Je skutečně maškaráda (NAT) tak zbytečná a špatná? (diskuse)

[Luboš Doležel (Doli)]

Můžete mi vysvětlit, proč by měl někdo zapotřebí takhle maskovat zařízení ve vnitřní síti? Protože v souvislosti s tím mě napadají jen slova: zbytečnost, nesmysl, security through obscurity a demence.

A když už máte opravdu potřebu dělat takové skopičiny, tak tam strčte proxy server.

[Heron]

tak tam strčte proxy server

+1

[pht]

Přesně tak, nejlepší "maskování" poskytuje pouze L7 proxy (tj. http proxy pro http, jiná proxy pro jiný protokol) s tím, že se anonymizují veškeré identifikační údaje (typ browseru, OS klienta, atd.) a nepřidávají věci typu x-forwarded-for.

U normálního IPv4 NATu není většinou problém lehkou analýzou spojení odhalit víc klientů za jednou IP adresou.

[xkucf03]

Tak jako tak to ale bude poznat -- např. tím, že jeden člověk asi těžko bude intenzivně prohlížet deset webů najednou. Takže NAT neřeší skoro nic, HTTP proxy typu privoxy je o něco lepší, ale pořád odhalitelné -- nakonec by si stejně člověk musel udělat šifrovaný tunel někam ven...

[pavlix]

A i ten by leccos odhalil.

[Petr Tomášek]

Můžete mi vysvětlit, proč by měl někdo zapotřebí takhle maskovat zařízení ve vnitřní síti? Protože v souvislosti s tím mě napadají jen slova: zbytečnost, nesmysl, security through obscurity a demence.

Díky za reakci, pro mě je tenhle jen další potvrzení mého názoru na fanatičnost propagátorů IPv6.

K otázce proč by měl někdo zapotřebí tohle maskovat: a proč by nemohl? Stejné, jako bych se zeptal, proč by měl mít někdo zapotřebí adresovat každý stroj ve vnitřní síti jednoznačnou adresou (když už dnes lze NAT přecházet bez problémově). Jenže já nemám potřebu vnucovat někomu, jak má dělat to, či ono, takže se takovýchto výroků zdržím

K důvodům proč maskovat: zvýšení bezpečnosti a ohled na soukromí (např. já počet strojů ve své síti považuju za soukromou věc, do které nikomu nic není).

A když už máte opravdu potřebu dělat takové skopičiny, tak tam strčte proxy server.

A proč by se měly věci dělat složitě, když jdou jednoduše ()? To je podobné, jako bych se ptal, proč potřebuješ mít IPv6 konektivitu od providera, když dnes existuje 100+1 různých způsobů, jak to protunelovat...

[trekker.dk]

Stejné, jako bych se zeptal, proč by měl mít někdo zapotřebí adresovat každý stroj ve vnitřní síti jednoznačnou adresou (když už dnes lze NAT přecházet bez problémově)

To v žádném případě není pravda. Pokud chceš tvrdit, že je, tak mi ukaž nastavení NATu, které mi port 80 přesměruje do vnitřní sítě na správný ze sta strojů. Web server běží na všech a v každém okamžiku je potřeba, aby bylo možné připojit se na všechny naráz.

[pavlix]

Díky za reakci, pro mě je tenhle jen další potvrzení mého názoru na fanatičnost propagátorů IPv6.

Zloděj křičí „chyťte zloděje“.

Já osobně si myslím, že jediným fanatikem jsi v tomto případě ty. Definici fanatismu naplňuješ beze zbytku. Jsi neinformovaný a přitom svůj nepodložený názor hystericky hájíš.

Dokonce se snižuješ až k takovým věcem, že argumentuješ proti Lubošově názoru v domění, že tím vyhráváš svou svatou válku proti IPv6 :). Přitom Lubošovi je tenhle „problém“, jak je vidět úplně jedno.

[mimi.vx]

to neni fanaticnost ... i pres NAT de celkem v poho zjistit cse co se snazite tim maskovat ... protunelovat nat neni takovy problemmm,

 

a proxy s fw je jednodussi reseni nez nat a k tomu to ulevi provozu ...

[Martin Habovštiak]

+10000000000 Odpoveď na otázku z titulku: TAK ASI!

[Radovan Garabík]

privacy extensions

[Petr Tomášek]

A to pomůže jako jak?

[Luboš Doležel (Doli)]

Znáhodní adresy zařízení pro komunikaci navenek, takže je pak těžké odhadovat, kolik jich tam je

[Petr Tomášek]

Znáhodní adresy zařízení pro komunikaci navenek, takže je pak těžké odhadovat, kolik jich tam je

Přečti si ještě jednou blog:

aby nebylo dokonce možné určit, zda dva streamy patří jednomu zařízení, ani v rámci krátkého časového úseku (třeba 5 minut).

A RFC4941:

New temporary addresses are generated periodically to replace temporary addresses that expire, with the exact time between address generation a matter of local policy.

[Luboš Doležel (Doli)]

A jak si to protiřečí? Prostě nastavíte čas pro generování na hodnotu menší než 5 minut.

[Luboš Doležel (Doli)]

A hlavně mi není jasné, jak chcete vůbec obecně zjišťovat kolik zařízení na té síti je. Dokud s vámi zařízení na té síti nekomunikují, tak nevíte nic. Maximálně tak provozovatel Seznam.cz nebo Google.cz by si mohl dělat přehledy o počtu počítačů v jednotlivých sítích, jinak leda váš nadřazený ISP.

[pavlix]

Na to právě fungují ty privacy extensions.

Teda ony fungují jen teoreticky, úplně přesně stejně jako NAT, protože Seznam si vše dokáže zjistit z HTTP cookies nebo může zkoušet další metody. Ale privacy extensions slouží k tomu, aby při použití IPv6 s PE a FW místo IPv4 s NATem a FW byla nulová degradace soukromí.

Teda ono se tím hlavně řeší možnost trasování notebooků (MAC funguje jako identifikátor, první půlka adresy jako lokátor). Ale odhadování počtu a typu zařízení (MAC jsou přidělované výrobci) to funguje taky.

[Luboš Doležel (Doli)]

Jasně. Mně šlo spíš o to, že na mapování sítě, na které naráží autor zápisku, je třeba:

A) Udělat sken

B) Předpokládat, že všichni z dané sítě budou z nějakého důvodu komunikovat právě s vaším serverem

Málokdo je v pozici B. Variant A je u IPv6 šílenství, nedovedu si představit skenování tak velkých rozsahů.

Takže pokud někdo není v pozici B, tak ani ty privacy extensions nejsou pro ochranu proti nějakému mapování sítí potřeba, protože to prostě nikdo rozumně neproskenuje a nezmapuje.

[Heron]

Navíc takový scan by byl na FW velmi rychle detekován.

[trekker.dk]

Díky za reakci, pro mě je tenhle jen další potvrzení mého názoru na neschopnost/neznalost odpůrců IPv6.

[kralyk z abclinuxu]

Je skutečně maškaráda (NAT) tak zbytečná a špatná?

Jo.

[AsciiWolf]

+1

[Petr Tomášek]

To jsou teda argumenty!

[belisarivs]

Polozil jsi otazku. Dostal jsi odpoved.

[pc2005]

To je axiom .

[Martin Habovštiak]

+1000000000000http://typo3.com/

[Martin Habovštiak]

Sorry tá URL sa mi tam dostala omylom zo schránky :(

[Atom321]

IPv6 je nový protokol daný shůry. Kdo se pokusí byť jen poukázat na jakýkoliv drobný nedostatek, bude prohlášen za zpátečníka, lenocha co se nechce nic učit, nechápajícího dementa, rouhače a antikrista. Následně bude ukamenován nezpochybnitelných dogmaty a po smrti přijde do pekla.

Teď veřejně odvolejte, co jste prohlásil! Pokud tak učiníte neprodleně a bez daších dotazŮ, trest smrti upálením bude možná přehodnocen na doživotní domácí vězení.

[Dadam]

Jojo, přesně tak. Jsem zvědavý co by Petr řekl, kdyby byl šéf firmy a jeho síťař použil slova "zbytečnost, nesmysl, security through obscurity a demence" pro stávající a fungující řešení. Vím že se to omílá pořád dokola, tak proč se neudělá nějaký FAQ a dokola se neomílá jen odkaz na něj?

[Miloslav Ponkrác]

Přesně tak!

A když evangelizátoři, nebo autoři IPv6 prohlásí, že voda teče do kopečka, nebo že pakety přenášejí malí marťánci s tykadýlkama, tak se najde mnoho horlivých fanatiků, kteří to budou silou prosazovat jako pravdu pravdoucí.

NAT je užitečná věc i v IPv6 a najde své uplatnění.

Autoři IPv6 by se měli starat o dobrý protokol a o to aby se na něj dalo co nejrychleji přejít. Politiku, ideologie a jejich filozofické názory s tím nesouvisející – jako třeba potírání NATu či názory na velký třesk – by do toho neměli plést.

To je totiž důvod, proč cca 20 let starý IPv6 nikde není. Protože do toho autoři IPv6 pletou svoje dojmy, pocity, emoce a své náboženské přesvědčení – a chtějí evangelizovat na svou víru celý svět, a klidně obětují i celé IPv6.

[Luboš Doležel (Doli)]

Prosím, vysvětlete mi potřebu NATu v IPv6, děkuji.

[Miloslav Ponkrác]

Není třeba vysvětlovat potřebu. NAT v IPv6 prostě bude. To nikdo na světě nezmění.

NAT je překlad adres, to je trochu širší řešení, než jen řešení dostatku či nedostatku IP adres.

Vysvětlovat potřebu jsou zbytečné debaty. NAT má smysl, popsaly se o tom stohy stránek.

Nejzbytečnější na tom je, že NAT v IPv6 bude, ať si tomu brání kdo chce a jak chce.

A jsem rád, že NAT v IPv6 bude, pro mě smysl má a je to dobrá věc. A nemusím za NAT nijak bojovat, protože znovu opakuji, NAT v IPv6 bude. Na 100% naprosto jistě.

[Luboš Doležel (Doli)]

Takže namísto vysvětlení konkrétních situací, kdy je NAT potřeba, jsem se dočkal jen keců. To jsem mohl čekat.

[Miloslav Ponkrác]

NAT není nikdy potřeba, stejně jako není potřeba IPv6, nebo vůbec internet.

Lidi se obejdou bez NATu, bez TCP/IP, bez internetu, bez sítí, bez počítačů.

Lidstvo bez toho přežije.

Skutečně potřeba je jíst, pít, dýchat, vylučovat škodlivé látky na WC, a pokud má lidstvo přežít aspoň párkrát trochu sexu. Cokoli ostatní je redundantní.

Protože dobře vím, že fanatici proti NATu zpochybní úplně všechno a zároveň vím, že NAT prostě v IPv6 bude – nehodlám se pouštět do zbytečného emocionálního boje. Co všechno je skutečně objektivně potřeba jsem napsal v minulém odstavci. Cokoli jiného je jako potřeba zpochybnitelné.

Prostě ani já ze sebe nehodlám dělat blba a cíl. Stačí?

[Luboš Doležel (Doli)]

Stačí, děkuji, že jste všem okolo ukázal, že blb opravdu jste

[Miloslav Ponkrác]

Já jsem jenom demaskoval taktiku odpůrců NATu.

Hádají se o potřebu – což je v případě čehokoli v internetu zpochybitelné. Tím mohou mastit svoje ego a napadat NAT, protože jakákoli potřeba kromě jídla, pití, dýchání, WC a rození dětí je subjektivně zpochybnitelná.

Veškeré věcné argumenty jsou „to není potřeba“, což mají pravdu. Vše kromě jídla, pití, dýchání, WC a rození dětí skutečně v životě potřeba není, tedy ani ten NAT.

Skutečné objektivní debaty od protivníků NATu, tj,. srovnání reálných řešení a jejich výhodnosti, nákladnosti a praktického provozu – jsem se nedočkal a proti ani nestřílím střelivem. Navíc, když výsledek bitvy je jasný, NAT bude.

Jasně, že NAT není třeba, je ho možné obejít, třeba 10× nákladnějším řešením bez NATu v určitých případech. Ale i tak je dokázáno, že NAT není potřeba.

