Názory k článku Základy nasazení IPv6: od získání adres až po síť pro hosty
-
Super, díky za vysvětlení černé magie v několika černých krabičkách co mam doma. Mám DSL modem od mého estonského providera a za nim Wi-Fi mesh network řešení od tp-link. Nesáhl jsem na nic, DSL modem vlastně ani nemám pod kontrolou, směrování portu ven nepotrebuju, to delam přes VPN na fyzickem serveru venku a Telia mi modem obstarává a updatuje celkem pravidelně, tak proč se starat. Vlastně jsem na to nesáhnul už několik let, ani jsem nějak moc během letošního roku nezaregistroval kdy ISP zapnulo IPv6, ale všechno tak nějak jede bez sebemenšího zásahu. Ale inspiroval jste mě se teď podrobněji podívat co to vlastně dělá.
-
Telia v EE zrejme postupne aktivuje IPv6 zakaznikum uz od konce roku 2014. https://stats.labs.apnic.net/ipv6/AS3249?c=EE&p=1&v=1&w=30&x=1
-
Díky moc za pěkný článek, tohle je opravdu potřeba odpůrcům IPv6 ukázat.
Zaráží mě ale jedna věc. Proč má proboha MikroTik by default vypnutou IPv6 v dnešní době. To má nějaký rozumný důvod? Přesně tyhle drobnosti nahrávají tomu, že to stále není běžná věc. Někdo pak může nabýt dojmu, že to nefunguje a že se to musí "složitě" nastavovat. -
To máte pravdu. Šestka je ale kočkopes taky. A nemůžete na ni už nikam růst. Nepodporuje nový hardware (starý linuxový kernel). A oni tu divnou konfiguraci vysvětlovali docela logicky tím, že třeba DNS jsou lidi stejně zvyklí nastavovat v IPv4, tak nechtěli mít zbytečné duplicity a přidali volby pro šestkovou DNS už k existující položce
-
"Proč má proboha MikroTik by default vypnutou IPv6 v dnešní době."
Odpoved je trivialne prosta, prave mikrotik IPv6 ve skutecnosti vlastne vubec neumi. Narazis na to presne v okamziku, kdy ocekavas cokoli nad ramec uplne tupeho routovani jedne site, a i to cas od casu prestane z "neznameho duvodu" fungovat.
A tenhle stav se za poslednich 10 let nijak nemeni. Tedy vlastne meni, typicky kdyz neco aktualizujes, rozbije se to vic nez to bylo rozbite predtim.
Specielne pak v7, to je tragedie uplne cele a uplne ve vsem.
-
Diky za clanek. Moc pekne vysvetleno,
K DHCPv6 bych jen pridal klicovou informaci, ze neni tak siroce podporovana jako SLAAC. Nejvic videt je to na Androidu, ktery ziskavani adres ani DNS pomoci DHCPv6 nepodporuje, proto je v sitich s pritomnym Androidem typicky nasazena varianta SLAAC + RDNSS (DNS servery v RA). -
Díky za článek a doufám v pokračování např. nezodpovězenými dotazy z diskuze:
Návod pro nasazení IPv6 pro začátečníka kutilaNapř. zde:
https://forum.root.cz/index.php?topic=28089.msg394214#msg394214a zde:
https://forum.root.cz/index.php?topic=28089.msg394470#msg394470 -
Hezký článek. Bohužel jeho délka a komplexnost ukazují na to, že ta technologie je praxi ještě na hony vzdálená. IPv6 bude připravená na adopci ve chvíli, kdy (podmínky nutné, nikoliv dostačující):
a) takový článek nebude nutný, ale nastaví se to v každém čínském routeru pěti kliknutími ve webovém rozhraní, jako tomu je v případě IPv4.
b) nebudou nutné thready typu "IPv6 Poda" tady na fóru, kde se již od 2019 v 50 příspěvcích řeší, jak zprovoznit dvě sítě... a pořád není uspokojivě vyřešeno.
-
Ani jedno z toho není problém IPv6, ale problém špatné implementace. Mám kolem sebe několik lidí s DSL od O2 a všichni prostě mají IPv6, aniž by museli cokoliv dělat nebo nastavovat. Prostě to funguje.
Řešit se to musí jen pokud to poskytovatel má hodně špatně nebo chcete mít nějakou komplikovanější síť nebo vlastní konfiguraci. Což musíte řešit stejně i v případě IPv4.
Pokud máte typickou domácí síť (autokonfigurace na WAN, základ na LAN), tak nemusíte řešit vůbec nic a funguje to samo.
-
Já jsem nepsal čí nebo čeho to je vina. To je totiž z hlediska adopce zcela jedno. Relevantní je zda to jako celek (protokol, implementace u ISP, implementacše v routeru, konfigurační GUI, ...) funguje alespoň tak dobře, jako IPv4.
Guest síť (většinou za účelem WiFi pro hosty) podle mě spadá do množiny typické sítě a v IPv4 se dá běžně i u levných routerů zapnout jedním checkboxem a zadáním jména SSID a hesla...
25. 10. 2023, 11:49 editováno autorem komentáře
-
Adam KaliszStříbrný podporovatelAno, protože O2 a různí další prostě nedávají dostatečně velký prefix. Asi jako kdybyste měl jednu IPv4, tak i bez NATu taky reálně nepřipojíte více zařízení...
Ukazujme tedy na implementátory firmwaru a síťové politiky ISP a ne na protokol, který za to nemůže. Samozřejmě můžou lidi prostě přejít k poskytovateli, který zaměstnává síťaře místo opic a kde věci skutečně na jedno kliknutí fungují.
-
A to mají od O2 tu IPv6/64 za 119,80 Kč / měsíc ?
Nepřijde vám taková nabídka trapná a nedůstojná?
-
Pozrel som si ten IPv6 Poda na fóre. Mám pocit, že tam nie je problém s IPv6, ale s tým, že poskytovateľ pripojenia to nemá správne nakonfigurované u seba. Tam je to potom ale úplne rovnaké ako pri IPv4 - keď mi poskytovateľ bude dá k dispozícii adresu 192.168.1.2/30 a ja tam budem chcieť pripojiť dve zariadenia s verejnou IP, tak nepochodím. A nebude to chyba IPv4 ale providera.
-
Pochodím, protože si potřebné porty na routeru easy peasy lemon squeezy proNATuju :-)
Jinak v tom threadu se řeší všelicos nejen to, co popisuješ. Vlastně už jen zprovoznit IPv6 s vlastním routerem (tedy s modemem od PODA v bridge režimu) je velmi netriviální task (opět s IPv4 zcela bez problémů), viz https://forum.turris.cz/t/ipv6-v-siti-poda/12974
a to je Turris. Na routeru bez openwrt pravděpodobně zcela bez šance. -
Jan HrachStříbrný podporovatel> opět s IPv4 zcela bez problémů
Ve skutečnosti srovnáváte dvě úplně jiné věci, na IPv6 prefix delegation (navíc v tomto podání zdá se zmaštěnou) a na IPv4 jednu adresu kterou si NATujete.
-
Jan HrachStříbrný podporovatel
> Minimálně ve variantě pro firmy vám dají více IPv4 adres akorát si připlatíte.
To je opět nefér srovnávat se situací, kdy vám dají /64 a ještě k tomu blbě (bez spojovací adresy v separátním subnetu nebo v čem je ten problém). To srovnávejte se situací kdy vám dají /56 nebo /48, a tam také žádné problémy nebudou.
-
Jako uplne nerozumim tomu odporu, smutny ze nejcasteji od sitaru. Uz v roku 2006 jsme na CVUT koleji spravovali sit se vsema sluzbama dostupnyma po IPv6 pro 1000 lidi. Kazdy student mel svoji IPv6 adresu. Jo muselo se hodne hackovat na starych sitovych prvcich (nebyli penize na lepsi, custom firmwary a pod) ale to dnes uz vubec neni tema. Cize uz pred 18ti lety to slo, a velmi slusne, dneska je to uz jen o lenosti spravcu site nic vic v tom moc nevidim.
-
Opravdu nevidím problém v tom, že někdo nechce řešit něco, co pro něj dostatečně dobře funguje. Platí o adminech i ISP. Až bude chtít třetina jejich uživatelů IPv6 nebo jim třeba dojdou IPv4 adresy nebo cokoliv dalšího, pak to logicky řešit budou. Ale proč by to dokud k tomu nebudou mít nějaký pádný důvod dělali?
Kdo to potřebuje, ten to řeší, kdo nikoliv, ten to neřeší. To je celé. A většině běžných uživatelů je to naprosto jedno a obvykle si nějakého přechodu na IPv6 ani nevšimnou.
