Názory k článku Už i v Africe docházejí IPv4 adresy
-
Sten (neregistrovaný)
Co máte za operátora, že používá NAT? T-Mobile i Vodafone přidělují veřejné IPv4 adresy. U O₂ nevím, ale protože sdílí síť s T-Mobile, očekával bych, že také bude přidělovat veřejné IPv4 adresy. AFAIK nasazení CGNATu mobilní operátoři ani neplánují, je to velká a zbytečná investice. Zatím mají adres nasyslených dost, ale až začnou docházet, prostě přejdou u novějších telefonů na IPv6 (464XLAT pro Android a Windows, NAT64 pro iOS a Sailfish).
-
-
Trident (neregistrovaný)
To ze se sdili BTS a BSC neznamena ze se sdili MSC nebo GSGN/SGSN/MGW. Navic ten hw muze byt nastaven na vice APN pro vice siti a subjektu naprosto nezavisle. Takze to ze nekdo sdili sit neznamena ze bude mit stejny setting a podobne sluzby. A vubec to taky neznamena ze uz treba na urovni BSC to neodboci na dve strany. Co je to tady zas za existence s takto blbymi napady?
-
M.AT (neregistrovaný)
O2 a IPčko je 100.77.51.xxx/29, akže ani O2 v záklu nedává veřejku, ale na rozdíl of TMO a VDF používá aspoň segment IPček k provozu z CGNAT bránou (100.64.0.0/10).
Jinak u většiny operátorů jde veřejka pořídit za nějaký příplatek (pomiŇme případy, k mobil je nastavne pro přímé napojneí někam jinam, pak má IP, kteoru mu přidělí protistrana). -
BobTheBuilderStříbrný podporovatelOperátoři to nemůžou zase tak moc ovlivnit, dost záleží i na systému mobilního zařízení. Když použije IPv6, tak jak vyřeší mobilní hotspot? Dost pochybuju, že každému zařízení dají celou síť (i když by stačil prefix /64 - ale zařízení by muselo umět delegaci prefixu... poměrně složité pro daný účel), spíš to bude chtít NAT64 - ale to je věc systému v mobilním zařízení.
-
Ondřej CaletkaZlatý podporovatelPokud vím, tak konsenzus ohledně tetheringu je používat NDP-proxy, tedy stejný prefix na „WAN“ i „LAN“ straně a host-route směrem ke každému zařízení na LAN straně. Pro malý počet zařízení to asi může fungovat a hlavně to nevyžaduje spolupráci od operátora (ti by měli rádi tethering pod kontrolou a nabízeli ho jen u dražších tarifů).
-
Z (neregistrovaný)
Mám na kolejích pevnou veřejnou IPv4 adresu, na které nemůžu mít spuštěnou víceméně žádnou službu, kvůli pravidlům pro používání sítě. Ta IPv4 má reverzní DNS záznam na moje příjmení a její jediné využití je, aby mě bylo snazší klepat na internetu přes prsty. Klidně bych Vám tu IPv4 adresu přenechal a bral Váš NAT.
Nevím, jak si představujete stav, kdy každý má veřejnou IP adresu vy, ale já si ho představuji jako dost podobný situaci, kterou právě zažívám.
Mimochodem, jaké využití má veřejná statická IP na telefonu? -
Ondřej CaletkaZlatý podporovatel
NAT anonymizuje jen naoko. Ve skutečnosti má jeho provozovatel stále možnost (a často i povinnost) monitorovat, který uživatel, kdy co dělal. Tedy ve vašem případě byste na tom byl za NATem úplně stejně, jen by s vámi admini měli víc práce, protože by museli všechny stížnosti řešit a dohledávat ručně.
-
Z (neregistrovaný)
A četl jste si vůbec, co jsem tu kde napsal?
Dovolil bych se citovat:
"Nechci, aby běžní lidé (=kdokoliv krom policie, armády, tajných služeb a mého ISP) dokázali poznat čistě na základě času a IP adresy, zda jsem něco někde na internetu psal já, nebo ne."
Něčí dotaz na policii nebo mého ISP mi nevadí, pokud se to nebude dát dělat automaticky a velkoplošně. -
Filip JirsákStříbrný podporovatelNechci, aby běžní lidé (=kdokoliv krom policie, armády, tajných služeb a mého ISP) dokázali poznat čistě na základě času a IP adresy, zda jsem něco někde na internetu psal já, nebo ne
To ale vůbec nezáleží na vás. Píšete zřejmě o webu – a tam je to na libovůli provozovatele webu. Když nebude chtít, vaši IP adresu nebude zveřejňovat. Když bude chtít, tak vás identifikuje, bez ohledu na to, že jste za NATem s jinými uživateli. Ostatně, na identifikaci osoby většinou stačí samotný text komentáře. -
nou (neregistrovaný)
Ale tak mat meno v reverznom DNS zavana porusenim ochrany osobnych udajov. Totiz IP adresa je povazovana za osobny udaj ak je nou mozne identifikovat konkretnu osobu. Ak tam existuje reverzny DNS zaznam s menom tak tu ta identifkacia ocividne existuje. Preto by som sa informoval na nejakom urade o ochrane osobnych udajov.
-
Petr M (neregistrovaný)
Co na tom chceš nastavovat, mimo firewall? To je právě výhoda IPv6, že nemusíš řešit rozsah adres pro DHCP za NATem, tunely skrz NAT, VPNka a podobný kraviny.
Router se nakonfiguruje sám na základě toho, co mu sdělí síť od ISP
Zařízení se nakonfiguruje samo na základě dat od routeru.
Co potřebuješ, je jenom zařízením přidělit nějakou zapamatovatelnou adresu za prefixem, pokud s tím budeš pracovat nějak ručně. A pokud z nich chceš ven, tak zkontrolovat, jestli je vynucený IPSEC a povolit jeho vystrčení ven na firewallu. A tím to hasne, protože zařízení šifruje a je viditelný z celýho IP6 netu, takže VPN vlastně ani nepotřebuješ.
A ohledně VPN, standard je vygenerovat si u ISP větší prefix a udělat tam několik sítí, ty pak "propojíš" standardně na routeru. A běhá to i na nemanagovaným switchi. Zařízení prostě dostane podle DUUID prefixy sítí, do kterých smí. Takže na co vlastně VLAN? Jenom nesmí být ISP debil a musí přidělovat podle RFC.
-
Petr (neregistrovaný)
Cože? Na co VLAN a VPN je kravina? Určitě nechci, aby ta hromada zařízení s pochybným fw/sw, co mám, byly viditelné z celého IP6 netu. VPN je jediný správný způsob jak lézt z venku do LAN. Jasně definované VLANy mám na to, že zařízení podle stupně jak jim věřím mohou vzájemně komunikovat nebo se vzájemně byť jen vidět (i v rámci jedné VLAN), (ne)mít přístup na inet atd. S takovou argumentací zastánců IP6 se vůbec nedivím, že to nikdo nechce a lidi chtějí současný NAT.
A to co jsem popsal se dá definovat jen v IPv4, respektive všechny návody popisují jak to udělat v IPv4, v IPv6 se člověk setkává akorát s podobnými výkřiky, jak to je blbost a všechno bude rovnou přístupné z venku. Starat se o zabezpečení jednotlivých nezabezpečitelných zařízení, to určitě... -
Petr M (neregistrovaný)
Otázka je, proč přes VPN lezeš do konkrétní sítě.
1) Proto, že se chceš šifrovaně připojit k nějakýmu stroji. Pak stačí mít možnost šifrovat (podporováno IPv6) a vidět to zařízení ze současné pozice (= veřejná IP adresa) a připojíš se přímo. Jenom řekneš firewallu, že tohle zařízení má povoleno poslouchat zvenčí ten a ten port a hotovo.
2) Proto, abys se na cestách mohl chovat stejně, jak doma a měl všechno k dispozici. Na tohle existuje automatická finta, že si zařízení na cestách ponechá svou IPv6 adresu z domova, kontaktuje svůj router a sdělí mu, ve které síti se nachází. A veškerý traffic na tvou domácí IP adresu jde najednou na tvůj stroj v cizí síti. Stejně tak ostatní z domácí sítě tě vidí, jako kdybys byl doma. Dokonce i ti zvenčí, tvůj router ti přepošle první paket a jim sdělí, že sedíš v jiné síti a už to jde rovnou tam. A nemusíš nic konfigurovat, funguje to "samo". IPv4 to neumí, nemá dost adres.
3) Potřebuješ protunelovat NAT. Ten na IPv6 nemáš, pokud nejsi blbý, takže tam VPN postrádá smysl. Naopak, protuneloval bys firewall a návštěvník by si mohl dělat, co chce. A to zase asi nechceš ty.Tak proč se mordovat s konfigurací nějaké VPNky?
-
MP (neregistrovaný)
Takze pokud tomu rozumim, tak by to znamenalo:
1] servery, ktere nemaji byt pristupne zvenci budou pristupne zvenci plus bude se muset podle potreby modifikovat firewall na potrebne sluzby. Oproti tomu, pri VPN do konkretni zony jsou veskere sluzby povolene. Zadne zjistovani, kdo ma jakou IP adresu v IPvX (ano, lze resit certifkaty, ale...).
2] jak tohle funguje pres firewally? -
Až to nastuduješ, tak pro tebe mám jednu dobrou zprávu. Při nákupu levných soho routerů kupuj vždy dva, zapojuj je za sebe do série a vnitřní síť buduj až za tím druhým. Jen musíš každému nastavit jiný rozsah na LAN, což by mohlo být výrazně jednodušší, než si koupit jeden a nastavit na něm FW :D Tím se zbavíš nejjednodušší cesty prolomení NATu z venku :D
-
Což mě přivedlo na skvělou myšlenku... projekt "Lama NAT super secure router/firewall". Bude to 8/16/24 portové zařízení (home, small business, enterprise), ve kterém budou interně první dva porty switch, třetí bude za jedním natem, čtvrtý za dvěma, pátý za třemi atd. Čím dál člověk zapojí LANku, tím bude zabezpečenější :D Asi zkusím crowfunding, když tak vidím, kolik lidí má zcela mylné představy, mohl by to být trhák... Turris by se měl začít třást strachy :D
-
Ano, je to přesně tak! Možná ani nemusím vyvíjet HW a asi ještě poupravím obchodní model. Vše poběží na stejném HW, MiktoTik CRS-125 a se správným nastavením by to mělo tak nějak fungovat. V základu budou enablované pouze 4 porty a na každý další bude licence zvlášť :D Pravda, nebude to zcela oddělené, ale to nevadí, to nikdo nepozná, NATy proběhnou :) Jen mám trochu obavu o výkon, už jsem to MK viděl nastavený jako poměrně komplexní router s FW a moc to nedával... asi ví, proč tomu říkají router switch a ne jen router... :D
-
dizzy (neregistrovaný)
fascinuje ma, ze uz minimalne 10 rokov citam stale dookola o bliziacej sa apokalypse sposobenej vycerpanim IPv4 adries, ktore sa urcite najneskor do dvoch rokov minu a obavam sa ze to iste budem citat este dalsich 10 rokov....
...bunker mam postaveny, zasoby nakupene a stale nic ;-) -
karel (neregistrovaný)
staci se podivat na
https://en.wikipedia.org/wiki/List_of_assigned_/8_IPv4_address_blocks
-
Ondřej CaletkaZlatý podporovatel
Ten seznam na Wikipedii není úplný. Třeba tam úplně chybí blok 147.0.0.0/8, ze kterého jsou přiděleny Legacy Class-B bloky českým univerzitám (ČVUT, VŠCHT, TUL, ZČU, MUNI, Akademie věd…).
-
Filip JirsákStříbrný podporovatel
staci aby vratilo par americkych univerzit svoje mega rozsahy a bude mam to stacit na hezkych par let
Nebude, IPv4 adresy tak, aby nám stačily, došly už dávno. A nezachránily by to žádné „skryté“ rozsahy. To, co dochází dnes, jsou IPv4 adresy alespoň pro nouzové používání IPv4 protokolu. -
Filip JirsákStříbrný podporovatel
„Aby nám stačily“ znamená, že každý dostane tak velký rozsah, o jaký si řekne – aby mohl všem svým zařízením přidělit IP adresu a zároveň mohl IP adresy strukturovat do podsítí podle své potřeby.
