Het grote IPv6 topic

[Snow_King]

Een beetje een crosspost om aandacht te trekken voor een ander topic: Netneutraliteit en poort blokkades



(Typo's in Tweets, ik weet het....)

Ik vroeg mij dus met een collega gisteren af of Vodafone zodra ze IPv6 gaan uitrollen weer poorten gaan blokkeren richting telefoons.

Bij NAT is het een bijwerking, maar bij IPv6 niet. Dus ik vraag mij af of Vodafone wel inkomende poorten naar mijn telefoon mag blokkeren onder de wet netneutraliteit.

Iemand enig idee? Lijkt mij namelijk een interessant verhaal!

[Onbekend]

Oh, ze zijn dus gewoon de ondersteuning op de iPhone versie 6 aan het uitrollen.

Ik ben aan de andere kant wel een beetje blij dat IPv6 langzaam wordt ingevoerd plaats van snel. Ik zie namelijk dat veel software nog steeds alleen kan werken met een versie 4 toegewezen ip-adres en dat deze software, ondanks regelmatige updates, de ondersteuning voor versie 6 er nog steeds niet in zit.

[Verwijderd]

Ik zag ook een reactie van Ziggo over de uitrol, maar daar kun je ook weer alle kanten mee op.

Het enige wat ik eruit leer is dat diverse partijen nog een communicatie probleem hebben zodat servicedesk medewerkers een correct en eenduidige reactie geven op de vragen.

[Jerrythafast]

Verwijderd schreef op zaterdag 20 juni 2015 @ 10:06:
Ik zag ook een reactie van Ziggo over de uitrol

linkje?

[Verwijderd]

https://twitter.com/TfeedHook/status/611460701908037632
https://twitter.com/TfeedHook/status/611441901166854144

2 berichten gericht aan Ziggo, maar op 1 een reactie die lijkt te horen bij de andere. Ik snapte het in het begin niet totdat ik deze berichten bij elkaar las. Effin, valt weinig uit op te maken.

[CAPSLOCK2000]

Snow_King schreef op zaterdag 20 juni 2015 @ 09:10:
...

Lachen als een boer met kiespijn

Ik kan het de helpdeskstudenten van Vodafone niet kwalijk nemen maar het geeft wel aan dat ze er als bedrijf nog niet volop mee bezig zijn.

Misschien kun je ze het artikel sturen dat Apple ondersteuning voor IPv6 eist in iOS9.
bv nieuws: Apple eist ipv6-ondersteuning bij apps op iOS 9

Technisch gezien is het natuurlijk helemaal niet nodig dat Vodafone het dan ook gaat ondersteunen maar de naam van Apple maakt deuren op en die anders gesloten blijven. Als Apple iets zegt raken hele groepen mensen onmiddellijk in paniek.

[CyBeR]

Snow_King schreef op zaterdag 20 juni 2015 @ 09:10:
Een beetje een crosspost om aandacht te trekken voor een ander topic: Netneutraliteit en poort blokkades

[afbeelding]

(Typo's in Tweets, ik weet het....)

Ik vroeg mij dus met een collega gisteren af of Vodafone zodra ze IPv6 gaan uitrollen weer poorten gaan blokkeren richting telefoons.

Bij NAT is het een bijwerking, maar bij IPv6 niet. Dus ik vraag mij af of Vodafone wel inkomende poorten naar mijn telefoon mag blokkeren onder de wet netneutraliteit.

Iemand enig idee? Lijkt mij namelijk een interessant verhaal!

Bij een mobiel data abonnement wil je typisch gezien dat inkomend verkeer (by default) geblokkeerd wordt. Je betaalt per MB daar en de constante stroom aan internetruis bij IPv4 maakt dat je zonder iets te doen zonder moeite over je bundel heen gaat. Of dat bij IPv6 ook een probleem gaat zijn weten we nog niet aangezien nog niet genoeg man dat heeft.

[Blokker_1999]

daarnaast heeft inkomende poorten imho weinig te zien met netneutraliteit. Je benadeeld er geen diensten mee, alle verkeer word gelijk behandeld. Sowieso word bij IPv6 over het algemeen (net omdat elk toestel een extern bereikbaar IP krijgt) net alle poorten geblokkeerd om aanvallen te voorkomen.

Daarnaast zie ik zelf weinig nut in het open zetten van poorten op een mobiele verbinding. Deze verbindingen zijn nu eenmaal niet bedoeld om services mee op te zetten.

[CAPSLOCK2000]

Ik weet niet of ik het daar mee eens ben. Als ik een server wil runnen via een mobiele verbinding dan is dat toch mijn keuze? Misschien wil ik wel een mobiele telefoon in m'n drone stoppen en daar een server op draaien. Ik kan natuurlijk wel andere oplossingen bedenken maar een telecomprovider hoeft dat niet voor mij te beslissen.

[Jerrythafast]

Blokker_1999 schreef op zaterdag 20 juni 2015 @ 19:09:
Daarnaast zie ik zelf weinig nut in het open zetten van poorten op een mobiele verbinding. Deze verbindingen zijn nu eenmaal niet bedoeld om services mee op te zetten.

Dat is hokjesdenken... Als ik m'n hele handel achter een 4G modem wil hangen moet ik dat zelf weten, maar het zou dan wel een beetje handig zijn als ik blokkades in ieder geval kon uitzetten.

[Snow_King]

Blokker_1999 schreef op zaterdag 20 juni 2015 @ 19:09:
daarnaast heeft inkomende poorten imho weinig te zien met netneutraliteit. Je benadeeld er geen diensten mee, alle verkeer word gelijk behandeld. Sowieso word bij IPv6 over het algemeen (net omdat elk toestel een extern bereikbaar IP krijgt) net alle poorten geblokkeerd om aanvallen te voorkomen.

