Onderwerp: IPv6 Routering

Je hoort de laatste tijd veel op IPv6 en ik dacht, laat ik mijn server's alvast voorbereid zijn.

Ik doe sinds vandaag mee aan IPv6 Pilot van TransIp.
Nu heb ik een /64 blok gekregen.
Hoeveel adressen kan ik dan gebruiken?

Nu heb ik al verbinding op IPv6, pingen etc naar IPv6 Hosts werkt en ik kan ook benaderd worden.

Nu heb ik echter een vraag, ik heb een debian firewall draaien met voor ipv4 iptables als firewall/nat.
Nu wilde ik voor mijn IPv6 adressen ook nat regels aanmaken.

2 vragen,

1e vraag, kan ik van een ipv6 een nat maken naar een intern ipv4 adres?
Indien nee, is er een locale range voor ipv6 beschikbaar (ala 192.168.x.x)?

vraag 2, kan ik met ipv6 adressen natten? Heeft iemand een voorbeeld van een iptables commando (poort 80 bv).

Mvgr Johan

NAT met IPv6 is er niet meer, dat wil je ook niet!

Voor IPv6 gebruik je verder ip6tables ipv iptables.

Als je nu al "ipv6.google.com" kan pingen, dan is het een kwestie van je services ook op IPv6 laten luisteren en dan werkt het

Ook heb je geen interne range meer nodig, we hebben met IPv6 nu zó veel addressen, dat je je daar geen zorgen om te maken hebt.

Maar hoe moet ik dan mijn "router" configureren?
Stel ik geef mijn interne server's ook een ipv6 adres welke publiek is.
Hoe kan ik er dan voor zorgen dat deze publiek beschikbaar komt?

Met ipv6 kan je uitrekenen hoeveel ip-adressen je hebt met 't sommetje 2^(128-blokgrootte). Als je dus een /64 blok hebt heb je 2^(128-64) = 2^64 addressen.

Oorspronkelijk geplaatst door johan.smits

Maar hoe moet ik dan mijn "router" configureren?
Stel ik geef mijn interne server's ook een ipv6 adres welke publiek is.
Hoe kan ik er dan voor zorgen dat deze publiek beschikbaar komt?

Dan zal je een subnet naar je router gerouteerd moeten krijgen (kan static) waarna je dit subnet vervolgens routeert in je interne netwerk.

Op deze router/server kan je met ip6tables dan ook al je verkeer filteren.

ik heb ipv6 forwarding aan gezet.
eth1 heeft een publiek sit1 ip (tunnel)
eth0 heeft IP 2001:ffff:ffff::1 (local lan)
Hoe moet ik nu een linux client connecten om ipv6 stations te kunnen benaderen?

ik heb geprobeerd op de client:
iface eth0 inet6 static
address 2001:ffff:ffff::2
netmask 64
gateway 2001:ffff:ffff::1

Maar dan kom ik niet eens bij de tunnelgateway uit.
Kan wel het publieke Ipv6 ip op sit1 pingen maar daarna stopt het.

Echte tutorials kan ik op het web niet vinden.
Is er documentatie beschikbaar hoe een IPv6 netwerk in te richten?

Ik heb de volgende vragen:
Als mijn datacenter servers enkel IPv6 gebruiken, hoe stel ik de gateway in zodat deze ook IPv4 adressen kunnen openen?
Kunnen dan IPv4 clients (klanten) ook bij de webserver's komen die enkel IPv6 adressen hebben?
Is er een handleiding hoe de router/firewall te configureren op Linux/Iptables basis?
Zijn er migratie documenten hoe te gebruiken?

Zoals ik het nu zie zijn er straks veel diensten die enkel met IPv6 zijn ingericht niet te benaderen voor bedrijven welke geen IPv6 hebben. Hoe is deze migratie gepland?

Oorspronkelijk geplaatst door johan.smits

Echte tutorials kan ik op het web niet vinden.
Is er documentatie beschikbaar hoe een IPv6 netwerk in te richten?

Kijk eens op www.sixxs.net, die website (eigenlijk de voorganger ervan) heeft mij 10 jaar geleden geholpen met de eerste stapjes. De tutorals zijn compleet ingericht voor thuisgebruik, nadat je deze stappen helemaal snapt moet het datacenter gebruik helemaal makkelijk zijn.

Hier denk ik al jaren niet meer na over ipv6, een nieuw apparaat pakt (via radvd) netjes een ip adres en een route op.

Oorspronkelijk geplaatst door Wido

NAT met IPv6 is er niet meer, dat wil je ook niet!