-
Až bude chtít třetina jejich uživatelů IPv6 nebo jim třeba dojdou IPv4 adresy nebo cokoliv dalšího, pak to logicky řešit budou.
Tohle je to úplný nesmysl, stejný jako prohlášení: Až bude chtít třetina lidí IPv4. Normálního uživatele to vůbec nazajímá, jestli to běží přes IPv8 nebo IPv4, jestli je tam DNS atp. Ani je to zajímat nemá to je odpovědnost ISP. IPv4 adresy jim došly/dochází nové již nezískají. Celý svět se posouvá. Za posledních 20let se připojení a využívání internetu opravdu proměnilo a není jediný důvod, proč by ISP měli zůstat stát a neposouvat se také.Dostatečně dobře to nefunguje a ty providery to samozřejmě taky pálí. Musí kupovat "zbytečný" HW pro NAT, složitě nastavovat sítě, šetřit s adresami atp. Přidává to strašnou složitost do systému, který by měl být jednoduchý a díky nedostatku adres prostě není.
-
Ano, právě proto, že to normálních uživatele vůbec nezajímá je přechod na IPv6 tak pomalý. Vždyť to píšu, člověče. A ne, není to "odpovědnost ISP". ISP poskytuje svým uživatelům určitou službu a potud, pokud je nějaký parametr té služby jeho zákazníkům jedno, on sám ho bude řešit až v okamžiku, kdy nebude jedno jemu. To je celé. Nabídka, poptávka. Odpovědnost má pouze za to, k čemu se smluvně zavázal.
A důvod, proč by měl ISP zůstat stát a neposouvat se je tentýž: nebude se posouvat do té doby, dokud to nebude potřebovat pro svůj business. ISP jsou (obvykle) firmy, nikoliv charity. Dojemné řeči o tom, že se "celý svět posouvá" jsou jednoduše nezajímavé.
A ano, je to nesmysl, že třetina lidí bude chtít IPv6. Ne, nebude. A to je právě to.
-
"Protože některé tendery mají IPv6 v podmínkách.
Stačí jeden významný zákazník a najednou to jde."Pokud by toto byla pravda, tak vzhledem k obchodnim praktikam TMO, ji konkretne tento operator ma nasazenou jeste pred o2.
Ceska operatorska trojka umi pro potreby klani v tendrech vytvorit ruzne Potemkinovy vesnice, takze nejakou podminkou v tendru se rozhodne nenechaji rozhodit, aby upravovali prostredi sve hlavni klientske site.
TMO, stejne jako vetsina Ceskych ISP, umi poskytnout nativni IPv6 konektivitu pro firemni zakazniky jiz delsi dobu.
-
Nevím jaké "obchodní praktiky' máte na mysli.
A proč do toho motáte ISP když se bavíme o mobilní sítí?A jak by jste zařídil že by voják měl IPv6 v mobilu a civil vedle něj ne?
To už je jednodušší pustit IPv6 všem.Právě TM je s IPv6 pozadu protože se zaměřuje na občany a ne na velké podniky/vládu/armádu....
I když moje VDSL od TM umí IPv6 perfektně. Že by CETIN zařídil i IP adresy?
-
@bartolo
TMO je ISP :)
Ano, lze pro skupinu uzivatelu mobilni site zaridit jine sitove prostredi nez pro zbytek. Rika se tomu custom APN.
Ne, TMO se skutecne nezameruje na obcany a pozadu je z jinych duvodu.
CETIN zajistuje prenosovou vrstvu. Konektivita, accounting a dalsi, jsou v gesci poskyvatele sluzby.
-
Jako obvykle zjevně nezvládáte chápání psaného textu. Zkuste to ještě jednou a přinejhorším si to, co jsem napsal nechte někým vysvětlit. To dáte. Věřím vám.
Na vaš otázku odpověděl druhý odpovídající už předemnou. A pokudu zvládnete uplatnit alespoň elementární logiku, zjistíte, že to přesně odpovídá tomu, co jsem napsal. Dokonce i ty vaše tupé úvahy.
-
@poljak
Kterou cast vaseho textu mate konkretne na mysli?
Koncove site, necht si kazdy spravuje podle sveho gusta dle rceni "My network is My Castle". Nikomu nemuzeme nutit jak si svou sit, za kterou nese nasledne zodpovednost, nastavi. V praxi pak potkavame ruzne odborniky na tema siti ci spravy serveru a stanic, kdy zpozornite uz u jejich vykladu adresace lokalnich siti.
Vy jste sice spravne pochopil, ze typickemu uzivateli je uplne jedno na jakem protokolou bezi jeho pripojeni k internetu a prechodu si 99% ani nevsimne, ale pak nasleduje vase problematicka definice ISP a jeho byznysu.
Firmy v ISP segmentu, jako i jinde, byvaji ruzna stvoreni. Nekteri lepsi, nekteri horsi. Vime jak si nekteri predstavuji zapojeni elektroinstalace nebo jak vyuzivaji frekvencni pasma a stale lze najit velmi kreativni konfigurace typu "osmipatrovy panelak za jednim soho tplinkem".
"pokud je nějaký parametr té služby jeho zákazníkům jedno, on sám ho bude řešit až v okamžiku, kdy nebude jedno jemu" - je platny v jinych pripadech, ale v kontextu ISP je to blabol.
"Budu jezdit starou Liazkou, nez abych kupoval novy nakladak. Tomu zakaznikovi je to jedno cim mu ty cihly dovezu a Liza stale dobre slouzi."
Maslo na hlave v pripade IPv6 maji ISP. Zehraji na to, ze jim to nikdo neprikazuje. Dokazi horlive diskutovat na tema data retention nebo bezpecnostni smernice, ale jakmile se zmini IPv6 jsou zticha nebo pouziji otrepane "nikdo to nechce".
A pak tu jsou ISP, ktere v tom nevidi problem, maji naimplementovano spravne a podil provozu po neustale IPv6 stoupa.
26. 10. 2023, 16:47 editováno autorem komentáře
-
90% lidí nechce ani DNS ani IP. Dokonce bych si tipnul, že 80% jejich zákazníků nechtějí ani IP adresu a dokonce ani protokol. To, že nechtějí IPv6 je argument úplně mimo. Oni totiž nevědí, že ho chtějí a že jim to přinese výhody.
ISP za to rozhodně zodpovědní jsou, jenom oni tohle můžou vyřešit. Každý ISP který dnes IPv6 nepodporuje akorát prokazuje, že jeho síť má obrovský technologický dluh, že na jakýkoliv rozvoj naprosto kašle nebo má nekompetentní manažery/zaměstnance. Je to pouze jejich vizitka a neřešením si jenom zadělávají na velké problémy v blízké budoucnosti a nakonec stejně budou nuceni to udělat.
Smutné je, že člověk kolikrát nemá ani jinou možnost, než využít tyhle mizerné služby, protože jiná rozumně dostupná alternativa prostě není.
-
Jo, nechtějí. Je to tak. A co myslíte, že to znamená? Hm? Ano, to znamená, že ISP poskytuje službu za pomoci takových technologií, které mu umožní provozovat jeho podnikání. To IPv4 je, IPv6 to nezbytně nutně zatím prostě není. Ano, oni nevědí že to chtějí a právě proto je jim to jedno. Z toho plynoucí výhody většinu uživatelů prostě nezajímají a zajímat ani nezačnou. Nemusíte to chápat. Je úplně jedno jestli to chápat budete nebo ne. Tak jako tak jsme tam, kde jsme byli. S vám podobnými je to fakt jak s dětmi v mateřské škole.
Ne, nejsou za to odpovědní. Prostě se smiřte s tím, že nejsou. Tohle je business, nikoliv filozofická debata o morální odpovědnosti na FF UK. Co to pro vás dokazuje je sice dojemné, ale nezajímavé. Nezajímá to většinu zákazníků. Stejně, jako vy zajímáte toho ISP co se vašich specifických požadavků týká maximálně potud, pokud reprezentujete velkého zákazníka.
-
Filip JirsákStříbrný podporovatelIPv4 adresy už jim dávno došly. Zkuste si požádat o blok veřejných IPv4 adres odpovídající počtu zařízení ve vaší síti s nějakým odhadem růstu alespoň v příštích pár letech. Pokud ten blok nedostanete, IPv4 adresy jim došly.
