IPv4 nefunguje! Ať žije IPv6!

26.1.2011 23:00 | Přečteno: 2489× | Počítače | poslední úprava: 26.1.2011 22:57

Docházejí IPV4 adresy. Co s tím? Je to jasné - nainstalovat IPV6.

Kdo je připraven, není zaskočen - na větší rozšíření IPv6 si ještě asi počkáme, ale vůbec není na škodu, když se naučím něco nového už teď.

Obětoval jsem studiu IPv6 a nastavení své domácí sítě celou neděli. Chvíli to trvalo, protože jsem se snažil implementovat IPv6 do routeru s prastarým OpenWrt s minimem paměti. Ale nakonec se to podařilo a nyní má každé zařízení v síti jak adresu verze 4, tak verze 6.

IPv6 mě překvapilo - nastavení je jednodušší, než u IPv4. Těším se na dobu, až IPv4 zmizí ze světa - ale to si asi ještě pár let počkám.

Malé překvapení mě čekalo u nastavení iptables. Ze začátku mi síť nechtěla chodit, pro tcpdump na OpenWrt nezbylo místo, takže jsem zkusil provoz přes router sledovat pomocí pravidla PREROUTING v tabulce nat v iptables. Řeknu vám to asi takto: já vím, že IPv6 nemá NAT. Plně mi však praktický důsledek došel, až když začalo ip6tables prskat, že tabulka nat neexistuje. V ten moment jsem si uvědomil, že tu tabulku s přibližně stovkou pravidel mohu redukovat na tři - input, output a forward. Různé preroutingy, postroutingy, snatingy, forwardingy, dnatingy a jiné oblbingy, které jsou tam jen kvůli tomu, abych ze svého notebooku mohl přistupovat ke svému domácímu poštovnímu serveru z práce i doma stejně a nemusel používat v každé síti jiné nastavení, můžu vyhodit. Podobně můžu vyhodit desítky dalších pravidel kvůli přístupům přes ssh, k databázi a podobně.

Došlo mi, že si můžu s klidem zavolat ze SIP telefonu na jiný telefon v síti a dokonce se budu slyšet - každý telefon bude mít totiž vlastní IP adresu a veřejná adresa mého routeru nebude mást telefonní ústřednu. Fantazie.

Došlo mi, že internet v podání IPv4 nefunguje. Aby se zabezpečily zcela přirozené požadavky uživatelů v různých domácích či podnikových sítích, musí se v pravidlech na routeru dělat zcela nesmyslné a zbytečně složité věci. Tři čtvrtiny pravidel průměrného firewallu oddělujícího internet od vnitřní sítě dnes nemají za úkol chránit počítače uvnitř, ale zpřístupňovat vnitřní služby ven. Laciná zařízení typu "ADSL modem" většinou nedovedou poskytnout ani tuto funkci, a v sítích, které jsou přes takovéto neštěstí připojené a je potřeba zpřístupnit třeba poštu, je nutné vložit mezi modem a vlastní síť další router a další spojovací síť. Až potom je možné uvažovat o tom, že notebook bude fungovat obchodníkovi na služební cestě stejně jako ve firmě.

NAT je zvěrstvo. Pryč s IPv4. Co nejdříve. Včera bylo pozdě!

IPv6 je obrovské zjednodušení a teprve s IPv6 začne internet skutečně šlapat.

       

Komentáře

[Luboš Doležel (Doli)]

Já chci PPPv6. Kdy to O2 konečně zavede?

[vencour]

Prej nejpozděj od září 2011?

[Luboš Doležel (Doli)]

Tak to budu asi hodně slavit, jestli to uskuteční.

[Radek Podgorny]

ja u o2 pouzivam 6to4 zcela bez problemu...

[Luboš Doležel (Doli)]

To já sice taky, ale není to ono. Na RouterBoardu totiž musím napevno nastavit lokální adresu 6to4 rozhraní, takže se to musí předělat, kdykoliv se mi adresa změní.

[Jendа]

Co to měnit skriptem?

[Luboš Doležel (Doli)]

To by šlo, ale ta IP adresa se mi změní jednou za rok, a to jsem zase líný se kdoví jak dlouho otravovat s jejich skriptovacím jazykem

[Semo]

Existuje asi 1000 sposobov ako tunelovat IPv6 cez providerovu IPv4 siet. Ktory z toho vybrat a kde tunel ukoncit? Nema niekto nejaky funkcny navod na sucasne podmienky ceskych providerov (konkr. UPC), ktory by aj pripadne ozrejmil, co je nutne spravit s aplikaciami, domacim DNS, externym freeDNS atd.?

[Jendа]

Nepotřebuješ-li IPv6 podsíť nezávislou na IPv4 adrese, zkus 6to4. Potřebuješ-li, zkusil bych tunel od he.net.

[Veritas]

Už aby to bylo!

[Saljack]

Už aby bylo po zkouškovým už se těším na to jak si konečně IPv6 pořádně nastuduji. V poslední době mám pocit, jako by to bylo vysvobození .

[Luboš Doležel (Doli)]

A co DSA? Dnes jsem byl za proděkanem, který si mě pozval kvůli mému protestu proti petici proti přednášejícímu Byl jsem jediný člověk, který se přednášejícího nahlas zastal a důkladně jsem to s ním všechno probral.

[Woknař]

Až poznáš, koho se máš zastat a koho ne, pak se budeš moci považovat za vyzrálého. Otázkou je, zda ti bude k užitku, že jsi jediný proti všem.

[Luboš Doležel (Doli)]

Hele, táhni někam na Živě trolle.

Tady nejde o to, co mi bude k užitku, tady jde o to, co je správné. A že jsou na škole tací, co nejsou schopní absolvovat předmět ani po jeho zásadním zjednodušení, to není selhání nového přednášejícího a je podlé házet vinu na něj. Ale to sem nepatří, to by bylo na jiný blog.

[Saljack]

No já se ho taky zastávám, jenže oni jsou naprostý kkti, jsem zvědaví, kde seženou někoho, koho to učení tak baví a vysvětluje to fakt dobře. To, že to jsou cvičící, kteří tomu asi ani nerozumí (nebudu jmenovat) a který je v jejich teorii, že jsou chudáčci, že se něco musí učit ještě podpoří, je fakt smutný. Já taky nesnáším angličtinu a dá mi to práci abych jí dodělal, ale přeci kvůli tomu nebudu sepisovat petici proti učiteli, kde to jsme?

