Reportáž: Internet a Technologie 11 (diskuse)

[Bedňa]

Ako hovoria odborníci:

Domény dojdou a Internet se ucpe daty.

[tomATOM]

Toho by mohli využít lékaři a začít ucpanému internetu předepisovat nějaká projímadla

[Jan Grmela]

Já myslím, že toho průjmu v diskusích je už tak dost

[pavlix]

Však on internet může díky decentralizaci trpět průjmem a zácpou zároveň :).

[GeoRW]

mozno sa zvysi kvalita ked sa znizi kvantita

[houska]

Byl jsem na jen na prvnim dnu a docela se to vyvedlo.

Mel bych jen pripominky k ozvuceni, usazeni prekladatelu (ackoliv jsem nesedel uplne vzadu, tak jsem ji slysel velmi zretelne) a posazeni diskutujicich u panelove diskuse - nebylo na ne videt, nechapu proc nesedeli na podiu)

[horada]

Neměl jsem možnost konferenci sledovat celou (státnice ...), ale v reportáži mě zaráží proč bude kyslík i UPC dávat /64 prefix a ne /48? To se bojí že jich budou mít málo??? nebo nepochopili základní podstatu ipv6? .... ne že bych lpěl přímo na /48 stačilo by mi i méně... třeba /60... ale proč /64?

[Ferda]

Třeba to vůbec není o tom, zda to oni pochopili. Ale o tom zda jste vy pochopil, že jsou to firmy jejichž účelem je v prvé řadě generovat zisk. Bohužel tyto firmy to už přehánějí a jdou za svým cílem dost tvrdě a uspokojování zákazníků berou jako otravnou věc, která je třeba pro generování vlastního zisku. Takže chcete /48, zaplaťte si.
I když na druhou stranu 2^64 adres také není málo. Mě spíš vadí, že zatím mi nejsou schopni dát žádnou veřejnou IPv6 adresu.

[pavlix]

proč bude kyslík i UPC dávat /64 prefix a ne /48?

Krátká odpověď: Protože to stačí.

Dlouhá odpověď:

1) Chtějí mít větší část pro své vlastní členění.

2) Nechtějí zbytečně plýtvat na lidech (domácnost či kancelář víc než /64 nepotřebuje).

3) Alespoň hrubé napasování do stávající obchodní politiky (další /64 dostaneš, ale za příplatek).

nebo nepochopili základní podstatu ipv6?

Obávám se, že chyba není na jejich straně. Základní podstata IPv6 není v tom, že se budou k domácímu zákazníkovi za pár stovek měsíčně chovat jako k velké organizaci.

Telefonica prostě dodá domácí router s /64 prefixem. Tak jako předtím dodala domácí router s /32 IPv4 a NATem.

[Michal Kubeček]

domácnost či kancelář víc než /64 nepotřebuje

Bude-li chtít vlastní firewall, potřebuje aspoň /64 + 1.

[Luboš Doležel (Doli)]

To jo, jedině používat ebtables. To si přechodem na nativní IPv6 docela pohorším.

Bude vlastně fungovat, pokud bych chtěl mít v síti ještě svůj radvd pro přidělování místních adres?

[pavlix]

To jo, jedině používat ebtables. To si přechodem na nativní IPv6 docela pohorším.

To je špatná interpretace... na bridgích můžeš normálně používat iptables, pokud vím. Ebtables potřebuješ jen když chceš chytat informace, které v iptables nejdou.

[pavlix]

Bude-li chtít vlastní firewall, potřebuje aspoň /64 + 1.

Což o to, domácnost s /64 bude obvykle mít vlastní router, který tu /64 bude rozdávat a zároveň bude realizovat funkci síťového firewallu. Ten se připojí přímo na linku od poskytovatele a tím pádem má vnější transportní IP (tedy v podstatě tu +1 dostanem vždy).

Ale jinak, pokud půjde na routeru od poskytovatele vypnout /64 rozsah a zapnout statickou routu na link-local adresu firewallu, pak není ani žádná další IP potřeba.

Pokud bychom nemohli zasahovat do routeru, který nám rozdává /64, tak máme problém tak jako tak. Filtrovat lze v pohodě pomocí bridge, ale různé IPsec a další VPN se budou muset trochu obcházet, tam ta jedna vnější IP bude trochu chybět.

[petr_p]

Pokud vím, tak Telecom ohlásil konfiguraci přes PPP. Takže předpokládám, že zákaznický konec PPP bude mít adresu z jiného rozsahu (třeb jen link-scope), než delegovaný prefix.

Nicméně mě to taky štve, protože mám jak Ethernet, tak WiFi a chci je mít oddělené. A na obou bezstavovou autokonfiguraci. Tudíž potřebují víc, jak /64.

[Ondrej 'SanTiago' Zajicek]

Což o to, domácnost s /64 bude obvykle mít vlastní router, který tu /64 bude rozdávat a zároveň bude realizovat funkci síťového firewallu. Ten se připojí přímo na linku od poskytovatele a tím pádem má vnější transportní IP (tedy v podstatě tu +1 dostanem vždy).

Nejsem si jist, ze to takhle bude fungovat. Nedavno jsem se snazil zjistit neco o tom, jak je to s IPv6 a PPP, a pochopil jsem z toho, ze narozdil od IPv4, kde se spojovaci adresa prideluje v ramci PPP (a PPP tunel typicky nema normalni prefix), tak v IPv6 se v ramci PPP domlouva jen interface ID, ktere se pouzije na konstrukci link-local adresy a pripadne globalni adresy pridelene standardnimi prostredky (RA ci DHCPv6). Takze tech pridelenych /64 se pouzije spis na ten PPP tunel. Takze bych spis tipoval, ze to bude nejaky pseudobridge a lokalni pocitace budou skrz nej prijimat RA od poskytovatele. Ale je to spis castecna spekulace, nevite nekdo o nejakem RFC, ktery by specifikoval standardni zpusob nasazovani treba ADSL?

[Ondrej 'SanTiago' Zajicek]

Tak uz jsem si precetl RFC 4241 a to lici vcelku normalni zpusob (vicemene jak ho popisoval pavlix) - na PPP se pouziji jen link-local adresy a DHCPv6 s delegovanim prefixu, ktery (ci jeho podprefixy v pripade prefixu kratsiho nez /64) pak CPE pouzije pro lokalni (ethernetova) rozhrani.

[Ondrej 'SanTiago' Zajicek]

BTW, to, ze IPv6 pozaduje link-local adresy i na ruznych PtP rozhranich je samo o sobe dost absurdni.

[Jimmy]

Pro drtivou většinu zákazníků O2 a UPC, kteří mají doma modem+router, k tomu možná switch, nějaká wifi AP a to všechno v bridgi jeden rozsah /64 bohatě postačí. Ten kdo má tak rozsáhlou síť že už ji potřebuje uvnitř routovat, tak si holt připlatí pár korun a zaplatí si rozsah větší. I s rozsahem /64 to bude pro všechny zákazníky lepší varianta než současná praxe 1 veřejná IP (v lepším případě) + vnitřní síť celá za NATem.

[Radek Hladik]

Oni ten princip pochopili. A mám docela pocit, že narozdíl od jiných lidí i vcelku dobře. Nyní dávají nejmenší rozumnou jednotku (1 IPv4 adresa), pak budou dávat nejmenší rozumnou jendotku (/64 prefix). 99% jejich zákazníků to uspokojí a ti ostatní budou mít možnsot si připlatit (jako teď mají možnost za pevnou IP).

Na jedné z prvních přednášek byla zajímavá informace, že IP adresy došly už po několikáté. Ne, že by to byla nějaká moc nová novinka, ale bylo to zajímavé připomenout. Navrh se adresní IPv4 prostor, rozdělení na třídy ABC a za chvilku to bylo fuč. A lidi, místo aby se poučili, tak to samé dělají znova. Jako nejmenší prefix sítě se stanoví /64, takže se prostor smerzke z 128bitů na 64. A teď lidi říkají, že paní Nováková, která má těm internetům připojený jedne počítač kvůli vnoučatům potřebuje víc adres než 2^64?

[Jimmy]

Současný systém přidělování IPv6 adres určuje pravidla jak rozdělovat 1/8 IP prostoru. Pokud se ukáže, že navržený systém není dobrý, tak máme ještě 7 dalších pokusů vymyslet lepší systém než prostor IPv6 vyčerpáme a budeme muset vymyslet nějaký další IPv8. Po dobu našeho života tedy pravděpodobně i IPv6 vystačíme i když se možná pravidla přidělování za našeho života změní.

[FOK]

Poskytovatelé obsahu Ti se docela hezky shodli na tom, že IPv4 adres mají dost a celkově moc nechvátají. Je vidět, že někteří stále ještě nepochopili. Nejde o to, že oni nebudou mít IP adresy, ale že jejich zákazníci nebudou mít IP adresy a tudíž se k nim nedostanou.

