IPv6-only pokusy na IPv6 Day

6.6.2012 12:02 | Přečteno: 1535× | linux/unix | poslední úprava: 7.6.2012 10:29

Sedím na přednášce Vodafone o nasazování IPv6 na konferenci IPv6 Day. Zkouším oficiální Wifi připojení s ESSID NTK-IPv6Day a vypínám IPv4, abych vyzkoušel IPv6 síť naplno. A nefunguje to.

#
# radvd configuration generated by radvdump 1.8.5
# based on Router Advertisement from fe80::220:9cff:fe6b:8972
# received by interface wlan0
#

interface wlan0
{
	AdvSendAdvert on;
	# Note: {Min,Max}RtrAdvInterval cannot be obtained with radvdump
	AdvManagedFlag off;
	AdvOtherConfigFlag off;
	AdvReachableTime 0;
	AdvRetransTimer 0;
	AdvCurHopLimit 64;
	AdvDefaultLifetime 1800;
	AdvHomeAgentFlag off;
	AdvDefaultPreference medium;
	AdvSourceLLAddress on;
	AdvLinkMTU 1500;

	prefix 2001:718:7:11::/64
	{
		AdvValidLifetime 2592000;
		AdvPreferredLifetime 604800;
		AdvOnLink on;
		AdvAutonomous on;
		AdvRouterAddr off;
	}; # End of prefix definition

}; # End of interface definition

RA neobsahuje informaci o DNS ani flag, který by aktivoval zjišťování DNS prostřednictvím DHCPv6.

Naštěstí po Vodafoní prezentaci následuje ten očekávaný World IPv6 Lunch.

Zápisek píšu se zapnutým IPv4.        

Komentáře

[Dreit]

Přihlas se a podej report

[zirapha]

Podpora IPv6 v mojom okoli:

Praca: 0%
Doma: 0% + moj router je IPv4 only
Rodicia: 0% + ich router je IPv4 only

[Dreit]

Já jedu přes miredo, jinak to tady nejde

[pavlix]

A jak to souvisí s touto konferencí?

[Petr Tomášek]

Že je to zbytečnost...

[pavlix]

Schizofrenie nebo jasnovidnost?

[Saljack]

Mě se zdá, že všichni na IPv6 se... Mám takový pocit (a doufám, že se mílím), že IPv6 se nikdy naplno neprosadí a nenahradí IPv4. Problém je že běžným uživatelům je jedno jestli používají IPv4 nebo IPv6, žádné výhody jim to nepřináší. Aby se tohle změnilo musel by např. google (nebo facebook ) jet jenom na IPv6.

[pavlix]

Mě se zdá, že všichni na IPv6 se... Mám takový pocit (a doufám, že se mílím), že IPv6 se nikdy naplno neprosadí a nenahradí IPv4.

V oblasti astrologie a předpovídání budoucnosti nemohu sloužit.

Problém je že běžným uživatelům je jedno jestli používají IPv4 nebo IPv6

Netuším, proč by v tom měl být nějaký problém.

Aby se tohle změnilo musel by např. google (nebo facebook ) jet jenom na IPv6.

Nevidím smysl v divoké konverzi takovéhoto typu.

[Migi]

je to o privederech, ne o userech.

User zna dva stavy - internet jde / nejde
postarši user zna tři stavy: jde seznam, nejde seznam, nejde internet

jestli ma IPv6 nebo v4 je pro něj španělská vesnice a je mu to uplne jedno

[kralyk z abclinuxu]

+1, hlavní roli v nasazení IPv6 mají ISP, ne uživatelé.

[xkucf03]

Ale ISP si můžou vesele NATovat dál IPv4, dokud po nich uživatelé nebudou chtít IPv6, ne? A otázka je, proč by ho uživatelé měli chtít -- a tím se dostáváme k serverům a službám, které z IPv6 těží (např. díky přímé komunikaci mezi koncovými uživateli).

IPv6 se rozšíří buď díky strašení a marketingu ("je to trend, musíme to zavést, ať nejsme pozadu") nebo díky tomu, že někdo přestane mlít pantem a místo toho začne něco dělat a využívat ve svých produktech/službách výhod IPv6 v praxi (což bude motivací pro uživatele a ISP).

