá NAT, tak velmi často řeší i DNS dotazy. Tak ho trochu poladim a pro imap.mojefirma.cz bude vracet 192.168.1.10. To by mělo fungovat, ne?

[Petr Bravenec]

Ne - dostanete se do problému. DNS informace by musely být vevnitř sítě jiné, než venku. Což by snad šlo (přes DHCP se posílá i DNS server), ale DNS informace se mohou na počítači kešovat (tj. počítač se nezeptá a sáhne do vlastní paměti) a hlavně jde o falšování skutečnosti. Možná vám to nepřipadá důležité, ale dnes bývá často zvykem DNS informace podepisovat a podvržená, zfalšovaná informace by pokud možno vůbec neměla mít právo na život.

[David Jaša]

split-horizon DNS se používá a není to nic vyloženě špatného ani kolidujícího s DNSSEC, ale je to holt opruz při nastavování

[pavlix]

split-horizon DNS se používá a není to nic vyloženě špatného

Tady bych úplně nesouhlasil, pokud nemáš namysli specificky to, že se část DNS pouze nezveřejní.

ani kolidujícího s DNSSEC

Tak pokud se to celé podepíše, tak je všechno v pořádku, že.

ale je to holt opruz při nastavování

Nenapadá mě rozumný setup, kdy se nejedná o celou samostatnou zónu.

[David Jaša]

Tady bych úplně nesouhlasil, pokud nemáš namysli specificky to, že se část DNS pouze nezveřejní.

Ne, mám na mysli scénář, kdy světově přístupné servery musí být někde hluboko v privátní síti, pak mi jiné A záznamy vracené dovnitř a jiné ven (spolu s DNATem na hraničních routerech) přijdou jako nejčistší řešení.

[pavlix]

pak mi jiné A záznamy vracené dovnitř a jiné ven (spolu s DNATem na hraničních routerech) přijdou jako nejčistší řešení.

Mě to jako čisté řešení nepřijde vůbec a hlavně hlavně mi to připadá úplně zbytečné.

[multi]

takhle to resim ja a je to hrozny opruz a pak se stejne clovek divy kdyz se neco chova nestandartne .... pro me hlavni duvod proc bych chtel vsude videt IPv6

[pavlix]

DNSSEC na vás.

[prqek]

DNS informace by musely být vevnitř sítě jiné, než venku.

Přesně tak jsem to myslel.

... DNS informace se mohou na počítači kešovat (tj. počítač se nezeptá a sáhne do vlastní paměti) ...

Hmm, to by asi byl problém.

Mno, ipv6 je lepší

[Jendа]

…a pak přijde nějaký Jenda s vlastním resolverem.

[prqek]

Takovému Jendovi, co umí přijít s vlastním resolverem taky pravděpodobně dojde, že za NATem a mimo, je jiná situace a přizpůsobí se. Ale samozřejmě je to obezlička.

[Jendа]

Ano, takže se to nakonec nějak vyřeší, ale je to pakárna a je s tím práce navíc. Jako se všemi ostatními opatřeními pro obejití malého adresního prostoru.

Ale IPv6 nepotřebujeme, k čemu je koncákovi veřejná IP?

[prqek]

Práce navíc je to určitě, nikdy jsem netvrdil opak. IPv6 je lepší, o tom není pochyb. Ten můj návrh nebyla alternativa k IPv6, ale k NATu zevnitř dovnitř.

[Petr Bravenec]

Ale IPv6 nepotřebujeme, k čemu je koncákovi veřejná IP?

