Lokální adresy v síti ISP

[messagebus]

To nejsou věty. A „privátní“ je dost široký pojem, RFC 1918 má 8 stran textu – na to, abyste mohl někoho obviňovat z neznalosti textu, to chce trochu víc, než jen váš vlastní výklad jediného slova.

To vase "trochu vic" je cele toto vlakno. Na hranicni router s udajne verejnou IP zvenci prichazeji pakety se zdrojovou adresou z RFC1918 a vy tomu tleskate. Poskytovatel zpusobuje problemy zakaznikovi a nejenze chce zakaznika omezovat v nasazeni u nej adres z RFC1918, ale jeste se tvari, ze to je problem zakaznika.

PS To jsou vety.
PPS Mam se prepnout do modu JIRSAK?

[Reklama]

[Ondřej Caletka]

Zpětně se dobře kritizuje.

Nekritizuji zpetne, kritizuji dnesni pristup.

Kritizujete dnešní přístup, ale jindy, kdy se vám to zrovna hodí, předhodíte nám tu hypotetickou matku samoživitelku, která rozhodně nebude nic překonfigurovávat:

c) Pozadovat synchronizaci pridelovani IP adress napric vsemi zalazniky je opravdu pozoruhodny pocin Vidim uplne zretelne, s jakym nadsenim to kdejaka matka samozivitelka resi

Právě kvůli téhle matce mají ISP stále ve své síti adresy podle RFC 1918  namísto adres podle RFC 6890

[messagebus]

Kdyby zákazníci neviděli rozdíl v tom, jestli mají všichni globálně routovatelné IP adresy nebo nemají, nebyl by nedostatek IPv4 adres žádný problém. Jenže IPv4 adresy už dávno došly, internet ale primárně stále funguje na IPv4, takže je potřeba se s nedostatkem IPv4 adres nějak vypořádat. Vaše teoretizování o tom, jak by bylo hezké, kdyby všichni měli veřejné IPv4 adresy, je hezké, akorát bohužel nezapadá do dnešní reality.

Obavam se, ze jste uplne ztratil nit nebo si me s nekym pletete.

[Ondřej Caletka]

To nejsou věty. A „privátní“ je dost široký pojem, RFC 1918 má 8 stran textu – na to, abyste mohl někoho obviňovat z neznalosti textu, to chce trochu víc, než jen váš vlastní výklad jediného slova.

To vase "trochu vic" je cele toto vlakno. Na hranicni router s udajne verejnou IP zvenci prichazeji pakety se zdrojovou adresou z RFC1918 a vy tomu tleskate. Poskytovatel zpusobuje problemy zakaznikovi a nejenze chce zakaznika omezovat v nasazeni u nej adres z RFC1918, ale jeste se tvari, ze to je problem zakaznika.

Ty pakety nepřichází z venčí, ale ze sítě ISP. Je s nimi možné bez problému obousměrně komunikovat, tak kde je problém?

Proskimoval jsem RFC 1918, nenašel jsem nic, co by naznačovalo, že není možné komunikovat mezi veřejnými a privátními adresami bez NATu.

I z pozice majitele toho hraničního routeru budu radši, když mi provoz bude chodit z privátních adres přímo, třeba proto, že budu moci snáze identifikovat konkrétní původce toho provozu. Nevidím důvod, proč by mi to mělo vadit.

[messagebus]

Právě kvůli téhle matce mají ISP stále ve své síti adresy podle RFC 1918  namísto adres podle RFC 6890

Ja vam nerozumim. Co jim brani postupne prejit na adresy podle RFC 6598, kdyz historicky maji RFC1918? Pocinaje treba temi zakazniky, kterym adresy dle RFC1918 zvenci jejich routeru vadi?

[Reklama]

[Filip Jirsák]

Na hranicni router s udajne verejnou IP zvenci prichazeji pakety se zdrojovou adresou z RFC1918 a vy tomu tleskate.