Uživatelé nevědí, co by jim IPv6 přineslo, takže to nemohou chtít. Služby závislé na IPv6 (tedy na možnosti komunikovat přímo) mají jako překážku penetraci IPv6. Je tam velká vstupní bariéra, ale o to větší třesk to bude, až ta bariéra praskne. Nikdo nedokáže odhadnout, kdy to bude, takže odkládat zavedení IPv6 je dost krátkozraké – protože ISP to nezavede za týden, až zjistí, že to najednou všichni chtějí, protože je hype kolem nějaké nové služby, která to vyžaduje.
-
To, že IPv4 došly obecně ještě neznamená, že ten či který ISP nemá dostatečnou zásobu. Ostatně určitě víte, kolik rozsahů se povaluje třeba v akademické sféře a navíc ne každý ISP je růstový. Ono je těch vesnických ISP pořád ještě docela dost i když se trh dost konzolidoval.
A jinak ano, to je v jeho zájmu. Já jen píši, že potud, pokud to nepotřebuje bezprostředně na to prostě nemá kvůli stávajícím uživatelům důvod spěchat. A i když nikdo neví co za jak dlouho bude, pokud bude alespoň tak nějak předpřipravený, jen týden na to mít taky nebude a bude mu to stačit pokud vyloženě nespí. Nemluvě o tom, že si nemyslím, že by nějaký třesk nastal. Trochu větší zneklidnění nastane tak maximálně v okamžiku, až nějaký velký poskytovatel služeb či (ještě spíš) obsahu začne IPv4 naopak vypínat.
-
Filip JirsákStříbrný podporovatel
Jenže ani ten či který ISP nemá dostatečnou zásobu. Kdyby měl dostatečnou zásobu, měl by dostatek IPv4 adres na pokrytí potřeb svých a svých zákazníků. Pokud má dostatečnou zásobu na pokrytí svých potřeb, znamená to, že už mu IPv4 adresy dávno došly a už jenom vyškrabává poslední železná zásoby.
Vaše hodnocení je jako kdybyste volal do restaurace:
– Máte dost surovin, abyste uvařili obědy?
– Ano, máme.
– Pro kolik hostů můžete uvařit obědy?
– Pro hosty? Pro hosty neuvaříme nic, na to nemáme suroviny. Ale máme dost surovin, abychom uvařili obědy pro náš personál. Dneska.Myslím si, že daleko dřív než to, že začne velký poskytovatel obsahu IPv4 vypínat, nastane to, že někdo spustí významnou IPv6-only službu. Třeba Čína bude v roce 2030 jen na IPv6. A pokud byste chtěl tvrdit, že nějaká Čína nás nemusí zajímat, vysvětlete to všem mladým využívajícím TikTok. Kdyby bylo to časování jen o pár let posunuté, že by byla Čína IPv6-only už před nástupem TikToku, dnes bychom tu o potřebnosti IPv6 vůbec nedebatovali. Zato před pár lety by si všichni ti čeští operátoři, kteří čekají, až zahřmí, drbali hlavu, jak to, že všichni najednou chtějí IPv6 a proč jim to nikdo neřekl dřív.
S tím týdnem to byla trochu nadsázka, ale ani ten týden není nereálný. Když si vzpomenete na starší Clubhouse, nebo v souvislosti s veletoči Twitteru Mastodon, Threads či Blue Sky, ty získávají pozornost v řádu týdnů. Kdyby některá z vyjmenovaných služeb byla dostupná jen po IPv6, tak už se o to někteří laici budou zajímat a našlo by se i pár těch, kteří ISP vymění (kvůli Clubhouse si lidé pořizovali iPhony). A to jsou pořád služby, které neprorazily. Nikde není řečeno, že se to jednou někomu nepovede, třeba i pozvolnějším náběhem. Pak bude trvat měsíc, než ISP vůbec zjistí, že je tu nějaká IPv6 služba s rostoucí popularitou, a za další měsíc se bude divit, jak to, že jim hromadně odcházejí zákazníci, a proč je někdo nevaroval, že nasadit za měsíc bez přípravy IPv6 do sítě ISP není možné.
A že by měl ISP vše připravené, ale měl IPv6 vypnuté, a až to přijde, jenom zmáčkl knoflík a IPv6 v jeho síti začalo fungovat – to je nereálné. Aby věděl, že mu to funguje, musí to mít otestované. A když už bude mít vše přichystané, je pro něj lepší IPv6 spustit, protože ušetří za NAT.
Na tom celém mi vadí nejvíc to, že až to nastane, budou se všichni ti, kteří zaspali, rozčilovat, proč je nikdo včas nevaroval. Jenže oni jsou varováni dnes a denně, třeba i tímhle článkem – ale oni to ignorují a doufají, že to přejde.
(To samé bude s elektromobily. Pořád se budeme tvářit, že je to blbost, že nejlepší je držet se benzínu – a až jednoho dne Škodovka zjistí, že nemá komu prodávat, budeme si stěžovat, jak je ta EU ošklivá, že si přešla na elektromobily a nás o tom nikdo neinformoval. No, informují nás o tom pořád, ale my to slyšet nechceme a pořád doufáme, že se to přežene.)
-
Dále pan Jirsak považuje Firewall za zbytečnou věc.
Jak je důležitý jsme se mohli dozvědět například zde:https://www.root.cz/zpravicky/nezaplatovana-chyba-ohrozuje-cisco-ios-xe-napadeny-jsou-tisice-prvku
-
Filip JirsákStříbrný podporovatel
Já to chápu už dávno. Doufám, že článek umožnil pochopit to i vám.
Mimochodem, nikdy jsem netvrdil, že IPv4 a IPv6 je absolutně stejné. Pak by IPv6 nemělo smysl. Tvrdil jsem, že je to stejné z hlediska konfigurace jednoduché sítě – jeden router, jeden firewall, klientské stanice, nějaké služby. Tj. konfigurujete přidělování IP adres, routování, DNS, případně firewall. Neřešíte nějaké privacy extensions, mobilitu, podsítě a podobné věci, které často v IPv4 ani nejsou nebo tam byly přidány dodatečně až po IPv6. V takovém případě konfigurace IPv6 opravdu není složitější a často je to opravdu ta samá konfigurace.
Ano, firewall, který nikdo nespravuje, je zbytečná věc, dokonce škodlivá věc. A váš odkaz to jenom dokazuje – proti uvedené zranitelnosti vás žádný firewall neochrání. (Za firewall považuju něco, co pracuje na 3. a 4. vrstvě, ne nějaký WAF – ten v domácích krabičkách za stovku nenajdete.) Když máte HTTP(S) server na Ciscu vystaven do internetu, asi to má nějaký důvod a bude to povolené i na internetu. Pokud to nemá být do internetu vystavené, nemáte ten HTTP(S) server vůbec do internetu vystavovat. Pokud vystavíte server do internetu a pak tam zakážete přístup na firewallu, máte nejspíš něco špatně. (Nastávají občas případy, kdy se ten server nedá pořádně nakonfigurovat, takže nezbývá, než to řešit na firewallu. To je ale chyba toho serveru. A rozhodně to nejsou věci, které by řešil domácí uživatel.)
-
Ale vy predpokladate ze vladca HTTPS servera je ten isty co ma na starosti siet. Sietova bezpecnost a bezpecnost nejakeho HTTPS servera su dve rozne veci.
Problem je ze v modernych architekturach a cloudovych sluzbach ma malokto spravne implementovanu policy a ta znie ze vsetko je 'by default' zakazane. Dnes sa robi uplny opak - vsetko je povolene. -
Filip JirsákStříbrný podporovatel
Tvrzení „firewall není potřeba“ se vztahovalo na SOHO, kde není žádný správce HTTP(S) serveru ani nikdo, kdo má na starosti síť.
V případě větší sítě, kde bude nějaké Cisco a kde jsou role správců serveru a správce sítě či firewallu, se ti správci musí dohodnout. Pokud správce HTTP(S) serveru na Ciscu vystaví server do internetu a správce firewallu tu komunikaci následně zablokuje (sám od sebe), je něco špatně.
Za mne je výchozí politika „všechno je povolené“ správná politika, protože ty služby musí být bezpečné samy o sobě. Teprve nad tímto defaultem se dá vybudovat další vrstva zabezpečení, která bude založená na tom, že se zdokumentuje, které služby se používají – a pak se to dá přepnout do opačného režimu „co není povoleno je zakázáno.
Pokud se udělá výchozí nastavení „vše je zakázáno“ a pak se do firewallu dělají náhodné díry, skončíte jenom s děravým firewallem, který pokud před něčím chrání, tak jenom náhodou, a akorát vzbuzuje falešný pocit bezpečí.