Že je „vyplácaná“ sedmina celého IPv4 rozsahu je hodně málo, když by dnes bylo potřeba několik rozsahů IPv4. Vždyť kompletním IPv4 rozsahem byste nepokryl ani mobilní telefony.
-
Z (neregistrovaný)
Chci rozsah 2^256 IP adres. Vida, mně nestačí ani IPv6. Co budeme dělat?
Vycházíte z toho, že každý jeden uživatel veřejnou statickou IP chce, což se mi nezdá.
Naprostá většina lidí nemá pro ni nemá (nejen) na mobilu využití. A může se stát, že někteří lidé (třeba já) dokonce někde dostanou veřejnou statickou IP z donucení i přestože o ni nestojí a raději by byli s dynamickou IP za NATem. -
Z (neregistrovaný)
Já narážel na to, že ty IP adresy jsou nesmyslně promrhané.
Věcem co popisuješ obvykle stačí mít forwardovaných několik málo portů do vntřní sítě. Takže by stačilo, kdyby ISP dali každému klientovi pár "veřejných portů" na statické veřejné IP adrese sdílené s více uživateli, ze kterých si mohou věci forwardovat k sobě do sítě podle toho, jak si to nastaví v nějakém pěkném webovém rozhraní. -
Ondřej CaletkaZlatý podporovatel
A proč by někdo měl implementovat takovou složitou logiku, která navíc bude funkční jen se dvěma, třemi transportními protokoly, kterých je jinak nejméně 20?
Co když některý ze zákazníků vygeneruje ICMP zprávu, která žádné porty nemá? Podobných problémů přináší NAT spoustu. Rozhodně to není něco, co by bylo jednoduché, funkční a neomezeně škálovatelné.
-
Ondřej CaletkaZlatý podporovatel
Ty protokoly tvoří naprostou většinu komunikace na internetu, stále ale existuje spousta věcí, která s nimi nevystačí.
ICMP zprávu může vygenerovat kterýkoli uzel na cestě, například z důvodu překročení velikosti MTU linky. Dané zprávy se potom týkají celé IP adresy, takže buď je NAT propouštět (a upravovat) nebude a některé věci se mohou rozbít, nebo je naopak NAT propouštět bude a tím otevírá potenciál pro DoS, kdy jeden zákazník bude odesílat ICMP zprávy, kterým znemožní komunikaci někomu jinému za stejným NATem.
-
Z (neregistrovaný)
Moment. Když má můj počítač s veřejnou IPv4 otevřených více TCP/IPv4 spojení s jedním serverem a několik spojení s dalšími servery a dojde mi zpráva ICMP MTU exceeded, jak poznám, ke kterému spojení se to vztahuje a co pak mám dělat? Co řešit to stejně?
Nestačilo by přehazovat v TCP/IP paketech don't fragment flag a tyhle ICMP zahodit?
Mimochodem, celý koncept MTU je při technologii přepojování paketů trochu obskurní záležitost, protože se vztahuje k vlastnostem cesty někde, kde nic jako cesta neexistuje.
-
M. (neregistrovaný)
Pokud problém MTU vyřeším tak, že shodím flag don't fragment, paket fragmentuji a pošlu dál, tak to fungovat nemusí, protože třeba cílový IP stack neumí skládat frgmenty dohromady. Klasicky je to třeba nějaký embedded krám s omezenými prostředky, to je velice častý případ, pokaždé nekomunikují spolu PC obludy. :-)
Uvnitř ICMP paketu je datová část, kam se vkládá začátek paketu na který se reaguje tím MTU exceeded, takže dle toho si pak můžu přiřadit, které spojení to způsobilo, pokud ta ICMP zpráva dorazí korektně zpět. -
Co se týče té části packetu uvnitř ICMP packetu: teoreticky je možné se podle toho rozhodnout, prakticky to může být často neimplementované (viz.: https://blog.cloudflare.com/path-mtu-discovery-in-practice/ ), z různých důvodů (například to může být případ, kdy ten packet musí jít přes procesor místo aby šel nějakým rychlým asicem).
-
Filip JirsákStříbrný podporovatel
Já narážel na to, že ty IP adresy jsou nesmyslně promrhané.
Jenže to je úplně jedno, protože i kdyby nesmyslně promrhané nebyly, stejně by to bylo k ničemu – protože byste těch adres potřeboval řádově víc.Věcem co popisuješ obvykle stačí mít forwardovaných několik málo portů do vntřní sítě.
K čemu je dobré řešit, které adresy a porty potřebujete forwardovat a které možná ne? K čemu je dobré, že mají stroje jiné IP adresy z vnitřku sítě a z internetu, takže to musíte obcházet v protokolech, musíte kvůli tomu kazit DNS? Pořád popisujete, že něco stačí, že je možné někde něco udělat navíc, koupit další zařízení, něco navíc analyzovat a rozmýšlet – ale jaký je přínos těchhle nákladů vynaložených navíc oproti situaci, kdybych prostě zařízení přidělil IP adresu a neřešil bych nějaké tunelování a přepisování a další nesmysly? -
Filip JirsákStříbrný podporovatel
Vycházíte z toho, že každý jeden uživatel veřejnou statickou IP chce, což se mi nezdá.
Proč by měl chtít cokoli jiného? Cokoli jiného je jen zbytečná komplikace, která nic pozitivního nepřinese, jsou s ní spojené pouze náklady.Statickou IP adresu sem nepleťte, to s tím nijak nesouvisí. Navíc většina chytrých mobilů je zapnutá trvale, takže ty IP adresy budou mít přidělené – tím, že se adresa přiřazené mobilu může změnit nic neušetříte.
raději by byli s dynamickou IP za NATem
Nikdo nechce být raději za NATem, protože z toho nemá žádný užitek, jenom komplikace. -
Z (neregistrovaný)
Vašeho nejčernějšího scénáře bych se nebál. Nevyjde to tak strašně, jak by se mohlo zdát, jen je potřeba napsat implementaci BGP efektivněji.
Když si to jen tak od boku spočítám: velikost /32 rozsahu je 2^32. To znamená, že by si páteřní router musel držet 2^32 záznamů. Počítám, že by mu ke každému stačilo držet si čtyři bajty informace (nepředpokládám, že by to v páteři forwardovalo na více než 256^2 serverů, a řekl bych, že si BGP vystačí s dvěma bajty na uložení zbytku informací (počet hopů a třeba ještě něco dalšího).
2^32 * 4 bajty = 1024*1024*1024*4*4 = 16GB. Neboli i na vyřešení nejhoršího scénáře stačí routeru přikoupit 16GB RAM v rámci kterých bude server schopen určit, kam packet forwardovat na jeden dotaz do paměti. (protože přirozeně nebude těch 2^32 záznamů procházet sekvenčně, ale přímým skokem na správné místo v paměti.)
To mi nepřipadá tak hrozné. Po síti se ta data podle mě moc tahat nebudou, protože ty IP adresy se nepřesunují tak rychle, první start proběhne jen jedinkrát. Potom už se celá směrovací tabulka dá cacheovat na disk... Navíc mezi BGP routery jsou celkem slušné linky, takže ani přelít pár giga dat není oproti dřívější době problém atd. -
j (neregistrovaný)
Aaaa mame tu dalsi ukazku typickeho tupce kterej nema ani sajna o tom ja veci fungujou ....
Ale jo, ono ti jiste nebude vuubec ani tochu vadit, ze tvymu bgp bude trvat mesic, nez se nauci novou cestu ... ono se ji teda nenauci vubec, protoze ona se mezi tim zmeni jeste nekolikrat ... Mno a hlavne, vsici ISPci zahodej svy krabice za miliony ... a pobezej si koupit novy krabice, za desetimiliony, co natom, ze se tim nevyresi vubec nic, ale hlavne ze budou moct routovat i /32 ...
-
Z (neregistrovaný)
-1
Tu urážku sis mohl odpustit.
Netvrď mi tady, že se běžná IP adresa přesunuje několikrát do měsíce.
ISP nepotřebuje mít představu, jak vypadá rozdělení IP adres na celém světě. Jeho zajímá, s kým má přímý peering a s kým musí komunikovat přes páteř. To požadované množství informací velice zmenšuje. (Konkrétně na zapamatování si těch pár milionů adres, které mají lidé, se kterými má přímá spojení, což jsou řádově megabajty dat.) -
Petr M (neregistrovaný)
Právě že pokud má konektivitu přes několik linek, potřebuje pro každou cílovou síť vědět, kam to směrovat. Tzn. mít přehled, kterou lajnou to jede nejrychlej a v reálným čase rozhodovat.
Pokud teď routuju řekněme na 200.200.150.100, vím, že platí pravidla pro 200.200/16. Před deseti minutama se někdo spojil s 200.200.150.37 a nejlíp to valí po lince #4. Můžu rovnou předat.
Když to víc fragmentuju a IPčka budou náhodně po světě, tak zjistím, že 200.200.150.100 nemá definovaný pravidlo a hledám znovu celou cestu, protože tuhle síť tenhle týden ještě nikdo nekontaktoval... Latence jak kráva a eviduju 4000M záznamů.
A ono to není o tom, že se udělá statická tabulka s číslem portu, kam to přehodit. Na úrovni BGP existují záložní trasy, každý záznam má čítač pro timeout (a ono každu ms dekrementovat čítač pro 4mld nebo 65k sítí je trochu rozdíl).
A dokážeš si představit ten režijní traffic, co se povalí páteří, aby si všichni očuchali trasy? Brrr
Ty firmy to mají rozdělený na A.B.C.D, kde to A je přidělený prefix, B je kód oblasti C je oddělení, D je konkrétní stroj (čísla nemusí mít 8b). Uvnitř se routuje transparentně:
A je naše? Zůstává uvnitř fitrmy, jinak předej ven.
B je naše? Zůstává na pobočce, jinak to hoď do příslušnýho tunelu na jinou pobočku.
C je naše? Nedělej nic (je to v LANce), jinak přepošli na router odpovídajícího oddělení.
D řeší switch.Bylo by tak fajn, kdyby tohle šlo i v globálním netu. Mít dlouhou adresu, ke je v prefixu kontinent, země, isp, jeho zákazník, síť zákazníka a konkrétní stroj... Routování jednodušší, než teď a adresa by při tom vyšla na každou krabičku.
-
Ondřej CaletkaZlatý podporovatel
Teď ještě vymyslet, jak v těch 16GB efektivně vyhledávat. Většina páteřních routerů k tomu používá nějaký typ CAM paměti, obávám se, že ty se v takových velikostech ale nevyrábějí.
-
Petr M (neregistrovaný)
Jo, ale neseženeš tak velkou a rychlou paměť, co by ti to vyblila v reálným čase. V téhle kapacitě jsou jenom DDR SDRAM a ty se na toto moc nehodí.
Cyklus 1: Nastavení adresy řádku
Cyklus 2: Nastavení adresy sloupce
Cyklus 3-8 (pro rychlou CL6): čekání
Cyklus 10: Hurá, na sběrnici jsou data -
Petr M (neregistrovaný)
Co vyhledávat, ale aspoň vymyslet, jak to číst. V rychlosti na páteři už je poznat i délka spojů menších pamětí na desce.
SRAMka v téhle kapacitě není dostupná (resp. když 1b zabere 4x větší plochu na čipu, tak by byla pekelně drahá a ještě z hodně brouků).
DRAMka má strašný režie. U grafiky nebo operační paměti podpořené cache se to dá skousnout a používat bursty, ale 16G s extrémně rychlým a opravdu náhodným přístupem je furt trochu mimo.
-
BGPbob (neregistrovaný)
Ano, a ISP to stojí poměrně hodně úsilí, aby se apokalypsa co nejvíce oddálila. Je v pořádku, že jste žádné projevy nezaznamenal, protože to je cílem veškerého snažení všech těch odborníků a techniků.
Ano, ještě hezkých pár let budete podobné články číst. Ale sám nejspíš žádný problém nebudete muset řešit. Díky tomu, že se tomuto problému věnují desítky tisíc jiných lidí ;)
-
Petr M (neregistrovaný)
A čemu to pomůže, když je adres míň, než domácností, připojených na net? A s tím, jak začíná IoT a NAT se blbě tuneluje, se situace jenom zhoršuje...
