Lamka ochutnává ipv6 (diskuse)

[xkucf03]

Ty fe80:: adresy můžeš normálně používat, jen je potřeba za ni uvést % a síťové rozhraní – takže pak celá adresa vypadá takhle:

fe80::207:95ff:fe56:4201%eth0

Tudíž ti bude fungovat i SSH, HTTP, telnet a další věci, ne jen ten ping, kterému rozhraní podstrčíš pomocí -I parametru.

Pořiď si tunel třeba od SixXS, dostaneš IPv6 adresu a později i rozsah – takže budeš mít globální IPv6 adresy ne jen ty na hraní

[xkucf03]

P.S. do WWW prohlížeče ji pak zadáš jako:

http://[fe80::207:95ff:fe56:4201%eth0]/

[Dalibor Smolík]

Zajímavé, vyzkoušel jsem to - funguje

[alblaho]

Wau. To jsem netušil. Díky. Proto mám rád blogování na ábíčku, člověk napíše blog a dostane zajímavé informace z druhé strany.

[Jendа]

fe80::207:95ff:fe56:4201%eth0

Nevíš, jak je to na oknech? fe80::207:95ff:fe56:4201%"Připojení k místní síti č. 4"?

[Roger]

Mam tu treba "%13" nebo "%12" - nevim presne, kde se ta cisla berou, ale lze je jednoduse najit v ipconfig /all.

[SAM:]

To jsou nějaká interní pořadová čísla. Ale při manipulaci s adresama pomocí příkazu ip nebo netsh je potřeba zadávat jména rozhraní pomocí "toho celého názvu s diakritikou" :). Doporučuji ve správci zařízení přejmenovat rozhraní na eth0 nebo LAN1 nebo tak něco.

[Begleiter]

IPv6 jako standard je už od roku 1995, ale můj ISP (UPC Česká republika, a.s.) pouze plánuje jeho testování na jaro 2011 (!). "Termín nasazení do úplného provozu zatím není znám." Viz.

[Jirka]

Tak sláva, že už o IPv6 alespoň uvažují. 2.12.2010 mi přišla z UPC tato odpověď, ze které jsem nabyl dojmu, že UPC ani neví, co to IPv6 je:

Vážený kliente,
reagujeme na Váš mail ze dne 2.12.2010 ohledně internetu.
IPv6 v současné době nepoužíváme a ani zatím nemáme dostupné informace o tom, kdy by měla být dostupná.

[pavlix]

To zdvojení slova dostupný je špička! :)

[xkucf03]

njn, první dva řádky píše robot a třetí řádek dopíše nějaký mongol. Co bys chtěl? Musí se šetřit.

[brk]

Jak jsem včera níže napsal, tak jsem i učinil a kontaktoval jsem UPC. Nějaká slečna/paní mi příjemným hlasem sdělila, že o IPv6 v tuto chvíli ani neuvažují, natož aby něco testovali. Pry že mají spolehlivou infrastrukturu na IPv4 a ať se zas zkusím zeptat za rok za dva.

[Begleiter]

Kontaktoval jsem UPC ohledně IPv6 přes webový formulář a čekám na odpověď.

[pavlix]

Přidal jsem se :), ač je mi upřímně jedno, jestli zrovna UPC zaspí dobu.

[Begleiter]

Přidal jsem se :)

Díky.

[SAM:]

Taky jsem si do UPC rýpnul dotazem.

[SAM:]

Odpověď z UPC:

Je nám líto, ale v tuto chvíli zatím neuvažujeme o implementaci protokolu IPv6 ani testovacím provozu. S pozdravem a přáním příjemného dne P. Weil

[pavlix]

Já ještě ani odpověď nedostal.

[Begleiter]

V podstatě to samé:

Touto cestou Vám potvrzujeme, že momentálně používaná norma IPv4 nebude v dohlednu nahrazována. Momentálně není přechod dle záznamu nutný.

[Heron]

No nahradit to nemusí, stačí, když to jenom přidají.

