NAT66 předmětem jednání IETF (diskuse)

[Dušan Hokův]

To si snad delaji srandu? Jedny blbosti se zbavime a druhou udelame?

[neaktivni]

To je porad jeste dobre. Obvykle pouze vymyslime nove blbosti...

[Drom]

Me to prijde, ze vymyslime nove variace starych blbosti :)

[Mti.]

Problem neodstranite tim, ze vytvorite druhy. Pouze se spoji a uderi Vas vetsi silou.

[----]

 Myslim, ze by ste si mali prectitat odstavec "Motivations", kde je vysvetlene preco chcu tento proces vlozit do standardu.

[Zdeněk Štěpánek]

NAT je zlo. Hotovo tecka konec.

[Mti.]

Ne. Skype je zlo. Nat je mensi zlo.

[Käyttäjä 11133]

A není příčinou existence Skype existence NATu?

[Drom]

Takhle ta veta zni dost divne... to jako ze napsali komunikacni program kvuli tomu, ze existuje NAT? :)

Spis bych rekl, ze Skype existuje (na duvody se ptejme firmy, ktera ho produkuje) a ma urcite vlastnosti i vzhledem k existenci NATu.

[Käyttäjä 11133]

Kdyby neexistoval NAT, tak by nikdo neměl důvod k tomu vytvářet komunikační protokol skype.

[Drom]

Pochybuju, ze motivem Skype Technologies k vytvoreni programu Skype byl NAT.

Mozna tak: "Hm, chtelo by to vydelat nejakej peniz na tom rozmachu Internetu, co bychom tak... no jasne, komunikacni program. Ale musi umet pracovat i za NATem."

[Martin Lebeda]

A povedlo se... pracuje spolehlivě i za NATem. Což uživatelé, jak je vidět z masového rozšíření, přivítali.

[petr_p]

Pochybuju, ze motivem Skype Technologies k vytvoreni programu Skype byl NAT.

Tak přestaňte. Obchodní model Skypu je založen na tom, že se najde dost hejlů, který na svoje náklady dělají proxy chudákům, kteří jsou schovaní za překladem adres.

[otula]

NAT je zlo. Hotovo tecka konec.

Možná je to zlo. Jenže pokud mám doma 2 PC, notebook, multimediální centrum a VoIP telefon, a ISP mi poskytne jen 1, nebo 2 IP adresy, budu za NAT vděčný. V dnešní době je to běžná praxe. Netbox mi odmítnul poskytnout druhou IP adresu. Až bude adres dost, třeba budou poskytovatelé ochotnější, ale určitě to nebude zdarma. A proč si připlácet třeba několik set měsíčně, když by mi stačily privátní IP adresy?

[Käyttäjä 11133]

Změna ISP? Taky se poohlížím po novém, protože mám poslední volnou IP...

[otula]

Já příliš moc na rozumný výběr nemám, takže se spokojuji s routerem/NAT

[h.xman]

Až bude adres dost, třeba budou poskytovatelé ochotnější, ale určitě to nebude zdarma. A proč si připlácet třeba několik set měsíčně, když by mi stačily privátní IP adresy?

Proc by to nemelo byt zadarmo? Dnes je prece problem v tom, ze je adres malo, proto se to resi pomoci NATu a proto se za adresy navic plati... to vse by mohl IPv6 smest na smetiste dejin.

Pokud tomu rozumim, tak vy predpokladate, ze po zavedeni IPv6 vam zustanou stejne duvody pro NATovani jako dnes, pricemz ovsem jednim z duvodu zavadeni IPv6 byla prave snaha se toho zbavit... proc by clovek mel neco takoveho predpokladat, to mi nejak hlava nebere... co mi unika?

[Ondrej 'SanTiago' Zajicek]

> co mi unika?

Napriklad to, ze mnoho duvodu pro pouziti NAT opravdu zustane - ackoliv zdaleka ne vsechny. Problem totiz neni jenom v tom, ze adres je nedostatek, ale take v jejich centralizovane distribuci. NAT ma jednou vlastnost - pokud uzivatel muze pripojit jeden pocitac, muze pripojit celou sit. Tuto vlastnost IPv6 protokol sam v sobe nema.

[qiRzT]

Moc toho o ipv6 nevím, tak se možná pletu, ale neobsahuje něco jako možnost dynamického routování -> mám svojí adresu a je jedno, kde se připojím (když nad tím přemýšlím nenapadá mě jak by tofungovalo, ale z mojí hlavy ta informace není)? Není plán takový, že se nebudou přidělovat jednotlivé adresy, ale celé sítě? Myslím, že zůstávají i jiné důvody pro NAT (třeba když chci schovat svojí síť). NAT IMHO sám o sobě není zlo. Špatné je, jak se používá.