Jsem rád, že máte pocit vítězství. Já dokonce ani nemám potřebu Vás nazývat blbem, či nějak srážet. Nechte si svou radost. Já jsme pouze vysvětlil, jak slovem potřeba protivníci NATu zaženou každého do kouta. Ale to nepatří do pravdy, jen do manipulativních technik.

[Michal Kubeček]

Opravdu myslíte, že je vhodné, aby šéfredaktor takhle vystupoval v diskusích?

[Grunt]

Sorry, šéfredaktor, ne-redaktor, předpokládám, že i Luboš je úplně obyčejný člověk z masa a kostí, který má právo na názor a jeho prezentaci. Ponkrác (resp. anonym co se za něj vydává) se tady dlouhodobě prezentuje jako přiblblý oportunista bez hranic a zábran. Věřím, že kdyby mu k vlastnímu prospěchu mělo pomoct hajlování s Hitlerem, tak už dávno stojí na Berlínském stadióne se vztyčenou paží a huláká co mu plíce stačí. Takže se mu ani nedivím. Já ho ignoruju.

[Michal Kubeček]

Ale já přece neobhajuji p. Ponkráce, ani to, co píše. Jen si myslím, že není vhodné, aby šéfredaktor v diskusích nadával diskutujícím. Nevzpomínám si, že by Robert Krátký něco takového udělal - nebo přinejmenším, že by to udělal, aniž by dotyčný nejdřív urážel jeho. Bohužel to není první Lubošův příspěvek (od doby, co se stal šéfredaktorem), který mi nepřipadá úplně košer; je ovšem první, který mne přiměl se ozvat. Tím mu nazakazuji prezentovat názory, jen bych rád, aby se zamyslel nad tím, jestli je forma, kterou používá, adekvátní jeho funkci na tomto portálu. Pokud usoudí že ano, nezbyde mi než se s tím smířit, i když by mi to bylo trochu líto.

[Luboš Doležel (Doli)]

Mně je jedno, co je košer. Pokud se někdo chová jako XYZ, tak mu řeknu, že to tak je, a nebudu chodit kolem horké kaše jen kvůli šéfredaktorské funkci. Jen kvůli této změně se nezačnu chovat jinak.

[Michal Kubeček]

Budiž, radost z toho nemám, ale beru na vědomí.

[AsciiWolf]

+1

[trekker.dk]

Souhlas

[gtz]

Taky souhlas

[Michal Kubeček]

Abyste se všichni neusouhlasili. Jen se těším se, jak nadšeně budete souhlasit, až bude do blbů nadávat vám nebo někomu vám sympatickému…

[gtz]

Jen jsem souhlasil s tím jak to nepsal, nepitval jsem dále jeho příspěvky. Souhlasil jsem jen s tím, že nemá cenu chodit kolem horké kaše a říct to přímo.

[Grunt]

Jen se těším se, jak nadšeně budete souhlasit, až bude do blbů nadávat vám nebo někomu vám sympatickému…

Tak opětuju palbu a nebudu kňourat, ne? Nebo prostě mávnu rukou, vstanu od počítače a půjdu si udělat čaj a nebudu kňourat. Nebo vymyslím ďábelský plán jak dotyčnému shodit komplet síť/portál/počítač a … a nebo je ještě možnost, že to budu řešit jako Kubeček.

[Grunt]

Jen si myslím, že není vhodné, aby šéfredaktor v diskusích nadával diskutujícím.

Jo, jo. To by měl být vzdělaný, eugenicky vypěstovaný člen z vyšších kruhů s bravurní rétorickou schopností, čistý jako lilie nebo tak něco, že? Nevím jak kdo, ale já teda chodím na portály kde je šéfredaktor člověk, který se nebojí prezentovat svůj názor (i takovou formou) než nějaké pokrytecké pako, které má nos v zadnici diskutujících tak hluboko, že kdyby ho měl jen o kousek větší, tak je z něj Pinocchio, mnohem radši. Ale proti gustu…

Nevzpomínám si, že by Robert Krátký něco takového udělal - nebo přinejmenším, že by to udělal, aniž by dotyčný nejdřív urážel jeho.

Tak to je hodně závislé na úhlu pohledu. Protože to já si zas pamatuju. Za sebe bych totiž v podobné situaci asi napsal Ponkrácovi ještě něco horšího.

funkci na tomto portálu

Nejvyšší čistmistr – kazatel všeho dobra? Mi zas asi nějak uniklo.

nezbyde mi než se s tím smířit

No, asi tak…

[Grunt]

A čistě pro zajímavost: Urážet se dá mnoha způsoby, nejen vulgaritami (Mě např. uráží Vás rozdílný názor ) a v mnoha případech mi dobře mířená vulgarita přijde mnohem upřímnější než podobná snaha o manipulaci a snaha o obcházení vyslovení jména tohož, jehož jméno se nevyslovuje. Ďolík je pako, o tom žádná. Furt 1000× lepší než co tady dlouhodobě předvádí p. Astronaut (aspoň teda z mého pohledu).

[pavlix]

Mám takový dojem, že i Robert něco takového kdysi udělal.

[rastos]

Ja súhlasím s Michalom. Do autora blogu ste sa pustili hlava nehlava a urážky začali lietať priskoro a len preto, že s ním nesúhlasíte. Podľa mňa sa kultivovane spýtal a zaslúži si kultivovanú odpoveď. To, že niekto v IPv6 NAT nevidí zmysel, alebo ho dokonca považuje za škodlivé je legitímny postoj. Rovnako legitímne ale je, chcieť NAT napriek tomu.

Odbočka: Prevádzkovať sendmail SMTP server na počítači, ktorý má dynamickú IP a ktorý používam prakticky sám je blbosť. Je to zbytočnosť. Je to overkill. Je to komplikovanejšie konfigurovať ako napr. postfix, atď. Napriek tomu ho prevádzkujem. Čo je koho do toho, aké sú moje dôvody? Poďme sa baviť o tom, či problémy načrtnuté v blogu ešte niekoho trápia a ak áno ako ich riešiť.

Vlastne by bolo primerané prihodiť do blogu anketu: anonymita strojov v LAN je niečo čo
( ) chcem riešiť
( ) je mi fuk

Ak je vám fuk fajn. Ak je to fuk 95% čitateľov, tak by sa Peter mal zamyslieť či náhodou nerieši blbosť. Ak to chcete riešiť, raďte ako na to.

[pavlix]

Ja súhlasím s Michalom.

Já taky v něčem souhlasím s Michalem.

A v mnohém ne, protože

1) I (svatý) Robert už někomu v diskuzi řekl, že je to blbec.

2) Pokud mi Luboš napíše, že jsem blbec, budu to brát jako námět k zamyšlení a budu přemýšlet nad tím, čím jsem to způsobil. Úplně stejně jako kdyby mi to napsal Robert.

Do autora blogu ste sa pustili hlava nehlava a urážky začali lietať priskoro a len preto, že s ním nesúhlasíte.

Mám za to, že sis to trošku popletl. Autor blogu urážkami nešetří, a k němu se všichni chovají ještě relativně slušně.

Že navrhoval podat žalobu na lidi z CZ NIC za to, že mluví o vyčerpání IPv4, mi taky nepřijde v kontextu jeho dalších příspěvků nijak vtipné, spíš naopak.

To, že niekto v IPv6 NAT nevidí zmysel, alebo ho dokonca považuje za škodlivé je legitímny postoj. Rovnako legitímne ale je, chcieť NAT napriek tomu.

Že by měl (obecný) NAT úplně zmizel je pokud vím menšinový názor, obhajovaný hlavně Lubošem a možná se někdo přidá. Ostatní více či méně připouštějí užitečnost překladu adres v některých případech.

Ale Lubošovy argumenty nejsou nijak špatné ani arogantní. Prostě vyjadřuje pocit, že NAT nepotřebuje, a zajímá se o důvody, proč by ho vůbec měl kdo potřebovat.

Roztržku s panem astrologem vůbec neřeším. Myslím si o něm to samé, co Luboš (a s NATem to nemá nic společného), jenom jsem neměl potřebu to vyjádřit v diskuzi.

Odbočka: Prevádzkovať sendmail SMTP server na počítači, ktorý má dynamickú IP a ktorý používam prakticky sám je blbosť. Je to zbytočnosť. Je to overkill. Je to komplikovanejšie konfigurovať ako napr. postfix, atď. Napriek tomu ho prevádzkujem. Čo je koho do toho, aké sú moje dôvody? Poďme sa baviť o tom, či problémy načrtnuté v blogu ešte niekoho trápia a ak áno ako ich riešiť.

To se tu přesně děje. Stačí ignorovat astrologa a některé výstřelky pana Tomáška.

Mimochodem, ač pan Tomášek očividně vůbec nerozumí IPv6 a pravděpodobně nesnáší ateisty, pořád mi subjektivně připadá mnohem chytřejší než pan astrolog.

Vlastne by bolo primerané prihodiť do blogu anketu: anonymita strojov v LAN je niečo čo ( ) chcem riešiť ( ) je mi fuk

To je v tomto kontextu zbytečné, protože „anonymita“ strojů v LAN je v IPv6/PE vyřešená lépe než v IPv4/NAT. Ani tak to z globálního hlediska nemá žádný význam, protože protokoly vyšších vrstev stejně vše vykecají.

Ak je vám fuk fajn. Ak je to fuk 95% čitateľov, tak by sa Peter mal zamyslieť či náhodou nerieši blbosť. Ak to chcete riešiť, raďte ako na to.

On by se mě zamyslet každopádně, protože ať už otázka má nebo nemá smysl, on obhajuje to slabší řešení, a to buď protože IPv6 nezná, nebo protože ho znát nechce. Což je ovšem jen a jen jeho problém.

My ostatní si nad tím rádi podiskutujeme i tak.

[trekker.dk]

urážky začali lietať priskoro a len preto, že s ním nesúhlasíte

[citation needed]

[Salamek]

lol to jsou kecy jak od zkorumpovanyho politika kdyz ma vysvetlit kde vzal sve M

[trekker.dk]

NAT v IPv6 prostě bude.

Jsi si tím jistý, pane astrologu? Aby to nebylo jako posledně, když se ti na čočku vysrala moucha.

[xkucf03]

Taky si myslím, že bude. Je totiž dost možné, že někteří správci nastaví svoje sítě tak stupidně/fašisticky, že tuto potřebu vyvolají -- např. tak, že nebudu moci připojit mobil k počítači (nebo obráceně), udělat mezi nimi obyčejný most a získat pro každé zařízení IP adresu -- místo toho se budu muset navenek tvářit, jako že to je zařízení jedno. Jednou z možností je třeba http nebo socks proxy, druhou ten NAT.

Ovšem není to nějaká reálná potřeba -- je to potřeba vyvolaná hloupostí nebo zlým úmyslem jiných lidí.

Je mi celkem jedno, jestli NAT v IPv6 bude nebo ne -- každopádně doufám, že ho nebudu nikdy potřebovat a že se budu pohybovat v přátelsky nastavených sítích

[Ondrej 'SanTiago' Zajicek]

Je totiž dost možné, že někteří správci nastaví svoje sítě tak stupidně/fašisticky, že tuto potřebu vyvolají -- např. tak, že nebudu moci připojit mobil k počítači (nebo obráceně), udělat mezi nimi obyčejný most a získat pro každé zařízení IP adresu -

Tohle je trochu nesmysl - bridgovani neni obecne reseni a nikdy nebylo - internetove protokoly mame mimo jine od toho, abychom mohli propojit sitove technologie, ktere jsou vyrazne odlisne na linkove vrstve (a tedy je prirozene nejde zbridgovat). To, ze nejde zbridgovat napr. mobilni pripojeni (tedy typicky varianta PPP) a ethernet, je proste prirozena vlastnost tech technologii, zadne stupidni/fasisticke nastaveni.

Tvrzeni, ze bychom problemy na sitove vrstve (pridelovani IP adres) meli resit upravou vsech moznych linkovych vrstev do kompatibilni podoby, je nesmysl.

[xkucf03]

1. Můžu si připojit k ethernetu WiFi AP a udělat most, nebo můžu udělat most s bezdrátovou kartou v počítači, nebo propojit mobilní připojení přes wifi s počítačem... prostě to funguje a je to užitečné. Že to někomu nepřijde dostatečně košer a dal by tam raději router, neřeším.
2. Nebo si k tomu ethernetovému kabelu můžu připojit vlastní switch a za něj dát několik svých počítačů (tam už vůbec nejde o nějaké ohýbání technologií, ale o úplně normální situaci). Takže jestli tě ta zmínka o mostu pohoršuje, prostě ji ignoruj a představ si tam ethernetový přepínač .

