IPv6 - konfigurace sítě, tunely

20. 3. 2008 | Pavel Šimerda | Sítě | 19285×

Pokud máte štěstí a váš poskytovatel vám nabízí IPv6 konektivitu, máte vyhráno a můžete povídání o tunelech přeskočit a těšit se na příští díl. Pro vás, kdo jste u poskytovatele odkázáni na IPv4, je tu druhý díl povídání o IPv6, který vám ukáže, jak se na IPv6 Internet protunelovat.

Děkuji vám za užitečný feedback v komentářích pod předchozím článkem. Zaujal mě dotaz, proč vůbec vytvářet tunely. Dnes vytváříme tunely, protože chceme vyzkoušet IPv6 a většina z nás nemá nativní IPv6 konektivitu. Tunelované IPv6 podsítě se chovají ve většině případů stejně jako ty nativní. Druhým možným důvodem je možnost propojení sítí, které jinak používají privátní IPv4 rozsahy. Jen nezapomínejte, že tunel je pouze přechodné řešení absence nativní konektivity.

Využití stávající infrastruktury, tunelování

Tunelování, ač to zní děsivě, není nic složitého. Spočívá v tom, že se na začátek paketu připojí jedna nebo více dalších hlaviček. S pakety se pak nakládá podle toho, jaké hlavičky jsou na jejich začátku. Ukáži na příkladu tunelování IPv6 TCP paketu pomocí UDP protokolu po IPv4 síti. Takový paket má typicky hlavičky čtyři. První je IPv4, aby vůbec mohl být routován po čtyřkovém internetu. Za ní následuje UDP, která obsahuje čísla portů. Další hlavičkou je IPv6, ta umožňuje směrování už v rámci IPv6 sítí na obou koncích tunelu. A samozřejmě TCP. Za TCP hlavičkou už následují data.

Přidávání hlaviček ovlivňuje množství skutečných dat, které je možné přenést v jednom paketu. Například, pokud se připojujete k Internetu pomocí PPPoE, začíná každý paket osmibajtovou PPPoE hlavičkou. Ethernet má MTU (Maximum Transfer Unit, počet bajtů přenášených paketů) 1500. PPPoE tunel spotřebuje 8 bajtů, jeho MTU je tedy 1492 (co mi to číslo jenom připomíná). Pokud jste na IPv4 internetu, potřebujete 20 bajtů. IPv6 se dá tunelovat přímo v IPv4 (protokol 41), takový tunel má tedy MTU 1472. Dalším zajímavým číslem je TCP MSS (Maximum Segment Size, maximální velikost jednoho fragmentu dat uvnitř TCP paketu). To se v našem případě spočítá odečtením velikosti IPv6 hlavičky a TCP hlavičky od MTU, tedy 1412. Jen pro porovnání, TCP MSS pro nativní IPv6 po ethernetu je 1540, pro IPv4 po ethernetu 1460.

Automatický 6to4 tunel

Jeden z nejjednodušších tunelů na konfiguraci je 6to4. Potřebujete k němu veřejnou IPv4 adresu na stroji, který bude sloužit jako IPv6 router (nebo aspoň možnost na něj směrovat protokol 41). Pro jednoduchost uvedu příkazy pro Mikrotik RouterOS a prefix 2002:__ip:v4__::/48, kde __ipv4__ je IPv4 adresa převedená do hexadecimálního formátu (kde půjde napsat normálně, budu ji psát bez podtržítek).

/interface 6to4 add name=inet6 local-address=ipv4
/ipv6 address add interface=inet6 address=2002:__ip:v4__::1/16 advertise=no
/ipv6 route add dst-address=::/0 gateway=::192.88.99.1

IPv4 adresa 192.88.99.1 je vyhrazená anycast adresa, která je směrována na nejbližší 6to4 router. IPv6 adressa ::192.88.99.1 je tvořena samými nulami kromě posledních čtyř bajtů, ve kterých je zapsána IPv4 adresa. Rozhraní 6to4 přidá IPv6 paketu IPv4 hlavičku a pošle ho na tuto speciální adresu.

Na Gentoo je potřeba přidat symlink /etc/init.d/net.6to4 a několik řádků do /etc/conf.d/net (tunelujeme přes IPv4 adresu nastavenou na rozhraní eth0).

link_6to4="eth0"
config_6to4=( "ip6to4" )
depend_6to4() {
        need net.eth0
}

A ještě ukáži nastavení pro /etc/network/interfaces (Debian a odvozené distribuce).

iface sit0 inet6 static
        address 2002:__ip:v4__::1
        netmask 16
        gateway ::192.88.99.1

Na webu jsem narazil i na docela pěkný návod pro Mac OS X.

Tunely s pomocí SixXS

SixXS nabízí několik druhů tunelů, od statických (protokol 41, vyžadují veřejnou IP) přes Heartbeat (protokol 41, poradí si se změnami adres) až po AYIYA (většinou UDP, projde ledacos) a další. Používání tunelů od SixXS je trošku náročnější vzhledem k jejich bodovému systému (nebojte, o řidičák vás nepřipraví). Hlídají si, jestli tunel využíváte a pokud ne, nedostanete body na aktivování dalších služeb (podsítí a dalších tunelů).

Na druhou stranu, když už zvládnete body, máte vyhráno. Konfigurace jejich tunelovacího nástroje Aiccu je velmi jednoduchá a služby se mi zdají spolehlivé. Jen ještě doporučuji číst FAQ, ať nedostanete vynadáno, že hlásíte problémy, které jsou už stokrát vyřešené a dobře popsané.

Pro zajímavost ukáži nastavení statického tunelu na RouterOS. Váš tunel má adresu 2001:xxxx:xxxx:xxxx::2 a brána 2001:xxxx:xxxx:xxxx::1, za x doplňte podle údajů od SixXS. Za PoP-IPv4 dejte IPv4 adresu brány.

/interface 6to4 add name=sixxs local-address=Vaše-IPv4
/ipv6 address interface=sixxs address=2001:xxxx:xxxx:xxxx::2/128
/ipv6 route add dst-address=::/0 gateway=::PoP-IPv4

Směrování na 6to4 adresy můžete i v tomto případě nechat posílat rovnou přes IPv4.

/ipv6 route add dst-address=2002::/16 gateway=sixxs

Na Gentoo, Debianu a dalších distribucích se dá statický tunel nastavit podobně jednoduše. Postup konfigurace najdete například na http://gentoo-wiki.com/ nebo http://wiki.debian.org/. Nebudu se tu probírat ruční konfigurací a radši nabídnu pohodlnější nástroj, který SixXS nabízí pod názvem Aiccu. Ten je dostupný pro Linux, BSD, Mac OS X, Solaris, AIX a Windows. Některé distribuce se už při jeho instalaci ptají na údaje k SixXS účtu. Když se neptají, stačí je zadat do /etc/aiccu.conf.

username uživatelské jméno
password heslo

Pokud máte u SixXS založený jen jeden tunel, je všechno v pořádku. Pokud ne, můžete si nechat tunely vypsat a pak přidat do konfiguračního souboru ten správný tunel (například AYIYA).

# aiccu tunnels
Txxxxx 2001:xxxx:xxxx:xxxx::2 a.b.c.d simbx01
Tyyyyy 2001:yyyy:yyyy:yyyy::2 ayiya simbx01

Přidáte tunel do /etc/aiccu.conf.

username uživatelské jméno
password heslo
tunnel_id Tyyyyy

Tím je konfigurace hotová, už stačí jenom přidat na příslušná místa (například /etc/ppp/ip-up.d/10-aiccu a /etc/ppp/ip-down.d/10-aiccu, pokud se připojujete k Internetu pomocí pppd) přidat následující příkazy.

aiccu start
aiccu stop

Kromě SixXS jsou i jiné tunnel brokery. Například můžete zkusit tunnelbroker.net, v komentářích k minulému dílu na něj byly kladné reference (zvláště kvůli jeho jednoduchosti).

Teredo

Ještě existuje jeden zajímavý způsob tunelování, který nevyžaduje registraci. Jeho původní název je Shipworm a používá se například ve Windows Vista nebo Windows Server 2008. Hlavním rozdílem oproti ostatním protokolům je hojné využívání technik průchodu přes NAT. Jednotlivé Teredo klienty spolu komunikují pokud možno přímo (po otevření cesty NATem). Nastavením se nebudu zabývat, na Vistách je to přednastavené, na Unixu mi jsou sympatičtější jiné možnosti; pokud vás to přesto zajímá, podívejte se na Miredo.

Nezapomeňte na firewall

IPv6 firewall se na Linuxu nastavuje samostatně pomocí příkazu ip6tables. Protože máte vlastní podsíť, která je součástí Internetu, řešíte pouze filtrování. Detailní nastavení firewallu popisovat nebudu, to by bylo na samostatný článek. Upozorním vás ale na jeden aspekt 6to4 tunelů, který by vás mohl jinak překvapit. Pomocí 6to4 tunelů se vám může dostat na router libovolný IPv6 paket s vymyšlenou zdrojovou adresou (například některou z vašich vlastních) a cizí cílovou.

