Pěkný článek z pěkné akce.
Jen je divné, že je to každý rok stejné.
Stále někde něco nefunguje, sice jen trochu a stejně za to můžou uživatelé kteří používají věci co vyhovují jim a ne IPv6.
Hele, já vím, že je IPv6 budoucnost, ale je to fakt strašnej bastl. Většina těch problémů co tady za ty roky sleduju nejsou problémy implementace (špatně napsané programy), ale standardu.
Pak vznikají rovnáky na ohejbáky viz braindead IPv6 autokonfigurace a následně story DHCP6/SLAAC/RDNSS.
Ach jo.
No a nebo to otocime...
Tricet let vime o IPv6, tricet let vime, ze IPv4 adresy dojdou... a tricet let dovolujeme vznik bastlu, ktere s IPv6 vubec nepocitaji. A pak se jako bonus s IPv6 krecovite vymysli rovnaky postavena na zlozvycich naucenych v IPv4 svete, kterych se nekteri urputne dozaduji i s novym protokolem.
Protokoly a standardy za vetsinu problemu ve skutecnosti nemuzou. Bastly vznikaji jinde.
Nelze po koncácích chtít, aby si v domácích sítích nasadili něco, co na defaultech nefunguje buď vůbec, nebo je to ukrutně rozbitý (a tedy jim to fungovat nebude a v podstatě ani nemůže, pokud nemají doktorát ze sítí), a k čemu nedostanou ani základní dokumentaci, a dokonce ani odkaz na ni, protože v ucelené a použitelné formě neexistuje.
Když to nemůžou nasadit koncáci, tak to nemůžou požadovat, a není tlak na ISP.
Čemu se tady kdo diví?
2. 7. 2024, 13:20 editováno autorem komentáře
Neblabolte. Z pohledu beznych koncaku, co si koupi za par stovek TPLinka nekde v Datartu a pripoji ho to fungovat bude a neexistuje duvod, aby tomu bylo jinak. Ten bezny koncak dostane nejaky adresy z routeru a spokojene frci. S defaultnim nastavenim z fabriky. A staci k tomu jedine - aby v DHCPv6 poslal ten ISP k tomu koncakovi prefix, ktery si ma nastavit na LAN. A zbytek se stane tak nejak automaticky.
Problem budou spis hracickove - co si mysli, jak tomu rozumi, rozvrtaji nastaveni podle nejakych nahodne nalezenych pseudo-navodu z internetu a pak breci, jak jim to a tam neco nejak nefunguje. Jenze tenhle problem fakt neni zavisly na verzi IP protokolu.
Haha.
Proč to teda nejen mě funguje jenom na O2čku?
Přesněji: chápu, že to ISPci asi mají zhusta rozbitý, chápu že dost možná zhusta schválně, ale když koncakovi tvrdí že to má blbě on, těžko jim to dokáže rozporovat. Dokonce bych i pochopil, že tím lidi chtějí donutít k nákupu/pronájmu JEJICH routerů, místo aby si tam dali svůj Mikrotik nebo něco jinýho.
Ale co s tím teda koncák má dělat?
Me to v pohode funguje u meho ISP, co mam doma, v pohode funguje u Vodafone na mobilni siti, v pohode funguje na kabelovce od Vodafone, co maji rodice a vysoce pravdepodobne i tento komentar odejde po IPv6. Co ze nefunguje...? :D
Mikrotik patri do rukou tem, co s tim umi, to neni zarizeni pro bezneho koncaka - ktery obvykle vyhori uz na tom, aby rozumne nastavil zabezpeceni. Ostatne deravych mikrotiku vystavenych do internetu dokazujicich toto tvrzeni jsou... mraky.
Pv6 ma sve problemy, stejne jako IPv4 nebo kazda jina technologie.
Problem neni v koncovych sitich ani u poskytovatelu obsahu.
ISP, ktery jeste v roce 2024 nema implementovano IPv6 o sobe rika jedinou vec, ze neni technicky kompetentni.
Mobilni operatori (ve svete) IPv6 only site pouzivaji jiz delsi dobu a dalsi pribyvaji.
V Japonsku nebo v Anglii prechazi velci fiber ISP na IPv6 only zatimco u nas dokazi nekteri stale diskutovat o tom, zda je to spravna technologie.