[pavlix]

Což o to, carrier-grade NAT, případně NAT65+DNS64 zajistí, že se zákazníci k obsahu dostanou. Tradiční poskytovatele obsahu nutí tak akorát to, že na IPv4 nepoznají zákazníka podle IP adresy, a to, že časem můžou vznikat sítě, kde někdo „zapomene“ nastavit NAT64, protože daná síť je určená na práci a ne na stahování.

[sigma]

Nemůže (třeba časem) dojít k tomu, že přenosy přes carrier-grade NAT budou znevýhodněny, např. budou pomalejší? Nebo to ISP netroufne, co myslíte? To by možná vytvořilo celkem rozumný "kompromisní" tlak na content providery. Jinak je k IPv6 zatím nic nenutí. IPv6 only zákazníci, to je daleká budoucnost.

[pavlix]

Nemůže (třeba časem) dojít k tomu, že přenosy přes carrier-grade NAT budou znevýhodněny, např. budou pomalejší?

Může dojít k ledasčemu... nejlepší scénář je, že se s přechodem na IPv6 bude zdržovat tak dlouho, až se sesypou routovací tabulky :D (pokud k tomu dojde).

To by možná vytvořilo celkem rozumný "kompromisní" tlak na content providery. Jinak je k IPv6 zatím nic nenutí. IPv6 only zákazníci, to je daleká budoucnost.

Já si myslím, že ve chvíli, kdy bude mít IPv6 nějakých 30%-40% zákazníků, kteří budou mít místo domácíhí IPv4 NATu carrier-grade NAT nebo NAT64, tak už budou všichni content provideři koukat po IPv6 kvůli rozlišení jednotlivých domácností (většina bude mít jen /64).

[Radek Hladik]

Co mně na té panelové diskuzi nesmírně potěšilo a naplnilo optimizmem bylo, že se vůbec nikdo nezmínil o nějakých "pokročilých" vlastnostech IPv6 jako mobilita, IPSec, atd... Dlouhodobě zastávam názor, že jediná alespoň trochu dobrá věc na IPv6 je právě to, že ten základ je obyčejné IP s většími adresami, a že ty s prominutím ptákoviny navrch si můžu strčit za klobouk. Resp. je považuju za největší brzdu rozovje IPv6, které není schopné se prosadit za 10 let své existence. Teď to vypadá, že nám nic jiného nezbyde, tak alespoň udělejme jen to nutné a nepouštějme se do nějakých větších akcí

Vím, že se mnou netriviální počet místních nesouhlasí...

[pavlix]

Co mně na té panelové diskuzi nesmírně potěšilo a naplnilo optimizmem bylo, že se vůbec nikdo nezmínil o nějakých "pokročilých" vlastnostech IPv6 jako mobilita, IPSec, atd... Dlouhodobě zastávam názor, že jediná alespoň trochu dobrá věc na IPv6 je právě to, že ten základ je obyčejné IP s většími adresami, a že ty s prominutím ptákoviny navrch si můžu strčit za klobouk.

Není se čemu divit, když tam byli poskytovatelé internetu a ne správci firemních sítí a VPN. IPsec funguje velmi dobře už i na IPv4 (i když to stálo hodně úsilí, které na IPv6 nebylo potřeba), a na IPv6 těží právě z absence NATu.

Resp. je považuju za největší brzdu rozovje IPv6, které není schopné se prosadit za 10 let své existence.

IPv6 se není schopné vedle IPv4 (samo) prosadit ve větší míře ani teď. Prosazuje ho nedostatek IPv4, jediný pádný argument (vše ostatní jsou jen bonusy). Bylo pouze potřeba počkat, až ty IPv4 opravdu dojdou.

Považovat víceméně nezávisle vyvíjený IPsec a mobilitu, které jsou mimochodem už dávno pro IPv6 hotové, za brzdu, mi přijde jaksi... úplně mimo. Tvůrci síťového hardware a software mají IPsec už dlouho a mobilita není nic tak těžkého.

Teď to vypadá, že nám nic jiného nezbyde, tak alespoň udělejme jen to nutné a nepouštějme se do nějakých větších akcí

Zvětšení adresního prostoru je ta největší akce vůbec :). Vyžaduje upgrade software i hardware na všech úrovních a nedá se dobře dělat pozvolna.

[trekker.dk]

+1

[Radek Hladik]

-1 a jsme na 0

[pavlix]

Jako vtip dobré, ale, ale já bych to shrnul do známého českého přísloví: „Chytrému napověz...“

[Radek Hladik]

Však to také vtip byl. Jak jsem psal, vím, že jsou lidé, kteří se mnou nesouhlasí...

[pavlix]

Však také lze použít i ta část přísloví, kterou jsem napsal :). Záleží jen na způsobu interpretace.

[Radek Hladik]

Cítím se poctěn uznáním mé inteligence

[pavlix]

Pak je tu ještě druhá část přísloví, že :). Neumím člověka posoudit tak rychle, proto volím větvení podle podmínky.

[Ondra]

své inteligence...

[pavlix]

Jsi si jistý?

Cítím se poctěn [tvým/jakýmkoli] uznáním mé inteligence

On se přece necítí poctěn svým vlastním uznáním své inteligence, ne?

[Radek Hladik]

Co mně na té panelové diskuzi nesmírně potěšilo a naplnilo optimizmem bylo, že se vůbec nikdo nezmínil o nějakých "pokročilých" vlastnostech IPv6 jako mobilita, IPSec, atd... Dlouhodobě zastávam názor, že jediná alespoň trochu dobrá věc na IPv6 je právě to, že ten základ je obyčejné IP s většími adresami, a že ty s prominutím ptákoviny navrch si můžu strčit za klobouk.

Není se čemu divit, když tam byli poskytovatelé internetu a ne správci firemních sítí a VPN. IPsec funguje velmi dobře už i na IPv4 (i když to stálo hodně úsilí, které na IPv6 nebylo potřeba), a na IPv6 těží právě z absence NATu.

Znám několik dalších správců firemních sítí, kteří, když jsem jim ukázal OpenVPN, tak říkali věci typu: "To nemůže fungovat, to není tak komplikovaný jako IPSec", "Proč je IPSec tak složitej?". Někde to dokonce nasadili a jsou značně spokojení. Ale to jen bokem, k tomu IPSecu

Resp. je považuju za největší brzdu rozovje IPv6, které není schopné se prosadit za 10 let své existence.

IPv6 se není schopné vedle IPv4 (samo) prosadit ve větší míře ani teď. Prosazuje ho nedostatek IPv4, jediný pádný argument (vše ostatní jsou jen bonusy). Bylo pouze potřeba počkat, až ty IPv4 opravdu dojdou.

Považovat víceméně nezávisle vyvíjený IPsec a mobilitu, které jsou mimochodem už dávno pro IPv6 hotové, za brzdu, mi přijde jaksi... úplně mimo. Tvůrci síťového hardware a software mají IPsec už dlouho a mobilita není nic tak těžkého.

Ono to jde ruku v ruce. Ano Cisco a spol už mají IPSec a mobilitu a další fičurky hotové a občas se mezi sebou i domluví. Zato jsem neviděl jediný SOHO router, který by to nějak uměl.

Teď to vypadá, že nám nic jiného nezbyde, tak alespoň udělejme jen to nutné a nepouštějme se do nějakých větších akcí

Zvětšení adresního prostoru je ta největší akce vůbec :). Vyžaduje upgrade software i hardware na všech úrovních a nedá se dobře dělat pozvolna.

Ale no tak Upgrady se dělají pořád, ať už HW nebo SW, prostě nějaká verze už bude podporvat IPv6, pak se "dočasně" bude používat dualstack a pak se časem ta mrtvá IPv4 vypne... Nikde jsem neviděl, že by někdo na všech úrovních vypnul všechno IPv4 a přinesl všecko IPv6 a vyměnil to

[pavlix]

Znám několik dalších správců firemních sítí, kteří, když jsem jim ukázal OpenVPN, tak říkali věci typu: "To nemůže fungovat, to není tak komplikovaný jako IPSec", "Proč je IPSec tak složitej?". Někde to dokonce nasadili a jsou značně spokojení. Ale to jen bokem, k tomu IPSecu

Vidíš, já jsem teď měl o IPsecu školení... a reakce byly spíše ve smyslu:

„No, my používáme OpenVPN, ale tohle vypadá jednodušší, asi to začneme nasazovat taky, aspoň to bude narozdíl od OpenVPN fungovat všude bez nějakých kliček.“

Takže tu máme dva protichůdné pohledy, a co dál?

Ono to jde ruku v ruce. Ano Cisco a spol už mají IPSec a mobilitu a další fičurky hotové a občas se mezi sebou i domluví. Zato jsem neviděl jediný SOHO router, který by to nějak uměl.

Pokud SOHO router definuješ tak, že nic neumí, pak je vše v pořádku. Pokud ho definuješ cenou a neznáš Mikrotik, tak je na čase rozšířit svůj přehled o síťových prvcích.

Nicméně, ruku v ruce to nejde. IPv6 lze používat i bez IPsec, a IPsec lze používat i bez IPv6.