Btw podle jakého záznamu?

[Begleiter]

Btw podle jakého záznamu?

To by mě taky zajímalo.

[brk]

Asi by je chtělo začít otravovat, ať vidí, že je zájem. Jestli si z toho mála, co má o IPv6zájem, 99.9% nahodí automaticky tunel bez toho, aby se ISP prvně zeptalo, tak ISP taky divočit nebude.

[Begleiter]

+1

[Begleiter]

Minimálně jim napíšu e-mail a možná je zkontaktuju i telefonicky.

[Saljack]

Já to pořád nějak nechápu, nemáte někdo nějaký úvod do ipv6?

[Begleiter]

Já si to právě oživuju z knížky Velký průvodce protokoly TCP/IP a systémem DNS" od Libora Dostálka a Aleny Kabelové. Vydal Computer Press, a.s. v roce 2008.

[Jirka]

Pavel Satrapa: IPv6. Všechny druhy adres, včetně jejich účelu, jsou zde velmi dobře popsány.

[pavlix]

Zkus začít tu: http://www.abclinuxu.cz/clanky/site/ipv6-novy-internet :)

[CET]

Kolega uz blbne taky s IPv6. uz mame DNSka, brzo chce i web servery, tak prihodim par poznatku:

* fwbuilder nazapina automaticky IPv6 forward (jako u IPv4), musi se volba aktivovat, samozrejme tabulky musi byt nastaveny jako IPv6 nebo IPv4+IPv6

* v debianu budete zrejme na nastaveni IPv6 forwardingu pouzivat sysctl. Tak bacha na to, ze ipv6 modul se aktivuje az pri nstaveni site, coz.je ale az po sysctl, takze sysctl bude hlasit, ze /proc/sys/net/ipv6 neexistuje. Reseni spociva v zadani modulu ipv6 do /etc/modules, ktery se zpracovava jeste pred sysctl

[Jendа]

Tak bacha na to, ze ipv6 modul se aktivuje az pri nstaveni site, coz.je ale az po sysctl, takze sysctl bude hlasit, ze /proc/sys/net/ipv6 neexistuje.

Divné, v debianím jádře (2.6.32-5-686) je IPv6 zakompilované natvrdo.

[CET]

No, ja mam na mysli stabilni (2.6.26) a tam rozhodne ipv6 je jako modul. Prisel jsem na to nahodou, kdyz nam uz asi po ctvrte prestal jeden XEN s IPv6 routovat po rebootu. Tak jsem koukal, vidim, ze /proc/sys/net/ipv6/conf/all/forwarding je "0", ikdyz sysctl.conf mel "1". Fwbuilder nastavoval taky jenom ipv4. Tak jsem rebootnul XEN server, koukal na konzoli pri bootu a tak jsem tam zahlidnul, ze sysctl hlasi chybu, ze neexistuje /proc/sys/net/ipv6...

Mozna uz ve squeezovi ipv6 v jadre bude. A nebo je tohle 2.6.32-5 jenom backport? No, pouzivame KVM a s backport jadrem nam servery dost vyhnivaly - proste obcas pri kopirovani kvm image na lokalni disk prestaly reagovat. Takze radsi zustavam u oficialniho

[Jendа]

Tohle je jádro ze Sida (mělo by být stejné jako ve Squeeze) na mém desktopu.

[YYY]

IPV4 adresy si pamatuji celkem bez problemu. Ale toto? To fakt nejde.

[SPM]

On má v té druhé půlce MAC adresu síťovky... jinak nulové části se dají zkrátit pomocí ::, takže to už nevypadá tak zle (taky jsem na to nadával, ale svých 2001:1528:142::x si už pamatuju :) )

[YYY]

To vsechno vim , ale stejne klasicke ip se pamatuje proste lepe. Zvyk je zelezna kosile.

[SPM]

Na druhou stanu v klasický IP člověk nemůže mít řetězec cafe nebo baff :))

[pavlix]

Používej DNS a multicast DNS a IP si už pamatovat nemusíš :). Já si třeba nepamatuju ani IPv4 :D.