Mate s sestkou nejakou realnou zkusenost? Podelte se s nami o sve poznatky detailneji.
Každých 30min to napíše tyto chyby do logu:
user err dhcpc dhcp6c: addPrefixInfoToMsg: addPrefixInfoToMsg : Enter
user err dhcpc dhcp6c: dhcp6sConfDSlitenameListCheck: dhcp6sConfDSlitenameListCheck : Enter
user err dhcpc dhcp6c: dhcp6sConfDnsListUpdate: dhcp6sConfDnsListUpdate : Enter
user err dhcpc dhcp6c: client6_recv: client6_recv
Je také možné připravit neblokující multitasking a poté funkci select vybírat správný socket a obsluhovat IPv4 i IPv6 klientů.
Rozhraní select()
je navržené tak strašně, že je mi záhadou, proč by mu někdo dal přednost před poll()
(pro masovější použití pak spíš epoll()
).
Díky tomu mohou IPv6 sockety za určitých okolností obsluhovat i IPv4 spojení.
Defaultnímu chování se říká "za určitých okolností"? :-) (Ano, vím, že existují obskurní operační systémy, kde je default IPV6_V6ONLY=1
.)
Kdo to někdy programoval, smysl pochopí, je jedno jestli se odkážete na select()
, poll()
, nebo epoll()
, z hlediska pochopení smyslu textu to je totéž. Kdo to nezná, lepší je napsat select()
, to je sice dost nešťastně navržená funkce, ale je to základní, všude implementovaná, klasická znalost, ze které vycházejí ty současné poll() funkce. Já, až to budu potřebovat (což asi nebudu), stejně napíšu man select
a přečtu si, co se používá v tomto století.
Podle mě je někdy moudřejší obsloužit zvlášť IPv6 a zvlášť IPv4, on je v tom dost bor… nepořádek i tak. Chyb je víc, než funkčnosti. Ale možná je to jen můj dojem.
Pokud berete všechny Windows a BSD za obskurní operační systémy, tak ano. Ale pro většinu výrobců portabilního softwaru je to příliš velká skupina operačních systémů, kterou nelze snadno ignorovat - můj oblíbený příklad je modul http.server
v Pythonu 3.8.
Navíc i software napsaný pro Linux podle nejlepší současné praxe nastavuje IPV6_V6ONLY=1
, takže použití fráze za určitých okolností je zde na místě i pro výchozí chování, pokud je běžnou praxí výchozí chování měnit.
Pokud berete všechny Windows a BSD za obskurní operační systémy, tak ano.
To byl samozřejmě vtip - ale v tomhle ohledu to chování opravdu obskurní je.
i software napsaný pro Linux podle nejlepší současné praxe nastavuje
IPV6_V6ONLY=1
To už mi tvrdila spousta lidí, ale nikdo z nich nikdy nebyl schopen říct žádný rozumný a přesvědčivý důvod, proč by to tak opravdu mělo být lepší, většinou se omezili na obvyklé "prostě se to tak dělá". Nanejvýš přiznali, že se jim jen nelíbí mapované adresy, případně těch socketů stejně otevírali víc, protože se poslouchalo na více různých adresách nebo kombinacích adresa/port.
4. 7. 2024, 09:35 editováno autorem komentáře
Já myslím, že ten hlavní důvod, proč to nedělat, je riziko, že někde po cestě dojde k záměně IPv4 za IPv6 nebo naopak. Například když po síti přijde IPv6 paket se zdrojovou adresou z IPv4-mapovaného rozsahu a IPv6 soket s IPV6_V6ONLY=0
na něj odpoví, velice pravděpodobně přitom vygeneruje IPv4 paket.
Myslel jsem si, že takové věci jsou dávno vyřešené a podobné zmatení nehrozí, ale po vytvoření testovacích stránek s IPv4-mapovanými adresy v AAAA záznamech se nestačím divit, kolikrát vidím, že nějaký software ochotně vezme IPv4-mapovanou IPv6 adresu z DNS a spojí se s ní:
Zato 172.16.0.0/12 je fakt intuitivní… 192.168.0.0 taky…
Nesmysl. V desítkové soustavě to vypadá a počítá se ještě hůř. Vypisovat bajty a bitové masky v desítkové soustavě je strašný paskvil. Aspoň mi to už od začátku IPv4 připadá dost na palici, nikdy jsem nepochopil proč byl zvolený dekadický zápis IPv4 a myslím že to nadělalo víc zmatků než šestnáctková soustava, která je pro toto použití přirozenější.