Ale no tak Upgrady se dělají pořád, ať už HW nebo SW, prostě nějaká verze už bude podporvat IPv6, pak se "dočasně" bude používat dualstack a pak se časem ta mrtvá IPv4 vypne... Nikde jsem neviděl, že by někdo na všech úrovních vypnul všechno IPv4 a přinesl všecko IPv6 a vyměnil to

Takže mi dáváš za pravdu? :)

[Radek Hladik]

„No, my používáme OpenVPN, ale tohle vypadá jednodušší, asi to začneme nasazovat taky, aspoň to bude narozdíl od OpenVPN fungovat všude bez nějakých kliček.“

Takže tu máme dva protichůdné pohledy, a co dál?

A dál nic. Nikomu neberu jeho názor, ale je potřeba uvést názory oba, ty jsi uvedl jeden, já druhý, tak je to vyvážené... Ikdyž nechápu, jak někomu IPSec připadá jednodušší a jaké kličky jsou u OpenVPn potřeba, tak to neřeším a až někoho takového potkám, tak ho požádám, ať mi to předvede

Pokud SOHO router definuješ tak, že nic neumí, pak je vše v pořádku.

Tady jsem se asi vyjádřil ne úplně přesně... Ne SOHO, ale takové to "SOHO", co si každý v krámě koupí za pár stovek a čeho jsou plné domácnosti a malé firmy...

Pokud ho definuješ cenou a neznáš Mikrotik, tak je na čase rozšířit svůj přehled o síťových prvcích.

Zajímavé tvrzení, ale částečně s ním souhlasím. Dokud neznám všecho, je čas si znalosti rozšiřovat. Ovšem, co se týče Mikrotiku, resp. routerboardů, tak nějaké povědomí bych měl. Jenže z mně nepochopitelného důvodu nexistuje nic jako 750 s jednou wifi, takže pokud chci nahradit onen výsě uvedený "SOHO" za něco lepšího, tak se dostávam na tisíce korun. Nebo snad existuje něco, co má 5x ETH a 1x wifi a licenci, která umí AP a krabičku a adaptér? A btw: podpora IPv6 v Mirkotiku je sice uspokojivá, ale rozhodně tomu (alespoň ve 4.x) spousta věcí chyběla - třeba DHCPServer,EoIP. A zrovna z té přednášky jsem se snažil připojit přes Winbox na IPv6 a hle, prý co je to za divný port :2. Nakonec jsem ale našel na jejich stránkách verzi, která už to pobrala.

Ale no tak Upgrady se dělají pořád, ať už HW nebo SW, prostě nějaká verze už bude podporvat IPv6, pak se "dočasně" bude používat dualstack a pak se časem ta mrtvá IPv4 vypne... Nikde jsem neviděl, že by někdo na všech úrovních vypnul všechno IPv4 a přinesl všecko IPv6 a vyměnil to

Takže mi dáváš za pravdu? :)

Tak daleko bych nešel Souhlasím, že je potřeba výměna HW a SW, o tom snad není potřeba diskutovat. Pokud mám něco, co IPv6 neumí a já IPv6 chci/potřebuju, tak to musím vyměnit... Já ale říkám, že se ty výměny dělají průběžne a z různých důvodů a často se tam to IPv6 prostě vetře tím, že to prostě umí verze, kterou nasazují kvůli něčemu jinému. A zároveň říkám, že pak se to dá dělat postupně a nikoliv najednou...

[pavlix]

Ikdyž nechápu, jak někomu IPSec připadá jednodušší a jaké kličky jsou u OpenVPn potřeba

Chceš mi snad říct, že přijdu třeba k Windows Vista, stáhnu OpenVPN, a jedu? Možná jsem blbej já, ale zabralo mi to docela dost času to vůbec rozjet.

Nebo snad existuje něco, co má 5x ETH a 1x wifi a licenci, která umí AP a krabičku a adaptér?

Pokud vím, tak mezi tisícovkou a dvěma (budiž to vcelku přiměřená cena) se dá SOHO řešení od Mikrotiku vybrat.

A btw: podpora IPv6 v Mirkotiku je sice uspokojivá, ale rozhodně tomu (alespoň ve 4.x) spousta věcí chyběla

Už nějakou dobu se používá řada 5.x, právě kvůli IPv6.

Tak daleko bych nešel Souhlasím, že je potřeba výměna HW a SW, o tom snad není potřeba diskutovat. Pokud mám něco, co IPv6 neumí a já IPv6 chci/potřebuju, tak to musím vyměnit... Já ale říkám, že se ty výměny dělají průběžne a z různých důvodů a často se tam to IPv6 prostě vetře tím, že to prostě umí verze, kterou nasazují kvůli něčemu jinému. A zároveň říkám, že pak se to dá dělat postupně a nikoliv najednou...

Tedy nejsme ve sporu... alespoň pokud ignoruješ pár drobných problémků, které při přechodu z IPv4 na IPv6 vyplouvají. Já o nich bohužel vím, takže vím, že je tam pár starostí navíc, a nelze prostě ignorovat vše, co na IPv6 ještě nechceš.

Tzn, ano, jde to postupně, ale ne tak hladce, jako ten IPsec, se kterým jsi to pokud vím srovnával, už jen proto, že IPsec nevyžaduje změny na všech zařízeních v síti.

[Radek Hladik]

Chceš mi snad říct, že přijdu třeba k Windows Vista, stáhnu OpenVPN, a jedu? Možná jsem blbej já, ale zabralo mi to docela dost času to vůbec rozjet.

To je samozřejmě otázka, co myslíš tím přijdu, stáhnu, rozjedu. Já, když jsem poprvé OpenVPN zkoušel, tak jsem stáhl, napsal jednoduchej config a během (nekecám) 5ti minut jsem měl funkční tunel mezi dvěma WinXP. Můžu doporučit pěkný článek http://www.root.cz/clanky/openvpn-vpn-jednoduse/

Pak přidejme OpenVPN-GUI, které přidává perfektní GUI. Dokonce mají na stránkách howto, jak ten instlační balíček upravit, aby se dal personifikovat pro každého zaměstnance napříjkad. Dál jsem někde viděl aplikaci, která sama vygeneruje žádost o cert a pošle jí, něco jako Certificate enrollment wizard. Ale to se dostáváme někam dál, než standardní IPSec. A sice do situace, kdy každý klient má svůj certifikát (IPSec na to kdysi potřeboval speciální rozšíření, navzájem pochybně kompatibilní). Pokud se bavíme o group authentikaci, kterou jsem zatím mětšinou viděl, tzn. použije se na šifrování nějaký sdílený klíč a pak username/password, tak to OpenVPn umí taky, je to značně jednoduché a také funkční...

Nevýhodou OpenVPN (musím otevřeně přiznat) je, že TUN/TAP adaptér nemá podporu pro UAC. Zatím jsem po detailech nepátral, na Vistách jsem to zatím nikde rozcházet neuměl, na Win7 budu muset...

Pokud vím, tak mezi tisícovkou a dvěma (budiž to vcelku přiměřená cena) se dá SOHO řešení od Mikrotiku vybrat.

Nezbývá, než odpovědět, že si budeš muset trochu rozšířit obzory Bohužel nedá. Jediná možnost je http://www.i4wifi.cz/rb750gl-64-mb-ram-400-mhz-5x-gigabit-lan-vc-l4_d2415.html , případně verze G, případně předchůdce 450. Toto řešení, ač ho rád a hodně nasazuju, nemá WiFi. A v kategorii do 2K se dostaneme pouze na řešení typu http://www.i4wifi.cz/rb411u-300-mhz-1x-minipci-1x-minipci-e-1x-lan-1x-usb-1x-sim-vc-l4_d1497.html nebo http://www.i4wifi.cz/rb711u-400-mhz-cpu-32-mb-ram-1x-lan-1x-5-ghz-l3-u-fl_d1976.html . Ty jsou sice za slušné peníze, ale mají maximálně 2-3 eth porty, potřebují krabičku a adaptér a ještě k tomu, když jsme to tu smontovali a zkusili, tak jsme zjistili, že je potřeba dalších asi 500 za upgrade licence, aby to umělo AP.

Už nějakou dobu se používá řada 5.x, právě kvůli IPv6.

Pokud mně paměť neklame, tak zařízení s dodanou licencí na 3.x nejde upgradovat na 5.x. Navíc 5.x je poměrně nová a někteří lidé na síťové infrastruktuře jsou spíše konzervativní Ale ani tady nejsme ve sporu, i tak jsem to psal, že až od 5.x je ta podpora IPv6 slušná.

[pavlix]

To je samozřejmě otázka, co myslíš tím přijdu, stáhnu, rozjedu. Já, když jsem poprvé OpenVPN zkoušel, tak jsem stáhl, napsal jednoduchej config a během (nekecám) 5ti minut jsem měl funkční tunel mezi dvěma WinXP. Můžu doporučit pěkný článek http://www.root.cz/clanky/openvpn-vpn-jednoduse/

Rozjet OpenVPN mezi XPčkama umí s prominutím každej blbec.