[pavlix]

Mimochodem UPC bude podle slov jejich představitele aktivně omezovat na některých službách počet veřejných adres na jednotky z jinak prakticky neomezeného rozsahu /64. Ale doporučuju zjistit detaily, tohle je jenom útržek z toho, co tu říkali.

[Saljack]

Což nedává smysl pak můžou opět přijít s tím, že dostanete jednu adresu a dělejte si s ni co chcete. ISP nemájí naprosto žádný důvod zavádět IPv6 spíš naopak. Proč by měli investovat, když o to většina uživatelů nestojí?

[pavlix]

Což nedává smysl pak můžou opět přijít s tím, že dostanete jednu adresu a dělejte si s ni co chcete.

Mně to nevysvětluj :).

ISP nemájí naprosto žádný důvod zavádět IPv6 spíš naopak. Proč by měli investovat, když o to většina uživatelů nestojí?

Nedostatek informací. Zrovna sedím na konferenci, kde se o tom mluví. Už jsem tu třetí rok a mezitím se téma probíralo i na různých jiných, ne tak specializovaných, konferencích. A nemám pocit, že by přítomné firmy s aktivními zástupci jako Telefonica, Vodafone, T-Mobile, UPC a zástupci dalších v publiku, měli zrovna touhu si jenom dokázat, že to uměj.

[Heron]

Jako ISP bych z toho byl naopak happy. Takhle jednoduché to s v4 nikdy nebylo (pracoval jsem u ISP). Nehovořím o nějaké autokonfiguraci, ale o prostém routování /64 na router klienta a dál si s tím dělej co chceš. Třeba si na LAN nastav advertisment a spokojeně si užívej funkční sítě, kde má každý uzel vlastní globální IP.

O tom, že bych (při tehdy přiděleném jednom Céčku), takhle klientům přiděloval ajpiny jsem si tehdy mohl nechat jen zdát (a to jsme poctivě každému dávali vlastní veřejnou adresu).

[Saljack]

No to sice je pro ně jednoduché, ale musí se počítat s tím nejhorším a to souběžný běh IPv4 a IPv6. Navíc spousta providerů bude mít nějaký HW, který IPv6 prostě nepodporuje. Další věc co brzdí rozletu IPv6 je výuka na školách. U nás na FELu se to probíralo, bylo to ve zkoušce, ale vůbec se to necvičilo ani jsme si s tím nehráli. Pak se není čemu divit, že o IPv6 má tucha pár lidí. Já když se zeptám kohokoliv v mém okolí kromě spolužáků, tak vůbec neví, že něco takového je.

[pavlix]

Popravdě řečeno...

Sérii článků o IPv6 jsem napsal v roce 2008.

Školení TCP/IP cca od roku 2009, IPv6 jsem nabízel později jako samostatné spíš ukecané školení. Chvilku trvalo, než jsem se odvážil do školení zařadit víc než jen informaci, že něco takového existuje.

Teprve v roce 2011 už jsem většinu věcí předváděl prvně na IPv6 (s odůvodněním na link-local adresy, že to prostě funguje samo).

Teď je rok 2012 a rozhodl jsem se, že bych rád měl příští školení 100% vyrovnané. Jenže, na to je potřeba testovat všechny běžné kombinace konfigurace sítě. Jenže, na to v tuhle chvíli víceméně nutně potřebuješ NetworkManager nebo nějakou jeho plnohodnotnou alternativu.

Takže jsem se naučil konfigurovat NetworkManager po unixovském způsobu, přes textové soubory. Ta základní konfigurace je relativně jednoduchá. Ale co se stalo, ve většině testech NetworkManager selhal, viz předchozí blogové zápisky, zápis ve Fedora Wiki a článek na Fedora.cz.

Většinu chyb v NM jsem už opravil a opravy jsou v upstream Gitu. Nová verze NM má vyjít na konci června a předpokládám, že na její vydání velmi rychle naváže update ve Fedoře a postupně propluje do dalších distribucí.

Mimojiné to bude jeden z důvodů, proč na školení pravděpodobně přejdu z Debianu na Fedoru.

[Saljack]

Opravdu oceňuji tvojí snahu tohle vše změnit. Takových lidí, kteří jenom nenadávají, že něco nefunguje, ale opraví to je opravdu potřeba jako soli.