[Saljack]

V pondělí jdu znovu. Celkem vtipný jsem tam byl až na C i když jsem věděl, že jsem D nedal a tak mi řekl Píše, že jestli chci tak ať počkám, že se na tu mojí písemku mrkne. Tak jí tam Chu hledá a říká tak vy dokonce máte F říkám mu fakt tak to jsem zvědavej. Taky, že jo 2 příklady mi opravili jako špatně přitom byly dobře, takže jsem dostal E jenže jelikož můžu bych mohl dostat stípko tak jsem si nechal dát F . Pak jsem tam s ním řešil, že ta část D se opravdu nedá stihnout hlavně díky tomu, že musíš vybudovat celou strukturu sám a já dojel na tom, že tam bylo málo místa a prostě jsem tam něco posral a už se mi to tam nevešlo tak jsem to tam smolil podruhé a uvědomil jsme si další blbost tak jsem to psal po třetí a někam po okrajích a na něco jsem zapoměl . No hlavně se musím kouknout na to dynamické programování, protože to fakt nedávám. Já bych se ho taky zastal, protože ty co si stěžujou jsou kkti, který tam už dávno nemají co dělat (vím, že to zní arogantně, ale takhle mi příjdou). Nechápu co čekali, že nebudou na STM "programovat"? Půlka z nich není schopná použít iterátor.

[Luboš Doležel (Doli)]

Půlka z nich není schopná použít iterátor.

Přesně! Když jsem šel učebnou, tak jsem zíral, kolik lidí nedokáže připsat jednoduchou metodu do třídy nebo najít bug v krátkém kódu. Těm paradoxně předchozí vedení předmětu vyhovovalo, protože šlo především o nabiflování a vyblití na papír.

[Saljack]

To je jako na softwérovém inženýrství z 5 lidí jsem byl jediný já schopný něco napsat. Z těch 5 lidí jsem byl jediný, který měl kompletně všechny předměty ostatním většinou chyběla java a objektové modelování. A s těmahle lidma máš něco vyvíjet. V půlce semestru jsem se nasr.l dva vyhodil, celý to přepsal a řekl jsem těm dvěma co mi zbyly ať udělají ty dokumentace. No prostě hrůza.

[Mrkva]

Koukám, že se mám za rok na co těšit :/

(Snad nebudu z těch, co bys vyhodil)

[Saljack]

No jestli tě čeká SIN, tak první co udělej na prvním cvičení tak se nahlas zeptej, kdo z nich má ukončenou javu a objektové modelování a něco umí. S těmahle lidma se domluv a bude to pohoda. Já jsem si blbec sednul dozadu a tam si sedli samí kkti , takže to moc nedoporučuji. Luboš ti tohle taky potvrdí, taky říkal, že měl nějaké problémy v týmu.

[pc2005]

Čichám čichám příběh!

[Saljack]

No já to možná sepíšu, ale není na tom nic zajímavého prostě si naši spolužáci myslí, že předmět datové struktury a algoritmy je moc těžký. Nechápu, jak někdo kdo nedokáže po roce a půl na FELu na oboru softwarové technologie a management pochopit spojoví seznam a tyhle lidi z toho chtějí mít titul.

[pc2005]

Uf nepochopit spojový seznam, to je vtipný. Mě spíš zaujala ta petice, to jim ten spojový seznam musí hodně vadit :-/.

[Luboš Doležel (Doli)]

Před rokem taky byla spousta lidí, co měli před Bakalářkou a hrozil jim vyhazov. Jenže novému přednášejícími spadnul předmět do klína docela na poslední chvíli, takže je zde hodně formalit, na kterých se dá předmět napadnout.

Oni už ani neví, na co si stěžovat. Teď už si stěžují i na to, že trvání testu je 240 minut, ale už opomíjejí, že po 45 minutách mohou práci odevzdat a jít, nikdo je tam 4 hodiny nedrží a 4 hodiny na celkové vypracování nejsou ani zdaleka třeba... Takže mu mlátí o hlavu i jeho vlastní benevolenci

A poté, co nabídnul studentům _extra_ termín zápočtového testu a udělali to jen 3 lidi ze 42 zase křičí, že to byla poprava, ačkoliv zadání nebylo o nic těžší než ta předchozí. Prostě kdo chce psa bít, hůl si najde a pro dobrotu na žebrotu v té nejčistší podobě.

[pavlix]

Taky už jsem na podobné případy narazil.

[pc2005]

Heh tak to je vtipný, čekat tam celý 4 hodiny. BTW co ty víš, třeba jim ani to na to nestačí.

Nicméně obávám se, že je v současnosti možný, že se jim ta petice povede .

[Saljack]

Oni to nejsou 4 hodiny je to snad rozdělený. Já tam tuhle byl celý odpoledne a to doslova

[trekker.dk]

Docela mě překvapuje, že ti tu ještě nikdo nevynadal do hajzlů a zmrdů, že nepodporuješ své chudáky spolužáky...

Tak nějak si vzpomínám, že u nás se jednou psala petice taky, protože v posledním semestru před Bc. státnicemi se musely všechny zkoušky dodělat do konce června a stejně tak se musela odevzdat práce. Zkoušek bylo šest a asi ve čtyřech předmětech se navíc musely z tejdne na tejden odevzdávat elaboráty.

Tudíž se napsalo, že je trochu problém to stihnout, a vedení vyhovělo s tím, že teda katedry mají automaticky všem studentům prodloužit termín odevzdání práce o měsíc (což si IIRC některé katedry vysvětlily po svém)

Nicméně že by někdo vyřešil tenhle nesmysl ve studijním plánu, aby se to pro další ročníky neopakovalo (my byli první), tak to jsem se doslechl, že ne.

[qiRzT]

To by mě zajímalo. Když jsem kdysi dělal DSA, tak to učil Berezovský (doufám, že se tak píše), bylo tam pár opruz záležitostí (testy během semestru, ale aspoň se na člověk nevykašlal, jakási ultimativní první část zkoušky, kterou člověk musel mít snad bez chyby, ale pokud věděl, o co jde, tak se to dalo), ale nějak extra těžký to nebylo (no měl jsem pár zkušeností z podobného předmětu z MFF...), i když lidi prskali (ale ukažte mi předmět, kde nikdo neprská). Pak se ke mě doneslo cosi prapodivnostech jako je vstupní test do předmětu a později něco o tom, že to snad učí Píše (magor v dobrym slova smyslu, měl jsem ho na cvika na nějaký C++, ale dokážu si představit, že jako přednášející hodně lidem nesed) a že je to hrůza. Na tomhle předmětu (a mnoha dalších na FELu) mě nejvíc vadilo, že jsem byl nucen každej algoritmus umět na papíře odkrokovat (já bych radši víc řešil jak a proč to funguje, klidně méně podrobně) a v testu pak kolikrát byla největším problémem velikost vstupních dat. Takže pokud něco sepíšeš, budu rád

[Luboš Doležel (Doli)]

Pak se ke mě doneslo cosi prapodivnostech jako je vstupní test do předmětu a později něco o tom, že to snad učí Píše (magor v dobrym slova smyslu, měl jsem ho na cvika na nějaký C++, ale dokážu si představit, že jako přednášející hodně lidem nesed) a že je to hrůza.

No magor to je, kdo na FELu taky není Píše hlavně chce, aby lidi problém pochopili - tedy, jak říkáš, "proč a jak to funguje". Já se na jeho testy a zkoušky, ať už to byla Java, Objektové modelování nebo DSA nikdy neučil a nikdy jsem neměl problém. A upozorňuju, že co se studia týče, jsem flákač nejtvrdší ligy a většinu cvičení jsem duchem nepřítomen.

