IPv6 a IPv4 v domácí síti

[RootPZ]

Prosim o info - dosud jsem pouzival pouze IPv4, mnou pouzivani ISP IPv6 nenabizeli. Nyni mam nove moznost IPv6. Hlavni domaci sit bych rad preklopil na IPv6 only, ale nemam zadne zkusenosti s ni.
Doma bezi mala sit napr. s NextCloudem pro cleny rodiny bydlici jinde - nekolik Mikrotiku a pripojuji se sem na VPN.
Hlavni otazka zni - pokud jsou klienti IPv4 only, budou se nejak schopni pripojit na IPv6 server? Pres co/koho je mozne takto tunelovat?

V tuto chvili je modem (UPC Connect Box) v rezimu routeru s podporou IPv6 - chapu-li to spravne, nejde o dual stack a pokud bych chtel IPv4, prisel bych o IPv6.

[Reklama]

[.]

Zavolej na Vodafone (UPC), aby ti tu IPv6 k lejnu změnili na IPv4, dokud to ještě jde, Compal přehoď do režimu modem a za něho dej vlastní router - a nevymýšlej nesmysly :-)

[Petr Krčmář]

To je několik různých otázek najednou. Doporučuji podívat se na knížku IPv6 od Pavla Satrapy. Tam je všechno podstatné.

Provozovat síť v režimu IPv6 only samozřejmě možné je, ale ne všechna zařízení to zvládnou (některá počítají jen s adresou IPv4) a ne všechny služby umí IPv6. Řeší se to tak, že se do světa IPv4 překládá na úrovni sítě. Jednodušší a obvyklejší řešení je ale provozovat dual-stack. Tedy mít v síti oba protokoly zároveň.

Ze světa IPv4 do IPv6 se nedá dostat přímo, jsou to oddělené sítě. Samozřejmě je možné v síti jen s IPv4 použít tunel do světa IPv6. O tunel si můžeš třeba říct u vpsFree.cz.

[M_D]

Dostat se na IPv6 only server z IPv4 venku by šlo třeba pomocí NAT64 na hraně té IPv6 sítě (a obdobně i směrem ven z IPv6 only na IPv4).
Nicméně u exUPC nebudete aktuálně z venku přímo po IPv4 dostupný, jestli-že máte linku v konfugiraci s DS lite, což nebude úplně ono.
Šel bych cestou přehození na ten režim IPv4 only od exUPC a případné doplňkové hrátky s IPv6 řešil tunelováním IPv6 provozu přes tu IPv4 síť (zmíněné VPS nebo he.net), přestože to má u exUPC určité "výkonostní specifika" jako klasický dual-stack.
Provozovat doma IPv6 only síť s případným hraničním NAT64 se dá, ale má to určité omezení - některé služby se s tím nevyrovnají (narazil jsem obvkyle u SIP VoIP, VPNky). Dále musíte mít doma vše v lokální sítí s podporou IPv6 - typicky narazíte v prvním kole třeba i se starší tiskárnou/skenerem.

[LukePole]

Jeden jediný rozumný důvod proč si nechat IPv6 a zbavit se tak veřejné IPv4 je prosím pěkně jaký?

[Reklama]

[Petr Krčmář]

To záleží na každém uživateli. Kdybych si já musel vybrat, tak jednoznačně volím variantu nativního IPv6 s hromadou adres pro každé zařízení než být bez nich a mít jednu veřejnou IPv4 adresu.

Všechny mnou spravované servery i sítě dnes mají IPv6, některé služby dokonce mám jen na IPv6. Takže pro mě je dnes IPv6 naprostou nutností a má pro mě spoustu výhod. Proti tomu jedna veřejná IPv4 adresa na klientské síti má pro mě velmi malou hodnotu.

[M_D]

Jeden jediný rozumný důvod proč si nechat IPv6 a zbavit se tak veřejné IPv4 je prosím pěkně jaký?

