Nasazení IPv6 v domácí síti

H0ax

Re:Nasazení IPv6 v domácí síti
« Odpověď #30 kdy: 17. 04. 2015, 10:05:58 »

- v dhcpv6 se dá řešit přiřazování podle mac
Mno ... neda, existuje na to hnusny hack, ale muze se ti klidne stat, ze klient s takovou adresou proste odmitne pracovat, protoze to porusuje X ruznych RFC. Jedna z idei IPv6 je totiz ta, ze IP nepatri k interface.

Naštěstí to ale funguje dobře. DUID je věc, kterou na v6 bytostně nesnáším a považuju to za hovadinu.


M.

Re:Nasazení IPv6 v domácí síti
« Odpověď #31 kdy: 17. 04. 2015, 10:35:14 »
Využiji nastoleného tématu a zeptám se:

Můžu provozovat zároveň DHCPv6 adresy pro domácí síť (v rozsahu privátních adres) a IPv6 veřejné adresy šířené z routeru přes "router advertisement"?

Jde mi o to, aby funkčnost domácí sítě nebyla závislá na tom, jestli jede připojení do Internetu. Tj. i když nepojede připojení ven, tak aby stanice dostala přidělenou vlastní adresu a adresu mého DNS serveru (asi přes DHCPv6) a abych se pak jménem dostal na svůj domácí fileserver. To všechno nezávisle na funkčnosti Internetu - přidělování veřejných adres.
A asi bych nechtěl používat "link local" adresy - mám pocit, že jsem někde četl, že by se neměly dávat do DNS záznamů...

Ano, můžete. Jmenuje se to ULA (unique local address). Jinak ULA adresy můžete úplně stejně posílat i z SLAAC. Počítač pak má víc IPv6 adres ze všech nabízených prefixů, kdy LAN část je stejná.
Používáme to podobně. Máme velkou firemní síť postvavenou na ULA adresách na kterých jede vše interně přes X poboček. Co potřebuje ven má i globální IPv6 adresy dle dané pobočky a aktivní odchozí linky a počítač si správně použije pro odchod tu vhodnou (dovnitř firmy ULA, pokud se spojuje na ULA adresu protistrny, jinak globální). Máme i konfigurace s vícero odchozíma linkama a na každé lince jsou jiné IPv6 prefixy a používá se dynamické přečíslování. Počítáč má pořád stjenou ULA adresu pro vnitřek a k tomu globální podle toho, které odchozí linka směrme ven jede.
Komplikac ej jen při úplném výpadku IPv6 spojení ven, globální adresy se shodí, počítač má jen ULA a pak se začne snažit ven spojovat přes ULA, což nejde a je na aplikaci, zda provede fallback na IPv4.
Méme přes ULA a VPNky napojení i na další spolupracující firmy a přistup do některých systémů (pár jich je už dokonce IPv6 only), kde se ukazuje plus ULA koceptu proti linkování víc firem na privátních IPv4 adresách.

Re:Nasazení IPv6 v domácí síti
« Odpověď #32 kdy: 17. 04. 2015, 11:44:23 »
Dobry den,
chcel by som v svojej sieti nasadit IPv6 a nahradit tak casom IPv4 ale neviem sa dopracovat k pre mna zrozumitelnemu obsahu, kde by bolo popisane napriklad to ake segmenty zvolit na DHCP serveri pre intranet (na IPv4 10.*, 172.16.*, 192.168.*).

Viete mi pripadne odporucit nejaku dobru literaturu ktora by vedela zodpovedat na vsetky moje otazky?