Ve 172 nevidím to 1010 1100 přímo, ale v čísle AC to vidím. Stejně tak 192: 1100 0000: C0 z desítkové to nevidím, ale z šestnáctkové to vidím hned.
Já osobně mám hex rád.
Problém je spíš s pamětí.
Běžná IPv4 síť v malé firmě vypadá nějak takto:
192.168.1.1 až 10 síťové prvky.
192.168.1.11 až 20 servery.
192.168.1.21 až 30 tiskárny.
192.168.1.31 až 40 kamery.
41 až 50 virtuální stroje
51 až 128 rezerva
129 až 199 DHCP WiFi
200 až 250 DHCP LAN
Podle IP hned poznám co je které zařízení zač. Když přestane fungovat DNS server, tak můj PC, servery, routery a tiskárny dám z hlavy...
Další IPv4 adresy, ktere si pamatuji:
1.1.1.1
8.8 4.4
9.9.9.9
DNS mého ISP
Venkovní adresu serveru
77.75.77.222
37.188.0.0
Kolik IPv6 adres si pamatujete?
Já ani jednu!
Chvíli jsem se snažil. Když jsem to nasazoval.
Ale asi stárnu nebo se to prostě nedá.
Když se zhlavičky mailu snažíte vyčíst přes které servery prošel, a jsou tam ty šílený hex znaky, tak to je peklo.
Nebo často chodí mail:
Zaznamenali jsme přihlášení z IP adresy
Když to je 4ka tak hned vím.
Ale když to je 6ka, tak nevím nic.
U mě je 192.168.2. básnička k zapamatování a zbývá 250 čísel které jsem rozdělil velice podobně. Pamatuju si skoro všechna zařízení i když ani nepotřebuju (mám tam i jakousi mnemotechniku).
A nějaké globální taky vím.
U 128bitových adres se pochopitelně z hlavy taky vůbec nechytám, to se prostě nedá.
A ted si predstavte, ze tu sit mate segmentovanou, nedejboze tech siti mate vic a potrebujete u toho, aby vam komunikace mezi temi sitemi fungovala. Nedejboze, kdyz pak spravujete stovky zarizeni. Memorovani adres je nesmysl... a ani mnemotechnika vas nezachrani ;-) Stejne skoncite u DNS...
Nehlede na to, ze i staromilci si u 128bitove adresy nemusi pamatovat vsech 128 bitu? Aneb klidne muzete dojit do stavu, kdy ta adresa ma tvar treba 2001:db8:1:1::1
. Vidite ty dve dvojtecky? Hadejte co delaji... ;-)
Ano, stovky zařízení se třídí blbě.
Do stavu 2001:db8:1:1::1 jsem se to samozřejmě snažil dostat. Ale jaksi se ztrácí to kouzlo že nepotřebujete FW.
A od ISP mám 2a00:8e42:a0c7:....a s tím nic dělat nejde.
DNS...Co uděláte když vám klient zavolá že nejde internet?
Já tedy pustím ping na DNS servery.
IPv6 neznám z paměti ani jeden.
I když 2606:4700:4700::1111 bych mohl zvládnout. Ale je to o 2606:4700:4700 složitější než 1.1.1.1
Kdyz mi klient zavola, ze mu nejde internet... tak zacnu pingem na WAN IP, co mam skrze dynamicke DNS k pripojce zaregistrovane. Zadna teorie, takto vzdalene spravuju veci treba u rodicu, co bydli 70km vzdusnou carou ode me - maji kabelovku a statickou adresu tam fakt platit nemame potrebu. Presneji receno, ted uz i bezi v nekde proklinanem DS-lite rezimu... me ke stesti staci, ze ze sveho DNS vim IPv6 adresu WAN rozhrani. A DS-lite fakt problem neni, sluzby co se u rodicu pouzivaj (takova ta klasika seznam, youtube, facebook & spol) IPv6 vesmes ma. A kdyz WAN pinga, pripojim se tam. Obvykle tam bezi lokalni resolver, neb nerad spoleham na resolvery u ISP. Aneb IP DNS si fakt pamatovat nemusim. A obvykle i public resolvery maji sve DNS zaznamy, kdyz uz bych teda chtel pouzivat a opingavat tyto.
