První poptávka po IPv4 adresách je tady

Není tomu ani měsíc od doby, kdy byly vyčerpány IPv4 adresní bloky, a už tu máme první poptávku po IPv4 adresách. Svoji včerejší zkušenost popisuje na blogu CZ.NIC Ondřej Filip.

5.10.2012 13:59 | Vilem Sladek | Zajímavý článek

Komentáře

[*Martin*]

Mam jednu. Predam

[pavlix]

Nevlastníš, neprodáš :).

[rastos]

127.0.0.1 ?

[pavlix]

Ono by bylo docela záhodno napsat, že je to celé o PI adresách, což je dost speciální třída.

[loki]

Porad mi neni jasne, jak mohlo k tomu vycerpani tak snadno dojit. Kolik lidi je pripojeno k internetu? 2*10^9? Ipv4 adres by melo byt po odecteni rezervovanych rozsahu +- 4*10^9, ne? Je mi jasne, ze hodne spolknou akademicke instituce a velke firmy, ale tolik?

[vencour]

Neni mi jasné, jak Vám to může být nejasné ... máte omezené zdroje a limitující pravidla. Tohle neni volný trh, ani teoreticky.

[loki]

Je mi jasne, ze se nejedna o volny trh Spise se podivuji nad tim, ze dve miliardy jedincu vycerpaji tolik adres tak rychle.

[pavlix]

Spise se podivuji nad tim, ze dve miliardy jedincu vycerpaji tolik adres tak rychle.

Vždyť na dvě miliardy jedinců je těch adres krutě málo :).

[Sten]

Podivné je spíš to, že se podařilo s tak málo adresami vydržet tak neuvěřitelně dlouho: IPv4 adresy začaly docházet nějakých deset až dvanáct let po svém zavedení a i přesto zvládly docházet dalších dvacet, než opravdu došly

[Michal Kubeček]

Vůbec by mne nepřekvapilo, kdyby se i po tomto milníku našlo dost lidí, kteří budou dál tvrdit, že se nic neděje a že IPv6 vlastně vůbec nepotřebujeme.

[Ondrej 'SanTiago' Zajicek]

1) Adresy se prideluji s urcitou granularitou, takze se da realne cekat vyuziti v prunmeru tak 3/4.

2) Adresy se neprideluji lidem, ale pocitacum, jeden clovek vyuziva dnes vic pocitacu - jeden doma, druhy v praci a navic dnes ma ethernetove pripojeni kazda druha spotrebni elektronika (televize, satelitni prijimace, herni konzole ...). Ja sam (ac nejsem reprezentativni vzorek) pouzivam asi 8 verejnych IP adres.

3) Adresy jsou pridelene i pocitacum, ktere nelze primo asociovat s pripojenymi lidmi (servery, routery, infrastruktura obecne).

4) Pomalu 1/4 IPv4 adresniho prostoru jsou historicky zabrane rozsahy z doby pred soucasnym systemem pridelovan adres, a ty drzi (typicky po /8 prefixech) nekolik organizaci, viz XKCD map of IPv4 space.

[Michal Kubeček]

Ad 1: vzhledem k tomu, že to přidělování probíhá hierarchicky na několika úrovních, nedivil bych se, kdyby ty 3/4 byly ještě příliš optimistický odhad.

[loki]

Je mi jasne, ze ip rozsahy nelze delit dokonale. Ale pokud uvazim, ze hodne lidi ma pripojeni natovane, musim se tomu proste divit, ze ty adresy dosly. Ale tak proc ne, ipv6 bude evoluce a snad to uz vydrzi

[Nereknu]

on je jediny problem, ze IP adresy nedosli, jen uz jich neni dostatek na pridelovani.

takze ve vysledku 99% poskytovatelu(jak internetu, tak serveroven) ma svych ip adres dostatek na dalsich 10let.

[Michal Kubeček]

I kdyby to tak bylo, což není tak úplně pravda, bylo by to špatně, protože by to stávající ISP výrazně zvýhodňovalo oproti nově vznikajícím.

[Sten]

Na deset let rozhodně ne, to má tak možná Microsoft či IBM. Většina má tak na dva tři roky, a to jen pokud budou oproti současnosti o hodně víc šetřit.