IPv4 bylo fajn, zvládlo toho hodně, ale už je v bodě, kdy je čas ho poslat do šrotu. Vrakouš byl taky fajn auto, dobře sloužil, ale dvacetiletý stroj už nějak nemělo cenu udržovat při životě (a teď mám jako bonus ABS BSP, klimu,...). Když jsou náklady vyšší, než jejich přínos, je čas změnit řešení, i když kdysi bylo to nejlepší, co se dalo použít.
-
holomek (neregistrovaný)
V podstatě ti,kteří to mají změnit pořád brečí že to mají změnit ;-) Nebo to mám měnit já, jako nějaký tuctový zákazník nějakého tuctového ISP? Ale hádat se o síťovou neutralitu, aby si mohli mastit kapsy $?/GB to jde raz dva. Jaký má smysl pořád brečet že ipv4 dochází, stále ho nabízet a stále nic neměnit/netlačit? Kdyby to bylo takové to kolečko před rozdělením dotací, ok, ale žádné dotace na to nebudou, ne?
-
Filip JirsákStříbrný podporovatel
Já se jenom děsím toho, že nějaký ISP dá routeru za 750,- mého dědy ipv6 a přímý přístup z netu . . .
U IPv4 vám to nevadí? Proč? -
Filip JirsákStříbrný podporovatel
To, že domácí router nemá veřejnou IPv4 adresu, neznamená, že by nebyl dostupný z internetu. Už to tu bylo vysvětlováno mnohokrát a myslím, že jste u toho nechyběl. Tím, že před tím budete zavírat oči, to nezměníte.
Jinak u pevného připojení jsem se s předělenou IPv4 adresou z privátního rozsahu setkal jen u jednoho spolku, všichni ISP, od kterých jsem měl v domácnosti internet, přidělovali veřejné IPv4 adresy. Např. momentálně píšu ze sítě UPC a modem/router má přidělenou veřejnou IPv4 adresu.
-
NULL (neregistrovaný)
Kecy. Můžeš mi tedy ukázat, jakou ipv4 adresu si mám na svém ipv4 routeru zjistit, abych se k němu mohl připojit z přímo z netu odkudkoliv tak, jako mi to umožní ipv6 pokud nebude za NATem, terý bude sypat jenom lokální adresy? Jinak se vlastně ani nemusíš obtěžovat odepisovat.
"A to jako proč? Já se jenom děsím toho, že nějaký ISP dá routeru za 750,- mého dědy ipv6 a přímý přístup z netu . . ."
-
Filip JirsákStříbrný podporovatel
Rozlišovat „přímo“ a „nepřímo“ má smysl pouze z pohledu oprávněného uživatele, pro kterého „nepřímo“ představuje zbytečnou komplikaci. Když řešíte útočníka, je vám úplně jedno, zda vás napadne přímo nebo nepřímo, protože důsledky to bude mít úplně stejné.
Jakou IPv4 adresu máte použít, to záleží na tom, jak vypadá konfigurace sítě. Pokud váš router máte za NAtem, IP adresu, přes kterou je dostupný, nezjistíte na vašem routeru. Může to být IP adresa vašeho ISP, může to být IP adresa někoho, kdo je za stejným NATem, jako vy.
Už vám tu bylo mnohokrát vysvětlováno, že NAT přístupu nezabrání. K zabránění přístupu je potřeba firewall, ať už ve vašem routeru, nebo na straně ISP. Vy pořád akorát spoléháte na to, že vás chrání váš ISP. Úplně stejně tedy můžete předpokládat, že vás bude chránit i s IPv6.
-
NULL (neregistrovaný)
Zase jenom kupa keců.
Veřejná ipv4 adresa je normální pojem, kterému až na tento tvůj výstup samozřejmě dobře rozumíš, a umožňuje přímý přístup z internetu (přesně z WWW).
V ČR je několik mil. domácností. Máš pocit že má každá věřejnou ipv4 adresu aby jsi k jejich routeru (klasická domácí síť) mohl lézt přímo z WWW ? -
Filip JirsákStříbrný podporovatel
Veřejná IPv4 adresa je normální pojem, rozumím mu dobře, akorát vy jste psal o „přímém“ přístupu, což je něco jiného, než „veřejná IPv4 adresa“. Přímý přístup je váš vynález, nikdy jste nespecifikoval, co přesně tím myslíte. Ale pokud chápu dobře, co tím myslíte, pak to s veřejnou IP adresou moc nesouvisí – i když máte na vnějším rozhraní vašeho routeru privátní IPv4 adresu, může se někdo dostat přímo do vašeho routeru nebo do vaší sítě. A naopak, i když tam budete mít veřejnou IPv4 adresu, neznamená to, že do toho routeru existuje přímý přístup.
Máš pocit že má každá věřejnou ipv4 adresu
A to ale přece vůbec nejde. Podstatné je to, že i když máte od ISP přidělenou privátní IPv4 adresu a nepoužijete firewall, vůbec nezáleží na vás, zda do toho routeru existuje či neexistuje přímý přístup. Záleží to na ISP a taky možná na ostatních jeho zákaznících. Když váš ISP na tu vaši privátní adresu nastaví (třeba omylem) NAT 1:1 z nějaké veřejné IP adresy, nebo když to udělá některý z jeho zákazníků, je váš router dostupný přímo z internetu. A můžete dupat nožičkama jak chcete, že přece máte privátní IP adresu, a bude vám tou houby platné.umožňuje přímý přístup z internetu (přesně z WWW)
mohl lézt přímo z WWW
To určitě. Právě jste se odkopal, že o sítích nevíte vůbec nic. Zjistěte si nejdřív, co znamenají pojmy IP, TCP/IP, HTTP a WWW. Zatím to prostě berte jako fakt, že NAT vás před ničím nechrání. Říkají vám to lidi, kteří – na rozdíl od vás – o sítích alespoň něco málo vědí. Dokud si nenastudujete alespoň úplné základy, nemáte šanci jim oponovat, a je dokonce pravděpodobné, že mnoha argumentům ani nebudete rozumět. -
NULL (neregistrovaný)
Zajímavé. Tady jsi tomu ještě rozuměl taky:
"
Filip Jirsák 100 Bronzový podporovatel Dnes 13:17Já se jenom děsím toho, že nějaký ISP dá routeru za 750,- mého dědy ipv6 a přímý přístup z netu . . .
U IPv4 vám to nevadí? Proč?
"... pro předcházející komunikaci si laskavě přečti vlákno do kterého lezeš.
Pak proběhlo nějaké tvoje ťápání ale odpověď na to, kolik domácností má na routeru ipv4 veřejnou adresu jsme se stále nedozvěděli.
-
Filip JirsákStříbrný podporovatel
odpověď na to, kolik domácností má na routeru ipv4 veřejnou adresu jsme se stále nedozvěděli.
Až si nestudujete ty základy sítí, zjistíte, že na tom vůbec nezáleží. Klidně předpokládejte, že veřejnou IPv4 adresu nemá na domácím routeru nikdo. -
NULL (neregistrovaný)
To víš že záleží, ale jenom pokud ISP (pokud máš připojení přes ISP jako většina domácností) umožní, aby byla ta veřejná adresu z venku "viditelná". A bavili jsme se tu ve vláknu o tom, že by to s ipv6 umožnil a dělalo by se to standartně a ty jsi začal ťápat o tom, že to jde už s ipv4. Jde, ale nedělalo se to standartně, nedělá se to standartně a ani nebude. Takže u ipv4 to samozřejmě nevadí. S ipv6 se tu samozčejmě ta možnost naskytla skrz laciné rozsahy s ipv6.
Kdyby jsi napsal zrovna že sis ani nepřečetl vlákno do kterého píšeš a vůbec nevíš o čem jsme se bavili, mohli jsme si toto ušetřit. Nazdar. -
Filip JirsákStříbrný podporovatel
Výše už se vysvětlilo, proč vaše domněnky o IPv4 adresách a IPv6 neodpovídají realitě – protože neznáte základy toho, jak IP (internet protokol) funguje. Vlákno jsem si přečetl a vím, o čem jste se bavili – problém není na mé straně, problém je v tom, že vy nemáte dostatek znalostí na to, abyste pochopil, o čem je řeč. To, že tušíte, že existují nějaké veřejné IPv4 adresy, bohužel nestačí k pochopení podstaty toho, o čem se tu diskutuje.
Je to na vás. Můžete se poučit od lidí, kteří věcí o co jde, když vám vysvětlují, že privátní IPv4 adresa vás před ničím nechrání. A nebo si klidně dál myslete, že neznalost je vaše síla a že jste objevil něco, co přehlížejí ti, kteří fungování IP rozumí. Akorát vás musím upozornit, že pokud na vaše nápady bude někdo odpovídat, pravděpodobně se chce pobavit s obecním bláznem. Protože kdokoli, kdo je alespoň minimálně v obraze a přečte si váš komentář, kde si s vážnou tváří pletete internet a world wide web, spadne smíchy pod stůl – a pak už záleží jenom na tom, zda bude obecního blázínka ignorovat, nebo zda si z něj bude chtít vystřelit. Pokud vám to připadá netaktní, je mi líto, ale prostor pro to zalézt tiše do kouta jste měl – vy jste se místo toho pokusil zakrýt, že vůbec netušíte, která bije, a pokusil jste se to hodit na mne, že nevím, o čem je vlákno a že se na něco vymlouvám.
-
Samozrejme ze nechrani. Chrani vas firewall, ktery mate v tom routeru zapnuty a ktery oddeluje vnitrni adresy od vnejsich. To ze nedovedete (stejne jako ja jsem jeste nedavno nedovedl) rozlisit mezi NATem a firewallem, neznamena ze to je jedno a totez.
V defaultu totiz router nezajima co je vnejsi a co je vnitrni adresa, kdyz na nej z venku dorazi packet s dst IP do vnitrni site, tak ho dal preposle. Pak uz zalezi na vasem ISP, zda k vam takovy packet dorazi. A zase, jsou zde technologie (napr. source based routing), jak se daji i tato omezeni obejit. -
BobTheBuilderStříbrný podporovatel
Zase další, co nechápe rozdíl mezi potřebami uživatele (dostat se bez potíží na své služby odkudkoliv) a útočníka (dostat se někam kamkoliv jakkoliv, i nepřímo, a něco tam podstrčit).
-
. . (neregistrovaný)
NULL: Filip má blíže k pravdě než ty. Pokud jsi na internetu, je tvoje IP adresa z venku viditelná, tak funguje internet. Jen pokud jí nemáš veřejnou, sdílí jí s tebou více lidí a jste schovaný za nějakým NATem.
Pokud může webový server tobě poslat odpověď na tvůj požadavek o načtení nějaké stránky, může ti také nějaká data poslat útočník. Jak je tady zmíněno tisíckrát, NAT není silná bezpečnostní překážka.
Jediné co tě zajímá je firewall a ideálně zavření veškeré vnější komunikace.
-
. . (neregistrovaný)
argument typu, když to neumíš ty, neumí to nikdo je dost nebezpečný. Nejsem útočník a nemám důvod to dělat. Za NATem nejsi přímo adresovatelný, ping tedy logicky fungovat nebude. NAT tě ale nechrání před cizím přístupem.
Obecně stačí, abych tě donutil navštívit určitý server nebo udělat někam spojení, poté mám pootevřené dveře, abych ti mohl poslat data a tvůj router je bez problémů příjmul a předal dál, klidně na lokální rozsah.
Řada routerů byla napadnuta právě takhle, což mluví za vše. Dnes se prodávají hotová řešení, útočník nemusí znát složitosti za zneužitím slabiny, prostě je použije.
-
NULL (neregistrovaný)
@Tomáš2
Nechrání tě plně, ale taky tě přímo nevystavuje do WWW. To je ti snad jasné. Donutit něco navštívit můžeš, ale na co domácnosti a jejich 0,- routery a 0 znalosti oproti ISP vystavovat do přímo do WWW aby do nich neustále někdo bušil jako do serverů? Být "schovaný" za NATem je pořád aspoň trochu výhoda. Vzpomeň si třeba na rom0. Ano, přisli napadení i z lokálu, ano mohli být prolomeno i NATování, ale být tu domácí routery za 25,- veřejně ve WWW tak padly všechny do 2 dnů . . . .