Jenže když je síť nastavená tak, že se ke mně přes ten drát (myšleno obrazně -- přidělená přípojka) dostane jen jedna IP adresa, tak mi nezbývá než udělat ten NAT nebo proxy a všechna svá zařízení za tu jednu IP adresu schovat.

Sice si myslím, že špatná pravidla je lepší zrušit než je obcházet, ale někdy to třeba jinak nepůjde, navíc pro řadu lidí je obcházení hloupých pravidel přímo výzva. Jedním řešením je proxy, ale ještě pohodlnější bude ten NAT, protože si můžu udělat vlastní soukromou síť a v ní mít autokonfiguraci, takže nebudu muset nastavovat na každém zařízení adresu proxy.

Tohle je spíš filosofická debata (jestli pravidla obcházet, nebo se jim podřídit, i když jsou špatná) než technická.

Jak je vidět, tohle je věc, která trápí koncové uživatele. Je tedy absurdní to prezentovat jako důvod, proč IPv6 odmítají správci sítí, zaměstnavatelé nebo velké firmy. Naopak těm poskytovatelům by se nepřítomnost NATu v IPv6 mohla hodit -- u IPv4 si zákazník snadno schová víc počítačů (třeba i sousedů) za jednu IP, kdežto u IPv6 mu může hodně zlý poskytovatel účtovat za každou IP adresu (za každé zařízení) zvláštní poplatek (alespoň do doby než bude IPv6 NAT nebo si uživatel nenainstaluje proxy). Je tedy zřejmé, že nepřítomnost NATu není brzdou zavádění IPv6.

[Ondrej 'SanTiago' Zajicek]

Můžu si připojit k ethernetu WiFi AP a udělat most, nebo můžu udělat most s bezdrátovou kartou v počítači, nebo propojit mobilní připojení přes wifi s počítačem... prostě to funguje a je to užitečné. Že to někomu nepřijde dostatečně košer a dal by tam raději router, neřeším.

No, to ale ignoruje pointu meho prizpevku. Nejde o to, ze by bridge nebyl dostatecne 'koser', ale proste ty technologie jsou natolik odlisne, ze je bridgovat nejde. Zrovna wifi a ethernet jsou vcelku podobne na linkove vrstve (napr. pouzivaji stejne MAC adresy a stejny typ navazani na sitovou vrstvu - ARP), takze i pres drobne problemy je bridgovat jde. Ale Internet neni jen ethernet a wifi. Treba to PPP se s ethernetem (AFAIK) nezbridguje. Nepisu o zadnych pravidlech ci jejich obchazeni, ale proste o reseni technickeho problemu.

[pavlix]

Proxy ARP / Proxy NDP myslím jde používat při troše snahy i přes PPP.

[Ondrej 'SanTiago' Zajicek]

Pomoci proxy ARP jde propojit PPP linka s eth siti (ale nenazyval bych to proxy arp pres PPP - ten proxy arp je tam namiren do ethernetu, na PPP se ARP nepouziva), a z letmeho pohledu mam pocit, ze s necim takovym se pocita u IPv6 ADSL (ale moc o tom nevim). Obecne je (AFAIK) ale proxy ARP jeste daleko problematictejsi postup nez bridging.

BTW, tusite nekdo, jakou linkovou vrstvu (z pohledu prenaseneho IP protokolu) pouziva UMTS?

[Luboš Doležel (Doli)]

BTW, tusite nekdo, jakou linkovou vrstvu (z pohledu prenaseneho IP protokolu) pouziva UMTS?

Tipl bych, že to bude pořád PPP...

[pavlix]

A proxy NDP je problematičtější než proxy ARP (kvůli solicited node multicast a odpovídající multicast MAC adrese).

[sigma]

# Můžu si připojit k ethernetu WiFi AP a udělat most, nebo můžu udělat most s bezdrátovou kartou v počítači, nebo propojit mobilní připojení přes wifi s počítačem... prostě to funguje a je to užitečné. Že to někomu nepřijde dostatečně košer a dal by tam raději router, neřeším.

Jenže právě WiFi je postaveno pořád na Ethernetu, tj. udělat bridge není obvykle takový problém, a ta technologie s tím tak nějak počítá. I v tomto případě ale někdy problém je - je-li více počítačů za WiFi interfacem v režimu Client, dělá to velké problémy řešené obezličkami typu arpnat (vida, NAT už na linkové vrstvě). A nejen Ethernet existuje na světě.

Pokud nějaký linkový protokol (může to být něco ve stylu PPP) nepodporuje z principu bridgování, není to fašistické ani hloupé.

Závěr je, že je třeba počítat s tím, že reálný ekonomický svět je nesmírně hloupý, nesmyslný, fašistický, či pragmatický. Peníze, resp. užitek a všudypřítomný cost/benefit, nám vládnou. Buď se síťové technologie budou snažit teto svět změnit, nebo mu nakonec podlehnou, jako se stalo u IPv4.

[xkucf03]

Pokud nějaký linkový protokol (může to být něco ve stylu PPP) nepodporuje z principu bridgování, není to fašistické ani hloupé.

Jenže když bude správce sítě resp. provozovatel chtít, tak přes tu jednu linku nasměruje víc IP adres (resp. připojí víc koncových zařízení) a nebude potřebovat NAT. Nejde tedy o technické omezení, které vyvolává potřebu NATu, ale o neochotu správce poskytnout konektivitu pro víc zařízení.

[xkucf03]

Pardon, ale já vidím potřebu NATu jen jako obcházení nějakých pravidel (ano, ta jsou často nesmyslná). Např. zákaz připojit víc zařízení (na koleji, v mobilu, v práci atd.). Co se týče ochrany soukromí, tak bych volil jiné (lepší) prostředky než NAT.

[Petr Tomášek]

Jenže i to může být legitimní důvod, proč NAT použít

[trekker.dk]

Obcházení pravidel jako legitimní důvod? To je malinko protimluv, že jo...

[pavlix]

Tenhle případ je jediný, kdybych vůbec uvažoval o použití IP maškarády s IPv6.

Ale pravdou je, že bych to uměl stejně dobře vyřešit několika jinými způsoby bez maškarádý, například SOCKS proxy, která toho vždy uměla víc než NAT, nebo tunel, který protáhne cokoli a jinde přidělený prefix.

Ono totiž v případě, že se bude NAT na IPv6 používat v mizivých promilích případů, tak těch pár lidí s NATem bude muset řešit problémy, které za ně dřív řešil někdo jiný. Například pochybuju, že by se autoři VoIP aplikací nějak zabývali NAT traversal technologiema pro IPv6.

Maškaráda v IPv6 neumře na tom, že by nešla použít nebo že by ji někdo zakázal... ona umře na tom, že nikoho nebude bavit starat se o obrovské množství kódu, které slouží jenom k obcházení maškarády v různých aplikacích. Prostě úplně normálně vyhladoví na nezájem aplikačních programátorů i jejich šéfů.

[Ondrej 'SanTiago' Zajicek]

například SOCKS proxy, která toho vždy uměla víc než NAT

Ale byla vyrazne narocnejsi na pouziti (zejm. proto, ze clovek musel presvedcit vsechny aplikace na vsech pocitacich, aby to pouzivaly, oproti jednomu pravidlu na brane v pripade NATu).

[pavlix]

Ale byla vyrazne narocnejsi na pouziti (zejm. proto, ze clovek musel presvedcit vsechny aplikace na vsech pocitacich, aby to pouzivaly, oproti jednomu pravidlu na brane v pripade NATu).

Což by teoreticky neměl být problém. Obvykle to bude tak jeden-dva počítače (firemní síť si nejspíš bude moct dovolit koupit místo toho připojení k internetu), a pokud vím, tak není zase takový problém aplikacím podstčit alternativní implementaci socketů, a teoreticky by to šlo napojit přímo na TCP/IP stack OS, ne?

[pavlix]

NAT je překlad adres, to je trochu širší řešení, než jen řešení dostatku či nedostatku IP adres.

Spletl jste si blog, pan Tomášek psal o IP maškarádě.

[Ondrej 'SanTiago' Zajicek]

Prosím, vysvětlete mi potřebu NATu v IPv6

1. Rychle a okamzite pripojeni vice zarizeni na misto jedineho zarizeni. Samozrejme existuje mnoho dalsich zpusobu jak to udelat, ale ty obecne nejsou univerzalni (v mnoha pripadech nemusi fungovat, napr. bridging), nebo nejsou rychle a okamzite (napr. domluva s adminem, at na mne naroutuje prefix), nebo maji nejake netrivialni predpoklady a dalsi negativni dusledky (napr. zprovozneni IPv6 in IPv6 tunelu na misto, kde mi uz nekdo nekdo jiny ten prefix poskytl).

2. Multihoming pro male organizace. A ne, reseni zalozene na precislovani prefixu vsech hostu v siti (napr. pomoci RA) nepripada v netrivialni siti v uvahu.

3. Transparentni proxy (smerovana na jiny stroj). Uz tu bylo rozebirano.

[pavlix]

Samozrejme existuje mnoho dalsich zpusobu jak to udelat, ale ty obecne nejsou univerzalni (v mnoha pripadech nemusi fungovat

Což je vlastnost, kterou na IPv6 aplikacích budou velmi pravděpodobně s IP maškarádou sdílet.

2. Multihoming pro male organizace. A ne, reseni zalozene na precislovani prefixu vsech hostu v siti (napr. pomoci RA) nepripada v netrivialni siti v uvahu.

Teď jde o to, jestli měl namysli obecný NAT nebo maškarádu.

3. Transparentni proxy (smerovana na jiny stroj). Uz tu bylo rozebirano.

Viz výše.

[Ondrej 'SanTiago' Zajicek]

Což je vlastnost, kterou na IPv6 aplikacích budou velmi pravděpodobně s IP maškarádou sdílet.

Nijak vic nez na IPv4.

Teď jde o to, jestli měl namysli obecný NAT nebo maškarádu.

Mluvim obecne o NATu, tedy jak o statickem NATu 1:1 (v nekterych pripadech), tak o maskarade (v jinych).

[pavlix]

Nijak vic nez na IPv4.

A to si právě nemyslím (z důvodů v diskuzi i jinými již několikrát uvedených).

[Luboš Doležel (Doli)]

napr. domluva s adminem, at na mne naroutuje prefix

V případě IPv6 to tak ale ve většině případů už bude, takže je to problém dost abstraktní.

A ne, reseni zalozene na precislovani prefixu vsech hostu v siti (napr. pomoci RA) nepripada v netrivialni siti v uvahu.

Smím se zeptat proč? Protože místní adresy ("unikátní lokální adresy") se nemění, takže kvůli místním službám (SAPy atd.) se nic měnit nebude muset. Složitější je to jen v případě, že je tam routerů pod sebou více, pak je jen třeba to udělat ještě tam. SIGHUP a klienti rázem mají adresy nové. Neměl by být problém to zautomatizovat.

[Ondrej 'SanTiago' Zajicek]

V případě IPv6 to tak ale ve většině případů už bude

Nemyslim. Mozna u domaciho ADSL, ale pochybuji ze to bude bezne treba u wifi v hotelu nebo UMTS telefonu.

Smím se zeptat proč?

Je s tim spousta problemu, napr. staticke adresy (na vsech routerech a serverech). V pripade vice routeru to vyzaduje netrivialni infrastrukturu (napr. router pri bootu by nejdriv musel zjistit, ktere adresy si ma vubec nastavit), nevim o tom, ze by existovaly nejake standardni protokoly, ktere by to resily, a bastlit si to na kolene asi moc adminu nebude.

[Luboš Doležel (Doli)]

U ADSL určitě, příští týden vyjde reportáž o IT11 a tam o tom budu psát. U hotelové WiFi taky, protože tam vám přece musí lítat router advertisements. Prostě si místo jedné adresy vezmete adres víc a neřešíte to.

U UMTS bych se toho do budoucna nebál, protože lidi si chtějí svůj telefon připojit k PC a tak dále.

[sigma]

U UMTS bych se toho do budoucna nebál, protože lidi si chtějí svůj telefon připojit k PC a tak dále.

To já bych se bál. Technicky to půjde. Ale obchodně. Pochybuji, že mobilní (a někteří jiní) operátoři si nechají ujít příležitost tohle extra zpoplatnit jako "službu navíc".