[Jendа]

To podle mě prostě není možné. Repost mého komentáře z Roota:

Opravdu? IPv4 adres jsou celkem 4 miliardy. Účinnost alokace nemůže být 100%, ale i kdyby, tak když na světě je 7 miliard lidí, z nich tak půlka ve světě, kde je elektřina a možná i Internet, a v „nejrozvinutějších“ zemích má kde kdo počítač, notebook, smartphone a televizi s připojením k Internetu, tedy 4 zařízení na jednoho člověka… jak to může stačit?

[Heron]

takze ve vysledku 99% poskytovatelu(jak internetu, tak serveroven) ma svych ip adres dostatek na dalsich 10let.

To nevím, 99% poskytovatelů jsem se neptal, ale mému lokálnímu ISP došly adresy už v době, kdy jsem tam pracoval (a to já sám mám pouhých 8 adres, což mi nestačí). Co se týče poskytovatelů obsahu, tak se topíme a chytáme posledních stébel. Zrovna teď řeším rozdělení našeho provider independent rozsahu na dvě serverovny. Jedna ze dvou našich serveroven už nemá ani jednu volnou ipv4. Chudáci BGP routery, když se to už teď seká na /24 rozsahy. Takže to imho bude docházet velice rychle.

[j]

Uvazujes spatne - NAT je prave dusledek dochazejicich adres. A ted si predstav, ze znam hafo provideru, kteri funguji tak, ze ti prideli !jednu! adresu, ale spotrebuji na to 4, protoze k tomu pouzijou /30 ...

Navic stejny problem je uz peknych par let na strane serveru - bezne ti na jediny IP bezi desitky webu, coz je problem taky - nemuzou mit https, natoz domene odpovidajici reverzni zaznam ...

[Michal Kubeček]

nemuzou mit https

To není tak úplně pravda, jde to, ale není to úplně bez problémů (a musejí mít společný certifikát).

natoz domene odpovidajici reverzni zaznam

Pokud je to řešeno CNAME záznamem, tak není potřeba. Spíš je problém v tom, že je pro rozlišení webů potřeba analyzovat hlavičku, což je jednak neefektivní, jednak komplikuje např. možnost použít různý SW pro jednotlivé weby.

[David Jaša]

(a musejí mít společný certifikát)

Nemusí, ne-mu-sííí.

[Michal Kubeček]

Ano, když se použije ještě horší obezlička, tak ne. Občas mám pocit, že kdyby se polovina toho úsilí, které se vynakládá na obcházení nedostatku IPv4 adres, věnovala zavedení IPv6, tak už mohl být IPv4 zajímavý jen pro historiky…

[pavlix]

Asi tak. V dnešním rychlém světě se dává přednost špatným krátkodobým řešením.

[David Jaša]

V čem je ta obezlička špatná ve srovnání třeba se starttls?

[pavlix]

STARTTLS mi připadá zcela přirozené. Připojím se, domluvím se, provedu dle potřeby kroky k zabezpečení komunikace a pokračuju dál.

[pavlix]

Jo teď mi došlo, že se asi nemluví o NATu, že :).

[Michal Kubeček]

Jak už jsem zmínil, už samotnou identifikaci virtuálního serveru na základě něčeno, co se dozvím až z protokolu aplikační vrstvy považuji za nešťastnou. Je to trochu jako ukládat informaci o kódování HTML dokumentu do toho dokumentu (ano, vím, že i to se bohužel dělá) nebo uložit návod, jak otevřít skříňku, dovnitř té skříňky. Duplikovat tuto informaci ještě v SSL vrstvě, která by měla být transparentní jak vůči TCP, tak vůči streamu, který přenáší, považuji za dvojnásob nešťastné.

[Heron]

+1

[David Jaša]

už samotnou identifikaci virtuálního serveru na základě něčeno, co se dozvím až z protokolu aplikační vrstvy považuji za nešťastnou.

Mě to přijde zhruba stejně nešťastné jako samotné virtuální servery rozlišované jménem - pokud už používáme ty, nevidím důvod s nimi nepoužívat SNI/StartTLS.