Daarnaast zie ik zelf weinig nut in het open zetten van poorten op een mobiele verbinding. Deze verbindingen zijn nu eenmaal niet bedoeld om services mee op te zetten.

voor oa SIP zijn inkomende poorten nodig om het soepel te laten werken. Ik ben bij v6 niet echt bang voor inkomende scans ed.

Ik wil gewoon een ongefilterde verbinding. Denk ook aan de SIM in mijn laptop.

[Maurits van Baerle]

Verwijderd schreef op zaterdag 20 juni 2015 @ 11:32:
https://twitter.com/TfeedHook/status/611460701908037632
https://twitter.com/TfeedHook/status/611441901166854144

2 berichten gericht aan Ziggo, maar op 1 een reactie die lijkt te horen bij de andere. Ik snapte het in het begin niet totdat ik deze berichten bij elkaar las. Effin, valt weinig uit op te maken.

Ik vermoed dat dat deze gebruiker is geweest: http://ziggo-gebruikers.n...hp?p=493279&postcount=128

[ik222]

Snow_King schreef op zaterdag 20 juni 2015 @ 19:25:
[...]
voor oa SIP zijn inkomende poorten nodig om het soepel te laten werken. Ik ben bij v6 niet echt bang voor inkomende scans ed.

Ik wil gewoon een ongefilterde verbinding. Denk ook aan de SIM in mijn laptop.

Ook SIP kan prima werken achter een statefull firewall met alles zonder state naar binnen dicht. Daar zijn gewoon oplossingen voor zodat het nu ook over IPv4 achter NAT werkt bijvoorbeeld.

Neemt niet weg dat ik het wel met je eens ben dat een ongefilterde verbinding meestal de voorkeur heeft. Alleen moeten we ons denk ik afvragen of dat voor mobiel ook wel zo'n goed idee is omdat mensen daar meestal zelf geen firewall tussen de verbinding hebben zitten. Aan mobiele devices die standaard volledig ongefilterd aan het internet hangen vind ik toch ook een behoorlijk risico zitten...

Een optie om het open te laten zetten op eigen verantwoordelijkheid zou natuurlijk wel erg welkom zijn

[ Voor 12% gewijzigd door ik222 op 20-06-2015 23:13 ]

[Snow_King]

ik222 schreef op zaterdag 20 juni 2015 @ 23:02:
[...]

Ook SIP kan prima werken achter een statefull firewall met alles zonder state naar binnen dicht. Daar zijn gewoon oplossingen voor zodat het nu ook over IPv4 achter NAT werkt bijvoorbeeld.

Neemt niet weg dat ik het wel met je eens ben dat een ongefilterde verbinding meestal de voorkeur heeft. Alleen moeten we ons denk ik afvragen of dat voor mobiel ook wel zo'n goed idee is omdat mensen daar meestal zelf geen firewall tussen de verbinding hebben zitten. Aan mobiele devices die standaard volledig ongefilterd aan het internet hangen vind ik toch ook een behoorlijk risico zitten...

Een optie om het open te laten zetten op eigen verantwoordelijkheid zou natuurlijk wel erg welkom zijn

Bah, STUN, grrrr! Nee, p2p is wat je wil.

Ik vraag mij dus echter af of ik zoiets kan afdwingen bij Vodafone zodra ik v6 krijg.

[CAPSLOCK2000]

Snow_King schreef op zaterdag 20 juni 2015 @ 23:54:
Ik vraag mij dus echter af of ik zoiets kan afdwingen bij Vodafone zodra ik v6 krijg.

Tja, afdwingen... ik vrees dat je daar rechtzaken voor moet gaan voeren.

[tlpeter]

Vodafone brengt dan gewoon een eigen verbinding binnen waar je dat mee kan doen.
Op mobiel wordt dat een ander verhaal.

[ed1703]

Maurits van Baerle schreef op zaterdag 20 juni 2015 @ 19:50:
[...]

Ik vermoed dat dat deze gebruiker is geweest: http://ziggo-gebruikers.n...hp?p=493279&postcount=128

Nou nee, maar ik had wel mijn eigen onderonsje met @ziggowebcare
https://twitter.com/ed_de_groot/status/611063419559673856 Alleen maakt ziggo er een zooitje van door elke keer niet op het laatste antwoord te reageren. Inmiddels ben ik nog in afwachting waarom het in Heerhugowaard is afgeschakeld. De ene SD-medewerker is duidelijk meer op de hoogte dan de ander. Communicatiekanalen bij ziggo lopen niet helemaal lekker.

[Verwijderd]

Ik hoop dat https://nl.linkedin.com/pub/vincent-derksen/4/70a/455 wat duidelijkheid gaat creeeren, want wat in andere landen wel mogelijk is lijkt hier steeds niet te lukken.

[stormfly]

ed1703 schreef op zondag 21 juni 2015 @ 08:18:
[...]

Nou nee, maar ik had wel mijn eigen onderonsje met @ziggowebcare

Thnx voor het delen.

Die thread eindigt in een uitspraak over WiFi spots, " wel of niet aan" denk ik? Wat schrijven ze daar nog meer over, moet het aan of uit?

[ed1703]

Volgens de SD moet het aan staan om deel te kunnen nemen in de al eerder genoemde testgebieden.

[Verwijderd]

ed1703 schreef op zondag 21 juni 2015 @ 08:39:
Volgens de SD moet het aan staan om deel te kunnen nemen in de al eerder genoemde testgebieden.

Als dat zo is, dan is dat interessant om verder rond te vragen bij andere testers hoewel dit eigenlijk gewoon op ziggo.nl zou moeten staan.....