-
NULL (neregistrovaný)
@Tomáš2
Jako mě by se třeba líbilo mít ipv6 i několik zdarma doma z veřejného rozsahu a využil bych to, ale by default bych to rozhodně nedával. Už tak se kolem routerů mých známých občas naběhám. A s tím napadením: Jenom si vem, kolik nákaz a jak nebezpečné jsou domácí wi-fi a ty by jsi to otevřel plně ještě i po drátě. . . .
-
. . (neregistrovaný)
od toho tady je ale firewall a řada ISP ho nasazuje, je poté si u nich požádat o povolení portů. NAT není od toho, aby něco chránil, i ty nejlevnější routery mají firewall a není jediný důvod ho nezapnout, bohužel bývá ve výchozím stavu vypnutý, což nechápu, já ho mám zapnutý i na mobilu.
Odstranit 99,9 % "bušení" není řešení bezpečnosti, ale jen nebezpečný pocit, že je vše v pořádku. Řada implementací NATu je dost nevhodná a routuje i to co nemá.
-
NULL (neregistrovaný)
@Tomáš2
"Odstranit 99,9 % "bušení" není řešení bezpečnosti,"
Jasně že není, ale dost toho odstíní, a je rozhodně lepší, když to odstíní ISP, než když to nějaký .... hodí přímo na uživatele . . .
O tom pocitu tady mluví akorát <Jirsák> a ty. Jediné co jsem napsal je v podstatě to, že nechci přidávat další díru do cedníku. Už jsi mi spoustu dalších děr popsal, ale pořád nevím, proč přidávat další možnou světu přístupnou díru. . .
-
Filip JirsákStříbrný podporovatel
Nechrání tě plně, ale taky tě přímo nevystavuje do WWW.
Už jsem vám to jednou psal. Když netušíte, jaký je rozdíl mezi internetem a world wide webem, nemáte dostatek znalostí na to, abyste pochopil, jak funguje NAT a že to není žádná ochrana. To není žádná urážka, to je prostě fakt. Když vám lidi, kteří o sítích něco vědí, tvrdí, že NAT vás před ničím nechrání, nezbývá vám, než ti přijmout jako fakt. -
NULL (neregistrovaný)
@Jirsák
Nech si ty svoje kecy. Speciálně kvůli takovým nechápačům když se jim to hodí aby mohli otravovat - jako ty, už dokonce píšu o WWW, protože si uvědomuji, že napsat jenom internet nebo net je jenom další záminka, pro takové ..... jako ty, přispěchat a začat dělat jak najednou nechápeš a jak je to všechno jinak
Ať se ti to líbí nebo ne, za NAT prostě není tak dobře vidět, adresy mohou být přidělovány náhodně a navíc se jejich rozsahy mohou krýt pro další subnety.
Nikdy jsem netvrdil že tě NAT před něčím chrání, s tím tady pořád dokola prudíš ty a omláš to jenom ty. Já jenom říkám, že za NATem nejsi přímo vystavený do netu (pro nechápavce kontextu a vlákna když se mu to hodí: do WWW).
Je jasné že ze síťě vedle na mě vidět asi půjde a půjde mě adresovat, ale už vidím, jak někde z Afriky pingneš moji 192.168.45.489. Ha Ha Ha - když se teda za NAT neschohvám. A pak si zkus pingnout 8.8.8.8 abys viděl, jaký je v tom rozdíl.+ Když je to jinak, tak tě vyzívám, aby jsi pingnul můj router od sebe z WWW, když je na mě teda za NATem vidět z WWW a vystavuje mě do netu stejně jako ipv4 přidělená z veřejného rozsahu (pro účelově nechápavého: pokud ISP umožní ji za NATem vidět). Ale klidně mě můžeš teda pingnout i z jiné sítě protože síŤ přece není jenom ta WWW. (ISP gateway máš za Nickem a moje ip je 192.168.20.103)
Přeju veselý ping (-pong) Jirsáku. -
j (neregistrovaný)
2Null to ze je jirsak pitomec neznamena,z e v tomhle pripade tu nejses za 10x vetsiho vola prave ty, protoze ma naprostou pravdu a NAT te nechrani ani trochu, Naopak, NAT razantne zhorsuje bezpecnostni situaci, protoze nastavit firewall tak, aby spravne fungovat s natem je nekolikabnasobne slozitejsi a BFUcka jako TY to naprosto nemuzou zvladnout.
Vubec nevis o cem zvanis, nevim proc bych neco nekde pingal, kdyz se ktomu muzu rovnou pripojit.
-
NULL (neregistrovaný)
Už jsem to asi rozluštil.
Zde
"A proč by neměla mít? Proč ty televize a ledničku nenechat přímo přístupné z netu? Tady jsi za natem ISPčka a to je nuda, ne?"
jsem měl napsat místo "jsi za natem ISPčka" tohle "jsi za natem (a samozřejmě firewallem) ISPčka"
a zde
"A to jako proč? Já se jenom děsím toho, že nějaký ISP dá routeru za 750,- mého dědy ipv6 a přímý (adresa) přístup z netu . . ."
-
Petr M (neregistrovaný)
Celou dobu tady žvatleš, že jsi a NATem dobře schovaný před útočníkem, protože nejsi vidět pomocí standardních nástrojů jako PING z jinýho kontinentu
Je to mimochodem stejná pitomost, jako tvrdit, že nemůžeš zemřít na otravu, protože u nás kobry nežijí...
V bezpečnosti neplatí, že pokud prokážeš neprůstřelnost pro jeden vektor útoku, tak útočník nepoužije jiný a jsi v suchu. Zkus chvíli pro změnu myslet jako zločinec, který chce třeba výkupný za zašifrovaný data, jedno od koho. Vážně je pro tebe NAT problém?
-
NULL (neregistrovaný)
@Petr M
"V bezpečnosti neplatí, že pokud prokážeš neprůstřelnost pro jeden vektor útoku, tak útočník nepoužije jiný a jsi v suchu."
Super, tak na co se starat. Existuje více vektorů útoku, tak ser.m na všechny. Práda . . . Kdybych se vrátil k tomu tvému "příkladu" s kobrou tak bych mohl říct: Když tě kousne kobra tak se otrávíš, tak už je to jedno, můžu si dělat co chci a sahat na kdejakého hada.
-
Filip JirsákStříbrný podporovatel
Existuje více vektorů útoku, tak ser.m na všechny. Práda . . .
Jediný, kdo tady propaguje tohle řešení, jste vy.Když si na routeru nakonfigurujete firewall, bude fungovat ať máte veřejnou nebo privátní IP adresu. Když budete „schovaný“ za NATem, musíte se spolehnout na to, že útočník není za stejným NATem, že neovládá nějaké zařízení za stejným NATem, že na vás nezaútočí váš ISP, že vám ISP nenamapuje nějaké porty z veřejné IP adresy na váš router, že to samé neudělá někdo, kdo má za stejným NATem namapované nějaké porty z veřejné IP adresy, že útočníkovi nepomůžete otevřít tunel v NATu sám (což se může stát snadno, když sítím nerozumíte – dokonce i kdybyste jim rozuměl, nemusíte si uvědomit, že daná činnost může otevřít průchod v NATu). A to si nejsem jist, jestli jsem na něco nezapomněl.
Vy si vůbec neuvědomujete vzájemné relace v tom, co je jak nebezpečné. První stupeň zabezpečení je, že musíte mít aktuální, bezpečný a správně nakonfigurovaný software. K tomu se jako druhý stupeň ochrany dá nakonfigurovat firewall – to už ale musíte vědět, co děláte. Když vás tedy chce útočník napadnout, musí nejprve znát nějakou zranitelnost v software, který používáte – a když už zvládne tohle, tak obejít NAT je proti tomu brnkačka. Už jenom proto, že nejsnazší bude zneužít nějakou zranitelnost skrze webový prohlížeč, no a s tím jste ten NAT už obešel sám, protože prohlížeč sám navazuje spojení do internetu.
-
Filip JirsákStříbrný podporovatel
už dokonce píšu o WWW, protože si uvědomuji, že napsat jenom internet nebo net je jenom další záminka
Není to žádná záminka. Napsat „internet“ nebo „net“ by bylo správně. Napsat WWW je totálně špatně. Možná si něco uvědomujete, ale pro tuto diskusi vám chybí základní znalosti. WWW je zkratka pro world wide web, nebo-li webové stránky. Je to označení pro informační médium, které pouze shodou okolností používá jako přenosový prostředek internet. „Dostupnost z www“ má asi tak stejný smysl, jako kdybyste řešil, zda je váš router dostupný z televize nebo z knihy.Ať se ti to líbí nebo ne
Nejde o to, zda se mi to líbí nebo nelíbí. Jde o to, že vy netušíte, o čem se diskutuje.za NAT prostě není tak dobře vidět
Problém je v tom, že to „není tak dobře“ útočníka nezajímá. Útočník nepotřebuje, aby za NAT viděl dobře, je mu stačí, když tam vidí aspoň nějak. Navíc zapomínáte na to, že útočník může být za stejným NATem, jako vy, takže na vás vidí výborně.Nikdy jsem netvrdil že tě NAT před něčím chrání
K čemu je tedy podle vás dobrý?Já jenom říkám, že za NATem nejsi přímo vystavený do netu
Ano, to tvrdíte, a to taky nikdo nerozporuje. Problém je to, že „není přímo vystavený do netu“ je nezajímavá vlastnost, není to žádné pozitivum, je to k ničemu.už vidím, jak někde z Afriky pingneš moji 192.168.45.489. Ha Ha Ha - když se teda za NAT neschohvám
To, že není možné pingnout neexistující IP adresu, neznamená, že jste schovaný.A pak si zkus pingnout 8.8.8.8 abys viděl, jaký je v tom rozdíl.
Vy si zkuste pingnout www.vlada.cz. To teprve uvidíte ten rozdíl. A pak zkuste pingnout 78.108.96.2. Víte, jaká IP adresa vám na ten ping odpovídá? 10.93.9.40. Pokud to nevíte, to je také IP adresa z privátních rozsahů, stejně jako 192.168.20.103. Gratuluju, právě jste prostřelil neprůstřelný NAT, a to přitom o sítích nevíte vůbec nic.Když je to jinak, tak tě vyzívám, aby jsi pingnul můj router od sebe z WWW,
To ovšem nejdřív budete muset vymyslet, co znamená „pingnout od sebe z WWW“.když je na mě teda za NATem vidět z WWW
Stále nechápete, že to, jak dobře budete za tím NATem vidět, vůbec nezávisí na vás, závisí to na vašem ISP.vystavuje mě do netu stejně jako ipv4 přidělená z veřejného rozsahu
Nevystavuje vás stejně, vystavuje vás jinak. -
NULL (neregistrovaný)
@Jirsák
"už vidím, jak někde z Afriky pingneš moji 192.168.45.489. Ha Ha Ha - když se teda za NAT neschohvám
To, že není možné pingnout neexistující IP adresu, neznamená, že jste schovaný."No, pravda, upsal jsem se a nevšiml jsem si toho 4 -> 1. Ale ty moc dobře víš co jsem tím myslel.
"10.93.9.40"
Co odpovídá je jedno - tak zkus pingnout 10.93.9.40 a uvíme jak ten NAT prostřelíš.
"To ovšem nejdřív budete muset vymyslet, co znamená „pingnout od sebe z WWW“."
Abys mě pingnul od sebe z kompu přes " „internet“ nebo „net“ " nebo odkud chceš, třeba tvůj server
MImochodem
" Např. momentálně píšu ze sítě UPC a modem/router má přidělenou veřejnou IPv4 adresu" - na co když je to přece jedno?
-
Filip JirsákStříbrný podporovatel
Co odpovídá je jedno - tak zkus pingnout 10.93.9.40 a uvíme jak ten NAT prostřelíš.
