Jak přemýšlet o IPv6

11.2.2011 01:50 | Přečteno: 1571× | linux, počítače a tak vůbec | poslední úprava: 11.2.2011 01:53

Na Lupě začíná vycházet seriál o IPv6. U prvního dílu mne zaujala diskuse. Především přístup k řešení problémů některých odpůrců tohoto protokolu.

Účelem jakékoliv sítě je přenášet nějaká data mezi dvěma či mezi jedním a více zařízeními. Je jedno jestli se jedná o GSM, GPS, Internet, Alohu, síť telefoního operátora nebo jakoukoliv jinou síť, klidně i CB vysílačky. Aby se jednotlivá zařízení spolu domluvila, je třeba vymyslet nějaký protokol, nebo spíše sadu protokolů. Takový protokol se navrhuje s ohledem na kvalitu média, druh očekávané komunikace, a spoustu jiných parametrů. Pro zjednodušení návrhu protokolů je dobré si problém trochu rozdělit. Takové dělení nabízí třeba OSI model.

IP protokol se pak zabývá řešením problémů třetí vrstvy. Tedy řeší adresování uzlů a směrování paketů mezi těmito uzly. Žádný návrh ale není dokonalý. A tak se v případě IP setkáváme s NATem (nebo spíš s maškarádou), což je přílepek řešící příliš krátkou adresu uzlů v síti. Tento přílepek využívá toho, že některé adresy nelze globálně směrovat. Tedy je možné vytvořit více sítí se stejnými adresami, a vytvoářet sady pravidel pro komunikacio s těmito síťemi. Mimochodem zamysleli jste se někdy nad tím proč po iptables -F od vás neodcházejí pakety s zdrojovou adresou z privátního rozsahu?

Takový NAT, nebo spíše použití privátních adres, má pak různé vlastnosti. Jednou z nich je nemožnost směrovat pakety na uzel s privátní adresou, pokud nedojde ke splnění určitých podmínek. Někteří tím pádem vidí v NATu cestu k řešení problému s bezpečností. To je ale naprosto zcestný směr uvažování. IP ale není protokol, který byl navržen k tomu, aby řešil bezpečnost (jo teda až na IPsec).

Někteří správci si to ale neuvědomují. Berou IP, respektive jeho přílepek v podobě NATu, jako prostředek k zabezpečení sítě. V případě přechodu na IPv6 si pak ptají po NATu. To je ale zcela mylná otázka. Problém není jak při používání IPv6 NATovat, ale jak zabezpečit moji síť. V tento okamžik se nabízí dvě cesty. Protokoly na ostatních vrstvách, nebo si o IPv6 nastudovat i něco víc než to, že má větší adresy, a snažit se problém vyřešit pomocí něj.

Myslím si, že nemá smysl implementovat NAT do IPv6, ale spíše přinutit méně bystré administrátory k tomu, aby si uvědomili, že existuje celá škála řešení problémů se zabezpečením, tedy nejen NAT.

       

Komentáře

[Petr Bravenec]

Nojo, ale vysvětlujte jim to. Když se vám to náhodou podaří, spustí odpůrci další pohádku o tom, že NAT zajišťuje počítačům v privátní síti anonymitu, protože skrývá jejich adresu.

[CET]

V tom pripade je dulezite znat IPv6 opravdu dobre a oponovat jim, ze misto privatnich IPv4 adres umi IPv6 anonymni IPv6 adresy.

[Petr Bravenec]

No to já vím, ale vysvětlujte to autorům na Lupě!

[sigma]

To sice jo. Jenže anonymní adresy zas přinášejí další vrstvu problémů. V LAN se hodí podle IP adresy mít možnost identifikovat konkrétní stroj, např. kvůli diagnostice, když někdo rozesílá bordel, vytěžuje síť apod.

S Privacy Extensions musím řešit zas něco navíc - tu vazbu mít buď přes nějaké DDNS (jeho funkce závisí na OS toho rozbordeleného PC, to je na nic), nebo sledovat na všech routerech ARP tabulky. Komplikace, co mi nic nepřinese.

[Jirka]

Interface může mít více než jednu IP adresu, například kromě globální i link-local adresu.

[Josef Kufner]

To neřeší identifikaci bordelu.

[Jirka]

To je pravda.

Já mám na routeru pmacctd, který loguje MAC adresu a src/dst IPv4,IPv6 adresy, takže dokážu přiřadit IP adresy k MAC adresám.

[Petr Tomášek]

Aha, takže kvůli tomu, že je IPv6 dementně navržené se to bude obcházet takovouto nesmyslností?

