IPv6 bude mít NAT (diskuse)

[Lukas]

:(

[xm]

Bože muj to jsou paka

[xm]

Tak jsem si celý ten článek přeci jen přečetl a jedná se jen o NAT pro přechod z IPv4 na IPv6 (překlad IPv4 adres na IPv6 adresy, kvůli zařízením která podporují pouze IPv4). I to je špatné, ale pořád milionkrát lepší než to co člověk pochopí ze zprávičky.

Zprávička by měla být patřičně upravena.

[saly]

Už jsem si říkal, aby mě můj ISP po přijetí IPv6 dal za NAT, to bych ho asi zabil ...

[cezz]

No moze ist aj o opacne dovody. Napriklad ISP zmluvne (a aj technicky) poskytne pripojenie len pre jeden pocitac. V takom pripade sa NAT celkom hodi..

[saly]

No, já mám jeden počítač, takže mě by to bylo jedno. Mimojiné nevidím důvod, proč by mi ISP nemohl těch adres dát třeba tisíc, nic ho to stát nebude(no, možná za tisíc adres bych asi něco zaplatil) a že by těch adres bylo málo se říct nedá :) Myslel jsem spíše, že by ISP měl jednu "veřejnou IPv6" a za tou by byli všichni klienti, to by byla totiž naprostá hovadina ...

[Stanislav Petr]

Zadny ISP Vam tisic IPv6 adres neprideli. Takhle malej blok totiz v IPv6 pridelit NELZE!

[zajdee]

Ale proč by nešlo? Maska sítě může být i v IPv6 třeba /120, což dává 256 použitelných adres, nebo /118, což dává 1024 použitelných adres. Otázkou samozřejmě je, kdo by to dělal a proč. ISP sami mají obrovské bloky a není problém klientovi přidělit buď /64 (to je ten nejhorší případ, řekl bych), nebo třea /56, /48...

[MarSik]

Podle standardniho modelu pridelovani, by kazdy klient mel dostat 64bit prefix a 64bitu pro sve adresy. Jde tu totiz hlavne o autokonfiguraci adres (z 48bitove MAC adresy). ISP pak ma 32bitu a prvnich 32bitu je pro rozliseni "tridy adresy" a identifikaci ISP. (Porad ma kazdy z nich rozsah vetsi nez je pocet pridelitelnych IPv4 adres).

[petr_p]

Standardní model podle RIPE hovoří o 48b prefixech, ale nezatracuje ani peer-to-peer směrovaní, kde má smysl. Prostě adresy se rozdávat budou velmi snadno, ale po malých kouscích a rozšiřovat se bude až bude skutečně potřeba.

[trekker.dk]

Hm, známe své lidi - to je pravděpodobnější, že ISP využijí ten NAT a ve své vnitřní síti si nechají IPv4 adresy. Zvlášť když si teď za veřejné adresy můžou nechat platit...

[Käyttäjä 11133]

Já bych ho zabil i kdyby mě dal na IPv4 za NAT :D. Teda vlastně bych šel ke konkurenci

[saly]

No já veřejnou IP mít můžu ale za 100,- za měsíc :( Jinak přecházet nebudu, dostupnost vysoká, rychlost/limit za tu cenu taky. Tohle je nejlepší řešení internetu v našem městečku ... http://www.elsat.cz/internet-cenik.html ... No neber to za 3 kila ... :)

[frEon]

Za každý započatý 1 GB nad datový základ zaplatíte navíc 30,- Kč

me by to stalo vic, nez ty tri kila

[Luboš Doležel (Doli)]

No, ten net za 300 by mě stál asi tak 4500, jestli to správně počítám

[Grunt]

Proč?

[xm]

Protože absence NATu (respektive likvidace současného stavu, kdy je kvůli nedostatku adres NAT bohužel občas nutností) je jeden z důvodů, proč IPv6 vůbec vzniklo (aby byl nadále dodrženo pravidlo definující Internet, že každé koncové zařízení má mít vlastní adresu a mít možnost přímo adresovat libovolné jiné zařízení). NAT je zkrátka zlo.