[SPM]

Ovšem jen do té doby, než to člověk cpe do toho DNS nebo když řeší potíže ve chvíli, kdy DNS nejde a podobně... občas se tomu člověk nevyhne

[pavlix]

Ovšem jen do té doby, než to člověk cpe do toho DNS nebo když řeší potíže ve chvíli, kdy DNS nejde a podobně...

V takové chvíli obvykle prvně řeším, aby šlo DNS, ať už pracuju s IPv4 nebo IPv6... mimochodem, nedočetl jsi moji reakci do konce, psal jsem i o multicast DNS.

[alblaho]

Nemůžeš mě trochu nakopnout stran toho multicast DNS? Přijde mi, že v šestkových sítích je to "must", ale nemůžu nic rozumného vygooglit.

Nějak to souvisí se zeroconf a avahi, ale dál jsem se nedostal. Co musím nainstalovat a co kde zapnout, abych mohl zadarmo resolvovat lokální jména?

[alblaho]

Tak jsem na oba své stroje nahodil avahi-daemon a teď mi fungují jména "jméno.local.". Pěkné. Akorát to tedy resolvuje čtyřkové adresy, což se dá čekat.

[pavlix]

Zkus místo ping psát ping6, a každý výskyt mdns4 v /etc/nsswitch.conf nahradit za mdns. Pak by to mělo jet.

Služby jako SSH apod pak budou fungovat automaticky po IPv6, pozor některé starší distribuce (debian lenny) používají SSH, které IPv6 LL adresy neumí.

[pavlix]

Jo a ještě zkontroluj /etc/avahi/avahi-daemon.conf na use-ipv6=yes. To se dá samostatně testovat přes 'avahi-browse -a'.

[otasomil]

Diky za zapisek.

Toto je dostatecne polopaticky vysvetleno pro vsechny.

Budeter-li mit casu pozdeji tak treba http, ftp, smb

[Jendа]

Nevím, jak Samba, ale u naprosté většiny HTTP ani FTP serverů není třeba nic řešit, všechno funguje tak nějak samo od sebe.

[pavlix]

Asi tak nějak, ve slušné distribuci by mělo jet všechno na IPv6 samo od sebe (chudák Debian).

[Jendа]

Mně na Debianu všechno jelo na IPv6 samo od sebe.

[pavlix]

Mně nejel pokud vím Dovecot.

[Jendа]

No jo, Dovecot fakt nejde. Multicast DNS jsem nezkoušel.

[pavlix]

Stačí nainstalovat avahi (třeba balíček avahi-utils) a podívat se do /etc/nsswitch.conf...

Nebo na http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=466014

Debian, ač jinak skvělá distribuce, je dost konzervativní, a tak jako dost dlouho nebyl utf8-friendly, tak na můj vkus stále ještě není moc ipv6-friendly.

Teda ne že by to nešlo nastavit, ale v dnešní době by člověk čekal, že distribuce pro příští dva roky bude IPv6 by default. Teď už je dost pozdě, vydání se blíží, takže si na IPv6-ready Debian počkáme zase 2-3 roky.

[cynic_asshole]

Aby ti jel dovecot, tak do konfiguráku dej listen = *, [::] a restartuj jej.

[pavlix]

Což o to, googlem to najdeš za půl minuty, my se bavíme o výchozím stavu distribuce.

[Josef Kufner]

Ve výchozím stavu tam je asi 15 řádků dlouhý komentář v konfiguráku, kde se přesně popisuje, co tam napsat, aby IPv6 fungovalo.

[pavlix]

Ve výchozím stavu tam je asi 15 řádků dlouhý komentář v konfiguráku, kde se přesně popisuje, co tam napsat, aby IPv6 fungovalo.

A co tím chce básník říci?