Dat is twee keer niet helemaal waar, NAT met IPv6 werkt prima. In een heleboel situaties zal NAT niet nodig zijn, misschien zelfs niet gewenst zijn, maar er zijn een paar specfieke situaties denkbaar waarin bijvoorbeeld voor interne netwerken gebruik gemaakt wordt van ULA ([ame]http://en.wikipedia.org/wiki/Unique_local_address[/ame]) om af te dwingen dat machines in het interne netwerk onder geen enkel beding een publiek benaderbaar adres hebben. Er zijn wat securitystandaarden (o.a. PCI DDS - [ame]http://en.wikipedia.org/wiki/PCI_DSS[/ame]) die eisen dat machines geen end-to-end traceerbaar adres mogen hebben. Om deze machines toch IPv6 te laten gebruiken kun je dus IPv6 NAT gebruiken.

Ik ben er in veel situaties absoluut geen voorstander van om NAT te gebruiken, maar er zijn ook wel nadelen aan ieder apparaat maar aan het publieke net te hangen zonder je bewust te zijn van de consequenties. NAT levert verre van een 100% bescherming, maar het kan in vele gevallen wel als een goede eerste scheiding tussen publieke en minder publieke netwerken functioneren. Neemt niet weg dat zinnige routing- en firewall policies natuurlijk altijd belangrijker zijn.

Oorspronkelijk geplaatst door tvi

Dat is twee keer niet helemaal waar, NAT met IPv6 werkt prima. In een heleboel situaties zal NAT niet nodig zijn, misschien zelfs niet gewenst zijn, maar er zijn een paar specfieke situaties denkbaar waarin bijvoorbeeld voor interne netwerken gebruik gemaakt wordt van ULA (http://en.wikipedia.org/wiki/Unique_local_address) om af te dwingen dat machines in het interne netwerk onder geen enkel beding een publiek benaderbaar adres hebben. Er zijn wat securitystandaarden (o.a. PCI DDS - http://en.wikipedia.org/wiki/PCI_DSS) die eisen dat machines geen end-to-end traceerbaar adres mogen hebben. Om deze machines toch IPv6 te laten gebruiken kun je dus IPv6 NAT gebruiken.

Ik ben er in veel situaties absoluut geen voorstander van om NAT te gebruiken, maar er zijn ook wel nadelen aan ieder apparaat maar aan het publieke net te hangen zonder je bewust te zijn van de consequenties. NAT levert verre van een 100% bescherming, maar het kan in vele gevallen wel als een goede eerste scheiding tussen publieke en minder publieke netwerken functioneren. Neemt niet weg dat zinnige routing- en firewall policies natuurlijk altijd belangrijker zijn.

Dus ik kan met ip6tables IPv6 tables masqurade toepassen voor de toegang tot internet?

Oorspronkelijk geplaatst door tvi

Dat is twee keer niet helemaal waar, NAT met IPv6 werkt prima. In een heleboel situaties zal NAT niet nodig zijn, misschien zelfs niet gewenst zijn, maar er zijn een paar specfieke situaties denkbaar waarin bijvoorbeeld voor interne netwerken gebruik gemaakt wordt van ULA (http://en.wikipedia.org/wiki/Unique_local_address) om af te dwingen dat machines in het interne netwerk onder geen enkel beding een publiek benaderbaar adres hebben. Er zijn wat securitystandaarden (o.a. PCI DDS - http://en.wikipedia.org/wiki/PCI_DSS) die eisen dat machines geen end-to-end traceerbaar adres mogen hebben. Om deze machines toch IPv6 te laten gebruiken kun je dus IPv6 NAT gebruiken.

Ik ben er in veel situaties absoluut geen voorstander van om NAT te gebruiken, maar er zijn ook wel nadelen aan ieder apparaat maar aan het publieke net te hangen zonder je bewust te zijn van de consequenties. NAT levert verre van een 100% bescherming, maar het kan in vele gevallen wel als een goede eerste scheiding tussen publieke en minder publieke netwerken functioneren. Neemt niet weg dat zinnige routing- en firewall policies natuurlijk altijd belangrijker zijn.

Ok, daar kan ik zeker in komen, maar veel mensen blijven NAT als een stukje veiligheid zien, waar dit in principe met IPv6 ook met een statefull firewall kan die routering doet.

WAN -> static route -> firewall -> servers

Waar er nu vaak dan NAT wordt gedaan door de firewall om het geheel zo "veilig" te maken.

NAT maakt nu vaak meer kapot dan het goed maakt, denk hierbij oa SIP, waar we met dingen als STUN moeten klungelen.

