Dotaz: IPv6 a překlad adres (NAT)

[Nataša Gollová]

Potřebuji u IPv6 překládat adresy (dělat NAT). Buď klasickou maškarádu jako u IPv4 (přemapování portů + celá vnitřní síť je schovaná za jednou veřejnou IP adresou) nebo 1:1 tzn. rozsah veřejných IPv6 adres mapovat na jiný (typicky, ale ne nutně, privátní) rozsah IPv6 adres. Bylo by dobré mít obě možnosti, protože se hodí to i to.

Funguje to v Linuxu? Pracuje se na tom? Jak složité je to implementovat? Šlo by třeba vzít implementaci NAT64 a upravit ji, aby překládala IPv6 na IPv6? Nebo na to jít přes nějakého démona v userspacu, který by byl napojený na TUN/TAP rozhraní a adresy jednoduše přepisoval?

Disclaimer: Pokud možno se prosím zdržte flamu o tom, že NAT není u IPv6 potřeba. Ano, NAT/maškaráda tak, jak se aplikuje u IPv4 je ve většině případů prasárna nebo nouzové řešení, přesto existují legitimní důvody pro použití NATu. Pokud to někoho zajímá, např. máme speciální privátní síť, ze které se chceme dostat na internet. Bez NATu by to bylo nutné řešit přes HTTP nebo SOCKS proxy, ale to je jen pro HTTP resp. TCP provoz, není to univerzální řešení a je potřeba to konfigurovat na úrovni aplikací (nestačí v OS nastavit routu). Nebo máme sestavu virtuálních mašin, které chceme bez readresace stěhovat mezi našimi datacentry nebo od nás k zákazníkovi. (v podstatě aplikace tvořená mnoha VM, které fungují jako celek). Nebo i takové "drobnosti", jako VM běžící na notebooku, který přenáším mezi různými sítěmi - chci, aby komunikace z VM vypadala navenek jako komunikace z mého notebooku.

P.S. možná se ptám na něco, co už bylo zodpovězeno, ale když tohle téma googlím, tak nacházím jen samé články o tom, jak IPv6 nepotřebuje NAT, a proto tam není.

---

---

Odpovědi

[Sten]

Funguje úplně totožně jako u IPv4. Navíc existuje i NAT-PT, který umí vyměnit jeden prefix za jiný.

[j]

Chtel si napsat, ze to uplne stejne jako na ipv4 ... nefunguje. Protoze ipsec (a dalsi veci) pres to pochopitelne neprojde.

Pricezm kdyby mi nejakej dodavatel dodaval podobnou kokotinu, tak ho kopnu do rite s rozebehem ...

"Nebo máme sestavu virtuálních mašin, které chceme bez readresace stěhovat mezi našimi datacentry nebo od nás k zákazníkovi." ... jasne, takze misto aby sel provoz nejkratsi cestou, a byl zalohovanej nekolika linkama, tak se bude preposilat pres 1/2 internetu, a kdyz se neco podela, prestane to fungovat uplne ... takovahle kkokotina se nedela ani v ipv4.

[Michal Kubeček]

Ono hlavně nedává moc smyslu řešit to překladem adres, když existuje Mobile IPv6.

[Filip Jirsák]

Potřebuji u IPv6 překládat adresy (dělat NAT).

S velmi vysokou pravděpodobností nepotřebujete.

Ani jeden z uvedených příkladů nevyžaduje NAT. V IPv6 je běžné, že jedno zařízení má více IPv6 adres, že se jeho IPv6 adresy mění a že se pro stálé adresování používá DNS nebo mobilní IPv6. Možná vám připadá, že by na nějaký váš problém byl NAT nejlepším řešením – jenže ve skutečnosti tím ten problém jenom dočasně schováte a zaděláte si na daleko větší problémy v budoucnosti.

[Jendа]

Souhlasím, že zrovna uvedené případy lze řešit bez NATu. Jak si ale poradit s tím, že mi mobilní operátor přes PPP přidělí jenom jednu IPv6 adresu a já chci mít za mobilem počítač s virtuály? Můžu si leda tak udělat VPN někam kde mám /64.

[Michal Kubeček]

vxlan + (případně) IPsec

Nebo zvolit rozumnějšího operátora (existuje-li).