[pavlix]

Jedna věc je pochybovat... druhá věc je vědět. Já si prostě počkám a pak to budu řešit (v nejhorším po svém).

[xkucf03]

Příloha:

• att-tethering.jpg (47483 bytů)

Bohužel operátoři za to budou chtít vybírat.

[Luboš Doležel (Doli)]

To jsou USA... Tam je to celý divný.

[pavlix]

V téhle oblasti nějakým prognózám příliš nevěřím, dokud to nemám černé na bílém. Pak se teprve rozhodnu, jak s tím naložit.

[xkucf03]

Ona to není prognóza, ale běžná praxe v USA (25 vs. 45 USD). U nás to (zatím?) není a operátoři to řeší přes FUP limity (když tak mě opravte -- internet v mobilu nepoužívám).

Když bude v Linuxu podpora pro NAT, která ušetří zákazníkům peníze, tak to bude konkurenční výhoda pro Linux (alespoň dočasná) a pomůže mu to zvýšit náskok před ostatními systémy.

Otázka je, jestli samotná existence téhle funkce napáchá nějaké zlo -- jestli třeba bude svádět správce k nějakým šíleným konfiguracím sítí. Ale vzhledem k tomu, že IPv6 adres bude všude dostatek, tak doufám, že si nikdo nebude nějakým NATem přidělávat práci a jednoduše přidělí každému zařízení jinou IP adresu.

[pavlix]

Ona to není prognóza, ale běžná praxe v USA (25 vs. 45 USD).

Já jsem to chápal tak, že tím chceš ukázat, že to bude i u nás.

Když bude v Linuxu podpora pro NAT, která ušetří zákazníkům peníze, tak to bude konkurenční výhoda pro Linux (alespoň dočasná) a pomůže mu to zvýšit náskok před ostatními systémy.

To je jeden pohled na věc.

Otázka je, jestli samotná existence téhle funkce napáchá nějaké zlo -- jestli třeba bude svádět správce k nějakým šíleným konfiguracím sítí. Ale vzhledem k tomu, že IPv6 adres bude všude dostatek, tak doufám, že si nikdo nebude nějakým NATem přidělávat práci a jednoduše přidělí každému zařízení jinou IP adresu.

Druhý pohled je, že když ta funkce nebude úplně běžně dostupná, a nebude ze začátku třeba ani na Linuxu, tak se neuchytí jako běžná praxe.

A pro řešení speciálních případů obvykle stačí IP NAT bez maškarády. Ten by se do Linuxu měl přidat asi co nejdřív.

Maškarádu bych do kernelu vůbec nedával a kdo chce, ať použije službu v userspace (navázanou na kernel, instalovanou zvláštním balíkem). Ale to je jen můj názor.

[sigma]

U hotelové WiFi taky, protože tam vám přece musí lítat router advertisements. Prostě si místo jedné adresy vezmete adres víc a neřešíte to.

Ono není WiFi jako WiFi. Takový Cisco Wireless Manager dělá často na všech vrstvách různou těžkou magii. A možná to někomu přijde jako kravina / fašistické omezení, ale zákazníci za to platí a rádi to používají - a to s IPv6 nezmizí.

Takže ta technologie vůbec nemusí povolit prostě si místo jedné adresy vzít víc a neřešit to. To je obecně i na Ethernetu, kde není v určitých prostředích výjimkou limit 1 MAC adresa na port switche. A tam pak nějaký bridge nepomůže.

[pavlix]

Mno já jsem zase byl ve firmě, kde jsou všecky lokální adresy veřejné, a celá síť je obrněna nepropustným firewallem a jediné, k čemu se ty IP používají je přístup na lokální proxy servery.

Takže ono se potká ledacos, a co z toho bude asi já osobně budu muset nechat až to přijde.

[Luboš Doležel (Doli)]

Je s tim spousta problemu, napr. staticke adresy (na vsech routerech a serverech). V pripade vice routeru to vyzaduje netrivialni infrastrukturu (napr. router pri bootu by nejdriv musel zjistit, ktere adresy si ma vubec nastavit), nevim o tom, ze by existovaly nejake standardni protokoly, ktere by to resily, a bastlit si to na kolene asi moc adminu nebude.

Radvd si už teď umí dopočítat prefix podle jiného rozhraní. Je to jen pro 6to4, ale jestli vyvstane potřeba, určitě to rozšíří...

[pavlix]

Je s tim spousta problemu, napr. staticke adresy (na vsech routerech a serverech). V pripade vice routeru to vyzaduje netrivialni infrastrukturu (napr. router pri bootu by nejdriv musel zjistit, ktere adresy si ma vubec nastavit), nevim o tom, ze by existovaly nejake standardni protokoly, ktere by to resily, a bastlit si to na kolene asi moc adminu nebude.

Nejsem si jistý, jestli jsem tě správě pochopil, ale mám za to, že tohle přesně dělá DHCPv6. Router dostane kromě vnější adresy přidělen i vnitřní prefix.

[Ondrej 'SanTiago' Zajicek]

To je ale urceno pro trochu jinou aplikaci (prideleni prefixu pro domaci sit), nikoliv k tomu, aby nekdo konfiguroval vnitrni routery v siti pres DPCP (coz je samo o sobe hruzostrasna predstava).

[pavlix]

To je ale urceno pro trochu jinou aplikaci (prideleni prefixu pro domaci sit), nikoliv k tomu, aby nekdo konfiguroval vnitrni routery v siti pres DPCP (coz je samo o sobe hruzostrasna predstava).

Nemám pocit, že by přidělování prefixů přes DHCP bylo takto omezené.

Já osobně dávám v infrastruktuře teda přednost ručně nastaveným adresám, ale v principu na to podle mě jde DHCP použít.

[Mandarinka]

Prosím, vysvětlete mi potřebu NATu v IPv6, děkuji.

Lidi si budou stavět svoje sítě jak jim bude libo, ať si neblbové i blbové budou říkat co budou chtít.

[pavlix]

Lidi si budou stavět svoje sítě jak jim bude libo, ať si neblbové i blbové budou říkat co budou chtít.

Problém vidím v tom, že jim na tom část aplikací nebude fungovat a programátoři jim k tomu „zapomenou“ dodělat berličky typu ICE-UDP.

[pavlix]

IPv6 je nový protokol daný shůry. Kdo se pokusí byť jen poukázat na jakýkoliv drobný nedostatek, bude prohlášen za zpátečníka, lenocha co se nechce nic učit, nechápajícího dementa, rouhače a antikrista. Následně bude ukamenován nezpochybnitelných dogmaty a po smrti přijde do pekla.

Zajímavé, blog pod který píšeš vyznívá přesně naopak :).

[merlik]

Kdyby IPv4 nemělo takový úspěch jako má a nemělo například nedostatek s nedostatkem :) adres, tak by asi ani NAT nevznikl. Podíval bych se na čísla a data vzniků RFCéček k daným věcem...

[Atom321]

NAT se používá i na jiné věci, než řešení nedostatku IP adres.

[Luboš Doležel (Doli)]

A jaké? Protože u IPv6 podle mě ztrácí smysl i věci jako NAT 1:1.

[Atom321]

No a podle mě (a i jiných) NAT pro určité použití stále smysl má, např. pro transparentní WWW cache, různé triky s přesměrováním provozu na jiné stroje - pro dělení zátěže, řešení "high availability".

Odpůrci NATu tvrdí, že se to má řešit nějak jinak. No a zastánci NATu s nimi nesouhlasí. Je to takový čistě filozofický skoro až náboženský spor.

[Luboš Doležel (Doli)]

U WWW cache nevidím důvod, proč by mělo probíhat překladání síťové adresy. U dělení zátěže také ne, pokud vím, tak HA loadbalancery nefungují na úrovni toho, že by manipulovali s NAT tabulkou.

[Atom321]

Řeč byla o transparentní cache. Load-balancer (nebo fail-over) s NATem je jedna z používaných metod.

[Let_Me_Be]

Transparentni cache je jenom presmerovani portu, o zbytek se stara samotna cache, ktera vystupuje jako zdroj HTTP pozadavku. Tudiz k zadnemu prekladu adres nedochazi ani nema proc dochazet.

[pavlix]

To přesměrování (přepsání) portů je jednou z aplikací NAT, jen to není maškaráda (tedy je to pod tímto blogem offtopic).

[Luboš Doležel (Doli)]

ip6tables -t mangle -A PREROUTING -p tcp --dport 80 -j TPROXY --on-port 8080

nebo kde tu proxy máte.

[pavlix]

# ip6tables -t mangle -A PREROUTING -p tcp --dport 80 -j TPROXY
ip6tables v1.4.10: Couldn't load target `TPROXY':/lib64/xtables/libip6t_TPROXY.so: cannot open shared object file: No such file or directory

1) TPROXY v ip6tables není (Fedora 15)

2) TPROXY neumí udělat redirect na jiný stroj podle dokumentace k iptables.

[trekker.dk]

1) TPROXY v ip6tables není (Fedora 15)

Viz #76

[pavlix]

Viz #76

Díky.

[petr_p]

2) TPROXY neumí udělat redirect na jiný stroj podle dokumentace k iptables.

Na odkláněcím routeru se v směrovacích tabulkách nastaví cesta na stroj, na kterém běží transparentní proxy. Překlad v tomto případě není potřeba.

[pavlix]

Což je docela ok, ale měnit default routu je málo selektivní. Ledaže by se šlo přes markování paketů a samostatnou routovací tabulku.

Každopádně už je na tom vidět, že to začíná být pro běžného smrtelníka podstatně složitější než jedno NATovací pravidlo na routeru.

[petr_p]

Překlad adres má zase své nevýhody, taková proxy už není zcela transparentní (server dostane jinou zdrojovou adresu) a v případě protokolů, které nemají explicitní lokátor (například FTP), ani fungovat nebude, neb proxy nebude vědět, kam se klient chtěl připojit.

[pavlix]

Překlad adres má zase své nevýhody

Samozřejmě.

taková proxy už není zcela transparentní (server dostane jinou zdrojovou adresu) a v případě protokolů, které nemají explicitní lokátor (například FTP), ani fungovat nebude, neb proxy nebude vědět, kam se klient chtěl připojit.

Mně osobně se koncept transparentní proxy nelíbí vůbec. Podle mě by bohatě stačilo, kdyby stroje dostávaly informaci o proxy (možná i SOCKS, která umí navazovat spojení libovolně a otevírat porty). Překlad by se zablokoval. Operační systém (či služba) by znal proxy, kterou by obratem poskytoval aplikacím přes socketové rozhraní, a pokročilejší aplikace by mohly stejnou proxy použít pro otevření portů či navázání spojení přímo.

[xkucf03]

Díky. To řeší moji otázku, kterou jsem položil před dvěma lety

[pavlix]

No vidíš, jak už se věci rozhýbávají :).

[Miloslav Ponkrác]

To není náboženský spor – NAT pro IPv6 prostě je a bude. Buď vznikne jako standard, nebo vznikne NAT standard divoce, evolucí zdola, a bude tu řada nekompatibilních NAT stanardů – z čehož se časem budou muset podporovat 3-4.

Když NAT vznikne stanardizací shora, bude to jeden ucelený standard. Situace bude mnohem lepší.

[marek_hb]

a země je placatá tečka a slunce obíhá kolem země tečka a planety jsou jen díry v nebeské klenbě kterými k nám prosvítá světlo boží tečka

- tím nezpochybňuju NAT pro IPv6 ale Vaši argumentaci

[marek_hb]

ps. nezpochybňuji protože do toho moc nevidím - ne že bych ho z nějakého důvodu obhajoval

[xvasek]

No jo, NAT bude, ale lidem za ním prostě nebudou fungovat nějaké služby, tak nebudou moc rádi. Když někdo dnes programuje aplikaci, která potřebuje procházet přes NAT, dá si tam něco jako STUN (Google talk) nebo vymyslí do té infrastruktury nějaké veřejné servery, které se o přenosy postarají (SIP proxy), nebo prostě ukradne počítače uživatelům (Skype), ale když to bude portovat na IPv6, tak se na to prostě vyflákne a nic takového dělat nebude. Takže ano, NAT technicky existovat bude, na Facebook se přes něj uživatelé dostanou, ale třeba na telefonování nebo přímé posílání souborů se uživatelé těšit nemusí.