[Josef Kufner]

Že není třeba nic hledat. Sice by to asi mělo být defaultně zapnuté, ale i takle to je docela v pohodě a na prvním místě, kam se člověk podívá, když mu to chybí.

[pavlix]

Že není třeba nic hledat.

Nevím, proč si vybíráte z mojí věty to méně důležité... důležitější bylo to "za půl minuty", než způsob vyhledání.

Sice by to asi mělo být defaultně zapnuté

O tom se v tomto vlákně bavíme.

ale i takle to je docela v pohodě a na prvním místě, kam se člověk podívá, když mu to chybí.

Nikdo nepopírá, že to jde, ani že to jde jednoduše.

[xkucf03]

Otázka ale je, jestli něco brání tomu, aby naslouchal i na IPv6 ve výchozím stavu. Možná je to nějaká opatrnost vzhledem k blbě nakonfigurovaným IPv6 sítím nebo se při testování objevily nějaké problémy, a tak nechtěli nic riskovat. Ale osobně o ničem takovém nevím – po povolení IPv6 to prostě fungovalo, stejně jako třeba postfix.

[petr_p]

Ve starší verzi stačilo [::] a poslouchal na obou rodinách, jak je v Linuxu zvykem. Jenže pak to změnili tak, že poslouchal jenom na IPv6, pro IPv4 bylo nutné dopsat hvězdičku, jak to zase funguje na BSD. Takže mi pak lidi volali, že se nemůžou na server připojit a já jim tvrdil, že vše funguje. Prostě autoři dovecotu mají divné chutě.

[pavlix]

Taky jsem tohle zkoušel jako první.

[pavlix]

ožná je to nějaká opatrnost vzhledem k blbě nakonfigurovaným IPv6 sítím nebo se při testování objevily nějaké problémy, a tak nechtěli nic riskovat.

Blbost. Typická kombinace postfix a dovecot, postfix na IPv4+IPv6, dovecot IPv4-only? Kdyby to bylo naopak, tak neřeknu.

Ale osobně o ničem takovém nevím – po povolení IPv6 to prostě fungovalo, stejně jako třeba postfix.

Přesně tak, zadal jsem bugreport, kdo chce, může se vyjádřit.

[pavlix]

Viz Dovecot doesn't listen on IPv6 by default

[SPM]

Nenakonfigurované služby by se hlavně neměly vůbec spouštět, na což se v debianu kašle a jakmile člověk něco nainstaluje, tak už to svítí do světa s defaulnim configem :) Nějak si skoro myslim, že v rámci tohohle by naopak v defaultní konfiguraci mělo bejt listen jenom na loopback

[Josef Kufner]

Ono je to dobře, že to hned běží. Ta defaultní konfigurace je vždy udělána tak, aby nebyla nebezpečná a navíc, pokud je to nový stroj, tak není vystavený do světa a pokud je starý, tak je tak jako tak potřeba ještě udělat díru do světa. V obou případech je riziko prakticky nulové a radši to než aby mi po upgrade nějaká služba nenaběhla a já se nedostal na server.

[xkucf03]

+1

A ono je lepší udělat výchozí konfiguraci bezpečnou a počítat s tím, že to někdo jen nainstaluje a nechá běžet, než počítat s tím, že si k tomu sedne nějaký geniální administrátor a vypiplá si to všechno sám (a tudíž výchozí konfigurace může být odfláknutá a stačí jen službu automaticky nestartovat).

[SPM]

SSH server který v defaultní konfiguraci poslouchá na všech interfacech a má povolenou autorizaci heslem mi vážně bezpečný nepřijde... už jsem takhle párkrát zprovozňoval virtuál na veřejné IP, kde je nějaké jednodušší heslo na roota - jelikož se stejně použije max. v konzoli a ssh bude brát jenom klíče... a v tu chvíli je to prostě na facku, protože nemám šanci nainstalovat to ssh tak, abych ho nevystavil hned do světa (krom rovnáku na ohejbák typu upravit firewall)... a snad ještě víc na facku jsou stop/starty služeb během upgradu... stačí aby na tom stroji běžela quagga a při vhodném pořadí balíčků po spuštění apt-get upgrade je člověk po celou dobu upgradu bez sítě (nehledě na to, že provést něco takového vzdáleně je pak dost sebevražedné)

[Franta]

Hlavně že ti instalátor radí, ať nastavíš pořádné heslo, případně upozorňuje, že zadané heslo je moc krátké nebo jednoduché. Ale když si uživatel nedá říct, tak co se dá dělat?