[Jirka]

Pokud chci na nějakém zařízení nutně používat privacy extension a současně se na něj potřebuji dostat z vnitřní sítě, tak je link-local adresa logickým řešením (pokud nechci používat třeba mdns). Takové zařízení mám navíc ve své moci, takže je pravděpodobné, že znám jeho MAC adresu, mám k němu roota. Pokud zařízení není moje a patří klientovi, tak se nemůžu spoléhat vůbec na nic, takže mám problém i v IPv4 síti.

[pavlix]

Ona je dokonce řešením i globální adresa.

[pavlix]

Pokud chci na nějakém zařízení nutně používat privacy extension a současně se na něj potřebuji dostat z vnitřní sítě, tak je link-local adresa logickým řešením (pokud nechci používat třeba mdns).

Link-local se dá navíc použít společně s mDNS... v podstatě žádné dvě zmíněné technologie se nevylučují :).

Pokud zařízení není moje a patří klientovi, tak se nemůžu spoléhat vůbec na nic, takže mám problém i v IPv4 síti.

Slečny na technické podpoře třeba UPC si u firemních zákazníků běžně nechávají diktovat MAC adresy.

[pavlix]

Aha, takže kvůli tomu, že je IPv6 dementně navržené se to bude obcházet takovouto nesmyslností?

"Nechápu to, nerozumím tomu, tak to musí být blbost" :)

[Jendа]

Další věc, co mě fascinuje, je, že se snad v každé takové diskuzi najde někdo, kdo prohlásí, že IPv6 je na nic, protože není kompatibilní s IPv4, a obvykle si nenechá říct, že kompatibilní rozšíření prostě navrhnout nejde.

[pasmen]

To, že ho neumíš navrhnout ty neznamená, že to nejde. S tím tvým nejde nejde bysme ještě lezli po stromech...

[Zdenek]

Naopak. S tim tvym jde bychom jeste dnes jezdili na konich. Nekdy je nutne v ramci zlepseni kompatibilitu zahodit. Neefektivnost privazku minulosti je zrovna v IT jasne patrna.

[xHire]

To, že ho neumíš navrhnout ty neznamená, že to nejde.

Tak prosím, do toho! Nač zůstávat u prázdných slov! Rád se pokochám návrhem IPv4-kompatibilního protokolu řešícího malou velikost adresního prostoru IPv4. A ideálně takový, aby bylo možné zahodit NATování (víme proč).

[qiRzT]

Tak ono by, čsitě teoreticky, šlo třeba přihodit další hlavičku, nebo vzít doposud nepoužívaný bit z hlavičky, jehož nahození by říkalo, že prvních X bytů z dat, je rošíření adresy... Vymyslet by se toho dalo, ale řek bych, že by to asi byly všechno zvrhlosti podobné NATu.

[Jendа]

Tak ono by, čsitě teoreticky, šlo třeba přihodit další hlavičku, nebo vzít doposud nepoužívaný bit z hlavičky, jehož nahození by říkalo, že prvních X bytů z dat, je rošíření adresy...

Jenže to znamená vyměnit

• všechny klienty
• routery v sítích ISP

S IPv6 jsi na tom podobně, jen ještě musíš vyměnit páteřní routery. Jenže páteřní technologii zajišťují pravděpodobně ti, ehm, největší odborníci, takže nebude problém se zvládnutím technologie, a páteřní technologie se stejně obměňuje každých pár let.

Navíc parsování další hlavičky je neuvěřitelně složité na implementaci ve FPGA v HW routerech.

[qiRzT]

Klienty nutně měnit nemusíš, jen by se uměly připojit jen na původní internet.

Mě je jasný, že ten můj návrh, v lepším případě, hraničí s blbostí, jen jsem reagoval na nemožnost navrhnout zpětně kompatibilní protokol řešící nedostatek adres bez NATu.

[Jendа]

Klienty nutně měnit nemusíš, jen by se uměly připojit jen na původní internet.

Ale to u současného přechodu na IPv6 taky.

[rADOn]

Uvedomujes si, ze tvuj navrh ma vsechny nevhody IPv6 (neni zpetne kompatibilni, vyzaduje zmenu vsech zarizeni a smerovacu) plus par dalsich?

[David Jaša]

On ano, otázka je, jestli si to uvědomuje i pasmen.

[Jendа]

Poznamenávám si: příště k podobnému komentáři přidat podmínku, že reagující musí uvést návrh takového kompatibilního řešení.

