Jak získat vlastní IPv6 rozsah?

[Ondřej Caletka]

Dá se nějak získat vlastní (= mimo rozsah mého ISP) blok IPv6 adres pro osobní potřebu?

Ano, říká se tomu Provider Independent adresy. K jejich získání musíte požádat kteréhokoli člena RIPE NCC, aby byl váš Sponsoring LIR a vaším jménem s RIPE NCC komunikoval. Seznam členů poskytujících služby v Česku je tady, nemusíte se ale omezovat na ně,  můžete zkusit třeba https://freetransit.ch/, který má jako jeden z mála veřejné a transparentní ceny.

S tímto členem uzavřete smlouvu, která musí mít náležitosti popsané v RIPE-637. Člen pak vaším jménem o adresy požádá a po několika formalitách získáte vlastní blok adres o velikosti /48. Člen platí za sponzorované prostředky částku stanovenou RIPE NCC, v současnosti je to 75 eur za prefix ročně bez DPH. Kolik bude platit držitel členovi je na jejich vzájemné dohodě.

Pokud chcete vlastní adresy za účelem multihomingu, asi budete potřebovat i vlastní číslo autonomního systému. To probíhá v podstatě stejně jako získání bloku adres, jen při žádání o něj musíte předložit seznam aspoň dvou jiných sítí se kterými plánujete návázat BGP relace.

Administrativně to tedy není velký problém, ovšem řekl bych, že narazíte spíše technicky. Pokud chcete multihoming s vlastními adresami skrz více různých ISP, musíte s nimi navázat relaci BGP. Drtivá většina přípojek rezidentálního charakteru, jako xDSL, *PON, LTE, 5G něco takového neumožňuje buď z technických příčin (3GPP sítě, agregace na páteři CETINu) a nebo to prostě daný ISP nenabízí protože se mu to nechce konfigurovat a troubleshootovat.

Takže nakonec stejně skončíte s vlastními adresami někde v datacentru, které pak dotáhnete domů VPNkou přes více operátorů. V takovém případě ale zase nejspíš nepotřebujete svoje vlastní adresy, nejspíš bude jednodušší získat dostatečně velký blok adres od provozovatele datacentra, kam VPN koncentrátor umístíte.

Možná by vás taky mohla zajímat přednáška Odkud se berou IP adresy na letošních LinuxDays.
 

[Reklama]

[R. R. Šimek]

Mám připojení přes více poskytovatelů (drátové, wifinové, plus LTE jako záloha - všechny s problematickou rychlostí/spolehlivostí, takže přepínám na to, co zrovna funguje), a navrch VPN z jiné lokality.

Opravdu to potřebujete na úrovni IP protokolu? Nestačí jen mít v DNS víc IPv6 adres – schopnější aplikace při neúspěchu při navazování spojení zkusí další adresy z DNS. Jenom to dávám ke zvážení, protože řešení přes DNS můžete mít zdarma, vlastí blok IPv6 asi zdarma neseženete.

Ono jde spíš o to, že ty IPv6 nemám od všech tří providerů (respektive jeden další mi to pár měsíců slibuje...), a to přepínání by byl stejně jen opruz. Radši bych to měl čisté.

Já netrvám na tom, že to bude zdarma. Na druhou stranu: platit stovky dolarů se mi taky nechce.

[Filip Jirsák (forum)]

@John Doe: otázka nezní kolik potřebuji doma IPv4 adres, ale k čemu je dobré mít doma IPV6 adresy, které stejně nemůžou být veřejné, protože je musím dynamicky NATovat (překládat) na blok adres přidělený aktuálně routovaným providerem/technologií.

Principiální chyba je v tom že internetové adresy se přidělují organizaci a nikoliv jednotlivci a já nemůžu mít stabilní adresaci svých vlastních zařízení. Ty adresy se naopak mění nejen při změně providera, ale bohužel, vzhledem ke kvalitě implementace u našich providerů, se mění i podle toho jakým kanálem jsem aktuálně připojený (optika, 5G).

To, že se IPv6 adresy přidělují primárně ISP a ne organizaci, je záměr. Důvod je pořád stejný – předchází se tím fragmentaci adresního prostoru.