První odstavec v článku:
Jan Vondráček: eduroam IPv6 only?
...bylo v plánu ... odlehčit firewallu .... "Přivedlo mě to na zajímavou otázku, zda je potřeba na IPv6 používat firewall pro koncové klienty." Adresy se velice často mění a lokální firewall je dnes nainstalován na většině koncových počítačů. "Provozujeme to tak už rok a problémy nepozorujeme."
Chlapi, chlapi, vy jste mi dali!
Pamatuji si to jako dnes, když jsem před 15 lety četl myslím, že tady na rootu, jak je IPv6 na spadnutí.
Potřeboval jsem nový router, protože starý odešel. Tak jsem chtěl být připraven a koupil "drahý" Netgear za 3 tisíce s podporou IPv6.
No router už dávno zastaral a funguje mi už jen díky komunitě okolo dd-wrt, jejichž firmware tam mám. Ale myslím, že pár let už aktualizace na tenhle router nejsou, tak snad tam není žádná díra.
Každopádně už asi dlouho router nevydrží a budu potřebovat nový. Myslíte, že mám zase vybírat z IPv6 routerů nebo mi bude na dalších 15 let ještě stačit IPv4? :-)
Ano, neni to optimalni stav, ale na druhou stranu - kolik beznych domacnosti opravdu segmentuje site? ;-) Tady se tvrde stretavaji svety geeku, kteri se podobnymi vecmi zabyvaji a beznych frantu uzivatelu... co proste s jednou a typicky factory-default /24 IPv4 + nejakou /64 z DHCP6PD vystaci. Tohle bych fakt nebral jako genericky show-stopper.
Aj BFU chcú oddelenú wifi pre hostí -- keď zistia, že je to možné. Hneď tu máme ďalší subnet.
Ako showstopper to brať nemusíte, ale potom progress vo svete IPv6 vyzerá presne tak, ako vyzerá. Zostáva to hračka pre zopár geekov. Ako aj s inými vecami, IPv6 môže byť dobre navrhnutý (sám som bol fanúšik), ale tu trochu orežeme z rohu, tam tiež trochu odrežeme a hneď je to nepoužiteľný krám a fanúšikovia sa čudujú, že čo sa deje. No, rezanie rohov (cutting corners) sa deje.
Tak se podivaj, jak to ty zarizeni dneska bezne resi. Nastavite jen jine SSID, technicky to skonci v jednom L2 segmentu - tzn. stejne IP a jen firewallem na L2 je osetreno, ze se guest nemuze do zbytku site (viz posledni screenshot)... IP adresy na LAN se neresi vubec, guest wifi svuj IP segment proste nema. Jo, je to bastl :-) Ale takova uz je dnesni doba...
No ja mam treba zkusenost presne opacnou :-) Bohuzel jsem se tam k necemu "polopracovne" loni nachomejtnul... a stylem, kdy se clovek zcela neplanovane nakonec hrabal i v petkovem redhatu, protoze to prece nejak bezi/funguje a nebudeme investovat do neceho novejsiho.... jen to uplne nefungovalo, takze jsem resil veci co jsem fakt puvodne vubec nemel.... takze z planu, ze se taky nekam podivam s rodinkou nebylo dohromady nic.
Když to vezmu z tohoto konce, tak můžu rovnou prohlásit se stejnou platností, že běžnou domácnost vůbec nezajímá nějaká veřejná adresa a už vůbec ne IPv6 :-).
Ale hlavně - proč to ti ISP vlastně dělají? To je nějaký mentální zásek na úrovni myšlenky, že když je nedostatek IPv4 adres, tak je třeba co nejvíc šetřit i s IPv6 adresami, přestože jich mají tolik, že by jimi mohli dláždit, a stojí je úplně stejně jestli dají zákazníkovi /64 nebo /56 (nebo alespoň /60)?
