Pište providerům o IPv6 (diskuse)

[Luk]

Vážně se obávám, že až dojdou, budou provideři odpojovat stávající zákazníky od Internetu. A to bychom přece nechtěli.

Někteří to udělali už dávno. Například když někdejší Eurotel na jaře 2004 zjistil, že mu kvůli masivnímu využívání GPRS paušálu docházejí IP adresy, vyřešil to odpojením všech zákazníků (tedy nasazením NATu) této služby a jejich připojováním jen za příplatek.

[Jendа]

Já vím. Těmto ISP (kde první I znamená Intranet) se snažím vyhýbat. Bohužel třeba ve škole je ve špičce asi 150 počítačů za jednou IP adresou. Zažil jsi někdy, že na NATu došly porty?

[Luk]

Zažil jsi někdy, že na NATu došly porty?

To není nic těžkého. Stačí mít za NATem pár počítačů nainstalovaným Skypem. Ten totiž chrlí mraky UDP paketů na všechny strany (resp. na superuzly), takže to dokáže vyčerpat rychle (to samozřejmě není problém na GPRS, kde kvůli mizerné rychlosti Skype provozovat nejde). Provideři tomu zjevně čelí krátkým timeoutem, se všemi negativy, která to přináší (je potřeba často posílat keepalive pakety, jinak spojení chcípají).

[zdenek-hbr]

to záleží na našem Marketingovém oddělení

tak to me vazne pobavilo. bohuzel vsak smutna realita

[AsciiWolf]

+1

[xkucf03]

Na tom není nic smutného – marketingové oddělení se zabývá výzkumem trhu a hledáním příležitostí, za co jsou ochotní zákazníci platit – takže stačí „jen“ poskytovatelům ukázat, že je tu dost zákazníků, kteří o IPv6 stojí, a že se jim to tudíž vyplatí. Je potřeba se ozvat a ukázat, že uživatelé nejsou jen tupé ovce, které ani nepoznají, jestli jsou za NATem, ale že tu je dost uživatelů, kteří mají o IPv6 zájem a jsou ochotní odejít ke konkurenci, která jim nabídne lepší služby.

[Grunt]

A k čemu to zákazníkovi bude? Bude mít rychlejší internet? Já jsem naopak zastáncem toho, že přechod na IPv6 nemá co dělat s koncovými uživateli, ale je to čistě věc vnitro-systémová. Peering je připraven, transport snad také, koncové systémy jakž takž téže, takže teď už záleží na jediném prvku. Na sítích/ISP samotných. Při přechodu na IPv6 se samo nic nestane, nic nebude rychlejší ani efektivnější a nic se samo nevyřeší(teda krom nedostatku IP adres samozřejmě). Ale přináší to sebou možnost dalších nových nastavení(z mého pohledu hlavně QoS - zkoušel někdo úspěšně TOS?), které se ovšem samy neudělají a nebudou stát zrovna málo. A na konci z toho budou všichni profitovat.

[Michal Kubeček]

A k čemu to zákazníkovi bude? Bude mít "rychlejší internet"?

Třeba to, že nebude mít problémy s tím, jak provozovat VoIP přes maškarádu. Vyřešit se sice dají, ale jen způsobem, který je tak trochu postavený na hlavu.

[Grunt]

Většinu lidí co já znám si představí pod pojmem VoIP Skype.

[Michal Kubeček]

To sice ano, ale možná právě katastrofa jménem Skype je sama o sobě dost podstatným argumentem pro zbavení se maškarád.

[Grunt]

Jinak: Ale přináší to sebou možnost dalších nových nastavení(z mého pohledu hlavně QoS. A upřednostňování paketů VoIP je pro mně jedním z hlavních taháků.

[Michal Kubeček]

Myslel jsem hlavně na možnost posílat hlasové streamy přímo, ale máte samozřejmě pravdu i s QoS.

[Grunt]

Jsem správcem hraniční brány, takže nedostupnost jakéhokoliv prvku v síti mě netrápí. Když nějaký klient požádá, tak mu udělám permanentní přesměrování některého portu a ještě jsem jim dal možnost spravovat si přesměrování pomocí UPnP(stejně to využívají jen na P2P). Je to zajímavé, ale zatím jsem se nedostal do konfliktu s porty. Ale samozřejmě by to byl další tahák, jen zařazený v pořadí trošičku níž než u většiny lidí.

[Dušan Hokův]

A vy si myslite ze je v zajmu ISP propoustet svoji siti jiny nez vlastni VoIP ? IPv6 muze eleiminovat dost soucasnych neduhu IPv4, ale ten kdo na zavedeni nejvice prodela budou prave soucasni ISP, kterym mnohem vetsi zisky plynou ne z poskytovani pripojeni k Internetu, ale prave z VoIP. Obavam se ze prave ISP s vlastnim VoIP jsou nejvetsi brzda nasazeni IPv6.

[Michal Kubeček]

To máte bohužel do značné míry pravdu. Ale v téhle větvi stála na začátku otázka, co přinese přechod na IPv6 koncovým uživatelům.

[Grunt]

To máte bohužel do značné míry pravdu. Ale v téhle větvi stála na začátku otázka, co přinese přechod na IPv6 koncovým uživatelům.

Ihned samo od sebe fungujícího a ihned viditelného? Asi vůbec nic.

[Grunt]

Abych pravdu řekl, tak takové já ani neznám. Já znám jen spousty VoIP operátorů co poskytují gatekeeper bránu(je dost možné, že někteří z nich poskytují i připojení samotné, ale myslím si, že hlavní tahák to nebude) a k tomu není potřeba mít specifického poskytovatele. Dokonce když jsem zapojoval bránu a ještě než jsem nastavil dst-nat, tak se mi dovolali(se používají nějaké proxyny a nebo VoIP brána udržuje spojení s gatekeeper bránou a ohlášení volání přijde z druhé strany).

[Luk]

Pro některé ISP (hlavně toho největšího u nás) je samozřejmě nejlepším VoIP žádný VoIP, protože se pak méně volá přes klasické pevné linky. Jenže vzhledem k současnému vývoji (tj. nabízení ADSL bez hlasového tarifu) už je v zásadě jasné, že uznal, že tuhle bitvu vyhrát nemůže.

[snajpa]

Nechci mít doma IPv6 ani kdybych měl konektivitu zadara! Chtěl bych, kdyby se nemonitorovala moje aktivita na netu. S NATem a připojením od občanskýho sdružení už to ti šmejdi tak jednoduchý nemají.

[qiRzT]

Ale NAT a připojení od OS můžeš mít i IPv6, nebo se pletu?

[Limoto]

NAT ne... ale proxy samozřejmě jo

[Max]

IPv6 bude mit nat
Zdar Max

[zajdee]

Možná byste si měl ten odkazovaný článek lépe přečíst. Píše se tam o NATu mezi IPv6 a IPv4 světem, tedy nikoli o NATu IPv6-IPv6 (jako je dnes u NATu IPv4-IPv4).

Doufám, že se do IPv6 nikdy nikomu nepodaří protlačit NAT v podobě, v jaké ho známe dneska. NAT byla ta největší zhůvěřilost, jakou kdy kdo vymyslel

[Ondrej 'SanTiago' Zajicek]

> Doufám, že se do IPv6 nikdy nikomu nepodaří protlačit NAT v podobě, v jaké ho známe dneska.

A ja zase doufam, ze NAT pro IPv6 bude implementovan v Linuxovem jadre driv, nez se IPv6 zacne vyrazne pouzivat. Protoze v nekterych pripadech je jako jedina alternativa k NATu aplikacni proxy a to je vyrazne horsi.

[Michal Kubeček]

Protoze v nekterych pripadech je jako jedina alternativa k NATu aplikacni proxy a to je vyrazne horsi.

V jakých případech? V čem alternativa? Ona má maškaráda nějaké pozitivní vlastnosti?

[Ondrej 'SanTiago' Zajicek]

> V jakých případech?

V pripade, kdy clovek potrebuje ad-hoc pripojit vic pocitacu na miste, kde se pocita s jednim pocitacem. Napriklad kdyz prijdu do hotelu a pripojim si notebook pres wifi, tak asi tezko budu shanet tamniho spravce site, aby me na nej naroutoval dalsi rozsah, protoze si chci pres usbnet pripojit i PDA (bez wifi). V takovych pripadech muzu pozit NAT, aplikacni proxy a nebo tunel. NAT je ve valne vetsine ohledu lepsi nez aplikacni proxy. Tunel lze take pouzit, ale je to o dost komplikovanejsi, navic clovek musi mit nejakou infrastrukturu na Internetu, kam by ho ukoncil.

> Ona má maškaráda nějaké pozitivní vlastnosti?

Ano, umoznuje implikaci (mam pripojeni (*) pro jeden pocitac -> mam pripojeni pro libovolne mnozstvi pocitacu)

(*) v tomto kontextu 'jsem schopen iniciovat TCP spojeni z pocitace na stroj v Internetu'.

[Limoto]

bridge?

[Ondrej 'SanTiago' Zajicek]

Bridge v mnoha pripadech nelze pouzit. Pokud jde, tak to je dobre reseni.

 

[Michal Kubeček]

Na tohle stačí i proxy ARP.

[Ondrej 'SanTiago' Zajicek]

Bridge ani proxy arp nebude fungovat v techto pripadech:

- Na pripojnem miste je nejaka link-level autorizace (treba 802.1x).

- Nebo i jenom trivialni pseudoautorizace typu prirazovani adres v DHCP podle MAC.

- Nebo tam ani DHCP nebezi a dostal jsi listek s jednou IP adresou.

- Obe site maji nekompatibilni  linkove vrstvy.

 

[Michal Kubeček]

Přinejmenším první dva případy jsou určitě mimo tuto diskusi, sám jste nastolil téma "přijdu do hotelu a připojím se přes Wi-fi hotspot". Pochybuji, že v takovém případě po vás recepční bude chtít MAC adresu vaší Wi-fi karty (když 99 procent hostů nebude tušit, na co se ptá). Stejně tak i ty další dva jsou v takovém případě krajně nepravděpodobné.

[Ondrej 'SanTiago' Zajicek]

> sám jste nastolil téma "přijdu do hotelu a připojím se přes Wi-fi hotspot"

Coz byl jen priklad obecneho pripadu ad-hoc pripojeni na docasnem miste (kde se vzhledem ke kratkosti zdaleka nevyplati shanet se po administrativnim reseni typu nechat si pridelit dalsi IP adresu ci nechat si na sebe naroutovat prefix).