Řekl bych, že tazatel si pořídil rezidenční připojení od kabelovky Vodafonu/exUPC a zjistil, že je to dneska default DS-Lite s IPv6 a neveřejkou IPv4 za CGNATem a teď řeší, co s tím lze dělat...
V jeho případě, když chce domů přístupy pro příbuzenstvo, tak pokud příbuzné nemá na linkách s nativním IPv6 a routery, co dovolí udělat k němu VPN přes IPv6, tak přehození na IPv4 only variantu s veřejkou, dokud jsou k tomu ještě u Vodafonu nakloněni, tak bude asi výhodnější řešení (na to IPv6 DS-Lite to může překlopit kdykoliv zpět a stejně tak to udělá Vodafone jednou všem residentům a vysvětlí, že je to pro ně výhoda).
Stav ideál s veřejkou IPv4 a bloky IPv6 od Vodafone na té lince počítat moc nemůže.
Takže doplnění o IPv6 řešit tunelem od nějakého nezávislého brookera a může zatím doma trénovat dual stack provoz a až se provcičí, tak třeba i ten IPv6 only.

[SB]

Jak psali jiní - vaším problémem č. 1 je olemplované připojení od UPC, takže buďto máte pořádně (veřejka) jen IPv4 a IPv6 musíte tunelovat, nebo máte blbě IPv4 (DS-lite) a blbě IPv6 (jedna podsíť - nepřestává mě fascinovat, jak se dají některé věci zprasit). Přeloženo a v důsledku: IPv6 UPS neposkytuje. Chcete-li jej, musíte odněkud protunelovat (možností je více). Asi to ještě není třeba, význam to má pro věci jen na IPv6, nebo jestli to chcete z fandovství vyzkoušet či mít přemigrováno.

Jednodušší a obvyklejší řešení je ale provozovat dual-stack. Tedy mít v síti oba protokoly zároveň.

Jednodušší je to do okamžiku, než máte vyplnit či udržovat 2krát obdobná pravidla firewallu a NATu k tomu.

Zmíněným řešením je onen překlad rozebíraný v článku. Ten není nijak složitý. Doma jsem to zkusil nasadit. Stačí na to Raspberry Pi, na kterém je nainstalovaný Jool (NAT64, SIIT netřeba) a Unbound (DNS64). Ve vnitřní síti dostávají počítače pouze IPv6, do IPv4 lezou dynamicky přes překladač (a to jak do vnitřní sítě, tak internetu). V případě, že leze někdo dovnitř z internetu přes IPv4 (např. na servery), obsahuje NAT64 statická pravidla, která přesměrovávají port na IPv6:jiný_port (klidně i ULA; takže vlastně NAT46). Pro webový server je to jediné pravidlo přesměrovávající na reversní proxy, kde jsou pak domény rozhozeny na servery pomocí SNI.

Zařízení ve vnitřní síti, která umějí jen IPv4, jsou v extra podsítích, kde se IPv6 nevyskytuje (dá se udělat i dvojitý překlad, ale obvykle je to zbytečné, to by mělo smysl jen při zvláštní topologii sítě). Přístup k nim z vnitřní 6kové sítě je též překládán.
Problém, který jsem nečekal a na který jsem narazil, je Tor v IPv6! Údajně existuje jen málo vstupních bran na IPv6, takže se k němu nepřipojíte. To jsem vyřešil dopřednou proxy HTTP do místa, kde je IPv4.

Tímto způsobem je možno již dnes provozovat vnitřní síť (s výjimkou pár starých zařízení) pouze na IPv6 a vyčkat na konec středověku.

[SB]

Ještě existuje jedna možnost, a to neřešit vůbec hňupy od UPC a jejich připojení využít čistě na protunelování někam (což jde vždy), kde dostanete rozsah IPv6 i veřejnou IPv4, ale takové řešení bývá drahé - to asi nechcete.

[RootPZ]

Diky vsem za reakce. V noci jsem jeste doplnoval info prednaskami Pavla Satrapy, Tomase Hlavacka, apod.
 
