Všem díky za komentáře.
Já ti nevím, asi na to jdu málo vědecky, ale PD je na nepoužívaném rozhraní a po zjištění toho přiděleného rozsahu (zcela jednorázová záležitost) je veškerý zbytek rozhraní nastaven staticky na zvolené /64 z té přidělené /56.
... a ani nestane.
Kde bereš tu jistotu, že se to nestane?
Zjistit si prefix jednorázově a pak všechno nastavit staticky je taky cesta, která bude i většinou fungovat. Ale jak mám vyřešit například to, když chce známý nakonfigurovat router tak, abych mu ho jen předal, on si ho doma připojil a všechno mu hned fungovalo a já ještě pak po prvním zapojení se musel na dálku připojovat a něco nastavovat staticky?
1) pouzivaji se jmena, ne IPcka.
2) v domaci siti muzes mit samozrejme svuj dns (kteremu to zarizeni svoji aktualni adresu ohlasi) ale v zavislosti na strukture site treba nepotrebujes, mDNS funguje naprosto vpohode.
3) na IPv6 ma kazdy zarizeni adresu, ktera je staticka a je generovana bud z MAC nebo z GUID. Na tuxovi si muzes i vybrat. Meni se jen prefix, ale tech druhych 64bitu je stale stejnych.
4) pokud mas povoleno privacy extensions, tak se k tyhle adrese jeste pravidelne generujou dalsi, ale ty se pouzivaji vyhradne k odchozi komunikaci.
5) v ramci segmentu site se pro komunikaci pouzivaji linkovy adresy (fe80:
, ty se ti nezmenej ani se zmenou prefixu (tohle samozrejme neproleze pres vlany nebo do jiny oddeleny casti site)
Pokud ti provider zmeni prefix, prestanou ti nejspis fungovat mnohem zasadnejsi veci, a provider ti ten prefix menit nebude jen tak znicehoz nic. Teda normalni provider
1) Síťovému rozhraní asi nepřidělím IP adresu, co?
2) Na mDNS se spoléhat nechci, všechny IPv6,u kterých o to stojím mám na veřejné doméně a veřejně dostupném autoritativním serveru.
5) Použití LL adres mi nepřijde úplně šťastné z více důvodů.
Jaké zásadnější věci mi přestanou fungovat, pokud se mi změní prefix?
Řešim úplně ty samý problémy Ještě výživnější to je s dual WAN.
Jinak k 3) - to je specifikum Mikrotika, taky mě to štvalo, nakonec jsem přešel na OpenWRT, kde je to pořešené pěkně:
Takže jiná cesta na MT než skriptování není? Třeba to někdy vyřeší... O OpenWRT jsem také přemýšlel (na MT mi chybí NAT64), ale když jsem si ho zkoušel, tak mě některé věci přišli divné, třeba nastavení VLAN nebo nesvoboda v konfiguraci bridgů. Přišlo mi, když chce člověk něco jiného než defaultní rozdělení na jeden WAN a zbytel LAN, tak že to moc dobře nešlo. Oproti tomu je MikroTik geniální. Ale možná to takyylo jenom rukama.
IP adresy pro věci typu NAS nastavuji statické, nějaké "hezké" (např. prefix::1:1) plus vedle toho nechávám i ty autokonfigurační. A k tomu je dobré vedle globálních adres nakonfigurovat i ULA adresy (fd80::/8) a pro komunikaci v rámci LAN používat primárně ty. Pak se to nerozbije v případě, že vypadne spojní do internetu.
Je nějaký trik na to, aby nebylo potřeba firewall konfigurovat 2x?
Dotaz - Jak se na takové síti řeší pravidla firewallu pro jednotlivá zařízení, když se jim IP adresy náhodně "losují z klobouku" a ještě jich má každý interface několik? To musí být docela peklo...
Používat pro síť více subnetů s FW pravidla konfigurovat na per IP, ale per /64 subnet. A nedělat FW pravidla na zdrojové IP, ale na cílové. Zařízení, u kterých chceš filtrovat příchozí provoz, mají většinou statickou IP. V konečné řadě mít pak nastavený firewall na koncových zařízeních. To by stejně mělo být kvůli LL adresám.
21 Odpovědí
71612 Zhlédnutí