Mikrotik, IPv6 a dobrý oběd (diskuse)

[Sten]

Mám Mikrotik s IPv6 RA a DNS posílá, ale je to trochu zmatené, posílá totiž IPv6 adresy uvedené v ip dns servers. To ale znemožňuje mít Mikrotik jako DNS cache či DNS server pro lokální síť v IPv6-only sítích. Tak snad v nové revizi RouterOS bude možné uvést ty DNS servery do RA ručně.

[pavlix]

A funguje to i když je kromě IPv6 nameserveru v dns servers i nějaký IPv4? Nicméně DHCP IPv6 DNS bude stejně potřeba kvůli Windows.

[Sten]

Ano, potom IPv6 může být adresa Mikrotiku a IPv4 adresa veřejného serveru a DNS cache pak na Mikrotiku funguje. Přesně tak to teď mám.

[belisarivs]

A co NAT na IPv6. Strasne dulezita vec.

Ted vazne, delate i nejake testy? Ja si vzpominam, kdyz jsem pomoci Tahi Testsuite (dafuq? Oni povazuji svoji praci na podporu IPv6 za dokoncenou a na konci roku bali?) testoval jak si s IPv6 umi poradit SLES. Nebylo to zas tak spatne.

Tusim, ze MIPv6 tomu moc neslo, ale jinak se to celkem dalo.

[pavlix]

Ted vazne, delate i nejake testy?

Tohle byl test (RouterOS). A vyšel negativně. Na NetworkManageru používám vlastní (převážně ruční) testy.

Oni povazuji svoji praci na podporu IPv6 za dokoncenou a na konci roku bali?

To je hezké, že to balí v době, kdy jsou standardy stále ještě napsané tak, že je musím v NetworkManageru porušovat, aby třeba zrovna to DNS v RA fungovalo správě a nevypršelo dřív, než dostanu nové.

testoval jak si s IPv6 umi poradit SLES. Nebylo to zas tak spatne.

To věřím, jednu dobu disponovali nějakou certifikací na IPv6. Certifikace jsou z obchodního hlediska důležité, ale je fajn alespoň dodatečně opravit i tu implementaci.

Největší problém je s tou autokonfirací a tam mi pár lidí tvrdilo, že už to fungovalo. Tak jsem došel k závěru, že to bylo rozbito dodatečně. Ale během opravování jsem tento závěr přehodnotil a teď jsem přesvědčen o tom, že některé věci fungovat ani nemohly.

A kromě formální funkčnosti je ještě dobré aby věci do sebe zapadaly. Momentálně třeba GLIBC není schopné správně resolvovat link-local IPv6 a za určitých okolností nezvládne ani IPv6 localhosta, případně dokonce IPv4 localhosta.

Kernel se k IPv6 DNS staví tak, že to stačí přeposlat userspace. Taky špatně userspace potřebuje informace, ne pakety, ty si může démon vyzvednout jednoduše sám, a ty informace kernel okamžitě zahazuje a necachuje je po určenou dobu.

Je toho víc, některé věci se dají jednoduše obejít, jiné složitěji, ale to obcházení je většina práce s IPv6 v NetworkManageru.

[belisarivs]

Hm. Pekne. :-/ Cekal jsem, ze to bude teda lepsi.

Jak je na tom *BSD? Tahi se specializuje na nej.

[pavlix]

Jak je na tom *BSD? Tahi se specializuje na nej.

libc vypadá dobře, mají patch pro Avahi, takže je to jediný systém, kde multicast DNS funguje na link-local IPv6, tedy skutečný zero configuration networking. U kernelu si nejsem úplně jistý, čekal bych, že BSD na tom bude o něco lépe, ale když se podívám na linuxovou implementaci třeba IPsecu, tak ta se mi vyloženě líbí.

Ale, nevím o tom, že by BSDčkáři měli nějakého rozumného síťového démona. NetworkManager je možná chybový a neoblíbený (to první se teď hodně mění, a to druhé je problém důvěry a ta se nezískává ze dne na den), ale dokáže zajistit jak plnohodnotnou konfiguraci IPv6 od RA po DHCP, tak koordinaci dualstacku, tak koordinaci konfigurace více síťových rozhraní.

Dokud nebudou mít něco na této úrovni (a pokud možno méně chybového, ale na tom taky pracujeme), nedá se mluvit o plnohodnotné klientské implementaci IPv6. Tady mám pocit, že byl Microsoft o něco málo napřed, nevím jak Apple.

[Petr Tomášek]

To je hezké, že to balí v době, kdy jsou standardy stále ještě napsané tak, že je musím v NetworkManageru porušovat, aby třeba zrovna to DNS v RA fungovalo správě a nevypršelo dřív, než dostanu nové.

To jsem rád, že konečně přiznáváš, že IPv6 je zmršenej paskvil...

[pavlix]

Trolling is a art.

[pavlix]

A co NAT na IPv6. Strasne dulezita vec.

Zase tak důležitá věc to není, ve chvíli, kdy nejde autokonfigurace. Navíc není zatím úplně známo, jaké konfigurace NATu budou na IPv6 skutečně poptávané. Já zatím od mikrotiku nečekám zázraky, ale základní funkcionalitu domácího či malofiremního IPv6 routeru. Na druhou stranu už zvládá držet na IPv6 spoustu služeb a zvládá celkem funkci propojovacího a hraničního routeru. Od verze 5 umí IPv6 provoz omezovat.

[belisarivs]

A to jsem si myslel, ze vetou "Ted vazne" dam dostatecne najevo, ze si delam prdel z tech ocasu co to tak nutne potrebovali.

[pavlix]

Je několik use cases, kde je nějaká forma NATu nebo řešení à la TPROXY či inetd+netcat ku prospěchu. A je pár případů, kdy je nějaká forma NATu pro malého ISP levnější než standardní řešení (multihoming).

Když jede web, volá mnohem míň lidí a dá se problém v klidu řešit.

~Malý ISP, který si nosí callcentrum v kapse a je sám sobě technikem

[ludvik]

S tím domácím routerem bych byl opatrnější Neumí přijmout z DHCP jednu adresu (pro WAN) a PD pro LAN. Resp to neuměl o pár verzí zpět, teď nevím. Ale v každé případě neuměl přijmout defaultu (a já ji pro změnu do DHCP nacpat). Pokud to necháme na SLAAC narazíme na to, že je to router a ten má vypnutý příjem RA. A router to mít zapnuté prostě nesmí a nesmí To, že tohle chování lze vypnout a leckdy se to hodí mikrotik ignoruje.

Takže jako domácí router máme jednu jedinou možnost - konfigurovat IPv6 celé ručně.

Pokud mikrotik sloužil jako DHCP server a měl dávat PD, měl problém s formátem UUID. RFC si vyložil tak striktně, že jaksi zapomenul na tu třetí "libovolnou" možnost.

Dle mých zkušeností je to použitelné jen jako "infrastrukturní" router. To je v pohodě. A případně klientům dávat jen SLAAC. Nic víc od toho nechtít.

[pavlix]

A router to mít zapnuté prostě nesmí a nesmí

Citation needed.

Dle mých zkušeností je to použitelné jen jako "infrastrukturní" router.

Zajímavé. Mám za to, že přesně to jsem psal.