Ach jo, vy opravdu nechápete vůbec nic. Za tím NATem je je nějaký počítač, který má IP adresu 10.93.9.40. Kdybyste u něj seděl vy, chlubil byste se, jak jste schovaný za NATem a nikdo se k vám nedostane. Přitom ale na tu IP adresu je 1:1 mapovaná veřejná IP adresa.
Vy ignorujete, že útočník může být za tím NATem s vámi, nebo může mít pod kontrolou počítač, který je za tím NATem s vámi. Ignorujete, že existují techniky, jak se přes NAT dostat. A ještě navíc si myslíte, že když nevíte o žádném mapování z veřejné IP adresy na vaši privátní, že takové mapování neexistuje.Abys mě pingnul od sebe z kompu přes " „internet“ nebo „net“ " nebo odkud chceš, třeba tvůj server
A kde se tam vzalo to WWW? Už víte, co to znamená?na co když je to přece jedno?
On tu někdo tvrdil, že je to jedno? Já celou dobu tvrdím, že NAT je pro oprávněného uživatele zbytečná komplikace, ale pro útočníka to není žádná překážka. -
NULL (neregistrovaný)
"Za tím NATem je je nějaký počítač, který má IP adresu 10.93.9.40. . . . Přitom ale na tu IP adresu je 1:1 mapovaná veřejná IP adresa . . . "
A to tak má každý a každý ISP nebo jenom tento který jsi vybral, co? ;-)
"Ignorujete, že existují techniky, jak se přes NAT dostat"
A na co jsou, když je to jedno a není potřeba se přes NAT někam dostávat protože je všechno veřejné, viditelné a jasné?
"jak jste schovaný za NATem >>>a nikdo se k vám nedostane<<<<"
"nevíte o žádném mapování z veřejné IP adresy na vaši privátní, že takové mapování neexistuje."To tvrdím kde?
"útočníka to není žádná překážka"
Na co máš teda tu veřejnou ip? Však je to mapované, není to vůbec žádná překážka . . .
-
Filip JirsákStříbrný podporovatel
A to tak má každý a každý ISP nebo jenom tento který jsi vybral, co? ;-)
Podstatné je to, že to tak můžete mít i vy, a nijak to neovlivníte ani o tom nemusíte vědět.není potřeba se přes NAT někam dostávat protože je všechno veřejné, viditelné a jasné?
Tvrdí kdo?To tvrdím kde?
Předpokládal jsem to, aby ty vaše výroky dávaly aspoň nějaký smysl. Uznávám, že je neopodstatněné hledat smysl ve výrocích o sítích u člověka, který neví, jaký je rozdíl mezi internetem a www.Na co máš teda tu veřejnou ip? Však je to mapované, není to vůbec žádná překážka . . .
Asi vás to překvapí, ale servery provozujeme primárně pro uživatele, ne pro útočníky. Vy možná doma nemáte dveře, protože okno zlodějům stačí… -
NULL (neregistrovaný)
"Podstatné je to, že to tak můžete mít i vy, a nijak to neovlivníte ani o tom nemusíte vědět."
A nebo nemusí. Tak má to tak každý ISP pro všechny? Koho by to napadlo, že webový server bude mapovaný na ip z veřejného rozsahu když má odpovídat na dotazy. Už ses na 10.93.9.40 dostal?
"není potřeba se přes NAT někam dostávat protože je všechno veřejné, viditelné a jasné?
Tvrdí kdo?"Ty. Tak tvrdíš mi tu že NAT není žádná překážka, dokonce se dostáváš na 10.93.9.40 za NATem, nebo zde
" Já celou dobu tvrdím, že NAT je pro oprávněného uživatele zbytečná komplikace, ale pro útočníka to není žádná překážka" - žádná překážka přece, ne?"Uznávám, že je neopodstatněné hledat smysl ve výrocích o sítích u člověka..."
Ano, možná by jsi se měl víc soustředit na to co chce člověk říct a ne na to, za co se dá popotahovat. No, už jsme se od "veřejná ipv6, kterou ISP zpřístupní, je to samé jako ipv4 z priv. rozsahu v nějaké podsíti" k "musí to být mapované", tak uvidíme co dál . . . .
"Asi vás to překvapí, ale servery provozujeme primárně pro uživatele, ne pro útočníky"
To mě nepřekvapuje. Ale nevím, na co bych neměl zavírat okno, když už zamykám ty dveře a bytný (ISP) zamyká vchodové.
-
Filip JirsákStříbrný podporovatel
A nebo nemusí.
V tom případě nechápu, co řešíte. Normálně si pořídíte veřejnou IPv4 adresu, prohlásíte „nechť útočník neexistuje“ a máte vyřešeno. To samé s IPv6. Když bezdůvodně spoléháte na to, že vás ISP chrání na IPv4, proč se úplně stejně nespolehnete na téhož ISP i s IPv6?Už ses na 10.93.9.40 dostal?
Samozřejmě. Jak bych asi jinak znal tu privátní IP adresu?Tak tvrdíš mi tu že NAT není žádná překážka
Netvrdím. Tvrdil jsem, že pro útočníka není NAT žádná překážka. Ve srovnání s tím, co musí překonat jiného.dokonce se dostáváš na 10.93.9.40 za NATem
Ano, dostávám. Akorát je to trochu nepohodlné.Ano, možná by jsi se měl víc soustředit na to co chce člověk říct a ne na to, za co se dá popotahovat.
Já se nesoustřeďuji na to, za co by vás bylo možné popotahovat. Jenom jaksi z některých vašich výroků je zřejmé, že neznáte základy. Problém není v tom, že bych nerozuměl tomu, co chcete říci – problém je v tom, že s tím minimem vašich znalostí v oblasti sítí nerozumíte tomu, proč jsou vaše tvrzení nesmyslná.Ale nevím, na co bych neměl zavírat okno, když už zamykám ty dveře a bytný (ISP) zamyká vchodové.
Ne, vy necháváte dveře do bytu dokořán a vchodové dveře jsou zavřené, zamčené či otevřené dokořán podle toho, kdo zrovna šel poslední a jestli nepotřeboval nechat otevřeno. A vy úzkostlivě zavíráte okénko na záchodě v 8. patře a libujete si, jak jste něco udělal proti zlodějům – protože co kdyby se náhodou nějaký zloděj vůbec nepodíval na dveře a rovnou se rozhodl, že vás vyloupí tím záchodovým okénkem. Proti takovému zloději jste dokonale chráněný. Teda pokud ho nenapadne to okénko rozbít. -
NULL (neregistrovaný)
"Už ses na 10.93.9.40 dostal?
Samozřejmě. Jak bych asi jinak znal tu privátní IP adresu?"Haha . . . Ne že ti opovídá, ale jestli na "10.93.9.40" dokážeš něco poslat? Asi ne že. A dokázal bys něco poslat na "10.93.9.40" kdyby to měla veřejnou ipv6?
A kolik % těch domácností v ČR má teda mapované veřejné ipv4 stejně tak jako ten tvůj příklad "10.93.9.40"?
Ale v pohodě, host s veřejnou ipv6 nebo privátní ipv4, co na tom . . .
-
Filip JirsákStříbrný podporovatel
Haha . . .
Vaše komentáře nejsou k smíchu, spíš k pláči.Ne že ti opovídá, ale jestli na "10.93.9.40" dokážeš něco poslat?
Mohl byste alespoň rámcově nastínit, jak by mi něco mohlo odpovídat, kdybych tam nedokázal nic poslat? Asi mám malou fantazii, ale podle mne samotné slovo „odpověď“ je definováno jako „reakce na příchozí zprávu“.Ne že ti opovídá, ale jestli na "10.93.9.40" dokážeš něco poslat? Asi ne že.
Jak „asi ne“? Čemu nerozumíte na tvrzení, že se tam dostanu? Odpovídá na ping, přihlásím se tam přes běží tam SSH server na portu 22, webové servery na portu 80 odpovídá webový serverApache/2.2.22 (Ubuntu), na portu 8080 odpovídá webový serverJetty(9.4.1.v20170120), na portu 25 odpovídá SMTP server220 kazbunda ESMTP Postfix (Ubuntu).A dokázal bys něco poslat na "10.93.9.40" kdyby to měla veřejnou ipv6?
Ono to má i veřejnou IPv6 adresu. Ale není v tom rozdíl, ty porty jsou úplně stejně dostupné přes IPv4 i IPv6.A kolik % těch domácností v ČR má teda mapované veřejné ipv4 stejně tak jako ten tvůj příklad "10.93.9.40"?
To zařízení nemá žádnou mapovanou veřejnou IPv4 adresu. Je „schované“ za NATem přesně tak, jak to požadujete. -
Pánové, v diskusi je samá mlha. Přitom stačí odpovědět na jednoduchou otázku - jaký počítač je snáze dohledatelný (napadnutelný)? Ten, který má za domácím ADSL přidělenou adresu 10.0.0.X (IPv4), nebo s globální veřejnou adresou IPv6? U routerů se samozřejmě předpokládá neupravené tovární nastavení. Zatím diskuse spíš připomíná parlament, ovšem odborné znalosti autorů na Lupě plně uznávám.
-
Filip JirsákStříbrný podporovatel
Přitom stačí odpovědět na jednoduchou otázku - jaký počítač je snáze dohledatelný (napadnutelný)? Ten, který má za domácím ADSL přidělenou adresu 10.0.0.X (IPv4), nebo s globální veřejnou adresou IPv6?
Na tu otázku už tu bylo mnohokrát zodpovězeno – ten rozdíl je někde pod hranicí statistické chyby, takže nemá smysl se jím zabývat. -
NULL (neregistrovaný)
@Dytis
No jasně že je snáze napadnutelný ten s veřejnou adresou. Pokud vím, tak platí pravidlo, že služby které nepotřebuješ, máš mít vypnuté - zde veřejná ip pro většinu lidí. Přímá adresovatelnost na veřejnou ip je prostě jeden z možných vektorů útoku - ano, cílený - ale je, a naopak to nahrává každému kdo chce cílit a nechce nebo neumí hledat. Malý nebo málo pravděpodobný vektor? Ano, ale proč ho nezaříznout, když veřejnou ip nepotřebuju (nebo ten můj děda, já bych ji i využil . . . .)
-
NULL (neregistrovaný)
@jirsák
Ne že ti opovídá, ale jestli na "10.93.9.40" dokážeš něco poslat? Asi ne že.
Jak „asi ne“?" A pak zkuste pingnout 78.108.96.2. Víte, jaká IP adresa vám na ten ping odpovídá? 10.93.9.40"
Ale pingáš 78.108.96.2 ne 10.93.9.40" protože "... Přitom ale na tu IP adresu je 1:1 mapovaná veřejná IP adresa...." jak jsi tvrdil.
Tak co, kolik domácností má mapovanou veřejnou ipv4?
-
Filip JirsákStříbrný podporovatel
Ale pingáš 78.108.96.2 ne 10.93.9.40
Ne, pingám 10.93.9.40.Dál nemá smysl v téhle debatě pokračovat. Vy si klidně dál myslete, že jste neomylný; poučujte o sítích, když nevíte, co je www; a když vám napíšu, že pingám 10.93.9.40, vysvětlujte my, že mám halucinace a ve skutečnosti je to 78.108.96.2; klidně dál vkládejte diskutujícím do úst, co nikdy nenapsali. A doma se klidně vykašlete na nějaké dveře nebo snad dokonce zámky. Když porovnáte futra bez dveří a futra bez dveří, ale s cedulkou „prosím zde nekrást“, je samozřejmě hůře zabezpečený ten první vstup bez cedulky. A že zloděj, který se bude řídit tou cedulkou, je málo pravděpodobný? Ano, ale proč takového zloděje tou cedulkou neodradit.
Pokud vím, tak platí pravidlo, že služby které nepotřebuješ, máš mít vypnuté
Pro přispívání do diskusí by ale přeci jen bylo lepší službu „mozek“ zapnout. -
NULL; (neregistrovaný)
@Jirsák
" a když vám napíšu, že pingám 10.93.9.40, vysvětlujte my, že mám halucinace a ve skutečnosti je to 78.108.96.2"
Filip Jirsák 100 Bronzový podporovatel 4. 4. 2017 9:38
"
Vy si zkuste pingnout www.vlada.cz. To teprve uvidíte ten rozdíl.A pak zkuste pingnout 78.108.96.2. Víte, jaká IP adresa vám na ten ping odpovídá? 10.93.9.40. Pokud to nevíte, to je také IP adresa z privátních rozsahů, stejně jako 192.168.20.103. Gratuluju, právě jste prostřelil neprůstřelný NAT, a to přitom o sítích nevíte vůbec nic.