/ipv6 firewall filter add chain=forward in-interface=inet6 out-interface=inet6 action=drop

ip6tables -A FORWARD -i 6to4 -o 6to4 -j DROP

To samé platí i pro statické 6in4 tunely. Oproti 6to4 máte navíc možnost lépe bránit paketům z falšovaných adres. Následující pravidlo zajistí, že budete IPv6 pakety přijímat jen od poskytovatele tunelu.

/ip firewall filter add chain=input protocol=41 src-address=!PoP-IPv4 \
 action=reject reject-with=icmp-admin-prohibited

iptables -A INPUT -p 41 -s !PoP-IPv4 -j REJECT --reject-with icmp-admin-prohibited

Jen jsem nastínil, jak se dají řešit tyto dva konkrétní problémy. Některé další by měl řešit automaticky rp_filter nebo protokoly vyšší úrovně (TCP). Zbytek IPv4 a IPv6 firewallu si nastavte podle svých potřeb.

Pod prvním dílem se objevilo větší množství komentářů, které se týkaly zabezpečení jak IPv4, tak IPv6. Když budete pilně komentovat dál, třeba se v některém z následujících dílů dočkáte i přehledu obvyklých bezpečnostních problémů a jejich řešení.

Co bude dál?

Pokud jste chtěli mít IPv6 adresu na jednom počítači, máte hotovo. Příště se podíváme na to, co všechno je potřeba nakonfigurovat pro správnou funkci IPv6 podsítě. Pokud jste si právě vytvořili SixXS tunel, udržujte ho v provozu a sbírejte body na vaši novou podsíť :).

       

Komentáře

[Käyttäjä 11133]

Hezké Pokud by si chtěl někdo nastavit tunel ze svého openWRT routeru, tak je něco u mě na webu

[David Jaša]

Detailní nastavení firewallu popisovat nebudu, to by bylo na samostatný článek.

Doufám, že se tomu budeš v nějakém samostatném článku věnovat, je to jeden z důvodů, proč ještě IPv6 nemám.

[pavlix]

Taky doufám, ale zabere mi to dost času :D.

[TT]

To MSS bych upravil o 100 níž ... z 1560 na 1460; stejně u IPv6. A nebo mi dejte odkaz jak to na ethernetu nastavím takovéhle čarování bych si dal líbit :)

[pavlix]

Aj, díky.

[Ctirad]

MicroTik je nejvetsi shit, 3com je kvalita http://www.3com.com/products/en_US/prodlist.jsp?tab=cat&pathtype=purchase&cat=152882&selcat=Routers

[xm]

Muhehe, pán je vtipálek

[Michal Kubeček]

Spíš troll...

[Jiří Veselský]

Nebo trotl? Jsou to dvě hodně podobná písmenka, jeden nikdy neví...

[Michal Kubeček]

Je v tom rozdíl. Typický troll se chová jako trotl, ale ne každý trotl se projevuje jako troll. :-)

[the.max]

mas zcela jiste (svou) pravdu, kdyz neumis napsat ani spravny nazev

[Grunt]

Tím je myšlen Software,Hardware nebo firma?

[pavlix]

Tím je myšlen...

Já myslím, že ne :D.

[Grunt]

Já myslím, že ne :D.

Eh?

[pavlix]

LOL :D

Ptal ses, která z možností byla myšlena. Já jsem jen psal, že si myslím, že ten komentář neměl s myšlením nic společného :).

Jen jsem to trošku zkrátil, takže to k pochopení vyžadovalo ještě trochu (víc) fantazie a smyslu pro humor :).

[Grunt]

LOL

Kdo?

Ptal ses, která z možností byla myšlena. Já jsem jen psal, že si myslím, že ten komentář neměl s myšlením nic společného :).

Aha

Jen jsem to trošku zkrátil, takže to k pochopení vyžadovalo ještě trochu (víc) fantazie a smyslu pro humor :).

Asi chtělo.Čím dál víc pozoruji, že jsem asi PO positive, jelikož jsem googlil všechny možné tvary slova myslet a lámal si hlavu co jsem na něm pokazil.

[pavlix]

Jo vidíš, taková interpretace mě ani nenapadla :). Holt v tom psaní je jenom zlomek informace, no.

[Majklík]

Možná to chtělo trošku víc rozepsat, než jen takto zkratkovitě. Asi zmínit jaký je rozdíl mezi 6to4 tunelem (což je ten automatický) proti 6in4 tunelem, což je ten konfigurovaný na sixxs. 6over4 tunely asi nemá smysl pitvat. U těch 6to4 (RFC3056/3068) asi více zmínit jeho spolehlivostní a případně firewallové problémy. Jednak ta anycastová adresa se použije jen pokud komunikuji s někým, kdo nepoužívá automatický tunel (nemá prefix 2002::/16), pokud jde proti automatickému tunelu, tak se použije IPv4 dle toho, co má v té IPv6. Odpovědi od automatických tunelů můžou chodit z nejruznějších IP. I při posílání obecného IPv6 provozu na tu anycastovou adresu mohou odpovědi chodit i z jiných IP, tak pozor na stavové firewally. Někdy je lepší místo té anycastové adresy si anstavit natvrdo nějaký veřejný 6to4 bod, než to nechat skákat všemi směry, jak si zrovna budou data v routerech hovět, občas přes některé je dosti pochybná konektivita dál.

Na to IPv6 potřebuji RouterOS 3.x, že? A pokud jsem postřehl někde v diskusi, tak se to na ROS nebude s tím sixxsem chovat zcela srpávně jako 6in4 tunel, ale jako 6to4 tunel.

Jinak Teredo je už v XPčkách a nmožná i v tom preview pro W2K.

[Käyttäjä 11133]

Jinak Teredo je už v XPčkách a nmožná i v tom preview pro W2K.

Musím potvrdit, zkoušel jsem ve virtuálu jak je na tom podpora IPv6 ve WinXP a sotva co jsem napsal ipv6 install tak se mi nastavil IPv6 tunel. Ale pokud vím, tak to funguje jen s veřejnou IP adresou, nefunguje to za natem.

[Majklík]

Zajimavé. Očekával bych, že to Teredo pojede i přes NAT, protože to je jeho smysl, umožnit IPv6 tunel přes NAT, kde mají tunely 6to4 problémy.

Asi je otázka, jaký typ NATu tomu dám do cesty a jaké umí Teredo překonávat. Nezkoumal jsem v praxi, takže nevím.

[Käyttäjä 11133]

Ono možná WinXP používá jinou metodu . Alespoň jakou výchozí... A já to taky netestoval, doma NAT nemám. Vyčetl jsem to z dokumentace. Možná jsem to mohl včera vyzkoušet ve škole :-/

[pavlix]

A pokud jsem postřehl někde v diskusi, tak se to na ROS nebude s tím sixxsem chovat zcela srpávně

Nevidím důvod, proč by se to nemělo chovat správně.

[xm]

No mně třeba přijde podezřelé, že v tom uvedeném nastavení RouterOS pro SixXS stojí "interface 6to4", přičemž se ale nejedná o 6to4 tunel, nýbrž o 6in4 tunel. Ale možná má jen RouterOS takhle blbé názvosloví, moc se v něm nevyznám.

[pavlix]

Jo, tobě přijde podezřelé, takže to nefunguje.

Když zabalíš ipv6 paket do ipv4 hlavičky... je to 6in4, když navíc používáš adresu z 2002::/16 rozsahu se zabalenou ipv4 adresou, máš 6to4. Už zbývá jen správně nastavit směrování (hlavně default route, na ostatní většinou stačí šikovně volit prefixy).

[xm]

Nic takového jsem přeci nepsal - já nevím zda to funguje nebo ne, protože RouterOS neznám. Jen jsem psal že mi to při čtení toho článku přišlo podezřelé, nic víc, ale zároveň jsem si říkal že to asi bude holt specifikum RouterOS (prostě že má pitomé názvosloví - 6in4 rozhodně není podmnožinou 6to4).

[pavlix]

Je to nešikovně nazvané, ten tunel umí obojí. Nejde ani tak o to, co je podmnožinou čeho, obojí používá stejnou strukturu paketů, liší se jen v adresách a routách. Ty je možné nastavit.

[Majklík]

Na ROS jsem to nezkoušel, ale v jejich konferenci uváděli, že umí jen 6to4 tunely a ne 6in4.