Kdežto většina studentů FELu je zvyklá se biflovat a tohle se jim nehodí do krámu. Když C++ velel Vágner, tak taky křičeli, když po nich někdo chtěl objektivně kvalitní kód (progtest.cz).

Vždycky když slyším o tom, jak absolventi nemohou najít uplatnění, tak se nedivím, protože to vidím kolem sebe. Když jsem dělal v jedné firmě, kam mě po krátkém rozhovoru vzali, a to jsem neměl praxi, ani titul, tak tam po 2 měsících byl na pohovoru jeden FELák inženýr a byla to dokonalá ukázka celého problému: mával titulem, studijními výsledky, ale uměl prdlajs. Proč by měl někdo chtít takového člověka zaměstnat?

[qiRzT]

Neni magor jako magor Tenhle spadá do kategorie "k.rva jak tohle všechno může znát a rozumět tomu", teda aspoň tak jsem ho poznal. A chce to i po studentech, i když z toho C++ mi tenkrát dal za jedna, i když mi v úkole objevil nehoráznou botu (už fakt nevím, co to bylo). Na úkol napsat garbage collector do C++ taky jentak nezapomenu...

Vágner patří do podobný kategorie, ohledně jeho progtestu jsem taky slyšel hodně nářků.

S tím biflováním máš naprostou pravdu, spolužáci na mě kolikrát koukali jak na cvoka, když jsem chtěl vědět proč a jak něco funguje. Zkouška se dá udělat i bez toho, tak proč to řešit.

[Saljack]

Mě ale nejvíc nasra.., že se Píše po každém probraném tématu zeptá kdo tomu rozumí ruku zvedne 30 lidí a pak se zeptá kdo tomu nerozumí a nepřihlásí se nikdo a potom si stěžují. Přitom když se někdo přihlásil, že tomu nerozumí tak mu to zopakoval.

[qiRzT]

To chápu, ale to, že se nikdo nehlásí má IMHO jednoduchou příčinu. Znám to z jákesi matiky s Demlovou. Ta se taky každou chvíli ptá, kdo tomu ne/rozumí a když se někdo řekne, že něco nechápe, tak se zeptá co. No a je blbý říct: "já celou dobu nedával pozor, nemám tušení, o čem je řeč." Tak jsem tenkrát na tu matiku přestal radši chodit, ale pak jsem nadával jen sám sobě

[Jirka P]

pak se zeptá kdo tomu nerozumí a nepřihlásí se nikdo a potom si stěžují. Přitom když se někdo přihlásil, že tomu nerozumí tak mu to zopakoval.

Tohle je ovšem příklad dost špatné pedagogické praxe. Moc bych to nevyzdvihoval.

[Saljack]

Tak jako co má dělat? Buď si již nepamatuješ jak to na přednáškách vypadá nebo jsi na žádné nebyl. Jak má vědět, že ti co se nepřihlásí vůbec tomu nerozumí nebo nejsou líní zvednout ruku. Prostor dostali i já jsem se občas na něco zeptal. Tady sedí přísloví: Líná huba holý neštěstí.

[pavlix]

Zeptej se Martina Mareše, ten to zvládá o posluchárně se ~100 lidmi, ale pravda je, že to je fenomén.

[Jirka P]

Tak předně, já nejsem proti otázkám z publika, pokud je to v rozumných mezích (přeci jen přednáška pro 150 lidí není prostředí, ve kterém by každý měl mít možnost se zeptat). Dá se ale říct, že opravdu na opravdu dobré přednášce není proč se ptát - a tím myslím, že přednášející řekne, co chtěl, nebyly v tom zjevné nekonzistence, zbytečné odbočky, vynechávky. Nicméně je potřeba si uvědomit, že ten, co se ptá, je většinou spíš tím, kdo v zásadě chápe, ale potřebuje např. doplnit nějaký detail.

Co ale nemám rád, jsou otázky přednášejícího k publiku, a zvláště otázka "Chápete to?" případně "Rozumíte tomu?"

Jeden důvod je, že spoustě věcí studenti porozumí až časem, tj. když si daný poznatek zasadí do okolní teorie, když si vyzkouší aplikace atd. a to prostě chvíli trvá. Ale na otázku "Rozumíte tomu?" je téměř vždy odpověď ano, protože přednáška prostě pokračovat musí a záporná odpověď tomu brání, takže obě strany (přednášející i posluchači) se vlastně utvrdí v omylu. V kontrastu k tomu jsou věci, na kterých není nic k chápání (např popis kolekcí v java.util) - tam se to prostě naučíš nebo ne, rozumět tomu netřeba.

Druhý důvod je, že taková otázka dává subjektivně zkreslené výsledky. Člověk často netuší, že něčemu nerozumí, dokud se nad tím hlouběji nezamyslí. Na přednášce se to tak pěkně poslouchá, a ti, co odpoví pozitivně, budou tedy často spíš ti, kteří buď věc znali už z dřívějška, nebo ti, co to mají na háku. Pomysli na Feynmanův citát, že nikdo nerozumí kvantové fyzice. Těžko čekat, že posluchačstvo přednášky o kvantové fyzice na tom bude líp, než Feynmanovi současníci.

Další věc, co kritizuji, je, že "když se přihlásil ..., tak mu to zopakoval." Sice je přísloví, že opakování je matka moudrosti, ale těžko lze říct, že opakování přispívá k pochopení. Jedna situace, kdy to nepomůže, je, když přednášející ve výkladu přeskočil nějakou úvahu (často proto, že je mu zřejmá, což nemusí být pravda u posluchače). Většinou ji pak přeskočí i v opakování.

Co má tedy dělat? Na přednáškách má přednášet. Ať je to kompaktní, ať je to přesné, ať ve výkladu nejsou nelogičnosti a chyby, ať jde do hloubky. Pokud je něco hůř pochopitelné, zařadit např. ilustrační příklad. Na ověření srozumitelnosti jsou nástroje jako hospitace (např. od bývalých studentů jako tady, nebo od cvičících), na ověření porozumění zpětná vazba od cvičících (měli by to celkem spolehlivě vědět z projevu studentů na cvičeních).

Disclaimer: Pokud je na nějaké přednášce míň lidí (< 30), nemusí jít v pravém slova smyslu o přednášku, takže tam jsou i jiné možnosti.

[Jendа]

S tím biflováním máš naprostou pravdu, spolužáci na mě kolikrát koukali jak na cvoka, když jsem chtěl vědět proč a jak něco funguje. Zkouška se dá udělat i bez toho, tak proč to řešit.

Tohle je problém celého školství, ne jen VŠ. Jako jeden z mála se na gymnáziu neučím definice a většinu vzorečků, když to skoro všechno jde odvodit.

[trekker.dk]

Nám když se v písemce počítali příklady, prostě půjčili tabulky. Tenkrát jsem vymyslel řešení "hledám vzorečky, do kterých půjde dosadit to, co mám"

[pc2005]

Já mám ještě vylepšení: "sestavuju rovnici podle rozměrové analýzy fyzikálních veličin" .

[Jendа]

Ano, mám tady sestavení kalorimetrické rovnice. Začíná to nevinně, [c] = J/(kg×K) .