Osobně v tom problém nevidím – při instalaci dáš dostatečně složité heslo (aby ho neuhodla první lama skenující porty) a po instalaci SSH démona si třeba zakážeš přihlašování roota po SSH nebo povolíš jen klíče (případně oboje) a pak si klidně nastav jednoduché heslo, které si bude pamatovat admin, který chodí přes fyzickou konsoli nebo KVM (ale ani tam mi nepřijde dobřé mít úplně jednoduché slovníkové heslo).

[SPM]

Jinými slovy prostě několik zbytečných kroků navíc, kde navíc ta bezpečnost může být mezitím ohrožena... navíc služeb, které si opravdu vystačí s defaultní konfigurací je minimum; tohle chování mi prostě přijde jak pro windows adminy (jo, ještě po upgradu kernelu by to mohlo samo udělat reboot :) ). Asi jsem moc rozmazlen gentoo, kde po instalaci čehokoliv si to za a) musím zapnout sám, za b) se to po startu bude spouštět samo až já tomu řeknu... a při upgradu to samé - přepíší se soubory na disku, ale démona restartuju ručně (což se hodí - udělám hromadný upgrade a pak ve vhodnou dobu to ve správném pořadí porestartuju... a ne že v průběhu upgradu se půlka věcí zhroutí a člověk se pak modlí, aby se to dostalo do správného stavu...)

[Josef Kufner]

Ty kroky budeš dělat tak jako tak. Jen budou jinde.

[SPM]

To právě nevidím kde... na gentoo udělám něco stylem nainstaluju službu, nastavím, spustím... zatímco u debianu místo spustím bude restartuji, ale před tím bude následovat nějaká obezlička, aby to nebylo dostupné... nevím, nějak mi přijde, že se ten systém v tomhle snaží přemýšlet za mě (byť je to o něco méně drzé, než updaty windows, které si klidně ten počítač sami restartují :) )

[Jirka]

Na serveru stejně bývá firewall, který zahazuje vše a teprve po instalaci služby povolíte port. Pokud tam firewall není, tak to samozřejmě teoreticky může být problém. Prakticky v tom ale problém nevidím.

[SPM]

No a z tohohle bych viděl i to riziko IPv6 by default - docela bych věřil, že je velké procento strojů, kde na IPv4 firewall je, ale na IPv6 ne (nebo je hodně benevolentní)... praktický problém je asi spíše s těmi restarty při upgradu :/ nicméně tak či tak bych zase neříkal, že debian není ipv6 ready jen proto, že v pár balíkách není takhle nastavený listen u konfigurace, která by se stejně měla měnit...

[vencour]

Hmm. Mně došla ještě jedna věc: na ipv4 jsem multicasty neřešil a teď si musim doplnit mezery. Protože už je nemůžu ignorovat.

[pavlix]

nicméně tak či tak bych zase neříkal, že debian není ipv6 ready jen proto, že v pár balíkách není takhle nastavený listen u konfigurace

Já bych toho neříkal spoustu... ale zrovna tohle klidně říkat budu :).

Ano, je tu spousta lidí, kteří razí teorii že software se musí nainstalovat a pečlivě nakonfigurovat. Ale spousta věcí jde řešít způsobem "just works" a tento způsob očividně na trhu vyhrává, a zdaleka nejen u BFU.

[SPM]

Na desktopové věci Just works - proč ne. Ale na serverové věci (což drtivá většina daemonů je) to prostě má dělat někdo, kdo tomu rozumí. To se stejným vysvětlením pak můžou všechny MTA být v defaultu nakonfigurovaný jako open relay, protože to prostě bude fungovat.