Původně jsem chtěl reagovat i na komentáře... ale po prvních pár jsem zjistil, že bude lepší se jenom pobavit nad názory, zkušenostmi a znalostmi ostatních a ignorovat je z hleska informativnosti, každý komentář co zde zazněl by potřeboval minimálně upřesnění a mnoho komentujících nějak ignoruje název tématu "v domácí síti".
-----------
Doma je DHCPv6 server zbytečnost. Zajisti si nějak rozsah veřejných IPv6 adres pro tvou síť (buť od poskytovatele, nebo třeba formou tunelu co zde někdo navrhoval, pokud to bude přes tunel, zjisti si jak nastavit ten konkrétní tunel na routeru, ale to je snad jasné). nastav LAN rozhraní routeru na tuto adresu a všechna ostatní zařízení by se měla automaticky chytnout (pozor od té doby kdy "aktivuješ" IPv6 na routeru budou mít veřejnou adresu (z internetu by se na ně mohl kdokoliv bez námahy dostat), takže na routeru je dobré aktivovat stavový firewall na routeru/aktivovat nějaký firewall hlídající síťovou komunikaci a aplikace a mít plně aktualizované vše na počítatčích ze kterých budeš přistupovat k netu.

Odkazovaná literatura od autora Satrapy je dobrý začátek jak proniknout do zákoutí IPv6.

Re:Nasazení IPv6 v domácí síti
« Odpověď #33 kdy: 17. 04. 2015, 11:52:08 »
ještě upřesním, že upřesnění by zasloužil každý komentář vyjadřující jak se IPv6 chová... komentáře typu odkaz na knihu, nebo míra nevraživosti k DUID upřesnění nepotřebují :D

Sten

Re:Nasazení IPv6 v domácí síti
« Odpověď #34 kdy: 17. 04. 2015, 12:45:41 »
- mdns nechci, když mám normální dns a když se mi stanice ve widlích můžou za určitých okolností jmenovat jinak než chci aby se jmenovaly podle dns
- adresace ipv6 tak, že se použijí čísla z ipv4 mi přijde dobrá, zvlášť když potřebuju zjistit, proč něco nefunguje
- v dhcpv6 se dá řešit přiřazování podle mac

Pro příchozí spojení má každý počítač stále dostupnou EUI-64 adresu (tj. prefix + MAC), do DNS můžete dát tu.

Nevím, co tím, že použijete IPv4 adresu, získáte. Stejně budete muset dohledat, komu ta IPv4 adresa patří. To už rovnou můžete stejně dohledávat IPv6 adresu, k tomu slouží reverzní DNS.

A jak z s tou silenou privacy extension zajistite funkcnost, kdy spousta serverovych aplikaci blokuje pristup na zaklade IP adresy ? Takze s nahodne generovanou odchozi adresou klienta budete chtit pristupovat k aplikaci, ktera ma nastavenou max tak prichozi adresu klienta ?

Místo konkrétní adresy použijte prefix.

Naštěstí to ale funguje dobře. DUID je věc, kterou na v6 bytostně nesnáším a považuju to za hovadinu.

DUID a stavové DHCPv6 je navrženo pro případy, kdy příchozí IP adresa musí zůstat stejná i při změně síťové karty. Takové systémy budou jen těžko používat dual boot.

Pokud máte s DUID problémy, pravděpodobně používáte stavové DHCPv6 v situaci, kam se nehodí. Pokud potřebujete mít příchozí adresy vázané na MAC, používejte EUI-64 adresy.


cl1d3

Re:Nasazení IPv6 v domácí síti
« Odpověď #35 kdy: 17. 04. 2015, 12:59:22 »
Dakujem vsetkym za typy. Kedze mam doma dve rovnake Mikrotiky, na tom druhom kde nemam pripojene ziadne aktivne zariadenia skusim nakonfigurovat IPv6 bez potreby DHCP sluzby. Paci sa mi myslienka moznosti autokonfiguracie a skusim moje riesenie zjednodusit tak, aby som nemusel pouzit NAT.

Pokial ide o firewall, jeho konfiguraciu pred pripojenim akehokolvek klientskeho zariadenia povazujem za samozrejmost a verim tiez vyvojarom ze v IPv6 nieje ziadny bug ktory by spristupnil moju siet aj napriek firewallu kazdemu znudenemu cinanovi ktory si najde moju IP :).


Re:Nasazení IPv6 v domácí síti
« Odpověď #36 kdy: 17. 04. 2015, 15:14:27 »
pokud máš dva mikrotiky zároveň tvůj ISP nenabízí IPv6, zkusil bych jeden z nich předělat na openwrt (instalovat balík s AICCU, nebo najít rovnou balík s ním) a využít služeb SIXXS a jejich AYIYA tunelu... stačí se registrovat zažádat o tunel a dostaneš rovnou /64 sít...

http://wiki.openwrt.org/doc/uci/aiccu

M.