[pc2005]

Tak když člověk neví fyzikalní veličiny, ze kterých se "c" skládá, tak se to hodí. Pro výpočet Q to taky není problém (je akorát nutno si pamatovat aspoň základní souvislosti: ploché části grafu během tání apod.). Vtip je, že i když vzorce nejsou zadány, tak jednotky veličin budou .

Jinak u těch tepelnejch jevů jsem na jedné zkoušce dokonce vzorec sestavoval intuitivně - bylo to zadání zkoušejícího.

[Vskutečnosti Saýc]

Meli jste jit na FIT

[Luboš Doležel (Doli)]

Když jsem šel na FEL, tak žádný FIT neexistoval.

[Vskutečnosti Saýc]

FIT bezi druhym rokem. To uz bys mel mit DSA davno hotovy, ne?

[Luboš Doležel (Doli)]

Já ho opakoval (úspěšně), a právě proto mám tu možnost porovnat předchozí i současné vedení předmětu.

[Václav HFechs Švirga]

VUT FIT je tady od roku 2002 . Možná myslel ten .

[Luboš Doležel (Doli)]

Tak tam jsem nechtěl

[xxx]

O co jde? Jestli to je na FEL, tak to ucil Berezovsky a Felkel, nechapu co by nekomu mohlo vadit na fousatym typkovy ve vytahanym svetru.

[xxx]

A, tak koukam, ze to ma Pise. To je clovek, kterej dokazal udelat z OBP predloni predmet tezsi nez PARy. Tak to chapu ze se studenti bouri, to je totiz snnazsi nez se ucit.

[Luboš Doležel (Doli)]

Podíval jsem se na X36OBP u Píšeho a přišlo mi to docela jednoduchý

[xxx]

To nemuzu hodnotit. Ja OBP ve svem oboru nemel. Ale byl tam stejny problem. Pise proste pritrvdil ve znalostech, ktere vyzadoval u zkousky. principelne asi stejny problem jako ted u DSA. U tech OBP vyzadoval asi dost exatni znalosti, proste zadny skripta, ale nasicst papery a skutecne se v tom orientovat.

[Saljack]

Takhle by to ovšem mělo být u každé zkoušky. Teď třeba se učím na softwarové inženýrství a je to jenom o tom se nabiflovat kupu hnoje a definic, které mi stejně nebudou k ničemu (nemyslím diagramy atp.). Já ten předmět pomalu začínám nenávidět.

[qiRzT]

Tenhle předmět mě taky štval. Je to jeden ze serie těch, kde jsem pořádně nevěděl, co se tam učí, semestrálka byla zadaná stylem "vymyslete si problém, který budete řešit tak a tak". A to tenhle byl asi nejlepší z nich, celý to pak vyvrcholilo předmětem s příznačnou zkratkou ASS.

[xxx]

Ano predmet x36prdel. Presnejsi zkratku ten predmet mit nemoh.

[Saljack]

A k tomu je ta zkouška tak zk... že u každé otázky máš dané minimum, které musíš splnit. Takže ti vypadne nějaká blbost a jsi v prd... a ostatní můžeš mít klidně všechno správně. Co je tohle za pakárnu, kdo tenhle systém vymyslel, navíc kreténský otázky u kterých může být více odpovědí typu slovíčkaření. A to nemluvím o tom, že ty diagramy nejsou jenom jejich jednoduché formy, ale pěkně detailní, kdo si má sakra pamatovat jak se co dělá v tom a v tom diagramu. A to k tomu nejsou žádné ukázky těch diagramů jenom hromada prázdných definic.

[xxx]

Je nekde ten text petice k precteni?

[Saljack]

Y36DSA, A7B36DSA

 – podněty studentů na zlepšení předmětu

Obsah předmětu:

-     stále chybí souhrn (podpůrné materiály) látky v českém jazyce (slides z přednášek nejsou dostatečné) k dispozici je pouze kniha Algorithms and Data Structures. Někteří studenti nemají znalosti z odborné angličtiny na dostatečné úrovni, nemohou se tedy z knihy optimálně připravovat.
-	transkripty z přednášek nebyly dodány včas (objevily se až po Midterm testu) a stále nejsou kompletní. Navrhujeme přidat k transkriptům příklady, které se na přednášce probíraly
-	z předmětu nemáme pocit, že je dostatečně připravený.
Obsah cvičení:

-	obsah domácích úkolů by měl upevnit znalosti probrané v daném cvičení, nezadávat řešení speciálních chování (případů) algoritmů apod. Navrhujeme zadat více jednodušších příkladů, které studentovi pomohou v přípravě na zápočtový test a ke zkoušce.
-	prosíme o přidání sady řešených příkladů a sady příkladů na procvičení každému cvičení (které zároveň budou sloužit pro konzultaci).
-	příklady v knize Algorithms and Data Structures nejsou vzhledem k požadavkům dostatečné.

Zkouška, Midterm test:
-	žádáme o změnu hodnocení testů (True/False vzhledem k variantám testu není vhodné).
-	cvičící se nepodílejí na přípravě zkouškových ani zápočtových testů, obsahem zkoušky ani midtermu by tedy neměla být látka ze cvičení.
-	obtížnost zápočtového testu č. 1 a zápočtového testu č. 3 je velmi odlišná (JanaP.: obtížnost se zvyšovala). (úspěšnosti [prošlo/neprošlo] - 1. test: 100/208 (= 32% prošlo), 2. test: 101/67 (= 69% prošlo), 3. test: 3/42 (= 7% prošlo)zdroj).
- 	průběh písemné zkoušky (240 minut minut písemné zkoušky, jen aby student dosáhl nejlépe na Czdroj) jen těžko odpovídá rozumným požadavkům na psychohygienu. I to mohlo být příčinou, proč druhou část zkoušky absolvovalo naprosté minimum studentů.
Y36DSA:

-	osnova a vyučovaná látka by se neměla výrazně lišit jako při prvním zápisu předmětu. (JanaP.: ...od látky probírané při prvním zápisu předmětu)?
Svým podpisem souhlasím s výše uvedeným:

Přímo odkaz na ní dát nemůžu protože je to na google docs a může to upravovat každý.

[Saljack]

Jo to hodnocení true/false je celkem pohoda, teď jsem byl na zkoušce, kde máš dvě části každá za max 20 bodů z každé musíš získat minimálně 10 bodů a aby to nebylo zas tak jednoduché tak je polovina otázek, z kterých musíš získat také nějaké minumum. Takže můžeš mít všechno správně a blbě odpovíš na nějakou otázku a jsi v pr..... Mám sem postnout i komentáře?

[xxx]

Ta angličtina je trochu širší problém. Řešila se už před pěti lety, když jsem byl v prváku já. Otázka je, zda-li škola může mít nějaká očekávání ohledně jazykových znalostí studentů. Jedna strana tvrdí, že by studenti měli být na konci prváku schopni číst odborné texty. Druhá strana pak, že škola nemůže vyžadovat něco, co neučí. Tedy ne že by škola neučila Aj, ale že je třeba počítat se studenty, kteří mají Aj na VŠ poprvé v životě. K tomu tehdy byla poznámka, že jestli si FEL hraje na kvalitní školu, tak by si taková očekávání dovolit měl.