Rozdíl mezi 6in4 a 6to4 je dosti velký, přestože tunelovací protokol vypadá stejně. Pokud pošlu vše do interface 6in4 tunelu (::/0), tak on vše, co se dostane na interface tunelu, pošle na IPv4 adresu konfigurované protistrany tunelu a nijak nad tím nepřemýšlí (statický tunel). V případě 6to4 tunelu je to tak, že tunel prvně zkoumá, zda cílová IPv6 adresa nezačíná 2002::/16 a pokud ano, tak ji netuneluje na nastavenou IPv4 adresu protistrany (což je u 6to4 dneska obvykle anycastová 192.88.99.1), ale na IPv4 adresu, co vyzobne z té IPv6 adresy z dalších 32 bitů po tom úvodním 2002 (dynamický tunel). Na IPv4 adresu definoveného konce tunelu se posílá pouze to, co nezačíná 2002::/16 (pokud teda nečaruji s některým dalším nastavením). Pokud se mi tunel, který očekávám jako 6in4 chová jako 6to4, tak to může mít dosti následky pro funkčnost, pokud se s tím nepočítá.

Pokud ten ROS máte v provozu, tak asi není nic jednoduššího, než to zkusit, zda se to chová i při tom nastavení pro SixXS jako 6in4 nebo 6to4.

[pavlix]

Jako 6to4 se chovat nemůže, na to nemá adresu. Funguje bez problémů, používám to už nějakou dobu.

[Petr Slansky]

ROS 3.x podporuje IPv6 jen v prikazove radce? Anebo i ve Winboxu? Udelal jsem riskantni krok a upgradoval RB133 z 2.9.51 na 3.6 ale na prvni pohled nevidim zadnou podporu pro IPv6(ve Winboxu). Takze se vse kolem IPv6 konfiguruje jen z prikazove radky? Ve Winboxu jsem zkusil ping na IPv6 adresu, a byla odmitnuta, pry prilis dlouha. Podobne jsem ale dopadl i v prikazove radce.

[Petr Slansky]

Tento rebus jsem uz teke rozuzlil, mel jsem IPv6 zakazane. Je potreba povolit "package" IPv6, pak se ve Winboxu ukaze nove menu "IPv6". Docela dulezita drobnost... Vypis balicku z prikazove radky:
/system package print

[pavlix]

Congratulations!

[Petr Slansky]

Domnivam se spravne, ze Mikrotik nema IPv6 zdokumentovane? Nemuzu k tematu ROS & IPv6 vubec nic najit...

[Grunt]

Domnivam se spravne, ze Mikrotik nema IPv6 zdokumentovane? Nemuzu k tematu ROS & IPv6 vubec nic najit...

Tak, tak. IPv6 je oficiálně až od verze RoS 3.X, jenže oficiální manuál k ní je "In progress", ovšem za pomoci TABulátoru a otazníku by mělo jít snad skoro vše vyřešit.

[petr_p]

XHTML element q neslouží k uzávorkování uvozovkami. To je jen vedlejší efekt. Jeho význam je in-line citace.

[pavlix]

Hmm, zvláštní, že v angličtině to nazývají stejně.

Btw, zdroj?

[Michal Kubeček]

quote - citát

quotation mark - uvozovky (jedny, tj. jeden znak)

[pavlix]

single quotes, double quotes

[Michal Kubeček]

To sice ano, ale že by si pod samotným "quote" někdo představil uvozovky, o tom silně pochybuji.

[pavlix]

No vidíš, a v tom se právě pleteš, ledaže bys předpokládal, že já nejsem :).

[Michal Kubeček]

Pod "někdo" jsem pochopitelně myslel native speaker.

[pavlix]

Já já si pochopitelně myslím, že řešíš kraviny.

[pavlix]

Dokonce bych asi musel zapomenout na některé autory slovníků.

[petr_p]

HTML4.01, Quotations: The BLOCKQUOTE and Q elements.

[pavlix]

Dík za snahu, tak ony i ty uvozovky jsou určené na citace. Tak když nemám zneužívat <q>, asi bych neměl zneužívat ani uvozovky, že?

[petr_p]

Hnutí mysly vynálezce uvozovek mi není známo, tudíž vaši doměnku nemohu ani vyvrátit, ani potvrdit.

Nicméně v češtině se uvozovky používájí nejen k uvedení přímé řeči neboli citace, ale také pro uzávorkování delších názvů, z nichž by nebylo zřejmé, že se o název jedná nebo kde končí, a dále pro vyznačení nespisovného nebo hovorového výrazu (případ „čtyřkového“ Internetu) a občas i pro výraz nadsazený či jinak nepřiměřený.

[pavlix]

Oki :).

[xm]

SixXS je výborný tunnel broker. Hlavně skvělé jsou jejich tunely přes UDP protokol AYIYA, které projdou téměř jakýmkoliv NATem (nesetkal jsem se s takovým, kterým by neprošly). Takže můžete mít veřejnou IPv6 adresu (nebo rovnou celý /48 prefix!) ať jste kdekoliv - na cestách, v práci, atp. Může to tedy sloužit i jako náhrada za VPN (pro protunelování se skrz různé firewally a NATy), to je obzvláště vhodné v kombinaci s IPSec

[Käyttäjä 11133]

na cestách, v práci, atp

A jak se SixXS tváří, když je ten tunel nedostupný? Nestrhávají za to body? To dělají jen u statických tunelů?

[xm]

Strhávání bodů se děje opravdu jen u statických tunelů. Dynamické AYIYA tunely (nebo i starší Heartbeat, které ale neumí procházet NATem) jsou dynamické právě od toho, že nemusí neustále běžet Pouze vám samozřejmě nepřibývají nové body, když neběží.

[Käyttäjä 11133]

No ony ty statické taky nemusí běžet stále . Klidně si můžu router restartovat, že? Ale co, já mám svůj krásný statický tunel a jsem spokojený.

[xm]

Tak pokud má člověk statickou veřejnou IPv4 adresu (a neustále běžící server/router), tak je statický tunel dobrou volbou (např. proto, že má menší režii než tunelování skrz UDP). Nicméně to není můj případ. Doma mám dynamický 6in4 tunel (to je obdoba statického, jen je IP adresa obnovována pomocí Heartbeat protokolu) a na cesty či do práce používám dynamický AYIYA tunel (který má sice trochu větší režii, ale poradí si s NATy).

[Majklík]

UDP může mít i určitou výhodu u některých ISP, kde se používá řízení datového toku, často jsme potkal, že protokol 41 a spol. byl dosti potlačen, ale UDP jede celkem OK, takže 6in4/6to4 tunely jedou jako šnek s velkým zpožděním a AYIYA jede mnohem lépe.

[disorder]

mozes ho aj vypnut na den, kazdu hodinu sa tusim testuje spojenie a vyhodnocuje sa ci bol aspon raz za den dostupny

[Käyttäjä 11133]

Jo, já vím jak to u nich funguje.

[rastos]

Tak neviem ako ostatní čitatelia, ale ja som sa celkom rýchlo v tom článku stratil. Zvlášť na tom čo je v class="kod". Ten prvý blok je uvedený textom: "Jeden z nejjednodušších tunelů na konfiguraci je 6to4." A za ním je pár riadkov citovaného kódu. Ale vôbec nie je jasné čo tie riadky spravia. Teda ... pravdepodobne spôsobia vznik nejakeho tunelovacieho mechanizmu, vďaka ktorému sa niečo dá robiť s IPv6 paketmi. Nešlo by vysvetliť to štýlom: takto sa pridá IPv6 adresa pre interface eth0, takto nastavim routovanie IPv6 paketov cez toto rozhranie, potrebujem taky a taky demon, take a take voľby v jadre.

Keď nemám gentoo, tak mi je takýto článok dosť nafigu. Čo gentoo urobí, keď nájde v /etc/conf.d/net text: link_6to4="eth0" ?

[xm]

Sice já se v oblasti IPv6 orientuji dost dobře a ten článek mi tak nic nového přinést nemohl, nicméně také se přimlouvám, aby tam byly všechny věci ukázány pomocí standardního příkazu ip. Psát specifické nastavení pro proprietární RouterOS a pro jednu jedinou distribuci mi přijde padlé na hlavu (klidně to tam může být, pro někoho to je jistě užitečné, ale v prvé řadě by tam v každém případě mělo být ruční nastavení pomocí příkazu ip).

[Majklík]

Souhlasím, komentované vytvoření tunelu pomocí příkazu "ip" by mělo být základem, pak můžou být zmíněny i některé distribučně závislé úchylnosti (nebo odkazy, kde to najít pro jednotlivá distra). Takto to může někoho dost vyděsit a odradit.

Jinak kdo má tunel od https://tunnelbroker.net/, tak na jejich webíku to vygeneruje po založení tunelu ukázku, jak to nakonfigurovat pomocí ip i staršího ifconfig (je tam podpora pro další hromádku systémů). SixXSové někde mají něco podobného taky.

[xm]

Na SixXS nic konfigurovat nemusíš, AICCU vše nakonfiguruje automaticky za tebe Plus také samozřejmě implementuje Heartbeat a AYIYA protokoly pro dynamické tunely.

Btw. jak je to vlastně s tunely od Hurricane Electric (tunnelbroker.net), podporují nějaký tunelovací protokol skrz UDP (třeba AYIYA nebo Tunnel Setup Protocol + IPv6-In-UDP-In-IPv4) nebo jsou to jenom čisté klasické 6in4 tunely? Jestli žádné tunelování přes UDP nepodporují, pak jsou spoustě lidem co jsou za NATem k ničemu...