[rastos]

a) bolo by vhodné demonštrovať, ako vyzerá útok na stroj za NAT-om. Tvrdenia, že NAT nie je spôsob zabezpečenia vidím všade. Konkrétne vysvetlenie prečo je to tak - nikde.

b) NAT chcú ľudia, ktorí si predstavujú, že zabezpečenie stačí riešiť na perimetri siete. Priamu adresovateľnosť každého stroja chápu tak, že každý stroj je zodpovedný za vlastnú bezpečnosť. Mám pochopenie pre ľudí, ktorých to desí.

Takže miesto odsudzovania pomýlených názorov navrhujem vysvetľovať, vysvetľovať, vysvetľovať. Nie to, že to čo chcú je nesprávne, ale to ako konkrétne riešiť ich konkrétny problém.

[Zdenek]

a) protoze bez firewallu ten router s natem ochotne propusti paket z vnejsi site na stroj ve vnitrni siti s privatni adresou

b) vzdyt to neni problem, i s IPv6 muzete mit firewall na perimetru

[CET]

Takže miesto odsudzovania pomýlených názorov navrhujem vysvetľovať, vysvetľovať, vysvetľovať. Nie to, že to čo chcú je nesprávne, ale to ako konkrétne riešiť ich konkrétny problém.

On to neni problem vysvetlit nezkusenym administratorum - ty si to i nechaji vysvetlit a pochopi to. Horsi to je s vedenim a manazerama - ti proste slyseli, ze NAT je bezpecnost a tudiz to tak musi byt a admin ma delat to, co vedeni chce.

[MaSo]

+1 plně souhlasím
je to jako šéfovi vysvětlovat, že na server je vhodnější linux s konzoli, než nějaký win server klikátko... (toto jsem zažil)

[m-a]

Ehm, sef ani manazer sa do toho nema co starat. Jemu musi stacit, ked navrhnem bezpecnu siet, splnajucu potreby a ako administrator, teda technicky znala osoba, sa za nu zarucujem - co znamena aj to, ze ked nebude naozaj bezpecna, a vznikne problem, mal by som za neho niest plnu zodpovednost.

Ak sa mi vedenie starie do technickej realizacie, niekde je chyba.

[washeck]

http://www.root.cz/clanky/proc-neni-nat-totez-co-firewall/

[ext3fs]

http://www.root.cz/clanky/proc-neni-nat-totez-co-firewall/

[deda.jabko]

NAT neni neprustrelny... ale proti nekterym formam tupych utoku muze pomoct.

[Jendа]

a) bolo by vhodné demonštrovať, ako vyzerá útok na stroj za NAT-om. Tvrdenia, že NAT nie je spôsob zabezpečenia vidím všade. Konkrétne vysvetlenie prečo je to tak - nikde.

Předpokládejme, že NATem myslíme maškarádu. Pak stačí na vnější rozhraní maškarádujícího stroje dostat paket s cílovou adresou stroje uvnitř - a ten stroj ho naroutuje dovnitř.

Priamu adresovateľnosť každého stroja chápu tak, že každý stroj je zodpovedný za vlastnú bezpečnosť.

Tak to chápeš špatně . Přímá adresovatelnost znamená pouze to, že stroj má v Internetu unikátní adresu.

Nie to, že to čo chcú je nesprávne, ale to ako konkrétne riešiť ich konkrétny problém.

Vždyť už to tu bylo napsáno - k zabezpečení slouží firewall, píšou to i v komiksu o bezpečnosti na Internetu s kačerem Donaldem (to fakt kdysi vyšlo).

[rastos]

Pak stačí na vnější rozhraní maškarádujícího stroje dostat paket s cílovou adresou stroje uvnitř - a ten stroj ho naroutuje dovnitř.

No, tak ako stretávam veci nastavené ja, tak bežný je ADSL router, ktorý robí NAT. A robí ho ekvivalentne k matchovaniu ESTABLISHED,RELATED stavu konexie v iptables. To znamená, že to, čo príde zvonka je buď odpoveď na nejakú požiadavku, ktorá vzišla z vnútornej siete alebo sa to zahodí. NAT predsa znamená, že sa prepisuje adresa v pakete. Pre pakety, ktoré prichádzajú zvonka sa musí prepísať cieľová adresa. Ak ten paket nezodpovedá žiadnemu odchodziemu paketu, tak nie je jasné na akú adresu to NAT má vlastne prepísať. Jednoduchý a zrozumiteľný spôsob.

P.S.: Aby som nebol pochopený zle. Ja nezavrhujem IPv6. Nepresadzujem IPv4 ani NAT. Chcem aby tu IPv6 bolo čím skôr. Mám rozbehaný 6to4 a môj kód je IPv6-ready. Len vravím, že mám tak trocha pochopenie pre obhajcov NAT.