Midterm test je lehký. Vždyť jím prošlo 170 studentů z 208. ;) FEL bere skoro každého, tak je občas třeba někoho vyhodit. (No dobře je to trochu kruté, ale za nás se létalo na M1,M2,Lingebra,Fy1,EO1,EO2 tak nové obory by měly mít nějaké zabijácké předměty. A můžou být rádi, že z oboru.)

IMHO má smysl pouze ta připomínka k materiálům. Tam bych řek, že vám píše nějaké navíc dodá.

[qiRzT]

I když souhlasím s tím, že studijní materiály by měl dodat přednášející v dostatečném rozsahu, tak zrovna v tomhle případě mi to přijde jako laciná výmluva. Dá se toho najít hodně a česky, jen to chce hledat a zkoumat. Tenhle předmět už se učí dost dlouho a nějak propastně se jeho obsah nemoh změnit. Vzpomínám si, že když jsem ten předmět měl já, tak jsme jako úkoly měli dělat prezentace, které by jednotlivé algoritmy vysvětlily a kolikrát to bylo i dost povedené, tohle určitě půjde někde najít. Podobně jako třeba materiály od Berezovského. Často se toho dá najít dost i na jiných podobně zaměřených školách, já se takle učil na nejednu zkoušku.

[xxx]

Tak spis je potreba mit nejaky autoritativni materialy, ze kterych poznas jak moc do hloubky se nektere veci ucit.

[Saljack]

No já nevím ale některé věci jsem na netu prostě nenašel a v té knížce jsou dost těžkopádně popsané. Navíc z toho pseudokódu mi vstávají vlasy hrůzou.

[qiRzT]

Co třeba?

[Vskutečnosti Saýc]

Jaj, EO a Fy1 si pamatuju

[trekker.dk]

EO1

EO1 není žádný zabijácký předmět, to je předmět, kde se sčítaly odpory. Totéž M1 - v praxi téměř nic jiného, než opakování látky ze střední. Kdo tohle nezvládl, neměl na FELu co dělat.

[trekker.dk]

Někteří studenti nemají znalosti z odborné angličtiny na dostatečné úrovni

To si dělají prdel... studenti softwarových technologií, co neumí anglicky?

A to ani nemluvím o tom, že když už píšu nějakou petici, tak by to mělo vypadat, jako kdyby to psal člověk. Tohle zní jako přímý přepis toho, co někdo smolil v hospodě u piva.

[Saljack]

On je rozdíl umět anglicky a dokázat si přiřadit některé pojmy z češtiny. A jak již jsem zmínil, tu petici sepsali hlavně studenti, kteří tam dle mého názoru nemají být a vzdělání tohohle typu je jim naprosto nahouby, protože ho nikdy nebudou schopní využít.

[Jendа]

Jó, kéž by tohle pochopili i ostatní. Ale ono né, normální uživatel přece připojení k Internetu nepotřebuje, NAT je úžasně jednoduchý bezpečnostní prvek a IPv6 je překomplikovaný moloch.

[trekker.dk]

Až potom je možné uvažovat o tom, že notebook bude fungovat obchodníkovi na služební cestě stejně jako ve firmě.

S IPv4 to tak samozřejmě může fungovat taky - VPN. Dokonce se to tak velmi často dělá včetně toho, že se ten notebook přes VPN připojuje i k internetu

[Petr Bravenec]

Jo, občas na někoho takového narazím. Obzvlášť chuťovka je to pak řešit s nějakým externistou po telefonu, protože notebook funguje/nefunguje, ping funguje, "internet" funguje možná, intranet nefunguje ani omylem - default route je totiž natvrdo nastavený na jejich vpn. Když mě po čtvrthodině experimentů napadne nastartovat tcpdump, mám tisíc chutí vlastnoručně uškrtit takového admina, který není schopný nastavit ani vlastní mail. Další čtvrthodinu ho pak sháním a snažím se z něj vymámit způsob, jak tu jeho vpn zneškodnit. Uživatel o ničem neví, neboť je úplná lama, ale když mu řeknu "A nechodí vám to někdy dost pomalu? A nestává se vám často, že všem ostatním to chodí, jenom vy se nikam nedostanete?", tak udiveně přitakává - "Jak to víte?"

[vencour]

Já měl původně dojem, že se mluví o CiscoVPN, které zařezává LAN provoz ... tedy že je to věc síťové politiky?

[Petr Bravenec]

Prdlajs CiscoVPN. Tohle dělávají admini, kteří nepochopili NAT v IPv4 a nedovedou nastavit ani poštu tak, aby jim fungovala vevnitř i venku se stejným nastavením, byla šifrovaná a na heslo - v IPv4 to, bohužel, není žádná legrace a některé "routery" to ani nedovedou.

Jednodušší je pro ně nainstalovat OpenVpn, Hamachi nebo něco podobně šíleného a nastavit uživateli notebook tak, že se vždy připojuje do firmy a veškerý internetový provoz se tlačí přes jejich linku tam i zpět. Operátoři pro masy dost často poskytují připojení asymetrické - download v řádech jednotek Mbit, upload v desítkách kbit. To je pak radost přes takovou linku pracovat někde venku.

Zajímalo by mě, jak tihle experti instalují poštovního klienta do mobilního telefonu, nemohou-li zároveň nainstalovat i VPN. Nejspíš pokrčí rameny, označí výrobce mobilu za ignoranta a řeknou: "Sorry, nejde to".

[Gilhad]

Chapu to dobre, ze kazdy PREROUTING port->masina prepisu na FORWARD masina:port -j ACCEPT cimz strasne usetrim?

[Luboš Doležel (Doli)]

On hlavně takový forward nebude třeba, jestli vás chápu správně.

[Gilhad]

Nevim, ja mam firewall, ktery defaultne nepusti nic a pro nektere sluzby je vyjimka, ze ty pusti (cili PREROUTING). Jestli to chapu spravne, tak odpovidajici nastaveni s IPv6 je ze je zakazan FORWARD, s vyjimkou techto sluzeb. Cili se mi radky z nat/PREROUTING jen presypou do FORWARD a nebudu muset prepisovat porty.

(Zamyslenym vysledkem je, ze je vnitrni cast site chranena proti otravovani zvenku, ale na nektere stroje se da na nektere sluzby pripojit.)

[Luboš Doležel (Doli)]

Tak z tohohle hlediska to tak je. Ale když budete mít za FW třeba 5 strojů s SSH, nemusíte každému z nich mapovat to jeho SSH na jiný exotický port.

[Gilhad]

To sice ne, ale stejne tam budu muset mit tech 5 FORWARDU jako diry k nim (zatimco ted to byly PREROUTINGY). Pocet radku se tim vlastne nezmeni.

Takze si jen usetrim pamatovani ze rozsah je od 3001 do 3005, ale zase si budu muset pamatovat IP tech stroju. Porad to vychazi plus minus na stejno.