-
Filip JirsákStříbrný podporovatel
Vy jste přišel se situací, kdy správce služby je někdo jiný, než správce sítě a firewallu. Pokud je taková situace, musí se ti dva samozřejmě domluvit. A pokud je to trošku větší síť a je tam více služeb, nemůže to být domluva per huba, ale musí na to být definované postupy.
Když nad službami nemáte kontrolu, nemůžete zajistit, že jsou bezpečné. Pokud je odpovědnost takto oddělená, zodpovědnost za bezpečnost jde za správcem služby, ne za správcem sítě.
Správa firewallu samozřejmě není o náhodě. Ale to jenom potvrzujete to, co opakovaně tvrdím – že firewall „není“, firewall „se provozuje“, tj. musí mít svého správce, který rozumí sítím a správě firewallu. Když takový správce není, je firewall k ničemu. Proto tvrdím, že takové ty „firewally“ na SOHO routerech jsou k ničemu, protože ty žádného správce nemají.
-
Problémy PODA (to je ISP s 100k+ zákazníky) se řeší tady v diskuzi. Vodafone v ex-UPC síti (600k+) nemá pro jistotu IPv6 vůbec. Obojí s armádou síťařů a prostředky to řešit. Takže nechci ani hádat, kdy to dostane do použitelné podoby majorita malých lokálních ISP. Ergo kladívko s predikcemi praskání bariér bych byl převelice opatrný.
-
PODA umi poskytnout funkcni IPv6 na business pripojkach a stejna je zkusenost i u dalsich poskytovatelu lokalniho charakteru.
PODA konkretne ma zmrsenou implementaci IPv6 na home GPON pripojkach. V dobach, kdy pripojovali ethernetem tak bylo mozne /56 ziskat. Vi o tom, ze to maji blbe. Maji i lidi, kteri vi jak napravit, ale vidle do toho haze management.
Nemusime chodit daleko - TMobile je na tom velmi podobne. Vykon managementu CZ a SK pobocek je delsi dobu diskutabilni a fokusuje se na hlouposti typu Tyfon.
-
To se ovsem zasadne pletes. Coz pisu jako clovek ktery nektere (byvale) zamestnance UPC zna osobne. Tech techniku je totiz par, zadna armada, a oni zadny technicky problem v6 zprovoznit nemaji, otazka 5 minut, jenze to maji zakazane od manezermentu.
A ten prozmenu nezvlada zaridit ani to, aby vyfakturovali vsechny sluzby na jedne fakture, protoze to bys musel nejdriv vsechny sluzby vypovedet, a pak je zridit znova ... (samozrejme s par mesici odstavky).
-
Adam KaliszStříbrný podporovatel
Byl bych velmi opatrný. exUPC nebylo schopné dodat ani zdrojáky k firmwaru, který pod GPL k modemu, který rozdávalo. Tehdy jsem musel dokopat přímo Technicolor, protože UPC samotné na dodržování prdělo.
To, že mají armádu zaměstnanců zdaleka neznamená, že tomu taky rozumí. Znamená to jen, že mají hodně zaměstnanců.Stejně to je všude jinde taky. To, že na něčem pracuje hodně lidí vůbec neznamená, že se nějaký projekt bude pohybovat kupředu. Typicky je to spíš přesně naopak. Hodně lidí může být prostě hodně balastu.
Jinak exUPC/ Vodafone zcela běžně IPv6 v kabelové síti má, byla o tom dokonce přednáška na IPv6 day.
-
Ja tomu odporu i castecne rozumim. Uz pred mnoha lety se zacalo rikat - zacnete pouzivat IPv6, je to funkcni. Jenze jeste porad se neco menilo. V diskuzi o minulem clanku to taky nekdo zminoval. Proste to jeste porad bylo moc zive.
Treba prave prefix delegation. RFC vzniklo pred mnoha lety, jenze nejakou dobu trva nez se to dostane do firewallu/routeru apod. Podobne DNS do router advertisement. Takze tu mame nekolik moznosti pridelovani adres, ne idealni podpora v hw, ...
Muj nazor - kdyby IPv6 RFC i hw byly pred deseti lety ve stavu jako dnes, tak se uz nemame o cem bavit a sestka je vsude.
-
Jan HrachStříbrný podporovatel
Povíme si za 10 let :D
Edit: hm, škoda, Root zdá se začal zamykat diskuze po pár měsících
25. 10. 2023, 14:09 editováno autorem komentáře
-
Filip JirsákStříbrný podporovatel
Vždyť u IPv4 je to stejné, i to se pořád vyvíjí, stejně tak i obecné věci platné pro IPv4 i IPv6. Třeba oznamování captive portálů, zákaz používání DoH, oznamování sítě s měřeným přenosem dat – to jsou věci mladší než vámi zmiňované změny v IPv6.
-
Já mám jeden důvod k odporu. Čas od času, jednou za půl roku, mám na svém prostém serveru takový menší "script kiddie" ddos. Nejvíce to snad kolem 500 IP adres, které scrapovali na více vláknech a bez pauz, vyšplhalo by se to na několik stovek tisíc requestu za minutu. Automatika to vyřešila bany jednotlivým IPv4 adresám.
Ve světe kde je IPv6 přidělováno různé, někteří klienti mají rozsah pár IP, někteří obrovský subnet, nelze rozumně udat co je a co není IP adresa koncového klienta a co celé město.
Ve výsledku pokud by někdo zkoušel ddos z na IPv6 bude mít namísto 500ti zdrojových IP třeba 100 tisíc a automatika nebude vědět co vše banovat.
Takže, příznivci, kde je řešení pro mě jako provozovatele serveru s pár weby?
-
Jan HrachStříbrný podporovatel
Banoval bych po /64 a když jich bude víc z jednoho /48 tak bych zabanoval /48.
U IPv4 taky máte riziko že postupně zabanujete celý CGNAT třeba Vodafonu, kde je náhodné množství lidí s náhodnými adresami.
-
Adam KaliszStříbrný podporovatel
Zcela běžně se banuje /64, či odvážnější /56 a někteří, co na to jdou hodně hustě klidně rovnou /48.
Můžete samozřejmě kombinovat block a rate limit na prefix. S běžnými nástroji přímo v Linuxu by to neměl být problém realizovat. -
Adam KaliszStříbrný podporovatel
Zbývá jen přejít jinam a hlasovat peněženkou, kde je to možné. Chápu, že to je někdy nepříjemné, či možná i nemožné, ale často prostě něco dělat jde.
-
Ako sa genericka, naprihlad chatovacia aplikacia, beziaca na mobilnom telefone, pripojenom do tvojej domacej wifi dozvie, ktory ze to port a kamze si ho nasmeroval, aby sa s nou mohla spojit protistrana s druhym mobilom v ruke na verejnej wifi sieti v nakupnom centre?
Nijak.
Cely problem je v tom, ze mas svoj mindset uz ohnuty na to, ze v internete proste zariadenia nie su dostupne a ze musi existovat nejaky centralny bod cez ktory komunikuju, alebo minimalne cez ktory sa dohodnu, ako budu komunikovat. A preto ti port forward staci.
-
A ako sa to dozví na IPv6? Udělá portscan na 2^128 ipv6 adres? To asi taky ne, že ano, prostě bude existovat nějaký ať už centrální nebo decentralizovaný mechanismus, jak si to říct.
A pak je celkem ukradené, jestli je to AAAA nebo SRV záznam v DNS, popř. jestli se registruje 6 bajtů ip4:port nebo 16 bajtů ipv6.
-
Filip JirsákStříbrný podporovatel
Ten mechanismus už pár let existuje a jmenuje se DNS. Jestli je to IP adresa nebo IP adresa a port jedno není, protože do A/AAAA záznamů port nenarvete. A také není jedno, jestli je to neměnná IP adresa nebo jestli je dynamicky přidělovaná, protože DNS není stavěné na to, aby zvládalo rychlé změny IP adres.
-
https://www.rfc-editor.org/rfc/rfc2782
Proboha aspoň si přečtěte na co odpovídáte, jinak hrozí, že dojde k fiakru. -
Filip JirsákStříbrný podporovatel
Vy jste psali o AAAA záznamu, a do toho fakt port nenarvete, ani když na specifikaci SVR záznamu odkážete stokrát. Protože SRV je něco jiného, než AAAA. Drtivá většina služeb používá A/AAAA záznamy. Třeba takový protokol HTTPS, docela rozšířená služba – a SRV záznamy jsou vám tam k ničemu. Takže ne, není to jedno, jestli musíte specifikovat IPv4+port nebo jenom IPv6 a použije se standardní port.