[Majklík]

H.E. dělá jen klasické 6in4 tunely, což je pro NATaře problém. Výhoda proti SixXS je jendoduší vyřízení a hlavně mi vychází mnohem lepší a rychlejší konektivita na ně, než na SixXS.

AICCU je krásná věc, ale pokud jsem postřehl, tak špatně snáší stav, že nemá připojení, pokud to mám v linuxu jako pouštnou službu při startu, tak to na ni vytuhlo, dokud se mu nepodařilo tunel sestavit, což může být při cestování občas problém. Fakt je, že jsem nikdy hluboce nezkoušel, zda se to dá nějak poladit v cfg, aby rozumně timeoutoval a nic nedělal.

[xm]

Já mam na PoP nlams04.sixxs.net (kam mám tunel) ping průměrně okolo 28 ms, to mi přijde jako dostatečně dobrá odezva Kolik máte na H.E.? Je to lepší?

[Käyttäjä 11133]

A jakou odezvu máš od IPv6 endpointu?

[xm]

Myslíš přímo od IPv6 endpointu tunelu? Ta bývá okolo 32 ms - 35 ms.

[the.max]

Toto je muj ping na POP SIXXS do slovinska:

# ping 212.18.63.73 -c5
PING 212.18.63.73 (212.18.63.73) 56(84) bytes of data.
64 bytes from 212.18.63.73: icmp_seq=1 ttl=58 time=16.3 ms
64 bytes from 212.18.63.73: icmp_seq=2 ttl=58 time=16.2 ms
64 bytes from 212.18.63.73: icmp_seq=3 ttl=58 time=16.1 ms
64 bytes from 212.18.63.73: icmp_seq=4 ttl=58 time=16.5 ms
64 bytes from 212.18.63.73: icmp_seq=5 ttl=58 time=16.3 ms

--- 212.18.63.73 ping statistics ---
5 packets transmitted, 5 received, 0% packet loss, time 3998ms
rtt min/avg/max/mdev = 16.199/16.341/16.529/0.163 ms

# ping6 2001:15c0:65ff:154::1 -c5
PING 2001:15c0:65ff:154::1(2001:15c0:65ff:154::1) 56 data bytes
64 bytes from 2001:15c0:65ff:154::1: icmp_seq=1 ttl=64 time=16.3 ms
64 bytes from 2001:15c0:65ff:154::1: icmp_seq=2 ttl=64 time=16.3 ms
64 bytes from 2001:15c0:65ff:154::1: icmp_seq=3 ttl=64 time=16.5 ms
64 bytes from 2001:15c0:65ff:154::1: icmp_seq=4 ttl=64 time=17.1 ms
64 bytes from 2001:15c0:65ff:154::1: icmp_seq=5 ttl=64 time=16.6 ms

--- 2001:15c0:65ff:154::1 ping statistics ---
5 packets transmitted, 5 received, 0% packet loss, time 3998ms
rtt min/avg/max/mdev = 16.333/16.611/17.166/0.303 ms

[Majklík]

Záleží asi na tom, jakou má člověk konektivitu a kudy. Já ze sítě Dial Telecomu/ČRa mám odezvu cca (ms):
H.E. Frankfurt 20/25,
SixXS simbx01 45/40,
SixXS nlams04 45/40.
Uvidíme večer, bude nová linka přes GTSku, zda se něco změní.

[the.max]

ja ten tunel mam prez GTS, od Dialu mam ale jiz nativni 6ku

[pavlix]

Ruční nastavení pomocí příkazu ip tuším používá takováta skupina lidí, co si všecko dokážou vyhledat a zařídit a žádný článek k tomu nepotřebují.

Jako nápad je to hezký, popravdě mě to nenapadlo.

Rozhodl jsem se zařadit konfiguraci tří OS, z toho dvě jsou obvyklé linuxové distribuce. Zajímavé je, že u většiny věcí je ta konfigurace téměř stejná (až na to, že gentoo konfiguruje 6to4 víc "samo" než ostatní).

Pro SixXS a další můžou uživatelé Linuxových distribucí (a mnoha jiných OS) používat aiccu.

[xm]

Ruční nastavení pomocí IP je základ, to všechno ostatní už je moc specifické, není tak univerzální. Rozhodně by to tam uvedeno být mělo.

[pavlix]

Ok, tentokrát to máme bez bohužel bez ip.

[Majklík]

Co jsou dvě obvyklé distribuce je otázka, pokud mám dosah na pár tisísc linuxových serverů a všude je RHEL, SLES na něčem CentOS, na flashdiskových Slackware, tak je pohled na běžné distribuce odlišný.

Ale přimlouval bych se za to, jak to udělat u linuxu oběcně (v tomto případě tím ip) a pak můžete uvést i své oblíbené distribuce.

[pavlix]

Já si myslím, že obvyklé jsou.

[petr_p]

A proto si ohřeju již stářím zkaženou polívčičku.

[pavlix]

Tak neviem ako ostatní čitatelia, ale ja som sa celkom rýchlo v tom článku stratil.

Zkusím se polepšit :).

[rastos]

Ďakujem a oceňujem to.

[xm]

Jinak koho to zajímá, tak Google už taky běží na IPv6, hurá!

ipv6.google.com

[Majkls]

To zní pozitivně. Super! :)

[Luboš Doležel (Doli)]

No, akorát to přesměruje zpátky na IPv4

[Käyttäjä 11133]

IPv6 funguje pokud nejsi přihlášený na žádnou z googlích služeb.

[Majklík]

Doufám, že v některém z dalších dílů se objeví, jak má správně vypadat záznam pro defualtní routu, jaký je rozdíl mezi ::/0 a mezi 2000::/3, kdy se musí/může použít jedno/druhé.

Ono nám tu pobíhá i pár linuxových distribucí, kde třeba to ::/0 vůbec nefunguje.

[Käyttäjä 11133]

Neměla by defaultní routa vypadat takhle? default via 2001:15c0:668e::1 dev eth0 metric 1024 expires 21279806sec mtu 1500 advmss 1440 hoplimit 4294967295

[Majklík]

Bránu máte definovoanou přes globální adresu, obvyklejší je v lokálních síti použití link local adres (fe80::/10). Globální adresy se používají (musíte použít) v případě, že máte na té síti aktivní mobile IP (doufám, že na tohle téma také v tomto seriálu dojde).

Dále tam máte to defualt, což novější verze ip překládá zápis ::/0. Tohle obecně není dobře a některá jádra to ani neakceptují. V rámci lokální sítě budiž (pokud třeba máte ještě v provozu site local adresy fec0::/10, které odpovídaly IPv4 adresám 10.0.0.0/8 atd., ale ty jsou jsou už 4 roky zavrženy z používání).

Minimálně na bráně do Internetu by mělo být použito 2000::/3 místo ::/0, jinak se můžete dopouštět toho, že budete do sítě ven posílat pakety, co nemáte. Asi jak když někteří experti na IPv4 posílejí do veřejného internetu pakety pro 10.0.0.0/8 a podobné.

[Käyttäjä 11133]

Asi jak když někteří experti na IPv4 posílejí do veřejného internetu pakety pro 10.0.0.0/8 a podobné.

Však je prací nejbližšího routeru je zahodit

[pavlix]

Minimálně na bráně do Internetu by mělo být použito 2000::/3 místo ::/0

Tohle už právě podle mě neplatí.

Unspecified          00...0  (128 bits)   ::/128          
Loopback             00...1  (128 bits)   ::1/128         
Multicast            11111111             FF00::/8        
Link-Local unicast   1111111010           FE80::/10       
Global Unicast       (everything else)

(RFC 4291)

Mě osobně se ta myšlenka specifického prefixu globálních adres dost líbila, ale co se dá dělat.

[pavlix]

Ještě k těm privátním adresám... sice jsou v IPv6 deprecated, ale ne bez náhrady (zatím jen draft).

Pokud se někde používají, měl by je router explicitně odfiltrovat, když nemáme prefix veřejných adres.

[pavlix]

2000::/3 je deprecated.

Používat se má ::/0, adresovací schéma IPv6 se několikrát změnilo. Doufám, že mi někde neujela stará varianta...

[Majklik]

Prosím, můžete dát odkaz na dokument, který posílá 2000::/3 na smetiště dějin? Slyšel jsem to několikrát, ale nikdo nedokázal dát odkaz na materiál a ani jsem ho nenašel. Jen jsem vždy našel diskusi, že je to/není to zavrženo.

Jinak je samozřejmě pravda, že ::/0 představuje defautlní routu, kdežto 2000::/3 představuje směrování pro všechny globální unicastingové adresy, jak je to platné dneska, což je menší prostor a nemusí to za nějakou dobu platit.