A ještě k tomu segmentování na podsítě - i kdyby to nikdo neřešil teď nebo v blízké budoucnosti, proč tu možnost nemít do budoucna, když ISP s tím prakticky nebude mít žádné náklady navíc? Už třeba kvůli tomu, že lidi čím dál tím víc chtějí k internetu připojovat kdejakou IoT blbost (jak moc to je smysluplné, to ponechme pro účely této diskuze stranou), kde by se to oddělení vyloženě hodilo. K tomu třeba mít rovnou oddělenou síť pro hosty. To jsou hned v základu 3 sítě. To si nemyslím, že je nějaká velká složitost - ono by se to mohlo klidně uplatňovat i pro technicky neznalé uživatele, kdyby takové dělení rovnou nabízela zařízení jako domácí routery.
A tak nejaka otrocina minulosti to byt u tevh ISP muze. Ja to neobhajuju - jen konstatuju, ze zit se s tim da a neni to ten zasadni blocker. Navic to je vec/parametr, co i ten ISP muze v case predodnotit... a s IPv6PD vam to bude v te domacnosti jedno, pokud se bavime o nejakem budoucnu. Me vyhody segmentace vysvetlovat nemusite, ja tech siti mam doma nekolik uz leta. A jinak viz jinde - ty navstevnicky site cela rada SoHo krabicek bastli do stejne L2 - a jen resi filtr na urovni bridge. Aneb ani nemate kde vyklikat L3 konfiguraci pro tu druhou sit. Kdyz jsem na to narazil naposled... tak tam obratem pristalo openwrt, ja na podobny bastly zaludek nemam :-)
Je to otevreny svet, muze tam prispet do diskuze kdokoliv - ani nemusite byt clenem.... address-policy-wg bude asi idealni misto. Smele do toho :-) Ono dnes tu jednu /64 pripousti i aktualni BCP (durazne pred tim varuje, ale nezakazuje to) a samozrejme i samotna allocation/assignment policy jen rika, ze to ma byt n x /64
, pricemz n
neni nijak omezeno, takze muze byt i 1.
Ako niekto žijúci uprostred mesta vás môžem ubezpečiť, že výber z 10 ISP nemám. Sídliská, ktoré nie sú "uprostred" tento problém nemajú, ale tu brblú niečo o centre a drahých rozkopávkach, že kto by to zaplatil.
Takže zo spotrebiteľských ISP je k dispozícií LTE, ADSL (nie VDSL) a UPC. A ako je na tom UPC s IPv6 a /64 netreba hovoriť. Pri business by sa dalo ešte 60 GHz wireless.
No, keďže mám súrodenca žijúceho v civilizácií, pardon... Česku, vidím, aká je situácia u neho. Môže mať up to 8 Mbit DSL, miestneho wifinára alebo LTE. Na mapainternetu síce si prečíta, že môže mať optiku, ale v realite nemôže, je plánovaná, možno o pár rokov.
Miestny wifinár je IPv4 only. Ale dáva na výber: neverejná alebo verejná IP.
Btw, môj predošlý komentár sa týkal špecificky centra. Sídliská mimo centra si môžu vyberať z niekoľkých FTTH ISP aj tu v džungli.
Ja treba mam (rozumne) na vyber ze dvou wifinaru a DSL vubec :-) Proste tu ten telefonni drat nikdo nezakopal. A oba wifinari IPv6 umi. Jednoho - pro me v technicke rovine parametricky lepsiho - jsem puvodne chtel spis vyloucit prave proto, ze ofiko nabizi jen /64... ale z technika pri obhlidce pri diskuzi vypadlo info, ze to je chyba na webu a davaji normalne /56. Ale ano, v ruznych lokalitach to muze byt ruzne. Ale i tak jde odlisit ty, co to proste "z principu" odmitaji a nechteji resit a ty, co aspon maji nejakou road-mapu nasazeni. Jen to chce byt trosku aktivni, no...
Ano a ten uzasny CETIN na xDSL v nejvyssi palbe a jen za hezkeho slunicka, samanskych obradu a spousty dalsich nepublikovanych obratek mi aktualne nabidne krasnych AZ 250/50Mbps... jsme v 21. stoleti? Ne to zadny operator nad tim nepredela...a o profesionalni nabidce sluzeb nad tim bych se radeji nezminoval vubec....