[pavlix]

Přesně tak.

[Let_Me_Be]

Kurna zjisti si co to vubec NAT je nez tady zacnes vykladat takove blbosti. CO ma proboha NAT spolecneho s transparentni WWW cache?

[Atom321]

NAT se používá pro přesměrování odchozích spojení (s libovolnou cílovou IP adresou) na lokální cache server (typicky squid):

iptables -t nat -A PREROUTING -p TCP --dport 80 -j REDIRECT --to-port 3128

[Let_Me_Be]

To ze tam je -t nat jeste neznamena ze to je NAT. Pouziva se na to stejny subsystem iptables, ale portforwarding sam o sobe neni NAT.

[Atom321]

NAT znamená "network address translating", česky překlad síťových adres. Překládá se dvojice adresa cíle:port 80 na localhost:port 3128. Tedy překládá se IP adresa a port. Klidně tomu ale říkejme "port-forwarding". Pak vám můžu směle oznámit, že port-forwarding v IPv6 taky není, protože návrháři ho považují za podmnožinu NATu a rozhodli se, že nic takového tam nebude.

[Luboš Doležel (Doli)]

Ano, namísto toho zavedli právě pro tyto případy TPROXY. ip6tables >= 1.4.11.

[Atom321]

To jsem nevěděl, děkuji. V čem je to lepší než NAT a proč to nevzniklo už dřív?

[Luboš Doležel (Doli)]

No, slouží to jen k tomu jednomu účelu (na rozdíl od NATu) a vzniklo to právě jen kvůli transparentním proxy. Ale ozkoušené to nemám, nikdy jsem takovou proxy ostatně neměl potřebu provozovat.

[Atom321]

V tom je ten asi ten problém - návrháři IPv6 to taky nepotřebovali. Udělat pro každé použití NATu rovnocennou (nebo lepší) náhradu, to je taky cesta. Bohužel jsme ale zatím na jejím začátku, což nasazování IPv6 brzdí.

[pavlix]

Tahle náhrada je stejně dobrá v IPv4 jako v IPv6, je pro pořádek.

Má jediné dva problémy.

[pavlix]

Ok, tak ten problém s neimplementací už je jak vidím vyřešen.

[Let_Me_Be]

NAT je o tom ze se ty preklady generuji automaticky podle vytvarenych spojeni.

Navic port-forwarding je ciste lokalni zalezitost firewallu, takze nevim duvod proc by to pro IPv6 nemelo fungovat.

[Atom321]

Port-forwarding může směrovat i na jiný stroj, pokud cache běží jinde než na routeru. Proč to na IPv6 nefunguje, to taky nechápu.

[Filip Jirsák]

Nebylo by lepší směrování řešit pomocí konfigurace směrovače, než kvůli tomu přepisovat hlavičky?

[pavlix]

Bylo ale v mnohých případech je to dražší.

[pavlix]

Port-forwarding může směrovat i na jiný stroj, pokud cache běží jinde než na routeru. Proč to na IPv6 nefunguje, to taky nechápu.

Ono to bude fungovat i na IPv6, jen na to ještě nejsou připravené pohodlné moduly.

[pavlix]

Navic port-forwarding je ciste lokalni zalezitost firewallu, takze nevim duvod proc by to pro IPv6 nemelo fungovat.

Jednak to nefunguje, protože to není implementované (zatím). Druhá věc je, že port-forward není čistě lokální záležitost a používá se právě k přesměrování trafficu na jiný stroj, kde TPROXY nestačí.

[pavlix]

Kurna zjisti si co to vubec NAT je nez tady zacnes vykladat takove blbosti. CO ma proboha NAT spolecneho s transparentni WWW cache?

Přesměrování IP a portů je jedna z funkcí NATu. Transparentní proxy funguje právě na principu přesměrování (přepsání/přeložení IP a portu).

[pavlix]

Luboši, ty se bez NATu 1:1 jistě obejdeš. Ale zkus někdy pracovat s lidma, kteří jsou zvyklí, že se třeba při pádu serveru přihlásí na hlavní router a nechají nějakou IP překládat na server záložní.

Vím, není to koncepční řešení, dá se to řešit lépe.

Zrovna budu jedno takové NATové řešení krizového failoveru předělávat na řešení pomocí OSPF. Ale věř, že mě to stálo několik hovorů v celkové době asi dvě hodiny, než jsem dotyčnému vysvětlil, proč je to lepší řešení.

A kdyby na síti už OSPF nebylo z jiného důvodu, jistě bych dotyčného nepřesvědčil, aby si mě zaplatil ještě na nasazení OSPF jen kvůli tomu.

[sigma]

Aneb celé je to o střetu peněz a ideálů / toho, co je technicky lepší, nicméně v dané situaci dražší. Ono totiž jsou prostředí, kde potřebujete propojit systémy spravované různými subjekty, a dosáhnout dohody na změně nastavení "cizího" je někdy extrémně těžké nebo nesmyslně drahé. A pak přichází na řadu ty "prasárny", za které vás odmění, protože to jakž-takž funguje za 10 % ceny.

[pavlix]

V tomhle případě se „dražší“ řešení vyhodnotilo jako lepší, protože v širším kontextu ani dražší nebylo (přesněji řečeno ta dražší část byla už nasazena z jiných důvodů a stačila mírně doplnit).

Ono totiž jsou prostředí, kde potřebujete propojit systémy spravované různými subjekty, a dosáhnout dohody na změně nastavení "cizího" je někdy extrémně těžké nebo nesmyslně drahé. A pak přichází na řadu ty "prasárny", za které vás odmění, protože to jakž-takž funguje za 10 % ceny.

V takovém případě bych asi volil standardní (tedy dražší) řešení a zdůraznil bych, že je dražší jen proto, že se těch (i kdyby jen de facto) standardů nedrželi jiní :). Ano, i ajťáci umějí být svině :).

[trekker.dk]

Ale zkus někdy pracovat s lidma, kteří jsou zvyklí, že se třeba při pádu serveru přihlásí na hlavní router a nechají nějakou IP překládat na server záložní.

Ano, je veliký problém říct nějakému stroji, že si má převzít IP adresu toho spadlého serveru.

[pavlix]

Ano, je veliký problém říct nějakému stroji, že si má převzít IP adresu toho spadlého serveru.

Přesně tak, je to velký problém.

[trekker.dk]

Cože? Tohle bych pochopil, kdyby router blokoval pakety z té přestěhované IP, protože chodí z jiného portu a tys k tomu neměl přístup. Ale když se k tomu routeru můžeš přihlásit, tak já tam problém prostě nevidím...

[pavlix]

Ne. Tohle bys možná pochopil, kdybys pořádně přečetl ten první příspěvek. A možná taky ne, možná bys musel nějakou dobu pracovat v reálném prostředí malého poskytovatele, co si všechno dělá sám (šetří) a jen na věci, co neumí nebo časově nezvládá, si bere lidi.

Ale ne nad tím jen přemýšlet, musem bys s těmi lidmi chvilku pracovat.

[SPM]

Jo, nicméně samotný NAT vznikl jen jako řešení problému s nedostatkem adres a ještě přímo v tom RFC je napsáno, že je to další krátkodobé řešení na tenhle problém... akorát pak se vyrojila armáda takyadminů, co přišla na to jak si co nejvíc zjednodušit práci, jen aby nemuseli něco udělat pořádně...

[Atom321]

Internet vznikl jako akademický experiment čtyř univerzit kdesi za oceánem. S jeho větším rozšířením se nepočítalo, proto stačila tak krátká adresa. Pak se vyrojila armáda takyadminů, kteří k němu připojili další a další počítače a sítě a rozšířili po celém světě.

Jediné správné a čisté řešení je celý Internet okamžitě zrušit.

[SPM]

Co je to za bláboly pro krista? Když se projevilo, že to bude problém, tak se za a) začal vymýšlet nějaký jiný mechanismus, který problém vyřeší (IPv6), b) se rychle ubastlilo krátkodobé řešení, aby to mezitím nějak fungovalo (NAT)... bohužel to dočasné krátkodobé řešení tu zůstalo dodnes a co víc, někteří k němu mají asi nějakou sexuální úchylku a vzrušuje je představa NATovat i IPv6 adresní prostor.

[Atom321]

Tak jinak, polopaticky: NAT se používá i pro jiné věci, než byl původně navržen. (To je fakt, který si můžete ověřit sám a nebudu ho zde vysvětlovat.) IPv6 musí vyřešit všechna použití IPv4 NATu, nejen nedostatek adres. Pak už NAT nebude potřeba a vyhyne.

[SPM]

Akorát jak se zatím snad u všech požadavků objevilo, tak se buď používá na zprasení něčeho, aby to nějak fungovalo, než to udělat pořádně nebo k tomu nějaký ekvivalent existuje (jen by si holt někdo musel něco přečíst...)

[pavlix]

Tady jde spíš o to, že obecný NAT je často jedno z možných řešení. A tam, kde se nectí nějaký náboženský důvod, se klidně přepisování adres a portů použije.

[sigma]

prasení něčeho, aby to nějak fungovalo, než to udělat pořádně

Velmi často je problém v tom, že "udělat pořádně" je násobně nebo dokonce řádově dražší než "zprasit. Jistě, že zprasené řešení má rizika, ale ta pořád mohou být hluboko pod cenou "pořádného řešení". Tady je podle mě jediné řešení čas, a osvěta ohledně "čistých", a "historií nezatížených" sítích.

[pavlix]

Velmi často je problém v tom, že "udělat pořádně" je násobně nebo dokonce řádově dražší než "zprasit. Jistě, že zprasené řešení má rizika, ale ta pořád mohou být hluboko pod cenou "pořádného řešení". Tady je podle mě jediné řešení čas, a osvěta ohledně "čistých", a "historií nezatížených" sítích.

Řada lidí by ti mohla povědět o svých zkušenostech s tím, jak dopadly příliš zprasené sítě.

Na jednoduchá zprasená řešení musí člověk/firma mít.

[SPM]

No, přijde mi, že ve většině těch nákladů je akorát to, že nabastlit nat dokáže už skoro každej klikač ve windows, vymyslet nějaké koncepčnější řešení dokáže člověk, co o tom něco ví (a nechá si to zaplatit...).

[sigma]

To není zásadní podstata toho problému. Vymyslet můžete cokoliv, ale v nějakém rozsáhlejším prostředí vše nespravuje jeden člověk, jsou tam různé technologie s různými omezeními - technickými, ale často i spíše "obchodními". Za podporu mého koncepčně vymyšleného řešení může externí dodavatel nějaké technologie chtít hromadu peněz. Jistě můžete říct, že takový stav je špatně, a firma by měla mít vše pod kontrolou a plnou správou. Nebo toho dodavatele/technologii vyhodit. Snad chápete, že tak jednoduché to všude není.

[pavlix]

NAT se používá i na jiné věci, než řešení nedostatku IP adres.

V nadpisu zápisku byla Maškaráda.

[SAM:]

Z toho co jste uvedl jako důvody, dokáže naše NetFlow sonda dost vyčmuchat i když jsou klienti za NATem. NAT je zbytečnost na nutné zlo. Proč používat ICE na telefonii, když můžu telefonovat přímo z veřejné IP na veřejnou.

[Miloslav Ponkrác]

Pokud je to zbytečnost, tak to přeci nikdo nebude používat. Namísto keců, že to nebude se to prostě má udělat – a pokud máte pravdu zašlo by to ne úbytě pro nezájem.

Osobně se myslím, ale že by realita ukázala něco jiného.

Svět prostě NAT chce a já ho pro IPv6 chci taky. A on ho taky svět dostane bez problémů – jen se o několik let opozdila možnost přechodu na IPv6. Ničeho jiného se nechutí k NATu shora nedosáhlo.

[Luboš Doležel (Doli)]

NAT svět chce, ale vyplývá to ryze z neznalosti nového protokolu...

[Miloslav Ponkrác]

A nebo z neznalosti autořů a fanatičností evangelizátorů IPv6.

NAT se bude používat a užitečně používat více, než by si technicky zaměření lidé nenávidějící NAT přáli.

Odborníci také postavili Titanic a něco o něm laikům tvrdili. Autoři IPv4 také vyšli s premisou, že 2^32 IP adres je mnoho. IBM tvrdila, že 5-6 počítačů pro celý svět stačí.