Proto se používalo, že uvnitř jedné sítě se používalo pro defualtní routu ::/0, protože může používat adresy, které nejsou globálně adresovatelné a 2000::/3 se používalo na hranicích jendotlivých sítí, protože něco jiného, než ty 2000::/3 se nemají po Internetu co flákat (pomiňme teď multicasting, bude řešen v seriálku?). IMHO tahle pravidla vychází z původních 6bone pravidel, jak se to mělo řešit pro dynamický routing, že v IGP se má používat ::/0 a EGP propagovat 2000::/3 (dohadovlai se tenkrát i o ::/0 a nebo dokonce ::).

[Majklik]

Přesněji, globálních unicastových adres existuje v adresním prostoru IPv6 mnohem více (odkaz na RFC4291 tu už padnul) než 2000::/3, ale segment 2000::/3 je jediný segment z toho, který je přidělen pro používání (http://iana.org/assignments/ipv6-unicast-address-assignments), tak by se neměly jíné adresy, než ty 2000::/3, po Internetu poflakovat. Abych to zajistil na straně cílové adresy, tak to řeší to použití té default routy 2000::/3 místo ::/0 na bráně do Internetu a ne případného filtrování dalšímy prostředky.

[pavlix]

Přejeď o pár komentářů výše, ten link jsem tam uvedl. Někde v tom RFC najdeš detaily.

Jinak je samozřejmě pravda, že ::/0 představuje defautlní routu, kdežto 2000::/3 představuje směrování pro všechny globální unicastingové adresy, jak je to platné dneska, což je menší prostor a nemusí to za nějakou dobu platit.

Což je přesně důvod, proč se 2000::/3 jako prefix pro všechny globální adresy opouští.

::/0 a nebo dokonce ::.

:: určitě ne, to by nefungovalo, protože to znamená to samé, co ::/128, takže to pak neroutuje to vůbec nic.

[Petr Slansky]

Tak jsem vytvoril prvni IPv6 tunel, pouzil jsem miredo a protuneloval se pres dva NAT routery. Funguje to. Skoro. ping6 a traceroute6 bezi, dokonce FireFox umi otevrit URL s IPv6 adresou http://[2001:4860:0:1001::68], ale http://ipv6.google.com/ je zatim nefunkcni.

$ host ipv6.google.com
ipv6.google.com is an alias for ipv6.l.google.com.
ipv6.l.google.com has IPv6 address 2001:4860:0:1001::68

$ ping6 -c1 ipv6.google.com
unknown host

$ ping6 -c1 2001:4860:0:1001::68
PING 2001:4860:0:1001::68(2001:4860:0:1001::68) 56 data bytes
64 bytes from 2001:4860:0:1001::68: icmp_seq=1 ttl=58 time=162 ms

--- 2001:4860:0:1001::68 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 162.281/162.281/162.281/0.000 ms

Kdyz jsem hledal reseni, nasel jsem docela zajimave cteni o problemech IPv6:

http://cr.yp.to/djbdns/ipv6mess.html

[xm]

Ad ten článek o "problémech" IPv6 - prosímvás neberte pana D. J. Bernsteina vážně, je to s prominutím magor

Co se týče toho problému, musí to být IMHO někde v nastavení vašeho systému (pokud host IPv6 adresu správně resolvuje, ale ping6 toho schopen není).

[Petr Slansky]

Takze jsem na to prisel, ale nevim co je spatne. Ma Linux spatne implementvany DNS resolver? Vypada to, ze se nesrovna s aliasy pro IPv6 adresy (FC8):

$ uname -r
2.6.24.3-34.fc8

$ host ipv6.google.com
ipv6.google.com is an alias for ipv6.l.google.com.
ipv6.l.google.com has IPv6 address 2001:4860:0:1001::68

$ ping6 -c1 ipv6.google.com
unknown host

$ traceroute6 ipv6.google.com
ipv6.google.com: Name or service not known
Cannot handle "host" cmdline arg `ipv6.google.com' on position 1 (argc 1)

$ ping6 -c1 ipv6.l.google.com
PING ipv6.l.google.com(2001:4860:0:1001::68) 56 data bytes
64 bytes from 2001:4860:0:1001::68: icmp_seq=1 ttl=58 time=525 ms

--- ipv6.l.google.com ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 525.468/525.468/525.468/0.000 ms

$ traceroute6 ipv6.l.google.com
traceroute to ipv6.l.google.com (2001:4860:0:1001::68), 30 hops max, 40 byte packets
 1  vpn1.teleport-iabg.de (2001:1b10:100:3::2:1)  640.012 ms  637.273 ms  632.368 ms
...

Stranka ipv6mess.html pekne vysvetluje, proc je nepravdepodobne, ze IPv6 site brzy ovladnou svet, kde navrhari IPv6 udeli fatalni chybu, proc vlastne neni v nicim zajmu prejit z IPv4 pripojeni na plnohodnotne IPv6 pripojeni, proc po tolika letech vyvoje zde mame jen nekolik testovacich IPv6 siti. Ac IPv6 vypada jako rozsireni IPv4, neni to pravda; neni vsatne zpetne kompatibilni s IPv4 a v navrhu se pocita s uplnym prechodem na IPv6 na vsech servrech. Proc by se uzivatele pripojvali k IPv6, kdyz jim proti IPv4 nabidne jen problemy a zadne sluzby? Pokud se IPv6 prosadi (pri soucasnem stavu), bude to tak, ze budou vznikat na zelene louce IPv6 site, ktere na sebe budou velmi pomalu nabalovat nove uzivatele. Cina je pekny priklad, rozsahla "izolovana" komunita s omezenym pristupem do IPv4 a velkou potrebou IPv6 adres, muze i dovolit luxus, vybudovat vlastni IPv6 ekoystem; dalsi "rozvojove" zeme mohou nasledovat. Uzivatele majici IPv4 konektivitu ale nemaji zadny duvod spechat s prechodem na IPv6, je mnohem prijemnejsi zit za "maskaradou" na IPv4 nez na verejne dostupne IPv6 adrese. Je levnejsi hledat nevyuzite rozsahy IPv4 adres nez plne prechazet na IPv6.

Dalsim prikladem mohou byt podnikove site, tam by se IPv6 adresy take mohli brzy objevit. Prechodem na IPv6 zamestnace prakticky odriznete od stareho IPv4 sveta, se vsemi rozptylenimi ktere nabizi Teda, pokud budou spravci site chtit resit problemy spojene s prechodem na IPv6 (rekonfigurace vsech serveru, routeru a softwaru).

Jeste otazka k zamysleni? Proc mam na Linuxu prikazy ping a ping6, traceroute a traceroute6 (tedy separatni verzi pro IPv4 a IPv6) kdyz je IPv6 jen rozsireni IPv4? Teoreticky by mel stacit jen jeden prikaz, ping a traceroute. Proc to striktne oddelovat? Protoze IPv6 a IPv4 jsou oddelene svety?

[Käyttäjä 11133]

Plácáš hlouposti. IPv6 není rozšíření IPv4, ale další protokol. A zpětná kompatibilita? Na co by mělo mít IPv6 zpětnou kompatibilitu když ničemu nebrání provozování IPv6 a zároveň IPv4 na stejné síti? Jo kdyby IPv6 nemohlo koexistovat s IPv4 tak to by se tam nejspíše nějaká ta kompatibilita zahrnout musela, ale tento předpoklad neplatí.

Jeste otazka k zamysleni? Proc mam na Linuxu prikazy ping a ping6, traceroute a traceroute6 (tedy separatni verzi pro IPv4 a IPv6) kdyz je IPv6 jen rozsireni IPv4? Teoreticky by mel stacit jen jeden prikaz, ping a traceroute. Proc to striktne oddelovat? Protoze IPv6 a IPv4 jsou oddelene svety?

Jak již jsem řekl IPv6 není rozšíření IPv4. A ano dala by se do příkazu ping dopsat detekce zadané IP adresy jestli je IPv4, nebo IPv6, ale jak by to pan chytrý dělal s DNS záznamy, když můžou obsahovat jak A záznamy, tak AAAA záznamy? (Navíc je i obsahují viz mantisha.m4r3k.org, regnis.m4r3k.org, urberi.m4r3k.org a spousta dalších ) A pokud by si měl ten skvělý nápad přidat parametr -6 tak věř, že já osobně si myslím, že je to z tohoto pohledu naprosto ekvivalentní řešení. Pro traceroute a tracepath to platí analogicky.

[Michal Kubeček]

ale jak by to pan chytrý dělal s DNS záznamy, když můžou obsahovat jak A záznamy, tak AAAA záznamy?

Stejně jako to dělá třeba ssh a řada dalších: automaticky podle gai.conf s možností explicitního přepisu pomocí přepínače -4 resp. -6. Rozdíl je IMHO v tom, že zatímco TCP protokol je (až na nepatrnou drobnost) pořád stejný, takže stačí místo gethostbyname() použít getaddrinfo() a být trochu opatrný, ICMPv6 je odlišný protokol od ICMP, takže i implementace ping6 se uvnitř liší od implementace ping.