Netleskám.

Jenom jsem se slušně dotázal, s kterým konkrétně ustanovením nějakého RFC je to v rozporu. Vy se stále vymlouváte, ale konkrétní ustanovení jste neuvedl. Zatím to vypadá, že uváděná RFC neznáte vy a že v nich hledáte něco, co v nich není.

RFC 1918 specifikuje adresy, které nejsou globálně routovatelné. Nevidím tam ale nic, co by říkalo, že se nemohou objevit na vnějším rozhrnaí vašeho hraničního routeru.

Poskytovatel zpusobuje problemy zakaznikovi

Problémy způsobuje nedostatek IPv4 adres. Poskytovatelé se to jen snaží různými způsoby řešit.

nejenze chce zakaznika omezovat v nasazeni u nej adres z RFC1918

Nechce. Ale když nemáte dostatek globálně unikátních adres, tak se holt používají ty neunikátní, a pak logicky dochází ke konfliktům. Můžete si vybrat jakou chcete síť, ale jakmile začnete propojovat přes VPN více sítí, zvyšuje se riziko, že v jiné síti narazíte na konflikt s tím vaším rozsahem.

ale jeste se tvari, ze to je problem zakaznika.

Pokud ten provoz zahazuje zákazníkův firewall, je to problém zákazníka.

To jsou vety.

Ke mají predikát?

Obavam se, ze jste uplne ztratil nit nebo si me s nekym pletete.

Nepletu. Vy tu ISP káráte za to, že nemá dostatek globálně unikátních IPv4 adres, a používá tedy IPv4 adresy, u kterých není zaručena unikátnost, tudíž samozřejmě mohou kolidovat s IPv4 adresami používanými v síti klienta. Jediný rozdíl je v tom, že u některých rozsahů je ta pravděpodobnost vyšší, u některých nižší.

Co jim brani postupne prejit na adresy podle RFC 6598, kdyz historicky maji RFC1918?

A co jim zaručí, že nebudou mít jiného zákazníka, který bude na routeru dropovat adresy dle RFC 6598, nebo je nebude používat ve své síti?

Nehledě na to, že si „postupně přejít“ asi představujete jako Hurvínek válku.

Mimochodem, od vašeho původního „neznalost RFC“ jsme se dostali až k současnému „možná nepoužívají tu nejvhodnější variantu“. Což už je něco úplně jiného.

[messagebus]

Ty pakety nepřichází z venčí, ale ze sítě ISP. Je s nimi možné bez problému obousměrně komunikovat, tak kde je problém?

Pro zakaznika pakety prichazi zvenci, nevidim zde zadny prostor pro diskusi - viz nize.

Proskimoval jsem RFC 1918, nenašel jsem nic, co by naznačovalo, že není možné komunikovat mezi veřejnými a privátními adresami bez NATu.

Jiste, je tam jen "should", "strongly recommended", "An enterprise that requests IP addresses for its external connectivity will never be assigned addresses from the blocks defined above.", "However, they cannot have IP connectivity to any host outside of the enterprise." apod.

I z pozice majitele toho hraničního routeru budu radši, když mi provoz bude chodit z privátních adres přímo, třeba proto, že budu moci snáze identifikovat konkrétní původce toho provozu. Nevidím důvod, proč by mi to mělo vadit.

Ale vsechny hranicni routery alespon prozatim nejsou vase nebo ano?

[messagebus]

Pane Jirsaku, prectete si ta RFC. Pripadne si je nechte prelozit.

[Filip Jirsák]

Pane Jirsaku, prectete si ta RFC. Pripadne si je nechte prelozit.

Chápu. Žádná ustanovení, se kterými by ISP byl v rozporu, jste nenašel. Takže zkoušíte argumentační fauly.

Jiste, je tam jen "should", "strongly recommended", "An enterprise that requests IP addresses for its external connectivity will never be assigned addresses from the blocks defined above.", "However, they cannot have IP connectivity to any host outside of the enterprise." apod.