Mě asi cyp střelí. Tak já se tady celé roky snažím, vysvětluju proč je špat natně, proč koncový uživatel potřebuje veřejnou ip adresu stejně jako server, a on pak kdosi přijde a poví "K čemu ja koncákovi veřejná IP?" Ať už máte připojenou domácnost, nebo celou firmu, prakticky všichni ISP vás tlačí do pozice koncáka a je nadlidský úkol jim vysvětlit, že tu statickou veřejnou IP adresu (aspoň jednu!) vážně potřebuju a neobejdu se bez ní (O2) a že platit za IPv6 stovku měsíčně je vydřidušství (O2). Pro dalšího ISP jsem sice dost veliký na to, aby moje požadavky na IPv6 bral dostatečně vážně (T-Mobile), ale "teď ještě ne". Požádat o stovku IPv4 ani nezkouším: "Proč si ty elektrárny nepronatujete, to jich máte fakt tolik?". Bez IPv6 jsme v očích ISP všichni jen "koncáky", se kterými se na téma IP adres nemá smysl bavit. Dokud nebude mít veřejnou adresu každé zařízení běžné koncové síti, budeme těmi koncáky všichni a budeme škemrat o přístup na internet.

Bez vlastní IP adresy budete vždy odkázaný na služby někoho jiného a odnese to telefonování, šifrování, hraní přes internet a spousta dalších aktivit, které zatím třeba ani vůbec nevznikly, protože všichni jsou obyčejnými "koncáky".

[Jendа]

Citoval jsem odborníky na Rootu.

modprobe irony

(to fakt nebylo ze začátku komentáře poznat?)

[Petr Bravenec]

Já jsem to tušil, proto jsem se snažil rozčílit co nejvěrohodněji

[Xerces]

Až jsem myslel, že vám z toho praskne žilka (špat natně .

[Bystroushaak]

tu statickou veřejnou IP adresu (aspoň jednu!) vážně potřebuju a neobejdu se bez ní (O2) a že platit za IPv6 stovku měsíčně je vydřidušství (O2).

O2 poskytuje IPv6 zdarma, platí se jen za statické čtyřky, ne?

[theo]

Slovy klasika: When you see it, you will shit bricks... :)

[multi]

ja sem slysel, ze pak ti ale verejnou IPv4 zrusej...

[kolcon]

ja nevim, mi pripada, ze tu nekdo objevil VPN ;)

[theo]

Musím souhlasit, opravdu nevíš :) VPN, jak název napovídá, slouží k vytvoření Virtuální Privátní sítě (Network), tedy k scénáři, kdy chci po veřejném internetu vytvořit privátní (obvykle šifrovanou) síť (nebo skromněji spojení). Tohle jde ale vyloženě proti logice VPN v tom, že pomocí prostředků kterými se obvykle budují privátní (tj. L2TP a PPP) vystavíš veřejně přístupnou IPv6 síť, která umožňuje komukoliv komunikovat s tvým zařízením, které je kdesi za sedmero NATy a šestero routery. Je to VPN naruby. Got it?

[pavlix]

Spíš někdo objevil konektivitu.

[Petr Bravenec]

Představte si, že máte doma IP teploměr v každém pokoji, řízení vytápění, kamerový systém a zabezpečení, v garáži na druhém konci města taktéž IP teploměr a zabezpečení a odjedete na dovolenou.... Je vhodnější přistupovat přes VPN nebo přímo na vybrané zařízení? Jiná situace - chcete se pochlubit teplotou v kuchyni kolegovi v práci - je vhodnější cizímu člověku zprostředkovat přístup přes VPN, nebo mu prostě sdělíte adresu na konkrétní zařízení?

Rozdíl mezi IPv4 a IPv6 není jen v tom, že IPv6 má více adres. Hlavní přínos IPv6 vidím v tom, že v síti IPv6 můžu konečně uvažovat jako děcko - jednoduše a přímočaře. Pro řešení jednoduchých problémů stačí jednoduché věci.

[Petr Bravenec]

To měla být odpověď na příspěvěk

ja nevim, mi pripada, ze tu nekdo objevil VPN ;)

[kolcon]

no jasne ze bych to radsi schoval do VPN...