Daarom zou ik niet al te snel webservers of andere servers met een publieke taak achter NAT zetten, eigenlijk helemaal nooit.

Ik had overigens begrepen dat de ULA adressen zouden vervallen, maar ze blijken er toch weer te zijn?

Oorspronkelijk geplaatst door johan.smits

Nu heb ik een /64 blok gekregen.
Hoeveel adressen kan ik dan gebruiken?

Een IPv6 adres kent 8 blokjes van 16 bits. Met een masker van 64 bits, houd je dus nog (128 - 64 =) 64 bits over, dat zijn 4 blokjes van 16 bits. 0 t/m 1111111111111111 = 65.536 mogelijkheden per blokje.

Met een /64 heb je dus:

65.536 ^ 4 = 18.446.744.073.709.551.616

Met een /48 heb je dus:

65.536 ^ 5 = 1.208.925.819.614.629.174.706.176

Oorspronkelijk geplaatst door Wido

Ok, daar kan ik zeker in komen, maar veel mensen blijven NAT als een stukje veiligheid zien, waar dit in principe met IPv6 ook met een statefull firewall kan die routering doet.

WAN -> static route -> firewall -> servers

Waar er nu vaak dan NAT wordt gedaan door de firewall om het geheel zo "veilig" te maken.

NAT maakt nu vaak meer kapot dan het goed maakt, denk hierbij oa SIP, waar we met dingen als STUN moeten klungelen.

Helemaal mee eens verder hoor, alleen stelde je eerst dat NAT niet bestond

Ik denk alleen dat er erg goed opgepast moet worden dat je niet nu opeens alles publiek aan 't internet hangt.

Oorspronkelijk geplaatst door Wido

Daarom zou ik niet al te snel webservers of andere servers met een publieke taak achter NAT zetten, eigenlijk helemaal nooit.

Ik had overigens begrepen dat de ULA adressen zouden vervallen, maar ze blijken er toch weer te zijn?

Ik denk dat je dan in de war bent met site local adressen, die zijn inmiddels komen te vervallen en vervangen door ULA. Zie ook de link naar ULA die ik in een eerder bericht postte, daarin staat het in de inleiding uitgelegd

Oorspronkelijk geplaatst door johan.smits

Echte tutorials kan ik op het web niet vinden.
Is er documentatie beschikbaar hoe een IPv6 netwerk in te richten?

Ik heb de volgende vragen:
Als mijn datacenter servers enkel IPv6 gebruiken, hoe stel ik de gateway in zodat deze ook IPv4 adressen kunnen openen?
Kunnen dan IPv4 clients (klanten) ook bij de webserver's komen die enkel IPv6 adressen hebben?
Is er een handleiding hoe de router/firewall te configureren op Linux/Iptables basis?
Zijn er migratie documenten hoe te gebruiken?

Zoals ik het nu zie zijn er straks veel diensten die enkel met IPv6 zijn ingericht niet te benaderen voor bedrijven welke geen IPv6 hebben. Hoe is deze migratie gepland?

Als je dat nu wilt doen, zul je twee kanten op NAT moeten gaan doen om: IPv6 naar IPv4 (naar de buitenwereld) en IPv4 naar IPv6 (naar jouw netwerk). Lijkt me nog niet echt een ideale situatie op dit moment. Er zijn wat implementaties die dit kunnen, hoe goed en stabiel het allemaal is durf ik niet te zeggen. Hier [ame]http://en.wikipedia.org/wiki/IPv6_transition[/ame] is wel wat terug te lezen over transitiemechansimen.

Op wat experimenten na is de tijd eigenlijk nog echt niet rijp voor IPv6-only netwerken. Op dit moment worden dus netwerken (en diensten) juist dual stack uitgevoerd, en niet 'enkel IPv6' zoals je stelt.

Heb een aantal tests gedaan.
In de ip6tables zit geen NAT table:
ip6tables -t nat -A POSTROUTING -s 2001:ffff:ffff::/64 -o sit1 -j MASQUERADE
ip6tables v1.4.2: can't initialize ip6tables table `nat': Table does not exist (do you need to insmod?)

Kan iemand mij op weg helpen bij het opzetten van een IPv6 only network?
Heb een gateway/router (debian) erachter verschillende clients, debian/windows7 welke ik enkel op IPv6 wil laten functioneren.

Welk adres kan ik dan instellen op mijn router eth0 (local)?
En welke adres reeks moet ik de clients geven (uitgaand van een vast ip)?

Alvast bedankt voor de goede tips.