Nezbývá, než odpovědět, že si budeš muset trochu rozšířit obzory

Když už, tak bych si je musel zůžit :), ale myslím, že to nebude potřeba.

I kdybysme jen znásilnili tu klientskou jednotku, tak kolik může stát krabice a zdroj? ETH porty se dají rozšířit switchem za dvě stovky. K tomu 500 za upgrade. A máš SOHO řešení i s IPsec.

Jestli to přesáhne 2000, tak jen o málo. Při troše snahy člověk jistě najde něco lepšího. Já tyhle věci nehledám na i4, ale zeptám se u poskytovatele a ten vždycky něco vytáhne ze skříně :).

Já osobně jsem trochu větší hračička, takže asi brzo budu kupovat nějakého TP-Linka, ale za účelem instalace OpenWRT. Takže se mi nechce věnovat víc času dokazování, že lze sehnat dostačující Mikrotik, když jsem výše ukázal, že cca za dva tisíce jde to řešení poskládat alespoň nějak.

IPsec jsem potřeboval nasazovat zatím akorát ve firemním prostředí, kde na mé doporučení koupili RB-1100 nebo něco podobného, tam zase nebyl tak ostrý požadavek na cenu.

i tak jsem to psal, že až od 5.x je ta podpora IPv6 slušná.

Tak tak.

[Radek Hladik]

I kdybysme jen znásilnili tu klientskou jednotku, tak kolik může stát krabice a zdroj? ETH porty se dají rozšířit switchem za dvě stovky. K tomu 500 za upgrade. A máš SOHO řešení i s IPsec.

Jestli to přesáhne 2000, tak jen o málo.

Co se člověk nedozví Jen pro dokreslení, krabička je za cca 200-300, zdroj v podobných cenách. Trochu nám to šplhá, ale což, okolo 2K pořád jsme. Pak ten switch, ano, pohodka, jen tam bude další zařízení, za dvěstě nějaký noname... A asi bude tak pěkně manageovatelný, jako ty porty na mikrotiku. Nu a VLANy určitě zvládne taky...

Ale až buděš někdy mluvit s tím poskytovatelem, zeptej se ho na řešení v jednom zařízení, a pokud něco vytáhne ze skříně, opravdu jsem zvědavý, klidně pošlu dotaz do i4wifi, jestli to mají.

Jakmile není požadavek na cenu, tak můžeme mluvit o Ciscu PIX, RB1000 a klidně i o routeru na bázi PC.

OpenWRT jsem zkoušel cca 2 roky nazad. Ale s mikrotikem se to v mnoha ohledech srovnat nedalo.

Když už, tak bych si je musel zůžit :),

Á, pán je suterén Nu nechme to u toho, že ta zplácanina okolo 2K je to, co jsi předtím zmiňoval.

[Radek Hladik]

Chceš mi snad říct, že přijdu třeba k Windows Vista, stáhnu OpenVPN, a jedu? Možná jsem blbej já, ale zabralo mi to docela dost času to vůbec rozjet.

Rozjet OpenVPN mezi XPčkama umí s prominutím každej blbec.

Můžu se zeptat, co je na těch Vistách tak zvláštního, čím se odlišují od těch XP, že tvrdíš tak odlišné věci? Já vím jen o tom UAC... Jinak tomu opravdu nerozumím

Jinak OpenVPN mi běhá na Linuxu, WinXP, FreeBSD, Mikrotiku i na Maemu a nikde, opakuji nikde, to nebyl větší problém než nainstalovat, zadat konfigurák a klíče.

[Jimmy]

Pokud mně paměť neklame, tak zařízení s dodanou licencí na 3.x nejde upgradovat na 5.x.

Mikrotik s licencí 3.x možná nejde upgradovat přímo na 5.x (neměl jsem odvahu zkusit), ale určitě jde upgradovat na 4.x, updatovat licenci a pak přejít na 5.x. Po upgradu na 5.x systém hlásí, že půjde upgradovat na 6.x. Lze tedy říct, že každý mikrotik kromě historických verzí do tuším 2.9.5 jde upgradovat o jedu verzi a to postupně až do poslední verze.

[trekker.dk]

Zato jsem neviděl jediný SOHO router, který by to nějak uměl.

Levné krabičky pro koncové zákazníky, kam výrobce nedá nic, co opravdu nemusí, aby ušetřil, opravdu nejsou tím správným měřítkem...

[Radek Hladik]

Záleží na tom, jak to člověk hodnotí. Podle míry penetrace to (bohužel) je věc, kterou se musíme zabývat. Ono ostatně, kdy jste od O2, UPC, .... dostal něco, co bylo lepší? Když máte netriviální nožství lama klientů, tak jim nebudete dávat mikrotiky... Napadá mně jedno české přísloví a lesklých předmětech a zvířátkách, z nichž pochází řízek, ale nedovolil bych si přirovnat zákazníky ke sviním

[pavlix]

Tak moment... ptal jsi se na IPsec.

Když mám netriviální množstvo lama klientů, nepotřebuju jim dávat router s podporou IPsec (ano, možná kvůli tomu nebude mít nálepku s certifikací, ale na to sere pes).

Easy krabičky s IPv6 budou, i kdyby jen proto, že je bude (nejen) O2 potřebovat.

[Radek Hladik]

Neptal jsem se přímo na IPSec (pokud se mi ty vlákna nepomotaly). Zmiňoval jsem všechny "bonusové" věci, IPSec byl pouze jako příklad jedné z nich, mobilita byla další...

[pavlix]

Tak psal jsi IPsec a mobilitu. Mobilita je jednak celkem triviální, a druhak ještě pořád úplně nevím, jestli je to k něčemu dobré (ať už na IPv4 nebo IPv6). Navíc se odmítám mobilitou více zabývat, dokud nebude IPv6 v každém hotelu a restauraci, kde se běžně připojuju na Internet.

Do té doby lze řešit mobilita stejně jen přes tunel, a to je zbytečné, když tunel sám IP mobilitu poskytuje.

IPsec je o poznání zajímavější, ale jak sám říkáš, je to bonus, pro budování IPv6 infrastruktury a připojování koncových sítí není potřeba. Tudíž nemá šanci tento proces nijak brzdit.

[Ondrej 'SanTiago' Zajicek]

Kdyz uz jsme u tech levnych krabicek pro koncove zakazniky, nemate nekdo zkusenosti z Ubiquiti Airrouter? To je dost levne, ale jinak vypada jako standardni Ubiquiti zarizeni (tedy pomerne schopny a snadno modifikovatelny software),

[Petr Tomášek]

Zvětšení adresního prostoru je ta největší akce vůbec :). Vyžaduje upgrade software i hardware na všech úrovních a nedá se dobře dělat pozvolna.

Nesouhlasím. Pokud by se IPv6 bylo vyvíjelo rozumně, tak se nejdřív udělalo jen to naprosto nejnutnější a namapoval by se adresní prostor IPv6 - IPv6 na přechodné období 1:1 (tj. vydalo by se RFC, že např. prvních 10 let by se mohlo používat jen 2^32 IPv6 adres namapovatelných na IPv4). Takže nemusel být vůbec žádný problém s routováním, jen by se podle jednoduchého schématu namapoval adresní prostor IPv6 - IPv4.

No a po přechodné době by se povolily i další IPv6 rozsahy, což by velmi rychle přechod na IPv4 vpodstatě vynutilo.

Jenže problém je ve tvůrcích IPv6, kteří museli za každou cenu nacpat do nové verze protokolu tolik nekompatibilních novinek, že už to pak takto nebylo možné.

A je to škoda, protože kdyby se na to šlo chytřeji a nebyla snaha naráz všechno změnit, tak už tu IPv6 mohlo být dávno...

[Radek Hladik]

+1 A jak z toho plusování teď ven

[pavlix]

Mno, kdo sám sobě dává plusy, působí úplně stejně jako kdo sám sobě tleská :).

[Radek Hladik]

Já nedával plus sám sobě, pouze někomu, kdo píše něco, s čím z větší části souhlasím

[vlx]

Jasně, všechno je možný, když se může vypnout analogové TV vysílání a lidi si nakoupí nové "krabičky" a jedou digitálně tak proč by nešlo "vypnout" i IPv4 a lidi si nakoupí nové "krabičky" a pojede se IPv6 dyť je to docela slušnej bussines natlačit lidem další nové "krabičky" Přece stačí nějaká ta reklama jak je to "cool a in" a bude se vesele prodávat :)

[pavlix]

Asi tak :D.

[Ondrej 'SanTiago' Zajicek]

To by slo leda kdyby nasazeni IPv6, podobne jako tomu bylo u prechodu na DVB-T, naridil stat.

[trekker.dk]

Respektive všechny státy a ještě naráz...

[trekker.dk]

Takže nemusel být vůbec žádný problém s routováním, jen by se podle jednoduchého schématu namapoval adresní prostor IPv6 - IPv4.