[pavlix]

Já bych to radši schoval za IPsec transport mode. Se sítěmi se mnohem lépe pracuje, když se konektivita a zabezpečení považují za ortogonální.

[Michal Vyskočil]

považují za ortogonální.

Tohle ortogonální je Lennartismus, nebo to pochází z Gnome?

[pavlix]

Vo co ti de? :)

[Michal Vyskočil]

Zajímá mě, kde jsi se nakazil

[pavlix]

Nejspíš na matfyzu.

[pavlix]

Ale v angličtině se v technických kruzích používá běžně.

[theo]

Tak to je mi líto nejen tebe, ale i tvých potenciálních kolegů, kterým se budeš chtít s teplotou v garáži, nebo kuchyni pochlubit. Pro začátek se zkus na chvilku oprostit od pekla současných zvěrstev páchaných na IPv4 sítích (které tobě a mnohým dalším diskutérům nejen tady připadají jako úplně normální) a zkus si představit jaké by to bylo kdybys nemusel složitě konfigurovat VPNky a stačilo jen říct, že odsud posud je to spojení šifrované. A pak si znova přečti něco o IPv6, třeba dojdeš osvícení :)

[pavlix]

zkus si představit jaké by to bylo kdybys nemusel složitě konfigurovat VPNky a stačilo jen říct, že odsud posud je to spojení šifrované.

+1 (akorát s/šifrované/zabezpečené/)

[houska]

ale pak bys kolegovi musel dat pristup do cele vpnky

[kolcon]

proc, protahnu mu port ;)

[Petr Bravenec]

Z toho zařízení v garáži? Předpokládejme, že je to připojené přes mobil a má to adresu 10.10.cosi.cosi, po každém pádu spojení jinou. Na kterém router bych to mohl nastavit?

[kolcon]

na tom vpn routeru/serveru

[Petr Bravenec]

Dostal jste mě. Neuvědomil jsem si, že když se chci v IPv4 připojovat do garáže, musím se připojovat do kuchyně.

[kolcon]

tak stejne neco bude muset ridit, co ma pristup mit a co ne...

[Petr Bravenec]

Jméno a heslo? Iptables?

[kolcon]

na teplomeru?

[Petr Bravenec]

A proč ne? Pokud výrobce IP teploměru dokázal implementovat VPN, jistě dokáže ověřit i jméno a heslo

[kolcon]

vpn/iptables/... dela ten "server v kuchyni", ktery jsem pochopil, ze v pripade ipv6 neni potreba

[Petr Bravenec]

Kdepak, VPN, jak jsem pochopil, je i mezi garáží a kuchyní a uživatel (kolega v práci) se k ní připojuje jako další počítač.

[theo]

Takže si to shrňme:

IPv6 řešení:

1. nakonfiguruju IPv6 tunel domů
2. nakonfiguruju IPv6 v síti (třeba s DHCP, nebo RADVD)

Hotovo (můžu teda připojit ještě 3. krok a nakonfigurovat pro každé zařízení nějaké pěkné doménové jméno :)

IPv4 řešení:

1. Nakonfiguruju domů VPNku (to může být s různými ISP podle zvolené technologie docela sranda)
2. Nakonfiguruju NAT na jeden port na zařízení

Krok 2. je potřeba opakovat pro každé zařízení, které přidám/uberu/změním. Do VPNky si budu pouštět cizí lidi.

Já ti nevím, ale IPv6 z toho vychází o dost líp.

PS: Nechce se mi celou tu IPv4 šílenost rozepisovat, takže jestli na to máte někdo chuť tak prosím, pobavte se taky :)

[Michal Kubeček]

Bod 1 u IPv6 je navíc jen dočasný workaround, dokud nebude nativní konektivita.

[asdf]

Já bych to schoval za nat, už jen z bezpečnostního hlediska. A ten kdo sem napíše "security by obscurity" je idiot.

[Michal Kubeček]

To, že vy někoho považujete za idiota, ještě zdaleka neznamená, že jím opravdu je.