[Michal Kubeček]

Mě to přijde zhruba stejně nešťastné jako samotné virtuální servery rozlišované jménem

Tím "něčím, co se dozvím až z protokolu aplikační vrstvy" jsem myslel právě hodnotu položky Host v hlavičce HTTP requestu.

[xkucf03]

A co když chceš na jednom serveru provozovat stovky domén a třeba i dynamických*? Není to zbytečné dávat tam odpovídající počet IP adres a rozlišovat to podle nich? Jinak taky souhlasím, že cpát kódování textového souboru dovnitř toho souboru je nešťastné**, ale tohle mi přijde zase opačný extrém.

*) v DNS typicky hvězdička a aplikace pak doménové jméno používá pro svoji parametrizaci

**) byť někdy to jako nouzové řešení smysl má – pro případy, kdy nelze informaci o kódování předat jinak

[Michal Kubeček]

Není to zbytečné dávat tam odpovídající počet IP adres a rozlišovat to podle nich?

To je právě to myšlení zdeformované životem ve světě, kde je IP adresa vzácný statek, kterým se musí úzkostlivě šetřit.

v DNS typicky hvězdička a aplikace pak doménové jméno používá pro svoji parametrizaci

Musím se přiznat, že wildcard záznamy považuji za velice nešťastný úlet. Většina z těch, kdo je {po,zne}užívají, má pouze mlhavou představu, jak opravdu fungují, což často vede k problémům. Takže tenhle use case mne moc nepřesvědčí.

byť někdy to jako nouzové řešení smysl má – pro případy, kdy nelze informaci o kódování předat jinak

Jenže aby to mělo vůbec šanci fungovat, je potřeba předpoklad, že text z ASCII bude kódován stejně jako v ASCII. Což ne všechna kódování splňují.

[Jendа]

To je právě to myšlení zdeformované životem ve světě, kde je IP adresa vzácný statek, kterým se musí úzkostlivě šetřit.

No, jenom, jestli není problém v tom, že se z DNS stalo v podstatě jenom něco pro zajištění funkčnosti vé vé vé něco cé zet.

Jako je pravda, že představa hostingového serveru s tisícem IP adres je minimálně nezvyklá, ale proč ne.

Většina z těch, kdo je {po,zne}užívají, má pouze mlhavou představu, jak opravdu fungují, což často vede k problémům.

A tady bych se zase rád nechal poučit, co se může stát, když nastavím * CNAME někam.

[Michal Kubeček]

V jednom z RFC (nemám teď čas to dohledávat) je konkrétní příklad ze života, který demonstruje, co může způsobit nešťastná kombinace wildcard záznamu a search domény v resolveru. Výsledkem může být to, že se docela velká část jmenného prostoru resolvuje podle toho wildcard záznamu, přestože by to člověk podle "selského rozumu" vůbec nečekal. Mimochodem, není to nijak hypotetická možnost, přímo tady v poradně už jsem jednou narazil na dotaz, kde se ukázalo, že tazatel udělal přesně stejnou chybu.

[pavlix]

co může způsobit nešťastná kombinace wildcard záznamu a search domény v resolveru.

A IPv6 a odděleného resolvingu IPv6 a IPv4? Že by popsali mojí oblíbenou chybu podmíněnou třemi různými okolnostmi?

Neočekávané chyby prodokují i další RFC okolo resolvingu. Třeba současné getaddrinfo() podle RFC si téměř hází korunou, zda bude resolvovat lokální adresy (::1, 127.0.0.1, localhost, localhost4, localhost6) či nikoli. GLIBC to vylepšuje ještě o chybu v implementaci této chyby, takže se ta chyba v RFC kvůli té chybě v implementaci v některých případech neobjeví. Protože je ale to stejné RFC v jiném ohledu zcela nedomyšlené, ve Fedoře je do GLIBC patch, který tu chybu (v RFC) prozměnu rozšiřuje na linkové adresy. Krásná kombinace tří oblastí, kde se dá něco posrat, tedy ve standardu, v upstream implementaci a v distribučních patchích. Tentkráte úspěch hned trojnásobný.