Nicméně jak už jsem psal ta zprávička je docela zavádějící, nejedná se naštěstí o NAT v rámci IPv6, ale jen o NAT pro překlad adres mezi IPv6 a IPv4 (tedy přechodné řešení pro zařízení, která umí pouze IPv4).

[Luboš Doležel (Doli)]

Doplnil jsem do zprávičky větu.

[Grunt]

A až se(jestli vůbec se) IPv6 rozšíří, tak NAT logicky zmizne?

[xm]

Ano. A IPv6 se už rozšiřuje, běžný Franta uživatel si toho sice zatím moc nevšimne, ale děje se tak... jen počkejte až přestanou být ISP přidělovány další rozsahy IPv4 adres, to bude najednou boom s IPv6

[Grunt]

Ano.

NAT se sice začal používat kvůli nedostatku IP adres, ale v dnešní době se používá zcela z jiného důvodu, takže bych si tím vymizením nebyl tak jistý.

[Käyttäjä 11133]

v dnešní době se používá zcela z jiného důvodu

A z jakého?

[phax7]

ještě je dobré využití jako záminka na flamewar - někdo napíše jako ochrana vnitřní sítě - někdo hned že NAT není firewall a tak pořád dokola:)

NAT je zlo.

[Käyttäjä 11133]

Zrovna to jsem chtěl napsat a ty si mě předběhl :D

[Grunt]

ještě je dobré využití jako záminka na flamewar - někdo napíše jako ochrana vnitřní sítě - někdo hned že NAT není firewall a tak pořád dokola:)

Toho názoru, že NAT není firewall se zastávám téže. Také navíc od dob co máme filtry navíc také proč, že? Ale NAT tu není jen kvůli nedostatku adres nebo ochraně sítě(bezpečnost? Co to je?).

[Grunt]

Jedním z několika vedlejších efektů maškarády je (domnělé) chování celé sítě za jednu IP, tak aby ISP nemohl rozpoznat zda-li je ta přípojka jeden počítač nebo další celá síť.

[frEon]

Ono se to da poznat velmi snadno i pres ten nat.

[Grunt]

Ono se to da poznat velmi snadno i pres ten nat.

Dost záleží na definici slova "snadno". Ale jinak proto jsem také psal do závorky to slovo domnělé.

[zigi]

rad bych se priucil, mohu se zeptat, jak se to da zjistit?

[Grunt]

Takto. Způsob už není dnes není moc použitelný jelikož se Source Routing defaultně filtruje, ale ten pravý způsob, který funguje už doufám nemusím osvětlovat a příjdete na něj i sám. Jinak ještě…také jeden ze způsobů.

[Grunt]

Jo, až teď jsem si všiml, že se ptáte jak se dá poznat jestli je za IP více lidí. Na to není potřeba ani nic podlézat či přeskakovat. Na to stačí jednoduchá analýza datového toku.

[zigi]

no ja myslel, jestli se nedelaji nejake dalsi zmeny v tcp/ip hlavickach .. neco takoveho postihuje IPsec skrze NAT (asi se jen jedna u zmenu IP a portu)

[Grunt]

min. TTL určitě. Proč? Hledáte snad nějaké filtrovací pravidlo?

[Kyosuke]

Možná tím poznám víc lidí, ale jak tím poznám víc počítačů?

[Grunt]

Doby sálových počítačů s terminálama už jsou dávno pryč a že se tlačí 250 lidí u jednoho počítače…

[frEon]

no muzu treba vychazet z toho, ze kazde nasledujici spojeni pochazi z vyssiho portu (pokud se nejedna o nejaky "privilegovany" proces) dokud nenarazime na mez 65535. Pak se kolecko restartuje. Takze ja se treba muzu divat na to z kteryho portu se navazuje spojeni. Kdyz mi tam budou padat cisla treba 33233 pak 1234 pak 54354 atd... tak tam muzu predpokladat vic pocitacu.

[Grunt]

To se dá jednoduše zamaskovat, jelikož NAT neznamená jen překlad adres, ale i portů. Za lepší metodu považuji sledování počtu ICQ připojení.

[frEon]

ja mel v kopete dva icq ucty.

[Grunt]

…a oba jsem používal současně. A navíc je rozdíl mít v Kopete dva účty a mít jich současně 255.