Bij de UPC IPv6 test stond WiFi spots standaard aan, ik weet niet meer met zekerheid of je het kon uitzetten. Mogelijk wel zelf je 2,5 en 5 Ghz maar dat de WiFi-4all het wel bleef doen.

Het zou indien je het zelf aan/uit kan zetten wel een eenvoudige test zijn, ben erg benieuwd.

/edit
Op http://ziggo-gebruikers.n...hread.php?t=49125&page=14 zie ik al dat het aan zou staan maar dat het niet helpt.

[ Voor 9% gewijzigd door Verwijderd op 21-06-2015 09:10 ]

[Maurits van Baerle]

CAPSLOCK2000 schreef op zaterdag 20 juni 2015 @ 13:55:
Misschien kun je ze het artikel sturen dat Apple ondersteuning voor IPv6 eist in iOS9.
bv nieuws: Apple eist ipv6-ondersteuning bij apps op iOS 9

Technisch gezien is het natuurlijk helemaal niet nodig dat Vodafone het dan ook gaat ondersteunen maar de naam van Apple maakt deuren op en die anders gesloten blijven. Als Apple iets zegt raken hele groepen mensen onmiddellijk in paniek.

Als ik het goed begrijp is de reden dat Apple hier nu vaart achter zet dat ze van middelgrote telco's gehoord hebben dat die naar 464XLAT willen overstappen en daar is werkende IPv6 voor nodig..

Nederland heeft geen grote telco's, hier mogen ze al blij zijn met een paar miljoen klanten. Voor middelgrote en grote telco's met pak em beet tussen de 50 en 500 miljoen klanten is het gebruik van CGNAT en een private reeks IPv4 adressen een nachtmerrie.

Het is niet zo vreemd dat Amerikaanse telco's als Verizon Wireless en T-Mobile al zoveel verder zijn met IPv6. Er is voor hen een direct voordeel te behalen aan niet dat gepruts meer hebben met IPv4 CGNAT.

[ Voor 8% gewijzigd door Maurits van Baerle op 21-06-2015 13:41 ]

[CAPSLOCK2000]

De meeste Nederlandse telco's zijn wel deel van grote internationale bedrijven. Langs die weg kunnen wij er misschien van mee profiteren, al hebben de Nederlandse takken van die bedrijven meestal vrij veel IPv4-adressen omdat we er hier in Nederland vroeg bij waren en toen ruim hebben ingeslagen.

Ik hoop dat ze toch een beetje doorzetten zodat we hier niet op een technologische achterstand komen te staan. Nederland is op internet een wereldmacht. We zouden voorop moeten lopen bij de uitrol van IPv6 om onze positie vast te houden. Helaas dribbelen we nu ergens mee in de middenmoot. Onze buurlanden Duitsland en Belgie zijn veel verder. (ok, ik zal ophouden met deze preek voor eigen parochie).

[databeestje]

Net een Zakelijk internet Instap opgeleverd gekregen hier in HHW, en zowaar een IPv6 adres op de PPP met een Draytek Vigor 2860.

2A02:A400:C17F:0:1D:AAFF:FEBD:D501/128

Ook een /64 op het lan via DHCP-PD is aanwezig. Ik gok dat het een /48 is, maar in de opleverdocumenten staat het niet.

Ik heb wel de Xperia box eraf gehaald die meegeleverd wordt, je kan niet zonder bestellen. Geen gebruikersnaam of wachtwoord noodzakelijk voor de DSL verbinding, gebruikt ook nog steeds VPI/VCI 2/32 zoals de oudere Zakelijk ADSL producten.

Edit:
Helaas blijkt de IPv6 access list voor het management ook niet werkend. Ping vanaf het internet doet het wel, maar toegang tot de poorten voor management werkt niet, bron adressen met /56 en /64 masker pikt de UI wel maar geeft me geen toegang. Raar. Firmware Version 3.7.8.1

[ Voor 21% gewijzigd door databeestje op 23-06-2015 17:09 ]

[CAPSLOCK2000]

Akamai heeft weer een State of the Internet rapport uitgebracht met daarin ook een stukje over IPv4 en IPv6.

http://www.scribd.com/doc/269533115/Q1-2015-Soti-Report

ARIN (Noord-Amerika) blijft op hoog tempo IPv4-adressen uitgeven en zal op dit tempo voor het einde van het jaar niks meer over hebben. (RIPE is al een tijd geleden gestopt met IPv4-adressen uit te geven maar heeft nog een kleine reserve die onder stricte voorwaarden gebruikt kunnen worden. ARIN lijkt alles uit te gaan geven).

Belgie blijft de koploper voor IPv6 met 33% conversie.
1 33% Belgie 33%
2 16% Duitsland 16%
3 14% USA
4 13% Peru
5 11% Luxemburg

De rest heeft allemaal minder dan 10%. Nederland komt niet eens voor in die lijst.

Er is ook een lijstje per provider. Daarin is Verison Wireless USA koploper met 70%. In absolute getallen zijn Comcast en AT&T de grootste gebruikers van IPv6.

[Roetzen]

Dat Akamai rapport is wel een dikke pil...

Geoff Huston heeft ook een rapport gemaakt.Dat is veel dunner. Daar hoef je geen dag voor uit te trekken. Hij neemt als weegfactor de "waarde" van de gebruikers mee. Daarbij komt Comcast op de eerste plaats.

http://www.potaroo.net/ispcol/2015-06/ipv6.html

[ Voor 22% gewijzigd door Roetzen op 24-06-2015 15:35 ]

[agresionpower]

CAPSLOCK2000 schreef op woensdag 24 juni 2015 @ 14:34:

ARIN (Noord-Amerika) blijft op hoog tempo IPv4-adressen uitgeven en zal op dit tempo voor het einde van het jaar niks meer over hebben.