[pavlix]

Já jsem došel až tak daleko, že jsem si na vývoj těchhle věcí, tedy nejen IPv6, ale na něčem se zapracovat musím, že, našel někoho, kdo tu srandu taky zaplatí. Do té doby jsem si nemohl dovolit tomu ten čas věnovat.

[Saljack]

Tak to je úplně nejlepší varianta

[Radovan Garabík]

postarši user zna tři stavy: jde seznam, nejde seznam, nejde internet

A mladší user tiež pozná tri stavy: ide internet, ide facebook, nejde faceook

[Migi]

hej, a hipster zna este ide instagram, neide instagram linuxak a abicko podobně

[tom]

Myslim si, ze jsem pokrocily uzivatel a taky nevidim zadny vyhody, ktery by mi IPv6 prineslo.

[pavlix]

Myslim si, ze jsem pokrocily uzivatel

Za pokročilého uživatele se dnes považuje kde kdo. Prvním krokem je podle mě uvědomit si, k čemu IP adresy jsou a zvlášť k čemu jsou ty veřejné.

[tom]

Mam statickou verejnou IPv4 adresu, u IPv6 bych mohl mit cely blok, ale nevim, k cemu by mi byl. Na jedne IPv4 je 64k portu, bezne jich sotva jednu setinu.

[pavlix]

Mam statickou verejnou IPv4 adresu, u IPv6 bych mohl mit cely blok, ale nevim, k cemu by mi byl. Na jedne IPv4 je 64k portu, bezne jich sotva jednu setinu.

Jak říkám, za experta se dnes považuje kde kdo :). I obyčejné SSH používá IP adresy a ne jen porty, a SSH si dovolím považovat za denní chleba linuxáka.

Používám rozsah IPv4 /28, ač by se jich hodilo víc a IPv6 /52, který je pro mě dostačující.

[tom]

Port je soucasti adresy, nevidim problem v tom pustit si ssh ze vsech pocitacu, co mam doma, na jedne IP. Na IPv4 mi funguje vse, co potrebuji, a na konfiguraci nemusim sahat. Pokud bych mel prejit na IPv6, musel bych menit konfiguraci a neco by se mohlo rozbit, takze muj pohled je tento:

• IPv4: Vse funguje
• IPv6: Nutnost sahat do nastaveni, neco se muze rozbit

[pavlix]

Port je soucasti adresy, nevidim problem v tom pustit si ssh ze vsech pocitacu, co mam doma, na jedne IP.

Používej to chvíli v praxi a pak se o tom budeme bavit.

[tom]

Používej to chvíli v praxi a pak se o tom budeme bavit.

Pouzivam to tak od roku 2004, je to dostatecne dlouho?

[pavlix]

Pokud jsi za celou dobu nenarazil na to, že při posuzování klíče serveru SSH používá IP adresu bez portu, tak bych to tvé použití v praxi viděl jako dost omezené :).

[tom]

Myslim, ze omezene je tu neco jineho - vite o tom, ze k jedne IP se muzete priradit tech otisku nekolik a jednotlive stroje rozlisit pomoci jmena? Pote se pouzije matchujici otisk k IP a konkretni otisk podle jmena.

[pavlix]

Myslim, ze omezene je tu neco jineho - vite o tom, ze k jedne IP se muzete priradit tech otisku nekolik a jednotlive stroje rozlisit pomoci jmena?

To mi zní jako přiznání, že jsem měl pravdu. Tedy že jsi na ten problém narazil, když ho dokážeš takhle dobře popsat.

Ale můj čistě osobní pohled... Připadá mi zbytečné se tím vůbec zabývat jen proto, abych pak mohl vracet veřejné IPv4 a IPv6 :).

[xkucf03]

Na druhou stranu je ale potřeba říct, že ukládat si otisk klíče k IP adrese nikoli ke dvojici IP:port, je chyba. Nemusí jít totiž o nějaké tunelování, ale na jednom stroji může běžet víc SSH serverů (jeden např. jako normální shell, jiný třeba specializovaný pro správu nějakého programu). V podstatě je tu SSH ve stejné roli jako SSL/TLS – tam je taky běžné používat víc portů (třeba http, smtp, imap4…) a na každém mít klidně jiný certifikát.

[pavlix]

Pokud jsi objevil chybu, tak ji prosím nahlaš. Já k tomu nemám jednoznačný názor, takže bude jednodušší to konzultovat přímo s lidmi, kteři se tou chybou budou zabývat.