Navíc řešíte neexistující problémy. Pro přístup z venku dáváte k dispozici DNS záznamy. Pokud dojde k přečíslování, jenom změníte ty DNS záznamy. Pro přístup z vnitřní sítě také dáváte k dispozici DNS záznamy a řešíte to stejně. Ale pokud je pro někoho problém v roce 2025 provozovat DNS, můžete interní služby provozovat na link-local adresách. Pro odchozí provoz je to také jednoduché – do sítě oznamujete jenom ty prefixy, které jsou zrovna v provozu. Na rozdíl od hloupého řešení s NATem, které znamená využití jen jedné přípojky a další leží ladem a čekají, až primární přípojka vypadne, řešení s oznamováním všech dostupných sítí znamená, že můžete využít všechny linky najednou. Znamená to, že si klient může vybrat spojení po té lince, po které má k cíli blíž. Znamená to, že klient může použít Multipath TCP a jedno spojení přenášet přes obě linky, takže tím zvýšíte prostupnost. Nebo to samé můžete použít pro přesunutí spojení mezi linkami – spojení začnete na jedné lince, ta bude mít odstávku, tak spojení přesunete na druhou linku a bez přerušení pokračujete.

Vy stále řešíte rovnák na ohejbák, ale jaksi jste si nevšiml, že ve světě IPv6 nemáte nic ohnutého.

A tohle prostě nemá jiné jednoduché, funkční a levné řešení než neveřejné vnitřní adresy a NAT. A na to je IPv4 adres pořád dostatek (přes 4 miliardy). Jejich "nedostatek" je umělý a je způsoben zejména krátkozrakou politikou v začátcích internetu, kdy se rozhazovaly celé /8 rozsahy aniž by někdo zkoumal potřebu a tím že se z nich stalo, díky PR práci IPv6 evangelistů, ceněné zboží a pořád je na světě spousta syslů sedících na lacino získaných /8 rozsazích.

Tímhle se akorát přiznáváte k neznalosti fungování internetu. Provoz na internetu se musí nějak routovat – tj. musíte mít routovací tabulky, ve kterých je pro každý blok IP adres určeno, kam se mají směrovat. (Nepíšu teď o vašem domácím routříku. Píšu o páteřních routerech.) Z hlediska přidělování a routování tedy vůbec není podstatné, kolik je jednotlivých adres, ale kolik je přiděleno souvislých bloků. Vaše představa, že se budou IPv4 adresy přidělovat po jedné, je úplně mimo – nemůžete mít routovací tabulku se 4 miliardami záznamů.

[R. R. Šimek]

Myslím, že to co potřebuješ, jde vyřešit mnohem jednodušeji.

To, co popisuješ (stále stejný IPv6 prefix bez ohledu na to, kterého ISP zrovna používáš), je přesně situace, kterou dřív řešily tunely od HE. Dneska se to dá udělat i jednodušeji a hlavně spolehlivěji:

1) Pořídit si VPS (klidně i zdarma – třeba Oracle Cloud Free Tier)
Většina VPS ti dá vlastní IPv6 adresu nebo rovnou prefix (/64, /56…). Ten prefix je stabilní a nemění se.

2) Domů udělat WireGuard tunel
WireGuard funguje i přes LTE, Wi-Fi providery a CGNAT, což je velká výhoda proti starým proto-41 tunelům.

3) Na VPS nastavit route na tvůj prefix směrem do WG tunelu
Veškerý provoz na tvůj IPv6 prefix pak půjde: VPS → WireGuard → domů.

4) A doma ten prefix jen rozdáš po LAN

Hotovo – máš jednu stabilní IPv6 identitu pro celou domácí síť, nezávislou na tom, kterou linku zrovna používáš.

Výhody:

funguje přes jakýkoliv typ připojení (včetně LTE),

může to být úplně zadarmo (Oracle má free instanci i s IPv6),

nebo si to můžeš nejdřív zdarma vyzkoušet a když ti to sedne, přejít na placenou variantu s vyšší rychlostí.