"To nebude o halucinacích ale o tom, že jsi konečně zjistil, jak se (nedá)dá adresovat veřejná/privátní ip pokud na tu síť z venku nevidíš. Ale každý si to může zkusit sám
$ ping 10.93.9.40
Nevím, proč když když zamykám branku (ISP), vchodové dveře (PC + firewall), tak bych měl nechávat otevřené okno. Je to jenom komplikace (otvírat, větrat, zavírat) a zloděj bytař se tam stejně dostane i přes dveře
A kolik těch ISP má teda pro každou domácnost mapovanou veřejnou ip jako ten server v tom tvém příkladě?
-
M. (neregistrovaný)
ISPíků jedoucí metodou, že každý zákazník má svoji veřejnou IP, ale ta je na hlavní bráně překládána pomocí NAT 1:1 je relativně dost (ale množina je menší, než těch, kde jsou za CGNAT typu 1:N). Tohle používají ti, co mají dost svých IPv4 adres a nechtějí e srát s data retention.
Pk jsou tací, kteří tko dávaí veřjku jen za příplatek, ale tam bych mohl vědět, zda platím něco navíc nebo ne... -
Petr M (neregistrovaný)
Být bez NATu je jako přijít do kancelářské budovy a někým na návštěvu a nikde se nahlásit.
Být s NATem je jako přijít do kanecelářské budovy, dojít na vrátnici a říct, že jdu za tím a tím. Když se někdo na vrátnici neohlásí a rovnou jde dál, tak to nikdo neřeší. Recepční není od toho, aby honila lidi po chodbě.
Až teprve turniket v podobě firewallu tě donutí jít na vrátnici sdělit, kam jdeš. A potom je jedno, jestli ti vrátný prostě otevře (bez NATu), nebo zavolá dotyčnýho, ať si tě odvede (s NATem). Provozovatel budovy má přehled, kdo je uvnitř a co tam asi dělá a ví, že se tam necourá nikdo, kdo pro to nemá důvod.
-
Petr M (neregistrovaný)
Ale to se nepopírá. Záleží na úhlu pohledu.
Dav na náměstí je na pytel, pokud máš najít konkrétní osobu.
Dav na náměstí je super, pokud tam chceš odpálit bombu.NAT je na pytel, pokud chceš s někým komunikovat napřímo bez prostředníka.
NAT je super, pokud se chceš nabořit do sítě a nezajímá tě konkrétní cíl. Probourat NAT je jednodušší, než firewall a když ho prorazíš, bereš vše... -
Filip JirsákStříbrný podporovatel
ve zjednodušené podobě je celá diskuze poněkud legrační, protože jedni a titíž lidé tvrdí, že nat je zlo, protože se za něj nedá jednoduše dostat a všichni s tim maj problém a zároveň je jako zabezpečení k ničemu, protože kdo chce se přes něj bez problémů dostane :-)
Nevím, co je na tom legračního. Představte si, že byste doma neměl dveře, jenom malé nezamykatelné okénko, kterým byste lezl dovnitř a ven. Pro vás by to bylo pěkně otravné, plazit se okénkem, místo abyste šel normálně dveřma. Pro zloděje by to naopak bylo báječné, protože plazit se takovým okénkem je pro něj normální, ale tady by naopak nemusel řešit žádné zámky nebo mříže. Ve výsledku by to tedy vám zkomplikovalo život a zloději v ničem nezabránilo – přesně jako NAT. -
M. (neregistrovaný)
Bylo by naprosto krásné, pokud by většina koncových zákazníků byla ochotna si vzít domácí router za 750 Kč. Řada jich není ochotno ani šmejd za 300 Kč, takže u řady lidí ani není a domácí router je nahrazen nastavením sítě ISP (pomíjím případ, že jsou ISP, kteří nechějí, aby lidi home router měli, že jim ho dodávají jako službu na své infrastruktuře).
Představa o tom, že pokud je děda za CGNNAT ISPíka, tak jeho router je v pohodě, to už vyvraceli jiní. Popravdě je taková situace často horší, než kdyby doopravdu tu veřejku přímo na routeru měl. On totiž v dané iluzi žije i ten ISP a u řady z nich to vypadá tak, že na tom domácím routeru natvrdo zapnul ovládání přes WAN, nechá default heslo, aby se to nepletlo a mohl router kdykoliv poladit na dálku...
Jink souhlasím, že na počet ISP v ČR (cca 2500) jich většina veřejky nedává (protože je často vůbec nemají).
Co se týče té IPv6 (a i IPv4 v podstatě), tak doporučení pro domácí router říká, že by v základu měl být aktivní stavový firewall, který dovnitř pouští jen odpovědí na spojení vzniklá z vnitřku plus ping, IPsec, MIP. Jak jsou na tom takové levné krabičky s IPv6 a firewallem v reálu, tak to jsem nezkoumal. -
Petr M (neregistrovaný)
Ale podle té odkazované tabulky na Wikipedii má /8 z univerzit jenom MIT (18.0.0.0). Nechat jim /16, tak se uvolní 255 prefixů pro /16. 255 /8 sítí pro celou planetu, z toho vyžijem tak 20 let, že :(
Koho tam máme z firem? L3COM, AT&T, US Post, PSINet, ... Wait, to jsou telekom. operátoři, to by jsme IP adresy brali jejich zákazníkům... Ti z toho budou mít pěkný orgasmy.
Technologický firmy? Vždyť tím, že nepustí IP adresy, blokují novou konkurenci. Vzdát se IP rozsahu můžou jenom na základě zákona a mají dost peněz na to, aby zákon neprošel.
US DoD? S těma asi nehne nic. Co zelený mužík schvátí, to už nikdy nenavrátí.
Nejjednodušší je to prostě vyřešit tak, že začneme používat IP adresy v jiným formátu a ty jejich nasyslený si můžou strčit do libovolnýho tělesnýho otvoru.
-
Ondřej CaletkaZlatý podporovatel
> Co je v rozsahu 240.0.0.0/8–255.0.0.0/8?
Nic. Tak dlouho byl rezervovaný pro budoucí použití, až se pro žádné použití nehodí, neboť je na spoustě míst natvrdo filtrován jako neplatný.
Ale i kdyby se začal používat, byl by rozdaný během nejvýše půl roku. Vyplatilo by se něco takového zprovozňovat kvůli půlročnímu odkladu?
-
Ondřej CaletkaZlatý podporovatel
Díky, pobavilo. Na odebírání a prodlužování IPv4 adres jsem čekal. Je to taková aplikace Goldwinova zákona na diskuzi o konci IPv4/zavádění IPv6.
-
??? Drogy jsou špatné... IPv4 je mrtvý, jen rozšiřování adresy nic nevyřeší. Akorát by to vedlo k dalšímu udržování toho bordelu kolem. Už tak je nepochopitelné, že někteří @&^%#&^%%$@# protlačili do IPv6 NATy. Za blbosti typu "rozšiřme IPv4 adresy a jedeme dál" by se mělo věšet na náměstí na kusu UTPčka...
-
Ondřej CaletkaZlatý podporovatel
To je zajímavý námět na start-up. Vlastně ne, takové služby se jmenují VPN a existují už aspoň 10 let.
-
No to tedy doufám, že tvůj ISP je natolik spolehlivý, že ti garantuje minimální počet současně připojených uživatelů natovaných za jednu IP a maximální dobu používání jedné IP, ideálně včetně pravidel, po jak dlouhé minimální době je možné pro tvé připojení využít znovu již jednou využitou adresu. Mimochodem... i NAT ti zvyšuje latence, za jistých okolností snižuje rychlost, omezuje ti počet aktivních spojení (v závislosti na ostatních za stejnou IP) a rozbíjí asi milión věcí, který se potom musí řešit drbáním levou rukou za pravým uchem.
-
Ondřej CaletkaZlatý podporovatel
A proč teda chceš sedět za tím NATem? Nestačila by ti co chvíli nová IP adresa?
-
Z (neregistrovaný)
Jednak by to musela být zcela jiná IP adresa. Rozhodně nestačí, abych dostal jen jinou IP adresu z rozsahu, který celý patří jenom mně.
A druhak ne, nestačí. Když najdu u vašeho scénáře dva příspěvky odeslané ze stejné IP v podobný čas, lze očekávat, že i autor je stejný. A ty IP adresy se zase nemohou měnit moc často. (třeba každou minutu) Protože to IMHO otevřená spojení to nesou docela těžce. -
Ondřej CaletkaZlatý podporovatel
A jak se v tom scénáři psaní příspěvků ze stejné adresy projeví NAT?
-
Sob (neregistrovaný)
To ma jednoduchy reseni. ;) Pis takovy prispevky, kde nebude vadit, kdyz te nekdo odhali. Pokud potrebujes nutne napsat neco hur odhalitelnyho, pouzij VPN. A pokud by to melo byt neco, co fakt nesmi nikdo zjistit, tak mame Tor (netvrdim, ze odhaleni je zcela vylouceny, ale nic tak extremniho, aby to nekomu stalo za namahu, pravdepodobne nikdy delat nebudes). Naprosta anonymita na internetu je jen iluze, s tim je potreba se smirit.
-
Sob (neregistrovaný)
Internet ale neni navrzenej tak, aby byl anonymni. To, ze diky NATu je za jednou adresou pulka sidliste a na prvni pohled neni videt kdo je kdo, je jiste zajimavej vedlejsi efekt, kterej se nekomu libit muze, to nepopiram.
Zkus to navrhnout svymu poskytovateli, ze bys mel zajem o IPv6, ale s prefixem menicim se kazdou hodinu, to by snad mohlo stacit. Pokud vas bude vic, treba ho ukecate. A bude-li to pouze volitelna vec, tak drzim palce.
-
Sob (neregistrovaný)
V tom pripade zaber, protoze kdyz jsem to zjistoval naposledy, SATT sice s distribuci IPv6 k zakaznikum nespechal, ale svuj prefix uz par let maji, takze to neni dobry znameni! ;) Taky nezapominej na to, ze zdaleka ne vsichni to vidi stejne, nekteri maji staticky verejny adresy radi.
-
Petr M (neregistrovaný)
:D :D :D :D :D
1) Pokud se ti nelíbí, že z tvojí IP adresy lezeš ven jenom ty, pořiď ti TOR exit node.
2) Pokud chceš na net bez dohledatelné IP adresy, používej TOR.
3) IPv6 adres na stroji můžeš mít kolik chceš. Současně. Takže můžeš z jiné IP adresy tahat mail a z jiné adresy současně brouzdat po netu a na další mít IM klienta. Takže argument s omezením času nějakým otevřeným spojením neberu. -
Z (neregistrovaný)
Proč bych nasazoval TOR, když mi to, co zajistí dynamická natovaná IPv4 stačí?
Ad tři: Zkusím znovu napsat co jsem psal výše. Ty IPv6 adresy budou ale jen z jednoho rozsahu, o kterém všichni budou vědět, že celý patří jednomu člověku. Tudíž o každém příspěvku poslaném z toho rozsahu bude jasné že patří témuž člověku jako všechny ostatní příspěvky poslané z toho rozsahu. Tudíž to neřeší nic
-
Filip JirsákStříbrný podporovatel
Proč bych nasazoval TOR, když mi to, co zajistí dynamická natovaná IPv4 stačí?
Co přibližně vám ta dynamická NATovaná IPv4 zajišťuje? Že všichni, kteří vaši komunikaci můžou sledovat, vědí, že jste to právě vy – přestože za stejnou IP adresou jsou schovaní další uživatelé? To samé budete mít i tehdy, když budete mí svou vlastní IP adresu – jediný rozdíl je v tom, že s tou unikátní IP adresou je to trochu jednodušší.Pokud chcete to sledování zkomplikovat, opravdu musíte použít TOR, anonymizaci prohlížeče a nedělat v takovém režimu nic jiného. NAT vám v tom nepomůže, protože i přes tu sdílenou IP adresu odesíláte spoustu dat, podle kterých je možné vaši komunikaci identifikovat.