[xkucf03]

Myslel jsem, že o té chybě/nedostatku víš – viz #51.

Kdysi jsem se s tím taky setkal, ale vypadá to, že už je to delší dobu nahlášené a i vyřešené: Bug 910 - known_hosts port numbers.

[pavlix]

Vím o něm z doby, kdy jsem neměl doma rozsah IPv4, ale to je problém NATu, ne problém OpenSSH. Na strojích používám za všech okolností jeden host key, takže bez NATu se mě to vůbec netýká.

[xkucf03]

GOTO #64 – podle mého to chyba/nedostatek OpenSSH je (byla) a je dobře, že ji už opravili.

[pavlix]

Souhlasím. A nevěděl jsem o tom. To víš, Debian :).

[Martin Mareš]

Už i Debian to má pár let opravené

[pavlix]

Taky už mám pár let rozsah IP adres :). Omlouvám se tedy tomovi za příklad se SSH. Nicméně měl být spíše ilustrativní ve smyslu, že takové problémy můžou kdykoli a s čímkoli nastat. Nechtěl jsem polemizovat o všech možných důvodech, proč se některým hodí mít veřejné adresy jinde než jen na routeru.

[Martin Mareš]

Dost typický příklad je třeba SIP.

[pavlix]

Typický jo, ale lidé už si zvykli.

[Heron]

Port není součástí adresy, krom TCP a UDP také existují i jiné protokoly postavené nad protokolem IP. Ty už rozlišení portu nemají a jejich forwarding je velmi obtížný.

Nastavení IPv6 (nebo třeba dostatečně velkého rozsahu v4) je mnohem jednodušší, než si sousta "pokročilých uživatelů" myslí. Oproti maškarádě se tím dost věcí značně zjednoduší.

[tom]

Port není součástí adresy, krom TCP a UDP také existují i jiné protokoly postavené nad protokolem IP. Ty už rozlišení portu nemají a jejich forwarding je velmi obtížný.

Porty jsou beznou soucasti vetsiny protokolu, proto taky ICMP umoznuje hlasit nedostupnost nejen hosta ale i konkretniho portu. Muzu se zeptat, jaky protokol, ktery nepodporuje porty, bezne doma pouzivate? Ja jen ICMP, tam to ovsem neni problem.

Nastavení IPv6 (nebo třeba dostatečně velkého rozsahu v4) je mnohem jednodušší, než si sousta "pokročilých uživatelů" myslí. Oproti maškarádě se tím dost věcí značně zjednoduší.

Pro IPv4 zadne nastaveni nepotrebuji, protoze vse funguje, jak ma. Nastaveni bylo provedeno v minulosti. Kdezto pro IPv6 by bylo potreba provest _nejake_ nastaveni, pritom jeho nasazeni neprinese zadne obohaceni funkcnosti.

[Heron]

Muzu se zeptat, jaky protokol, ktery nepodporuje porty, bezne doma pouzivate?

ESP/AH. Občas také GRE.

Ja jen ICMP, tam to ovsem neni problem.

S argumentací já to nepoužívám -> není problém se tady člověk moc daleko nedostane.

Kdezto pro IPv6 by bylo potreba provest _nejake_ nastaveni, pritom jeho nasazeni neprinese zadne obohaceni funkcnosti.

Ano, nové věci je obvykle potřeba nastavit, ale to je běžná součást pracovního dne administrátora. To však nic nemění na tom, že nastavení IPv6 je značně jednoduché a ve svém minimálním případě spočívá pouze v zapnutí router advertismentu, což je veškeré nastavení, které jsem doma musel dělat.

[tom]

Ano, nové věci je obvykle potřeba nastavit, ale to je běžná součást pracovního dne administrátora.

WTF? Vy si doma zamestnavate administratora?

[Heron]

Ano, sám sebe. Jak to souvisí s tématem?

[pavlix]

Já jsem taky doma administrátorem :), takových lidí tu bude asi docela hodně, kteří si nezvou na nastavení svých strojů a sítí nějakou firmu.

[Martin Beránek]

Muzu se zeptat, jaky protokol, ktery nepodporuje porty, bezne doma pouzivate? Ja jen ICMP, tam to ovsem neni problem.