No asi mam smulu, ale ony krajne nepravdepodobne pripady pokryvaji vetsinu pripadu, kdy jsem byl nekde ad-hoc pripojen mimo domov. Tak namatkou:

- pripojeni pres GPRS - jina linkova vrstva

- pripojeni pres zapujceny CDMA - jina linkova vrstva

- pripojeni pres Eduroam (wifi) v nejakych fakultnich objektech - autorizace 802.1x

A i u tech hotelu ci jinych hotspotu byva casto nejaka autorizace (treba stylem ze bez autorizace to presmeruje HTTP spojeni na prihlasovaci obrazovku, kam se zada heslo, ktere uzivatel obdrzel, a pak to jeho IP/MAC povoli pro pristup.

[Michal Kubeček]

Ano, umoznuje implikaci (mam pripojeni (*) pro jeden pocitac -> mam pripojeni pro libovolne mnozstvi pocitacu)

Ne, nemáte připojení. Máte způsob, jak z více počítačů využívat některé služby dostupné na Internetu.

v tomto kontextu 'jsem schopen iniciovat TCP spojeni z pocitace na stroj v Internetu'.

Ještě by se slušelo dodat "většinou".

[Grunt]

Ne, nemáte připojení. Máte způsob, jak z více počítačů využívat některé služby dostupné na Internetu.

Ono to bude dáno hlavně stylem využívání té velké sítě jménem Internet. V podstatě hlavním cílém každého klienta je konzuomovat to co je na témto síti dostupné (proto také podobné názvy jako připojení, šíření, apod.). Proto není NAT takový problém v dnešní době. Dnes se nikdo nechce propojovat, nechce nic nabízet, nechce nic sdílet či porovozovat, ale chce jen využívat služeb a konzumovat. Bohužel problém nastane když dva klienti opravdu něco sdílet chtějí a služba není dostupná nebo neexistuje. Princip Internetu jako takový umřel už dávno a to ve chvíli kdy se začali připojovat klienti, kteří jen chtěli využívat služeb či konzumovat. Bohu dík se dnes karta obrací(a že za to z části může i OpenSource se nedá popřít).

 

[Michal Kubeček]

Přesně tak, časy se naštěstí mění a model degenerovaného Internetu rozděleného na servery s veřejnou adresou a klienty za maškarádou přestává vyhovovat. Největší zásluhu na tom IMHO mají P2P sítě na jedné straně a komunikační služby na druhé. U chatovacích služeb se to ještě dá řešit pomocí "retranslačních stanic", ale už u VoIP je to problém (který ani vychvalovaný Skype nedokáže uspokojivě řešit - viz nedávná aféra, kdy jim bezpečnostní update Windows na pár hodin rozložil síť) a pro videopřenosy (v rozumné kvalitě) už je to v podstatě nemyslitelné.

[Grunt]

Přesně tak, časy se naštěstí mění a model degenerovaného Internetu rozděleného na servery s veřejnou adresou a klienty

Ne tak docela. K tomu by se musel zrušit tvar hvězdice, který Internet(alespoň u nás) má. Na jedné straně strom s ISP a klienty a na druhé straně housingové centra, hostingové služby a servery samotné. A uprostřed toho jako obří zrcadlo/centrum NIX.CZ. Kdyby se NIX posral, tak Čechy čeká blackout. Stejně tak filtrování nebo tracking. Nač otravovat ISP, když se stačí nasáčkovat do NIXu? Internet už dávno není to co býval a už vůbec takový jak ho kdysi DARPA navrhovala. Ostatní vrstvy se tomu jen přizpůsobily. Který až poskytovatel provádí přímý peering?

Největší zásluhu na tom IMHO mají P2P sítě

Na tom něco bude. Jen mám strach aby se do toho zase nezačal sáčkovat stát (kryjící produkční průmysl) a nenamířil si do hledáčku prostředek místo cíle (jak už se ostatně stalo bežným).

[Michal Kubeček]

A uprostřed toho jako obří zrcadlo/centrum NIX.CZ. Kdyby se NIX posral, tak Čechy čeká blackout. Stejně tak filtrování nebo tracking. Nač otravovat ISP, když se stačí nasáčkovat do NIXu?

NIX není jeden uzel, NIX.CZ je v současnosti rozložen do čtyř různých lokalit, i když by paranoik mohl namítnout, že jsou všechny v Praze. Stejně tak otázka monitorování nebo sledování provozu na úrovni NIXu není tak jednoduchá, jak by se zdálo.

Internet už dávno není to co býval a už vůbec takový jak ho kdysi DARPA navrhovala.

Nechci se vydávat za odborníka na historii, ale není to spíš obráceně? Tedy že původní návrh Internetu byl striktně hierarchický a teprve později se začal transformovat na soustavu vzájemně propojených autonomních systémů?

[Grunt]

i když by paranoik mohl namítnout, že jsou všechny v Praze.

Přesně. Že je to je jedno centrum by mi nevadilo, ale že je v Praze je nepřekousnutelné. Si zkuste představit kudy musí běžet paket, když se od souseda, která má jiného poskytovatele připojení, pinguju.(Kecám, nějaký peeringový bod mezi těmito dvěma sítěmi je v Ivančicích - aspoň že nemusím opouštět rodnou zem). Vzdálenost obou počítačů 1m od sebe včetně zdi.

[Michal Kubeček]

Teď nevím, jestli si neděláte legraci. Uvědomíte-li si, jaká je rychlost šíření signálu v používaných kabelážích, je vliv vzdálenosti mezi Brnem a Prahou na zpoždění paketů naprosto zanedbatelný. Dokonce by mne ani moc nepřekvapilo, kdyby v situaci, kdy by se musel řešit peering mezi libovolnými dvěma poskytovateli v každém větším městě, byly latence větší než dnes.

[Grunt]

Samozřejmě se nebavím o rychlosti šíření signálu(i když 130ms kolem rovníku také není nic moc) ale mám spočítat kolik je to routerů odemě k sousedovi přes NIX? A každý z nich má cache. A pokud přes ně už tečou vysoké datové toky, tak se tam ten paket určitě zdrží a celkový čas odezvy bude určitě větší než 0.645ms. A to nepočítám, že nebudu muset zatěžovat zbytečně linky(o rychlosti datového toku už se radši nebavím vůbec).

BTW:Samozřejmě jsem myslel souseda z Lanžhota. Předpokládám, že sousedi v Brně to budou mít vyřešené lépe.

musel řešit peering mezi libovolnými dvěma poskytovateli v každém větším městě, byly latence větší než dnes.

Samozřejmě nemyslím trasu přes X poskytovatelů s přímým peeringem. Proti dnešní informační dálnici v podání ČD(či kohokoliv jiného) nic nemám, ale občas je prostě mezi dvěma vesnicemi výhodnější se projet po lokálce než se trmácet na dálnici a zase zpět. Natož se trmácet do Prahy a zase zpět. A navíc kdyby dálnice klekla(a že to se klidně může stát), tak i po lokálkách by se dalo dojet(lepší než nic, ne?).

 

[Grunt]

Stejně tak otázka monitorování nebo sledování provozu na úrovni NIXu není tak jednoduchá, jak by se zdálo.

Rozhodně jednodušší než u jednotlivých ISP.

Nechci se vydávat za odborníka na historii, ale není to spíš obráceně? Tedy že původní návrh Internetu byl striktně hierarchický a teprve později se začal transformovat na soustavu vzájemně propojených autonomních systémů?

Proti hierarchii nic, ale původní návrh se snažil vyhnout situaci kdy od jednoho bodu k druhému existuje jen jedna cesta(natož od všech) a hlavně kdy všechny cesty šli přes jedno centrum(to by asi přežití takové sítě zásahem atomovky nebylo moc slavné). Ale též si nechci hrát na odborníka.

[Michal Kubeček]

Rozhodně jednodušší než u jednotlivých ISP.

Tak s tím bych určitě nesouhlasil. NIX.CZ na něco takového není technologicky zařízen a nejsem si ani jistý, jestli je vůbec běžně dostupná technologie, která by něco takového uožňovala.

Proti hierarchii nic, ale původní návrh se snažil vyhnout situaci kdy od jednoho bodu k druhému existuje jen jedna cesta(natož od všech) a hlavně kdy všechny cesty šli přes jedno centrum

A dnes se tomu snad vyhnout nesnažíme?

[Grunt]

Tak s tím bych určitě nesouhlasil. NIX.CZ na něco takového není technologicky zařízen

Také jsem nemyslel přímo NIX. Tomu je docela co přes ně teče, hlavně když teče.

A dnes se tomu snad vyhnout nesnažíme?

Pravda. Není všude stejně, ale kde já to jen viděl tu mapu internetu?

[xHire]

Proti hierarchii nic, ale původní návrh se snažil vyhnout situaci kdy od jednoho bodu k druhému existuje jen jedna cesta(natož od všech) a hlavně kdy všechny cesty šli přes jedno centrum(to by asi přežití takové sítě zásahem atomovky nebylo moc slavné).

Pokud by vybouchl NIX (celý), tak bychom sice jeli přes drahé tranzitní přípojky, ale jeli bychom. NIX nám mimo jiné snižuje odezvy a náklady, ale pokud v něm člověk peerovat nechce, tak si klidně může jet přes zahraničí stejně jako kdysi, když NIX nebyl.

[Ondrej 'SanTiago' Zajicek]

> Pokud by vybouchl NIX (celý), tak bychom sice jeli přes drahé tranzitní přípojky, ale jeli bychom.

Je vhodne si uvedomit, ze casto ISP kupuje tranzitni pripojku ve stejne serverovne, v ktere kupuje pripojeni do NIXu. Takze pokud by vybouchly vsechny ctyri serverovny, ve kterych ma NIX pripojna mista, tak by velke casti provideru nesel ani tranzitni linka.

Mimochodem, ty mista jsou sice ctyri, ale vsechny se nachazeji do 500 m od sebe. Jinak tipuju, ze ta mista jsou ctyri nikoliv kvuli redundanci, ale aby snizili naklady na pripojeni do NIXu pro ISP, kteri maji linku jen do jedne z techto serveroven.

[Grunt]

Je vhodne si uvedomit, ze casto ISP kupuje tranzitni pripojku ve stejne serverovne, v ktere kupuje pripojeni do NIXu. Takze pokud by vybouchly vsechny ctyri serverovny, ve kterych ma NIX pripojna mista, tak by velke casti provideru nesel ani tranzitni linka.

Přesně, prostě všechny cesty vedou do Říma NIXu. A lokálka nebo prostě aspoň sjezdy z dálnice žádné. Kdyby Rusové poslali atomovku na Prahu, tak jsme na Moravě bez Internetu.