Vorige week had ARIN nog ongeveer een /11 om uit te geven, vandaag is dat ongeveer een /13.
Met een week of 2 a 3 zullen ze al door hun voorraad heen zijn als de trend van de afgelopen maanden zich voort zet.

[Roetzen]

Volgens Huston is ARIN er op 13 juli doorheen. Minder dan drie weken te gaan dus...

http://www.potaroo.net/tools/ipv4/index.html

[Bigs]

De policy van ARIN zorgt er ook wel voor dat ze er snel doorheen gaan. Kijk naar providers als OVH die bij een dedicated server 256 IP's weggeven. Elke keer als ze door hun adresruimte heen zijn kunnen ze weer bij ARIN aankloppen voor een nieuw blokje. Op die manier verwerven zij op legitieme wijze een grote hoeveelheid IP adressen waar ze straks wellicht voordeel mee hebben. Beetje jammer.

[Roetzen]

Ik denk niet dat het nog veel uitmaakt. Er is nu nog zo weinig over dat er niet veel voordeel meer valt te halen door de laatste restjes weg te snoepen. En of het nu over drie weken of over drie maanden op is, maakt ook niet zo veel meer uit. De bodem van de schatkist is in zicht, er zal iets gedaan moeten worden...

[CAPSLOCK2000]

Ik blijf me verbazen dat ze niet net als RIPE een zeer streng beleid voeren om de laatste restjes te verdelen. Het voelt alsof ze in volle vaart op een muur afrijden.
Stiekem zal ik een vrolijk glaasje drinken als het zo ver is want het is toch wel weer een mijlpaal. Niet de meest postieve mijlpaal, maar niettemin een mijlpaal.

[anboni]

Misschien is het ook wel tactiek. Er wordt al zo lang geroepen dat de IPv4 adressen toch echt bijna op zijn, maar die boodschap lijkt niet heel erg veel indruk te maken. Misschien dat ze bij ARIN nu wel zoiets hebben van "let's force the issue". En in plaats van 'bij hoge uitzondering' zoals RIPE dat doet, gaat ARIN straks gewoon 'nee' verkopen.

[Snow_King]

CAPSLOCK2000 schreef op woensdag 24 juni 2015 @ 20:05:
Ik blijf me verbazen dat ze niet net als RIPE een zeer streng beleid voeren om de laatste restjes te verdelen. Het voelt alsof ze in volle vaart op een muur afrijden.
Stiekem zal ik een vrolijk glaasje drinken als het zo ver is want het is toch wel weer een mijlpaal. Niet de meest postieve mijlpaal, maar niettemin een mijlpaal.

Ik proost met je mee. Hoewel ik er als ISP ook direct last van ga hebben moet het moment er maar eens komen.

Het blijft nu maar aan modderen.

[Verwijderd]

Ik las vandaag http://www.prnewswire.com...y-launched-300103890.html wat wel interessant eruit ziet.

DNS root servers, IPv6 only al op diverse continenten.
http://www.yeti-dns.org/operators.html

[ Voor 22% gewijzigd door Verwijderd op 24-06-2015 20:35 ]

[Snow_King]

Verwijderd schreef op woensdag 24 juni 2015 @ 20:32:
Ik las vandaag http://www.prnewswire.com...y-launched-300103890.html wat wel interessant eruit ziet.

DNS root servers, IPv6 only al op diverse continenten.
http://www.yeti-dns.org/operators.html

Tof! Direct geconfigureerd op mijn lokale Unbound resolver. Werkt prima, mijn DNS gaat dus helemaal IPv6-only waar mogelijk

[Dennis]

Ik heb vanavond mijn HE account aangevraagd en dat is allemaal gelukt. Nu probeer ik mijn OpenWRT te configureren en heb alles conform het voorbeeld gedaan, echter de tunnel gaat niet 'up' .

Het enige dat ik kan bedenken is dat ik het dnsmasq package niet geïnstalleerd heb, maar aan de andere kant lijkt dat mij onwaarschijnlijk.

Weet iemand hoe ik de boel kan debuggen? Ik kan niet zoveel checken waar het nou mis gaat eigenlijk .

[agresionpower]

anboni schreef op woensdag 24 juni 2015 @ 20:21:
Misschien is het ook wel tactiek. Er wordt al zo lang geroepen dat de IPv4 adressen toch echt bijna op zijn, maar die boodschap lijkt niet heel erg veel indruk te maken. Misschien dat ze bij ARIN nu wel zoiets hebben van "let's force the issue". En in plaats van 'bij hoge uitzondering' zoals RIPE dat doet, gaat ARIN straks gewoon 'nee' verkopen.

Dat is wel het gevoel dat ik er bij krijg.
Nu maar hopen dat t netwerk engineers ook tot actie gaat bewegen.

[CAPSLOCK2000]

Ik denk dat het meer de Amerikaanse cultuur is: pakken wat je pakken kan en als je het niet krijgt dan begin je een rechtzaak. Ik vrees dat ARIN onmiddelijk van alle kanten zou worden aangeklaagd als ze op de rem zouden trappen.

[CAPSLOCK2000]

Dennis schreef op donderdag 25 juni 2015 @ 00:07:
Ik heb vanavond mijn HE account aangevraagd en dat is allemaal gelukt. Nu probeer ik mijn OpenWRT te configureren en heb alles conform het voorbeeld gedaan, echter de tunnel gaat niet 'up' .