Podívejte se na tabulku a schválně:

já bych přidal ještě IGMP a protokol 41 (6to4),

[lertimir]

Třeba dnes jsem dělal něco co by mě IPv6 zjednodušilo. Doma má servřík a pracovní stanici. Jela. V práci jsem zjistit, že něco z pracovní stanice potřebuji. Ale přistup je jen na server (NAT ssh jde na něj) takže ssh na server, z něj ssh na stanici. Najít co potřebuji. Poslat SFTP na server. a z něj si to přes SFTP stáhnout. Dost zbytečné práce. Pokud bych měl přímý přístup na stanici tak bych šel přímo. Nemluvě o tom, že když potřebuji VNC, tak nejdříve tunel na server a z něj tunel na stanici.

[David Jaša]

Tak ono se to ssh dá tunelovat, ale než člověk poskládá ty správné parametry, trvá to...

[xkucf03]

Jde to i jednodušeji: SSH přes SSH „proxy“ server.

(tím nechci zpochybňovat výhody IPv6, ty jsou nesporné)

[pavlix]

To je obecná TCP proxy, ne?

[xkucf03]

není

[pavlix]

Jo, máš pravdu, první článek je SSH místo inetd.

[lertimir]

Také nechci zpochybňovat jisté výhody tohoto řešení, ale ty se projeví, když je člověk často používá. Pokud něco takového potřebuji jednou za 2 měsíce, tak nastavovat "systémové" řešení je zbytečné.

[xkucf03]

Jsou to dva řádky ~/.ssh/config – jestli to za to stojí nebo ne, si zvaž sám

Případně by to mělo jít zadat individuálně jako parametr na příkazové řádce – IMHO jednodušší, než tunelovat porty pomocí jednoho spojení a pak jejich čísla zadávat jako parametr druhého spojení.

[kralyk z abclinuxu]

Co takhle například čistě pragmaticky to, že by veřejná IP nestála 100Kč/měsíc?

[belisarivs]

Nebo treba kdyz si budu chtit zavolat pres net, zakalit po siti... , nebudu se muset pripojovat pres nejake zkurvene servery nebo se mrcasit s tunelama a podobnyma opicarnama ale proste se pripojim na primo.

[tom]

Verejne IP operatori dostali zadarmo. Pokud si za ne uctuji, tak si zmente operatora.

[pavlix]

Brzy nebude za koho. Buď budou účtovat dostatečnou tržní cenu, nebo nebudou IP dávat.

[xkucf03]

To je celkem přirozené a správné chování. Operátoři je dostali zadarmo v době, kdy nebyly vzácné. Teď se z nich stává nedostatkové zboží, tak je potřeba je pečlivě alokovat mezi ty, kdo je nejvíc potřebují. Kdyby je rozdávali zadarmo, tak si je nahamouní někdo, kdo je ani nepotřebuje (ale byl první) a pak se nedostane na ty, kteří je potřebují víc.

Ale takhle je prodávat jde jen do doby, než se IPv6 pořádně rozšíří. Pak naopak IPv4 adresy přestanou lidi zajímat a nebudou je chtít ani zadarmo.

[Saljack]

Tak v tom případě nejsi pokročilí uživatel (kdo to vůbec je) nebo o IPv6 nevíš vše. Já vidím ohromnou výhodu v tom, že se budu mít "stejnou" adresu kdekoliv, kde se připojím.

[Käyttäjä 11133]

To si fakt myslíš, že IPv6 mobility bude globálně povolené, jo? :D Pokud chceš mít stejnou IP všude, nejlepší šanci máš (nezvásisle na tom jestli jedeš na IPv4, nebo IPv6) při použití OpenVPN a buď přímém bridgování toho virtuálního device s ethernetovým portem, nebo privástním rozsahem s 1:1 NATem.

[pavlix]

Tak se pro něj dopíše UDP encapsulation jako pro IPsec nebo se rovnou bude místo něj používat IPsec s virtuální IP. Samozřejmě pro obě verze protokolu IP, ale na IPv6 bude postupem času větší šance veřejku získat. Výhoda zkrácení trasy u IPv6 se holt octne na propadlišti dějin.

[xkucf03]

K čemu je to dobré?

[pavlix]

Pár výhod bych najít uměl, ale taky nechápu, jak se z toho lidi snaží udělat výhodu číslo jedna.