[xkucf03]

Přesně s tímhle vysvětlením takhle nakonfiguravané nejsou – ve výchozím nastavení umožní odesílat poštu z localhostu a přijímat pro danou doménu (ale nejde je zvenku zneužít k rozesílání spamu).

[pavlix]

Na desktopové věci Just works - proč ne. Ale na serverové věci (což drtivá většina daemonů je) to prostě má dělat někdo, kdo tomu rozumí.

Ano, pro jednodušší případy třeba správce balíku nebo dodavatel zařízení.

To se stejným vysvětlením pak můžou všechny MTA být v defaultu nakonfigurovaný jako open relay, protože to prostě bude fungovat.

Nevím o tom, že bych navrhoval povolit ve výchozí konfiguraci open relay :).

[pavlix]

No a z tohohle bych viděl i to riziko IPv6 by default - docela bych věřil, že je velké procento strojů, kde na IPv4 firewall je, ale na IPv6 ne (nebo je hodně benevolentní)...

Stejným problémem trpí jak IPv4, tak i IPv6 a u distribuce, která IPv6 (i kdyby jen z malé části) podporuje, nezbývá než (a) poučit administrátory FW, že existuje i IPv6, (b) používat nějaký (výchozí) firewall, který kombinuje IPv4 a IPv6.

[pavlix]

Nenakonfigurované služby by se hlavně neměly vůbec spouštět

Ony se taky nenakonfigurované služby nespouští.

na což se v debianu kašle a jakmile člověk něco nainstaluje, tak už to svítí do světa s defaulnim configem :)

I výchozí konfigurace je konfigurace. Mělo by se dbát na její bezpečnost, pokud je s ní nějaký problém, hlaš bugy.

Nějak si skoro myslim, že v rámci tohohle by naopak v defaultní konfiguraci mělo bejt listen jenom na loopback

To by bylo v rozporu s tím, jak běžně služby v Debianu fungují. Dá se polemizovat o tom, jak by měly fungovat všechny služby, ale pokud běží na vnější IPv4, měly by běžet i na vnější IPv6, pokud není u dané služby nějaký speciální důvod, proč ne.

[pavlix]

Taky na debianu pokud vím nejde ve výchozím nastavení překládání IPv6 pomocí multicast DNS.

[kuba]

kuba@wizard:~> ping6 ::1
PING ::1(::1) 56 data bytes
64 bytes from ::1: icmp_seq=1 ttl=64 time=0.027 ms
64 bytes from ::1: icmp_seq=2 ttl=64 time=0.065 ms

:-P

[Jendа]

Traduje se, že na nějaké ZŠ/SŠ je v testu otázka „uveďte příklad IP adresy“.

[pavlix]

To by dopadlo jak s naším nejmenovaným učitelem na střední (programátorské zaměření, Praha, nutno poznamenat, že ten člověk uměl možná střípky PHP2 v době, kdy už dobré dva roky bylo PHP4).

Vždycky připravil písemku a vždycky jsem dokázal odpovídat tak, abych dostal za čtyři a po konzultaci bod po bodu za jedna.

[Jendа]

No, my se v obecné informatice v Přípotoční tak daleko nedostali (přesněji řečeno nedostali jsme se nikam), seminář programování je volitelný ve 3./4. ročníku, ale tam nepůjdu, protože se chci něco nového dozvědět a co jsem tak viděl, probírají se tam úplné základy.

[pavlix]

Tak naše škola měla být údajně zaměřená na programování... a po nějakém čase nás rozhodili na dvě skupiny. Jedna dělala půl na půl programování a PHP. Ta méně nadějná dělala jenom PHP.

Bohužel to všichni hned nepochopili a pár lidí se rozhodlo, že se radši pořádně naučí weby, což jim bohužel moc nevyšlo, protože co se nenaučili sami, to neuměli.