Het enige dat ik kan bedenken is dat ik het dnsmasq package niet geïnstalleerd heb, maar aan de andere kant lijkt dat mij onwaarschijnlijk.

Weet iemand hoe ik de boel kan debuggen? Ik kan niet zoveel checken waar het nou mis gaat eigenlijk .

Ik denk dat je beter een apart topic kan openen.
Welk voorbeeld heb je gevolgd?
Hoe breng je de tunnel up?

[Dennis]

CAPSLOCK2000 schreef op donderdag 25 juni 2015 @ 01:41:
Ik denk dat je beter een apart topic kan openen.
Welk voorbeeld heb je gevolgd?
Hoe breng je de tunnel up?

Ik volg gewoon de config pagina die Hurricane zelf heeft als je een tunnel hebt aangemaakt. Mijn config ziet er als volgt uit (een en ander gescrambled):

code:

config interface 'wan6'
    option ifname '@wan'
    option proto '6in4'
    option mtu '1424'
    option peeraddr '216.66.84.46'
    option ip6prefix '2001:470:xxxx:c4f::/64'
    option tunnelid '999999'
    option username 'Username'
    option password 'blablabla'
    option ip6addr '2001:470:xxxx:c4f::2/64'

Daarna doe ik een network reload, maar hij is niet verbonden. Er zijn toch geen extra stappen die ik zou moeten volgen?

[edit]
Ik heb de interface weggegooid en opnieuw aangemaakt met UCI en nu werkt het. Raar.

[ Voor 5% gewijzigd door Dennis op 25-06-2015 07:29 ]

[Keiichi]

Snow_King schreef op woensdag 24 juni 2015 @ 20:50:
[...]

Tof! Direct geconfigureerd op mijn lokale Unbound resolver. Werkt prima, mijn DNS gaat dus helemaal IPv6-only waar mogelijk

Pas dan gewoon je root.hints aan dat er geen Ipv4 adressen instaan. Om nu van root servers gebruik te maken door nog een andere partij beheerd worden...

[Snow_King]

Keiichi schreef op donderdag 25 juni 2015 @ 09:23:
[...]


Pas dan gewoon je root.hints aan dat er geen Ipv4 adressen instaan. Om nu van root servers gebruik te maken door nog een andere partij beheerd worden...

Oh, dat zou ook kunnen idd. Maar ik wilde dit gewoon eens even testen. Kijken hoe het werkt.

[CAPSLOCK2000]

Keiichi schreef op donderdag 25 juni 2015 @ 09:23:
Pas dan gewoon je root.hints aan dat er geen Ipv4 adressen instaan. Om nu van root servers gebruik te maken door nog een andere partij beheerd worden...

Dit project probeert wel iets meer te doen dan alleen geen IPv4 in de root.
De opzetters van dit project zijn overigens DNS-beheerders van het eerste uur en mensen die nu ook al root-servers beheren. Ik geloof dus wel dat ze te vertrouwen zijn. Maar je moet het vooral als een experiment zien, niet iets voor je productiesystemen.

Roetzen schreef op woensdag 24 juni 2015 @ 17:55:
Volgens Huston is ARIN er op 13 juli doorheen. Minder dan drie weken te gaan dus...

http://www.potaroo.net/tools/ipv4/index.html

De paniek is toegeslagen en iedereen probeert nog snel even een blokje te krijgen. Het zou vandaag wel eens gedaan kunnen zijn. Er is nog 0.01 /8 over.

Overigens heb ik hier eerder beweerd dat ze niks in reserve zouden hebben. Dat blijkt niet te kloppen. Ze hebben nog een /10 achter de hand.

[ Voor 7% gewijzigd door CAPSLOCK2000 op 25-06-2015 13:09 ]

[Maurits van Baerle]

CAPSLOCK2000 schreef op donderdag 25 juni 2015 @ 13:07:
[...]


Dit project probeert wel iets meer te doen dan alleen geen IPv4 in de root.
De opzetters van dit project zijn overigens DNS-beheerders van het eerste uur en mensen die nu ook al root-servers beheren. Ik geloof dus wel dat ze te vertrouwen zijn. Maar je moet het vooral als een experiment zien, niet iets voor je productiesystemen.

Inderdaad. Als ik het zo lees klinkt het als één van die eerste IPv6-launch days waarbij websites als experiment dual-stack aanzetten om te kijken wat er zou gebeuren.

In dit geval gaat het om een soort top level netwerkbeheerders experiment. Wat gebeurt er als een cruciaal deel van de infrastructuur geen IPv4 meer ondersteunt? Dan kan erg nuttig zijn om inzicht geven om problemen in de toekomst voor te zijn. Voordat het grote publiek er mee te maken krijgt dus.

[CyBeR]

CAPSLOCK2000 schreef op donderdag 25 juni 2015 @ 13:07:
[...]

Overigens heb ik hier eerder beweerd dat ze niks in reserve zouden hebben. Dat blijkt niet te kloppen. Ze hebben nog een /10 achter de hand.

Dat is met hetzelfde idee als RIPE volgens mij: alleen als je nog geen adressen hebt, zodat nieuwe spelers op de markt nog enigszins iets kunnen.

[agresionpower]

CAPSLOCK2000 schreef op donderdag 25 juni 2015 @ 13:07:
[...]


Dit project probeert wel iets meer te doen dan alleen geen IPv4 in de root.
De opzetters van dit project zijn overigens DNS-beheerders van het eerste uur en mensen die nu ook al root-servers beheren. Ik geloof dus wel dat ze te vertrouwen zijn. Maar je moet het vooral als een experiment zien, niet iets voor je productiesystemen.


[...]