[frEon]

jj, pouzival jsem je soucasne. Dokonce jsem jednu dobu soucasne pouzival 3, kdyz jsem si hral a programoval icq bota. 255 uctu asi nikdo mit nebude, ale pokud by za tim natem nekdo potreboval mit 255 stroju, pochybuji, ze by si neumel vybrat dobreho isp a musel se schovavat.

[Grunt]

Dobře, s 255 jsem to přehnal. I 10 je dost, i když to na druhou starnu může být početnější rodinka. Ale princip je, řekl bych, dostatečně jasný.

[frEon]

ale nedokazu si moc predstavit jak to udelat jednoduse aniz by si tak clovek neomezil pocet pouzitelnejch portu.

[Grunt]

To je fakt. Maškaráda(nebo src-nat obecně) přiděluje zdrojové porty pokud možno tak aby sedli k těm původním, ale také si udržuje v překladové tabulce i porty, takže předpokládám, že doprogramovat si maškarádu tak aby překládala i zdrojové porty a ty házela za sebe by už snad problém neměl být.

[TomCat1]

tak tam muzu predpokladat vic pocitacu.
Anebo více programů anebo více uživatelů. To podle mě není velmi snadno, jak tvrdíte výše.

[Grunt]

Anebo více programů

Programy si sice při žádosti o socket můžou vybrat i zdrojový port, ale který program to dnes dělá?

anebo více uživatelů.

Současně pracujících na Windowsech?(samozřejmě předpokládám klasické klientské XPčka nebo Visty) A to jste slyšel kde?

To podle mě není velmi snadno, jak tvrdíte výše.

Velmi snadné určitě ne, ale dostatečně snadné na to, aby si byl někdo jistý svou neodhalitelností.

[TomCat1]

Programy si sice při žádosti o socket můžou vybrat i zdrojový port, ale který program to dnes dělá?

Jde to nastavit u mnoha programů (IM, P2P)

Současně pracujících na Windowsech?(samozřejmě předpokládám klasické klientské XPčka nebo Visty) A to jste slyšel kde?

Proč do toho taháte Win? Druhou otázku jsem nepochopil.

Velmi snadné určitě ne, ale dostatečně snadné na to, aby si byl někdo jistý svou neodhalitelností.

Já tady pořád nevidím ten argument, že to vždy lze odhalit. Že to někdy lze říci jistě Vám věřím.

[Grunt]

Proč do toho taháte Win? Druhou otázku jsem nepochopil.

Já zase nepochopil jak to myslíte s tím pracováním více uživatelů na jednom stroji. A i kdyby, tak jak již bylo řečeno, zdrojové porty přiděluje OS.

Já tady pořád nevidím ten argument, že to vždy lze odhalit. Že to někdy lze říci jistě Vám věřím.

Vy prostě po mně chcete algoritmus, který jednoznačně odfiltruje všechny uživatele s maškarádou, že?

[TomCat1]

Já zase nepochopil jak to myslíte s tím pracováním více uživatelů na jednom stroji. A i kdyby, tak jak již bylo řečeno, zdrojové porty přiděluje OS.

Např. tady tady nebo tady

Vy prostě po mně chcete algoritmus, který jednoznačně odfiltruje všechny uživatele s maškarádou, že?

Nechci.

[frEon]

vic uzivatelu, nebo programu tohle neovlivni. Porty prideluje programum os a to tak, ze programum prideleuje porty s vyssim cislem nez nez mel predchozi prideleny port (kdyz se dostane na horni mez - 65535, jde se od zacatku). Maximalne porostou cisla pouzivanych portu rychleji. Ze to jde velmi snadno jsem trochu prehnal, ale neni zase takovy problem dostat dostatek indiciji k tomu abych si opravnene myslel ze se za jednou ip schovava vice stroju.

[TomCat1]

Něco si myslet a něco vědět je rozdíl a na ten jsem poukazoval.

[DataIPv6]

Tak sem si pred chvilkou vypnul IPv4. Na IPv6 Googlu nasel tuto stranku , klik a nic... Musel sem IPv4 zapnout...

No to je teda vostuda