Je to asi zbytečné, protože prostě nechceš chápat a radši ze sebe děláš pitomce, ale jeden pokus tomu dám: problém s routováním by samozřejmě byl i podle tohohle schématu, protože s IPv6 se mění struktura paketu, přinejmenším musíš použít víc místa na adresu, takže to stejně znamená nutnost vyměnit HW/SW.

[Radek Hladik]

Ad a) není pravda, že se struktura musí změnit. Máme různé options a tak, kam by se dala uložit, pokud by to za to stálo.

Ad b) já jsem to pochopil tak, že by to bylo "normální" IPv6, ale pouze s rozsahy z IPv4. Pak bych si dovedl představit, že se na nějaké gateway udělá mapování 1:1, něco jako teď ten NAT64. Ve vnitřní sítí mám IPv6 stroje a routery dělají ten "NAT" na IPv4. A postupně by se sítě s IPv6 zvětšovaly až by byly dost velké a to by byl ten moment, kdy by se to rozjelo řetězovou reakcí...

Ad c) Zmíněné řešení je sice kostrbaté, ale aspoň nějaké. Přiznám se, že první imho rozumné "oficiální" přechodové řešení, které jsem viděl je právě ten NAT64. Viz ta přednáška na IT11, kde byla většina těch řešení shrnuta...

[pavlix]

Ad a) není pravda, že se struktura musí změnit. Máme různé options a tak, kam by se dala uložit, pokud by to za to stálo.

Fíha, tak od tud vítr vane... ty bys chtěl totálně vše sprasit, jenom abysme mohli předstírat, že se nic nezměnilo. Ale fuj.

Ad b) já jsem to pochopil tak, že by to bylo "normální" IPv6, ale pouze s rozsahy z IPv4.

Já tě chápu, ale tohle „normální IPv6“ by způsobilo dvojí přechod místo jednoho, takže by vyšlo zbytečně draho.

Pak bych si dovedl představit, že se na nějaké gateway udělá mapování 1:1, něco jako teď ten NAT64. Ve vnitřní sítí mám IPv6 stroje a routery dělají ten "NAT" na IPv4. A postupně by se sítě s IPv6 zvětšovaly až by byly dost velké a to by byl ten moment, kdy by se to rozjelo řetězovou reakcí...

Tedy vlastně bys chtěl, aby vymysleli něco jako NAT64, aby se mohlo postupně přecházet. Fajn, potěším tě, oni vymysleli dokonce přímo NAT64.

Tudíž můžeš realizovat přesně to, po čem toužíš.

Ad c) Zmíněné řešení je sice kostrbaté, ale aspoň nějaké. Přiznám se, že první imho rozumné "oficiální" přechodové řešení, které jsem viděl je právě ten NAT64. Viz ta přednáška na IT11, kde byla většina těch řešení shrnuta...

NAT64 má historii sice o něco kratší než IPv6, ale i tak je to schéma, které je známé už deset let.

Nejmenovalo se to celou dobu NAT64 (to je relativně nový název), ale ten princip už je vymyšlený dlouho. Potíž je v tom, že firmy se začaly zajímat o IPv6 až na začátku roku 2011. Překvapuje mě, že se stále snažíš hledat problém někde jinde.

[Radek Hladik]

Fíha, tak od tud vítr vane... ty bys chtěl totálně vše sprasit, jenom abysme mohli předstírat, že se nic nezměnilo. Ale fuj.

Nenapsal jsem, že to je možnost, ale že se mi to také moc nezdá? Jen jsem psal, že je možné to udělat, aniž by se ten formát změnil.

NAT64 má historii sice o něco kratší než IPv6, ale i tak je to schéma, které je známé už deset let.

Nejmenovalo se to celou dobu NAT64 (to je relativně nový název), ale ten princip už je vymyšlený dlouho. Potíž je v tom, že firmy se začaly zajímat o IPv6 až na začátku roku 2011. Překvapuje mě, že se stále snažíš hledat problém někde jinde.

No, kdyby se s tím řešením přislo před pár lety, tak by se mi to právě líbílo víc. Sice se mi to řešení moc nelíbí, protože je to prasárna, ale z nabízených možností je dle mně nejlepší. A proč to považuju za prasárnu? a) moc to připomíná to řešení s IP options b) nekombí se to zrovna nejlíp s DNSSECem...

A můžu poprosit o nějaký odkaz, jak se to jmenovalo před tím, a třeba i na nějaké rok, dva tři staré howto, jak to na Linuxu/Mikrotiku nastavit? Opravdu v této problematice nemám kompletní znalosti, ale zatím jsem zaregistroval všechny tunely nebo tak, tak měly různé problémy. Ostatně i na té přednášce to bylo zmíněno.

A nesnažím se problémy někde jinde. Jen zmiňuju ty věci, které se mi nelíbí. Věci, které se mi líbí nezmiňuju a používám (ano i já používám IPv6 ), ale nad nimi nemám potřebu filozofovat/diskutovat ve fórech...

[trekker.dk]

Jen jsem psal, že je možné to udělat, aniž by se ten formát změnil.

Jenže nakonec bys stejně buď musel udělat skutečný přechod, ve kterém by ta adresa byla normálně, tedy v jednom kuse na daném místě v paketu, nebo obětovat rychlost kvůli nutnosti každý paket analyzovat v podstatě softwarově.

V konečném důsledku by ses přechodu nevyhnul a ještě by to stálo víc. A nebo vyhnul, ale pak by to furt stálo víc a ještě bychom s sebou na věky táhly tu prasáckou variantu...

[pavlix]

Nenapsal jsem, že to je možnost, ale že se mi to také moc nezdá?

Ne. Ale je dobře, že jsi to tak myslel.

No, kdyby se s tím řešením přislo před pár lety, tak by se mi to právě líbílo víc. Sice se mi to řešení moc nelíbí, protože je to prasárna, ale z nabízených možností je dle mně nejlepší.

Ono se s tím řešením přišlo právě cca před deseti lety. Dokonce z roku 2002 podle mě najdeš i nějaké prvotní implementace pro Linux a BSD (nepamatuju si názvy). Kdo chtěl, mohl v té době daný software doladit a uvést do praxe.

V tu dobu o to ale z pochopitelných důvodů nebyl zájem.

A proč to považuju za prasárnu? a) moc to připomíná to řešení s IP options b) nekombí se to zrovna nejlíp s DNSSECem...

Tak ona to samozřejmě prasárna je. Ale je to vyváženo tím, že:

1) Je to jediná metoda (ten způsob, ne konkrétní standard či implementace) zpřístupnění starého protokolu, která se dá udělat na jednom místě v síti (oproti metodám, co vyžadují podporu na každém stroji).

2) Ta prasárna bude po letech s časem mizet, ne přibývat.

3) Není to o moc větší prasárna než praktické nasazení stávajícího protokolu (jenom o quirky při překladu mezi protokoly, kterým se stejně nedá vyhnout).

nekombí se to zrovna nejlíp s DNSSECem...

Já myslím, že se to kombí s DNSSECem velmi dobře. Ne bez úpravy, ale rozhodně dobře. DNS64 překladač lze spojit s validátorem (ať už na cílovém stroji nebo na síti). Přirozenější možnost bude obohatit validátory na koncových strojích o zpětný překlad a validaci A záznamu.

A můžu poprosit o nějaký odkaz, jak se to jmenovalo před tím, a třeba i na nějaké rok, dva tři staré howto, jak to na Linuxu/Mikrotiku nastavit? Opravdu v této problematice nemám kompletní znalosti, ale zatím jsem zaregistroval všechny tunely nebo tak, tak měly různé problémy. Ostatně i na té přednášce to bylo zmíněno.

Zkusím si vzpomenout / vygooglit / zeptat se. Mikrotik to určitě neuměl, šlo o experimentální záležitost, o kterou se nikdo z dodavatelů krabiček pro lidi nezajímal (není se čemu divit, když se nezajímali o celé IPv6).

A nesnažím se problémy někde jinde. Jen zmiňuju ty věci, které se mi nelíbí. Věci, které se mi líbí nezmiňuju a používám (ano i já používám IPv6 ), ale nad nimi nemám potřebu filozofovat/diskutovat ve fórech...

Já si osobně myslím, že hledat v tomto konkrétním případě chybu u tvůrců IPv6 je chyba. Samozřejmě, během vývoje udělali spoustu různých chyb, proto jsou taky ty RFC v několikáté generaci.

Ale pozdní nasazení IPv6 podle mě padá na hlavu těm, co se pozdě rozhodli se jím vůbec zabývat.

Všichni ISP, poskytovatelé hostingů a obsahu, výrobci hardware a software, správci sítí, a další zainteresovaní, měli možnost se zabývat IPv6 už cca 15 let a mohli včas připomínkovat všechny problémové části IPv6. Kdo se tím začal zabývat až 2010/2011, ať se laskavě smíří s dosavadním vývojem.

Je pár věcí, kterým se v IPv6 mohlo zamezit včas, ale v době hotových implementací nezbývá než si vyžrat, co jsme si nechali uvařit.