Sorry ale I v tom "Česku" na výběr fakt všude nemáme.
Žiju ve málem městě 2000 obyvatel a máme tu 1 Wifináře!
Priorize je to v údolí mezi kopci . Vysílače tu má jen ten jeden.
Neumí IPv6 ptám se ho skoro každý rok. Mezi tím změnil majitele už 3x.
Maximální rychlost je 30/10 a víc ani prd. Upgrade vysílače v nedohlednu...
Díky místní radnici která dělala problémy tady cetin dráty nedali když chtěli, optika to je sprostý slovo, LTE? Je plný u všech 3 operátorů.
Zjistil jsem DSL k silnici to mám 80 metrů kde vede drát a kde vím že vzdaleneho souseda připojili. Po něm nic nechtěli mě nabídli spoluúčast 200 tisíc!
Ne fakt to není všude ani v Česku a takových most je víc.
Ani nevím jestli Starlink asi IPv6 nemá ne?
Implementace IPv6 od Vodafone je tak tragická, že je snad leší to nepoužívat. Přesně, jak tu píší ostatní, přidělený rozsah IPv6 na jednoho uživatele je zcela nesmyslný a zcela podkopává výhodu, kterou IPv6 mělo mít a v důsledku toho ani poučení uživatelé jako já o IPv6 nestojí. Lajkům je to pak úplně jedno.
Jinak ohledně výměny dodavatele to nechápu, u nás mám možnost mít Vodafone (UPC kabel) a T-Mobile (optika), už tohle je naprostý nadstandard, přitom se jedná jenom o dva poskytovatele. Jinde jsou dodnes závislí na nějakém malém lokálním wifi a nic jiného nemají.
Podle Google se globálně používá IPv6 pro více než 45 % komunikace. Německo nebo Francie už jsou těsně pod 75 %, USA přes 50 %. Tak buď můžete spoléhat na to, že všichni budou čekat na zaostalé Česko. Nebo můžete být připraven na to, že si jednoho dne někdo spočítá, že už je IPv6 rozšířená dost, a představí službu, která bude fungovat jen po IPv6 – a vy budete připraven. Pokud stejně zvolíte první variantu, hodně štěstí při hledání IPv4-only routeru.
Mapování IPv6 na IPv4 většinou vypínám na svých serverech a otevírám prostě dva sokety. Není to zas takový pain. Často můj server umí i unixový sokety, a často potřebuju mít otevřeno víc portů (admin port, client port), takže pak už fakt není rozdíl. Problém s mapováním je ten, že když mám otevřený IPv4 port, tak nemohu otevřít IPv6, protože mapování není možný, jelikož IPv4 už je zabraný.
StarNet v automatickém nastavení přes SLAAC prefix delivery sice dává /64 ale /56 má také pokud si to na routeru natavíte staticky (podobně jako IPv4). Bohužel /56 mají zpoplatněno asi stovkou měsíčně. Zase pokud vezmu docela příznivou základní cenu tak v součtu ty 4 stovky ujdou a dual stack jim funguje velmi dobře.
Pořád to stejné. Už to začíná připomínat elektroauta. I když jsou to výborné stroje budoucnosti, na seriózní práci si zaplatíte silného osvědčeného diesla který funguje spolehlivě a bez problému.
Tady je to samé, když už máte to štěstí že Váš ISP, router, zařízení, operační systém, aplikace podporují IPv6, tak vše funguje do doby než chcete něco extra pak i CGNAT+VPS je lepší volba. (NAT64 = steam KO, PS5 KO, Xbox předstírá že umí ale bez tereda je taky KO, bankovní aplikace blbnou a příčinu proč jsem nikdy nezjistil, formálně bylo vše nastaveno správně).
Zatím nejlepší co kdy bylo v rámci IPv6 vymyšleno je dualstack. Kombinace statické /56 + veřejné IPv4, absolutně skvělé a funguje naprosto vše.
Do doby než se IPv6 zjednoduší natolik že zapojím a funguju, na jeden klik nastavím, atd. to není pro BFU vůbec žádoucí. Řešení na straně ISP je však již rozumné ale musí být plně kompatibilní, ne současný polofunkční chaos.