 

[Michal Kubeček]

Což ale spíš než o čemkoli jiném vypovídá o pohledu některých brňáků na Prahu. Kdyby ta atomovka srovnala se zemí místo Prahy Brno, nefunkční přístup na (české) weby by nebyl na vrcholu žebříčku toho, co by mne na tom znepokojovalo.

[David Jaša]

Chm, a co takhle povodně 2002? Někteří provideři pak byli několik dní mrtví, protože přípojky pod vodou...

[Grunt]

Kdyby ta atomovka srovnala se zemí místo Prahy Brno, nefunkční přístup na (české) weby by nebyl na vrcholu žebříčku toho, co by mne na tom znepokojovalo.

Jsem tím jemně chtěl naznačit: A jak máme sakra napadnou Prahu, když by jsme se odstřihli sami od Internetu?

Což ale spíš než o čemkoli jiném vypovídá o pohledu některých brňáků na Prahu.

Samozřejmě, že to myslím především jako humor. No na druhou stranu to alespoň ukazuje na opravdovou redundanci dnešního Internetu.

[Michal Kubeček]

A jak máme sakra napadnou Prahu, když by jsme se odstřihli sami od Internetu?

Je-li NIX.CZ to jediné, co brněnským nacionalistům brání bombardovat Prahu, tak jsem pro, aby se žádný uzel mimo Prahu nezřizoval. :-)

No na druhou stranu to alespoň ukazuje na opravdovou redundanci dnešního Internetu.

Jak už jste byl několikrát upozorněn, s tou redundancí to nevypadá zdaleka tak černě, jak to malujete. To, že za normálních okolností pakety běhají po určité trase, ani zdaleka neznamená, že v případě potřeby nemohou běhat po jiné.

[Grunt]

Je-li NIX.CZ to jediné, co brněnským nacionalistům brání bombardovat Prahu, tak jsem pro, aby se žádný uzel mimo Prahu nezřizoval.

To alespoň ukazuje na podlost průměrného Pražáka. Před první ofensivou budeme muset odkoupit část NIXu. A nebo mám lepší nápad, infiltrujeme se, naložíme NIX na BŠ3B a odvezeme ho.

BTW: Mám pocit, že dokonce někdy v minulosti byla iniciativa opravdu vytvořit alternativní peeringové centrum v Brně.

Jak už jste byl několikrát upozorněn, s tou redundancí to nevypadá zdaleka tak černě, jak to malujete. To, že za normálních okolností pakety běhají po určité trase, ani zdaleka neznamená, že v případě potřeby nemohou běhat po jiné.

A po které? Transit? Ten ústí zase v jednom jediném místě. To je jako jet do Brna po E461 místo po D2. Nebo spíš jako jet do Zlína po E461 místo D2 přes Brno.

[Limoto]

 

BTW: Mám pocit, že dokonce někdy v minulosti byla iniciativa opravdu vytvořit alternativní peeringové centrum v Brně.

Ono dokonce existuje...

 

[Ondrej 'SanTiago' Zajicek]

> Máte způsob, jak z více počítačů využívat některé služby

V zminovanem pripade je jedina srovnatelna alternativa aplikacni proxy. A ta bude tech sluzeb umet jeste mene.

> Ještě by se slušelo dodat "většinou".

V jakem pripade by to neslo (krom pripadu, kdy by na NATujicim stroji dosly porty, coz v zminovanem pripade nehrozi)?

[Michal Kubeček]

V zminovanem pripade je jedina srovnatelna alternativa aplikacni proxy.

Není jediná. Aspoň většinou ne.

V jakem pripade by to neslo

Jakákoli služba předávající informace o IP adresách na úrovni transportní vrstvy. Už obyčejné aktivní FTP může být problém, není-li NATující stroj hodně chytrý.

[Luk]

Už obyčejné aktivní FTP může být problém, není-li NATující stroj hodně chytrý.

Běžně rozšířené NATy (ať už v "krabičkách" nebo v Netfilteru) to zvládají. Legrace ale nastane, pokud by chtěl někdo využít SSL nebo TLS. Pak už NAT nemůže čmuchat v komunikaci a pokus o aktivní FTPS končí samozřejmě neúspěchem (zatímco pokus o pasivní FTPS končí neúspěchem rovněž, v tomto případě ale proto, že firewall nebude schopen vyčmuchat, že příchozí spojení patří k tomu, které má propouštět).

[Grunt]

ať už v "krabičkách" nebo v Netfilteru

Mezi tím je nějaký rozdíl?

[Luk]

Někdy ne, protože některé "krabičky" (např. od D-Linku, Ovislinku apod.) obsahují Linux a tedy i Netfilter. Ne vždy je to ale pravidlem, někdy je tam jiný systém.

[Ondrej 'SanTiago' Zajicek]

> Jakákoli služba předávající informace o IP adresách na úrovni transportní vrstvy. Už obyčejné aktivní FTP může být problém, není-li NATující stroj hodně chytrý.

Proto taky ta veta zminovala 'iniciovat TCP spojeni'  a nezminovala se o funkcnosti aplikacnich protokolu.

[Michal Kubeček]

Netušil jsem, že vám stačí protlačit SYN paket, případně navázat TCP spojení, ale je vám úplně jedno, jestli ho budete moci použít k nějaké komunikaci.

[Ondrej 'SanTiago' Zajicek]

Ta veta se netykala toho, co mi staci nebo co by se mi hodilo, ale toho, co zajistuje NAT. Presneji by tedy mela zminovat, ze umozni komunikovat na TCP spojenich (a UDP 'spojenich') inicovanych ode mne do Internetu.

Ze budou fungovat ty aplikacni protokoly, ktere si s timhle vystaci, a mozna nebudou fungovat ty, ktere si s tim nevystaci, je uz logicky dusledek.

[xkucf03]

Už obyčejné aktivní FTP může být problém

Nechci obhajovat NAT (je to zlo), ale FTP je hodně hloupý protokol – osobně si myslím, že pokud si nějaká služba nedokáže vystačit s jedním portem, je špatně navržená. (nepočítám, když má třeba dva porty, jeden pro uživatele a jeden pro administrační rozhraní – to je naopak výhoda, dá se zabezpečit firewallem).

[Michal Kubeček]

FTP je hodně hloupý protokol

Tvrzení, že FTP je hloupě navržený protokol, je obvykle projevem neznalosti toho, kdy FTP vznikl a proč je navržen zrovna tak, jak je. Ve skutečnosti je FTP velmi chytře navržený protokol, pouze se příliš nehodí do dnešní doby a dnešního pojetí Internetu. Ale takových protokolů je spousta - namátkou třeba SMTP - a většina se přes tento handicap dodnes používá a nejspíš ještě nějakou dobu používat bude.

osobně si myslím, že pokud si nějaká služba nedokáže vystačit s jedním portem, je špatně navržená

Mám tomu rozumět tak, že považujete SIP za špatně navržený jen proto, že autoři nenutí hlasový stream běhat po stejné trase, po které se navazuje hovor? To, že některé služby špatně interagují s maškarádou (nebo obecně ne-1:1 překladem adres), nemusí nutně znamenat, že jsou tyto služby špatně navržené. Tak to vypadá jen z pohledu toho, kdo si za těch pár let zvykl na to, že maškaráda je přirozenou součástí života a často si ani nedovede život bez ní představit.

[Grunt]

Mám tomu rozumět tak, že považujete SIP za špatně navržený jen proto, že autoři nenutí hlasový stream běhat po stejné trase, po které se navazuje hovor?

_Skype

[Michal Kubeček]

Jedna z mála pozitivních věcí, které jsem o Skype ochoten říci, je to, že je to velmi názorný příklad toho, kam až nás může dovést tvrdošíjné lpění na IPv4 a maškarádami zdegenerovaném Internetu.

[rastos]

Aneb: I ten největší prúser je pozitivne využitelný - jako odstrašující příklad.

[xkucf03]

Jestli si služba chce otevřít víc síťových spojení, ať si je klidně otevře. Ale k tomu není nutné, aby používala několik čísel portů. Obzvlášť vypečené služby si tato čísla vybírají náhodně. Výhodou je, pokud např. Dovecot poslouchá na dvou portech a na jednom poskytuje POP3 a na druhém IMAP4, nebo třeba to výše zmíněné administrační rozrhaní na zvláštním portu. Ale vadí mi, když při jedné relaci klient-server potřebuje víc čísel portů. Příklad komunikace:

• posíláme textová data, např. výpisy adresářů, řeknu, pošli mi soubor xyz.txt, dobře, otevři si port 32524, soubor se na ten port pošle.
• posíláme textová data, např. výpisy adresářů, řeknu, pošli mi soubor xyz.txt, dobře, připoj se na port, na kterém teď komunikujeme, pošli příkaz ABCD prokaž se tokenem, že to jsi ty, ať vím, co ti mám poslat, připojím se, zadám příkaz, pošlu token, dostanu soubor.

Jasně že se někdy hodí otevřít si víc spojení, ale nepotřebuji k tomu víc portů* – důvodem je jen lenost programátora. Proto považuji ten druhý způsob za správnější.

Např. u Jabberu tohle navržené správně – po Jabberu (XMPP) se vyjedná přenos souboru a pak se naváže spojení na port (typicky 8010) a po tomto spojení se přenese soubor. Není potřeba naslouchat na mnoha náhodných portech jen proto, že chci přenášet několik souborů s různými klienty naráz.

Nejde o maškarádu – jen jsem trochu paranoidní a mám rád firewall nastavený tak, že to, co výslovně nepovolím, je zakázané. Něco jako koncept minimálních práv.

*) víc (čísel) portů na serveru (zdrojových portů na klientovi samozřejmě víc je).

[petris_]

posíláme textová data, např. výpisy adresářů, řeknu, pošli mi soubor xyz.txt, dobře, připoj se na port, na kterém teď komunikujeme, pošli příkaz ABCD prokaž se tokenem, že to jsi ty, ať vím, co ti mám poslat, připojím se, zadám příkaz, pošlu token, dostanu soubor.

Toto ma nevyhodu, kdyz Vase implementace stacku bude pouzivat buffer na soketu -- pak se Vam muze stat, ze ho datova komunikace bude preplnovat na ukor ridiciho spojeni. Tato situace IMO mohla byt v dobe vzniku FTP realnym problemem.

[petr_p]

Jozsef Kadlecsik je silně proti.