[Jendа]

Jak NAT pomáhá bezpečnosti? Nepleteš si ho s firewallem?

[Petr Bravenec]

NAT není bezpečnostní opatření. Pravidlo pro NAT vypadá ve firewallu takto:

iptables -t nat -A POSTROUTING -o eth_venkovni -j SNAT --to $IP_VENKOVNI

Toto pravidlo mění obsah paketů putujících ven, ale pakety nikam nezahazuje, normálně je propouští.

Bezpečnostním opatřením, které má schopnost chránit vnitřní síť, je pravidlo

iptables -A FORWARD -i eth_venkovni -o eth_vnitrni -j DROP

kteréžto pravidlo by mělo být na firewallu vždy nějakým způsobem zastoupeno, s NATem však nijak nesouvisí.

V IPv6 se nevytváří NAT, špinavá pracka nenechavého NATu pakety nijak nemění. Zůstává pouze pravidlo

ip6tables -A FORWARD -i eth_venkovni -o eth_vnitrni -j DROP

které funguje úplně stejně jako v IPv4.

Kde tam vidíte nějaké bezpečnostní hledisko NATu?

NAT nemá s bezpečností nic společného, asi se "security by obscurity". Mám si toho idiota vzít osobně, a přidat ještě jeden příspěvek osobnějšího rázu?

[ASFasF]

NAT není bezpečnostní opatření.

To je sice pěkné, ale defakto jako bezpečnostní opatření funguje. Nebo mi napište jak pingnete počítač za děravým natem(masquerade,forward-accept) na nějaké veřejné adrese, z jiné své veřejné adresy.

[Jendа]

Že by třeba

tava:~# ip r a deka/32 via deravynat dev eth0
tava:~# ping deka
--
deka:~# tcpdump -i eth0 icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
25:65:54.520197 IP tava > deka: ICMP echo request, id 7246, seq 11, length 64

?

[dumblob]

Mozna jsem neco prehlednul, ale pokud "deka" bude z privatnich rozsahu, tak ti tyhle pakety hnedka prvni router po ceste zahodi.

Kazdopadne stejne bys musel nejprve udelat ping sweep, abys vedel, ktere stanice za natem jsou (a ze jich tam muze byt dost, pokud vezmu v uvahu 10.0.0.0/8 nebo i jine rozsahy, ktere nejsou privatni, ale cil je v LAN muze pouzivat, pokud bude NAT dobre nakonfigurovany a prelozi je vsechny).

Musim vsak uznat, ze pravdepodobnost vyskytu 192[.]168[.][0-6][.][0-255] bude vysoka a to je na sweep jenom par adres, takze to je hned.

[Petr Bravenec]

Mozna jsem neco prehlednul, ale pokud "deka" bude z privatnich rozsahu, tak ti tyhle pakety hnedka prvni router po ceste zahodi.

<nadsázka>
Ono to někdy ani nemusí vadit. Konkurence, která mě nejvíce štve, má kanceláře hned vedle a máme společného ISP. Konkurenční firma ze sousedního města mi už na paty tolik nešlape, ale taky máme společného lokálního ISP. Konkurence z okresního města je mi ukradená.

S klukama od ISP chodím na pivo. Myslím, že kdy jim jednoho kouska zaplatím, ještě v hospodě mi pomůžou se ke konkurentovi nabourat.
</nadsázka>

[dumblob]

Pravda, lidsky faktor je neodstranitelny bottleneck .

[Michal Kubeček]

Mozna jsem neco prehlednul, ale pokud "deka" bude z privatnich rozsahu, tak ti tyhle pakety hnedka prvni router po ceste zahodi.