Možná by stálo za to tohle zvážit – vyřeší to přesně tvůj problém, ale bez nutnosti řešit autonomní systémy a v podstatě se stát poskytovatelem internetu. 😄

Vidíte, na tu VPS-ku, co mám bych málem zapomněl! ;-)
Jenže ta je na jiné věci, než aby mi routovala provoz. Navíc je na nějaké pomalé/přetížené infrastruktuře, takže na to, abych přes ni posílal veškerý (IPv6...) provoz, to není. A co by to udělalo se streamy nad UDP se ani neodvažuji odhadovat.
Ale jinak dobrý nápad.
(Ten tunel od HE fungoval vcelku dobře - dokud fungoval.)

[Filip Jirsák (forum)]

To že pořád nemám fixní adresy pro vlastní zařízení a po restartu routeru můžu/dostanu jiný rozsah ?
To že když vypadne konektivita na všechny providery, tak nemám žádné adresy k přidělování ?

Nastudujte si základy IPv6. V IPv6 síti mají všechna zařízení povinně link-local IPv6 adresy. Na rozdíl od IPv4.

[Reklama]

[M_D]

Z pohledu původního tazazele. Situace je stejná pro IPv4 i IPv6, získat blok PI (Provider Independent) adres (IPv4 /24 už nejsou, jen IPv6 /48). Je pár subjektů, co zo zajišťuje za nějaký bakšiš. Např: http://isp-servis.cz/?page_id=312

ALE, není to pro home usera, získat adresy je jedno, horší je domluvit routing se svými uplinky, to nebude nic pro SOHO linky.

Na doma (když beru řešení, kdy do toho nepletu další subjekt) pro IPv6 tak v podstatě jako "jednoduché" řešení použít IPv6 ULA adresy a k tomu provádět na odchozí lince NPT / NAT pro IPv6. V tomto případě má zařízení v LAN jen tu ULA (a link local adresu). Druhá cesta je dynamický renumbering, kdy zařízení má stabilní "vnitřní" ULA a k tomu jednu a více globálních IPv6 adres podle toho, jaké linky jedou. Ale dost to záleží, co umí ten domácí router. Většina jich s multi WAN na IPv6 moc nepočítá. :-(

Sám něco takového mám doma s mikrotikem a třemi WAN linkami. Používám ULA, ty mám i v interním DNS, globální prefixy se propagují z routeru, koncové krabice mají tak víc adres a router dle ne/dostupnosti linek mění ohlašovaný preferred lifetime na 0 u mrtvých linek.

[Ondřej Caletka]

Je pár subjektů, co zo zajišťuje za nějaký bakšiš. Např: http://isp-servis.cz/?page_id=312

Co mi to jen připomíná… 

[jjrsk]

...

Krystova noho ...

Miminko moje, lasjkrave si nejdriv zjisti, co je to adresa, co je to rozsah, co je to routa ... a pak prid do ty materinky si povidat s ostatnima ....

4kovy adresy davno nejsou, a nejsou pouzitelny zejmena proto, ze cim vetsi fragmentace adres, tim vic zaznamu v routovacich tabulkach (o jejihz existenci zejvne nemas nejmepsi paru) a ty se NEVEJDOU do pameti routeru.

A uplne stejne tak zcela zjevne nemas nejmensi paru o tom jak (ne)funguji zcela libovolne naty.

Co je za problém do sítě oznamovat všechny přijaté prefixy a v případě detekce výpadku jednoho připojení prostě přestat oznamovat ten konkrétní prefix do sítě nebo přestat oznamovat konkrétní defaultní routu?

... a vsechny konexe pres ten rozsah padnou.

...

Tak proc si doma stavis letadlo, kdyz nevis co to je vztlak?

Myslím, že to co potřebuješ, jde vyřešit mnohem jednodušeji.
...

Ehm ... on neresi to aby mel doma stejny IP ale aby mu to fungovalo.

..

Odpovedi tu mas, korektni reseni je PI. Ovsem existuji i jina, vice ci mene funkcni reseni. Zavisi ovsem na tech ISP, jejich nastaveni site atd atd atd.