De paniek is toegeslagen en iedereen probeert nog snel even een blokje te krijgen. Het zou vandaag wel eens gedaan kunnen zijn. Er is nog 0.01 /8 over.

Overigens heb ik hier eerder beweerd dat ze niks in reserve zouden hebben. Dat blijkt niet te kloppen. Ze hebben nog een /10 achter de hand.

Maar die /10 is volgens mij niet voor de zelfde doeleinde als de /8 die ripe achter de hand houd volgens mij.
Ze zeggen er zelf het volgende over:
Per policy, a /10 was reserved out of the last /8 to facilitate IPv6 deployment and that space is not included in our inventory count.

Ik weet echter niet wat ripe precies over hun laatste voorraad zegt.

[CyBeR]

RIPE's policy daarover is afaik hetzelfde. Je kunt uit die laatste /10/8 alleen space krijgen (en dan maximaal een /22) als je ook IPv6 hebt.

Edit: oh vet, randomly ben ik weer karmakeizer ipv4 Als enige

Edit2: die policy geldt bij RIPE voor de laatste /8.

[ Voor 33% gewijzigd door CyBeR op 25-06-2015 14:53 ]

[CAPSLOCK2000]

Volgens mij is dat precies wat RIPE doet. Als je adresspace nodig hebt moet je IPv6 nemen maar als je geen directe IPv6-aansluiting dan kun je ook nog wat IPv4-adressen krijgen om jezelf doormiddel van een of andere transitietechniek (bv een tunnel) op internet aan te kunnen sluiten.
Je mag die IPv4-adressen niet "gewoon" inzetten. Je moet beloven ze alleen te gebruiken om de overgang op IPv6 mogelijk te maken. Wat dat precies betekent is volgens mij niet strak vastgelegd.

[St00mwals]

Ben er nu ook achter waarom ze bij mij op het werk (een grote zorgverzekeraar) geen IPv6 toegang voor de website hebben:
Netwerkbeheer:
- Kan wel, alles is geschikt en we hebben IPv6 adressen.
- We krijgen de vraag niet vanuit de website beheerders

Nu weet ik zeker dat een website beheerder hier nooit een keer aan zal denken, het dus niet gaat vragen en er dus helemaal niks gebeurd

[databeestje]

Zo, nieuw AS nummer met IPv6 in de lucht, nu een transfer procedure opstarten voor een /24. Er zit nog wel aardig verschil tussen ook. Ip-broker.uk vraagt 10 euro per adres, maar prefixbroker.com vraagt 10 euro per adres met 1500 euro notaris kosten.

Net even aan het testen geweest met de Zakelijk Internet Instap (DSL), deze blijkt met de standaard meegeleverde Xperia box enkel IPv4 te doen.

Sluit ik de Draytek Vigor 2860 aan, en zet ik IPv6 aan voor de PPP interface dan krijg ik netjes een IPv6 prefix via DHCP-PD. De server configuratie staat dus aan, maar de Xperia staat standaard uit.

Enige probleempje, met deze prefix kan je een video zoals deze niet bekijken. YouTube: Britney Spears, Iggy Azalea - Pretty Girls
Je krijgt dan de melding dat deze niet beschikbaar is in dit land. De geolocatie doet het dus nog niet naar behoren.

[Snow_King]

St00mwals schreef op donderdag 25 juni 2015 @ 15:35:
Ben er nu ook achter waarom ze bij mij op het werk (een grote zorgverzekeraar) geen IPv6 toegang voor de website hebben:
Netwerkbeheer:
- Kan wel, alles is geschikt en we hebben IPv6 adressen.
- We krijgen de vraag niet vanuit de website beheerders

Nu weet ik zeker dat een website beheerder hier nooit een keer aan zal denken, het dus niet gaat vragen en er dus helemaal niks gebeurd

Nou, hup, ga er achteraan!

[CAPSLOCK2000]

databeestje schreef op donderdag 25 juni 2015 @ 15:47:
Zo, nieuw AS nummer met IPv6 in de lucht, nu een transfer procedure opstarten voor een /24. Er zit nog wel aardig verschil tussen ook. Ip-broker.uk vraagt 10 euro per adres, maar prefixbroker.com vraagt 10 euro per adres met 1500 euro notaris kosten.

Toch weer een paar duizend sterke argumenten waarom het echt tijd is om zo veel mogelijk op IPv6 te krijgen. Niet persoonlijk bedoeld natuurlijk, jullie zitten duidelijk aan de goede kant. Maar het kan leerzaam zijn voor anderen om te zien wat het kost om IPv4 te blijven gebruiken.

[ Voor 8% gewijzigd door CAPSLOCK2000 op 25-06-2015 19:02 ]

[Gé Brander]

Ik heb opeens een IPv6 adres... (provider is CBizz)

[Osiris]

Gé Brander schreef op donderdag 25 juni 2015 @ 18:36:
Ik heb opeens een IPv6 adres... (provider is CBizz)
[afbeelding]

Een 6to4-adres ja.. Brrrr enzo

[Gé Brander]

Osiris schreef op donderdag 25 juni 2015 @ 18:42:
[...]

Een 6to4-adres ja.. Brrrr enzo

Tja, eerst was het niet zo en nu wel... Waar zie je aan dat het een 6to4 adres is dan?

6to4 is especially relevant during the initial phases of deployment to full, native IPv6 connectivity, since IPv6 is not required on nodes between the host and the destination. However, it is intended only as a transition mechanism and is not meant to be used permanently.

Dus ik hoop maar dat het tijdelijk is dan

Ik vind het IPv6 gebeuren maar erg ondoorzichting. Wellicht heb ik nog niet genoeg ingelezen maar IPv4 ging er sneller in bij mij.