Pokud tam vůbec nějaký "po cestě" bude. Pokud se k tomu poslednímu nebude schopen dostat a nikdo, kdo se k němu dostane, mu nebude ochoten pomoci. Pokud nebude povolen source routing. Pokud… Na můj vkus je těch "pokud" trochu moc na to, abych na tom stavěl zabezpečení své sítě.

a ze jich tam muze byt dost, pokud vezmu v uvahu 10.0.0.0/8 nebo i jine rozsahy

Už jsem různých domácích a malých firemních sítí viděl dost a moje zkušenost je taková, že pokud by těch, kdo nepoužívají 10.0.0.0/24, 10.10.10.0/24, 192.168.0.0/24, 192.168.1.0/24 nebo 192.168.2.0/24 bylo více než pět procent, bylo by to pro mne ohromným překvapením. Občas navíc ta adresa prosákne někde v protokolech aplikační vrstvy (namátkou SMTP nebo HTTP).

ktere nejsou privatni, ale cil je v LAN muze pouzivat, pokud bude NAT dobre nakonfigurovany a prelozi je vsechny

To by musel být zatraceně dobře nakonfigurovaný NAT, aby poznal, jestli má paket s cílovou adresou X poslat na stroj s adresou X v lokální síti nebo na stroj s adresou X na druhém konci světa. Tím spíš, že se k němu ten paket obvykle ani nedostane.

[dumblob]

Na můj vkus je těch "pokud" trochu moc na to, abych na tom stavěl zabezpečení své sítě.

Netvrdil jsem, ze to je bezpecne, nybrz, ze neni tak jednoduche se dovnitr dostat.

Občas navíc ta adresa prosákne někde v protokolech aplikační vrstvy (namátkou SMTP nebo HTTP).

Zde predpokladate, ze jste vlastne MiM a nebo strasne blizko stanice, na kterou utocite (ale treba SIP by opravdu prozradil co a jak). Tedy ne pripad, ktery uvedl diskutujici vyse - jsem nekde na svete, mam pouze verejnou adresu cile a chci pingnout nejake stanice uvnitr, o kterych nevim vubec nic.

To by musel být zatraceně dobře nakonfigurovaný NAT, aby poznal, jestli má paket s cílovou adresou X poslat na stroj s adresou X v lokální síti nebo na stroj s adresou X na druhém konci světa. Tím spíš, že se k němu ten paket obvykle ani nedostane.

Tohle nejak nechapu. NAT/PAT prelozi vsechno podle tabulky, do ktere to mohu narvat dynamicky (pool nebo porty) a nebo rucne a nebo kombinaci predeslych. NATu je uplne jedno co preklada.

[Michal Kubeček]

Netvrdil jsem, ze to je bezpecne, nybrz, ze neni tak jednoduche se dovnitr dostat.

A to vám jako správci sítě stačí? Já jsem třeba ochoten smířit se s rizikem, že útočník uhodne 128-bitový klíč k AESu, ale s tímhle rozhodně ne.

Zde predpokladate, ze jste vlastne MiM a nebo strasne blizko stanice, na kterou utocite (ale treba SIP by opravdu prozradil co a jak).

Ne. Já nejsem útočník, který se za každou cenu potřebuje dostat do konkrétní sítě. Já jsem správce sítě, který zvažuje rizika konkrétních modelů útoku. A tohle riziko je pro mne příliš velké, abych nad ním dokázal mávnout rukou.

Tohle nejak nechapu. NAT/PAT prelozi vsechno podle tabulky, do ktere to mohu narvat dynamicky (pool nebo porty) a nebo rucne a nebo kombinaci predeslych. NATu je uplne jedno co preklada.

Uvažujme situaci, kdy ve své maškarádované síti použijete rozsah, který není pro tyto účely rezerovavaný (tj. ne podrozsah 10.0.0.0/8, 172.16.0.0/12 nebo 192.168.0.0/16) a který není rezervovaný ani pro jiné účely (třeba multicast, což by zase vedlo k jiným problémům). Pak musíte počítat s tím, že nastane situace, kdy některý počítač ve vaší síti bude mít aresu X stejnou jako nějaký počítač kdesi venku. Jestliže pak pošlete z jiného počítače ve své síti paket na adresu X, jak si představujete, že NAT-box pozná, jestli má paket odmaškarádovat a poslat ven nebo ho bez maškarády poslat na ten stroj uvnitř? Nemluvě o tom, že se ten paket ve většině případů na NAT-box vůbec nedostane, protože půjde k lokálnímu stroji přímo nebo přes jiný router.