Re:Nasazení IPv6 v domácí síti
« Odpověď #37 kdy: 17. 04. 2015, 16:33:03 »
pokud máš dva mikrotiky zároveň tvůj ISP nenabízí IPv6, zkusil bych jeden z nich předělat na openwrt (instalovat balík s AICCU, nebo najít rovnou balík s ním) a využít služeb SIXXS a jejich AYIYA tunelu... stačí se registrovat zažádat o tunel a dostaneš rovnou /64 sít...

http://wiki.openwrt.org/doc/uci/aiccu

Píše, že má veřejnou IPv4 adresu, takže nemusí tam rvát OpenWRT, ale přímo použít 6in4 tunel, ať už k SiXXS nebo možná raději k HE, který nedělá takové obstrukce s vytvořením tunelu a klidně hned i přidělí /48 na kliknutí. HE i SiXXS mají dneska i POPy v Praze, takže tunel je jen kousek. Oba jedou OK, mám místo s dvěma Routerbordy, dvěma konektivitama a jeden má tunel k HE a druhý k SiXXS a oboje jede OK (půlka sítě jede jedním, druhá druhým tunelem, při selhání jednoho tunelu nebo routeru se oboje přepíná na přeživší).
Pokud porovnám IPv4/6 proti http://speedtest6.cesnet.cz/ a http://speedtest.cesnet.cz/
Tunel mi normálně jede k SiXXS 60/30 Mbps, což odpovídá tomu, co dá i ta první wifi linka na IPv4 přímo.
Druhý tunel k HE dává aktuálně 30/50 Mbps, opět na limitu toho, co dá ta druhá wifi linka přímo po IPv4 (asi je to trochu teď ucpanější směr down). Takže bych se nebál HE a ani SiXXSu na POPy v Praze, pokud jsem v Česku...

j

Re:Nasazení IPv6 v domácí síti
« Odpověď #38 kdy: 17. 04. 2015, 17:04:57 »

A jak z s tou silenou privacy extension zajistite funkcnost, kdy spousta serverovych aplikaci blokuje pristup na zaklade IP adresy ? Takze s nahodne generovanou odchozi adresou klienta budete chtit pristupovat k aplikaci, ktera ma nastavenou max tak prichozi adresu klienta ?

1) zadny takovy neznam
2) takto dmenti aplikace nebudu pouzivat

(pozor od té doby kdy "aktivuješ" IPv6 na routeru budou mít veřejnou adresu (z internetu by se na ně mohl kdokoliv bez námahy dostat),
Plati i pro Ipv4, takze je to uplne jedno. Samozrejme vcente NATu.


pokud máš dva mikrotiky zároveň tvůj ISP nenabízí IPv6, zkusil bych jeden z nich předělat na openwrt (instalovat balík s AICCU, nebo najít rovnou balík s ním) a využít služeb SIXXS a jejich AYIYA tunelu... stačí se registrovat zažádat o tunel a dostaneš rovnou /64 sít...

http://wiki.openwrt.org/doc/uci/aiccu
Proc tak slozite ... he.net ti da tunel, kterej chodi i na mikrotikovi nativne, a vygeneruje ti pro nej rovnou na webu i konfiguraci. A jednim klipem muzes ze svy/64 udelat /48.