[xavier]

To že máš svojí adresu funguje tak, že když se připojíš do jiné než domácí sítě, tak za tebe odpovídá nějaký "domácí" server/router, který tu komunikaci přesměruje tobě a postupně se optimalizuje cesta, aby se to pořád neposílalo přes domácí uzel. Nevím jestli to je úplně přesně a taky nechápu jak to chtějí realizovat.

[petr_p]

Takhle.

Kdysi jsem četl reportáž z laboratoře, kde to zkoušeli a fungovalo to výborně (mobilní uzel byl WiFi klient, kterému měnili asociaci na AP z jiné IP sítě a na kterého během pokusu celou dobu pingali).

[xavier]

Spíš jsem měl na mysli jak chtějí vytvořit síť těch domácích uzlů. Jestli se o to bude starat provider nebo si bude muset každý doma nastavit svůj počítač?

[Käyttäjä 11133]

No to samozřejmě záleží na ISP, já počítám s tím, že to budu mít (a mám) ve své vlastní správě. Ale proč by to ISP neimplementovali, že.. jako službu za příplatek.

[Zdeněk Štěpánek]

zůstávají i jiné důvody pro NAT (třeba když chci schovat svojí síť).

NAT ale nema s firewallem nebo schovavanim nejake site nic spolecneho. NAT a firewall jsou 2 zcela odlisne veci a kazda umi fungovat bez te druhe. Ze se ve spouste pripadu kombinuji a pouzivaji spolu je vec jina.

[qiRzT]

To je mi jasny. Taky jsem psal schovat, ne chránit. Napadá mě třeba nějaký cluster, nebo jen pár virtuálních systému u mě na notebooku.

[Käyttäjä 11133]

Proč, to si neumíš nastavit firewall?

[qiRzT]

Říkam schovat, ne chránit. Čili dosáhnout toho, aby o těch virtuálních systémech vnější sít nevěděla. Nejde primárně o to, aby se na ně nedalo dostat, to je až (ne zcela jistý) vedlejší důsledek. Smyslem může být třeba to, že v rámci té virtuální sítě nemusím měnit adresy, když se s tím notebookem připojím do jiné sítě a NAT (resp. maškaráda) mi zajistí, že se z těch systémů dostanu. Myslím, že by se určitě našlo mnoho dalších důvodů, k čemu by se NAT hodil i při dostatku adres. Celou dobu uvažujeme, že ipv6 bude používat (přidělovat, routovat atd.) stejným, či podobným způsobem jako ipv4. Ale to, že si něco nedokážem představit, neznamená, že to nemůže nastat. Na tohle dojela nejeda počítačová záležitost. A to, že se NAT standardizuje je jen dobře. Jestli ho bude někdo hloupým způsobem používat, je jeho problém a chyba. Krom toho, jak psal někdo níž - když se najde někdo, kdo bude NAT chtít, tak si ho udělá i bez standartu.

[Käyttäjä 11133]

Ale IPv6 má taky lokální adresy, které si můžeš přidělit sám a nemusíš při přepojení jejich adresy jakkoli měnit, když změníš síť.

[qiRzT]

A NAT mi zajistí, že se z těch lokálních adres dostanu na internet a přitom to bude vypadat, že komunikuje jen jeden počítač.

[Käyttäjä 11133]

Jenže to je proti smyslu internetu!

[qiRzT]

A ten je jaký? Ten notebook bude pořád přístupný z celého internetu. Nedostupné budou jen jakési virtuální systémy.

[Käyttäjä 11133]

Smysl internetu je takový aby počítače v internetu mohli komunikovat přímo a je jedno jestli se jedná o počítače fyzické, nebo o počítače virtuální. Nikdo ti přece nebrání, aby si si ty své virtuální počítače v případě, že je nechceš mít připojené k internetu k internetu nepřipojoval. Však je nepřipojuj, ale pak se nechtěj z těchto počítačů k internetu nepřipojených k internetu připojovat. Tudíž, chceš li mít izolovanou síť, použij adresní prostor pro takové sítě určený, v případě, že chceš některé z těch virtuálních strojů připojit k internetu i k privátní síti, pak jim přiřaď privátní i internetovou adresu.

[petr_p]

Naštěstí o takovém ne-prostém překladu adresu neuvažují ani zarytí obhájci NAT66.

[xavier]

Ono připojování do sítě v IP v6 se dost liší od dnešní praxe. Když to zjednoduším, tak to vypadá tak, že adresa sítě je prvních 64 bit IP adresy. Pokud se počítač připojí do sítě, tak není potřeba nic nastavovat, protože maska sítě(prvních 64 bit) se nastaví pomocí DHCPv6 a druhých 64 bit se "dopočítá" z MAC adresy a času(není to tedy v čase konstantní). V tomhle systému mi připadá NAT naprosto zbytečný.