[dumblob]

A to vám jako správci sítě stačí?

Samozrejme nestaci, reagoval jsem na Jendu - myslim si, ze v realu to fakt v 95% pripadu takhle jednoduse nepujde.

...abych nad ním dokázal mávnout rukou.

Tak to kazdopadne. Proste se nejedna o zabezpeceni.

Uvažujme situaci,...

Ano, presne tak. Tedy z vnitrni site ho router naroutuje zase do vnitrni site (prelozi a pak routuje diky existenci specifictejsi routy). Z globalni site ten paket pobezi ke skutecnemu cili, a tedy utocnik ma smulu.

[Michal Kubeček]

Ano, presne tak. Tedy z vnitrni site ho router naroutuje zase do vnitrni site (prelozi a pak routuje diky existenci specifictejsi routy). Z globalni site ten paket pobezi ke skutecnemu cili, a tedy utocnik ma smulu.

Ale v tomhle odstavci přece vůbec nešlo o nějakou bezpečnost nebo útoky. Tady jde o prostou (ne)funkčnost způsobenou tím, že nebude u paketu (zevnitř) jasné, na který z těch dvou strojů se stejnou adresou by se měl routovat. Právě proto existují rezervované rozsahy, u kterých máte jistotu, že na Internetu nikomu přiděleny nebudou.

[dumblob]

No samozrejme, ze s timto musi admin pocitat pokud ukradne z verejneho rozsahu adresu.

[Jendа]

Mozna jsem neco prehlednul, ale pokud "deka" bude z privatnich rozsahu, tak ti tyhle pakety hnedka prvni router po ceste zahodi.

Takže bezpečnost je postavená na doufání, že to někdo po cestě zahodí. Ale co když jsem u stejného ISP hned vedle nebo v racku vedle?

[dumblob]

Znovu bych rad zduraznil, ze jsem na "vasi" strane (tzn., ze to "doufani" nepovazuji za bezpecnost, nybrz dalsi prekazku, kterou musi utocnik rozlousknout - at uz jakkoliv).

Presto se domnivam, ze nesymetricky NAT je predevsim domenou koncovych uzivatelu a ne racku. A utocit na souseda mi prijde detinske (samozrejme kdyz budu chtit, tak si jako utocnik koupim od stejneho ISP linku co nejblize cili, ale to uz je cileny utok a ne nejake cinske prohledavani adresniho prostoru pomoci script kiddies nebo "jenom takove to male otukavani").

[Michal Kubeček]

A utocit na souseda mi prijde detinske :-)

Pak nezbývá než doufat, že sousedovi taky. :-)

[dumblob]

Soused ma smulu - mam firewall .

[pavlix]

Já bych to schoval za nat, už jen z bezpečnostního hlediska. A ten kdo sem napíše "security by obscurity" je idiot.

Že je NAT bezpečností opatření je nesmysl už z principu. To by totiž znamenalo, že když NAT vypneš, snížíš tím bezpečnost. A já ti garantuju, že bezpečnost proti útokům zvenčí vypnutím NATu jednoznačně zvýšíš.

[Jendа]

Zjevně neporovnává stav „maškaráda“ se stavem „mezi sítěmi nelze komunikovat“, ale se stavem „je to jedna sít“.

[pavlix]

V tom případě já budu „zjevně“ porovnávat firewallovanou síť na veřejných adresách s firewallovanou sítí s NATem. A opět se zjistí, že NAT není z bezpečnostního hlediska k ničemu.