-
Oni totiz lidi chteji pouzivat dns vis... a sem vazne zvedav, jak provozujes maily na jinym portu jez 25. Napriklad. Ono totiz zdaleka ne vse lze forwardovat ...
A pak bych taky chtel videt, jak zalozis rekneme Borderlands ... (abysme se bavili konkretne) a pak jdes hodinu nastavovat nejaky forward ... protoze nejdriv musis vyzkoumat jaky porty to vlastne pouziva, pak zjistis, ze je mas forwardnuty jinam, a nez to cely prekopes, tak uz nikdo nema naladu to s tebou hrat.
Misto toho abys do hry napsal "join pepa.doma.cz"
Nemluve o tiom ze drtiva vetsina lidi si uz ani zadny foward neudela, protoze sou s tisicovkou dalsich za nejakym cgnatem, a ve skutecnosti uz jim nefunguje ani teb web.
-
Jan HrachStříbrný podporovatel
Mně by port forwarding často stačil, ale téměř žádný ISP ho neposkytuje. Jsi za NATem, dostaneš jednu adresu z jeho vnitřní sítě, uděláš si na ni druhý NAT (wtf!), ale na tu tvoji jednu adresu ti nic neforwardne.
-
Jan HrachStříbrný podporovatel
Ano, nemá, u naprosté většiny běžných (domácích/SOHO) připojení co adminuju, všech možných ISP.
-
Což je velký problém. Dokážu pochopit, že adresu zpoplatní cloud provider. U ISP mi tohle přijde jako totální výsměch, pokud nemají IPv6. Podle mě by stát nebo autorita měl nařídit, že ISP zákazníkovy musí poskytnout veřejnou adresu a je jedno jestli ISP poskytne IPv4 nebo IPv6. Zároveň by měla být IPv6 od nějakého data vyžadována. Je mi jasné, že se tady opět někdo ozve, že do toho stát nemá co kecat ale trh ISP není úplně konkurenční prostředí.
-
Podívej se, kolik stojí u O2 ta ipv6 zadarmo:
https://www.o2.cz/osobni/internet/pevna-ip-adresa-pro-internet-na-doma
A spočítej si, kolik bys platil, kdybys náhodou chtěl /48, /56 nebo i jenom /60. -
Murar si nebude nastavovat Mikrotik. Murar si koupi nejaky *-Link a tam je DHCPv6-PD ve vychozim stavu zapnute. Pokud jeho ISP poskytuje IPv6 s automatickou konfiguraci, IPv6 bude mit aktivni, aniz by se o to musel snazit.
Svoje by o tom mohlo rict 20000 muraru-klientu Vodafonu, kteri maji IPv6, protoze ji Vodafone zapnul na strane site.
-
Tak mi poraď jednoduší řešení, jak to udělám s neveřejnou adresou? Klidně můžeš i složité řešení (a bez nutnosti mít někde jinde další stroj a tunelovat to přes něj). Možná to bude pro tebe šok, ale třeba u 02 mají DSL a mobilní připojení IPv6 (což už je celkem značný počet připojení), a ani o tom kolikrát neví, a neslyšel jsem, že by si někdo stěžoval.
Nikdo vás nenutí abyste používal IPv6 v lokální síti, klidně si používejte IPv4, když vám to vyhovuje (spíš bych si ale tipnul, že je to neznalost a strach z něčeho "nového").
Ale až za tebou přijde kamarád a zeptá se, jak může vzdáleně ovládat například kotel nebo si nahrát fotky do NAS, tak mu budeš moc maximálně říct, že nemůže, protože se tam vzdáleně nepřipojí. Pak jsem zvědaví jak vysvětlíš, že on se někam z domova připojí, ale domů už nemůže. Asi se dost pobaví až zjistí, že problém je, že není dost adres, aby celá síť mohla fungovat jak bylo zamýšleno. Navíc když je řešení, které nejen to řeší, ale zrovna jeho ISP je zaostalý a ignoruje to. -
Trofnu si s naprostou jistotou tvrdit, ze mikrotik ma stejne jako drtiva vetsina jinych zarizeni vychozi stav ten, ze ve firewallu neni nic, a tudiz akceptuje jakekoli spojeni odkudkoli.
Coz ovsem neni zadny problem, protoze presne stejne je to s NATy a v4.
Mikrotik bydefault blokuje na "wan" iface komunikaci se sebou. Ale ne do site. Jak je ostatne prave z clanku a prikladu v nem zrejme.
-
Jan HrachStříbrný podporovatel
Technicky záleží na tom, jak jsi měl nastavený firewall předtím (NAT lze v některých případech prostřelovat) a jak ho budeš mít nastavený teď (můžeš příchozí spojení blokovat), ale ve většině nasazení opravdu ano.
-
"Ne, v IPv6 se používá stejný firewall jako v IPv4."
Ano a stejne jako u IPv4 defaultne povoli cokoli. Prave tak jsou defaultne vsechny krabky nastavene, aby to bylo jinak, musi to nekdo nastavit. Tudiz na IPv4 s NATem ta krabka naprosto vpohode odroutuje paket se src 8.8.8.8 a dst 192.168.1.2 a ten bude dorucen cily. Presne totez plati pro IPv6. Jenze v pripade IPv6 ma clovek uvnitr nejaky svuj unikatni rozsah, a nemusi resit ze ktere ...le ten paket prisel a jestli takhle prijit spravne muze nebo nemuze a kde vsude potencielne ten NAT prepise adresu, protoze se nikde nic neprepisuje.
Jinak receno, firewall ktery dela totez je na IPv6 zhruba 1/3 toho, co na IPv4 s NATem. Pricemz ten FW musi nekdo nastavit, a tim nekym typicky neni a nebude ISP, protoze ten si nechce pridelavat potize s tim, ze pak bude resit, ze nekomu neco nefunguje. Stejne jako vyrobce/prodejce soho krabek.
V tomhle ohledu je prave mikrotik dost vyjimka i tim, ze pokud se ty dva kabely zapoji spravne, tak bydefalt neni dostupny z netu sam. Sposuta jinych hrabek ma verejen port 80 (a 443 nemaji, protoze selfsign je prece strasne nebezpecna vec, zatimco http a hesla pres nej jsou zcela koser, vase chrome browsery).
-
Mikrotik samozrejme ma relativne rozumne default firewall pravidla pre ivp6. Samozrejme, pokial niekto migruje 10 rokov staru konfiguraciu, tak ich tam nebude mat, ale ked vybali mikrotik z krabice a urobi novy quickset, tak ano.
/ipv6 firewall address-list add address=::/128 comment="defconf: unspecified address" list=bad_ipv6 add address=::1/128 comment="defconf: lo" list=bad_ipv6 add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6 add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6 add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6 add address=100::/64 comment="defconf: discard only " list=bad_ipv6 add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6 add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6 add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6 /ipv6 firewall filter add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6 add action=accept chain=input comment="defconf: accept UDP traceroute" port=33434-33534 protocol=udp add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/10 add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6 add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6 add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6 add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6 add action=accept chain=forward comment="defconf: accept HIP" protocol=139 add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
-
Ondřej CaletkaZlatý podporovatelPravděpodobně to samé, co dělají už teď. Nebo snad máte na IPv4 firewall, který vašim ledničkám a vysavačům brání DDoSovat někoho na druhém konci internetu?
V obecné rovině, stejně jako existují špatná nasazení IPv6, existují nepochybně i špatná zařízení, která by k internetu nikdy neměla být připojena. Firewally se obecně přeceňují, dobře fungovat mohou jen v dobře kontrolovaném a spravovaném prostředí, kde jsou známé požadavky na povolenou komunikaci. To není případ domácích sítí, kam uživatelé připojují cokoli a očekávají že všechno bude samo fungovat. Pro takové sítě nepřináší firewall téměř žádnou výhodu, protože potenciální útok může přijít jak zvenku, tak i zevnitř, nejčastěji právě z nějaké ledničky či vysavače.
-
Jan HrachStříbrný podporovatel
Já si teda pořád myslím, že pomáhá, když není každá tiskárna, nezáplatovaná Windows (ano, od XPček už se to dost zlepšilo) atd. dostupná po internetu (otázka teda je jestli by ji na IPv6 dokázal nějaký botnet naskenovat, protože všechny adresy vyzkoušet nelze)
-
Viz vejs, to ze mas neco za NATem je presne totez = bez nastaveni firewallu je to vse verejne dostupne. Vsechny adresy oscanovat lze. Ony totiz existuji veci jako broadcasty, muticasty a vsemozne dalsi uzasne protokoly, ktere treba prave na tiskarnach jsou bydefault pozapinane, takze staci do te site poslat i jediny paket, a vsechny se ozvou. A nejen tiskarny.