[xavier]

Když jsem na to teď mrknul, tak ono to je podstatně složitější. Tak se omlouvám jestli jsem někoho mystifikoval.

[Ondrej 'SanTiago' Zajicek]

> V tomhle systému mi připadá NAT naprosto zbytečný.

Dobra, tak konkretni hypoteticky priklad. Pripojim se s notebookem pres wifi na Eduroam, nebo treba v hotelu na free wifi. Dostanu IPv6. K notebooku mam pres USB-net pripojene PDA (ktere nema wifi) a chtel bych se s nim pripojit na Internet.

Na IPv4 proste dvema prikazy nasadim na notebooku NAT. Jak mi v tehle situaci pomuze IPv6 oproti IPv4?

[Käyttäjä 11133]

Nastavíš bridgování a PDA dostane vlastní IP?

[Ondrej 'SanTiago' Zajicek]

Nedostane, protoze:

1) bridgovani funguje, jen pokud obe technologie pouzivaji stejny format MAC (L2) adresy. Ted si nejsem jist co pouziva USB-net, ale treba SLIP s ethernetem nesbridgujes.

2) na klasicke wifi nejde jednoduse delat bridge mezi wifi station a ethernetem z duvodu brain-damaged standardu 802.11 . To se obchazi nekolika ruznymi zpusoby. Nejpopularnejsi je asi neco jako NAT na MAC adresach. V takovem pripade se vsichni uzivatele ethernetu za wifi klientem tvari pro AP, jako kdyby meli stejnou MAC adresu.

3) I kdybych vyresil 1) a 2), tak autentikacni mechanismy daneho wifi poskytovatele mohou kombinovat L2 a L3 opatreni, napriklad tak, ze autentizace pomoci 802.1X povoli  na brane prislusnou IP adresu ve firewallu. Protoze autentizace probehne jen jednou (jedna se o autentizaci na L2 vrstve), tak druha adresa nebude povolena.

[petr_p]

Nebo si necháte přes DHCPv6 nadelegovat užší přefix.

[Ondrej 'SanTiago' Zajicek]

To vyzaduje nejakou soucinnost ze strany provozovatele (i kdyby treba jen co se tyce konfigurace prislusnych demonu). To lze tezko ocekavat nekde na hotelove wifi siti.

[petr_p]

Na hotelové síti lze stěží očekávat i veřejnou IPv4 adresu. Všechno to je o očekávané úrovni služeb. Jako příklad mohu uvést DHCPv4 – dnes je prakticky nemyslitelné, že byste si měl nastavovat adresu ručně.

[Käyttäjä 11133]

Pokud se počítač připojí do sítě, tak není potřeba nic nastavovat, protože maska sítě(prvních 64 bit) se nastaví pomocí DHCPv6

Chyba. Pro tohle se používá router advertisement.

[otula]

Proc by to nemelo byt zadarmo?

Myslíš, že když si řeknu o 10 adres, tak je dostanu a budu platit stejně jako za jednu? O tom, že by měl přijít komunismus jsem nikde nečetl

[1john2]

samozrejme prectete si serial zde na abicku(ipv6 novy internet) je to v nem krasne vysvetleno, pokud uz mate stavajici ipv4 adresu(statickou, dynamickou(je to jedno muze se vam "pouze" menit rozsah vasich ipv6 adres)) mate narok na vlastni podsit vytvorenou z teto ipv4 4adresy, pokud jste za natem a nemate vlastni verejnou ip, muzete si pozadat o tunel(napr www.sixxs.net) a k nemu dostanete zdarma 48 subnet...

[otula]

Pokud to tak bude, bude to v pohodě. Na druhou stranu mne ale život naučil, že nemám věřit všemu, co se kde špitne. No uvidíme, až to přijde.

[Käyttäjä 11133]

No pokud budeš mít tak hloupého ISP i poté co on zavede IPv6, tak by si ho asi fakt měl poslat do prdele. ;)

[otula]

Možná to jednou udělám

[Zdeněk Štěpánek]

A presne o to jde v IPv6, aby bylo adres tolik hodne moc aby kazdy dostal kolik by chtel. Veskery popisovany problem spociva v nedostatku IPv4 adres. Kdyby jich ten netbox mel sto miliard, klidne ti jich 256 da. I kdyz v IPv6 to rozdelovani a subnetting funguje myslim trosku jinak.