[xm]

Linux má DNS resolver implementovaný dobře, mě to např. funguje zcela správně (a ani v minulosti jsem s tím nikdy neměl problém, přestože IPv6 používám už asi 5 let). Problém je někde na vaší straně.

K té snůšce blábolů co je dole se radši nebudu vyjadřovat, musel bych být sprostý Pan Bernstein neví o čem mluví (zjevně IPv6 zrovna dobře nepochopil), těch nesmyslů co v tom je, to je do nebe volající. Moje antipatie k panu Bernsteinovi (které jsem měl odjakživa, třeba kvůli jeho "úchvatným" licencím a vůbec přístupu a aroganci) se tímto ještě prohloubily.

[Petr Slansky]

Co toto? IPv6 a NTP? Take snuzka blabolu? Anebo to s nazory "magora" vubec nesouvisi?

http://www.eu.socialtext.net/ntp/index.cgi?ipv6

[Petr Slansky]

A jeste jeden, skepticky nazror, od IPcop vyvojare: http://marc.info/?l=ipcop-user&m=119611907408638&w=2

Kratce receno, z jeho pohledu se nema cenu v pristich 5 letech seriozne IPv6 zabyvat...

Vidim to podobne, jsem skeptik Konecne mam IPv6 tunel, je to pekna hracka. Konecne jsem videl pohybujici se zelvicku na kame.net. Vyzkousel si, ze ipv6.google.com skutecne funguje. Overil si, ze mirado me propoji na ipv6 sit, pokud budu potrebovat. Presvedcil se, ze prujem.cz delal jen velka ramena a na ipv6 zadny funkcni server nema. Pak jsem nasel nejaky seznam www serveru fungujicich v IPv6 prostoru, ale nezanedbatelna cast byla nefunkcni. Casem se treba podivam na nejake video ve vysokem rozliseni. Mozna ze se v lete podivam na nejake cinske servy venovane olympiade, ktere pobezi na IPv6 siti. Taky jsem narazil na prvni problemy s kompatibilitou. A hlavne, pokud jsem patral cim nahradit svuj "router" aby mel IPv6 podporu, tak, nikdo se do IPv6 podpory nezene (pfSense, IPcop, m0n0wall), IPv6 neni prioritou...

A co dal? Vyda abclinuxu tricko "IPv6 skeptik"

[Ondrej 'SanTiago' Zajicek]

Presvedcil se, ze prujem.cz delal jen velka ramena a na ipv6 zadny funkcni server nema

No me funguje http://prujem.cz/ pres IPv6 - je tam server s velkym mnozstvim filmu a porna.

[xm]

Váš pohled je _velice_ krátkozraký. Jinak btw. vaše IPv6 konektivita asi bude nějaká vadná, jelikož prujem.cz rozhodně velká ramena nedělal, obsahu je tam přes IPv6 spousta (nejen porno, ale i normální filmy). Opět bych hledal chybu na vaší straně :-P

[pavlix]

No vidíš... a přijde další skeptik... co řekne, že v nejbližších 5 letech nemá cenu se seriózně zabívat Linuxem :D. Co na tom, že jsou lidi, co se jím zabývají od začátku devadesátých let... to je přece jen banda snílků, že?

Nebo... před pár desítkami let, když ze začínalo používat IPv4... taky se tiskly trička pro IPv4 skeptiky? :D

[pavlix]

Presvedcil se, ze prujem.cz delal jen velka ramena a na ipv6 zadny funkcni server nema.

Huf, do teďka jsem si myslel, že ses jen v několika drobnostech spletl.

Je na čase přestat komentovat a začít přemýšlet... pak vyzkoušet... pak ještě jednou přemýšlet (mezitím člověk přestane vyvozovat špatné závěry z nedostatku informací)... pak si s tím nějakou chvilku hrát... a když už mi to všecko funguje aspoň tak dobře jako všem ostatním, tak začít dělat chytrého v komentářích pod článkem.

A pokud mi něco nejde, tak se zeptám, jak na to, a ne že prudim lidi kecama o tom, co všechno nefunguje, když na první pokus zjistěj, že jim to jde.

Přeju hodně štěstí :), nad novýma věcma se občas nějaká ta hodina stráví :).

[P]

Dobre, uznavam, ze s prujem.cz jsem byl vedle. Neco je pokazene, asi miredo... Anebo nefunguje IPv6 routovani jeste uplne spravne, ne vsichni IPv6 klienti na sebe vzajemne vidi (coz je zavazne obvineni, ze?) Neznate nahodou jiny server ve stejne podsiti, proti kteremu by sel napsat bugreport? prujem.cz neni uplne nejlepi volba, mohl by vyvojare rozptylovat od seriozni prace, pripadne zpusobovat jine komplikace...

Problem je zaludnejsi, dva pocitace na stejne domaci podsiti, dve ruzne technologie, ruzne vysledky:

Linux, Miredo 1.1.5
1) prujem.cz je NEDOSTUPNY, http://[2a01:490:11:1:3:3:7:0]/
2) www.kame.net je DOSTUPNY, http://[2001:200:0:8002:203:47ff:fea5:3085]/
3) ipv6.google.com je dostupny, http://[2001:4860:0:1001::68]/

WinXP, Teredo
1) prujem.cz je DOSTUPNY, http://[2a01:490:11:1:3:3:7:0]/
2) www.kame.net je NEDOSTUPNY, http://[2001:200:0:8002:203:47ff:fea5:3085]/
3) ipv6.google.com je dostupny, http://[2001:4860:0:1001::68]/

IPv6 experti mohou znovu overit

[xm]

Problém bych viděl právě v Teredo tunelech. Neznám nikoho, kdo by Teredo na Linuxu používal. Pořiďte si pořádný tunel (třeba 6in4 od SixXS nebo tunnelbroker.net), tak nikdy žádné problémy s routováním mít nebudete (alespoň já jsem za těch cca 5 let neměl a to sem používal mnoho tunelů).

[Petr Slansky]

Ale bezny uzivatel si nebude zrizovat 6to4 tunel, bude pouzivat Teredo (protoze vetsina obycejnych uzivatelu je za NAT, pripadne za routerem ktery 6to4 ani IPv6 neumi). Uzivatele MS Windows a Teredo mohou nastup IPv6 urychlit, aspon v prvnich fazich; ale musi to fungovat stejne dobre jako IPv4. Zkuste na chvili zapomenout ze jste sitovy specialista a pokuste se na IPv6 podivat ocima bezneho uzivatele, ktery ma problem nastavit si spravne IPv4 konfiguraci. Bezni uzivatele Linuxu si take nebudou budovat 6to4 tunely, budou prevazne pouzivat Miredo, protoze je to nejjednodusi, bezudrbove reseni (zatim ma jeste mouchy).

Jsem za NAT (pro odborniky 1:N) a nemam verejnou IP adresu (a nijak zasadne mi to nevadi; je to porad mnohem lepsi nez v praci za dobre nastavenycm firewalem...). 6to4 tedy pro me neni. A zatim neni IPv6 tak zajimave, aby jsem do jeho zkoumani byl ochoten investovat vice nez jeden vikend, takze tunel zatim asi ne; rekneme ze o tunelu zacnu uvazovat, az vznikne nejaky domaci provider. IPv6 je porad jeste jen experiment...

Pokud mi date tip na server, ktery je v podobne oblasti jako prujem ale ma nudnejsi obsah, tak napisu bug report pro Miredo.

[Käyttäjä 11133]

Tím providerem myslíš třeba UPC?

[P]

K UPC se clovek pripoji jen, pokud bydli na luxusni adrese (ma doma kabel). Myslel jsem spise pripojny bod pro tunel, nez plnou IPv6 konektivitu; protoze az zacnou v CZ vznikat pripojna mista, bude to signal, ze se v IPv6 neco deje.

Opakoval jsem pokus s miredo, ted se pripojim na vsechny tri adresy, ale kame.net obcas zlobi. To vypada spise na problemy v IPv6 infrastrukture (pretizeny spoj?) nez na Miredo. Podobne Terodo pod WinXP.

[Käyttäjä 11133]

Měl jsem něco rozjednáno s Cesnetem, ale vypadá to, že to usnulo na mrtvém bodě.

[pavlix]

Vidíš, ses ani nepochlubil... a ono koukám není čím.

[pavlix]

Spíš na Teredo infrastruktuře než IPv6 infrastruktuře, podle mě.

[pavlix]

V případě Teredo je ještě jeden problémek, jsi pro tu infrastrukturu bezejmenný anonym. Nemáš ani vyjednaný s nikým tunel, ani nativní konektivitu. Prostě jenom zkusíš, jestli ten tunel náhodou nebude fungovat.

Buď to vyjde nebo to nevyjde :).

[xm]

To rozhodně nebude problém v IPv6 infrastruktuře, ale v Teredo infrastruktuře. Přečtěte si něco více o Teredo, ať víte s jakým bazmekem máte co do dočinění...