-
Jan HrachStříbrný podporovatel
Jak „pošlete do té sítě za NATem jediný paket“ pokud nejste v segmentu hned za tím NATem a poskytovatel nepodporuje výstřelky jako source routing (podporuje to někdo?)? Musel by to být opravdu masivní botnet skenující tímto způsobem okolní sítě; a to ještě nevím jak by takový paket prošel běžným „domácím routerem“ (s NATem) za kterým taková typická zombie je.
-
Filip JirsákStříbrný podporovatel
Jak „pošlete do té sítě za NATem jediný paket“ pokud nejste v segmentu hned za tím NATem
Jak víte, že v segmentu hned za tím NATem není zařízení, které ovládá útočník? Vždyť za tím NATem můžou být třeba stovky domácností. Dal byste ruku do ohně za to, že všichni sousedé ve vaší ulici mají všechna zařízení ve svých sítích dobře zabezpečená? Já ani náhodou. -
Jan HrachStříbrný podporovatel
Jednak na k tomu patří druhá část příspěvku: zařízení uvnitř sítě domácnosti takový paket poslat nedokáže, protože ho router domácnosti pošle na svoji defaultní GW (router ISP), ne na router jiné domácnosti; musel by být kompromitován přímo ten router. A jednak čistě pozorováním: kdyby se to dělo, tak by se o tom psalo a věděl bych o tom. Zato automatické skeny na všechno možné i nemožné na serveru s veřejnou IP mám furt.
-
Filip JirsákStříbrný podporovatel
Jednak na k tomu patří druhá část příspěvku: zařízení uvnitř sítě domácnosti takový paket poslat nedokáže, protože ho router domácnosti pošle na svoji defaultní GW (router ISP)
Nikoli, router domácnosti ho pošle podle své routovací tabulky. Pokud má ISP switch, do něj píchnutou bránu a do dalších portů zákaznické routery, nemá zakázanou komunikaci mezi porty na switchi a tohle celé je síť třeba 10.0.0.0/24, tak když někdo odkudkoli z téhle sítě pošle paket na 10.0.0.12, tak to v jeho síti půjde na domácí router, router najde v routovací tabulce záznam 10.0.0.0/24, zjistí, že je to soused v síti, přes ARP si adresu přeloží a pošle to na router jiné domácnosti.Nemá to tak každý ISP, ale jsou tací, kteří to tak mají.
A jednak čistě pozorováním: kdyby se to dělo, tak by se o tom psalo a věděl bych o tom. Zato automatické skeny na všechno možné i nemožné na serveru s veřejnou IP mám furt.
To je právě ten problém jehly v kupce sena. Když zaznamenáte denně 10000 útoků na veřejnou IP adresu, je snadné přehlédnout jeden útok na IP adresu „za NATem“. Jenže i ten jeden útok denně stačí na pořádný průšvih. I kdyby se takový útok odehrál jen jednou ročně, pořád to není něco, co lze přehlížet.A ono se to děje a píše se o tom. Snad u většiny útoků je mechanismus napadení popsán tak, že se útočník k cíli dostal přes jiné zařízení v téže síti. Ransomware? Dostal se na jedno zařízení ve „vnitřní“ síti a odsud se šířil na další zařízení v síti.
NAT ISP, za kterým je někdo „schovaný“ spolu s neznámým množstvím dalších neznámých klientů, přičemž ta síť za NATem je nakonfigurována (klientovi) neznámým způsobem a konfigurace se může kdykoli změnit – takové prostředí může za bezpečné považovat jenom šílenec.
Můžete namítat, že vy jste ještě za druhým, svým domácím NATem. Dejme tomu, že zařízením ve své domácí síti věříte. Ale nemáte za tím domácím NATem také hostovskou WiFi? A zařízením v té WiFi také věříte? Asi ne, asi ji máte oddělenou firewallem – a pak tu bezpečnost nezajišťuje NAT, ale firewall. Navíc tak to mají nastavené lidi, kteří vědí, co dělají. Drtivá většina domácností pouští hosty do své WiFi, a ani ta domácí zařízení bych nepovažoval za bezpečná.
-
Jan HrachStříbrný podporovatel
> Nikoli, router domácnosti ho pošle podle své routovací tabulky. Pokud má ISP switch, do něj píchnutou bránu a do dalších portů zákaznické routery, nemá zakázanou komunikaci mezi porty na switchi a tohle celé je síť třeba 10.0.0.0/24, tak když někdo odkudkoli z téhle sítě pošle paket na 10.0.0.12, tak to v jeho síti půjde na domácí router, router najde v routovací tabulce záznam 10.0.0.0/24, zjistí, že je to soused v síti, přes ARP si adresu přeloží a pošle to na router jiné domácnosti.
Ale my mluvíme o tom co je za tím routerem té jiné domácnosti.
> Snad u většiny útoků je mechanismus napadení popsán tak, že se útočník k cíli dostal přes jiné zařízení v téže síti. Ransomware? Dostal se na jedno zařízení ve „vnitřní“ síti a odsud se šířil na další zařízení v síti.
Co jsem viděl tak tohle bylo vždy nějakým „aplikačním“ způsobem (typu makrovirus, exploit na starý PDF prohlížeč, nebo .exe v RARu které uživatel spustil na základě sociálního inženýrství) nesouvisejícím se síťovou dostupností.
> Jenže i ten jeden útok denně stačí na pořádný průšvih. I kdyby se takový útok odehrál jen jednou ročně, pořád to není něco, co lze přehlížet. [...] NAT ISP, za kterým je někdo „schovaný“ spolu s neznámým množstvím dalších neznámých klientů, přičemž ta síť za NATem je nakonfigurována (klientovi) neznámým způsobem a konfigurace se může kdykoli změnit – takové prostředí může za bezpečné považovat jenom šílenec.
Proto jsem napsal že „to dost pomáhá“ -- prostě když teď objevím díru u populárního výrobce ledniček, tak nemůžu triviálně proskenovat internet (použít Shodan) a na všechny se připojit a nakazit je. Nebo když dneska připojím do zaNATované sítě Windows XP, nic se nestane - když bych to dal na veřejnou adresu, tak to nejspíš do pár minut někdo napadne.
-
Filip JirsákStříbrný podporovatel
Ale my mluvíme o tom co je za tím routerem té jiné domácnosti.
Vy tam asi očekáváte NAT. Ale on tam být nemusí. Navíc zranitelnost může být i na tom routeru.Co jsem viděl tak tohle bylo vždy nějakým „aplikačním“ způsobem (typu makrovirus, exploit na starý PDF prohlížeč, nebo .exe v RARu které uživatel spustil na základě sociálního inženýrství) nesouvisejícím se síťovou dostupností.
Souvisí to se síťovou dostupností. Protože útočník se na cílové zařízení nebyl schopen dostat přímo (neprošel přes fireweall), ale dokázal se dostat na nějaké jiné zařízení za firewallem a cílové zařízení napadl odsud – firewall mu už nestál v cestě.Proto jsem napsal že „to dost pomáhá“ -- prostě když teď objevím díru u populárního výrobce ledniček, tak nemůžu triviálně proskenovat internet (použít Shodan) a na všechny se připojit a nakazit je.
Vy to udělat nemůžete. Ale ten, kdo ovládá botnet, ve kterém už má spoustu jiných domácích zařízení, takhle může proskenovat „své“ domácnosti. A to mu stačí.Nebo když dneska připojím do zaNATované sítě Windows XP, nic se nestane - když bych to dal na veřejnou adresu, tak to nejspíš do pár minut někdo napadne.
To není pravda, že se nic nestane. Nic se nestane, pokud v té síti za NATem není jiné napadené zařízení. Když budete za NATem ISP a nebudete mít domácí NAT, tak jste v jedné síti se spoustou dalších zařízení.Aby to tvrzení o NATu bylo pravdivé, potřebujete k tomu přidat spoustu dalších podmínek. No a daleko lepší, než specifikovat a pak ověřovat všechny ty podmínky, je prostě NAT vůbec nepovažovat za bezpečnostní prvek.
-
Jan HrachStříbrný podporovatel
> Vy tam asi očekáváte NAT. Ale on tam být nemusí.
To víte že je.
> Navíc zranitelnost může být i na tom routeru.
Bývají, byť z WAN napadnutelné málokdy, a používané pro pestré útoky dovnitř sítě ještě méně málokdy.