Podle vás ISP spadá nebo nespadá pod ten termín enterprise?

[messagebus]

Chápu. Žádná ustanovení, se kterými by ISP byl v rozporu, jste nenašel. Takže zkoušíte argumentační fauly.

To jsou vase techniky, me do toho nezatahujte.

Podle vás ISP spadá nebo nespadá pod ten termín enterprise?

Otazka ale stoji jinak: Spada klient pod termin enterprise?
A odpoved je: Jednoznacne ano - viz uvod RFC1918.

[zett_cz]

Sítím moc nerozumím, ale nedává to smysl:

1. Jestli blokujete na serveru jen lokální adresy (RFC 1918) a ne z CGN (RFC 6598), které adresy mají pak zákazníci? Neptal jste se některého (pokročilejšího) z nich?
2. Je-li CGN za jednou veřejkou a váš server za druhou veřejkou stejného poskytovatele, je jeho povinností tyto 2 adresy proroutovat, nevidím zde žádnou omluvu, proč by tomu tak být nemělo. Spíš to smrdí podezřením, že i váš server je v CGN a na jeho okraji je natován na veřejnou adresu - díval jste se, zda máte opravdu na rozhraní toho serveru veřejku a z jakých adres chodí na server požadavky zákazníků?
3. Necháte si jméno oněch "profesionálů" pro sebe?

Na WAN blokuji jen RFC 1918, zákazníci ISP mají adresy z rozsahu 10.0.0.0/8. Pokud jdou kamkoliv ven mimo síť ISP jdou přes veřejnou IP, pokud jdou na server který je u stejného ISP byť má veřejnou IP tak jdou přes lokální adresy.

[Filip Jirsák]

A odpoved je: Jednoznacne ano - viz uvod RFC1918.

A podle vás z toho ISP plynou nějaké povinnosti? A opět, RFC má jednotlivé části číslované, odkažte na konkrétní část, ze které takové povinnosti plynou. Zatím jste svá tvrzení ničím nedoložil.

[Filip Jirsák]

Na WAN blokuji jen RFC 1918, zákazníci ISP mají adresy z rozsahu 10.0.0.0/8. Pokud jdou kamkoliv ven mimo síť ISP jdou přes veřejnou IP, pokud jdou na server který je u stejného ISP byť má veřejnou IP tak jdou přes lokální adresy.

Takže řešením je ten rozsah 10.0.0.0/8 u vás neblokovat. V čem je tedy problém?

[zett_cz]

Tak si změňte nastavení firewallu a je hotovo, ne? IMHO je nastavený špatně, když blokuje adresy, které jsou za WAN "legálně"...

To si právě nemyslím,...

Můžete, prosím, upřesnit, co si nemyslíte a proč?

Že ISP používá ve své síti adresy z RFC1918 je jedna věc (a u ISP v ČR naprosto běžná věc), jiná věc je, že zjevně blokujete legální provoz a pak na diskusích brečíte, že Vám to nefunguje...

Na WAN mám veřejnou IP. Nevím proč by mi na veřejnou IP mělo lézt cokoliv z RFC 1918. Takže si nemyslím, že uvnitř internetu jsou adresy z RFC 1918 "legálně" tak jak jste napsal.

[Filip Jirsák]

Na WAN mám veřejnou IP. Nevím proč by mi na veřejnou IP mělo lézt cokoliv z RFC 1918. Takže si nemyslím, že uvnitř internetu jsou adresy z RFC 1918 "legálně" tak jak jste napsal.

Nezáleží na tom, co si myslíte, ale co je napsané v RFC. messagebus si to také myslel, dokonce se oháněl RFC, ale pak to tam nenašel a teď vaří z vody. Adresy dle RFC 1918 nejsou globálně routovatelné, což ale nevylučuje, že mohou být routované v nějaké menší síti. A vy jste zrovna v síti, kde routované jsou.