P.P.S: práve mi volali z Orange a.s. (môj ISP) - odpoveď na otázku, čo môžem očakávať v dôsledku nedostatku IPv4. Odpoveď znie: Orange a.s. má zásobu adries, ktorá by mala vydržať do 2014. Už teraz sa však na IPv6 internet pripravujú. Je to prvý raz, čo Orange takéto niečo potvrdil. Btw, roundtrip pre tú otázku bol skoro 2 mesiace

[Filip Jirsák]

paket s cílovou adresou stroje uvnitř

[Jirka]

roundtrip pre tú otázku bol skoro 2 mesiace

Asi jim trvalo spočítat ty nasyslené IPv4 adresy.

[Peter H.]

Už teraz sa však na IPv6 internet pripravujú. Je to prvý raz, čo Orange takéto niečo potvrdil. Btw, roundtrip pre tú otázku bol skoro 2 mesiace

Buď rád. T-Com zatiaľ o IPv6 nechce ani počuť.

[m-a]

To je zaujimave, pretoze mne odpovedali koncom januara asi toto:

"Momentalne je situacia s protokolom IPv4 dostacujuca, preto spolocnost Orange momentalne nema dovod zavadzat prechod na IPv6."

[kolcon]

No, to je vsechno sice moc hezky, ale neresi to treba tuny (business critical) aplikaci, ktere jsou napsane pro ipv4 a ktere se budou muset prepsat - to stoji love, cas a riziko, "ze to nebude fungovat"

[CET]

Ano, pak se ukaze, ktera firma se zachovala debilne a pristoupila na "super" "komercni" reseni s uzasnou powerpoint prezentaci, aniz by se zajimala o skutecnou funkcionality a rozsiritelnost. Mozna prave prechod na IPv6 bude dobry, aby si konecne ti manazeri uvedomili, co to znamena "vendor lock-in", az budou tvurce SW premlouvat o pridani IPv6.

[kolcon]

tomu snad neveris ani sam :D

[xxx]

V tom mate pravdu. S prechodem bude spousta prace. To me nema cenu popirat. A nejde jen o aplikace, casto muze jit i o znovunavrzeni casti site.

[Max]

To má být argument pro nemigraci k ipv6? Nebo coto?
Jaksi totiž nechápu souvislosti. I ipv4 only aplikace přece můžeš provozovat v ipv6 síti (používat oba protokoly, nebo tunelovat apod.).
Zdar Max

[kolcon]

bodejt, nebo NATovat :D

[SPM]

A právě proto je potřeba začít s přechodem v době, kdy ty IPv4 adresy jsou, kdy je ještě dost času tu IPv6 podporu udělat a otestovat... ale může se to těm rádobysprávcům říkat 100x a je to marný, marný a marný... takže to všichni nechaj na poslední chvíli a pak budou koukat jak černoch na zamrzlej kýbl, až to prostě rok fungovat nebude.

[Max]

Mně jen vrtá hlavou, zda bude těch ipv6 adres opravdu dostatek. Abychom se třeba za 50let nesetkali s limity. Jen dalších 10let bude trvat, než se na ipv6 komplet přejde a to je jen vysněná vize.
Zdar Max

[Dadam]

VELMI hrubé počty. 128 bitová adresa. Možností 2¹²⁸. Potom řekněme že 10 je 2^3.5. Abychom získali mocninu počtu adres pro desítku, mělo by stačit vydělit ¹²⁸/_3.5. To je nějakých 37. To znamená že IPv6 adres je zhruba 10³⁷. Tohle číslo se dá srovnat s počtem atomů Země. Takže pokud jedna domácnost nedostane přidělených 10²⁰ adres, neměli bychom se hned tak dostat do problémů

[xHire]

ISP běžně dostane prefix /32. To znamená, že v této rovině může na Zemi existovat ~4 miliard ISP, server housingů atd. To znamená, že každá 3.-4. osoba na Zemi může provozovat vlastní firmu pro poskytování připojení k Internetu a ještě k tomu druhou firmu třeba se serverhousingem.

I když vezmu, že by se dala adresa každé jednotlivé doméně druhého řádu i každé ledničce, tak vždy se tyhle jednotlivé adresy přidělují z nějakého většího bloku, který už přidělený beztak je -- ať už nějakému ISP nebo webhostingu -- a ze své drtivé části je úplně nevyužitý, takže nám to celkové čerpání adresního prostoru prakticky vůbec neovlivní.