Sten

Re:Nasazení IPv6 v domácí síti
« Odpověď #39 kdy: 17. 04. 2015, 17:09:19 »
Píše, že má veřejnou IPv4 adresu, takže nemusí tam rvát OpenWRT, ale přímo použít 6in4 tunel, ať už k SiXXS nebo možná raději k HE, který nedělá takové obstrukce s vytvořením tunelu a klidně hned i přidělí /48 na kliknutí. HE i SiXXS mají dneska i POPy v Praze, takže tunel je jen kousek. Oba jedou OK, mám místo s dvěma Routerbordy, dvěma konektivitama a jeden má tunel k HE a druhý k SiXXS a oboje jede OK (půlka sítě jede jedním, druhá druhým tunelem, při selhání jednoho tunelu nebo routeru se oboje přepíná na přeživší).
Pokud porovnám IPv4/6 proti http://speedtest6.cesnet.cz/ a http://speedtest.cesnet.cz/
Tunel mi normálně jede k SiXXS 60/30 Mbps, což odpovídá tomu, co dá i ta první wifi linka na IPv4 přímo.
Druhý tunel k HE dává aktuálně 30/50 Mbps, opět na limitu toho, co dá ta druhá wifi linka přímo po IPv4 (asi je to trochu teď ucpanější směr down). Takže bych se nebál HE a ani SiXXSu na POPy v Praze, pokud jsem v Česku...

Anebo lze rovnou použít 6to4, které poskytuje mj. CZ.NIC, nemusí se o nic žádat ani se registrovat a dostanete taky /48. Mám 50/50 Mbps s 2 ms latencí přes 6to4.

Někdo

Re:Nasazení IPv6 v domácí síti
« Odpověď #40 kdy: 17. 04. 2015, 22:51:29 »
Píše, že má veřejnou IPv4 adresu, takže nemusí tam rvát OpenWRT, ale přímo použít 6in4 tunel, ať už k SiXXS nebo možná raději k HE, který nedělá takové obstrukce s vytvořením tunelu a klidně hned i přidělí /48 na kliknutí. HE i SiXXS mají dneska i POPy v Praze, takže tunel je jen kousek.

Anebo lze rovnou použít 6to4, které poskytuje mj. CZ.NIC, nemusí se o nic žádat ani se registrovat a dostanete taky /48. Mám 50/50 Mbps s 2 ms latencí přes 6to4.

Když už máte veřejnou IPv4 adresu tak rozhodně doporučuji jako první volbu tunel od HE (https://tunnelbroker.net). 6to4 je z principu špatně navržené protože nemáte pod kontrolou kudy k vám budou routované pakety, a tak to bohužel z některých částí IPv6 internetu (jejichž "nejbližší" 6to4 relay nefunguje dobře) bude fungovat špatně a vy s tím nemáte šanci nic udělat. Oproti tomu je symetrický routing od HE se spolehlivými routery mnohem lepší. Navíc je tu další výhoda v tom že od HE dostanete IPv6 rozsah který vám nechají i když se vaše veřejná IPv4 adresa změní, což u 6to4 je další nevýhoda (při výměně veřejné IPv4 adresy se automaticky změní IPv6 rozsah).

M.

Re:Nasazení IPv6 v domácí síti
« Odpověď #41 kdy: 18. 04. 2015, 08:40:45 »
Anebo lze rovnou použít 6to4, které poskytuje mj. CZ.NIC, nemusí se o nic žádat ani se registrovat a dostanete taky /48. Mám 50/50 Mbps s 2 ms latencí přes 6to4.

Od doby veřejného 6to4 relay u CZ.NIC se život na adresách 2002::/16 výrazně zlepšil, ale stále z toho mám, co se spolehlivosti týče, smíšené pocity. Ten 6in4 od HE je mnohem spolehlivější a s větší dostupností. 6to4 beru spíše jako zajimavost a maximálně podporuji v odchozím směru, že přímo posílám k cíli odpovědi jdoucí do 2002::...
Krom změny IPv4 znamená i změnu i IPv6 prefixu, občasné nedostupnosti vzávislosti na chování různých relay (jak už uvádí Někdo), tak vidím i trochu problém v tom, že většina systéímů, pokud má 6to4 IPv6 adresu, tak stále upřednostňuje provoz přes IPv4, pokud je IPv4 dostupné, takže se musí OS trochu ladit, aby to ty 2002::/16 adresy měly přednost před IPv4 (gai.conf a podobné a ne všude to jde nastavovat), pokud to IPv6 chci aktivně používat.