[Michal Kubeček]

A IPv6 a odděleného resolvingu IPv6 a IPv4? Že by popsali mojí oblíbenou chybu podmíněnou třemi různými okolnostmi?

Ne, tohle je starší věc, ke které IPv6 není potřeba. V podstatě jde o to, že když si někdo jako search doménu nastaví takovou, ve které je wildcard záznam, může se pak ten záznam aplikovat i na dotazy na jména z úplně jiných domén.

Do resolveru v glibc jsem se byl nucen ponořit zatím třikrát, z toho dvakrát do jeho nejděsivější části, funkce send_dg(). Nemůžu říct, že jsem nikdy neviděl nic horšího, to bych zase přeháněl, ale zjištění, jaké hrůzy se mohou nacházet v tak základní komponentě systému, mnou hluboce otřáslo. Když jsem pak zjistil, že parser /etc/hosts má zadrátováno, že hledá-li IPv4 adresu, tak si automaticky překládá "::1" na "127.0.0.1", a přečetl si tuhle diskusi, ztratil jsem poslední zbytky iluzí.

[pavlix]

Ne, tohle je starší věc, ke které IPv6 není potřeba. V podstatě jde o to, že když si někdo jako search doménu nastaví takovou, ve které je wildcard záznam, může se pak ten záznam aplikovat i na dotazy na jména z úplně jiných domén.

To je v podstatě to, co se děje v tom mém případě, takže by se to dalo chápat jako variace na ten stejný problém.

Když jsem pak zjistil, že parser /etc/hosts má zadrátováno, že hledá-li IPv4 adresu, tak si automaticky překládá "::1" na "127.0.0.1", a přečetl si tuhle diskusi, ztratil jsem poslední zbytky iluzí.

Fascinující.

[xkucf03]

a search domény v resolveru

BTW: používáte tohle někdo nějakým rozumným a zajímavým způsobem? Něco jiného, než že jsou uživatelé líní psát FQDN?

Napadá mne třeba využití pro nalezení nejbližšího distribučního serveru – vždy se použije ten místní, podle toho, kde člověk zrovna je. Ale v praxi jsem to ještě neviděl (v praxi jsem viděl akorát bordel resp. zbytečnost, že jeden stroje dostupný pod dvěma názvy).

[Michal Kubeček]

Napadá mne třeba využití pro nalezení nejbližšího distribučního serveru – vždy se použije ten místní, podle toho, kde člověk zrovna je.

To je zajímavá myšlenka. Jen by se asi musel dávat pozor na to, že takový notebook (nebo jiné mobilní zařízení) se občas vyskytuje i v cizí (tj. potenciálně nepřátelské) síti.

[pavlix]

A taky to, že search domény v současných systémech stejně moc nefungují. Aplikace si stále myslí, že se připojuje k serveru, který uživatel zadal a sehlává tak například vyhodnocení SSL certifikátů. Teda alespoň selhávalo ve Firefoxu na Fedoře, když jsem to naposledy zkoušel.

[xkucf03]

To ale není chyba těch aplikací, ale toho, kdo ten systém takhle postavil – aplikace se prostě připojuje k serveru xxx, resp. to zadal uživatel, tak se podle toho má i kontrolovat certifikát – nemá se kontrolovat xxx.example.com. Pro tyhle interní účely není problém si vystavit certifikát platný pro oba tvary.

[pavlix]

To ale není chyba těch aplikací

S tím souhlasím. Neexistuje na to žádný standardizovaný postup.

[xkucf03]

Tak to by chtělo ošetřit tak jako tak – buď třeba TLS nebo elektronicky podepsané balíčky/příkazy. Ono ani vlastním drátům by člověk neměl bezmezně věřit, pokud o něco jde.

[Heron]

To je teda zrůdnost nad zrůdnost. Jednak to neumí ani všechny uživatelské prohlížeče, ale především to nemumí všichni klienti, kteří chtějí po ssl komunikovat. Takže ve výsledku to dopadne stejně jako s maškarádou, kdy některé (jakože méně významné) služby budou schované za SNI a jiné budou muset zvůvodňovat, proč mají mít vlastní IP.