Prostě odborníci moc čtou své politbyro a mají nedostatek představivosti. S prominutím, NAT se rozšíří jako integrální součást IPv6. První roky se nebude moc používat, protože techničtí fanatici NAT nenávidí. Ale i oni časem přijdou na to, že „překlad adres“ != „pouze řešení nedostatku IPv6“.

W3C také mělo určitou představu, jak se bude používat HTML, která naprosto selhala v praxi. Představa, že weby budou sémantické, nikdo nebude řešit vzhled a design atd. se moc neosvědčila.

Stejně tak se neosvědčí představa o IPv6 bez NATu. Ale odborníci nakonec toto nerozhodují. Naštěstí. NAT v IPv6 bude, může se proti tomu protestovat, může se s tím nesouhalsit, ale IPv6 bude s NATem.

[Luboš Doležel (Doli)]

Přestaňte jak malej Jarda vykřikovat, že to tak bude a bude a bude, a řekněte mi kruci už konečně, k čemu se to dá použít.

[Miloslav Ponkrác]

K překladu adres, od toho NAT vždycky byl.

Já nic nevykřikuji, já se jen bavím. Prostě jsem neskočil na Váš špek s potřebou.

Když chcete něco srovnávat, je třeba srovnávat objektivní ukazatele dvou řešení – jako třeba náklady, čas, peníze, TCO a další.

A protivníci NATu nic nedokazují, prostě tvrdí, že NAT není potřeba a basta. Dokažte, že je říkají. Já s nimi souhlasím, NAT skutečně potřeba vůbec není. Jen je řešení s NATem v určitých situacích výhodnější z objektivních hledisek, ale skutečně potřeba nutně není. Lze místo něj třeba použít dražší, nebo nákladnější řešení.

Takže já s Vámi souhlasím, NAT není nutně potřeba. Jen je někdy lepší jako řešení.

A dokud se nebudeme bavit objektivně a v objektivních ukazatelích, bojuji jen tehdy, pokud je co získat, a nebo se dá něco změnit. Tady se nemusím snažit, protože NAT bude i kdyby protivníci skákali až do stropu. Takže na úrovni „potřeb“ a subjektivních emocí se nebavím.

[kralyk z abclinuxu]

Ano, NAT je levější řešení, protože není potřeba kupovat IPv6-compatible zařízení a protože "se to prostě nahodí a vono to nějak pojede". Technologicky nevyspělá řešení bývají levnější.

Takže jde o to, kolik peněz chcem investovat do technologické vyspělosti internetu.

Jestliže se chceš bavit o nějaké filosofické objektivnosti a ldiských potřebách, můžem klidně taky nasadit solypsismu a říct, že všecko je nám vlastně šumák.

[pavlix]

Ano, NAT je levější řešení, protože není potřeba kupovat IPv6-compatible zařízení a protože "se to prostě nahodí a vono to nějak pojede". Technologicky nevyspělá řešení bývají levnější.

Tohle řešení ale naštěstí taky umře :), i když je z krátkodobého hlediska nejvýhodnější.

[SPM]

V jednom pravdu máte - NAT není pouze řešení nedostatku adres... NAT je ZLO

[SPM]

Nj, stejně jako PCčka se rozmnožili, ač to snad byla nejhorší architektura, nejrozšířenější OS je mrdka od Microsoftu... tak snad aspoň tomu NATu se třeba ubráníme...

[Miloslav Ponkrác]

Neubráníte. Je snadnější zlikvidovat PC platformu, nebo zničit Windows, než zabránit NATu v IPv6.

Zničit Windows je relativně jednoduché – stačí vedle toho postavit operační systém s vyššími kvalitami, stejnou jednoduchostí instalace (slovo jednoduchostí berte s rezervou) a který téměř na 100% spustí všechny aplikace Windows, kterému dáte marketink, nižší cenu a lepší vlastnosti.

NAT v IPv6 je ovšem zcela jistý. Ať se budete bránit jak chcete.

[kralyk z abclinuxu]

NAT v IPv6 je ovšem zcela jistý. Ať se budete bránit jak chcete.

No a?

[SPM]

To jsou zase hlody... vaše sebevědomí bych v takových tvrzeních někdy chtěl mít :)

[pc2005]

Spíš by mě zajímalo jak zničit PC platformu (v čase mám na to čímdál větší chuť ).

Já osobně bych NAT v IPv6 nepotřeboval, už teďka mám k dispozici přes 6to4 tunel asi 64bitů konfigurovatelné části adresy.

[Gilhad]

Zacit masove vyrabet neco lepsiho s dostatecnym vykonem a nizsi cenou. Svym zpusobem k tomu smeruje ARM, i kdyz velice pomalu - ale IMHO se blizi doba, kdy dalsi rust vykonu CPU uz mnoha lidem neprinese viditelne zlepseni a tak i pomalejsi HW bude siroce pouzitelny. (Srovnejte si vykon ARM ted a vykon x86 pred treba 15 lety, kdy x86 stejne vevodilo)

[Michal Kubeček]

IMHO se blizi doba, kdy dalsi rust vykonu CPU uz mnoha lidem neprinese viditelne zlepseni

To možná u toho ARMu, u klasických Intel/AMD ta doba IMHO trvá už asi tak pět let.

[Gilhad]

Muze byt, uz delsi dobu kupuju v x86 to nejlevnejsi s tim, ze je to pro me i tak zbytecne vykonne.

Ale chtel jsem rict - az ARM dosahne jisteho hranicniho vykonu, ktery bude uzivatelum stacit, tak to muze (a nemusi) vest k potlaceni vyznamu x86. Bude zalezet na cene, uspornosti a mnoha jinych kriteriich, jejichz vztahy se taky casem meni. Kdysi se lidi trumfovali hrubym vykonem stolniho pocitace, ted se trumfuji vydrzi notebooku na baterky, kdovi co bude za pet let?

Takze odstaveni PC platformy IMHO muze nastat relativne brzo, zavisi na technologiich a modnich trendech ...

[pc2005]

Jj v to doufám. Vidím, že máš stejný názor, že cesta vede přes ARM .

[Heron]

Za pět let se budou lidé trumfovat o to, kdo přišel o více dat uložených na cloudu.

[xkucf03]

jj

A co se týče trendů v hardwaru, tak bych očekával důraz na snižování spotřeby -- ne kvůli nějaké zelené ideologii, ale prostě proto, aby ta zařízení na baterku vydržela déle.

[Let_Me_Be]

NAT se pouziva proto, protoze mas na jedne IP adrese povesenych X pocitacu, ne proto, ze to zvysuje bezpecnost.

[xkucf03]

Namísto keců, že to nebude se to prostě má udělat – a pokud máte pravdu zašlo by to ne úbytě pro nezájem.

A není dostatečným důkazem nepotřebnosti to, že to ani nevznikne? (místo aby to muselo nejdřív vzniknout a pak zajít)

I když podle mého NAT pro IPv6 vznikne -- ale z jiných důvodů, než tu hlásají jeho příznivci.

[pavlix]

I když podle mého NAT pro IPv6 vznikne -- ale z jiných důvodů, než tu hlásají jeho příznivci.

Přesně tak, NAT pro IPv6 vznikne spíš z důvodů, kteřé hlásáme my „odpůrci“, co ho používáme jen v případech, které nejdou/nechceme řešit lépe.

[Petr Tomášek]

A co dokáže vyčmuchat, když budou mít např. všechna zařízení uvnitř sítě stejný OS?

[xkucf03]

Např. při prohlížení webu můžou lidé používat různé prohlížeče nebo jejich verze. Ale i kdyby měli stejnou, už i samotná intenzita a frekvence HTTP požadavků leccos prozradí (např. jeden člověk by nedokázal klikat na několik webů současně). Trochu se dá bránit šifrováním, ale i tak bude vidět, na jaké servery a jak často ty požadavky jdou. Případně všechen provoz zabalit do nějakého tunelo/vpn, ale i tak je pořád vidět celkový objem přenášených dat a průběh v čase. A tohle všechno platí s NATem i bez NATu.

[Salamek]

dej si facku, NAT prinesl vice problemu nez kdy vyresil

[Miloslav Ponkrác]

Právě díky tomu, že autoři IPv6 se příliš rozhodují co je pro lidi dobré a špatné, tak lidi se rozhodli, že IPv6 budou víceméně co nejdéle ignorovat.

Je to harmonie na obou stranách a je to vyváženost.

[SPM]

Lidi se nerozhodli, upřímně, většině lidí je to úplně u prdele a nějaké ÍPéVéněco vůbec neslyšeli

[xkucf03]

tak lidi se rozhodli, že IPv6 budou víceméně co nejdéle ignorovat.

1. IPv6 už se používá a málokdo z firem si ho už dneska dovolí ignorovat, protože je to nevyhnutelné -- IPv4 Internet je dožívající technologie, která tu sice nějakou dobu ještě bude, ale bez perspektivy a budoucnosti.
2. Že se IPv6 nenasazuje rychleji není zapříčiněno chybějícím NATem.

[Gilhad]

Historická vsuvka:

O 5.5 roku později - IPv4 pořád "dožívá" a IPv6 dosud žezlo nepřebrala, i když ji řada firem podporuje jako alternativu... a pořád to nevypadá na to, že by se to v blízké době mělo nějak výrazně zmenit a IPv4 + NAT se měla odebrat na hřbitov dějin. (Jen pomalu utichá hlasitost přesvědčování, že IPv6 je in a IPv4 mrtvá a naopak spousta zařízení podporuje obě technologie. Ale spousta lidí pořád IPv6 ignoruje a nevidí důvod přecházet "když nám vlastně vše potřebné chodí")

[Michal2]

Nejsem sice sitar ale nevidim na prvni pohled prekazku v tom, udelat v ipv6 NAT. Teda kdyby nekdo mermomoci takovou volovinu delat chtel.

[SPM]

Překážka je v tom, že by tu implementaci napřed musel někdo napsat, což díkybohu takyadmini, co ho tak potřebují, nezvládnou...

[Salamek]

lol +1

[Pindal]

Tak, tak. Nicméně má Ponkrác pravdu, NAT v IPv6 bude. Ale pak umře, protože generace zdegenerovaných takyadminů vymře a ti nový si nebudou komplikovat myšlení a práci takovou blbostí jako je zbytečné překládání adres. To máš jak s ifconfig vs ip. Mimochodem jsem degenerát, používám ifconfig.

[VasekM]

Ja taky. Ipconfig ruleZ

[kralyk z abclinuxu]

[Vantomas]

Aby nakonec IPv6 NAT nenaprogramovali čínský krabičko-programátoři, o to na lepší úrovni NAT bude a o to líp budou fungovat všechny služby skrze takový NAT procházející. :)

[pavlix]

Čína předvedla IPv6 už na olympijských hrách :). Navíc číně by mohly dojít i IPv4 adresy pro NAT (čísla neznám). Jestli bude čína dělat IP maškarádu v krabičkách, tak to bude čistě vývozní artikl do Afriky s pár kouskama českým astrologům.

[Miloslav Ponkrác]

„Překážka je v tom, že by tu implementaci napřed musel někdo napsat, což díkybohu takyadmini, co ho tak potřebují, nezvládnou...“

Od té doby co programátoři pracují za peníze, tak napíši poměrně hodně věcí, které žádá trh.

Navíc nemám pocit, že psaní síťových věcí by byl vrchol obtížnosti v programování. Patří to spíše k těm jednodušším programátorským úlohám.

[Luboš Doležel (Doli)]

Na úrovni kernelu? To bych neřekl.

[kralyk z abclinuxu]

Navíc nemám pocit, že psaní síťových věcí by byl vrchol obtížnosti v programování. Patří to spíše k těm jednodušším programátorským úlohám.

[SPM]

Nj, akorát že pro ty takyadminy je velký problém koupit čínskou krabičku za 2k, protože je to drahé, dost pochybuji, že by na to zaplatili programátora, co to umí a udělá :) a v těch vyspělých a drahých sítí IPv6 obvykle buď už funguje anebo se experimentuje s jejich nasazováním (bez blbostí ala NAT)

[xkucf03]

+1

[wtfjakovocode]

lol, tvoje posledni dva prispevky v blogu spolu souvisi. poukazuji na tvoje pokrocile stadium demence

[Vantomas]

Ale skutečná "výhoda" NAT tu opravdu nezazněla.