[Josef Kufner]

Ta díra stačí jedna trochu obecnější a na IP adresy máme DNS.

[Tyfus]

Zapomnels na POSTROUTING.
(kdyz pouzijes z vnitrni site $ext_ip:$port tak ti PREROUTING nestaci)

uplne OT: Proc se to vlastne jmenuje postrouting? Vzdyt za smerovacim rozhodnutim jsou taky forward a output. Melo by to byt preTX.

[Michal Kubeček]

Při tom port forwardingu se to v chainu FORWARD povolit nemuselo?

[Zdenek]

Mozna ma FORWARD povolen kompletne a vse resi v nat tabulce Uz jsem takovou prasarnu videl nekolikrat.

[Gilhad]

V nat tabulce resim presmerovani na jednotlive stroje, uvnitr site mam FORWARDEM povolenou 22 pro ssh obecne a pak dalsi pravidla pro vnitrni podsite (nektere stroje prijimaji nektere sluzby odkudkoli, nektere prijimaji jen z nekterych podsiti, default je samozrejme DROP). Je-li tohle prasarna, jak se to dela slusne?

[vencour]

Slušně? Obvykle REJECTem?

[Gilhad]

REJECT mam INPUTU pro 113, je jeste neco, na co by se mel nekdo slusne ptat, abych ho slusne odmitnul? Jedine sluzby, ktere jsem ochoten poskytovat ven sedi na tech portech 3001-3005 a nikdo by se nemel pidit po nicem jinem a pokud se pidi, tak nemam chut mu nic usnadnovat. Nebo mi neco unika?

-A INPUT -i eth0.0 -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j syn_flood 
-A INPUT -i eth0.0 -p icmp -m icmp --icmp-type 0 -m limit --limit 4/sec --limit-burst 20 -j ACCEPT 
-A INPUT -i eth0.0 -p icmp -m icmp --icmp-type 3 -m limit --limit 4/sec --limit-burst 20 -j ACCEPT 
-A INPUT -i eth0.0 -p icmp -m icmp --icmp-type 8 -m limit --limit 4/sec --limit-burst 20 -j ACCEPT 
-A INPUT -i eth0.0 -p icmp -m icmp --icmp-type 11 -m limit --limit 4/sec --limit-burst 20 -j ACCEPT 

-A INPUT -i eth0.0 -p tcp -m tcp --dport 113 -j REJECT --reject-with icmp-port-unreachable 

[Gilhad]

(a samozrejme mam pak povoleno vic veci zevnitr site, ale to je jina pohadka)

[Michal Kubeček]

Pokud chcete povolit přístup na TCP port 22 na všechny stroje, tak dokonce ušetříte ještě víc. Místo n+1 pravidel (n v nat.PREROUTING a 1 ve filter.FORWARD) budete mít totiž jen jedno. Pokud byste povoloval přístup jen na vybrané stroje, pak byste měl místo původních 2n pravidel jen n.

[Gilhad]

Ja chci povolit 22 zvenku na 5 stroju, takze to mam 5 PREROUTING a 1 FORWARD. Uvnitr chci povolit odkudkoli kamkoli (15 stroju) a zaroven chci NEdovolit 22 na tech ostatnich 10 stroju zvenku.

Porad nevidim, jak bych toho dosahnul s podstatne mene nez n pravidly. A ted tech pravidel mam asi n+1 + pocet podsiti.

[Michal Kubeček]

Ja chci povolit 22 zvenku na 5 stroju, takze to mam 5 PREROUTING a 1 FORWARD.

To je ale špatně. Pokud chcete opravdu povolit přístup na port 22 jen na těch pět strojů a na zbytek ne, pak to jedním pravidlem ve filter.FORWARD neuděláte.

[Gilhad]

Mam to takhle:

-A PREROUTING -i eth0.0 -p tcp -m tcp --dport 3001 -j DNAT --to-destination 10.0.2.123:22
-A PREROUTING -i eth0.0 -p tcp -m tcp --dport 3002 -j DNAT --to-destination 10.0.2.124:22
-A PREROUTING -i eth0.0 -p tcp -m tcp --dport 3003 -j DNAT --to-destination 10.0.2.125:22
-A PREROUTING -i eth0.0 -p tcp -m tcp --dport 3004 -j DNAT --to-destination 10.0.2.126:22
-A PREROUTING -i eth0.0 -p tcp -m tcp --dport 3005 -j DNAT --to-destination 10.0.2.127:22
-A POSTROUTING -o eth0.0 -j MASQUERADE

-A FORWARD -d 10.0.2.100/24 -i eth0.0 -p tcp -m tcp --dport 22 -j ACCEPT

Co je na tom spatne? IMHO se na ty stroje 10.0.2.* z eth0.0 neda dostat jinak, nez ze to PREROUTINGuju a tim padem ten FORWARD povoli co ma a na zadny jiny stroj ve vnitrni siti se neda provolat. Nebo se mylim?

[Michal Kubeček]

IMHO se na ty stroje 10.0.2.* z eth0.0 neda dostat jinak, nez ze to PREROUTINGuju

YHO is wrong.

10.0.2.100/24

Tohle vám projde? Za starých dobrých časů proti takovým věcem příkaz iptables protestoval.

[trekker.dk]

Tohle vám projde? Za starých dobrých časů proti takovým věcem příkaz iptables protestoval.

Co je špatného na pravidle pro IP zapadající do rozsahu?

[Michal Kubeček]

Že 10.0.2.100/24 není korektní zápis síťového rozsahu. Přinejmenším kdysi příkaz iptables odmítal zápis rozsahu, kde adresa před lomítkem neměla příslušný počet (v tomto případě osm) nejnižších bitů nulových.

[vencour]

Udělal jsem s iptables 1.4.10 test ...

# iptables -I OUTPUT -d 10.2.3.4/27 -j ACCEPT
# iptables -I OUTPUT -d 10.2.3.4/25 -j ACCEPT

# iptables-save | grep 10.2.3
-A OUTPUT -d 10.2.3.0/25 -j ACCEPT 
-A OUTPUT -d 10.2.3.0/27 -j ACCEPT 

takže ... jen u nastavení routy linux protestuje ...

# ip route add 10.2.3.10/27 via 192.168.1.22
RTNETLINK answers: Invalid argument

(chce přesnou síť)

[trekker.dk]

Ok, tak nějak bych neřekl, že by na tom extra záleželo, vzhledem k tomu, že si to iptables (utilita) vynuluje sama.

[Gilhad]

Pokud muj predpoklad neplati, tak bych asi fakt v obecnem pripade potreboval ty 2n pravidel.

Jak se ten prepoklad da obejit?

Da se to obejit i kdyz jsem za UPC modemem, ktery mi dava DHCP adresu (cili je nejaka sance, ze z nej lezou ke me jen rozumne veci?)?