Osobni potreba te nijak nelimituje, jen zprovozneni PI ti minimalne ti velci "takyisp" typicky nebudou chtit delat na "domaci" variante pripojky. Prevazne je mnohem jednodussi se domluvit s lokalnim ISP. Jinak jedna s varaita (zavisla na okolnostech) je treba ze ti ISP2 vypropaguje rozsah pridelenej ISP1. Takova min koser je, ze proste provoz naladujes na linku 2, ale src bude z rosahu linky 1, i tohle ledaskde proste funguje.

[M_D]

Co mi to jen připomíná… 

Jj, VISSADO :-)  Bylo to pro ukázku, kdo mi přišel nejblíže na paměť i s nějakým ceníkem pro tazatele...

Jenže když nemá ani dvě ty domácí linky s funkčním IPv6, tak reálně stejně skončí u nějaké té VPS varianty a tunel přes IPv4...

[gnat]

Prevazne je mnohem jednodussi se domluvit s lokalnim ISP. Jinak jedna s varaita (zavisla na okolnostech) je treba ze ti ISP2 vypropaguje rozsah pridelenej ISP1. Takova min koser je, ze proste provoz naladujes na linku 2, ale src bude z rosahu linky 1, i tohle ledaskde proste funguje.

Až tohle budete řešit na zákaznické lince O2/TMb/VF, tak na to mi prosím zarezervujte lístky do první řady. To bude dobrá komedie.

[gnat]

Začíná se to tu trochu přiostřovat, tak to pojďme nakolejit zpátky do věcnější diskuse:

Zopakuji že můj point je v tom, že IPv6 nic běžnému uživateli nepřináší a naopak pro něj přináší zbytečné komplikace navíc.

Druhý point je v tom, že hlavní "selling point" IPv6 že každé zařízení může mít svou unikátní tralou veřejnou adresu bohužel nefunguje pokud neprovozujete vlastní AS.

To jsou věci které se tu snažím diskutovat a rád si poslechnu věcnou argumentaci "druhého" tábora. Tak mi tu prosím nepopisujte rovnáky na vohejbák typu VPS nebo tunel k nějakému zprostředkovateli.

Proč píši "druhého" v uvozovkách: IPv6 doma provozuji a to nikoliv proto že by mi to něco přinášelo, ale proto, že jsem geek.

Abychom se vyhnuli osobním invektivám ohledně mé znalosti/neznalosti fungování internetových protokolů, tak bych rád uvedl, že se sítěmi neživím a sám bych se v tomhle ohledu viděl na mírně pokročilého samouka. Před cca. 30 lety jsem "provozoval" "vlastní" "AS" v rámci sítě CZfree, takže vím co je BGP, ospf apod. a co dělat se zebrou/quaqou a myslím že o topologii a adresování v internetu tudíž něco málo vím, ale to neznamená, že jsem něco nepochopil špatně nebo že se to dneska nedělá už jinak.

P.S: přeci jen ještě jedna reakce:

Tímhle se akorát přiznáváte k neznalosti fungování internetu. Provoz na internetu se musí nějak routovat – tj. musíte mít routovací tabulky, ve kterých je pro každý blok IP adres určeno, kam se mají směrovat. (Nepíšu teď o vašem domácím routříku. Píšu o páteřních routerech.) Z hlediska přidělování a routování tedy vůbec není podstatné, kolik je jednotlivých adres, ale kolik je přiděleno souvislých bloků. Vaše představa, že se budou IPv4 adresy přidělovat po jedné, je úplně mimo – nemůžete mít routovací tabulku se 4 miliardami záznamů.

Pane Jirsák, nic ve zlém, ale žádný router v internetu nedrží a ani nemůže znát celou routovací tabulku internetu. Ono totiž stačí u border routeru když zná tabulky vlastního AS a okolních AS ke kterým je připojený. Představte si že to fungovalo už v dobách kdy tyhle routery měly paměť v řádech jednotek kB.

A malý kvíz na závěr : Kolikrát je větší routovací tabulka se stejným počtem záznamů pro protokol IPv4 a IPv6 ?