[fissie]

NAT se samozrejme technicky da udelat taky (a celkem se bojim, kteryho ISP trotla to napadne i v praxi), ale nechapu, proc by to nekdo delal. Pokud se nekdo boji o soukromi, pak existuji privacy extensions, ktere tenhle problem pokryvaji. Firewall se postara o pripadne nezadouci prichozi konekce a pak uz opravdu neni zadny "benefit", ktery by NAT daval.

[Grunt]

No tak to si trochu s tím NATem minul, ne?

[snajpa]

Povídej, jak může kdokoli snadno monitorovat nějaké dvě stovky lidí za routerem s NATem? Dokud se budou politický podmínky vyvíjet stejně jako teď, jsem pro NAT na každym rohu. A to NAT nemám rád, je to jenom menší zlo než monitoring každýho mýho uprdnutí na síti.

[Grunt]

Nechci ti kazit chuť, ale už teď u nás existuje zákon nařizující ISPčkům uchovávat údaje. Nejde o datové toky a špehování jak si dost lidí myslí, ale cílem toho je aby se pod proměnnými zdrojová adresa(samozřejmě za maškarádou), zdrojový port, cílová adresa, cílový port a čas dala určit zodpovědná osoba(o zodpovědnosti vůči svému připojení už tu někdy byla řeč). Nakonec si teda opravdu neviditelný pro všechny krom toho pro koho opravdu neviditelný být chceš. Úspěch, co? Prostě NAT není řešení. A to radši nemluvím o ostatních zemích. Tam už by se fakt radši lidi měli držet, protože svět se zbláznil.

[snajpa]

Všiml sis druhý části? Říkám občanské sdružení. Má snad nějakou takovou povinnost? Oni maximálně přes papír od soudu musí dát přístup k infrastruktuře. A to budu v ten okamžik vědět, protože se v tom sdružení docela angažuju (a i kdybych se přestěhoval a působil jinde, taky budu působit někde ve freenetu, protože mě to prostě baví)

[Grunt]

Všiml sis druhý části? Říkám občanské sdružení.

Omlouvám se, to jsem musel přehlédnout.

Má snad nějakou takovou povinnost?

Tak to netuším, ale řekl bych že to budou mít nějak vyřešené.

[Luk]

Všiml sis druhý části? Říkám občanské sdružení. Má snad nějakou takovou povinnost? Oni maximálně přes papír od soudu musí dát přístup k infrastruktuře.

Viz níže. Sdružení takovou povinnost nemá, ale pokud vydání informací odepře, tak se může stát teoreticky až to, že policie udělá domovní prohlídky u všech členů. Pokud jich nebudou tisíce, věřím tomu, že by policie souhlas soudu získala.

[tom]

Pochybuju, ziskaji souhlas maximalne na desitky. Vic neni ani nase policie schopna zvladnout.

Sdruzeni policii muze poskytnout vsechny informace, ktere ma -- zadne totiz mit nemusi. Dokonce ani nemusi vedet, kdo a kde je k siti pripojen, musi udrzovat jen seznam clenu.

[Luk]

Také mohou případně zabavit infrastrukturu sdružení (veškeré počítače a další prvky) a zkoumat to tam. I kdyby hypoteticky bylo všechno zašifrováno nebo se nikde neudržovaly perzistentní informace, které by jim k něčemu byly, tak to přinejmenším naruší fungování sítě a sdružení samotného. Tím nechci říct, že s takovým policejním postupem souhlasím, jen si dokážu představit, že by takto postupovali.

[xkucf03]

BTW: jak by to bylo v případě, že by sdružení nemělo žádný vlastní majetek a všechny servery a síťové prvky by byly např. bezplatně zapůjčené od nějakých cizích osob?

[Ondrej 'SanTiago' Zajicek]

Asi uplne stejne - pokud ta policie muze ty servery (spis routery) zabavit pro ucely vysetrovani podezreleho A, tak nebude zalezet, zda je vlastni treti osoba B (sdruzeni) nebo treti osoba C (ten, kdo je pujcil sdruzeni).

[snajpa]

Jasan, ale to je připraví o moment překvapení, jelikož když najedou nejdřív na správce (ten odmítne), tak se bude vědět, že je průser a stihnul bych se podle toho zařídit.

[Grunt]

ten odmítne

Pak se taky může stát, že zodpovědnost padne na jeho hlavu, protože nechce nikoho udat.

[petris_]

Neodmita se, nevedet je vyhodnejsi

[Grunt]

Stejná situace. Nevíš, tvůj problém. Neznalost neomlouvá.

[petris_]

To neni pravda. Pokud Vas napriklad nekdo zabije a ja uvidim, kdo to byl, ale odmitnu to rici, tak muzu byt potrestan. Kdyz ale reknu, ze jsem ho nepoznal, je to vporadku.

[Grunt]

A proč do toho plete tak podružnou věc jako je vražda?

[the.max]

tohle je ale naprosto stejne i u ISP. Kdyz organi budou nekoho chtit chytit, tak take pujdou nejdriv za mnou abych jim sdelil komu ze to patri tahle IP adresa...

[Luk]

A jestli si někdo myslí, že ho spasí to, že je připojen přes občanské sdružení, může být velmi rychle vyveden z omylu (a pak ještě důrazněji).

[trekker.dk]

Pokud máme důvodné podezření, potom můžeme zabavit všechny počítače. Nebo případně zabavíme servery, přes které jdou data.

Což není nic jiného než buzerace, která má poskytovatele "přesvědčit", že má spolupracovat (ta data tam přece nejsou). Kam jsme se to vrátili...

[snajpa]

To mi nahání až hrůzu. Bůh žehnej nezabezpečeným wifi sítím, ve větším městě je jich vždycky dostatek.

[Luk]

Nejen my. Při známé slovenské cause "NBÚ SR" byl zabaven server, na kterém běželo diskusní fórum, kde se o případu diskutovalo. Vždycky je jednodušší využít až nadoraz to, co jde (a nejlépe jít ještě o kus dál, protože policii to projde - viz důvodovou zprávu k novele zákona o policii). Protože například povolování odposlechů nebo domovních prohlídek je rutinní záležitost (odmítnutých případů je naprosté minimum), mohou si takto vyskakovat. A běda, pokud někdo řekne, že současný rozsah pravomocí je nadměrný - to by byl hned označen jako člověk, který brání boji proti kriminalitě, zejména proti teroristům.

[xkucf03]

Ale no tak, sdružení dostane rozsah IPv6 adres, jejichž počet několikanásobně přesahuje počet členů sítě. Pak se stejně neuhlídá, kdo jakou adresu měl. Pokud tu bude zájem na sledování, tak ti to sdružení buď zakážou, nebo mu nařídí sledování a logování, kdo kdy kam komunikoval – a to bez ohledu na to, jestli to pojede přes IPv4 nebo IPv6.

[Milan Jurik]

Fascinuje me to "hrrr za IPv6". K cemu ji potrebujete ted? Co za pozitiva dnes prinasi? Az bude skutecne treba, tak o tom nebudou rozhodovat marketingova oddeleni. Pokud se vam to nelibi, zalozte si vlastniho ISP, ci prejdete k nejakemu, ktery ho nabizi.

[Jendа]

Fascinuje me to "hrrr za IPv6". K cemu ji potrebujete ted? Co za pozitiva dnes prinasi? Az bude skutecne treba, tak o tom nebudou rozhodovat marketingova oddeleni.

Ano. Máte pravdu. Až bude mít provider poslední céčko a dojdou IPv4 adresy, tak se přes noc celá síť zmigruje na IPv6. A když se to za noc nestihne (což je velmi nepravděpodobné), tak přestane přijímat nové zákazníky, dokud se to nevyřeší.

Pokud se vam to nelibi, zalozte si vlastniho ISP, ci prejdete k nejakemu, ktery ho nabizi.

Nevím, nějak tady nikdo s IPv6 není.

[Milan Jurik]

Ano. Máte pravdu. Až bude mít provider poslední céčko a dojdou IPv4 adresy, tak se přes noc celá síť zmigruje na IPv6. A když se to za noc nestihne (což je velmi nepravděpodobné), tak přestane přijímat nové zákazníky, dokud se to nevyřeší.

A je to vase starost, aby jste k tomu honil vaseho ISP? Verite, ze tak dopadnou vsichni? Asi jste nepochopil mou poznamku - prozatim u vas vidim jen to, ze vam to komplikuje dostupnost nekterych sluzeb, ale nic vam to neprinasi.

Nevím, nějak tady nikdo s IPv6 není.

http://www.nix.cz/cz/ipv6_addr

A nekteri z nich ji poskytuji i koncovym klientum.

[Jendа]

Tabulku znám a na Pankráci jsou dostupná jenom jejich ADSL, po kterých pokud vím ještě nikdo IPv6 nedělá.

[Milan Jurik]

Ju, ADSL vs. IPv6 je u nas problem. Takze bud zmenit zpusob pristupu k Netu nebo si zalozit vlastniho ISP, kdyz si myslite, ze IPv6 je pro podstatnou cast zakazniku dulezita a prorazite na trhu s tim.

[xkucf03]

Kteří? Nabízí někdo z nich ADSL pro domácnosti? Nebo službu na podobné cenové úrovni?

[Milan Jurik]

Ne u ADSL (podobna cenova uroven pak bude spise lokalni zalezitosti). Nejspise protoze podle jejich analyz to zatim nikdo z prislusneho typu zakazniku realne nepotrebuje. Kterou sluzbu mate dostupnou pouze pres IPv6?

Psat si ISP o IPv6 bez toho, ze mu zduvodnite, kterou sluzbu tak mate nedostupnou, je hazenim hrachu o zed.

[Luk]

Psat si ISP o IPv6 bez toho, ze mu zduvodnite, kterou sluzbu tak mate nedostupnou, je hazenim hrachu o zed.

Že je služba dostupná teď, ještě neznamená, že bude dostupná za pár měsíců. To je, jako kdyby se chystal zákaz prodeje benzinu a nafty od 1.1.2011 (to mimochodem není tak nereálné, i když rozhodně ne k tomuto datu). Také by někdo mohl říkat "proč chcete auto na jiná paliva už teď, vždyť můžete klidně jezdit na benzin".

Kromě toho nevidím důvod, proč dodavateli služby vůbec něco zdůvodňovat. Když kupuji cement, také neříkám, že chci cement s danou pevností proto (když to přeženu), aby při jaderném výbuchu vydržel. Dodavateli do toho prostě nic není. Chci určitou službu, tak ji buď poskytne, nebo může počítat s tím, že se obrátím na někoho jiného. Tečka.

[Milan Jurik]

Jezuskristus:

Pokud se vam to nelibi, zalozte si vlastniho ISP, ci prejdete k nejakemu, ktery ho nabizi.