Jsou daleko lepší možnosti IPv6 připojení, i když jste za NATem - obdoba 6in4 tunelů, kde jsou však pakety zabaleny do UDP - buď protokol AYIYA (provozuje ho především SixXS) nebo protokol TSP (provozuje ho především Freenet6).

[Majkls]

V Česku vím minimálně o 2500 webech, které jsou přístupné přes IPv6.

[pavlix]

Běžný uživatel neví, co je to IP adresa, tím bych uzavřel debaty o běžných uživatelích :).

Nejsem si jistý, jestli Teredo může nástup IPv6 nějak výrazně urychlit. Pokud Teredo nebude fungovat dobře, tak ho neurychlí vůbec (bude to jen další alternativa Hamachi, ICE a podobných).

Na experimenty se 6to4 stačí mít přístup k nastavení NAT routeru a jeden puštěný počítač (když ho vypneš, vypneš tím i 6to4). To samé na statický tunel. Na dynamický AYIYA tunel není potřeba nic než si ho zařídit a spustit aiccu.

IPv6 je porad jeste jen experiment...

IPv6 tunely jsou o dost větší experiment než IPv6.

Tip na server asi nedám, navíc pochybuju, že bugreport pro Miredo nějak zásadně pomůže. Ale doporučím utility tracepath6/traceroute6, které občas odkryjí místo, kde se routování rozbije. Jen nevím, co ukáže v případě Teredo tunelu.

[pavlix]

Ještě menší dodatek, naprostá většina domácích uživatelů má (jednu) vlastní (zřídka se měnící) IPv4.

[xm]

Pokud jste za NATem, více viz můj příspěvek výše (AYIYA nebo TSP tunel). Teredo opravdu nefunguje dobře.

[pavlix]

Dík za info, jak moc to máš otestovaný, že Teredo nefunguje dobře?

[xm]

Nějak moc ne, jen když jsem to sám párkrát ze zajímavosti zkoušel, vždycky se tam objevily nějaké problémy s routováním ("odříznuté" části IPv6 světa - routy které fungovaly jen někdy, atp.). Zkrátka Teredu prostě nedůvěřuji.

[pavlix]

Teredo je trochu alchymie, tvoje výsledky tomu jenom ještě víc nasvědčují :).

A k tomu bugreportu, nenapadá mě... a ani vlastně nevím, kam přesně bys musel ten bugreport poslat, aby to mělo smysl. Možná bych se zkusil ptát na kame.net.

Nejspíš to bude souviset s tím, přes který Teredo server se připojuješ, ale popravdě do toho nějak moc nevidím... a nechtělo se mi to zkoumat.

Že na sebe "nevidí" úplně všechny IPv6 koncové body je celkem přirozené a podobná situace je v IPv4. Vždycky je co zlepšovat :). Ale tohle ukazuje, že je někde něco hodně shnilého. Zkoušel jsi už jinou technologii než Teredo? Třeba statický tunel, 6to4 nebo AYIYA?

[Petr Slansky]

Tento vikend jsem zkusil freenet6 ktery nabizi free IPv6 pristup, jejich klient by mel prekonat NAT, navic maji nektere Linux distribuce podporu pro jejich klienta v repozitari (Ubuntu). http://go6.net. projekt by mel demonstrovat pristupove routery firmy hexago.net. go6.net nabizi anonymni pristup, anebo pristup pres registraci. Vyzkousel jsem obe moznosti, vysledek tragicky, ani na ipv6.google.com jsem se nedostal. Miredo/Toredo fungovalo o poznani lepe. Jednim z vysvetleni je, ze jejich router je pretizen anebo maji spatnou konektivitu, pripadne spatne nastavene routovani.

[pavlix]

freenet6 jsem nezkoušel.

Ale podezřelé je už to, že to jde bez registrace, od toho bych nic dobrého nečekal.

[Petr Slansky]

Takze DNS problem vyresen. Po FC8 jsem zkusil i ArchLinux a choval se stejne spatne. Nejprve jsem si myslel ze mam problem na IPcop boxu, ktery me pripojuje do IPv4 a pouzivam jej take jako lokalni DNS server. Zmenil jsem na PC s IPv6 tunelem DNS server, pouzvam ted DNS server v internetu a "ping6 ipv6.google.com" funguje. Jen zmena radku s nameserver v /etc/resolv.conf.

Dalsim setrenim se ukazalo, ze problem neni na IPcop boxu ale v DNS serveru meho ISP, na ktery IPcop spoleha: 62.141.0.1

[pavlix]

Já jsem naštěstí všechny problémy s DNS vyřešil ještě před hraním si s IPv6.

Obvykle šlo o odlišné chování různých resolverů.

[pavlix]

Stranka ipv6mess.html pekne vysvetluje

Mě osobně ta stránka přijde jako snůška nesmyslů. Teda četl jsem jenom začátek, ale nepředpokládám, že by se dál něco měnilo.

Prechodem na IPv6 zamestnace prakticky odriznete od stareho IPv4 sveta

Tohle je právě dost hloupý způsob uvažování. Jestli něčím někoho odříznete od IPv4 světa, bude to tím, že zrušíte IPv4, ne tím, že zavedete IPv6.

Jinak například IPv4 adresy jsou mapované na IPv6 (což autor asi netušil, když to psal).

Ma Linux spatne implementvany DNS resolver?

Podle mě nemá. Podle mě nemá vůbec implementovaný resolver. Nikde v configu jsem nic o resolveru neviděl. Navíc různé aplikace prokazatelně používají různé resolvery.

Teoreticky by mel stacit jen jeden prikaz, ping a traceroute.

Například Mikrotik má jen příkaz ping. Je pravda, že separátní verze některých příkazů jsou trochu nešťastné. Ale myslím, že Linux za to zrovna nemůže, iproute2 například používá příkazy společné.

Protoze IPv6 a IPv4 jsou oddelene svety?

Filozofická otázka :). V něčem jsou odlišné, mnoho mají společného... a velmi dobře fungují pohromadě.

[Grunt]

Podle mě nemá. Podle mě nemá vůbec implementovaný resolver. Nikde v configu jsem nic o resolveru neviděl. Navíc různé aplikace prokazatelně používají různé resolvery.

Nejsem si jist, ale mám pocit že aplikace používají k překládání libresolv, takže by mělo stačit aby byl přeložen s podporou IPv6.

Například Mikrotik má jen příkaz ping. Je pravda, že separátní verze některých příkazů jsou trochu nešťastné. Ale myslím, že Linux za to zrovna nemůže, iproute2 například používá příkazy společné.

No tak zrovna RoS to má řešené tak, že ten binární bazmek určí o jaký typ se jedná a pak použije tu nebo tu verzi příkazu, aby nemátli uživatele. Je to jen o tom jak se to všechno pojmenuje.

[pavlix]

Nejsem si jist, ale mám pocit že aplikace používají k překládání libresolv, takže by mělo stačit aby byl přeložen s podporou IPv6.

Takže se k moji doměnce, že Linux resolvování neimplementuje připojuješ :).

No tak zrovna RoS to má řešené tak, že ten binární bazmek určí o jaký typ se jedná a pak použije tu nebo tu verzi příkazu, aby nemátli uživatele. Je to jen o tom jak se to všechno pojmenuje.

Implementační detaily jsem neřešil, šlo mi o uživatelské rozhraní (jak příkazové, tak grafické).

[Ondrej 'SanTiago' Zajicek]

Vite nekdo o nejakem duvodu, proc pro pripojeni site s pevnou verejnou IP adresou vyuzit staticke tunely a tunel brokera oproti vyuziti 6to4 tunelu? Me prijdou 6to4 tunely vyrazne vyhodnejsi, zejmena kvuli prime komunikaci mezi ruznymi sitemi pouzivajicimi 6to4.

[pavlix]

Mě napadají tři.

1) 6to4 obvykle spoléhá na funkčnost 192.88.99.1, pokud ne, musíš si najít nějaký veřejný relay router a spoléhat na něj.

2) Reverzní DNS. Sice existuje nějaká nastavit DNS pro 6to4, ale u vlastního přiděleného rozsahu je to jednodušší, transparentnější a pravděpodobně bezpečnější.

3) IPv6 spoofing. Na 6to4 relay je zvykem posílat pakety z jakéhokoliv jiného IPv4&IPv6 routeru. Statický tunel se z hlediska bezpečnosti chová (při rozumném nastavení) téměř jako nativní konektivita, zatímco 6to4 přidává možnost falšovat zdrojové adresy téměř bez omezení (ještě budu muset pročíst nějaké to RFC, třeba už to mají nějak vyřešené, každopádně je to složitější).

A... když se ještě trochu zamyslím...

4) To, že se subnet routovaný statickým tunelem chová jako nativní subnet, usnadňuje testování a ladění před přechodem na nativní konektivitu.

Za ty výhody zaplatíš většinou zvýšenou latencí a omezeným datovým tokem (tuším, že 1mbit/s na sixxs).