Jediné smysluplné srovnání, pokud chci tvrdit něco o samotném nástroji, je zda nějaký nástroj použiju či nepoužiju, bez dalších podmínek. Srovnání různých scénářů o NATu jako takovém nic moc neříká.

[Jendа]

Proč se ti nelíbí srovnání sítě na veřejných adresách se sítí s maškarádou?

[pavlix]

A proč biješ svoji ženu? Toto řeší poslední věta mého předchozího komentáře.

[multi]

ted si ho utrel :)

[xkucf03]

úplně nový internet

Podle nadpisu jsem čekal trochu víc, než jen že IPv6 je hodně IP adres a není potřeba NAT… nechceš se aspoň trochu rozepsat o tom přístroji na fotce?

[Michal Kubeček]

On to vlastně není nový Internet, ale spíš starý dobrý Internet, který už ale většina dnešních uživatelů nezažila, takže je to pro ně v závislosti na založení buď úžasná novinka nebo absurdní představa.

[multi]

absurdní představa.

co oci nevidi to srdce neboli

[Petr Bravenec]

Stačí se podívat do této diskuse, kde je jasně vidět, že dostatek adres a nepotřebnost natu je pro mnohé tak nepředstavitelná věc, že stále hledají cestičky, jak řešit věci složitěji, ale podle jejich zažitých zvyklostí.

Pro ty, co znají internet pouze v jeho současné, zanatované podobě, je internet na IPv6 opravdu nový a napoprvé těžko pochopitelný, a hlavně zahazuje všechny ty složité a náročné technologie, které z nich dělají odborníky, takže se nechtějí smířit s řešením "nastav tam IP adresu, nebo to nech na autokonfiguraci". Ano, IPv6 je nový internet. Slovy marxismu-leninismu: "Kvantita se mění v novou kvalitu".

A taky jsem ten nadpis volil tak, aby pro zdejší diskutující bylo téma zajímavější a lákavější, než tlachy o amnestii

O zařízení se jednou rozepíšu. Ve stručnosti: je to jednodeskový ARM na zákaznické desce s komunikačními porty.

[pavlix]

zahazuje všechny ty složité a náročné technologie, které z nich dělají odborníky

Popravdě řečeno lidí, kteří jsou zároveň dostatečnými odborníky na to, aby rozuměl NATu a jeho praktickým důsledkům, a zároveň jsou krvavými odpůrco IPv6, asi tak moc nebude.

U mě si lidi zvykli, že IPv6 podporuju a prosazuju (i když ne bez výhrad). Ale když má někdo problém s NATem, tak komu volá, že?

[Petr Bravenec]

OK, dáme odborníky do uvozovek, asi takto: "odborníci".

Ale to už z toho vylézá něco, co jsem ani moc nechtěl. Nechci se totiž jakkoliv strefovat do odborníků a "odborníků". Prostě jsem si jen všimnul lidské vlastnosti, že lidé (odborníci i "odborníci") se jen neradi vzdávají vlastností či dovedností, které v jejích a v cizích očích jimi ty odborníky dělají, a brání jim to vidět věci jednoduše. Přesně jak jsem psal: schopnost nastavit nat mne v mých očích dělá odborníkem a podvědomí mi bude našeptávat, že náhrada celé mé odbornosti pouhým nastavením adresy ze mě dělá odborníka menšího. Ta nejjednodušší cesta je někdy špatně viditelná a někdy se dokonce člověk zdráhá se na tu nejjednodušší cestu vydat. Člověk to v hlavě prostě nemá jednoduché.

Pozoruji tento jev u sebe i u kolegů. Občas přemýšlím, co vše dělám v životě pod nátlakem svého ega složitě, a co by se dalo nějak zjednodušit. Občas jsem překvapen, když mě někdo upozorní na jednodušší řešení a donutí mě k povzdechutí: "Týýýýjo, já jsem ale slepý!"