Zbytek uz nemam chut komentovat, necetl jsi vubec diskuzi.

[fissie]

 

K cemu ji potrebujete ted? Co za pozitiva dnes prinasi?

Co se týče featur, tak to je například IPsec a mobilita. To jsou pozitiva poměrně hmatatelná. Jasně, IPv4 má taky IPsec, ale v transportním módu se používá spíše jen vzácně a nikde není napsáno, že by ho IPv4 hosti měli implementovat. Plný IPv6 stack by implementaci IPsecu obsahovat měl. Po fiasku s oportunistickým IPsecem nad IPv4 si sice nedělám iluze, že by se to nějak více zejména v počátku uchytilo, ale rozhodně tu je možnost a z hlediska celkové bezpečnosti internetu (zejména na posledních mílích) je IPsec dobrá věc. Snad časem.

 

A kromě featur tu máme například to, že si každý ISP skutečně svému klientovi bude moci dovolit přidělit adresu, respektive téměř libovolné množství adres pro celou síť. Někteří malí to dnes neumí vůbec, jiní za poplatek, hodně adres dá jen málokdo.

To vám je málo? :) 

 

[the.max]

my defaultne pridelujeme kazdemu zakaznikovi 1 IPv6 adresu a na ni je mu naroutovan /64 at si s tim dela co chce

[Milan Jurik]

IPsec? Hmmm, nemam problem jej uzivat na IPv4 (cca pulka trasy z meho laptopu k abclinuxu jim aktualne tece). A neverim, ze jej lide budou siroce pouzivat. Takze na to IPv6 netreba.

Co se tyce pridelovani stabilnich IPv6 adres koncovym klientum, nebudte naivni, nic se nezmeni. Adres vam ISP neda podle libosti, budete platit tak jako dnes.

Ano, je mi to malo, vzhledem k tomu, ze prozatim to neni nutnost a ve stavu, kdy vetsina zarizeni je dostupna jen pres IPv4, tak v tom benefit proste nevidim. Jen marketing.

[Grunt]

Ano, je mi to malo, vzhledem k tomu, ze prozatim to neni nutnost a ve stavu, kdy vetsina zarizeni je dostupna jen pres IPv4

Já zas naopak znám hodně zařízení, která jsou dostupná přes IPv6.

[Milan Jurik]

Pouze IPv6? Podstatna sluzba pro koncoveho uzivatele?

[Grunt]

Záleží jak si to nastavíte. Klidně můžete i mixovat, pokud na to máte chuť.

[rastos]

K cemu ji potrebujete ted? Co za pozitiva dnes prinasi?

End to end konektivitu. Keď sa teraz chcem pripojiť z domu na počítač v práci tak sú to 3 hopy. Nie všetky dovolia všetky porty a musím kombinovať smb a ssh/scp. A občas potrebujem ísť na stroje, na ktoré mi treba 5 hopov. Teraz si predstav, že tam potrebuješ preniesť súbor.

[Milan Jurik]

Pokud to mas vsude ve svych sitich pripravene a vyuzivas dnes, tak to chapu a uznavam jako vyhodu. Pokud ne a jen doufas, ze IPv6 tuhle konfiguraci zmeni a zmizi preklady adres, tak ja mam obavu, ze spousta siti si na NAT privykla, o ryzovani ISP z poskytovanych adresovych prostoru pak nemluve.

[Michal Kubeček]

o ryzovani ISP z poskytovanych adresovych prostoru pak nemluve.

Obávám se, že právě tohle je jeden z hlavních důvodů.

[Milan Jurik]

Ja si to ani nemyslim, to zvladnou s IPv6 take (hlavne az se zacnou prudce tencit zasoby adresovych prostoru pri zpusobu, jakym se s nim plytva). Spise bych to opravdu videl na ekonomicky "podlozenem" nezajmu do toho investovat, kdyz to neni nutne.

[rastos]

Ak máš na mysli, či mám 6to4 tak, nie, nemám to pripravené. Keby som mal, tak mi to pri prechode na IPv6 niečo ušetrí? V momente, kedy poskytovateľ ponúkne IPv6 tak ja svojmu PPPoE poviem, aby použil IPv6. Ak DNS providera odpovie IPv6 adresou na www.google.com, tak moj FireFox/ssh/... to zvládne, nie? Čo mám mať pripravené?

[Milan Jurik]

Slo mi o to, zda uz IPv6 vyuzivas (skrze tunely) k tomu, aby jsi se zbavil nechtenych kroku kvuli IPv4. Pokud ne, tak nedoufej, ze se to s plnym nasazenim IPv6 o moc zlepsi. Neverim ve svet, kde kazdy nemobilni stroj bude moci mit verejnou stabilni IPv6 adresu u podstatne casti ISP.

[xkucf03]

o ryzovani ISP z poskytovanych adresovych prostoru pak nemluve.

V tomhle bych byl optimista –IPv6 adresy rozhodně nejsou vzácný statek, každý jich má prakticky kolik chce a několikanásobně víc než potřebuje, takže díky konkurenci na tom vydělávat nepůjde, vždycky se najde někdo, kdo není takový lakomec a IPv6 adresy bude přidělovat ve větším množství a zadarmo – ostatní se přizpůsobí (pokud by snad do té doby za IPv6 adresy vybírali). My např. v serverovně tvrdě platíme za IPv4 adresy, ale IPv6 adres jsme dostali rozsah, který je mnohem větší, než co budeme kdy potřebovat, zadarmo (resp. v ceně housingu).

[Dušan Hokův]

Ano pojmenoval jste zakladni problem. Dokud o technickych vecech budou rozhodovat marketingova oddeleni, budeme stale tam kde jsme ted.

[Milan Jurik]

Ale ono to tak je, protoze 99% zakazniku ISP proste IPv6 dnes nepotrebuje, rozhoduji naklady vs. prinos. A dnes se ISP ohaneji IPv6 ve vetsine pripadu jen kvuli marketingu (takze v tomto pripade vlastne dikybohu ze prislusne marketingove oddeleni).

[Grunt]

Ale ono to tak je, protoze 99% zakazniku ISP proste IPv6 dnes nepotrebuje

Vždyť IPv6 se také nezavádí kvůli zákazníkům. Jak pořád chcete pořád přinášet ta vylepšení sítě? A nebo ta jen přinášejí zákazníkům marketingová oddělení a ve skutečnosti síť hnije?

[Milan Jurik]

Aha a ja si naivne myslel, ze ISP to delaji prave kvuli zakaznikum, aby jich mohli mit vice, nabidnout jim sirsi moznosti atd. Ne, ze by jim pri zavedeni IPv6 dnes neco realne navic mohli nabidnout (tedy krome velkeho rozsahu IPv6 adres, ktere zakaznici stejne v naproste vetsine pripadu nevyuziji, bo co by s tim dnes delali, ze...).

[Grunt]

Aha a ja si naivne myslel, ze ISP to delaji prave kvuli zakaznikum, aby jich mohli mit vice

Špatně jsem to formuloval. ISP by neměli zavádět IPv6 z popudu zákazníků(který až zákazník ví co to vůbec IP protokol je? Si myslím reálné číslo bude docela významně konvergovat k nule.), ale z popudu vlastního.Či spíše z popudu technického oddělení ISP. Přecejen se to nejvíce týká technického pohledu a tak je všem ostatním nasazení docela šumák a také jim být jedno může.

Ne, ze by jim pri zavedeni IPv6 dnes neco realne navic mohli nabidnout

Jaktože ne? Zkvalitnění služeb(mám na mysli hlavně QoS, ale IPv6 přináší i další různé užitečné funkce) není dostatečná nabídka? Jo sice se to nedá vyjádřit nějakým číslem, které může hodit marketingové oddělení na billboard, ale přínos(samozřejmě pokud by se to vhodně nastavilo…samospasitelné IPv6 určitě není) se popřít nedá. Tak schválně, u kterého ISP si můžu zapnout tahání pomocí torrentů na plno a ještě hrát po internetu nějakou hru bez viditelných lagů? A kolik lidí si už na to stěžovalo?

[Dušan Hokův]

Špatně jsem to formuloval. ISP by neměli zavádět IPv6 z popudu zákazníků(který až zákazník ví co to vůbec IP protokol je? Si myslím reálné číslo bude docela významně konvergovat k nule.), ale z popudu vlastního.Či spíše z popudu technického oddělení ISP. Přecejen se to nejvíce týká technického pohledu a tak je všem ostatním nasazení docela šumák a také jim být jedno může.

Dokud ale ISP budou ridit jejich marketingova oddeleni, IPv6 se nikdy nedockame.

[Vašek Lorenc]

Většina ISP se řídí ziskem, řekl bych.. kdo jim ten přechod na IPv6 zaplatí? Ono to taky není zadarmo, jak už tu bylo zmíněno.. navíc, z pohledu bezpečnosti, je IPv6 pořád spíš nedořešené, než že by se dalo bezproblémově nasadit. Alespoň v koncových sítích.

[Grunt]

Dokud ale ISP budou ridit jejich marketingova oddeleni, IPv6 se nikdy nedockame.

Tak ale snad existuje i něco jako hlas oddělení starajícího se o technické záležitosti, ne? Když si technické dupne, že je čas přejít z bridgované sítě na routovanou, protože už se to nedá ukočírovat a nebo když si technické dupne, že je čas přejít na IPv6, protože přináší do správy nové výhody a navíc neodvratitelně docházejí IPv4 adresy, tak se může marketingové či ekonomické oddělení stavět i na hlavu, ne? Kdo ví jak to vůbec je s technickými odděleními jednotlivých ISP? Jestli ono by to spíš nechtělo udělat iniciativu směřující právě k nim. Markeťák tomu nerozumí. Markeťáka můžete přesvědčovat jak chcete, ale ten má jednoduché položky: zisky/výdaje a prostě se snaží držet druhou položku co nejníž a je mu jedno jak. Přínos to bude mít hlavně pro ty techniky(a pokud přínosů technik dovede využít, tak nepřímo z toho bude mít přínos i uživatel a když z toho bude mít přínos i uživatel, tak nepřímo z toho bude mít přínos i celá firma včetně toho markeťáka, kterému zase stoupne položka zisky - možná, časem). Což takhle nevolat na nějakou infolinku, kde sedí sličná slečna a dožadovat se technického oddělení a ptát se tam?

[Milan Jurik]

K odstavci 1. - to tu prece naznacuju celou dobu. Zakaznik IPv6 dnes v naproste vetsine pripadu nepotrebuje (a jeho neoduvodnene zadosti jsou k nicemu), to ISP se musi pripravovat na prechod a muze byt pro nej vyhodne v horizontu jednoho ci dvou let zacit s testovacim provozem, nejlepe s temi, kteri se po tom poptavali, aby se mohli hrde bit v prsa, ze oni tu jejich IPv6 adresu uz maji.

