Jaderné noviny – 4. 10. 2012: IPv6 NAT a co dále bude v Linuxu 3.7 (diskuse)

[Jiří J.]

Jen doplním, že ten IPv6 NAT je podle všeho "jen" 1:1, díky bohu.

[Max]

Zatím ...
Zdar Max

[luky]

Co Vam tak vadi ma maskarade? Je to super vec, kdyz se nechcete nastavovat s routovanim a firewallem.

[Raduz]

Hlavně to, že si lidé myslí že se díky maškarádě nemusí nastavovat s routováním a firewallem...

[Dreit]

+1

[bigBRAMBOR]

no parkrat uz mi maskarada zachranila zivot, setkal jsem se uz s promyslovým bazmekem který nemel default GW, a neslo ani pridavat routy, proste akorat umel komunikovat se svyma pointama na likalni siti, pristup z venku byl mozny pouze diky maskarade. Ale to nic nemeni ze to co jsi psal je pravda.

[cynic_asshole]

Slyšel jsi už o ARP proxy?

[Atom321]

V čem je ARP proxy (pro tento účel) lepší než NAT?

[pavlix]

Mimochodem, všem doporučuju, pokud to jde, dávat přednost bridgování před extrémními hacky jako ARP proxy.

[Michal]

Vsem doporucuju, pokud to jde, pouzivat routovani misto NATu, ARP proxy, atd. Bohuzel ne vzdycky to jde.

Napr moje VMs ve VirtualBoxu bez NATu nemuzou mit IPv6. Routovat v6 subnet na muj laptop muzu leda doma, ale ne nikde jinde nad siti nemam takovou kontrolu. Navic bych je musel vzdycky precislovavat (RA je prima ale ne na zmenu IP x-krat za den). Bridgovat nemuzu protoze moje WiFi karta nezvlada vic nez jednu lokalni MAC adresu. Atd. NAT tohle vsechno resi.

[SPM]

Blbá wifi karta, moje bridguje v pohodě :) Co se týče přečíslování, tak jsem virtuálům strkal dvě síťovky. Jedna bridgnutá, kde se adresa mění a je na ní internet a pak interní se statickou adresou, kterou znám a můžu na ní z "hypervisoru" lézt.

[Sten]

NAT tohle sice řeší, ale řeší to blbě. V případě takového hardware je lepší ARP proxy. Ostateně, stejně jedu na OpenVPN.

[pavlix]

Bridgovat nemuzu protoze moje WiFi karta nezvlada vic nez jednu lokalni MAC adresu.

Maškarádu jako workaround pro vskutku idiotský návrh bezdrátových standardů uznávám. A to jak na L3, tak na L2.

Nicméně pro větší flexibilitu bych se i v tomto případě držel nerovnice:

Routing > Bridging > Proxy ARP > NAT

První nerovnost je spíše kvůli pořádku, druhá je pro mě dělící čára mezi konvenčním řešením a černou magií, třetí už je dělící čára, kde ztrácíme funcionalitu.

NAT tohle vsechno resi.

Naivní představa.

Nicméně, ani tvůj případ není jednoznačný. Já vždycky řeším problémy podle skutečné situace. A pokud si nosím hromadu testovacích virtuálů do sítí, nad kterými nemám kontrolu, tak pro mě třeba IP maškaráda nepřipadá v úvahu, protože to ty virtuály nemusím vůbec mít. Mým preferovaným řešením na bázi routingu je v tomto případě IPv6 tunel do jedné nebo více spolehlivých sítí, které mi poskytují prefix.

[pavlix]

pristup z venku byl mozny pouze diky maskarade

Tohle asi nebude typický use case pro IP maškarádu. A řekl bych, že když už dokážeš nasměrovat traffic, tak klidně můžeš použít jednoduchý source NAT a exponovat služby toho bazmeku pomocí jedné neobsazené IP.

Sice nemám po ruce relevantní zdroj a článek ho neodkazuje, nicméně pokud to správně chápu, tak právě 1:1 source NAT budeš mít k dispozici, ale maškarádu v tuto chvíli ne. Vývojáři tedy řeší přesně tento typ černé magie.

[Luboš Doležel (Doli)]

Dohledal jsem toto, ale nevím, jestli to je přesně ono.

[pavlix]

Díky. SNPT a DNPT. Takže to ani přesně nemapuje na SNAT a DNAT. Zdá se mi to, nebo to nepoužívá connection tracking? Tedy křišťálově čistý bezstavový překlad, pokud jsem něco nepochopil špatně. Co by mě pak ale zajímalo, je zda musím pro komunikaci z mapovaného prefixu přidávat obě dvě pravidla.

[Jiří J.]

No conntrack to podle mě používá, minimálně pro REDIRECT:

+       ct = nf_ct_get(skb, &ctinfo);
+       NF_CT_ASSERT(ct && (ctinfo == IP_CT_NEW || ctinfo == IP_CT_RELATED ||
+                           ctinfo == IP_CT_RELATED_REPLY));
+
+       if (ipv6_dev_get_saddr(dev_net(par->out), par->out,
+                              &ipv6_hdr(skb)->daddr, 0, &src) < 0)
+               return NF_DROP;
+
+       nfct_nat(ct)->masq_index = par->out->ifindex;
+
+       newrange.flags          = range->flags | NF_NAT_RANGE_MAP_IPS;
+       newrange.min_addr.in6   = src;
+       newrange.max_addr.in6   = src;
+       newrange.min_proto      = range->min_proto;
+       newrange.max_proto      = range->max_proto;
+
+       return nf_nat_setup_info(ct, &newrange, NF_NAT_MANIP_SRC);

Aby také ne, když to přidává celou "nat" tabulku.