[David Jaša]

To mi přijde jako taková slabší varianta Uptona Sinclaira:

It is difficult to get a man to understand something, when his salary depends upon his not understanding it!

[diverman]

Ty jsi jeden z tech, co se podili na tom fotovoltaickem tunelu?

[Petr Bravenec]

Ne, já jsem z těch, co těm podílníkům od peněz pomáhají.

Se svým názorem asi budu v menšině, ale průser je náš zkorumpovaný dotační systém, ne fotovoltaika.

[pavlix]

ale průser je náš zkorumpovaný dotační systém, ne fotovoltaika.

+1

[Michal Kubeček]

Hm… a kolik z těch fotovoltaických elektráren, co jsou všude kolem nás, by asi existovalo, nebýt těch dotací? Čtvrtina? Desetina?

[Petr Bravenec]

Kolik firem, co jsou všude kolem nás, by asi existovalo, nebýt těch dotací? A naopak - kolik jiných firem, co nejsou všude kolem nás, by asi existovalo, nebýt těch dotací?

Štve mě, když procházím různými firmami a vídám známé hvězdičkované kolečko s cedulí "vybavení této kanceláře bylo zaplaceno z peněz evropské unie" a dost mě vytáčí, když někde dojednávám za svou firmu kšeft a v půlce se dozvím, že to dali někomu jinému se zdůvodněním: "Oni dostali grant z EU a dokážou to udělat za polovinu."

Platím daně na to, aby pak vláda moje peníze předala konkurenci. Brrrr. Fuj.

A korupce? Dělá se mi zle, když vidím, jak se média, politikové, lidi mohou přetrhnout, aby poukázali a zanadávali si na zkorumpovaného kohokoliv, ale nikdo nepoukáže na tu zbytečnou hromadu peněz, určenou k rozdělení, která jako magnet přitahuje všechny neschopné či všehoschopné a za jednoho dopadeného se do fronty postaví dva další.

Fotovoltaika je jen malinký průser a víme o něm jen díky tomu, že se někomu hodilo, abychom o něm věděli. Za fotovoltaiku zaplatíme kolik? Pětistovku měsíčně navíc? To je jen malá cena ve srovnání s tím, co by mohla evropská ekonomika dokázat, kdyby nelila peníze do kanálu a nebyla nucena bezmocně pozorovat, jak každému po cestě zůstane za nehty ta jeho troška.

[houska]

+10417

[ajtman]

povazuji Svobodne za jeste vetsi nebezpeci nez jsou soucasni komuniste. Neoliberalismus je hruzna ideologie, prakticke pokusy v historii jiz prokazaly jeji nesmyslnost.

Lide , bdete!

[ajtman]

souhlasim s tim, ze system dotaci pokrivuje trh, pausalne bych dotace ovsem neodsuzoval. Nemam univerzalni patent, ale kazda rozumna vlada (uz tisice let) pouziva nejaky system pobidek (napr. Karel IV - Nove Mesto ....).

Technickou stranku v clanku jsem moc nepochopil, ale tesim se na to slibene pokracovani s praktickymi priklady. Pak to snad bude jasnejsi.

[Jirka]

Nemá někdo tip na multiplatformní (linux/widle/android) voipv6 aplikaci, která umí volat přímo na ip adresy bez použití dalšího serveru, tak jako to uměl kdysi netmeeting ve widlích? Zkoušel jsem linphone a furt to chce sip. Díky.

[Michal Kubeček]

SIP neznamená, že nemůžete "volat přímo na IP adresy".

[Jirka]

zkouším to a nejde ani ani na vnitřní síti při vypnutým firewallu na obou stranách.

[petr_p]

To je adresní schéma v URI. Asi jako v odkazu na webovou stránku máte „http“. Prostě tam napište <sip:UŽIVATEL@IP_ADRESA>.

[Jirka]

Díky, já tam hlavně neměl toho uživatele.