K odstavci 2. - a kolik z takovych stezovatelu predstavuje pro nejakeho ISP podstatny prijem? Nemluve o tom, ze QoS na IPv6 nezavisi.

[Grunt]

a kolik z takovych stezovatelu predstavuje pro nejakeho ISP podstatny prijem? Nemluve o tom, ze QoS na IPv6 nezavisi.

No doma si bouchne do stolu úplně každý. Akorát se to dneska neřeší zkvalitňováním služeb, ale zvedáním rychlostí(čímž se to paradoxně ještě zhoršuje). A QoS na IPv6 opravdu nezávisí, ale jako první nabízí možnost využití QoS po celé trase (pokud teda nepočítám TOS u IPv4).

[Vskutečnosti Saýc]

Jak tak koukam na toho panacka s cervenou cedulkou, rikam si, ze by mohlo byt fajn dodelat podporu ipv6 do network manageru. Protoze v dnesni dobe na moderni distribuci ma clovek v zasade dve moznosti -- konfigurovat si sit rucne, a mit ipv6 a nemit wifi (nebo se muset otravovat se supplicanty a prepisovat kdejakou konfiguraci kdyz se chce pripojit k nove siti) nebo mit network manager (a tedy treba prepinat mezi eduroamem, jinou wifi siti a kabelem min jak za pet minut) a nemit ipv6, protoze nic jako "chci k tehle ipv4 adrese udelat automaticky 6to4" neumi).

[Luk]

NetworkManager je, s prominutím, hromada hnoje. Tak problematický kus SW se hned tak nevidí. Aktuálně mi třeba na notebooku nechodí WiFi (jen v Linuxu; ve Windows chodí) a nejsem schopen zjistit proč. NetworkManager ani jeho front-endy mi odpověď nedají. Prostě to oznámí "failed" a šmitec. Pokud spustím NM jako běžný program (v popředí, ne jako démona), dozvím se jen, že vypršel timeout. Odstranit připojení a vytvořit nové nepomůže, chová se to stejně. Nevím, proč se to podělalo ani jak to dát do pořádku. A rozhodně to není poprvé.

[David Jaša]

NM používá WPAsupplicanta a docela bohatě loguje.

[Luk]

Jenže když to udělám ručně, tj. spustím si WPAsupplicanta z příkazové řádky a pak spustím dhclienta, tak to jede. Kdežto u NM to jen zaloguje ten zmíněný timeout a to je všechno.

[David Jaša]

Říkám - projeď si logy. Tuším, že je to v syslogu nebo v daemonu.

[Luk]

To jsem samozřejmě udělal. Je tam toto:

Jun  6 14:49:37 linux-dw7b NetworkManager: <info>  (eth1): device state change: 1 -> 2
Jun  6 14:49:37 linux-dw7b NetworkManager: <info>  (eth1): bringing up device.
Jun  6 14:49:37 linux-dw7b NetworkManager: <info>  (eth1): preparing device.
Jun  6 14:49:37 linux-dw7b NetworkManager: <info>  (eth1): deactivating device (reason: 2).
Jun  6 14:49:37 linux-dw7b NetworkManager: <info>  (eth1): device state change: 2 -> 3
Jun  6 14:49:37 linux-dw7b NetworkManager: <info>  (eth1): supplicant interface state:  starting -> ready
Jun  6 14:49:58 linux-dw7b NetworkManager: <WARN>  wait_for_connection_expired(): Connection (2) /org/freedesktop/NetworkManagerSettings/Connection/1 failed to activate (timeout): (0) Connection was not provided by any settings service

Nicméně mi hlavně není jasné, proč se to podělalo, když jsem do konfigurace nesahal a předtím to fungovalo.

[Dušan Hokův]

A do bugzilly sve distribuce jste to hlasil? Pouzivam NM k plne spokojenosti (wifi, vpnky, profily).

[the.max]

NM jsem zkousel. Nic tak zabugovanyho a nefunkcniho jsem uz dlouho nevidel, takze si radeji vsechno nastavim prez konzoli. Na to nejcasteji pouzivane mam skripty, nastaveni ktera je nutna delat operativne, nastavuji rucne. Neni to sice idealni, ale pomalu mi to prijde rychlejsi a jistejsi, nez pouziti NM.

[Luk]

Se znalostí syntaxe příkazů je změna nastavení sítě záležitostí řekněme desítek vteřin. Přesto bych byl raději, kdyby existoval rozumný kousek softwaru, který se o do bude starat sám. Pokud bych měl dostatek času, tak si raději něco napíšu, než se vztekat s NM.

[Vantomas]

A co wicd? Ten pro nastavovani pouziva samotne ip/iwconfig, pro sifrovane site wpa_supplicant, pro dhcp dhcpcd (nebo co se zada v configu), existuje k tomu rozhranni v curses nebo v GTK a dokonce to ma umet ovladat networkmanager plasmoid v KDE4 (to se mi ale nejak nepovedlo zprovoznit).

Umi to i profily na ethernetu.

Sam to pouzivam k plne spokojenosti.

Bohuzel neumi IPv6, kdyz uz je to v threadu o IPv6...

[Luk]

Až budu mít čas a náladu, podívám se na to. Podpora IPv6 by tam šla případně doimplementovat.

[xkucf03]

IPv6 se dá do wicd dobastlit pomocí skriptů (připojovací, odpojovací). Hezčí by to bylo samozřejmě v GUI. Stejně tak by se mi líbilo Qt/KDE rozhraní.

[Luk]

Není nic jednoduššího, než si to napsat

[CEST]

Asi to kazdej taky vi, problem je jeden.

Pouze malo sluzeb v internetu je nabizeno v IPv6 nebo dokonce POUZE v IPv6, vetsina je v IPv4. Uzivatele se pres IPv4 k vetsine sluzeb dostanou, takze uzivatele nemaji potrebu prechazet na IPv4.

Samozrejme, provozovatele sluzeb, kteri vydelavaji na provozovani sluzeb, nevypnou svoje IPv4 sluzby a nenechaji je jenom na IPv6, protoze by tim prisli o vetsinu uzivatelu a jejich sluzby by nevydelavaly. Takze provozovatele sluzeb take nic nenuti prejit.

No a protoze uzivatele nepozadujou IPv6, tak proc by to meli provideri nabizet, pridelavat si starosti, vydavat naklady na rekonfigurace a zrejme hlavne na nahrazovani starych zarizeni novyma a pak by z toho meli malinkej prijem? Takze ISP taky nic nenuti.

Je to proste takovy kolecko: uzivatel nepotrebuje, protoze provozovatel sluzeb pouziva IPv4 - ISP neni nucen - provozovatel sluzeb nepotrebuje, protoze uzivatel pouziva IPv4 - uzivatel nepotrebuje...

Jedina sance tady je, ze by proste IANA prestala dalsi IPv4 pridelovat, dala termin 1-2 roky na prebudovani infrastruktury na IPv6 a pak zacala IPv4 odebirat. A jestli nekdo bude resit zprovozneni IPv6 posledni mesic pred odevzdanim (zrusenim) jeho IPv4 rozsahu, to uz je jeho problem. Samozrejme to predpoklada, ze je IPv6 uz vyladene a stabilni. Bez toho tvrdeho zasahu se obavam, ze se bude z IPv4 zdimat, dokud to pujde.

Jinak nevim, jak to s IPv4 je skutecne, ale asi pred rokem jsme dostali sit s prefixem 15, mame vyuzito tak mozna 30% a nikdo se nezajima, jestli ten range opravdu celej potrebujeme. V privatni siti pouzivam 172.16/16, ale ne vsechno mame obsazeny, kolega dokonce zkousel navrhnout, ze bychom mohli v interni siti pouzivat tyhle public IP. Proste jenom proto, ze je mame. Ale uz kolega taky zacal experimentovat s IPv6.

[Grunt]

Co zas v tom schématu dělá uživatel? Pozici provider-uživatel máme snad jen u nás(a dost možná to má také drobounký podíl na problému).

[CEST]

Uzivatel tam hraje dulezitou roli. Pokud bude provider nabizet sluzbu, o kterou nebude u uzivatelu zajem, proste to provider bude financovat ze svyho (ztrata) nebo zkrachuje. A uzivatel neprejde k IPv6 providerovi jen proto, ze dochazi IPv4 adresy - to uzivatele nezajima. Uzivatel chces sluzby, ktery dnes prevazne bezi na IPv4, takze se na nejakyho milyho IPv6 providera vykasle.

Nejsem si jistej, jak to myslis s tou pozici provider-uzivatel. Ja to schema vidim jako [provozovatel sluzeb nabizi sluzby] - [provozovatel site = provider] - [uzivatel]. Ono je zamozrejme provideru na ceste vic, ale to je jedno. Uzivatel chce sluzby, provozovatel sluzeb chce hodne uzivatelu, stejne jako provider chces hodne uzivatelu. Proto musi provider zajistit pro co nejvic uzivatelu co nejvic sluzeb. Sluzby bezi na IPv4, provider nabizi IPv4, uzivatel pouziva IPv4 a je spokojenej. A ted jsou tri moznosti, co by se mohlo stat

1) Provozovatel sluzeb nahodi IPv6 - provider ale provozuje IPv4, uzivatel je na IPv4, sluzby nejsou dostupny, uzivatelu IPv4 je hodne, provozovatel prichazi o uzivatele. Z toho plyne, zdrave myslici provozovatel neprepne IPv4 na IPv6.

2) Provider prepne na IPv6 - a) vnuti tak uzivatelum IPv6, kteri se pak ale nedostanou na IPv4 sluzby, takze uzivatele prejnou jinam; b) aby uzivatele nepresli k jinymu providerovi, kterej ma IPv4, tak bude provider delat konverzi od uzivatelu s IPv6 na IPv4 - tim si akorat zvysi naklady na predelani site a udrzovani tech tunelo do IPv4, tzn. provider zdrazi, uzivatele prechazi jinam. Zdrave myslici provider neprejde

3) Uzivatel chce IPv6 - tezko ale rict, proc by si sam dobrovolne znepristupnil IPv4 sluzby. Pripadne bude mit IPv6, stejne ale bude muset mit nejakej tunel do IPv4, protoze provideri prevazne IPv6 nepodporujou, takze bude mit Internet pomalejsi

Ja vim, ze existujou nektery sluzby, ktery uz dneska bezi na IPv4 i IPv6 soubezne, to ale nedonuti ty ostatni, aby presli na IPv6, kdyz maji stejnej obsah dostupnej na IPv4. Takze dokud provozovatele sluzeb neprepnout POUZE na IPv6 VSICHNI NAJEDNO, tak uzivatelum bude stacit IPv4. Nekdo proste zatlacit musi, uzivatele spis ne, provozovatele sluzeb asi asi taky vsichni nedohodnout, takze jedinej kdo by mohl by byla IANA, ale kdyz by zacali stahovat a deaktivovat IPv4 adresy, tak by se mozna provideri a provozovatele sluzeb dohodli a zacali by IANA ignorovat a pouzivali by porad IPv4.