[xm]

NA SixXS datový tok nijak omezen pokud vím není.

[pavlix]

Když myslíš, nechce se mi to hledat :).

[xm]

Mám 10 mbit linku a přes tunel na SixXS stahuju plnou rychlostí (linku vytížím - testováno na prujem.cz ). Takže na 1 mbit to opravdu omezené není.

Ale koukl jsem se i do FAQ a tam mi to potvrzují:

Is there a traffic/data limit?

There is no enforced traffic limit on any of the tunnels. In essence we would actually love to see a lot more IPv6 traffic.

[pavlix]

Tak díky za dobrou zprávu.

[Käyttäjä 11133]

Imho je to věc toho našeho POPu... :-/

[xm]

A jaký POP to používáte? Ať vím čemu se vyhnout až budu v budoucnu případně zřizovat další tunel

[pavlix]

Čechy většinou dávaj na Slovinsko/Maribor, podle mě. Mam doma 1.5mbit, takže jsem ani nějak nezjišťoval, jestli tam to omezení je nebo neni.

[Käyttäjä 11133]

Mám doma 10Mbit a omezení tam opravdu je.

[xm]

Tak proč si nevytvoříte nový tunel na nějaký lepší POP? Tunel s takhle stupidním omezením je k ničemu...

[Käyttäjä 11133]

Protože SixXS není můj jediný tunnel broker...

[pavlix]

Tunel s takhle stupidním omezením je k ničemu...

No... tunel s takhle stupidním omezením je mi úplně k tomu samému jako tunel bez něj. Stejnak mi to po mojí lince rychlejc nepojede :D. Takže asi proto.

[pavlix]

Popravdě si myslím, že by bylo lepší, kdyby takhle omezili všechny. Takhle bude každej akorát tak tunelovat.

[xm]

Prosím? Proč by jako měli omezovat všechny? To snad závidíte ostatním, že mají lepší konektivitu než vy a chtěl byste jim "rozšlapat bábovičky"?

[pavlix]

Doporučuju přečíst můj komentář ještě jednou.

[xm]

Přečetl jsem si ho ještě dvakrát a nepomohlo to, asi jsem dnes nějakej málo chápavej Prosím tedy o vysvětlení pro blbce

[pavlix]

Prosím tedy o vysvětlení pro blbce

Tak zlé to snad nebude :).

Ale obviňovat mě ze závisti blbost je. Doma mi tohle připojení stačí (a musí stačit). Na serveru máme tuším 100mbit.

Ale na serveru na tom 100mbit bude nativí šestka a ne tunel. A nevidím důvod, proč by se měl rychlý IPv6 internet stavět jen jako další vrstva IPv4. Pokud mam peníze a možnosti získat kvalitní linku... a chci IPv6, tak mam většinou možnost získat kvalitní linku i s IPv6.

Ale třeba se tu najde dost lidí, co si myslí, že rychlé IPv6-on-IPv4 tunely jsou fajn.

Jenže pak to dopadá, jako když mi kámoš řekl, že OGG zní hůř než MP3. Pak z něj vypadlo, že to do toho OGGu konvertoval z MP3. Podobně to dopadne, když se budou prosazovat tunely místo nativu.

[xm]

Ten 10 mbit mám doma (kabelovka), od nich nativní IPv6 konektivitu rozhodně nezískám. A to samé bude platit pro tisíce a tisíce dalších domácích uživatelů. Pro ty ještě dlouho budou IPv6 tunely jedinou možností, bohužel. A uměle jim omezovat rychlost je naprostá pitomost, to na ISP žádný tlak k zavedení nativního IPv6 nevyvolá, akorát to ty lidi nesmyslně omezí.

[pavlix]

Když myslíš... ale už jsi mě aspoň pochopil (a skončil jsi svoje řeči o závisti).

[xm]

Dávaj? Nedávno jsem si zrovna psal o nový tunel, řekl jsem si o nlams04 (Nizozemsko) a dostal jsem ho, žádný problém. Krom toho mám ještě tunely do Německa (už cca 5 let). Ani jednou jsem se nesetkal s tím, že by mojí žádosti nevyhověli a místo toho mi přidělili tunel na jiný POP.

[pavlix]

Dávaj?

Ano, dávaj.

Nedávno jsem si zrovna psal o nový tunel, řekl jsem si o nlams04 (Nizozemsko) a dostal jsem ho, žádný problém.

+1

Ani jednou jsem se nesetkal s tím, že by mojí žádosti nevyhověli a místo toho mi přidělili tunel na jiný POP.

Já taky ne.

[Ondrej 'SanTiago' Zajicek]

1) pokud ne, musíš si najít nějaký veřejný relay router a spoléhat na něj.

Tedy spoleham na 6to4 relay router, zatimco pri staticych tunelech spoleham na router tunel brokera - zadny rozdil.

2) Reverzní DNS.

V tom nevidim zadny koncepcni rozdil - proste mam jiny rozsah a pouzivam jinuu reverzni domenu, koncepcne je to zcela stejne. Prakticky rozdil je mozna v tom, ze u statickeho tunelu zarizuje delegovani tunel broker, ktery bude IPv6 aware, zatimco u 6to4 to zarizuje ISP, ktery o IPv6 treba ani nic nevi.

3) IPv6 spoofing.

No zdrojova IP adresa stejne neni duveryhodny udaj, takze to, ze je ji mozne spoofovat jeste snaze, neni zas tak velky problem.

4) že se subnet routovaný statickým tunelem chová jako nativní subnet,

A jak se v tomto smeru lisi subnet routovany 6to4 tunelem oproti subnetu routovanyho statickym tunelem? IMHO akorat jinym prefixem. Pri prechodu na nativni konektivitu bude stejne treba prefix zmenit.

[pavlix]

zatimco pri staticych tunelech spoleham na router tunel brokera - zadny rozdil.

Tunnel broker funguje, jinak bys ho nepoužíval. Pokud používáš 192.88.99.1, tak to záleží zcela na tvém poskytovateli IPv4. Třeba na o2 to střídavě fungovalo (s hrozivou latencí) a střídavě vůbec. I to slovinsko je občas blíž :), pokud mluvíme o SixXS. Pokud používáš konkrétní relay, tak už se to jedním směrem chová jako statický tunel, ve druhém to opět spoléhá na (všecky možné) relay routery na straně nativních IPv6 počítačů.

zatimco u 6to4 to zarizuje ISP, ktery o IPv6 treba ani nic nevi.

To zní jako dost zásadní rozdíl, skoro jako úspěch versus neúspěch. Mám dojem, že spousta koncových poskytovatelů IPv4 není ochotná nastavit ani reverzní záznam na tu jednu IP adresu. I když mám dojem, že to u 6to4 bude fungovat trochu jinak, co jsem na to koukal.

No zdrojova IP adresa stejne neni duveryhodny udaj, takze to, ze je ji mozne spoofovat jeste snaze, neni zas tak velky problem.

To zní rozumně.

A jak se v tomto smeru lisi subnet routovany 6to4 tunelem oproti subnetu routovanyho statickym tunelem? IMHO akorat jinym prefixem. Pri prechodu na nativni konektivitu bude stejne treba prefix zmenit.

Liší se v prefixu... a liší se v přístupu některých routerů, které mají nativní konektivitu. Funguje to o něco složitěji.

Pořád ještě si myslím, že je pravděpodobnější, že se někam nepřipojíš z 6to4 než z nativní IPv6 nebo statického tunelu.

Ale vidím, že se ti 6to4 líbí a tyhle drobnosti tě neodradí. Je to celkem elegantní řešení.

[Luboš Doležel (Doli)]

Nastavoval jsem 6to4 na RouterOS a bylo zapotřebí výchozí routu přidat trochu odlišně, jinak to selhalo (chce to interface):

/ipv6 route add dst-address=inet6,::/0 gateway=::192.88.99.1

[pavlix]

Díky, připoměl jsi mi, že jsem to měl nastavený "postaru" (2000::/3).

Ale teď jsem to zkoušel a funguje bez problémů bez "inet6," (verze 3.6). Jakou verzi máš?

[motorcb]

Chtěl bych nastavit IPv6 od Sixxs na Mikrotik na kterém nemám veřejnou IPv4. Je možné použít nastavení na zařízení bez veřejné IPv4?

[pavlix]

Hezké, po tolika letech. Podle všeho aiccu portováno na Mikrotik není a nevím o tom, že by uměl nějak nastavit AYIYA.

Takže bych to zkoušel buď s veřejnou IP, s něčím jiným než mikrotikem (OpenWRT například), nebo pomocí nějaké na mikrotiku podporované VPN, ideálně bez SixXS.

[pavlix]

/ipv6 address add interface=inet6 address=2002:__ip:v4__::1/64 advertise=no

Tady to je zřejmě chyba, protože pro správné routování mezi 6to4 by ten rozrah měl být /16 a ne /64.

[Luboš Doležel (Doli)]

Opraveno.