[pavlix]

Pokud by se IPv6 bylo vyvíjelo rozumně, tak se nejdřív udělalo jen to naprosto nejnutnější a namapoval by se adresní prostor IPv6 - IPv6 na přechodné období 1:1 (tj. vydalo by se RFC, že např. prvních 10 let by se mohlo používat jen 2^32 IPv6 adres namapovatelných na IPv4). Takže nemusel být vůbec žádný problém s routováním, jen by se podle jednoduchého schématu namapoval adresní prostor IPv6 - IPv4.

To ale vůbec nepíšeš o vývoji IPv6, ale o nasazování IPv6, a to by vyžadovalo, aby všichni dobrovolně migrovali na IPv6 (byť s kratšími adresami) v době, kdy to ještě není potřeba.

A kdo se trošku v globální síti pohybuje, musí vědět, že to je naprostá utopie.

Jenže problém je ve tvůrcích IPv6, kteří museli za každou cenu nacpat do nové verze protokolu tolik nekompatibilních novinek, že už to pak takto nebylo možné.

V tvůrcích žádný problém není, tvůrce nikdo poslouchat nemusí. Tvůj přístup by fungoval, kdyby Internet byl centrálně řízený komunismus nebo alespoň firma.

Nicméně, tvůj názor je přinejmenším docela zajímavý a opravdu by to takhle v malém měřítku (například ve firmě) udělat šlo.

Ale je štěstí, že IPv6 vzniklo na míru globálnímu Internetu, kde funguje nejlíp ta metoda, s jakou se teď IPv6 v reálu nasazuje.

A vzhledem k tomu, že je IPv6 z pricipu nekompatibilní délkou adresy (vynechme prosím utopii s mapovanými adresami), je nejlepší ty nekompatibilní změny udělat všechny najednou. Později už to vzhledem k decentralizaci (mimojiné i výroby) moc nepůjde.

A je to škoda, protože kdyby se na to šlo chytřeji a nebyla snaha naráz všechno změnit, tak už tu IPv6 mohlo být dávno...

Ano, to je pravda, ale s tím nemají tvůrci nic společného. To bylo rozhodnutí manažerů, že se IPv6 nebude nasazovat, dokud to nebude vyloženě nutné.

A nemůžeš chtít po manažerech a technicích z celého světa, aby se dohodli na nějakém postupu. Oni jsou rádi, když se vůbec dohodou v rámci jediné firmy.

[Radek Hladik]

V tvůrcích žádný problém není, tvůrce nikdo poslouchat nemusí. Tvůj přístup by fungoval, kdyby Internet byl centrálně řízený komunismus nebo alespoň firma.

A tohle je to jádro pudla, na kterém se neshodnem Ne, že by měli někoho poslouchat, ale měli by se trochu krotit a mít trochu pokoru a ponaučení z minulosti. Ale no tom už jsme se jednou neshodli, takže se neshodnem asi zase

[pavlix]

A tohle je to jádro pudla, na kterém se neshodnem Ne, že by měli někoho poslouchat, ale měli by se trochu krotit a mít trochu pokoru a ponaučení z minulosti.

Spolutvůrcem IPv6 může být kdokoli, kdo napíše kus dokumentace nebo třeba jen důležitou připomínku Já, ty, kdokoli.

Kdyby se o protokol při jeho tvorbě zajímali ti, kteří loni tvrdili, že není potřeba, a teď ho „narychlo“ uvádějí do provozu, leccos by se tím vyřešilo.

[Foo Bar]

Doporučuji třeba seriál o IETF na Lupě, abyste trochu pochopil, jak IETF funguje...

[pavlix]

Kdyby nic jiného, tak alespoň já děkuju za tip :).

[sigma]

Celkový přístup Telefónicy není „hurá, nasadíme IPv6“, nýbrž „dochází nám adresy, tak nám nic nezbývá“.

No, až tak bych to neviděl. Jejich přístup je rozhodně pozitivní. Lepší než u hromady jiných "ISP", kteří si před mnoha lety řekli "dochází na adresy, dáme klienty za NAT, a veřejnou IP na žádost / za příplatek, tak na co IPv6". A mnohým tento postoj ještě pár let vydrží. A stejně to mohli udělat u O2. Nic by se nestalo. Stejně jako se nic nestalo na jejich mobilní síti, kde to tak už je.

[Luboš Doležel (Doli)]

Na xDSL je ten síťový traffic v trochu jiných číslech než na mobilní síti.

[Radek Hladik]

Když už je tu tak vysokoá koncentrace odborníků, tak se zeptám na dvě věci, které mě zajímají

První věc se týká NATu.Vždycky když slyším nějakého zastánce IPv6 mluvit o NATu, tak mám pocit, že mu NAT minimálně vyvraždil půl rodiny, jak nenávistně o něm mluví Asi se shodnem na tom, že NAT není bezpečnostní prvek, ten se dá na IPv6 udělat prostě firewallem (ikdyž to musí být stavový firewall a pak je CPU a jiná náročnost na firewall téměř identická). I toho maskování vnitřní sítě bych se klidně vzdal, to je spíš jen Security Thru Obscurity (ikdyž silně zaobskurněný).

Ale co jsem u IPv6 nenašel je ta nezávislost na poskytovateli(-ích), kterou mi NAT nabízí. Dokud nemám stovky počítačů, pak je přeci ideální mít svoje vlastní adresy, které při opouštění mé sítě najěkým způsobem namapuju na přidělené vnější. Pokud změním poskytovatele, tak se téměř nic neděje. Nebo v případě, že mám dvě připojení k Internetu - doma teď máme celkem 4 s různou kvalitou, rychlostí, atd.... Jaký je správný způsob, jak s IPv6 řešit takovouto situaci: Mám firmičku s 5ti počítači. Mají ADSL a k dispozici je nějaká free wifi. S IPv4 jim nastavím nějaké pěkné adresy typu 10.0.0.x, router bude mít dvě vnější rozhraní, jedno do ADSL modemu, druhé WiFi. Na každém z nich se nastaví NAT a stačí volit defaultní gateway (mikrotik umí sám podle pingu např). Jedinou cestu, jak by se to dalo udělat bez NATu, vidím v získání bloku nezávislém na poskytovateli a účastnění se routingu. Nebo při každé změně připojení přeadresovat všechny počítače.

A to mně přivádí k druhému dotazu. Existuje nějaký protokol/software (DHCP6?), který přiděluje adresy nějak sekvenčně bez EUI64? EUI64 se mi moc nelíbí a všiml jsem si, že i hodně serverů ho nepoužívá (2002:d91f:cd32::1 www.nic.cz, 2001:67c:68::18 wwww.root.cz). Všimněte si, že tyhle adresy už jsou vcelku zapamatovatelné, ovšem s EUI64 na konci to bude o poznání horší. Líbílo by se mi něco typu: Hele, tady máš prefix a rozdávej čísla ::100 až ::200.

[pavlix]

První věc se týká NATu.Vždycky když slyším nějakého zastánce IPv6 mluvit o NATu, tak mám pocit, že mu NAT minimálně vyvraždil půl rodiny, jak nenávistně o něm mluví

Ne, pouze nás stál hromadu peněz, protože nebýt jeho, tak bysme už před mnoha lety telefonovali po internetu. Tím pádem by pravděpodobně i veškeré ceny volání byly nižší, a to nejen pro nás, co tomu rozumíme.

Taky bysme v mnohých případech ušetřili pěkný kus cesty, protože bysme někomu po telefonu prostě řekli, co má na firewallu jak povolit a mohli bysme daný stroj opravit na dálku. Takhle tam musíme buď dojet, nebo musíme mít nakonfigurovaný nějaký tunel, což většina z těch krabiček navíc ani neumí.

Ale co jsem u IPv6 nenašel je ta nezávislost na poskytovateli(-ích), kterou mi NAT nabízí. Dokud nemám stovky počítačů, pak je přeci ideální mít svoje vlastní adresy, které při opouštění mé sítě najěkým způsobem namapuju na přidělené vnější.

Nezávislost na poskytovateli řeší AS a BGP. Pokud na to nemáš, tak lze na IPv6 používat 1:1 NAT, který je stále ještě mnohem lepším řešením než NAT 1:N.

A to mně přivádí k druhému dotazu. Existuje nějaký protokol/software (DHCP6?), který přiděluje adresy nějak sekvenčně bez EUI64? EUI64 se mi moc nelíbí a všiml jsem si, že i hodně serverů ho nepoužívá (2002:d91f:cd32::1 www.nic.cz,

Příští díl článku o IPv6 bude obsahovat odpověď na tvoji otázku :). Krátká odpověď: Jde to a jmenuje se to DHCPv6.

[Radek Hladik]

Nezávislost na poskytovateli řeší AS a BGP. Pokud na to nemáš, tak lze na IPv6 používat 1:1 NAT, který je stále ještě mnohem lepším řešením než NAT 1:N.

Osobně si myslím, že to není jen o tom, jestli na to mám, ale i o tom, jestli je to efektivní. Mít AS a BGP na každých pár počítačů je nejenom složité na správu, ale asi by to slušně zabordelilo i globální routovací tabulky. To mapování 1:1 je přesně to, co by mi stačilo.