[Grunt]

Uzivatel tam hraje dulezitou roli. Pokud bude provider nabizet sluzbu, o kterou nebude u uzivatelu zajem, proste to provider bude financovat ze svyho (ztrata) nebo zkrachuje.

Jestli se prohání uživateli přes kábl co mu leží u nohou a vede do jeho PC třeba NetBEUI nebo IPX/SPX mu může být srdečně jedno. Pokud se kupř. bude správci sítě lépe spravovat IPv6, tak se může jít uživatel s IPv4 vycpat(třeba protože má prvky, které podporují jen IPv4(nativně dneska vlastně téměř všechny) a chce si ten Internet šířit). Tak jsem to chtěl říct. Divákům může být také srdečně jedno jestli si přenáší po své síti BBC pořady v Diracu nebo MPEG (i když třeba MPEG dekodéry pro koncové uživatele mohou být levnější). Ale to s těmi službami chápu. Všichni dělají jen to co nejvýhodnější pro ně. Ať to vyhodnocuju jak jenom chci tak prostě přicházím k deadlocku(vendor lock-in?) a mezi tím adresy ubývají a spousta funkcí stále nefungují, tak jak bych si představoval…tak či tak, jednou to skončit musí.

takze jedinej kdo by mohl by byla IANA, ale kdyz by zacali stahovat a deaktivovat IPv4 adresy

To zní jako docela dobrý nápad.

[mkoubik]

Tohle je dobře popsáno v teorii her, jenom si teď nevzpomenu, jak se tahle situace jmenuje - stávající stav je nevýhodný pro všechny hráče, ale ten, kdo ho jako první změní na to doplatí (dobrý příklad je zákopová válka).

[Grunt]

Prosím tě, o tom radši ani nemluv.To by ještě mohlo znamenat, že by se opravdu musel najat někdo se znalostí TCP/IP, protože 192.168.1.1 prostě není kam napsat a v našich končinách by to mohlo znamenat blackout. Chceš snad blackout? Myslím, že celý problém se dá shrnou citací z tobě zaslaného dopisu:

záleží na našem Marketingovém oddělení.

[Jendа]

Chceš snad blackout?

Nechci! (to mi připomnělo tu scénu s hynutím deštných lesů z IT Crowd)

Pro mě ale blackout nastane ve chvíli, kdy mi provider nebude moct přidělit IP adresu, k čemuž se bohužel neodvratně řítíme a IPv6 je asi jediná záchrana.

BTW není to jen o nedostatku IP adres, ale taky o agregaci/fragmentaci/velikosti routovací tabulky, až se na konci začne kšeftovat s /22.

záleží na našem Marketingovém oddělení.

Ano, já vím. Ale jsem zvědavý, jak se budou kravaťáci vykrucovat, až to nastane.

[rastos]

Ja: Poskytuje T-Com IPv6 konektivitu?

Vazeny pan Stanik,
dakujeme Vam, ze ste sa rozhodli vyuzivat sluzby T-Comu a zasielame Vam vyjadrenie na Vas e-mail zo dna 17.09.2008.

IPv6 nepouzivame a v blizkej dobe ( casovy horizont minimalne pol roka ) ani neplanujeme pouzivat.

Dakujeme Vam za prejavenu doveru a Vas zaujem o sluzby a produkty T-Comu.

S pozdravom,

Jaroslava Janosikova, Slovak Telekom, a.s., T-Com, E-mail centrum

Neni zač.

Pred dvoma mesiacmi bol človek z Telekomu u nás v práci. Hovorí: "Som váš nový pridelenec, čo môžem pre Vás urobiť?" A ja hovorím: "IPv6". Nemal šajnu čo to je. Tak mu vravím: "Nevadí. Ale ak niekde u vás nejakú knihu prianí a tam nájdete zoznam klientov čo chcú IPv6, tak nás tam pripíšte".

Orange Slovensko (FiberNet - pripojenie cez optiku) o IPv6 takisto neuvažuje.

[Martinus]

My teda IPv6 nabízíme Takže pro případné zájemce:

Společnost Interoute

[Shadow]

Vy asi nebudete mít pobočku tady v ČR, že ne?

[Grunt]

Odpoveď

Jinak nahlížení je pro kohokoliv a zdarma.

[Martinus]

Ale člověče máme, nicméně náš český PoP tuším zatím nepodporuje IPv6, nejbližší je asi Frankfurt Mapka

Nicméně naše síť se postupně upgraduje a rozšiřuje, takže v blízké budoucnosti lze snad IPv6 čekat i v ČR.

Další věc je, že naše produkty jsou ve sféře corporate a wholesale, takže pro připojení domácnosti nevhodné. Pro firmy a ISP nicméně nabízíme všechny možné i nemožné produkty, ale nemůžu tady dělat moc reklamy, zbytek na webu společnosti

[Shadow]

Tak to je příjemné překvapení. Bohužel, ten web mi přijde takový dost... stručný. Jediné, co jsem se z něj dozvěděl, je telefonní číslo a adresa české pobočky. Podstatné údaje jako ceny, dostupnost, apod., jsem nenašel. No a za další, já bych byl skutečně ta domácnost, rozhodně ne korporátní sféra či velkoobchod. Čili je to hezké, ale asi mi stejně nezbyde než si nechat zajít chuť.

[petr_p]

Prozatím by stačilo, kdyby ISP (kteří stejně bloky IPv6 přidělené mají a mnozí mají i funkční peering třeba v NIXu) nabízeli svým zákazníkům SIT tunely zakončené ve své síti.

[Ondrej 'SanTiago' Zajicek]

Ono by uplne stacilo, kdyby ISP, kteri pouzivaji IPv6, si i zridili privatni 6to4 branu (v Linuxu operace na par prikazu).

[Andrej]

Ta nejdůležitější možnost v anketě chybí: 6to4. To není tunel v pravém slova smyslu, je to jakýsi expresní razicí štít.

[xkucf03]

Díky za nakopnutí – napsal jsem svému poskytovateli. A decentně mu připomenul jeho tiskovou zprávu, kde píší o výhodách IPv6. Zpráva je z roku 2004 a týká se ještě vytáčeného spojení.

[xkucf03]

hmm, odpověď rychlá, ale celkově na hovno:

---

Vazeny pane Kucero,

v dohledne dobe o podpore IPv6 u ADSL sluzeb neuvazujeme.

Kompletni prehled faktur, informace o nastaveni, aktivaci sluzby,
statistiky a dalsi informace naleznete na adrese https://podpora.volny.cz

S pratelskym pozdravem,

Martin Muller
Customer Care Supervisor
Zakaznicka podpora VOLNY

Tel.: 14441
Mailto: info@volny.cz

VOLNÝ, a.s.
U Nákladového nádrazí 8
130 00 Praha 3
Fax: +420 246 000 119
http:/firma.volny.cz



On June 6, 2009 at 5:51 PM, "František Kučera" <…@frantovo.cz> wrote:

>Dobrý den,
>
>četl jsem vaši tiskovou zprávu
>http://firma.volny.cz/press/archive.php?press=116
>plně souhlasím s tím, co píšete:
>
>„Protokol IPv6 je považován za nástupce stávajícího IPv4. Úloha IPv6 má
>obrovský dopad zejména na budoucnost internetu. Hlavním důvodem přechodu ze
>stávajícího protokolu IPv4 na systém IPv6 je rozšíření množství dostupných IP
>adres, které se díky mohutnému rozvoji internetových služeb mohou brzy
>vyčerpat. Protokol IPv6 přinese navíc nové možnosti ve využití a zabezpečení
>internetu, v propojení internetu s mobilní komunikací, spotřební elektronikou
>atd.“
>
>Chtěl bych se zeptat, jak situace od té doby pokročila a jak to vypadá s
>podporou protokolu IPv6 v případě ADSL připojení.
>
>Je možné, že můj ADSL modem je zastaralý a byl bych ochotný si i koupit nový,
>ale velice bych ocenil nativní IPv6 připojení k Internetu.
>
>S pozdravem,
>František Kučera
 

[houska]

nechtel by nekdo udelat nejaky univerzalni dotaz? ... doplneny nejakyma informacema o ipv6 apod

pripadne udelat databazi ISP, zda uz maji/chystaji/jak odpovedeli na dotaz, zkusit zkontaktovat naprikad provozovatele teto db ISP

[Jendа]

To zní jako čelendž Tak jo, někdy si nad to sednu.

[hmm]

Obecne IPv6 pripojeni lidem podporuji (z tech "vetsich") zejmena sdruzeni vramci NFX z.s.p.o., nevim o zadnem jinem (na komercni bazi) ISP/sdruzeni, ktere by v tom taky "jelo", ale dystak me opravte, rad si rozsirim obzory...

[Jendа]

http://ipv6.hrach.eu/, až mi to otestujete, tak o tom napíšu blogííííseq ;)

[xkucf03]

Přidal jsem ti tam Mastera

[Jendа]

Díky (všiml jsem si v logu ).

[Jendа]

Moment - Master webhosting nenabízí, ne? Neměl by být jenom v serverhousingu?

[xkucf03]

hmm, zaškrtnul jsem jen housing, nevím jak se to stalo. Upravil jsem ho, aby byl jen v housingu.

[Jendа]

Zreprodukovat se mi to nepovedlo...

[Limoto]

A samotná databáze je IPv4-only

[Jendа]

Já vím Bohužel jsem se upsal na dlouho. Tak mu alespoň napíšu a zařadím ho tam

[houska]

pripadam si jak Cimrman inspirujici:

"Zkuste to bez dratu mily Marconi"

Dve sestry?! Neni to malo Antone Pavlovici?

[Dušan Hokův]

Kdyz jsem pracoval v BroadNetu, temer jsme pro zakazniky rozjeli nativni IPv6 - dostali jsme od RIPE vlastni rozsah, pripravili jsme a otestovali infrastrukturu, propojili jsme se pres NIX s ostanimi ISP pres IPv6 a zbyvalo jen pripojit IPv6 zahranicni konektivitu. Pak nas koupil Vodafone, a cely projekt se zastavil.