Zdenek

[otula]

Jestli to bude tak, jak o kousek výše píše 1john2, bude to bezva. Ale připadá mi to nereálně optimistické. Nějak mi nejde na mysl, že by se v dnešní době, kdy se platí za každou blbinu, IPv6 zavádělo proto, aby každý koncový uživatel měl pro sebe jen tak zdarma spoustu veřejných adres…

[Honza]

Ale připadá mi to nereálně optimistické. Nějak mi nejde na mysl, že by se v dnešní době, kdy se platí za každou blbinu, IPv6 zavádělo proto, aby každý koncový uživatel měl pro sebe jen tak zdarma spoustu veřejných adres

Zjednodusujete. I ta vase narazka na komunismus o par prispevku vyse... kapitalismus prece neni o tom, ze za vse se plati (i kdyz lide, kteri radi na vsechno nadavaji, to obcas tvrdi). Plati se za tzv. vzacne statky. Se zavedenim IPv6 prestanou IP adresy byt vzacne. Bylo by ovsem kratkozrake videt to jen tak, ze ISPs prijdou o neco na cem mohli vydelavat. Naopak, sami s tim meli problemy, ktere museli kompenzovat radou hacku, a pokud se fungovani siti zjednodusi a tim vzroste jejich uzitecnost, vydelaji na tom vsichni zucastneni.

[otula]

Jak už opakuji, pokud to tak bude, bude to bezva. Nechme se překvapit.

[trekker.dk]

Bylo by ovsem kratkozrake videt to jen tak, ze ISPs prijdou o neco na cem mohli vydelavat.

Já bych řekl, že takhle nějak to dopadne. Hlavně u pseudo ISP, kteří mají minimální nebo žádnou konkurenci. Živě vidím nabídku dostaneš jednu IPv6 adresu. Chceš jich víc? Tak plať.

[xm]

To je zlé Chtělo by to nějakou petici s podtitulem "Zachraňte IPv6! Nedopusťte, aby zlo jménem NAT kompromitovalo i tento nový protokol!".

Pokud by se jí udělala dostatečná publicita a podepsalo jí mnoho lidí z branže (i nějakých těch známějších), tak by to možná mělo šanci jednání IETF ovlivnit.

[Majkls]

No já doufám,že si to všichni rychle rozmyslí. To snad nikomu nestačí privacy extensions!? NAT je zabiják všech softwarových routerů. V tomto případě jde sice o překlad 1:1 (jak jsem pochopil), nicméně nedomnívám se, že je to šťastné. Navíc, jak již bylo řečeno, bude pak IPv6 postrádat smysl (nody nebudou vidět na sebe navzájem) a jistě opět obnoví vyhlazené vrásky autorům některých aplikací.

[Ondrej 'SanTiago' Zajicek]

Pokud v IETF odmitnou nejakou standardizaci NATu, tak to tezko zajisti jeho neexistenci.  Proste kdyz bude nekdo NAT potrebovat, tak ho proste naprogramuje a bude.

Pokud bode dost pripadu, kdy se NAT hodi i v IPv6, tak proste bude NAT existovat.

 

[Michal Ludvig]

Konecne pragmaticky nazor. Uz davno rikam ze lidi jsou na NAT zvykli a budou ho chtit i v IPv6. A kde je poptavka bude i nabidka, i kdyz se protokolovi puriste budou stavet na hlavy.

[Grunt]

Musím se přidat. Poskytovaní připojení k internetu se víc než co stalo dobře výdělečný byznysem. Sám znám pár ISP…ISP…redistributorů, kteří se sice schovávají za maškarádou, ale sami snižují TTL na 1 hop aby klienti nemohli redistribuovat dále(Teda alespoň domněle). A od těch dob co se z internetu stal další prostředek konzumence, tak ani nějaká maškaráda nevadí a ani IPv6 to nespraví. Také si myslím, že pokud už náhodou nějakým zázrakem se přejde na IPv6, tak NAT bude žít stále dál a to ne z technických důvodů, ale z politických/ideových/znalostních.

 

[Drom]

Poskytovaní připojení k internetu se víc než co stalo dobře výdělečný byznysem.

No, tak to maximalne jak kde...

[Grunt]

Jak, jak kde? Všude! A nebo snad znáte nějakého poskytovatele internetu, který poskytuje z dobré vůle?

[Drom]

Ne, z dobre vule ne. Ale ze by to byl vynosny byznys... to tak maximalne jak kde. (coz uz jsem psal, neni to srozumitelne?)

[fork]

Každý krok k podpore udržania anonymity na internete je vítaný.

[Käyttäjä 11133]

Jenže tohle nemá s anonymitou nic společného, pokud chceš "anonymní" připojení, pak si pořiď Tor.

[petr_p]

Zápis z jednání BOF na 74. setkání IETF – závěr:

In summary, there was not a consensus to either do nothing or to form a working group to work on a NAT for IPv6 document. The only consensus that did exist was to continue to study the issue and there was interest in holding another BOF at the next IETF.