Jde to a jmenuje se to DHCPv6.

Já jsem si to myslel a počkám si na ten slibovaný díl

Leč bohužel ani jednu z těchto dvou věcí jsem na Mikrotiku 5.4 nenašel. Na linuxu (Fedora14) bych asi bez problemu rozjel ten DHCP, ale nevidim v man ip6tables možnost jakéhokoliv netmapu nebo něčeho podobného. Tzn. asi moc běžná záležitost to nebude? A přitom právě v tomto přechodovém období s triliardou možných tunelů by to bylo vhodné. CZ.NIC má veřejný 6to4 relay, super, jenže pokaždé, když se mi změní veřejná IPv4 adresa, změní se mi adresy v celé síti (auvajs). Můžu si pořídit nějaký tunel, kde se předem zaregistruju atd... ale ty jsou zase zbytečně daleko. Takže ideální varianta, tunel od NICu a když nepojede (třeba kvůli té změně IPv4), tak se to samo přehodí na horší tunel, který ale není závislý na zdrojové adrese.

[pavlix]

Osobně si myslím, že to není jen o tom, jestli na to mám, ale i o tom, jestli je to efektivní. Mít AS a BGP na každých pár počítačů je nejenom složité na správu, ale asi by to slušně zabordelilo i globální routovací tabulky.

Ne na každých pár počítačů, samozřejmě :). Pár počítačů je velmi často za jedním routerem, který sám tvoří single point of failure. Pak už je potřeba myslet na to, co se vlastně má pokazit.

To mapování 1:1 je přesně to, co by mi stačilo.

Ještě aby ne :). Samo o sobě to slouží jako důkaz, že nějaká forma překladu adres se v IPv6 hodí.

ale nevidim v man ip6tables možnost jakéhokoliv netmapu nebo něčeho podobného. Tzn. asi moc běžná záležitost to nebude?

Však taky dost lidí prohlašuje, že NAT není v IPv6 potřeba. Musíš počkat, až se přijde na to, že potřeba je :).

CZ.NIC má veřejný 6to4 relay, super, jenže pokaždé, když se mi změní veřejná IPv4 adresa,

Můžeš používat veřejnou IPv4 adresu, která netrpí změnami, nebo používat tunel, který se nemění podle IPv4 adresy. Možností je spousta, například SixXS tunel přes Ignum.

změní se mi adresy v celé síti (auvajs).

V IPv6 se přečíslování sítě nepovažuje za až takový průšvih, pokud nemáš stroje v DNS. Pokud ano, viz výše.

Můžu si pořídit nějaký tunel, kde se předem zaregistruju atd... ale ty jsou zase zbytečně daleko.

Ignum/SixXS je daleko?

Ideální varianta je samozřejmě nativní konektivita.

[Radek Hladik]

Ne na každých pár počítačů, samozřejmě :). Pár počítačů je velmi často za jedním routerem, který sám tvoří single point of failure. Pak už je potřeba myslet na to, co se vlastně má pokazit.

Jo, jenže tenhle spof je tak nějak v dosahu. Jinak řečeno, jak jsem psal, typický příklad: Zákazník má dvě pidi kanceláře a 5 počítačů. Má ADSL a cca 99% času mu funguje. Jenže je na internetu hodně závislý, takže má ještě anténu namířenou na nějaký CZ.FREE AP. Tam má domluvenou poměrně malou konektivitu, ale přeci. Přehodí se mu to automaticky a on jen pozná, že mu to jede pomalejc, tak přestane stahovat hambatinky, ať mu ty emaily projdou.

A čistě statisticky, ten router mu ještě neodešel, ADSL vypadává cca jednou do měsíce. A pokud nepomůže restart modemu, tak se dovolá dřív na lampárnu než na O2

V IPv6 se přečíslování sítě nepovažuje za až takový průšvih

I když se nepoužijí ty link specific adresy? Výše zmíněný zákazník má v síti lokální SMB server. Pokud by se síť přečíslovávala, tak lokální spojení spadnou také, ne? A zase mít na každém stroji dvě IP (lokální a globální), to se mi moc nechce...

Ideální varianta je samozřejmě nativní konektivita.

Chápu-li to správně, tak ta výše zmíněný problém nevyřeší. A přiznám se, že rád vyzkouším i různé ty tunely a spol, ať s tím mám co nejvíc zkušeností...

[Luboš Doležel (Doli)]

I když se nepoužijí ty link specific adresy? Výše zmíněný zákazník má v síti lokální SMB server. Pokud by se síť přečíslovávala, tak lokální spojení spadnou také, ne? A zase mít na každém stroji dvě IP (lokální a globální), to se mi moc nechce...

Proč? Vždyť to je správné a logické řešení! A kdyby IPv4 adres byl dostatek a k ADSLku by jich byl třeba blok /24, tak byste nakonec jistě také používal ještě lokální adresy právě z tohoto důvodu...

[Radek Hladik]

To je samozřějmě hypotetická otázka, ale osobně bych řekl, že na klientské stanice bych používal jen lokální adresy nebo jen veřejné, pokud bych měl jistotu, že se nezmění každý týden třikrát Dvě adresy ve mně evokují více problémů se správou, řešením problémů,....

[pavlix]

Ony dvě adresy stejnětak můžou znamenat míň problémů, záleží na situaci.

[David Jaša]

IPv6 stanice používají minimálně dvě adresy...

[pavlix]

A čistě statisticky, ten router mu ještě neodešel, ADSL vypadává cca jednou do měsíce. A pokud nepomůže restart modemu, tak se dovolá dřív na lampárnu než na O2

Chápu. A výpadky jsou i u lepších poskytovatelů. Takže pokud to nutně musí být, tak IPv6 NAT rozsah na rozsah :).

I když se nepoužijí ty link specific adresy? Výše zmíněný zákazník má v síti lokální SMB server. Pokud by se síť přečíslovávala, tak lokální spojení spadnou také, ne?

Proč by měla spadnout? Přečíslování na IPv6 je plynulé, prostě se začne preferovat jiný prefix a ten starý se nechá pro stávající (lokální) spojení.

A zase mít na každém stroji dvě IP (lokální a globální), to se mi moc nechce...

Mít na IPv6 několik IP adres se považuje za normální stav. Preference zdrojových adres odchozí komunikace je specifikována včetně možnosti ji doladit.

Chápu-li to správně, tak ta výše zmíněný problém nevyřeší.

To byla jenom poznámka na okraj :).

[Radek Hladik]

Chápu. A výpadky jsou i u lepších poskytovatelů. Takže pokud to nutně musí být, tak IPv6 NAT rozsah na rozsah :).

Ok, zeptám se tedy takto. Jakým způsob je nyní možné řešit s IPv6 nastíněnou situaci? Tedy mám síť s cca 5-50 počítači a mám 2-5 připojení k internetu, které chci přepínat (dejme tomu, že nepotřebuju sdílet). Ať to nekomplikuju, tak mám jen jeden router, který má připojené ty jednotlivé konektivity k sobě. V lokální síti mám server, který chtějí lidé využívat bez ohledu na internet. Přepnutí musí ovšem fungovat v řádu desítek sekund. Nevadí mi, že popadají vnější spojení při přehazování, ale chtěl bych, aby nepopadaly lokální spojení.

[pavlix]

Pak je nejlepší používat pro místní spojení ULA a ideálně dát takovému serveru pouze ULA (třeba ručně). Pro případné propojení s další sítí doporučuju si opravdu nechat vygenerovat prefix s náhodnými bity, ne jako to tuším psal Luboš. Klienti budou mít k dispozici.

K vlastnímu přepínání... pokud nedokážeš do Linuxu dostat podporu pro IPv6 NAT (ona tam není, protože všichni doufají, že se vše vyřeší jinak a lépe), budeš se muset spolehnout na failover pomocí různých rozsahů. Bude v článku.

V případě, že máš vše na jednom switchi, tak dokonce můžeš místo ULA použít i stávající link-local adresy pomocí zápisu, který obsahuje i rozhraní.

[Radek Hladik]

Jinak řečeno, v současné době není poměrně běžný problém (alespoň u mně) snadno a elegatně řešitelný, zatímco na IPv4 je (ač s použitím proklínaného NATu).

[pavlix]

Jinak řečeno, v současné době není poměrně běžný problém (alespoň u mně) snadno a elegatně řešitelný, zatímco na IPv4 je (ač s použitím proklínaného NATu).

To se samozřejmě u nového protokolu může stát. Ale v tomto případě s tebou nesouhlasím, protože se mi současné řešení v IPv6 zdá z mnoha důvodů elegantnější než současné řešení v IPv4. Takže za mě, pouze není k dispozici stejné řešení.

[Radek Hladik]

Fajn, počkám si na ten článek s popisem toho failoveru a posoudím obě řešení po tom.

Jen bych podotknul, že IPv6 není zas až tak nový protokol Spousta lidí nás přesvědčuje, že už je tu s námi 10 let...