Za mne IPv6 fandím (i elektroautům) ale ne tak abych slepě přehlížel jejich problémy.
Ahoje,
stále pri ipv6 rozmýšľam, či sa firma nestane vazalom ISP. Ako je to potom pri prechode k inému ISP, firma dostane nové rozsahy a tie použiju, ale čo keď sa jedná o väčšie 1 000-ky zariadeni v IT/OT sieti, prechod je dosť náročny. Pri ipv4 prechode, sa zmenia verejne IP a záznamy verejného DNS, lokálne ip adresy ostanú rovnaké a pri prístupe do internetu sa skryjú za novú ip cez SNAT. Robil niekto z Vás už takúto migráciu a vedel by upresniť informácie?
Ďakujem
To je dosť pracné pri tisíckach zariadení.
Vždyť se to stane samo, v případě IPv6 adres. V případě DNS – pokud nebudete používat lokální nebo místní adresy a pokud na to nebudete mít nějaký systém, kde jen změníte prefix – i když to budete udržovat v textovém zónovém souboru, akorát vyhledáte a nahradíte starý prefix nový prefixem.
Oproti zmene providera pri ipv4 je to ale pri ipv6 pracnejšie, pretože sa musí na inerných systémoch niečo meniť, pri ipv4 sa nemusí meniť nič. Napr. máte OT systémy kde je možná odstávka raz za 1 alebo 2 roky, potom firma môže meniť providera iba v tom okne, pretože musí zmeniť všetkým zariadeniam adresy. Spolupracoval som na projekte, kde sa kompletne prečíslovalo (robila sa subnetizácia) skoro 10 000 zariadení, museli sa osloviť všetci dodávatelia OT systémov a každý systém zanalyzovať a naplánovať jeho zmenu. Neviem si toto predstaviť realizovať, len kôli zmene providera. Zmena providera pri ipv4 môže nastať kedy sa firme zachce. Ja som zástanca ipv6, len ma zaujímaju odpovede na určité otázky a aj toto je možno jeden z dôvodov, prečo sa firmy nehrnú do ipv6.
Možno je najednoduchšia odpoveď na to použiť len iterné ipv6 adresy pre takéto zariadenia, ale potom pri prístupe na internet robiť SNAT, ale nemalo byť ipv6 riešenie, ktoré zruší NAT?
No, kdyz se pouzivaji zarizeni, kde jsou adresy natvrdo zadratovane tak, ze jste odkazan na sve dodavatele, tak to ale neni chyba protokolu. Spis bych premyslel o tom, jestli ten dodavatel nehazi klacky pod nohy. Zacal bych ale u toho, zda opravdu musi mit vsecky ty zarizeni adresu pevne zadratovanou v sobe. To je takovy navyk, co pretrvava urcite vice jak 30 let, protoze se to tak proste vzdycky delalo. A treba u provozu, kde se hraje na odstavky jednou za 1-2 roku, opravdu tam vsecko potrebuje komunikovat do verejneho internetu? Aneb to je take o tom trosku se u toho navrhu zamyslet. Pokud mluvite o deseti tisicich zarizenich a soucasne rikate, ze vsechno bouchate rucne... pak bych rek, ze chyba bude asi nekde jinde.
Pokud se bavíme o industrial OT - Operation Technology - tak jsou to např. nějaká PLC a související zařízení třeba na nějaké lince. Na jedné větší lince jich mohou být vyšší stovky, v jedné větší hale máte 10+ linek, a už se blížíme k 10000 na site, jakých má takový firma globálně desítky.
Nepotřebuje vše komunikovat do internetu, ale mj. potřebujete se skoro vším komunikovat ze serverů. Už kvůli monitoringu, diagnostice, ...
Aktuální state-of-the-art v této oblasti jsou aplikační protokoly jako PROFINET nebo EtherNet/IP. A samozřejmě ruční pevná konfigurace všech adres je prostě best practice v této oblasti techniky. Část zařízení třeba DHCP neumí ani na IPv4. Často IP adresy, nebo třeba jejich poslední byte, prosakují do hloubky aplikační logiky a žádné lepší řešení na to u daného vendora není. Konkurenční vedor má zase jiné speciality, nepomůžete si. Můžeme se bavit, jak je to koncepčně celé špatně, ale na takových technologiích jede celý průmysl, nemáte moc na výběr, má to ohromnou setrvačnost.