-
lojzak (neregistrovaný)
@Z
Chápu požadavek na anonymitu, tedy že běžný ovčan nemůže dohledat na základě IP adresy na koho je registrovaná přípojka.
Co ale nechápu je to, proč nechceš, aby bežný ovčan nepoznal, že píše ze dvou různých účtů. To jako, že teď ses na rootu totálně ztrapnil, takže začně psát pod nickem "Y" a nikdo nic nepozná? -
Xerces (neregistrovaný)
Ahoj,
nebojte se konfigurace fw a nebojte se oprostit od toho překladu adres. Buďte dusledný jak v zabezpečení (fw), tak v anonymizaci (VPN, TOR, ...). Add anonymizace. I v rámci jedné IP adresy jste anonymní. Nikdo přeci nemůže říci, že jste u toho stroje seděl právě vy. Například z mé stanice se může přihlásit několik uživatelů (mám Linux). ... Normálně bych vám neoponoval, ale kdo jednou řešil problémy s NATem, ten musí stát rozhodně na druhé straně barikády a to i přes jistou netriviálnost a syrovost IPv6. :-) -
Mít co chvíli novou IP adresu umožňuje právě IPv6 :) U IPv4 to spoustu věcí rozbije :) Navíc nechápu, jak si to představuješ s tou anonymitou? To jako že u IPv6 je u každé IP v nějaké databázi jméno, adresa a fotka přirození? Tak nezapomeň zakázat js a sušenky a možná raději vytáhni kabel, nebo odpoj wifi. Přes prohlížeč se dá zjistit mnohem víc zajímavých informací, než z nějaké IP.
-
Z (neregistrovaný)
Pokud každý uživatel dostane jeden pevný /22 IPv6 rozsah jenom pro sebe, lze očekávat, že každý příspěvek odeslaný z jednoho IPv6 rozsahu patří jednomu a témuž uživateli.
Nemyslím si, že je někomu něco do toho, co píšu a kam chodím kde jinde na internetu. I kdyby měl tak bohulibé účely, jako je třeba cílení reklamy.
Inu... Na svém linkedinu jméno a fotku mám. Linkedin používá google analytics.
Tudíž pokud vlezu na jiný web, kde je také google analytics (třeba root) a něco tam napíšu, tak google dostane informaci o tom, že já, P.N. jsem napsal komentář na rootu.
Ano, používám něco, co se GA a podobné zmetky snaží odstřihnout, pochybuji ale, že to má stoprocentní úspěšnost. -
lojzak (neregistrovaný)
@Z
"Anonymita. Nechci, aby běžní lidé (=kdokoliv krom policie, armády, tajných služeb a mého ISP) dokázali poznat čistě na základě času a IP adresy, zda jsem něco někde na internetu psal já, nebo ne."
S tak debilními názory se ani nedivím, že chceš anonymitu.
Tvoje myšlenkové pochody o anonymitě jsou dost odrtržené od reality:
1) Když tě někdo bude chtít identifikovat, použije fingerprinting browseru, takže tě identifikuje ještě spolehlivěji než podle IP.
2) Jak se liší současný stav, kdy máš IPv4 a jsi za NATem, ale je vidět veřejná IP tvého poskytovatele od situace, kdy máš veřejnou IPv6 se zapnutým privacy extensions a běžný člověk si dohledá dle prefixu také pouze tvého ISP?
-
Sob (neregistrovaný)
U 2) rozdil je. Kdyz ted vleze na nejakej web, ten vidi adresu 1.2.3.4 a za tou je treba stovka ruznych pripojek/domacnosti. Zatimco kdyz tam vleze s 2001:2:3:4:<cokoliv>, da se predpokladat, ze je to porad jen jedna pripojka. Snem Z ovsem je zustat u IPv4 a aby ISP dynamicky natoval idealne na celej svuj verejnej rozsah, takze server by videl treba 1.2.3.<neco> a moznych uzivatelu, kteri z tech adres prisli, by bylo aspon par tisic. :)
-
Z (neregistrovaný)
Říká člověk, který sedí za torem..
1) Kombinace fingerprintu browseru a IP adresy identifikuje účinněji než samotný fingerprint. Nehledě na to, že s fingerprintem se dá dál pracovat.
2) Privacy extensions v IPv6 funguje pokud vím tak, že ISP rozdělují rozsahy. Každý uživatel dostane svůj (třeba) /64 rozsah a privacy extensions říká, že mi každou chvíli dá jinou IP adresu z toho mého rozsahu, ne? No ale moment. Pokud vím, že daný ISP dává uživatelům /64 rozsahy, tak vím, že všechny zprávy poslané z jednoho /64 rozsahu adres patřícího tomu ISP jsou poslané jedním uživatelem.... -
Filip JirsákStříbrný podporovatel
Kombinace fingerprintu browseru a IP adresy identifikuje účinněji než samotný fingerprint.
Mohl byste to rozvést? Když fingerprint určí jednoho konkrétního uživatele, co na tom ještě chcete zpřesňovat IP adresou? -
Filip JirsákStříbrný podporovatel
Hint: A co když ho neurčí? ;-)
To není nápověda, to je sci-fi. Je to asi tak na stejné úrovni, jako kdybychom vám argumentovali, že si můžete pořídit připojení od 20 ISP a střídat je, abyste nebyl identifikován jedinou IP adresou. Ano, technicky je to realizovatelné, ale prakticky to asi dělat nebudete. Stejně jako by pro vás bylo prakticky velmi obtížné odstranit z komunikace otisk vašeho prohlížeče, operačního systému, interferenci mezi jednotlivými komunikačními kanály… A pak pořád ještě zbývá text komentářů. -
Filip JirsákStříbrný podporovatel
HINT: Panopticlick dává celkem slušný odhad.
Bylo by jednodušší, kdybyste se ráčil vymáčknout, co vlastně chcete říct. Ty vaše nápovědy totiž vypadají, jako že moc netušíte, o čem píšete. Nebo jste tím chtěl naznačit, že vás je za jednou IP adresou schovaných třeba 100, a z toho 30 má stejný otisk prohlížeče, jako vy? Asi těch 100 lidí nebude ničím mimořádných, takže stejný otisk by měla mít přibližně třetina uživatelů internetu. Mohl byste ten otisk zveřejnit? Protože to je docela unikátní objev, že celá třetina uživatelů internetu má stejný otisk prohlížeče. Jak to, že na to nepřišel někdo před vámi?Hint: Nezapomněl jste náhodou na to, že není potřeba, aby vás otisk prohlížeče odlišil od všech ostatních uživatelů internetu, ale že stačí, když vás odliší od ostatních uživatelů za stejnou IP adresou?
-
Filip JirsákStříbrný podporovatel
Mohu svůj fingerprint měnit.
A mohu být dokonce tak ďábelský, abych používal více prohlížečů. A to třeba i z nějakého virtuálního počítače.
A taky byste si mohl něco o otiscích prohlížečů zjistit. Začít můžete třeba zde: Nová metoda fingerprintingu pozná uživatele i po výměně prohlížeče. Ale tak můžete si prohlížeč v tom virtuálním počítači přepnout do čínštiny, před zapnutím virtuálního počítače vyměnit grafickou kartu a procesor a virtuální počítač pouštět v malém okně, že. -
Ďábelské... a do podpisu si dej "Omluvte moji dlouhou reakční dobu, pro poslání dalšího příspěvku instaluji novou virtuálku" :D Navíc existují metody fingerprintingu na prohlížeči nezávislé... doporučuji nakoupit zásobu levných počítačů a každý používat maximálně několik hodin, během kterých prostřídáš různé OS v různých virtualizacích a s různými prohlížeči. Potom je třeba tento počítač fyzicky zlikvidovat.
-
lojzak (neregistrovaný)
@Z
1) Jo a kombinace otisku prstu a čísla velikosti bot identifikuje účiněji než samotný otisk prstu. Přesto tě velikost boty nemusí vůbec trápit, když znáš otisk prstu.
2) Prefixy /64 dávají jen zmrdi. Správně se má přidělovat /48 a nebo nejméně /56.
A co jako? Je problém, když se bude vědět, že ty zprávy šly ze sítě jednoho uživatele? -
Petr M (neregistrovaný)
Ten /64 má ISP a z něho čerpá adresy pro zákazníky. Pro domácnost (jedna síť) je standard /48, takže 65536 domácností.
Pokud nejsou nikde registrovaní jednotliví zákazníci, tak se podle IP dá dohledat právě jenom ten ISP (/64) a dalších 16b funguje jako "transparentní CGNAT", takže z toho je sice poznat přípojka, ale nedá se dohledat její adresa a konkrétní člověk (pokud si na ní někdo nespustí nějakou veřejnou službu s veřejným záznamem). Tyhle bity se používají na "prostřelení" CGNATu, pokud che někdo komunikovat napřímo, nebo odpovědět.
Dalších 48b se mění naprosto náhodně a není poznat, co za stroj v síti to dělá. Tam už stejně nastupuje třeba víra ve zbytečnost https a další pověry.
-
Z (neregistrovaný)
Tak bezpečnost jsme tu ještě dneska neřešili. Byť v těch deseti flamewarech co na rootu okolo toho, že ipv4 definitivně umřela, byly obvykle nechyběla.
Ale jo, myslím, že je lepší, když ty statisíce děravých (backdoorovaných) routerů a síťových disků nejsou vystrčené do internetu s veřejnou IP adresou. Že je bude těžké v té spoustě IP adres najít bych nedoufal. Počítám, že to stejně skončí u toho, že se síťový disk BFLM15-B výrobce DW bude v rozsahu patřícím uživateli vždy objevovat zásadně na adrese ROZSAH::15.
-
Z (neregistrovaný)
"A kdo říká, že ty tisíce backdoorovaných routerů musí mít veřejnou IPv6?"
Spousta lidí se snaží tlačit takovouto verzi IPv6. I tady v diskusi se objevují myšlenky, že NAT v IPv6 je prasárna, není potřeba atd. atp..Otázka nezní, zda to lze, ale kolik uživatelů to udělá.
Nikde jsem netvrdil že "všechno, co je za NATem je v bezpečí".
-
lojzak (neregistrovaný)
"Otázka nezní, zda to lze, ale kolik uživatelů to udělá."
Dnes se prakticky každý SOHO router prodává s přednastaveným NATem, DHCP klientem pro získání adresy DNS serverů IP na WAN port a DHCP serverem pro vnitřní síť (někdy je přednastavená i WiFi). Router stačí píchnout do elektriky, pozapojovat síťové kabely a máš přípojení do internetu.
Co brání výrobci routeru, aby už z výroby nastavil stavový firewall, aby blokoval příchozí spojení z internetu? Pro BFU to bude stačit, protože stejně leze jenom na web a kdo bude chtít provozovat domácí webserver, SIP, NAS... ten si FW nastaví dle libosti.
-
Sob (neregistrovaný)
Verejna adresa prece neznamena, ze se na ni muze pripojit kdokoliv, od toho existuje firewall. Dokonce je doporuceni, ze vsechny ty domaci routriky by mely mit prichozi pripojeni defaultne blokly. Coz jiste vykouzli skodolibej usmev na tvari nejednoho odpurce IPv6 a naopak slzu v oku fanouska. Ale i tak je to pokrok, protoze kdo chce, muze si dovnitr jednoduse pustit co potrebuje, a to narozdil od IPv4 (kde typicky nema dostatek verejnych adres) bez dalsich zbytecnych opicaren.
NAT je pouze nastroj. Pro specificky pripady at je klidne i v IPv6, ale ne jako vychozi vec, ktera se bude cpat vsude, o to jde.
-
lojzak (neregistrovaný)
@Unknown
"To vytvori dostatecny casovy polstar pro vytvoreni IPv7 kdy se pouzije IPv4 s prodlouzenou adresou."
A co asi je IPv6??? To je IPv4 s prodlouženou adresou. Ale protože nebyli tvůrci svázaní zpětnou kompatibilitou, přidali nové věci a některé stávající, které na IPv4 nevyhovovaly, předělali.