Viz také http://lwn.net/Articles/514087/.

[pavlix]

Tenhle výcuc bude asi z jiného patche, než odkázal Doli, že?

[Jiří J.]

Ano, 8a91bb0c304b0853f8c59b1b48c7822c52362cba je zastřešující commit celé té série, mnou postnutý kousek je z "netfilter: ip6tables: add MASQUERADE target".

To ale nic neměni na tom, že REDIRECT je v podstatě přesně (conntrack-enabled) DNAT na IP adresu interface, na který přišel packet. Alespoň tomu tak je v (ipv4) iptables.

Úplně bezstavový NAT, bez jakékoli interakce s conntrackem, čistě přepis adresy na specifikovanou hodnotu, je možné realizovat přes RAWNAT, který je už nějakou nekrátkou dobu v xtables-addons, oficiálně podporován Janem Engelhardtem.

[pavlix]

Hezké.

[luky]

Muzete mi popsat nevyhody, jake podle vas ma maskarada napriklad pro instalaci Windows stanic pripadne update ruznych HW bazmeku? A jake nastaveni firewallu a routovani je podle vas nutne?

[pavlix]

Firewall se používá k ochraně sítě proti přístupu zvenčí (případně i obecněji). Použití maškarády žádné bezpečností záruky neposkytuje (pokud není doplněno firewallem). Maškaráda z principu zabezpečení sítě snižuje (zpřístupňuje služby).

Ne každá síť je triviální domácí síť připojená na jednu krabičku, která to zanatuje. Nelze zrušit routing jen kvůli tomu, že máme maškarádu.

[Raduz]

No, nejdřív bych se zeptal já jak s tou instalací Win stanic a updated různých HW bazmeků maškaráda přesně souvisí. Jako jasně, chápu že člověk má lepší pocit, když si řekne "Tak, tady je moje uzavřená LAN plná oveček s privátními adresami, a vlci jsou až za tímhle NAT serverem.", ale už je chyba si myslet "...takže je to v pohodě, vlci mají smůlu, protože o ovečkách nevědí, a vrátka si sami neotevřou." Jenže vlci jsou sakra rafinovaní, a převléknou se ti za ovečku ani nevíš jak. A pak máš najednou ohrádku plnou vlků...

Dost bylo metafor. To na co jsi se ptal s maškarádou nijak nesouvisí. Všechno se to dá udělat bezpečně i s veřejnými adresami, jen to samozřejmě dá nějakou práci. Pokud se domníváš, že díky NATu se té práci vyhneš, mýlíš se, a navíc se necháváš ukolébat falešným pocitem bezpečí. Není firewall, není bezpečnost. A jestli přes běžný default GW routuješ privátní nebo veřejné adresy je co se náročnosti nastavení celkem jedno.

[j]

Konfigurace firewallu s NATem je o rad slozitejsi nez bez nej => poskytuje mnohem vic prostoru pro potencielni chybu. Navic sebou NAT nese i dalsi bezpecnostni rizika - napr si musi pamatovat navazana spojeni, coz si router pamatovat nemusi. Pokud hacknu takovou krabku, mam okamzitej prehled, nemusim ani nic nikde snifovat.

[Max]

Ještě bych přidal to, že NAT více zatěžuje hw.
Zdar Max

[pavlix]

Konfigurace firewallu s NATem je o rad slozitejsi nez bez nej => poskytuje mnohem vic prostoru pro potencielni chybu.

To je pravda, naštěstí netfilter tohle docela spokojeně obchází.

Navic sebou NAT nese i dalsi bezpecnostni rizika - napr si musi pamatovat navazana spojeni, coz si router pamatovat nemusi.

To by se ti projevilo jen v extrémním prostředí, jinak je IMO riziko ekvivalentní a v případě firewallu na stejné krabce spíše totožné (tedy až na falešný pocit bezpečí).

[darkenik]

tak ak nemame nat, musime nakonfigurovat FW, s najvacsou pravdepodobnostou stavovy firewall, takze tabulka spojeni tam bude tak ci tak.

[Sten]

I když máte NAT, musíte (měl byste) nastavit firewall

[Jezus]

+1 Maskarada je neskutecne zlo

[pavlix]

Náhodou. Díky tomu, že NATu obecně a různým kombinacím port redirectů, maškarád, bridgování, icmp redirectů apod nikdo pořádně nerozumí, tak jsem měl jako OSVČ aspoň vždycky nějaký ten výdělek :).

[pavlix]

Jen doplním, že ten IPv6 NAT je podle všeho "jen" 1:1, díky bohu.

Snažím se tuhle oblast sledovat a taky mě úplně netěší, že autoři plácnou do článku nic neříkající informaci, že se začleňuje nějaký překlad adres. To by rovnou mohli napsat, že kernel bude mít „novou síťovou fíčuru“ a informační hodnotu by to mělo skoro stejnou.

[KOLEGA]

Vždycky přemýšlím, kdo je tak ochotný a sesmolí pro nás takovéhle slohy... Každopádně díky moc

[progdan]

Jonathan Corbert (a Lubos samozrejme :) )