[pavlix]

Je novější než IPv4 a není dosud ve velkém nasazený v praxi.

[Foo Bar]

Díváte se na to moc optikou IPv4... Zkuste provést myšlenkový experiment, a oprostit se od stávajícího myšlení a pak porovnat obě řešení alespoň trochu nezaujatě...

Například mě je úplně jedno kolik mám adres... a věci jako přepínání defaultních rout jsou řešeny v IPv6 mnohem lépe. Na rozdíl od IPv4 nemusím používat různé divné VRRP a podobné protokoly.

Například skoro není rozdíl v tom, jestli těch vašich 2-5 různých připojení bude obsluhovat jedna krabice nebo 10.

[pavlix]

To se mi hodně líbí, i když to samozřejmě otevírá kritiku na jiné straně.

[petr_p]

Zapomněl jste dodat, že vaše hypotetická síť, kde 50 stanic má připojení zálohováno 5 různými způsoby neprovozuje vůbec žádný veřejný server, protože ten byste za NAT schovával těžko.

Bez dynamického směrování (či podvodů ve stylu křížených domácích agentů mobilního IP u poskytovatelů) se tento problém řeší velmi obtížně, protože vždy musíte obětovat jednu funkcionalitu za jinou.

Možná by vás zajímala sisifosská snaha pojmenovaná shim6, která se snaží o nemožné.

[Foo Bar]

> změní se mi adresy v celé síti (auvajs).

Pro stabilní alokaci v lokální síti můžete například používat ULA (třeba taková tiskárna možná ani nepotřebuje routovatelnou adresu...). A pak už tolik nevadí, když po změně poskytovatele proběhne nový RA s novými adresami.

[trekker.dk]

Asi se shodnem na tom, že NAT není bezpečnostní prvek, ten se dá na IPv6 udělat prostě firewallem

Jenom pro upřesnění: na IPv4 to zabezpečení musíš udělat firewallem taky, ten NAT je tam (mluvím o náročnostni na CPU) navíc.

[Radek Hladik]

Asi se shodnem na tom, že NAT není bezpečnostní prvek, ten se dá na IPv6 udělat prostě firewallem

Jenom pro upřesnění: na IPv4 to zabezpečení musíš udělat firewallem taky, ten NAT je tam (mluvím o náročnostni na CPU) navíc.

Jasně, ale pokud NAT i stavový firewall sdílejí Connection Tracking mechanismy (což oba potřebují), pak se jedna práce dělá jen jednou. A firewall pak obsahuje něco jako "--state new -i wan -j DROP" a to udělá většinu práce.

[pavlix]

Jasně, ale pokud NAT i stavový firewall sdílejí Connection Tracking mechanismy (což oba potřebují), pak se jedna práce dělá jen jednou. A firewall pak obsahuje něco jako "--state new -i wan -j DROP" a to udělá většinu práce.

Pokud se použije pouze firewall, tak se jedna práce dělá taky jen jednou. Navíc tabulka musí mít kvůli NATu další sloupce.

[Radek Hladik]

Však ano, já píšu, že firewall a firewall+NAT dělají téměř stejně složitou práci.

[pavlix]

Však ano, já píšu, že firewall a firewall+NAT dělají téměř stejně složitou práci.

O tom se nechci hádat, ale myslím si, že NAT (se stavovým firewallem) je složitější implementačně, paměťově i výpočetně, než jednoduchý stavový firewall, a zároveň je náchylnější na chyby a různé problémy. Zvlášť, pokud se jedná o NAT 1:N. Ale nejsem to schopný nijak kvantifikovat, v podstatě je to spíš můj pocit než cokoli jiného.

[Luboš Doležel (Doli)]

S IPv4 jim nastavím nějaké pěkné adresy typu 10.0.0.x, router bude mít dvě vnější rozhraní, jedno do ADSL modemu, druhé WiFi. Na každém z nich se nastaví NAT a stačí volit defaultní gateway (mikrotik umí sám podle pingu např). Jedinou cestu, jak by se to dalo udělat bez NATu, vidím v získání bloku nezávislém na poskytovateli a účastnění se routingu. Nebo při každé změně připojení přeadresovat všechny počítače.

Já jen dodám, že nikdo vám nebrání těm počítačům napevno nastavit lokální adresy, jako je to u IPv4. Já mám třeba server na fd00:1::1. Pro komunikaci v rámci místní sítě nemusíte používat veřejné adresy.

[Radek Hladik]

S IPv4 jim nastavím nějaké pěkné adresy typu 10.0.0.x, router bude mít dvě vnější rozhraní, jedno do ADSL modemu, druhé WiFi. Na každém z nich se nastaví NAT a stačí volit defaultní gateway (mikrotik umí sám podle pingu např). Jedinou cestu, jak by se to dalo udělat bez NATu, vidím v získání bloku nezávislém na poskytovateli a účastnění se routingu. Nebo při každé změně připojení přeadresovat všechny počítače.

Já jen dodám, že nikdo vám nebrání těm počítačům napevno nastavit lokální adresy, jako je to u IPv4. Já mám třeba server na fd00:1::1. Pro komunikaci v rámci místní sítě nemusíte používat veřejné adresy.

To sice jde, ale musím si dát setsakra pozor, aby žádný stroj tu adresu nepoužil při komunikaci ven. Přičemž u IPv4 tam funguje NAT jako někdo, kdo to v takovém případě alespoň částečně zachrání....

A samozřejmě, já chci komunikovat dovnitř i ven a v současné době je NAT to, co mi nabízí zdání, že to můžu

[Luboš Doležel (Doli)]

Jenže lokální adresu nemůžete použít pro komunikaci ven! Přemýšlí vám to pořád v režimu IPv4

[pavlix]

To sice jde, ale musím si dát setsakra pozor, aby žádný stroj tu adresu nepoužil při komunikaci ven.

IPv6 má vytvořený docela dobrý mechanismus pro výběr zdrojové adresy. Je na to samostatné RFC, jinak na linuxu man gai.conf.

[Ondrej 'SanTiago' Zajicek]

všiml jsem si, že i hodně serverů ho nepoužívá

No, servery budou obvykle konfigurovane staticky, takze autokonfigurace je vcelku zbytecna.

Me se pristup s RA/SLAAC pro koncove pocitace vcelku libi (nebot zajisti relativne staticke adresy aniz by clovek musel cokoliv kdekoliv nastavoval. Akorat dost netusim, jak se pocita s napojenim na DNS. Bud se clovek vykasle na reverzy, nebo stejne bude muset nekde shromazdovat informace o pouzivanych adresach (a pak uz si moc prace neusetri). Nebo treba pri delegaci /64 na domaciho uzivatele. To se na nej deleguje i prislusny poddomena reverzniho DNS a ceka se, ze si to uzivatel nastavi?

[Luboš Doležel (Doli)]

Protože mluvíte teď asi o domácích uživatelích, tak se zeptám: k čemu jsou tam ty reverzy dobré? Kdo je tam chce mít, tomu se udělá delegace, u ostatních je to stejně zbytečnost. K čemu je nějaké "119.69.broadband2.iol.cz" u klientských PC někde za xDSL dobré?

[Radek Hladik]

U serverů to je jasné. Ale mně se to právě líbí i u "klientských" počítačů. Přijde mi, že adresa ve tvaru 2001:380:a7c2::200 je ještě vcelku zapamatovatelná (prefix a pak nějaké číslo), zatímco, kdyby tam místo toho ::200 bylo jeětě další 2058:fbff:a34f:476f, tak to už asi nedám

Samozřejmě, že to řeší DNS, ale občas člověk pracuje přímo s IP adresama, občas je to pro něj pohodlnější, atd... Například při konfiguraci firewallu teď z hlavy napíšu IP adresy všech strojů, ze kterých je potřeba admin access na SSH.

[trekker.dk]

U serverů to je jasné. Ale mně se to právě líbí i u "klientských" počítačů.

Tak pokud budeš mít pevný prefix, můžeš si AFAIK klientské počítače nakonfigurovat podle libosti. Akorát budeš muset všechno dělat ručně nebo na síti rozběhat DHCP (a to konfigurovat ručně, aby se párovaly MAC a IP)

[Radek Hladik]

U serverů to je jasné. Ale mně se to právě líbí i u "klientských" počítačů.

Tak pokud budeš mít pevný prefix, můžeš si AFAIK klientské počítače nakonfigurovat podle libosti. Akorát budeš muset všechno dělat ručně nebo na síti rozběhat DHCP (a to konfigurovat ručně, aby se párovaly MAC a IP)

Přesně, buď si to nakonfiguruju ručně anebo se ptám, zda to DHCPv6 umí nebo zda existuje něco jiného, co dělá přesně to, co dělá DHCP pro IPv4. T.j. přijde dotaz a on se podívá do tabulky, zjistí, že téhle MAC ještě nic nedal, tak jí dá prefix::100, pak přijde další dotaz, dá mu prefix::101 a když se první znovu zeptá, tak dostane prefix::100. A samozřejmě to něco musí být podporováno ve Win klientech, jinak to ztrácí efekt...