(Ono mi to stejne nejspis "zazrakem funguje" protoze ty pocitace jsou zrovna v te podsiti samy a ostatni jsou v jinych podsitich, kam zadne FORWARDY z eth0.0 nevedou, ale chtel bych vedet, co vlastne nevim)

[Michal Kubeček]

Jde o to, že pokud k vám přijde paket se správnou cílovou adresou některého z počítačů ve vnitřní síti, tak bez ohledu na NAT projde. Technický problém je jen jak k vám ten paket dostat, ale pokud je např. útočník váš bezprostřední soused (což obecně nemůžete vyloučit), je to zcela triviální.

Je dobré si zvyknout, že k rozhodování o tom, zda je paket "hodný" nebo "zlý", a tedy zda ho pustíme nebo zahodíme, slouží tabulka filter. Snažit se její roli suplovat v tabulkách nat nebo mangle sice do určité míry lze, ale je lepší se do toho nepouštět, protože nebyly pro tento účel navrženy a moc se pro něj nehodí. Třeba na pakety se stavem ESTABLISHED, kterých je typicky výrazná většina, se pravidla tabulky nat neaplikují vůbec.

[pavlix]

Je dobré si zvyknout, že k rozhodování o tom, zda je paket "hodný" nebo "zlý", a tedy zda ho pustíme nebo zahodíme, slouží tabulka filter. Snažit se její roli suplovat v tabulkách nat nebo mangle sice do určité míry lze, ale je lepší se do toho nepouštět, protože nebyly pro tento účel navrženy a moc se pro něj nehodí.

Pod to bych se taky podepsal.

[vencour]

Mluvíte o routeru nebo firewallu?

[Michal Kubeček]

Primárně o firewallu, ale to je celkem jedno. Poučení je, že pokud chceme pomocí netfilteru filtrovat pakety a propouštět jen ty, které chceme, měla by se k tomu účelu používat tabulka filter, ne nat nebo mangle.

[vencour]

Jj, já jen, že jsem se dost dlouho nesetkal se strojem, kterej by neměl filter zapnutej.

[Gilhad]

V podstate to mam takhle: nat: porty 3001-3005 se prevadi na port 22 prislusnych stroju

-A PREROUTING -i eth0.0 -p tcp -m tcp --dport 3001 -j DNAT --to-destination 10.0.2.123:22
....
-A POSTROUTING -o eth0.0 -j MASQUERADE

FORWARD krome obvykleho zahazovani nesmyslnych packetu (jako treba spatne source IP, windowsi protokoly a tak podobne) a povoleni v pokracovani navazanych spojeni povoluje 22 do jedne podsite zvenku

-A FORWARD -d 10.0.2.100/24 -i eth0.0 -p tcp -m tcp --dport 22 -j ACCEPT

a pak povoluje potrebne vnitrni zalezitosti podle potreby:

-A FORWARD -i br-lan2 -o br-lan1 -p tcp -m tcp --dport 22 -j ACCEPT 
-A FORWARD -i br-lan1 -o br-lan3 -p tcp -m tcp --dport 2002 -j ACCEPT
.....

default pro INPUT,OUTPUT,FORWARD je pochopitelne DROP

[Martin Mareš]

default pro INPUT,OUTPUT,FORWARD je pochopitelne

To mi moc pochopitelné nepřijde Daleko lepší smysl dává REJECT.

[Gilhad]

REJECTuju dotazy, ktere pokladam za rozumne, ale nechci je zodpovidat (113), odpovidam na dotazy, ktere zodpovidat chci (sluzby ktere nabizim).

DROPuju pokusy o skenovani portu, protoze kdyz nikde ten port nenabizim jako sluzbu, tak tam IMHO nema nikdo co lezt a zkouset, jestli se mi tam nekam nedostane a kdyz tam leze, tak mu paket zahodim, at mu to skenovani potencialnich der trva dele. (Klient ktery chce sluzbu kterou nabizim jde na spravny port rovnou a nema s tim problemy.)

Jaka by podle vas byla vyhoda REJECTu misto DROPu?

[Martin Mareš]

Především patří k dobrému vychování nesmyslné požadavky slušně odmítnout. Pokud se k vám nějaký klient z kdovíjakého důvodu (chyby, ať už lidské nebo strojové) zabloudí, přestane to po korektním odmítnutí zkoušet ihned, místo aby vám několik minut zkoušel posílat packety v marné naději, že se ztrácely někde cestou.

Neodpovídáním stížíte život leda tak lidem, kteří se o sítě starají (majitelé počítačů, které v jakési bludné snaze o bezpečnost neodpovídají ani na ping, bych zakusoval na potkání). Útočníkům scanujícím porty je to povětšinou jedno – pokud to dělají chytře, může jim vaše neodpovídání dokonce pomoci (sníží jim zátěž linky).

Dropovat má podle mého názoru smysl jen packety, které jsou nekorektní – například pokud vám zvenku přijde packet odeslaný z privátní adresy.

[Martin Mareš]

Ještě dodávám, že pokud někdo scanuje porty ve velkém, ten se stejně na ICMP odpovědi nemůže spolehnout, protože většina dobře nastavených systémů omezuje frekvenci těchto odpovědí.

[Petr Bravenec]

Ne tak docela - když mám poštovní server (jedna mašina) a web server (druhá mašina) v DMZ oddělené od vnitřní sítě, na firewallu má tedy síťovou kartu pro internet, DMZ a vnitřní síť, těch pravidel je mnohem více. Prerouting, forward pro přístup z internetu (každý port zvlášť), prerouting, forward a postrouting pro přístup z vnitřní sítě (aby to fungovalo na počítačích uživatelů správně podle DNS) a prerouting, forward a postrouting i pro DMZ, aby mohl web server posílat přes poštovní server poštu (podle MX záznamů v DNS). Už takhle je to nějakých deset pravidel, která lze nahradit jediným pravidlem pro forward.

Doma mám tyhle tabulky jednodušší, neboť nemám DMZ - pro domácí server těch pravidel stačí šest či sedm. A to si mohu gratulovat, že mám na routeru OpenWrt. U zákazníků narážím na "routery", které umí pouze nat z internetu dovnitř. Tvůrce takového zázraku nepochopil, že je potřeba i nat z vnitřní sítě do vnitřní sítě (na dmz rovnou zapomeňte). Tak pak přibývají nejen pravidla, ale i stroje. Zaveďte do takové sítě IPv6 a jedním pravidlem forward odstraníte nejen desítku dalších pravidel v routeru, ale i jeden celý router a zbytečnou spojovací síť.

[CET]

NAT je zvěrstvo.

A to nekteri NAT pouzivaji jako firewall nebo anonymizacni system a chteji NAT i do IPv6!!!

NAT v IPv4 pouzivam a nedela mi problem. Ale v IPv6 bych ho radsi taky nepouzival. Cetl jsemv Ipv6 prirucce od NIC.CZ, ze IPv6 ma nejakej vlastni system na vygenerovani anonymnich IPv6 adres - takhle az nekdo bude kecat, ze potrebuje NAT v IPv6, tak ho timhle argumentem muzete uzemnit.

[Jendа]

Ano, říká se tomu Piracy, pardon, Privacy Extension, a už jsem takto několik lidí „uzemnil“. Obzvláště v diskuzích pod články o IPv6 na Lupě se hromadí „experti“…

[anonym]

ten SIP jste prakticky zkoušel? Existují HW telefony, které IPv6 podporují?