Mějme nějaké zařízení, to je na nějakém místě a má nastavenou IP adresu z onoho místa, pak zařízení odvezeme, že ho už nepotřebujeme a umístíme někam na sklad, jenže za nějaký čas vznikne situace, že by se toto zařízení mohlo dát někam jinam, na nové místo, což znamená mít nové IP adresy pro zařízení.

A teď buď můžu předem nastavit IP adresy v klídku, ještě než zařízení dovezu na nové místo a nebo vznikne situace, že zařízení se musí na místo odvést honem rychle a není čas nastavit IP adresy.

Pokud nastane druhá situace, můžu se pak večer doma v klídku za pomocí NAT na zařízení dostat a změnit si IP adresy, bez toho aniž bych musel rozbíjet síť po cestě k zařízení přidáváním statických rout a způsobit tak ohrožení rozbití jiného trafficu z onoho segmentu sítě...

A pomiňme, že zařízení má přidělovanou adresu z DHCP, ne vždy tam běží DHCP server, ne vždy zařízení umí DHCP klienta.

[Luboš Doležel (Doli)]

Podle router advertisements si zařízení adresu nastaví automaticky a bude předvídatelná a dopočitatelná. Žádné routy řešit nemusíte.

Prostě pokud víte adresu podsítě, kam jste to zařízení dal, tak víte i adresu, na které je to zařízení dostupné. Více o EUI-64.

[Luboš Doležel (Doli)]

Nějaký ipcalc to určitě spočítat umí, každopádně tady je online kalkulačka.

[pavlix]

Ono se stačí podívat na druhou půlku IPv6 adresy v době, kdy to máš připojené jinam.

[Luboš Doležel (Doli)]

Kdo by se s tím dělal Ještě se tam vkládá snad nějaké fffe...

[Luboš Doležel (Doli)]

Jo tak, jinam, jasně.

[pavlix]

A změní se patnáctý bit :). A bude to v příštím díle seriálu :).

[Luboš Doležel (Doli)]

Já vím, že je tam i nějaká negace bitu. Ale kdo by se s tím počítal, že jo

[pavlix]

No v předchozím svém konceptu jsem se dočetl že sedmý, ale uvědomil jsem si, že je to o kousek vedle :D.

[SPM]

No minimálně to zařízení bude mít automaticky nějakou linkovou adresu, takže pokud jsem schopen se přihlásit na nějaký jiný prvek ve stejné L2 síti, dostanu se i na toto zařízení

[pavlix]

A teď buď můžu předem nastavit IP adresy v klídku, ještě než zařízení dovezu na nové místo a nebo vznikne situace, že zařízení se musí na místo odvést honem rychle a není čas nastavit IP adresy.

IPv6 má link-local adresy, pomocí kterých se k zařízení připojíš třeba i přímo kabelem, spustíš konfigurační rozhraní a nastavíš to na místě.

Dřív se to dělalo pomocí speciálních služeb jako Mikrotik MAC Telnet, ale IPv6 už to má zabudováno v sobě.

A pomiňme, že zařízení má přidělovanou adresu z DHCP, ne vždy tam běží DHCP server, ne vždy zařízení umí DHCP klienta.

DHCP je mi úplně jedno, k tomuhle slouží LL adresy.

[Filip Jirsák]

Všechny tyto požadavky maškaráda na IPv4 elegantně řeší tím, že zamaskuje vnitřní zařízení pro pozorovatele zvenčí pod jednu IP adresu.

Neřeší.

[Let_Me_Be]

NAT neni firewall. NAT ani jeden z tech tvych pozadavku vubec neresi.

[Petr Tomášek]

Hahaha, jak ty požadavky řeší firewall?

[Let_Me_Be]

Uplne trivialne. To ze ma pocitac verejnou IP adresu jeste neznamena, ze se na ten pocitac z internetu dostanes. Neni problem postavit pod-sit ktera bude moct vytvaret spojeni ven, ale nepujde vytvaret spojeni na tyto pocitace z venku. Staci na router hodit centralni firewall.

[pc2005]

Jj na čistém IPv4 NATu se dá zvenku připojit na libovolný počítač uvnitř a třeba i skenovat vnitřní síť. Tu ochranu proti tomuto řeší až firewall.

[Petr Tomášek]

Hele, takovýto debílky fakt miluju, kteří reagují na něco, co člověk vůbec nepsal . Kde se v blogu píše od "dostání se na ten počítač z internetu", ha?

Hele, mám pocit, že jsi automat, kterej když narazí v blogu na výraz IPv6, tak začne automaticky trollit

[Let_Me_Be]

Ano ty chytrej?

Tak mi vysvetli co vic u IPv6 potrebujes nez nedostupnost tech pocitacu z venkovni site?

U IPv4 samozrejme potrebujes firewall + proxy aby si docilil neceho co se tvym pozadavkum alespon priblizuje, ale i pak zustava docela trivialni moznost L7 analyzy u nesifrovaneho provozu.

U IPv6 staci mit v hlavicce pouze cilovy a zdrojovy router, konkretni cil ani zdroj se v hlavickach nemusi vubec prenaset (portem si nejsem uplne jisty).

Btw. nejsem si vedom toho ze bych nekde diskutoval o IPv6, ale budiz, predpokladam ze vis lepe nez ja co delam

[pavlix]

Hele, takovýto debílky fakt miluju, kteří reagují na něco, co člověk vůbec nepsal . Kde se v blogu píše od "dostání se na ten počítač z internetu", ha?

A fakt si jsi jistý, že se nejmenuješ ve skutečnosti Petr Tomeš?

Hele, mám pocit, že jsi automat, kterej když narazí v blogu na výraz IPv6, tak začne automaticky trollit

A já mám pocit, že teď zrovna trpíš samomluvou :).

[SPM]

A fakt si jsi jistý, že se nejmenuješ ve skutečnosti Petr Tomeš?

Přesně na tohle už jsem se ho jednou ptal :D prej ne :)

[pavlix]

Já o tom vím, že už to jednou popřel.

Ale uznej, že nejvíc si Petr Tomášek naběhl s tímto:

Hele, mám pocit, že jsi automat, kterej když narazí v blogu na výraz IPv6, tak začne automaticky trollit

Tím mě úplně zničil, docela bych to navrhnul do XKCD! Dokonce ho kromě Tomešismu teď podezřívám už i z Hulánství.

[Dušan Hokův]

Hmm me by se to NATovani libilo treba u SPZ, byl bych spolu s dalsima 100 autama schovanej za jednou SPZ a nikdo uz by nedohledal o koho se jedna.

[Bedňa]

Čo sa týka anonimity a bezpečnosti, treba použiť firewall a port forwarding a je jedno čo je to IPv2 alebo IPv99. IPv6 je IN, ale mne je to u prdele, kým všetko šlape a ešte dlho bude

[Petr Bravenec]

Boje kolem IPv6 a konkrétně NAT mě překvapují. Nevím, asi mám spoustu jiných starostí, takže existenci/neexistenci NAT prostě neřeším. IPv4 z nějakého důvodu nevyhovuje, tak se učím myslet a pracovat v IPv6. Nevidím v tom zádrhel. A už vůbec v tom nevidím nějaký ideologický spor.

Chci mít náskok před ostatními a učím se používat IPv6 takové, jaké je. Nářky nad neexistencí NATu v IPv6 jsou jen koulí na noze, která by mě brzdila a můj náskok před ostatními zkracovala.

IPv6 jsem si zprovoznil zhruba před půl rokem, abych si to osahal. Na neexistenci NATu jsem taky narazil - snažil jsem se v IPTABLES na routeru dělat věci prapodivnými postupy zažitými z IPv4. Když jsem pochopil, že NAT prostě není, začal jsem hledat, jak udělat požadovanou funkčnost jinak. K mému překvapení to znamenalo vyházet 90% pravidel z IPTABLES v4 a nechat na routeru se čtyřmi síťovými kartami jen pár desítek pravidel - funkčnost zůstala prakticky stejná, jenom se vše extrémně zjednodušilo.

Je pravda, že neviditelnost vnitřních adres neřeším. Je mi to fuk - i v případě IPv4 vyzvoní IP adresu vnitřního stroje kdekterý protokol, stačí se podívat třeba do hlaviček SMTP.

Kdybych neviditelnost vnitřních strojů řešit chtěl, nasadil bych v síti privacy extensions. Každý stroj by prostě dostal IP adresu náhodně, a to ještě jen na chvíli. A bylo by mi úplně jedno, jestli tu náhodnou adresu někdo vidí nebo ne, protože příště už by byla adresa jiná, zcela nevystopovatelná.

Na druhou stranu netuším, jak zamaskovat vnitřní adresu v IPv4 a to ani s pomocí NATu. Jak už jsem říkal - vyšší protokoly vnitřní adresu prásknou na hříšníka velmi ochotně. NAT v IPv4 dokáže zakrýt jen velmi málo z té spousty informací, které z vnitřní sítě prosakují jinak. Když to nejde na IPv4, neřeším to ani na IPv6.

Druhý popisovaný problém - stabilní a jednoznačnou adresu - lze řešit velmi elegantně přidělením několika adres. V IPv4 má síťová karta obvykle jen jednu IP adresu. V IPv6 mám adresy nejméně dvě a není problém si jich přidělit třeba dvacet.

Nasazení IPv6 na mých sítích byla velká úleva - nikdy před tím pro mě nebyly ty sítě tak přehledné a jednoduché. Teď se ještě zbavit IPv4 a jsem pan admin spokojený. S IPv6 mám pochopitelně spoustu starostí navíc, ale vždy to souvisí buď s mou neznalostí a nezkušeností, nebo s nefungujícím tunelem (problém ISP).

[pavlix]

Chci mít náskok před ostatními a učím se používat IPv6 takové, jaké je. Nářky nad neexistencí NATu v IPv6 jsou jen koulí na noze, která by mě brzdila a můj náskok před ostatními zkracovala.

Tak on se vždycky najde někdo, kdo než aby šel dopředu a zvyšoval si kvalifikaci, tak radši nadává těm, kteří to dělají... a trochu oprávněně, protože pak mezi nima bude vypadat, že je pozadu.

Kdybych neviditelnost vnitřních strojů řešit chtěl, nasadil bych v síti privacy extensions. Každý stroj by prostě dostal IP adresu náhodně, a to ještě jen na chvíli. A bylo by mi úplně jedno, jestli tu náhodnou adresu někdo vidí nebo ne, protože příště už by byla adresa jiná, zcela nevystopovatelná.

Víš o tom, že PE vznikly právě jako odpověď na stížnosti na degradaci soukromí v IPv6? Pravda, nebýt IPv4, nikdo by to neřešil, ale když už je, tak se nový protokol vypiplává do všech možných vlastností toho původního.

Na druhou stranu netuším, jak zamaskovat vnitřní adresu v IPv4 a to ani s pomocí NATu. Jak už jsem říkal - vyšší protokoly vnitřní adresu prásknou na hříšníka velmi ochotně. NAT v IPv4 dokáže zakrýt jen velmi málo z té spousty informací, které z vnitřní sítě prosakují jinak. Když to nejde na IPv4, neřeším to ani na IPv6.

To samozřejmě jako argument neobstojí, protože „co kdyby náhodou“. Ne vždy stačí použít racionální argumenty.

Nasazení IPv6 na mých sítích byla velká úleva - nikdy před tím pro mě nebyly ty sítě tak přehledné a jednoduché. Teď se ještě zbavit IPv4 a jsem pan admin spokojený. S IPv6 mám pochopitelně spoustu starostí navíc, ale vždy to souvisí buď s mou neznalostí a nezkušeností, nebo s nefungujícím tunelem (problém ISP).

Souhlasím, tedy až na délku adresy (nutné zlo).

[xkucf03]

NAT pro IPv4 vznikl, protože ho někdo potřeboval (neměl dostatek veřejných IP adres). Pro IPv6 NAT jistě taky vznikne, bude-li ho někdo potřebovat (ať už z jakéhokoli důvodu). Můžeš ho naprogramovat třeba ty

[pavlix]

Evangelizátoři IPv6 se nám opakovaně snaží vtlouci do hlavy, že maškaráda (source NAT) je zlo a že s příchodem IPv6 nic takového není potřeba. Jakkoliv chápu, že je maškaráda v současnosti dost nadužívána a občas i zneužívána (především poskytovali internetového připojení) a že ji proto dost lidí nemá rádo, jsem přesto přesvědčen, že může být i užitečná (pokud člověk ví, co dělá). Přesto zaráží, že se tvůrci IPv6 tak sveřepě (a dogmaticky) tomuto konceptu brání a nenabízejí jeho adekvátní náhradu.