[ Voor 13% gewijzigd door Gé Brander op 25-06-2015 19:04 ]

[CAPSLOCK2000]

Beter dan niks en als dat 6to4 endpoint direct door je provider wordt afgehandeld kan het best aardig werken. Ik heb het jaren lang naar tevredenheid gebruikt.

[Osiris]

Gé Brander schreef op donderdag 25 juni 2015 @ 19:02:
[...]

Tja, eerst was het niet zo en nu wel... Waar zie je aan dat het een 6to4 adres is dan?

Omdat 't begint met "2002:". De complete 2002::/16-range is voor 6to4.

[Roetzen]

Gé Brander schreef op donderdag 25 juni 2015 @ 19:02:
[...]

Tja, eerst was het niet zo en nu wel... Waar zie je aan dat het een 6to4 adres is dan?

Het begint met 2002:

[St00mwals]

Snow_King schreef op donderdag 25 juni 2015 @ 16:44:
[...]

Nou, hup, ga er achteraan!

Ik zal eens binnenlopen (oh nee, over de vloer lopen, geen hokjes )bij de webmasters en ze eens een 'schopje' geven

[Roetzen]

Het gaat nu hard met ARIN. Wat we eerder bij RIPE en APNIC niet zagen, zie we nu wel bij ARIN: een "last minute run". Twee weken geleden stond de voorspelling van Geoff Huston over de einddatum nog op 22 juli. Eergisteren stond ie op 13 juli, gisteren op 10 en vandaag op 1 juli.

Projected RIR Address Pool Exhaustion Dates:
RIR Projected Exhaustion Date Remaining Addresses in RIR Pool (/8s)
APNIC: 19-Apr-2011 (actual) 0.6931
RIPE NCC: 14-Sep-2012 (actual) 1.0074
LACNIC: 10-Jun-2014 (actual) 0.1661
ARIN: 01-Jul-2015 0.0137
AFRINIC: 07-Apr-2019 2.5944

http://www.potaroo.net/tools/ipv4/index.html

[Verwijderd]

Ik zie ook her en der issues voorbijkomen waarbij geo-locating van google een NL ipv6 prefix op de verkeerde locatie plaatst waardoor content niet beschikbaar is.

Probeer dat maar eens gecorrigeerd te krijgen bij Google..... Het kan een hoop gezeur opleveren als meer mensen in NL IPv6 krijgen.

[databeestje]

Het is in dat opzicht schering en inslag bij Google, veel mensen en bedrijven hebben hier last van, en dan met name het corrigeren van foute informatie. Het is geen specifiek NL probleem.

[Ximon]

Hm, ik krijg tegenwoordig van Youtube de melding "We have been receiving a large volume of requests from your network". Dit kan natuurlijk komen omdat Youtube niet goed omgaat met de IPv6 tunnels via (in mijn geval) Leaseweb, maar ik ga voor de zekerheid toch maar even testen of er bij mij thuis niet per ongeluk een open proxy of botnet-achtige meuk te vinden is.

[Maurits van Baerle]

KPN Webcare is bezig om te inventariseren welke adressen hier last van hebben: https://twitter.com/KPNwebcare/status/614339849152282624

Het lijkt me niet zo ingewikkeld om Google en een paar andere grote jongens op IP Geolocation gebied te melden dat een bepaalde ASN of IP range bij KPN uit Nederland hoort.

IP Geolocation databases zijn berucht omdat ze vaak achter lopen en allemaal updaten zal niet lukken. Maar met een paar grote kom je al een heel eind.

[Verwijderd]

Maurits van Baerle schreef op vrijdag 26 juni 2015 @ 12:15:
KPN Webcare is bezig om te inventariseren welke adressen hier last van hebben: https://twitter.com/KPNwebcare/status/614339849152282624

Lijkt me een beetje overbodig, KPN die aan klanten hun IPv6 adres gaat vragen? What the point?

Meld als KPN gewoon je prefix aan.

[Maurits van Baerle]

Verwijderd schreef op vrijdag 26 juni 2015 @ 12:19:
[...]


Lijkt me een beetje overbodig, KPN die aan klanten hun IPv6 adres gaat vragen? What the point?

Meld als KPN gewoon je prefix aan.

Ik neem ook niet aan dat KPN het op individuele basis per IP gaat melden. Waarschijnlijk is het gewoon om te inventariseren of het a) werkelijk een IPv6 probleem is of misschien toch iets anders en b) of het alleen bij klanten met bepaalde ranges/abonnementen gebeurt. Ik ben bijvoorbeeld benieuwd of het uitmaakt of je een zakelijk of consumenten abonnement hebt.

[CAPSLOCK2000]

Als het bij Youtube een probleem is dan zal het bij een hoop andere diensten ook wel fout zitten. KPN weet ook niet wie er allemaal zo'n database gebruikt en zit er vast niet op te wachten om op vele plekken hun ranges aan te moeten melden. Vandaar een indexatie waar het probleem precies zit.


ARIN heeft geen IPv4 blokken groter dan een /23 meer. Gisteren hadden ze van alles kleiner dan een /16 nog voorraad.

[Dennis]

Mag ik nog wat vragen aan de mensen die dhcpd met IPv6 gebruiken? Ik heb alles nu opgezet en er gaat steeds meer werken, maar ik heb nog een probleem met mijn Windows clients. Deze krijgen geen default gateway mee van mijn dhcpd en ik krijg een foutmelding: PING: transmit failed. General failure.

Na wat zoeken heb ik dit bericht gevonden en het klopt inderdaad dat ik geen prefix6 meestuur. Blijkbaar is dat wel nodig omdat dhcpd geen router adverteert (en dus ook niet de verzender (gateway)).