> Protože útočník se na cílové zařízení nebyl schopen dostat přímo (neprošel přes fireweall), ale dokázal se dostat na nějaké jiné zařízení za firewallem a cílové zařízení napadl odsud – firewall mu už nestál v cestě.
Tam už prostor pro „běžný síťový firewall“ nebyl, typický další krok byl zašifrování dat na tom počítači, na připojených síťových discích, nebo šíření ve Windows doméně přes nějaké ty NTLM pass-the-hash bizarnosti kterým nerozumím.
> Ale ten, kdo ovládá botnet, ve kterém už má spoustu jiných domácích zařízení, takhle může proskenovat „své“ domácnosti. A to mu stačí.
Nemůžete rovnou uvést nějaké profláklé případy kdy se tohle stalo? (případy kdy někdo takhle sklízí „veřejný internet“ předpokládám známe oba, takže bych chtěl něco s podobnou závažností/rozšířením)
> Nic se nestane, pokud v té síti za NATem není jiné napadené zařízení.
I když bude, tak bude zkoušet výrazně menší paletu exploitů než co mi chodí po internetu.
> Aby to tvrzení o NATu bylo pravdivé, potřebujete k tomu přidat spoustu dalších podmínek. No a daleko lepší, než specifikovat a pak ověřovat všechny ty podmínky, je prostě NAT vůbec nepovažovat za bezpečnostní prvek.
S tím souhlasím, ale pořád si myslím, že se současnými NATy je napadených třeba 5% zranitelných ledniček a vysavačů (viz první reakce) a v případě volné skenovatelnosti (která ovšem ani v IPv6 není zaručena, protože je složité uhodnout adresu) by to bylo 100% (prostě by je někdo všechny proskenoval a sklidil).
-
Filip JirsákStříbrný podporovatel
To víte že je.
Ne, nemusí tam být. Když vám ISP přiděluje IP adresy z privátních rozsahů, klidně vám adres přidělí víc.Nemůžete rovnou uvést nějaké profláklé případy kdy se tohle stalo? (případy kdy někdo takhle sklízí „veřejný internet“ předpokládám známe oba, takže bych chtěl něco s podobnou závažností/rozšířením)
Vy u těch případů, kdy takhle někdo sklízí internet, víte, že se tak děje jenom u veřejných IP adres? Obvykle to stejně dělají botnety – myslíte, že mají v kódu speciální výjimku, aby privátní rozsahy vynechávaly?Co se týče rozšíření – je pro vás rozdíl, když někdo napadne vaše zařízení, nebo když napadne vaše zařízení a k tomu ještě dalších tisíc jiných zařízení jinde na internetu? Já pořád odmítám za bezpečnost označovat přístup „snad se to sem netrefí“.
S tím souhlasím, ale pořád si myslím, že se současnými NATy je napadených třeba 5% zranitelných ledniček a vysavačů (viz první reakce) a v případě volné skenovatelnosti (která ovšem ani v IPv6 není zaručena, protože je složité uhodnout adresu) by to bylo 100% (prostě by je někdo všechny proskenoval a sklidil).
Tohle máte něčím podložené, nebo je to jen odhad? Nic proti odhadům, někdy nic lepšího nemáme. Ale můj odhad by byl diametrálně odlišný, tak by mne zajímalo, zda ho mám výrazně korigovat, nebo zda prostě máme dva různé ničím nepodložené odhady.Jiný můj odhad je, že drtivá většina SOHO routerů, které dělají ten domácí NAT, má rovnou od výrobce nastaven firewall, který blokuje příchozí spojení. A bude to tak i u IPv6, dokud se neukáže, že to nedává smysl. Takže ten domácí NAT nemá šanci se jako bezpečnostní prvek předvést, protože vedle něj působí mnohem mocnější firewall. A pokud je ten NAT jinde, třeba u ISP, shodli jsme se snad už na tom, že ten opravdu není možné považovat za jakoukoli ochranu.
-
Jan HrachStříbrný podporovatel
> Ne, nemusí tam být. Když vám ISP přiděluje IP adresy z privátních rozsahů, klidně vám adres přidělí víc.
To je hodně neobvyklé, to jste fakt někde viděl? ISP přímo dodá uživateli switch nebo si ho uživatel pořídí sám? A když má uživatel wifi, tak je tam navíc bridgovaný segment přes desatero wifi sítí?
> Obvykle to stejně dělají botnety – myslíte, že mají v kódu speciální výjimku, aby privátní rozsahy vynechávaly?
Skoro bych věřil že to bude implementované tak, že bot skenuje náhodné rozsahy a do 192.168.x nebo 10.x se trefí jenom občas :). Důležité ale je že v síti budete mít nejspíš klienta 1-2 botnetů zkoušející každý třeba 3 útoky které tam autoři zadali, zatímco na internetu je toho hromada (většinu ani nevidíte, protože útočníci si oběti vyfiltrují podle bannerů, takže nikdo nezkusí útok na službu, kterou neprovozujete).
> Já pořád odmítám za bezpečnost označovat přístup „snad se to sem netrefí“.
Ale to bylo přesně to, na co jsem reagoval. Například pro DDoS, spam a pod. je to rozšíření důležité (čím víc, tím silnější problémy pro oběť).
> Tohle máte něčím podložené, nebo je to jen odhad?
Jen odhad. Váš odhad by vyžadoval, aby to zařízení s botnetem co se k vám dostane do sítě následně zkoušelo tisíce specifických útoků na různé zranitelnosti všeho možného. Ale nevím, možná se provozovatelé botnetů sdružují do takto hromadných skupin a všichni si navzájem zkouší všechno?
> Jiný můj odhad je, že drtivá většina SOHO routerů, které dělají ten domácí NAT, má rovnou od výrobce nastaven firewall, který blokuje příchozí spojení.
Ano, to si také myslím…
> A bude to tak i u IPv6, dokud se neukáže, že to nedává smysl.
…a tohoto se bojím -- protože pokud se z toho stane standard a nerozšíří se žádný standardní protokol / znalost pro koncového uživatele, jak si zařízení, které komunikovat potřebuje, spolehlivě zařídí povolení takové komunikace, tak budeme přesně tam, kde jsme teď - stejně pořád budeme muset mít „cloudy od výrobce“, protože end to end komunikace nebude fungovat. V tom lepším případě alespoň budou na zařízení dvě volby (komunikace přes cloud / komunikace přímo), v tom horším to bude úplně jako dneska (mnoho zařízení komunikuje přes „cloud“ i když jsou ve stejné LAN a stačilo by zjistit že se vidí jako 192.168.0.65 a 192.168.0.237).
-
Filip JirsákStříbrný podporovatel
To je hodně neobvyklé, to jste fakt někde viděl?
Mají to tak třeba sítě typu CZFree. Dají uživateli třeba 3 IP adresy – a když uživatel nemá víc zařízení, nepotřebuje žádný router. Nebo má třeba jeden počítač a jeden domácí WiFi router, tak ten počítač může být přímo za NATem spolku.Důležité ale je že v síti budete mít nejspíš klienta 1-2 botnetů
To je ale pořád o 1–2 víc, než aby bylo možné považovat síť za bezpečnou.Například pro DDoS, spam a pod. je to rozšíření důležité (čím víc, tím silnější problémy pro oběť).
To už jsou ale sekundární oběti. Navíc pokud někomu nevadí, že má záškodníka ve své domácí síti, tuplem mu nebude vadit, že jeho zařízení rozesílají spam nebo se podílejí na DDoSu.…a tohoto se bojím -- protože pokud se z toho stane standard a nerozšíří se žádný standardní protokol / znalost pro koncového uživatele, jak si zařízení, které komunikovat potřebuje, spolehlivě zařídí povolení takové komunikace, tak budeme přesně tam, kde jsme teď - stejně pořád budeme muset mít „cloudy od výrobce“, protože end to end komunikace nebude fungovat.