[xkucf03]

Přiznám se, že někdy používám IP adresy pro posílení zabezpečení – ve chvíli, kdy se někam připojuji jen z jednoho místa, můžu firewallem zahazovat/odmítat pokusy o spojení přicházející z jiných IP adres a mám větší klid*. Ale je potřeba to brát jako takovou druhou zeď kolem pevnosti, která by měla být dostatečně nedobytná i bez toho.

Pak může mít člověk nutkání mít stejnou IP adresu, aby se mohl připojit, i když se fyzicky nachází někde jinde, ale to už je podle mého chyba a okamžik, kdy by se měl zastavit a začít řešit problém nějak jinak.**

A když se nebudeme bavit o bezpečnosti, ale o možnosti přímého spojení, tak tam je to už úplně blbost. Ano, mohl bych chtít telefonovat s někým na jeho obvyklou IP adresu, nebo se na ni chtít připojit přes FTP a něco si odtamtud stáhnout… Ale tady už má smysl přidat jeden mezičlánek, který zajistí překlad – např. DNS nebo SIP. Jinak se může stát, že budou oba sedět třeba ve stejné budově, ale komunikace půjde přes půl světa kvůli tomu, že chtěli komunikovat přes původní IP adresu, která fyzicky patří někam jinam.

*) tzn. i kdyby v softwaru byla chyba, nebo někdo získal moje heslo/klíč, tak se stejně nepřipojí (musel by ještě získat přístup k dané IP adrese, což dost redukuje počet možných útočníků)

**) typicky VPN, což je trochu podobné, ale tam nejde o získání stejné IP adresy, ale spíš o získání jiné IP adresy z nějakého známého rozsahu, ze kterého se dá někam dál připojovat – tzn. druhá úroveň zabezpečení: nejdřív musím mít přístup do sítě a pak ještě k dané službě.

[pavlix]

Tuhle druhou zeď se chystám řešit IPsecem v podobě Strongswanu, ale momentálně mi v tom brání OpenVZ, přesněji řečeno mě nutí používat transport mode, když by se mi víc hodil tunnel mode.

[Petr Tomášek]

Mě se zdá, že všichni na IPv6 se... Mám takový pocit (a doufám, že se mílím), že IPv6 se nikdy naplno neprosadí a nenahradí IPv4.

Holt pro to ani není žádný zásadní důvod, tak proč by se to dělo?

[David Jaša]

Zatím není. On přijde s plnou silou, až první provozovatel serveru nedosáhne na IPv4 adresu.

[Petr Tomášek]

To ještě pěkně dlouho nebude...

[SPM]

A opravit loď, ve které je díra, taky neni žádný důvod; vždycky se přece dá za jízdy vylejvat kyblíkem.

[Petr Tomášek]

Kecy. Srovnáváš nesrovnatelné.

[petr_p]

A co Skype? Ten tak dlouho překonával překlad adres pomocí dobrovolníků, až si musel zaplatit vlastní garantované proxy servery.

[SPM]

Mně to naopak přijde velice trefné :)

[SPM]

Copa v6 only wifi, ale on ani ten stream, když se pouští přes ten flash, tak jede jen po v4 :)

[pavlix]

Já streamuju vzduchem pomocí elektromagnetických vln.

[SPM]

Však jsem to taky slyšel :) ale zrovna imho grafy z wrapsixu byly líp vidět na tom digitálním streamu

[pavlix]

To jo, jen škoda, že Michal tak rychle odjížděl :).

[=^..^= AmigaPower®]

Já se už půl dne seru s wifiroutrem, se zabezpečenim se prostě nepřipojí nic, nechňápu to, někde dělám triviální píčovinu a nevidim to...

[Radek Hladik]

Když je tedy dnes ta velká sláva, tak jsem zkusil přidat IPv6 na jeden starší server (Fedora 7), který ovšem dělá pár nestandardností. Narazil jsem při tom na jednu zajímavou vlastnost IPv6 (resp jejích implementací), o které se moc nemluví. Rovnou nabízím i řešení, abych přispěl i svojí troškou do mlýna...