[Petr Bravenec]

Prakticky jsem to nezkoušel. Už chvíli se chystám koupit HW SIP telefon a teď mě napadlo zjistit, jestli některý podporuje IPv6. Velice se mi líbí telefon SPA901 (kdesi jsem četl, že se dá upgradovat na IPv6, znamená to i dualstack?). Ten kus se mi líbí - vypadá jednoduše a prakticky.

Ale zatím pátrám - koupě telefonu je otázka pár dní až týdnů...

[Petr Bravenec]

Našel jsem tohle. Nevygoogloval jsem však nikoho, kdo by to prodával u nás:

http://www.moimstone.com/e_product/s01_250.php

Zkusím se jich zeptat, jestli to neprodává někdo v Evropě.

[Georgius]

N900 s power kernelem :-P

[Zdeněk Štěpánek]

No vidite, a co se teprve bude dit az budu domacim klientum vysvetlovat ze budou jejich pocitace viditelne z celeho internetu a zabezpeceni je jejich vec. To me asi zabijou.

V siti mame privatni czfree adresy, ale druhy NAT je zakazany, takze i pres privatni IP, kompy jsou dostupny prakticky z cely republiky a NAT je u nas zakazanej. V uteri mi jeden "odbornik" rikal ze se mu to moc nelibi, ze by jeho firemni kompy meli byt takhle videt a ze zna nekolik lidi co k nam do site nechtej prave kvuli tomu, ze jsme strasne transparentni a IP rozhodne nepovazujeme za citlivy udaj.

Co jim mam na to proboha rict? Klasickej blbec si zapoji krabicku s NATem a mysli si jak je chranenej. (to ze neni nevi). Bez NATu je bezpecnost zalezitosti kazdyho kompu. Vysvetlujte firemnimu sefovi, ze opravdu neni dobry napad nasdilet si celej disk i pro zapis vsem uzivatelum. Bohuzel koupit levnou konfigurovatelnou krabicku co umi naklikat firewall bez NATu je ponekud problem.

Zdenek

[SPM]

A co prostě nahodit firewall na prvnim routeru v síti od klientů, kterej bude propouštět jen žádané věci (a pro lidi, co ten přístup mít chtěji, se to prostě povolí)? Myslim si, že tohle zas až tak velkej problém neni :) A zrovna v CZF sítích ty NATy přímo u klientů také nejsou zrovna všude - jelikož typicky dostanou IP adres dost, tak jima doma stačí switch/AP.

[trekker.dk]

No vidite, a co se teprve bude dit az budu domacim klientum vysvetlovat ze budou jejich pocitace viditelne z celeho internetu a zabezpeceni je jejich vec. To me asi zabijou.

Zakázat na firewallu FORWARD směrem dovnitř a povolovat ho na požádání, no to je opravdu velký problém.

V uteri mi jeden "odbornik" rikal ze se mu to moc nelibi, ze by jeho firemni kompy meli byt takhle videt a ze zna nekolik lidi co k nam do site nechtej prave kvuli tomu, ze jsme strasne transparentni

No jestli do firmy přidělíte hromadu adres a všechny počítače jsou přímo viditelné v celé vaší síti, tak to se mu nelíbí naprosto oprávněně a mě by se to nelíbilo taky. Jo, jestli přidělujete subnet a ve firmě si naroutujte, jak chcete, to už je něco jiného...

(ASCII zobrazení těch dvou variant:

1. - fuj

X-X-X-X-F-F-F-F-X-X-X-X

2. - ok

X-X-X-X-FR-X-X-X-X
         |
      F-F-F-F-F

X jsou ostatní, F je firemní počítač, FR firemní router)

[vencour]

Jestli by pak v takovejchhle sítích s natem a IPv4 nebylo lepší v případě IPv6 mít např. privátní AS?

[Jendа]

No vidite, a co se teprve bude dit az budu domacim klientum vysvetlovat ze budou jejich pocitace viditelne z celeho internetu a zabezpeceni je jejich vec. To me asi zabijou.

K tomuhle se odjakživa používá firewall, ne NAT. Zařízni jim pro Windows rizikové porty (135-139 a možná nějaké další) nebo dej do smlouvy škrtátko [ ] blokovat příchozí spojení. Problem fixed.

V uteri mi jeden "odbornik" rikal ze se mu to moc nelibi, ze by jeho firemni kompy meli byt takhle videt a ze zna nekolik lidi co k nam do site nechtej prave kvuli tomu, ze jsme strasne transparentni a IP rozhodne nepovazujeme za citlivy udaj.

Si to může (nechat) uříznout v netfilteru na nejbližším linuxovém routeru, když se mu to nelíbí…

Bez NATu je bezpecnost zalezitosti kazdyho kompu.

Nebo nejbližšího routeru, jehož admin to chce/může nastavit.

Vysvetlujte firemnimu sefovi, ze opravdu neni dobry napad nasdilet si celej disk i pro zapis vsem uzivatelum.

Ale pokud by tam měl jenom NAT, pak by mu tam lidi minimálně z okolí stejně lézt mohli.

[Arthur]

Ja jsem taky pro to, aby byl kazdy pocitac primo adresovatelny, tak jak to bylo v ranych dobach !skutecneho! internetu, ale opravdu si neumim predstavit, ze by vsech tech 99,xx % PC s majoritnim operacnim systemem deravym jak reseto a uzivateli, z nichz mnozi nechapou rozdil mezi souborem a adresarem bylo vystaveno navenek vsem moznym e-hrozbam. Nemohlo by to ohrozit primo stabilitu/funkci celeho systemu ?

[Luboš Doležel (Doli)]

Nemohlo by to ohrozit primo stabilitu/funkci celeho systemu ?

Jejich systému určitě ano Ale oni jsou vystaveni už teď, hodně lidí má PC napíchnuté hned do modemu kabelovky a jen díky firewallu u ISP, který blokuje děravé widlácké porty, jsou chráněni.

[YYY]

Adresovatelnost musi jit ruku v ruce s firewallem.

[pavlix]

Každý počítač s IPv4 má během dne používání postupně slušné množství služeb na 48bitových adresách (přesněji 49bitových při rozlišení tcp a udp), takže adresovatelné jsou. Na IPv6 se dá podobným způsobem adresovat celý počítač 128bitovou adresou, služby tím pádem 176bitovou adresou, z níž může (záleží na konfiguraci) být přibližně 64 bitů náhodných a měnících se.

Adresovatelnost a přístupnost je potřeba řešit zvlášť. Tzn, u adres se snažit o globální pokrytí, náhodným variabilním číslem se v případě potřeby vyhýbat dohledatelnosti, a řídit přístup firewallem a dalšími technikami.

[SAM:]

Plně souhlasím. +1 IPv6 je konečně Internet.

[Michal Kubeček]

Ne "konečně" ale "opět".

[SAM:]

Ano, bohužel tu dobu bezNATového IPv4 pamatuje jen pár lidí. Takže pro pamětníky OPĚT pro ostatní KONEČNĚ :)