Cesta ale přece není zařizovat si nějaké povolení komunikace. Správný přístup je, že zařízení musí být bezpečná – a pak k žádnému zakazování na firewallu není důvod. Pokud by situace byla taková, že si každé zařízení vyjedná na firewallu povolení komunikace, tak tam ten firewall bude úplně zbytečně.Doufám, že se toho chopí třeba EU, protože spotřebitelé nemají šanci řešit, zda je nějaké zařízení síťově bezpečné. Stejně, jako neřeší, zda je bezpečné zapojit ho do elektricné zásuvky, neměli by řešit, zda je bezpečné připojit ho do internetu.
stačilo by zjistit že se vidí jako 192.168.0.65 a 192.168.0.237
Jen drobná odbočka – také doufám, že se i v SOHO sítích začne používat DNS. Pořád se tváříme, jak musí být všechno pro koncové uživatele blbuvzdorné, návody mají jenom obrázky, aby tam nebyl pro někoho příliš složitý text – a pak považujeme za normální, že bude uživatel k domácím zařízení přistupovat přes IP adresy. Možná to je jeden z důvodů, proč musí mít každé zařízení svoji mobilní aplikaci – protože ta tu IP adresu schová, kdežto kdyby to měl uživatel ovládat přes prohlížeč, bude muset pořád používat tu IP adresu. -
Jan HrachStříbrný podporovatel
A stejně tak broadcast, ale tady si nejsem jistý - to fakt někdo propouští defaultně síťové broadcasty zvenku? Jak to funguje? Myslel jsem že to jsou multicast adresy typu ff00::/8. Když něco pošlu na 2001:67c:68::FFFF:FFFF:FFFF:FFFF, tak mi někdo má odpovědět?
-
Článek je jistě užitečný, nastavení lze provést za pár minut. Ovšem jen podle uvedeného návodu, bez něj by to byly spíše dny. Je ale pravda, že limity IPV4 sítí už začínají vystrkovat drápky - např. v mobilní Vodafone síti už některé herní konzole (Nintendo, Xbox) nedokáží komunikovat na 100%, ažnto je příliš mnoho NATů po cestě.
-
Je to jednoduché, některé hry se přes internet propojí, některé ne. Základní spojení (hlas, text chat) funguje. Klíčové slovo je "strict". Viz např. https://nerdburglars.net/hardwareguides/fix-strict-nat-type-with-vodafone-siro-gigabox-router/. Tento postup je ovšem pouze pro zařízení, kde lze upravit pravidla pro firewall, což u telefonů s Androidem moc nejde.
-
Pěkný článek. Ale co mi chybí, aby se změnilo to IPv4 myšlení, je popis nebo i názorné flow-chart porovnání oněch praktik.
Třeba NAT v IPv4, původně trochu z nouze funkce, plní jistou bezpečnostní funkci. Chce to vzít trochu komplexněji a ne jenom stylem "v IPv6 NAT není potřeba", ale říct k tomu i to "b" ohledně FW na routeru.
NAT je jenom příklad. -
BobTheBuilderStříbrný podporovatelNAT sám o sobě není příliš velké zvýšení bezpečnosti. Je to jen překážka normálnímu fungování, ale bad-guys to nezastaví.
Zatím všechny routery, co jsem měl za posledních 6-7 let s IPv6, měly out-of-box zapnutý IPv6 firewall - ať už to bylo několik VDSL modemů, exUPC Compal nebo Vodafone Station.
FW lze vypnout, ale třeba na Vodafone Station se po 24 hodinách zase zapne.
Tak jaké "b" chcete slyšet? -
Filip JirsákStříbrný podporovatel
Tady je ovšem potřebná změna myšlení v tom přestat si myslet, že IPv4 NAT plní bezpečnostní funkci.
A firewall na routeru v domácí síti fakt není potřeba. (Navíc v současně prodávaných SOHO routerech je podle mne většinou firewall blokující příchozí spojení defaultně zapnutý.) Služby v domácí síti je potřeba vnímat tak, musí odolat běžným útokům – NAT je nijak nezachrání, protože útok může být veden přes jiné zařízení v téže síti. Fakt nestačí spoléhat se na to, že hodně útoků je velmi naivních a jdou jenom přímo, protože těch, které útočí přes sousední zařízení, je pořád dost. Nebo-li pokud NAT zabrání 1000 útokům denně a útok, který obejde NAT, je jen 1 denně, neznamená to, že se stačí spolehnout na NAT. A obrana proti tomu 1 útoku zabrání i těm 1000 útokům.
-
SOHO zarizeni zasadne maji spickove resene zabezpeceni, rozhodne nikdy nestaci znat adresu a pripadne nejake default prihlaseni typu admin/admin a rozhudne vubec nikdy nemaji zadne vzdalene zneuzitelne chyby, proto je nasnade, ze firewall neni treba a mohou byt zcela bez obav vystavena na Internetu ;-)
-
Filip JirsákStříbrný podporovatel
Jenže ona ta zařízení na internetu vystavena jsou, bez ohledu na to, jestli je tam někde nějaký firewall.
Fascinuje mne, kolik lidí má potřebu debatovat o firewallech, přitom vůbec netuší, k čemu firewall slouží. Firewall slouží k tomu, že odděluje dvě (nebo více) sítí s různým stupněm bezpečnosti. Laicky řečeno, mám chráněnou síť, která je bezpečná, a firewall ji odděluje od jiné sítě, třeba internetu, kde je nebezpečná divočina. No a vy tvrdíte, že SOHO zařízení mají vzdáleně zneužitelné chyby, přihlášení typu admin/admin – a chcete tvrdit, že síť, ve které je takové zařízení, je bezpečná? To je jak kdybyste měl přízemní byt s okny mířícími na ulici dokořán, v obýváku na gauči už sedí dva konkurenční zloději a dohadují se, jak si rozdělí lup, a vy řešíte, jestli máte zámek s cylindrickou vložkou.
Pokud nemáte zaručeno, že ostatní zařízení v síti jsou bezpečná, pak vás firewall nezachrání, protože útočník napadne ostatní zařízení přes nějaké nezabezpečené zařízení v téže síti.
Jestli máte doma zařízení s přístupem admin/admin nebo se známými zranitelnostmi a myslíte si, že můžete být v klidu, protože máte přece na nějakém routeru za pár stovek „zakliknutý firewall“, tak jste zářným příkladem toho, že tyhle firewally akorát škodí, protože vzbuzují falešný pocit bezpečí.
Mimochodem, bezpečnostně nejproblematičtější zařízení je právě ten router, na kterém chcete firewall provozovat. Ostatní zařízení vás často donutí zadat bezpečné heslo a/nebo nemají žádnou službu, která by na nich běžela (službou myslím něco, co naslouchá příchozím spojením).
-
Filip JirsákStříbrný podporovatel
Je zajímavé, kolik lidí napíše, že je v SOHO síti potřeba firewall, ale nikdo neví, k čemu by ten firewall měl být. Kdyby to někdo věděl, tak by to snad napsal jako argument na podporu svého tvrzení.
-
"původně trochu z nouze funkce, plní jistou bezpečnostní funkci. "
Ehm ... dalsi ...
Ne, neplni je to presne opacne. NAT bezpecnost velmi vyrazne zhorsuje. Jak sem psal o fous vedlr, firewal s NATem je monhem slozitejsi, musi nutne obsahovat mnohem vice pravidel, a je zde radove vetsi pravdepodbnost chyby, proste proto, ze si je casto velmi obtizne uvedomit, odkud co kam tece a jak se to meni, zatimco bez natu se nic nemeni a vse je pruhledne ciste.
A to je jedna jedna cast, dalsi jsou samozrejme zcela samostatne bugy v implementacich, ktere u prosteho routovani proste spachat nejde ani s velmi znacnou snahou.
-
Jj. V korporatu mame na tyto veci uz flow simulatory a detektory spatnych konfiguraci. Diky ruznym natum jsou pravidla tak nechutne slozita ze to musi projizdet analytickymi nastroji.
Tatam jsou leta kdy clovek ocima zkouknul nastaveni fw kolegy. Dnes nejsem sebevedomy ani u sveho domaciho fw.Nedokazu si predstavit jaky bordel musi byt u malych ISP a jestli vubec tusi co tam maji za skryte kostlivce. Nebo jen proste zakosum reknou "tam zadny pravidla nejsou" kdyz jim treba nejde ipsec.
-
Jeden muj zakaznik ma router od O2 a za nim je Mikrotik. Router O2 NENI v rezimu bridge, protoze pripojku sdili jeste s jinym clovekem.
O2 -- mikrotik -- zakaznik
-- jiny clovekMikrotik dostane ipv6 adresu. Je mozne to nastavit tak, abych nemusel prepinat O2 router do bridge rezimu a presto dostali klienti za mikrotikem ipv6 adresu?
O2 router neposila prefix, router dostane jenom adresu.
26. 10. 2023, 16:45 editováno autorem komentáře
-
S Mikrotikem, zda se, ne.
https://forum.mikrotik.com/viewtopic.php?t=175151OpenWRT to nejak umi, ale jak spolehlive to je - tezko rict.
Na tyhle scenare se opravdu O2 a jejich routery nehodi. Lepsi varianta by byla zmenit ISP a jako hlavni router pouzit neco normalniho.
ČLÁNKY DO MAILU