Ale nejprve jiná záležitost:

Problém č. 1

Stroj z historických důvodů obsahuje poměrně dost port forwardů, kterých se není snadné zbavit, směřují na různé stroje a některé ty stroje jsou tak staré, že bych na nich IPv6 nechtěl pokoušet. Například porty 25 a 250 mám nasměrované na jiný stroj, kde je vlastní SMTP démon. V současné době používám buď rinetd nebo DNAT+SNAT. Doteď to bylo vše IPv4, ale teď chci, aby když se někdo připojí přes vnější IPv6, aby šel na interní IPv4 adresu. V principu to znamená poslouchat na IPv6 adrese na nějakém portu a když se někdo připojí, udělat mu druhé spojení někam jinam a "přehazovat" data. Vím, že člověk přijde o IP adresu zdroje, ale s tím jsem smířen, navíc rinetd dělá docela pěkný log, kde se dá dohledat.

Řešení s NATy samozřejmě padá, ikdyby se mi nějak podařilo něco jako NAT64, netmap či tak na tak starý systém dostat, stejně bych zůstal na IPv6. Rinetd neumí IPv6, takže padá taky. Nakonec jsem našel 6tunnel, nebo by se měl dát použít socat (na jedno spojení mi fungoval, nezkoušel jsem v "režimu server" ). Ale ať socat nebo 6tunnel mají problém s

Problém č.2

Z nějakého důvodu je doporučeno, aby poslouchající socket na IPv6 adrese poslouchal i na IPv4. Vede to k tomu, že pokud už něco poslouchá na všech IPv4 rozhraních (klasícké *: ve výpisu netstat), není možné na tom samém portu poslouchat na IPv6 a to kupodivu ani když zadám explicitně nějakou IPv6 adresu rozhraní. Takže například zmíněný rinetd, který poslouchá na "tcp4" portu 25 brání 6tunnelu, aby se nabindoval na "tcp6" port 25. Ač to má nějaký smysl, tak je to trochu kontraintuitivní, když vám něco napíše, že address already in use, ale ve výpisu z netstat jsou na tom portu jen IPv4 adresy.

Díky tomu není možné použít "naivní" programátorský postup bind(ipv4);bind(ipv6); A hlavně u starších verzí některých programů jsem něco obdobného viděl.

Řešení je hned několik, každé má však nějaké drobné omezení.

* Nepoužít bind na *, ale vyjmenovat všechny adresy. Toto trpí klasickým problémem, že když se později přidá IP adresa, tak se bude muset přidat do všech konfigurací

* Zajistit, aby program na socketu nastavil volbu IPV6_V6ONLY. Někdy je to triviální konfigurační záležitost, někdy to ale znamená program znovu přeložit v novější verzi nebo alespoň nějak opatchovat. To nemusí být ideální u starších programů.

* Změnit defaultní chování přes /proc/sys/net/ipv6/bindv6only . Nevýhoda je, že to změní pro celý systém, takže je naopak potřeba vyřešit, jestli nějaká aplikace nespoléhá na toto nastavení.

[Ondrej 'SanTiago' Zajicek]

K problemu 2:

To je pomerne ocekavane chovani prave proto, ze pres jeden IPv6 socket muze program obsluhovat pozadavky na IPv4 i na IPv6 zaroven.

Prirozeny pristup je tedy "bind(ipv6), pokud to selze pak bind(ipv4)". (selze to napr. kdyz v systemu vubec neni zavedena podpora IPv6.)

Pokud je z nejakeho duvodu treba obsluhovat IPv4 a IPv6 pakety na danem portu jinym programem, tak jedina rozumna volba je aby program mel konfiguracni volbu, ktera pouzije IPV6_V6ONLY.

Reseni pres /proc/sys/../bindv6only je dost nesmyslne, protoze se da cekat, ze mnohe aplikace s tim citat budou - to chovani je soucasti standardu IPv6 socketoveho API. A mohou chtit pouzit IPv6 socket (je-li dostupny) i kdyz je budes chtit pouzit jen na IPv4.

Hlavni otazka ale je, kdy a proc by vubec neco takoveho melo byt treba.

[Radek Hladik]

Já tomu tak rozumím a chápu ten důvod. Chápu i to, že by bylo ideální mít konfigurační volbu, kterou to člověk nastaví. Stejně tak i chápu problém se systémovým nastavením (ostatně jsem to popsal i v původním příspěvku).