Píšeš velice zatvrzele, až bych řekl možná i fanaticky, na to, že nemáš o tématu zjištěná základní informace.

IPv6 poskytuje plnohodnotnou náhradu za IP maškarádu, která se skládá z dvojice technologijí. Té první se říká stavový firewall a provádí filtrování komunikace podle směru, odkud je navazovaná (konfigurace triviální). Druhé se říká privacy extensions a zajišťuje to, že jeden počítač nemá vždy stejnou adresu a tedy je schovaný za místní prefix.

Srovnej....

IPv4 + Port: Zde zvenčí identifikuješ jen vnější stroj, tedy máš 32 bitů informace z celkových 48 bitů, tedy pouhých cca 65 tisíc možností.

IPv6 prefix + IPv6 náhodný ID + Port: Zde zvenčí identifikuješ prefix (odpovídá IPv4 veřejné adrese) a port (který také nic neříká), máš tedy 80 bitů informace, které ti jsou úplně stejně k ničemu, protože ti pořád chybí 64 bitů, kde je pouhý náhodný identifikátor. Tedy počet možností, do kterých se musíš strefit je cca 1.8 * 10^17.

[Gilhad]

Zajimalo by me, jak by se v IPv6 resila nasledujici sit:

Je NATujici firewall, na sve venkovni adrese poskytuje sluzby na portech A-Z, pripojuji se k nemu zvenku spousty pocitacu, nekdy automaticky, nekdy na vyzadani uzivatele.

Za timto pocitacem je trochu slozitejsi sit s nejakou tou wifinou, switchema a tak, ve ktere jsou pocitace, z nichz nektere poskytuji ty sluzby A-Z, vetsinou tak jeden pocitac jednu sluzbu, ale nekdy i vic.

Ty pocitace se tam ruzne meni, takze sluzbu A poskytuje dnes pocitac pA1 v podsiti S1, vcera to byl treba pA2 v podsiti S1, zitra bude treba pA3 v podsiti S2. Sluzbu B poskytuje dnes pocitac pB1, ale vcera to delal pA1 a kdovi na ktery to bude potreba dat zitra.

V soucasne dobe se proste v tom NATu prehodi jedno pravidlo, pokud je dotycny pocitac nekde hloubeji, tak se prehodi jeste treba jedno pravidlo na wifine a tim to konci.

Nejak jsem nepochopil, jak tohle zprovoznit v IPv6. (Ty sluzby zustavaji z vnejsiho pohledu stejne, ty pocitace se meni, recykluji, prohazuji, vyrazuji dost chaoticky)

[pavlix]

Pozoor, to je úplně jiné téma než na které jsem reagoval.

Nejak jsem nepochopil, jak tohle zprovoznit v IPv6. (Ty sluzby zustavaji z vnejsiho pohledu stejne, ty pocitace se meni, recykluji, prohazuji, vyrazuji dost chaoticky)

Řešení je několik.

1) Jedním z nich je samozřejmě i ten překlad IP adres a portů (a pokud vyhovuje a je implementován, nevidím důvod ho nepoužít, proto mu dávám taky číslo).

Ale je to NAT 1:1, který bych rád viděl v Linuxovém IPv6 alespoň implementovaný.

Na tento typ dynamických služeb mě napadají dvě podle mě hezčí řešení:

2) Změna v DNS

IPv6 se nakonfigurují normálně, tedy buď ručně, autoconfigurací nebo pomocí DHCP (všechny tři možnosti umějí dát statickou adresu).

Při změně služby se změní IP v DNS a Firewallu a jede se dál.

Tahle možnost je podle mě nejlepší způsob jak situaci řešit na IPv4 i IPv6 (pokud není nějaká technická překážka).

3) Změna IP

Každé takové migrující službě se přidělí jedna IPv6 adresa (je jich dost) a ta IP adresa se přidá počítači, který má službu obstarávat. Ve chvíli, kdy je potřeba přehodit službu jinam, udělá se přesně to. Odebere se IP adresa původnímu počítači a přidá se novému.

Šlo by to do jisté míry zautomatizovat i pomocí DHCPv6.

--

Každopádně, jako první bych řešil to, aby se to nedělalo tak chaoticky, to je chyba samo o sobě. Všude, kde jsem něco takového potkal to celé vzniklo nějakým ne moc dobrým nápadem.

Pak bych zkoušel to DNS, protože to je nejjednodušší a nejhladčí řešení. A nakonec bych váhal mezi NATem a IPv6 adresou pro každou službu (nebo neváhal, pokud bych neměl IPv6 NAT implementovaný).

[Petr Bravenec]

...migrující službě se přidělí jedna IPv6 adresa...

Řešení s DNS mě samozřejmě napadlo, tohle je ale někdy ještě jednodušší a hlavně to funguje okamžitě, DNS mívá prodlevy. Že mne nenapadla taková očividnost mě jenom utvrzuje, že přepnout hlavu na verzi 6 bude ještě dlouho trvat a bude to bolet.

Přehazovat pravidla NATu v IPv4 je pro mě velmi nepříjemná záležitost, je to složité. Ono to není jen jedno pravidlo, co se musí při migraci služby upravit či přidat. Ta pravidla jsou čtyři při dvou sítích - venkovní/vnitřní. Když k tomu připojíme další kombinaci - vnitřní/vnitřní, pravidel přibývá. A to se v původním příspěvku mluvilo o několika podsítích... to by se z pouhé nepříjemné záležitosti stala noční můra.

Pro změnu adresy mluví ještě jiný argument - pokud stroj A poskytuje službu A, nebudeme to přeci nastavovat v bodě X. Navíc je to asi první věc, která by napadla naprostého laika nebo NATem nezkažené dítě: "Když má ten nový stroj dělat totéž, tak ho asi pojmenujeme stejně, ne?"

[Gilhad]

Ono je problem, ze cloveka nenapadne pojmenovat jeden pocitac mnoha ruznymi nazvy naraz, kdyz toho dela vic a odjmenovat ho, kdyz castecne preda stafetu

[Petr Bravenec]

Ale jo, to mě obvykle napadne. To je pro mě celkem základní postup, že každá služba má vlastní dns záznam. Jen mě samotného nenapadlo, že v IPv6 mohu totéž rozšířit i na IP adresy.

[pavlix]

Tak ono se to používalo v podobném smyslu i u IPv4 na virtualhosting (tedy členění nebylo podle služby, ale podle domény), než se ustálil virtualhosting na všech službách, kde to bylo potřeba. Schválně, jak se dneska řeší HTTPS virtuály, používají se ještě často samostatné IP?

Jen mě samotného nenapadlo, že v IPv6 mohu totéž rozšířit i na IP adresy.

Tak mě k tomu úplně svádějí, vzhledem k tomu, že se přidělují v de facto neomezených balících (myslím z hlediska počtu strojů, ne z hlediska členění).

[trekker.dk]

Schválně, jak se dneska řeší HTTPS virtuály, používají se ještě často samostatné IP?

Vzhledem k potřebě nějaké zpětné kompatibility AFAIK nemáš jinou možnost.

[pavlix]

Ok.

[qiRzT]

A co mod_gnutls?

[sigma]

Problém je, že to nepodporují některé prohlížeče / operační systémy, které mají stále ještě nezanedbatelný podíl mezi návštěvníky reálných webů.

[pavlix]

Řešení s DNS mě samozřejmě napadlo, tohle je ale někdy ještě jednodušší a hlavně to funguje okamžitě, DNS mívá prodlevy.

Ty prodlevy jdou velmi přesně nastavit.

Že mne nenapadla taková očividnost mě jenom utvrzuje, že přepnout hlavu na verzi 6 bude ještě dlouho trvat a bude to bolet.

Nebude to tak zlé. Jestli ti to šlo dobře s IPv4, nebudeš na tom s IPv6 kromě pamatování adres hůře.

Pro změnu adresy mluví ještě jiný argument - pokud stroj A poskytuje službu A, nebudeme to přeci nastavovat v bodě X. Navíc je to asi první věc, která by napadla naprostého laika nebo NATem nezkažené dítě: "Když má ten nový stroj dělat totéž, tak ho asi pojmenujeme stejně, ne?"

Zvlášť pokud víš, že ten stroj má opravdu plně nahradit jiný stroj :). Nejlíp se to dělá v (třeba kontejnerových) virtuálech. Těch totiž můžeš mít hromadu, kdy každý bude provádět jenom tu jednu službu. Když postavíš náhradu za nějaký, prostě ho necháš nahradit.

Mezi fyzickými stroji pak pustíš OSPF a dynamický routing ti zajistí automatické přesměrování cest na nový virtuál, jakoby se nechumelilo.

[Gilhad]

Ono to zase v kontextu toho, co tam delaji tak chaoticke neni a svuj smysl to ma, akorat ta pravidla, kterymi se to ridi jsou slozita, nepsana a obsahuji veci mimo IT, takze "chaoticka" je z urciteho pohledu fungujici zjednoduseni popisu :) (neco jako kdyz mi DHCP "nahodne" prideli adresu z urciteho intervalu - taky ten demon ma asi nejaka pevna pravidla, ale jako uzivatele me to moc nezajima)

Mit spoustu migrujicich adres me nenapadlo - neni pak problem, kdyz pocitac s tou adresou nekdo odnese jinam a tam ho zapne?

[pavlix]

Problém nastává až při duplicitě adres, a to na různých úrovních.

Mit spoustu migrujicich adres me nenapadlo - neni pak problem, kdyz pocitac s tou adresou nekdo odnese jinam a tam ho zapne?

Je to úplně stejný problém jako když si někdo danou IP prohlásí za svou a začne ji používat.

Nebo pokud by to přenesení bylo legitimní, tak je potřeba zavést dynamický routing, aby se vše dobře spojilo. Nejvíc je to vidět u těch virtuálů, které jdou přenášet, aniž by člověk zvedl zadek ze židle.

[Ondrej 'SanTiago' Zajicek]

Za timto pocitacem je trochu slozitejsi sit s nejakou tou wifinou, switchema a tak, ve ktere jsou pocitace, z nichz nektere poskytuji ty sluzby A-Z, vetsinou tak jeden pocitac jednu sluzbu, ale nekdy i vic.

Spravne reseni pro tenhle problem je vyuziti dynamickeho routovani (treba OSPF) - krome routeru by se do nich zapojili i 'dynamicke' servery, takovy server by propagoval jednu pevnou IP spojenou s danou sluzbou a na routerech by se podle toho automaticky vytvarely routy. Sekundarni vyhoda je moznost redundance a automatickeho a rychleho prepnuti. Pokud uz se tak jako tak v siti pouziva dynamicky routing (nebo je tam jen par routeru), tak je to k nasazeni jednoduche, pokud ne (a sit ma mnoho routeru), tak to asi je zbytecne slozite.

Reseni s NATem ma problem v tom, ze komplikuje situaci pri pristupu k dane sluzbe zevnitr site.

[sigma]

Dávat na každý takový server OSPF - no, je to asi elegantní a čisté. Ale co když ty servery jsou nějaké polo-blackboxy, kam to prostě doinstalovat nejde, nebo dodavatel aplikace řekne, že v takovém případě za to neručí?

[Ondrej 'SanTiago' Zajicek]

No, pak to muze byt nastavene tak, ze to IP adresu bude propagovat nejblizsi router (kde bude nastavena staticka routa na ten server). Tim sice odpadnou vyhody spojene s automatickym failoverem (ale i to lze poresit), ale ostatni pozadavky to splnuje.

[pavlix]

Jak píše Ondra, co neumí koncový stroj, zajišťuje router, do kterého je zapojený.

[pht]

Ty pocitace se tam ruzne meni, takze sluzbu A poskytuje dnes pocitac pA1 v podsiti S1, vcera to byl treba pA2 v podsiti S1, zitra bude treba pA3 v podsiti S2. Sluzbu B poskytuje dnes pocitac pB1, ale vcera to delal pA1 a kdovi na ktery to bude potreba dat zitra.

Nejak jsem nepochopil, jak tohle zprovoznit v IPv6. (Ty sluzby zustavaji z vnejsiho pohledu stejne, ty pocitace se meni, recykluji, prohazuji, vyrazuji dost chaoticky)

Load balancing proxy, nebo migrace IP adresy se službou.