[xkucf03]

Adresy se neprideluji lidem, ale pocitacum, jeden clovek vyuziva dnes vic pocitacu - jeden doma, druhy v praci a navic dnes ma ethernetove pripojeni kazda druha spotrebni elektronika

Na druhou stranu v době, když nastoupil tento trend (spotřební elektronika s IP konektivitou), byly už IP adresy lehce nedostatkové zboží a domácí uživatel byl rád, když měl jednu veřejnou IP (a na ní si udělal NAT, za který schoval všechna zařízení v domácnosti). A v horším případě mu dělal NAT poskytovatel a uživatel neměl veřejnou IP vůbec. Takže tohle IMHO na vyčerpání IPv4 adres vliv nemělo (ale je to argument pro používání IPv6).

[Sten]

Ja sam (ac nejsem reprezentativni vzorek) pouzivam asi 8 verejnych IP adres.

Ahá, tak tady ty adresy mizí

Btw. sám jich mám přidělených šest a radši jsem ani nezjišťoval, kolik jich má třeba Google nebo Seznam

[Jendа]

Ahá, tak tady ty adresy mizí

Mně to nepřijde tak nereálné - může mít počítač, notebook, smartphone, televizi, zabezpečovačku, IP telefon, IP kameru, počítač v práci, APčko, server… asi ne všechno najednou, ale těch 8 se klidně nasbírá. Nebo kdybych chtěl mít ve všech sítích, kde se vyskytuju, pevně alokovanou IP.

[Heron]

Využít 8 IP není vůbec žádný problém. A to tu ještě nemám zapojený SmartBoard.

[pavlix]

Mně doma /29 (nominálně 8 IP) nestačilo. Když se jedna použije na router a dvě odpadnou na speciální adresy, zbývá pouhých pět pro zařízení. Současných /28 už pro běžné použití vyhovuje, ale pro testovací a výukové účely bych potřeboval být schopný spustit cca třicítku virtuálů a ty už musím bezpodmínečně maškarádovat. Teoreticky by mi tedy pro moji domácnost s domácí kanceláří stačil rozsah /26.

Za normálních okolností by se tomu ještě dala čtyřnásobná rezerva kdyby něco. Třeba změním schéma MAC adres pro ty virtuály a dočasně zůstane zarezervovaná i první sada, tak abych to nemusel ručně upravovat při jednom nebo dvou pokusech. Takže pro svoji síť bych typicky očekával jedno céčko (/24).

Na hotelu nebo v nějakém konferenčním centru bych zase typicky chtěl být připravený na tisíc lidí za dobu platnosti DHCP registrací. Jak často se mi stává, že přijedu na akci, kde je 192.168.1.0/24 (byť maškarádovaná) a samozřejmě to nestačí. Aby v tom nebyl bordel, tak typické béčko (/16).

Maškaráda je dneska už tak nějak zavedená, ale jsem přesvědčen o tom, že za svoji dobu přinesla více nákladů a omezení, než aby to ospravedlňovalo včasné dokončení nového protokolu, jeho včasnou implementaci i „opilování hran“. Ale to asi v té době, kdy se NAT zaváděl, nikdo nemohl odhadnout.

[pavlix]

Používám blok /28. Hewlett Packard používá několik bloků, kde celkově je víc IP adres než je IP adres v rozsazích pro privátní použití mimo Internet.

[hefo]

Tak to hej (kedze zhltli okrem ineho Compaq, ktory tusim mal /8 blok po DEC), a v jeho internej sieti sa o IPv6 este ani nechyruje...

[pavlix]

a v jeho internej sieti sa o IPv6 este ani nechyruje...

To se mi tak úplně nezdá, oni řeší IPv6 z jiných důvodů.

[Heron]

Adresy se nepřidělují sekvenčně ale stromově. A asi nikdy nebylo cílem (alespoň u IPv6 rozhodně není), mít obsazenou každou adresu v koncové síti (v listu toho stromu). Klidně mohou existovat Céčka (/24), které mají dva tři hosty a je to tak v pořádku. 2mld. uživatelů neznamená 2mld. adres ale typicky výrazně více.

[Ravensun]

Co to má být jako? Co to je? oni ty IP adresy snad žerou, ne? Je to normální tohle?