Alex

Re:Nasazení IPv6 v domácí síti
« Odpověď #42 kdy: 18. 04. 2015, 13:42:16 »
Využiji nastoleného tématu a zeptám se:

Můžu provozovat zároveň DHCPv6 adresy pro domácí síť (v rozsahu privátních adres) a IPv6 veřejné adresy šířené z routeru přes "router advertisement"?

Jde mi o to, aby funkčnost domácí sítě nebyla závislá na tom, jestli jede připojení do Internetu. Tj. i když nepojede připojení ven, tak aby stanice dostala přidělenou vlastní adresu a adresu mého DNS serveru (asi přes DHCPv6) a abych se pak jménem dostal na svůj domácí fileserver. To všechno nezávisle na funkčnosti Internetu - přidělování veřejných adres.
A asi bych nechtěl používat "link local" adresy - mám pocit, že jsem někde četl, že by se neměly dávat do DNS záznamů...

Ano, můžete. Jmenuje se to ULA (unique local address). Jinak ULA adresy můžete úplně stejně posílat i z SLAAC. Počítač pak má víc IPv6 adres ze všech nabízených prefixů, kdy LAN část je stejná.

Zkusil jsem a není to ono:
1. na domácím serveru jsem nastavil ruční konfiguraci IPv6 s ULA adresou, jenže mi pak nechtěl přidat globální adresu šířenou přes RA z dalšího pc, které mělo nahozený tunel do šestkového netu
2. po zprovoznění DHCPv6 na serveru mi klienti nechtěli načítat šestkové adresy. Až po spuštění "dhclient -6 eth0" se adresa načetla. To tak má fungovat?

M.

Re:Nasazení IPv6 v domácí síti
« Odpověď #43 kdy: 18. 04. 2015, 15:55:53 »
Zkusil jsem a není to ono:
1. na domácím serveru jsem nastavil ruční konfiguraci IPv6 s ULA adresou, jenže mi pak nechtěl přidat globální adresu šířenou přes RA z dalšího pc, které mělo nahozený tunel do šestkového netu
2. po zprovoznění DHCPv6 na serveru mi klienti nechtěli načítat šestkové adresy. Až po spuštění "dhclient -6 eth0" se adresa načetla. To tak má fungovat?

Ad 1) Pokud si ručně nastavím IPv6 adresu, tak si další už z RA nepřidá, maximálně vezme bránu, pokud i ta není nastavena ručně. Respektive v RHEL like distirbucích Linuxu to ovládá parametr IPV6_AUTOCONF=yes/no v ifcfg-ethX, pokud je na no, tak ke statické IP další z RA nevezme. Pokud je na yes, tak přibere i to, co je v RA nabízeno.
Ad 2) Pokud si má počítač vzít současně IPv6 adresu dle RA routeru a současně i dle DHCPv6, tak to musí být v RA patřičně signalizováno (pro radvd jsou to volby AdvAutonomous on; AdvManagedFlag on;). Windows Visty a novější se chovají přesně exaktně dle těch flagů - jen autokonfigurace dle SLAAC, současně konfigurace IPv6 adres dle SLAAC i DHCPv6, jen konfigurace dle DHCPv6. Jak start skripty v linuxu jsem nikdy nezkoumal (mám linuxy jen jako servery s vynucenou statickou konfigurací IPv6).

Propagujte ten ULA segment z RA na routeru paralelně s tím globálním a bude klid.

SB

Re:Nasazení IPv6 v domácí síti
« Odpověď #44 kdy: 20. 04. 2015, 11:09:22 »

- v dhcpv6 se dá řešit přiřazování podle mac
Mno ... neda, existuje na to hnusny hack, ale muze se ti klidne stat, ze klient s takovou adresou proste odmitne pracovat, protoze to porusuje X ruznych RFC. Jedna z idei IPv6 je totiz ta, ze IP nepatri k interface.

Naštěstí to ale funguje dobře. DUID je věc, kterou na v6 bytostně nesnáším a považuju to za hovadinu.

Pokud si dobře pamatuju, tak někdy na konci 2014 vyšlo RFC, které povoluje serveru DHCPv6 přiřazování adres i podle MAC, ale 1. nemůžu to najít, 2. asi to žádný server nebude mít ještě implementováno.