Ano situace je takova, ze jsem dostal novy modem od exUPC (ne Vodafone, Magenta - Rakousko, ale to je jedno) a kdyz uz byl defaultne v IPv6, nechtel jsem "brzdit vyvoj". Jestli verejna single IPv4 nebo IPv6 rozsah - to pro mne neni podstatne, resim napr. pres reverse proxy. V tuto chvili tedy zrejme bude nejsnazsi "vratit se" k IPv4, o coz jsem prave pozadal. Jinak s tiskarnami by na IPv6 problem byt nemel, mam tu starsi kousek s USB only, kde konektivitu resi RPi Zero s CUPS, ale mozna nejaka domaci technika jako vysavace (iRobot) nebo stroje na vareni (Thermomix, Ambiano) by mohly mit problem.
Jinak pokud jde o absenci IPv4 zaroven s IPv6 u exUPC, na mistnich forech jsem se docetl, ze to neni omezeni dane primo exUPC, ale ze to jinak neumi ten Connect Box modem. Pokud jde o adresy, tak v administraci modemu bylo videt prirazenou /64, ale kdyz jsem z mikrotiku za nim zkusil pozadat pred DHCPv6 o /48, dostal alespon /60.

[.]

Tunnel 6to4 u VF (UPC) znamená razantní pokles rychlosti, takže tudy cesta nevede. Prostě to nechat na IPv4 a u IPv6 počkat, až se na VF někdo probudí a vyřeší to.

https://www.root.cz/clanky/pomale-ipv6-tunely-s-modemem-compal-od-upc-vodafone/

[SB]

Jinak pokud jde o absenci IPv4 zaroven s IPv6 u exUPC, na mistnich forech jsem se docetl, ze to neni omezeni dane primo exUPC, ale ze to jinak neumi ten Connect Box modem. Pokud jde o adresy, tak v administraci modemu bylo videt prirazenou /64, ale kdyz jsem z mikrotiku za nim zkusil pozadat pred DHCPv6 o /48, dostal alespon /60.

Bylo by dobré zjistit, zda je nutno mít ten jejich modem a není možno zařídit si něco lepšího, třeba to v Rak. jde. Jak je to s přepínáním do bridge?
Jestli se vám podařilo dostat prefix /60, tak to už je v pohodě (s 16 podsítěmi se dá dobře vyjít), to už bych na IPv4 nepřepínal a 4ku si zařídil tunelem někam, kde mi dají 1 veřejnou, to už tak drahé není.

[Petr M]

Nejčistší řešení je, jak tak koukám, zbavit se exUPC. Pokud to nejde, downgrade na IPv4 a všechno tunelovat na VPSku. Na VPS by pak mohla běžet část služeb z domácí sítě a ušetřit tak trochu toho provozu na lince.

Výhoda, že by to bylo ze světa dostupný jak po IPv4, tak i po IPv6 a s fixní adresou, která se nemění dle libovůle ISPíka. Nevýhoda je cena a potřeba se něco naučit...

[.]

Zbavovat se UPC kvůli nějaké podělané IPv6, která je prakticky k lejnu? To se nedá brát ani jako vtip. A ono to u dalších operátorů mimochodem taky není žádná sláva, třeba Netbox dá veřejnou IPv4 za příplatek, ale IPv6 výhradně přes tunnel 6to4. O2 zase pro změnu dává sice IPv6, ale tuším s nějakým podivným rozsahem a IPv4 jenom neveřejnou. Takže si nikdo nějak extra nepomůže přechodem ke konkurenci a hlavně, ta IPv6 je k ničemu, když má člověk veřejnou a ideálně pevnou IPv4, kde si může ve svém routeru směrovat provoz jak je libo a funguje to naprosto spolehlivě.

[SB]

...downgrade na IPv4 a všechno tunelovat na VPSku...jak po IPv4, tak i po IPv6...

A ta IPv6 z VPS bude mít jakou velikost? /80? /120? To je tak na servery, ale na domácí síť na nic.