Ale bohužel svět není ideální a potřeba mít na "tcp6" a "tcp4" různé programy může nastat poměrně snadno. Přesně jak jsem popsal, stačí mít program který IPv6 neumí, nebo je ve staré verzi, která IPv6 neumí. A nedej bože, když se jedná o server, kde klient může IPv6 umět (například proto, že klient může být v novější verzi než server). Samozřejmě teoreticky správné řešení by bylo program naupgradovat/vyměnit, ale to je často nereálné. Pak není divu, že můžu chtít na IPv6 portu mít "proxy" na IPv4 port (píšu to trochu vágněji, ale snad je to pochopitelné). Taky jsem se s tímhle problémem setkal až u stroje, kde je ještě Fedora 7, zatímco stroje s 13,14,15 byly bez problému.

[pavlix]

Ale bohužel svět není ideální a potřeba mít na "tcp6" a "tcp4" různé programy může nastat poměrně snadno.

Ale v čem je tedy problém?

[Radek Hladik]

Tady si asi nerozumíme s významem slova problém. Já ho používal ve smyslu problém="věc, kterou je potřeba nějak řešit", spíš ve smyslu, jako se používá v matematice.

Termín problém označuje takové podmínky, nebo situaci nebo stav, který je nevyřešený, nebo nechtěný, nebo nežádoucí. Problém obvykle vyžaduje nějaké řešení. http://cs.wikipedia.org/wiki/Probl%C3%A9m

Takže jsem jen sepsal dva problémy, které jsem řešil a napsal řešení, která jsem našel, abych také trochu přispěl s něčím, co není úplně triviální a možná se to někomu hodí, protože předpokládám, že moje příklady nejsou ojedinělé...

[pavlix]

Jasné, no. V praxi je potřeba mít implementaci, která umí tcp4 a tcp6 proxying, nejen obecné tcp, pokud chceš dosáhnout podobných efektů.

[pavlix]

Rinetd neumí IPv6, takže padá taky. Nakonec

Já jsem toto na Debianu řešil použitím openbsd-inetd.

Zbytek bych řešil tak jak píše Ondra.

[Radek Hladik]

Ten openbsd-inetd nebo asi i xinetd by šel taky. Ale já původňě na IPv4 používal ten rinetd, protože dělal přesně, co jsem potřeboval a dělal rozumný log. Zatím se mi celkem líbí ten 6tunnel, ale možná to předělám, uvidím podle zkušeností. Já bych samozřejmě nic takového radši nepoužíval, ale bohužel to není možné.

[=^..^= AmigaPower®]

... furt hrozně řešim, že bych se chtěl udělat mězi věšákama některý kámošový starý (von je jen na ně). Dostal sem hladíka (a mam hladinku), nejdřív ukojím pindíka, pořádně vyprázdnim párkrát pytlíka, a pak s klobáskou dám si kus chlebíka...

[dad]

pochopil jsem, ze te problematika IPv6 zrovna moc nevzrusuje a uprimne receno taky nechapu, proc sem do tohodle politickyho magazinu tahaj takovy vodborny clanky.

Uz si rozchodil ten router?

[=^..^= AmigaPower®]

No, chystám se na to dneska. Včera jsem se o tom bavil s člověkem so se zabejvá servrama IBM a taky říká že tam mam někde něco blbě zakliklího, nebo něco podobnýho, všechno mam jinak dobře... zatim sem jen potřeboval rychle funkční síť, tak sem to nijak moc neřešil...

[pavlix]

You are a poet, I didn't know it.

[tom]

Z nějakého důvodu je doporučeno, aby poslouchající socket na IPv6 adrese poslouchal i na IPv4. Vede to k tomu, že pokud už něco poslouchá na všech IPv4 rozhraních (klasícké *: ve výpisu netstat), není možné na tom samém portu poslouchat na IPv6 a to kupodivu ani když zadám explicitně nějakou IPv6 adresu rozhraní.

Vypnete si dual socket.

[Radek Hladik]

Jak se to bude lišit od mnou posledního zmiňovaného řešení?

[pavlix]

Mám z vás radost, že jste se mi tady rozpovídali na tak nezáživné a technické téma :).

[xkucf03]

Přidej aspoň anketu: Kdo půjde dřív sedět?

1. Bém s Janouškem
2. Vondra
3. ani jeden

[pavlix]

To asi nemůžu.