Jsou to hypotetické počty, přidělování určitých délek prefixů není úplně fixně dané, takže prosím brát s rezervou. Snad to ale uklidní ty, kdož se hrozí plýtvání /48 na podsíť apod. (mezi něž taky patřím ;c)).

[Filip Jirsák]

Sice jsem proti NATu tak, jak se běžně používá, ale myslím, že některé speciální případy bezestavového NATu mají význam i s IPv6. Např. webový server mi běží na portu 8080, takže jej nemusím spouštět s právy roota, nemusím řešit vzdání se práv roota a nemusím řešit přístup neroota k naslouchání na privilegovaném portu. Prostě jen přepíšu v paketu cílový port 80 na 8080 a v odpovědi zase zpět. Ale možná jsem na tom taky stejně, jako zastánci schovávacího NATu – znám tenhle způsob konfigurace a třeba nevím o tom, že přístup neroota na privilegovaný port se dá vyřešit editací jednoho konfiguráku Podobě se to dá využít třeba při přečíslování sítě, kde budu mít nějaká zařízení s pevně nastavenými IP adresami (i když u IPv6 k tomu asi bude menší důvod), a budu chtít přečíslování vyřešit v jeden okamžik, a teprve pak obcházet jednotlivá zařízení a překonfigurovávat je. Ale je to bezestavový NAT 1:1, který umožní některé problémy rychle obejít, a zároveň nenapáchá moc škod. Ale NAT 1:n je zlo a je smutné vidět tu spoustu argumentů „kdo potřebuje veřejnou IP adresu“, které staví princip internetu úplně na hlavu.

[Pindal]

Takové kacířství!

[rADOn]

Chces rict ze misto nastaveni jednoho capability bitu apacovi osahavas _kazdy_ paket? To uz neni kanon na vrabce, to je atomovka na zizalu.

[Filip Jirsák]

Jak se to dá nastavit pro spouštěný program? Při startu webového serveru v Javě chci ten bit nastavit, u ostatních programů v Javě ne.

[pavlix]

IP protokol se pak zabývá řešením problémů třetí vrstvy. Tedy řeší adresování uzlů a směrování paketů mezi těmito uzly. Žádný návrh ale není dokonalý. A tak se v případě IP setkáváme s NATem (nebo spíš s maškarádou),

Pozor na to, maškaráda je čtvrtá vrstva ISO/OSI.

[xxx]

Asi mate pravdu. Navic ta maskarada obcas podvadi. Treba u FTP se diva i na L7.

[pavlix]

Pravda, L7 vychytávky se taky umí :).

[pavlix]

Myslím si, že nemá smysl implementovat NAT do IPv6, ale spíše přinutit méně bystré administrátory k tomu, aby si uvědomili, že existuje celá škála řešení problémů se zabezpečením, tedy nejen NAT.

A vysvětlit jim použití privátních adres ve stylu privacy extensions v kombinaci s firewallem.

[Miloslav Ponkrác]

NAT je prostě blbost a basta. A pokud tomu někdo nevěří, platí bod číslo 1. A pokud se někdo zamýšlí nad věcmi, tak ať toho nechá, platí bod číslo 1.

Shrnul jsem veškerý obsah článku. Je zbytečné ho jinak číst.

Mimochodem, já budu první, kdo jak objeví NAT pro IPv6 ho nainstaluje.

Realita tvrzení co IPv6 je dobré a nedobré dělat ukazuje jak dopadlo tohle chování v praxi a jak moc díky tomu máme IPv6 ve velkém rozšíření.

Když budou zastánci IPv6 teoretizovat a pouze fašisticky předkládat co IPv6 ano a co ne, tak hovadilost jejich domněnek jim ukáže nerozšíření IPv6 v praxi.

A to na to bylo mnoho mnoho let, konkrétně momentálně 16. Až se IPv6 fanatici vyblbnou v přikazování co IPv6 potřebuje a co ne – a přestanou mít na to vliv, pak se teprve IPv6 rozšíří.

[Jirka]

Mimochodem, já budu první, kdo jak objeví NAT pro IPv6 ho nainstaluje.

Od Vás se ani nic jiného nečekalo.

[SPM]

A já s chutí řeknu každému, u koho najdu IPv6 NAT, co si o něm myslím :) (případně co si myslím o jeho ISP) Za nerozšířenost IPv6 může převážně to, že každý je líný cokoliv udělat, natož se něco naučit a nedejbože tomu věnovat nějaký čas (potažmo peníze).

[SPM]

Sakra, taky se mi to zařadilo někam jinam, než mělo :(