[hmm]

To je ten paradox IPv4, ze spousta firem bude nucene drzet IPv4 pri zivote, protoze z toho tecou rychleji a vice penize oproti nerozsirenemu IPv6... Ale snad se to brzo zmeni, prozatim si budu moct aspon uzivat nativniho v6 pripojeni az do domu

[hmm]

njn, nejlepsi je si "delat" providera sam sobe (CZFree.Net-like sdruzeni), dostali jsme celou /48 (coz je dalsi paradox RIPE pravidel, ze je tu brutalni skok mezi /32; /48 a /64, pritom firma o par zamestnancich dostane /48 stejne jako sdruzeni se 100+ i vice routery, maj to soudruzi nejak nepromakany ) a ted jen hledame co nejlepsi zpusob, jak na to pripravit mikrotiky, ale nativne mi to na 3.22 funguje (i kdyz 100% stabilni to neni), ale snad po urgencich a nekolika ohlaseni bugu (vypadavaly routy), to litevci uz brzo zestabilni

nejvic me ovsem mrzi, ze nativni IPv6 pripojeni nepodporuje moc (temer zadna) z ceskych vysokych skol/univerzit, sice chapu, ze NATem /i kdyz ten taky moc nechapu, kdyz maj v4rek jak maku/ se da resit rada moznych "bezpecnostnich" problemu, ale jsme v 21. stoleti proboha a NAT se vymyslel predevsim kvuli dochazejicim IPv4 adresam (a ten bezpecnostni aspekt je jen doprovodny efekt)... Pritom Cesnet IPv6 temer plne podporuje, ale treba u nas na CZU neznam misto, kde by se s tim bylo mozno setkat...

[xkucf03]

Např. na VŠE IPv6 máme – můžu si krásně posílat maily mezi svým a školním SMTP serverem po IPv6

BTW: NAT přece žádné bezpečnostní problémy neřeší – od toho je firewall.

[qiRzT]

Jako vedlejší efekt poskytuje určitou pasivní bezpečnost. Na jednu stranu je naivní na ni spoléhat, ale určitě je rozdíl mezi sítí bez firewallu za NATem a sítí bez firewallu a bez NATu.

[Michal Kubeček]

To je hluboký omyl. To, že maškarádující stroj brání přístupu do maškarádované sítě, je jen zásluha toho, že je překlad adres vždy doplněn o paketový filtr. Čistá maškaráda bez filtru by tomu přístupu nezabránila, naopak čistý filtr bez maškarády ano.

[qiRzT]

Přinejmenším to hodně komplikuje. Proč by jinak byla maškaráda tak velký a ošklivý problém?

[petris_]

Protoze to tak je nakonfigurovane. V IP paketu muzete rici, pres jake routery ma projit, takze neni problem ho poslat do site za NATem. Todle maji ale snad vsichni zakazane.

[qiRzT]

Ale to ja vím. Dokonce vím, že to jde i bez toho, stačí využít toho UDP je bezestavový. Nebo když budu přímo v síti, do které patří veřejná adresa té maškarády, tak můžu pakety posílat přímo na ten router. A asi by se našly i další metody. Mě jen udivuje, že když se mluví o tom proč je maškaráda špatně, tak všichni říkají, že je to tím, že je to polovičaté připojení. Jakmile ale někdo zmíní, že by mohla mít pozitivní dopad na bezpečnost, tak hned všichni říkají, jak snadné je do té sítě poslat nějaký paket. Ne že by to všechno nebyla pravda, ale působí to rozporuplně. Jasně, že tutéž bezpečnost, jako mi dodá maškaráda, mi zajistí (a mnohem lépe), kdejaký filtr. Ale nesouhlasím s tím, že maškaráda je z hlediska bezpečnosti bezvýznamná. Záleží na tom, vůči čemu se bráním. Jestli je to vůči nějakému uchu, co si na webu právě našel nějaký zaručený návod na "hackování", nebo promyšlenému útoku profíka.

[petris_]

Pokud nebude nikdo zahazovat (ctete filtrovat) LSR, tak je projiti maskaradou trivialni asi tak jako poslani paketu do jineho subnetu.

[Michal Kubeček]

Ono naštěstí těch, kdo nezahazují source routed pakety, moc není. Tím spíš ale nechápu, proč je ekvivalent source routingu povinně implementovaným rozšířením u IPv6.

[Grunt]

Aha, takže když se Wiresharkem dají sledovat tekoucí data a crackovat sítě, tak zakážeme Wireshark? Source Routing je naopak velice dobrá diagnostická pomůcka a primárním účelem rozhodně není proplouvání NATem.

[qiRzT]

To vím. Taky nechci tvrdit, že maškaráda je dobrý bezpečnostní prvek. Tvrdím, že je to komplikace pro útočníka.

[Michal Kubeček]

Já zase tvrdím, že je větší komplikací pro řádného uživatele než pro útočníka. A že to je špatně.

[qiRzT]

Já se nesnažím tvrdit opak. Pokud to tak vyznělo, tak je to nedorozumění.

[Michal Kubeček]

Mě jen udivuje, že když se mluví o tom proč je maškaráda špatně, tak všichni říkají, že je to tím, že je to polovičaté připojení. Jakmile ale někdo zmíní, že by mohla mít pozitivní dopad na bezpečnost, tak hned všichni říkají, jak snadné je do té sítě poslat nějaký paket. Ne že by to všechno nebyla pravda, ale působí to rozporuplně.

V tom ale žádný rozpor není. Stačí si uvědomit, že útočník typicky provádí obskurní věci, které řádný klient dělat nebude, dílem proto, že ho nenapadnou, dílem proto, že je dělat neumí, a dílem proto, že je mnohdy ani nemůže dělat. Představte si jako analogii, že pustíte do své sítě zvenku pouze TCP pakety se zdrojovým portem 80. Běžným klientům tím de facto znepřístupníte jakoukoli službu, ale pro útočníka to bude jen drobná technická nepříjemnost.

[qiRzT]

To chápu. Proto jsem taky psal, že záleží na tom, vůči čemu se bráním. A především oponuju tvrzení, že z bezpečnostního hlediska je maškaráda bezvýznamná. Ano, je to mizerné zabezpeční (filtr dodá mnohem lepší), dá se snadno obejít, ale význam má - je to komplikace.

[Jirka]

je to komplikace

Pro koho je to komplikace? Pro uživatele nebo pro útočníka?

[qiRzT]

Pro oba.

[Michal Kubeček]

Komplikuje ale neznemožňuje. Výsledkem jsou značné problémy pro řádné klienty, ale ne až tak neřešitelné pro odhodlaného útočníka.

[qiRzT]

Já nikde neřek, že znemožňuje.

[cynic_asshole]

Aj na Ostravské Univerzitě funguje IPv6. Služby sice ještě přístupné nejsou (akorát snad radius server), ale na prujem.cz se dostat nebylo problém.

(Co se vlastně stalo s prujmem? Netuší někdo?)

[houska]

http://paneboze.cz/

[xkucf03]

To nejede po IPv6.

[houska]

neni to tak davno co tam, pod ipv4, byla jen informace ze jestli se tam chci dostat musim pouzit ipv6

a i ted to ma ipv6 adresu, tak jsem myslel ze to funguje

;; QUESTION SECTION:
;prujem.cz.                     IN      AAAA

;; ANSWER SECTION:
prujem.cz.              60      IN      AAAA    2a01:490:11:1:3:3:7:0

[xkucf03]

Prujem.cz jo, ale paneboze.cz:

# nslookup
> paneboze.cz
Server:         81.31.33.19
Address:        81.31.33.19#53

Non-authoritative answer:
Name:   paneboze.cz
Address: 82.208.49.249
> set type=AAAA
> paneboze.cz
Server:         81.31.33.19
Address:        81.31.33.19#53

Non-authoritative answer:
*** Can't find paneboze.cz: No answer

Authoritative answers can be found from:
paneboze.cz
        origin = ns1.regzone.cz
        mail addr = administrator.czechia.cz
        serial = 2005081048
        refresh = 10800
        retry = 1800
        expire = 1814400
        minimum = 3600

[zajdee]

Nefunguje. Maji to kluci z NFX rozbity.

[root@ns named]# traceroute6 2a01:490:11:1:3:3:7:0
traceroute to 2a01:490:11:1:3:3:7:0 (2a01:490:11:1:3:3:7:0) from 2001:4de8:deaf:1::1fff:102, 30 hops max, 16 byte packets
1  2001:4de8:deaf:*** (2001:4de8:deaf:***)  0.371 ms  0.567 ms  0.46 ms
2  2001:4de8:b0ba:deaf::1 (2001:4de8:b0ba:deaf::1)  3.617 ms  3.248 ms  2.19 ms
3  76sit-te2-4.dialtelecom.cz (2001:4de8:d1a1:1111:d::2)  3.459 ms  3.215 ms  2.436 ms
4  2001:4de8:d1a1:1111:20::2 (2001:4de8:d1a1:1111:20::2)  2.964 ms  2.443 ms  3.052 ms
5  2001:4de8:b0ba:3fd5:1::2 (2001:4de8:b0ba:3fd5:1::2)  2.928 ms  3.728 ms  3.782 ms
6  * * *
7  *

Bohuzel

Jinak kdyz to jelo, tak to jelo dost svizne :)

[pavlix]

Pokud si dobře pamatuju, jak u ufona fungovala IPv4, infolinka a reklamační oddělení...

A že dodnes nevyřídili reklamaci z loňského léta :).

Tak bych od nich IPv6 snad ani nechtěl.

[Frantisek S]

nema problema viz --- http://www.pasnet.cz/

[tomasgn]

Netbox me v lednu 2009 odpovedel:

IPv6 bude nasazeno do síťě v okamžiku kdy to bude potřeba. Dle hrubého odhadu v druhé polovině tohoto roku.

nicmene, predstava ze budu muset vyhodit soucasne routery, ktere ipv6 neumi, a koupit nove, me zrovna moc netesi. firmware s podporou ipv6 pro vetsinu starsich zarizeni pravdepodobne nikdy nebude, stejne jako pro radu dalsich, jinak dobre slouzicich.

celkem se da rict, ze me soucasny stav vyhovuje

[Grunt]

Jaká zařízení?

[Limoto]

Možná by všcihni, co psali ISP o IPv6, taky mohli hlasovat o IPv6 tady... (zobrazit hlasování pro tento požadavek -> zašrtnout -> change my votes)

[Jendа]

Provedeno