Člověk najde papery jak u těchto protokolů uvažují o použitelnosti nad IPv6. Nicméně reálné produkty, aktuálně uváděné na trh, mají podporu IPv6 obvykle žádnou, což platí pro všechny největší výrobce.
Trouble je, že dodavatelé/integrátoři zařízení, kde jsou tyto technologie použity, mají často nějakou jinak těžko dostupnou doménovou znalost, ale kompetence v IT minimální. A je to jen jedno z mnoha kritérií podle kterého dodavatele vybíráte. Akceptace změn souvisejících s přechodem z IPv4 na IPv6 je v tomto prostředí ještě nesrovnatelně pomalejší a komplikovanější než v "čistém" IT/network prostředí. Řekl bych tak 10-20 let pozadu.
Představíme-li si, že toto nějak překonáme, pak je dotaz výše správný. Jaké IPv6 adresy používat pro komunikaci těchto OT zařízení, a jak je managovat? S ohledem na možnost změny prefixu sítě.
Má to spoustu implikací napříč životním cyklem těchto zařízení. Např. je žádoucí, aby části té technologie byly schopny fungovat i bez vnější sítě, třeba při údržbě. Na to by mohly být fajn link-local adresy, v kombinaci třeba s LLMNR. Pro komunikaci "zvenku" pak asi DHCPv6 podle hostname nebo circuit-id. Nebo RA + registrace do DNS. Nebo RA + pevně konfigurovaná adresa v rámci sítě. A podle prostředí buď ULA adresy, nebo globální. V této oblasti nás konsolidace podporovaných technik napříč různými výrobci zařízení teprve čeká.
No, takze TL;DR privatni IPv6 na tech PLC nicemu neuskodi. V ramci lokalni site neni problem kombinovat routing verejne routovatelnych a tech privatnich adres - tak aby se ty PLC na servery dostaly. A ven to stejne riznete na firewallu. Tam verejky proste nepotrebujete.... a nejspis ani ten NAT.
Ano, svet PLC je... vzato zejmena optikou bezpecnosti jeden velky prusvih a tikajici bomba. Vesmes jde o zarizeni, to driv komunikovala jinak - a ten ethernet a IP stack se tam nejak narychlo dobastlil - coz presne ilustrujete sam. Ale ze "se to tak dela" fakt neznamena, ze se s tim mame smirit. Negativni publicita smerem k danym vyrobcum je vice nez na miste. Nebo snad budeme obhajovat bastly kolem sebe? ;-) Jo, v IT to je moda... ale kdyby vam nekdo stejnym stylem postavil barak, asi byste prskal.
A ano, do IT fusuje dnes kdekdo. Uz pred dvaceti lety jsem si delal srandu z toho, ze za schopneho ajtaka se povazuje kazdy, kdo v instalatoru Windows zvlada mackat tlacitko dalsi. A od te doby se to akorat prohlubuje. A tihle diletanti pomahaji i tomu, ze na vyrobce neni vyvijen dostatecny tlak. Proste se metodou Ctrl/C-Ctrl/V neco naucili a doufaji, ze s tim vyziji az do penze. A samozrejme se to dost pere s tim, ze spousta veci se resi stylem "hlavne levne", kdy se osidi ta technologicka cast - jen aby zbylo vice do vlastni kapsy.
Změna ISP při IPv6 může nastat, kdy se vám zachce. Můžete mít dokonce více ISP současně, můžete mezi nimi různě přepínat, můžete komunikaci některých zařízení směřovat přes jednoho a jiných zařízení přes jiného. IPv6 je v tom mnohem pružnější, než IPv4. Například od začátku bylo IPv6 navrženo s tím, že jedno zařízení má více IPv6 adres. U IPv4 je to možné také, ale vzniklo to způsobem „aha, to také jde“, nebylo to něco, s čím by se počítalo od začátku ve všech aspektech.
Nevím, proč pro změnu IP adresy potřebujete odstávku, ani proč přečíslováváte nějak ručně.