V čem je IPv4 lepší než IPv6. Já mám spíš pocit, že rádobyodborníci mají spíš problém se zápisem IPv6 adresy.
Schválně mi řekni, kolik sítí s IPv6 máš na starosti. -
Unknown (neregistrovaný)
"Však ano, IPv6 se nezavádí jen kvůli IPv6."
Vsichni krom ostatni pri nalehani na co nejrychlejsi nasazeni argumentuji prave nedostatkem adres.
"Proč by měl být spolu s IPv6 používán ARP, který má víc než dost problémů?"
Ja jsem na druhe vrstve zadne problemy, kvuli kterym by stalo zato to zcela redesignovat, nemel.
"Omezuje tě v něčem NDP?"
Nestojim o nej, a v IPv7 chci zpet puvodni ARP
-
Filip JirsákStříbrný podporovatel
Nestojim o nej, a v IPv7 chci zpet puvodni ARP
Tak ještě jednou, co přesně vám brání používat IPv6 s ARP? -
Filip JirsákStříbrný podporovatel
Co vám brání provozovat IPv4 bez ARP? Co vám brání provozovat IPv6 s ARP?
-
Filip JirsákStříbrný podporovatel
Není. Nic vám nebrání IPv6 provozovat jenom jako IPv4 s delšími adresami. Na internetu s tím budete plně kompatibilní, ve vlastní síti si asi něco budete muset naimplementovat sám – protože jaksi výrobci zařízení a autoři software nesdílí vaše přesvědčení, že všechny protokoly používané spolu s IPv4 jsou perfektní a nové návrhy, které přišly spolu s IPv6, jsou k ničemu.
-
-
Tony (neregistrovaný)
Dostal jsem email od poskytovatele "došlo k naroutování IPv6 subnetu 2001:67c:XXXX:XXXX::/64", kde nic dalšího nebylo.
Do nastavení routeru jsem zadal IPv6 prefix 2001:67c:XXXX:XXXX::/64 do IP adresy pak 2001:67c:XXXX:XXXX::2/64 a do výchozí brány pak 2001:67c:XXXX:XXXX::1.
Zařizení pak sice dostávájí IP adresy z tohodle rozsahu, ale z internetu nenapingám.
Jediné, co pak napingám je 2001:67c:XXXX:XXXX::2/64.
Předtím jsem měl IPv6 přes TunnelBroker a úplně bez problémů.
Nastavuji to na Turris 1.0. -
Ondřej CaletkaZlatý podporovatel
- Prostor pro názory pod článkem o docházejících IPv4 adresách rozhodně vhodným místem pro hledání rady ke konfiguraci IPv6 na domácím routeru.
- Cenzurování IP adres obvykle efektivně brání hledání problémů, toto je přesně ten případ.
- IP adresa na WAN rozhraní rozhodně nesmí být z „naroutovaného“ subnetu určeného pro domácí síť.
- 2001:678::/29 je prefix, ze kterého přiděluje RIPE NCC PI adresy koncovým uživatelům pouze pro jejich vlastní potřebu. Subalokace a používání takových adres jinými subjekty není povoleno. Pokud vám takové adresy nabízí ISP pro vaší přípojku (aniž by vám vyjednal celou PI /48 pro vás), je něco hodně špatně.
-
M. (neregistrovaný)
Add bod 4. Udělal jsme si u kafe prohlídku 8 alternativních ISP v ČR (vynechána velká cca pětka), kde vím, že mám IPv6 dostupné a působí v místech mimo krajská/hlavní města (takže figurky okresního formátu)...
6 z nich používá příděl z 2001:678::/29 PI bloku (každý si suší svlůj jeden /48 PI blok, ve všech případech získáno přes isp-servis.cz ).
1 dává bloky, které má přidělen od svého uplinku (má 2 ks bloků /48 PA adres, protože má od uplinku dvě linky, ke káždé dostal jednu /48 a o víc nechce N4N slyšet).
1 dává bloky ze svého /32 PA přídělu.
Pozn. V té první skupině je té jeden, co nedávno získal vlastní /32 PA blok, ale zatím nepoužívá. Toto realita dnešních dní v ČR.... :-) -
Ondřej CaletkaZlatý podporovatel
isp-servis.cz? To je ten klan Vishnyakových, co každé tři měsíce zakládá nového LIRa na jiného člena rodiny? Tak z jejich strany mě to nepřekvapuje. Ale i tak to rozhodně není v pořádku. Pravidla by měla platit pro všechny.
-
M. (neregistrovaný)
Ano, toť on. Nu, má RIPE reálné páky to nějak řešit a chce vůbec? Nebo radši potichu šlape okolo a neche, aby někoho nakrkli a pak v jejich sídle chvíli štěkaly AK47 za doprovodu rusko/ukrajinských nadávek. :-)
Toť pak otázka filozofická, zda je leší, ať lidi mají aspoň nějakou IPv6, byť blbě a v rozporu s pravidly, nebo nic (repkektive jen IPv4 schovanou za CGNATem). Protože způsobem, jakým to snadno a za jakou cenu ISP servis dodá, tak místním ISPíkům vyhovuje (10 kKč jednorázově za vyřízení a přenechání AS a IPv6 /48 PI bloku) na rozdíl od plnotučného LIRaření... Na LIRa jde snad jen ten, kdo ze zoufalství se snaží ještě vyškrábnout nějakou tu IPv4 adresu pro sebe (a IPv6 k tomu vezme jako nutný zbytečný příbalek). -
Ondřej CaletkaZlatý podporovatel
Myslím, že ten základní problém je, že se těžko seženou tvrdé důkazy. I když má firma, která je evidentně ISP, přidělený PI blok, ještě to není proti pravidlům, dokud ten blok nezačne rozdělovat svým zákazníkům. A jestli to dělá, nebo ne, to se dá zjistit z dálky jen velmi těžko.
Ono to pravidlo je zavedeno právě proto, aby se ISP nevyhýbali „plnotučnému LIRaření,“ protože jen tak je možné zajistit udržitelný model financování služeb RIPE NCC. Pokud se někdo placení LIR poplatků vyhýbá a přesto působí jako ISP, je takovým černým pasažérem, co se přiživuje na úkor poctivých ISP.
V každém případě děkuji za tip, začal jsem procházet seznam IPv6 PI bloků, kde se sponsoring LIR ORG-Vs35-RIPE a zkusím vytipovat alespoň několik evidentních průšvihářů a nějak to dál řešit.
-
M. (neregistrovaný)
Nu, přeji hodně štestí. A raději se pak vyhýbat potemnělým a křivolatým uličkám, než nějaký nervní ISPík člověka v ní praští po hlavě třeba s PBM-10. :-)
Efekt leda bude, že IPv6 zastaví, protože zkrátka těch 1.400 EUR/rok plus 2000 EUR start raději utratí alternativní mini ISP zcela jinak, než za RIPE... To dají přednost pár rádiovým skokům.
Jinak se berou ty /48 IPv6 PI bloky i jinde. ISP servis je asi nejproflákleiší, ale řada si je zajišťuje jinde, kde jsou služby výrazně levnější, než u ISP servisu.
-
Ondřej CaletkaZlatý podporovatel
Efekt leda bude, že IPv6 zastaví, protože zkrátka těch 1.400 EUR/rok plus 2000 EUR start raději utratí alternativní mini ISP zcela jinak, než za RIPE... To dají přednost pár rádiovým skokům.
Kdyby to byla nějaká nekomerční aktivita typu, tak by se ještě dalo zavřít oko, ale když si takhle někdo snižuje náklady na úkor mimo jiné i svých konkurentů, má bídně zhynout a ne ještě být omlouván, že je to jediná možnost, jak se dostat k IP adresám.
A přitom by se klidně mohli třeba skládat po osmi na jednoho LIRa. Každý by si pak vzal jednu /32 z /29, všichni by měli dostatek adres, bylo by to zcela podle pravidel a ještě možná levněji. Za PI adresy se platí příplatek 50€ ročně; nechce se mi věřit, že by to isp-servis.cz zákazníkům neproúčtovával ještě s nějakou pěknou marží.
-
M. (neregistrovaný)
Ha, jsme přehlédl odpověď.
Souhlasím, že mezi těmi PI uživateli je jich řada, které poplatek RIPE za LIRa nepoloží a vlatní /29 IPv6 PA je spíše potěší. To jsou ti, co reálně jsou někde 1000-2500 zákazníků, mají už IPv4 s BGP s dvěma uplinky, k tomu /21 nebo /22 IPv4 adres již déle a ten PI blok vzali, protože brali i IPv4 od ispservisu, tak vzali tak i IPv6 PI a obvykle netuší, že je něco jako PA a PI...
Tam můžeš mířit svoji aktivitu. U těchto subjektů navíc tento blok nebude v reálu moc často nasazen, přestože ho třeba drží i několik let. Typicky mají síť řízenou a managovanou nějakým sodtem typu ISPadmin a tne IPv6 v síti konfigurovat neumí, tak zaím nenasadili masivně, má to pár lidí pro pokus a pak pár největích křiklounů...
A pak je řada malých síti pod 500 lidí, kde už ten pollatek RIPE je pro ně citelný, kde si to PI vzali vrámci toho, že chtěli mít vlasntí blok, když změní dodavatele konektivity, tak ať nemusí měnit IPv6 adresy lidem, jak by se dělo pokud si vezmou PA agregované do egmentu svého uplinka. titi často vlastní BGP ani nejedeou, ten segment jim propaguje uplink (nebo mají BGP jen za úřelem propagace toho IPv6 /48 a /24 IPv4 k uplinku). Tito už budou rozdýchávat RIPE polatke mnohem hůře. tito navíc to IPv6 mívají nasazeno časteji, protože siť je malá a těch pár esítek Mikrotiků řídí ručně, tak i tu IPv6 tam namlátí hned ručně k tomu, kdo chce... -
M. (neregistrovaný)
Nevím jaký máš přehled, ale v Česku působí opravda kvanta ISP, kteří jsou ve skupině 100-150 zákazníků. Obvykle je to někde v polích, kde pokryl 3 vesnice a dál se netlačí a nemá na velký rozvoj. Dá se najít podobný i ve větších městech, kde pokryl dvě-tři ulice, ale tam už často podlehl odkoupení větším.
I mezi nima jsou tací, co si jednorázově koupili ten PI blok a nechávjí si ho propagovat v rámci ASka jejich upstreamu, aby nemuseli IPčka měnit, když změní dodavatelel konektivity. Ano, tihle ISP jsou na tom dlouhodobě blbě, na ně bude tlačit různé formy "pevné LTE" od mobilních operátorů, protože v daném místě obvkyle ani to ADSL není nebo nejede valně. Že by měl takový ISP rovnou chcípnout, tak to asi ne...
Pro ty jejich zákazníky by to bylo často krok zpět (vyšší cena a horší parametry linky), protože v místě není moc jiná volba. -
M. (neregistrovaný)
Nu, musí vám ISPík říci, jak to udělal. Také záleží jaké přenosová technologie je mezi IP a routerem. Pokud je to něco na bázi klsického ethernetu (IPoE), tak potřebujete vědět co máte použít jako default bránu, buď sdělí IPv6 adresu nebo má Váš router postupovat dle ohlášení nadřazeného routeru.
Také by měl říci, na co to naroutoval, čli jaká IPv6 dresa má být na straně WAN toho Vašeho turise. A ten blok /64 pak strčíte n LAN stranu, tak problém nebývá.
U řady ISP, kde se používá statická konfiguace se to dělá tak, že spojovací blok mezi koncovým rotuerem a ISP jsou jen link local adresy, kde třeba ISP natvrdo používají metodu, že na straně ISP je adresa FE80::1 a na straně routeru zákazníka FE80::2/64. S tímto mívají problémy routery, které nedovolí konfigurovat na WAN interfejsu link local adresu.
Pokud je na lince použito např PPPoE, tak víte vše potřebné. ISP to routuje do PPPoE tunelu k turisovi, turis jako defualt bránu použije také PPPoE tunel, na WAN straně turise se IPv6 nedává a použijete jen přidělený prefix na LAN straně.
ČLÁNKY DO MAILU