In dit voorbeeld zie ik hoe het moet werken, maar moet ik daar nu mijn /48 opgeven die ik van Hurricane krijg of iets anders? En hoe vertaal ik dat in de twee adressen die ik daar zie?

[ Voor 3% gewijzigd door Dennis op 26-06-2015 13:16 ]

[Snow_King]

Dennis schreef op vrijdag 26 juni 2015 @ 13:15:
Mag ik nog wat vragen aan de mensen die dhcpd met IPv6 gebruiken? Ik heb alles nu opgezet en er gaat steeds meer werken, maar ik heb nog een probleem met mijn Windows clients. Deze krijgen geen default gateway mee van mijn dhcpd en ik krijg een foutmelding: PING: transmit failed. General failure.

Na wat zoeken heb ik dit bericht gevonden en het klopt inderdaad dat ik geen prefix6 meestuur. Blijkbaar is dat wel nodig omdat dhcpd geen router adverteert (en dus ook niet de verzender (gateway)).

In dit voorbeeld zie ik hoe het moet werken, maar moet ik daar nu mijn /48 opgeven die ik van Hurricane krijg of iets anders? En hoe vertaal ik dat in de twee adressen die ik daar zie?

In een IPv6 netwerk dien je middels Router Advertisements een gateway uit te sturen. Vervolgens kan je DHCPv6 gebruiken voor statische adressen en/of extra informatie zoals NTP servers e.d., maar in principe moeten Router Advertisements alles kunnen doen voor je.

Wat draai je als Router in je netwerk?

[Dennis]

Snow_King schreef op vrijdag 26 juni 2015 @ 13:19:
In een IPv6 netwerk dien je middels Router Advertisements een gateway uit te sturen. Vervolgens kan je DHCPv6 gebruiken voor statische adressen en/of extra informatie zoals NTP servers e.d., maar in principe moeten Router Advertisements alles kunnen doen voor je.

Wat draai je als Router in je netwerk?

Ik heb een OpenWRT router met isc-dhcpd(6) (ook een IPv4 trouwens) en gebruik Bind als DNS. radvd heb ik niet geïnstalleerd, omdat de manual aangeeft dat die niet meer nodig is.

[Snow_King]

Dennis schreef op vrijdag 26 juni 2015 @ 13:20:
[...]

Ik heb een OpenWRT router met isc-dhcpd(6) (ook een IPv4 trouwens) en gebruik Bind als DNS. radvd heb ik niet geïnstalleerd, omdat de manual aangeeft dat die niet meer nodig is.

radvd heb je wel nodig, deze moet namelijk de RA uitsturen in je netwerk.

In principe heb je DHCPv6 helemaal niet nodig, RA's kunnen adverteren:
- Gateway
- Prefix
- DNS domein
- DNS servers

[Dennis]

Snow_King schreef op vrijdag 26 juni 2015 @ 13:22:
radvd heb je wel nodig, deze moet namelijk de RA uitsturen in je netwerk.

In principe heb je DHCPv6 helemaal niet nodig, RA's kunnen adverteren:
- Gateway
- Prefix
- DNS domein
- DNS servers

Ok, dank voor je antwoord, ik ga radvd eens installeren. Ik denk wel dat ik dhcpd6 nodig heb omdat ik DDNS wil, klopt dat?

[CyBeR]

Snow_King schreef op vrijdag 26 juni 2015 @ 13:22:
[...]
- DNS domein
- DNS servers

Windows ondersteunt geen RDNSS toch?

[Roetzen]

databeestje schreef op donderdag 25 juni 2015 @ 15:47:
Zo, nieuw AS nummer met IPv6 in de lucht, nu een transfer procedure opstarten voor een /24. Er zit nog wel aardig verschil tussen ook. Ip-broker.uk vraagt 10 euro per adres, maar prefixbroker.com vraagt 10 euro per adres met 1500 euro notaris kosten.

En nu ARIN er binnen een week doorheen zal zijn, is het te verwachten dat de prijs omhoog gaat. Toch?
Dat wordt huilie huilie voor wie nog niks met IPv6 heeft gedaan. Eigen schuld, dikke bult.

[Dennis]

Snow_King schreef op vrijdag 26 juni 2015 @ 13:22:
radvd heb je wel nodig, deze moet namelijk de RA uitsturen in je netwerk.

In principe heb je DHCPv6 helemaal niet nodig, RA's kunnen adverteren:
- Gateway
- Prefix
- DNS domein
- DNS servers

Dank nogmaals, het werkt nu inderdaad! Nu het volgende probleem oplossen, namelijk waarom resolven van mijn eigen lokale netwerk niet meer werkt .

[databeestje]

Roetzen schreef op vrijdag 26 juni 2015 @ 13:49:
[...]

En nu ARIN er binnen een week doorheen zal zijn, is het te verwachten dat de prijs omhoog gaat. Toch?
Dat wordt huilie huilie voor wie nog niks met IPv6 heeft gedaan. Eigen schuld, dikke bult.

Beetje stellig, als je als nieuw bedrijf het internet op wil is zonder IPv4 maar met IPv6 geen optie.

Een (nu) nieuw startend bedrijf kan je het toch niet verwijten dat er geen "goedkoop" IPv4 beschikbaar is. Dat is namelijk de situatie waar ik nu mee aan het worstelen ben.

Overigens zijn de prijzen al stijgende, een van de IP brokers gaf aan dat ze al 15 euro per IP hanteren. Wat neerkomt op een dikke 3800 euro voor een /24. Wat de minimale prefix grote is voor deelnemen aan de BGP routing tabel.

[CyBeR]

databeestje schreef op vrijdag 26 juni 2015 @ 14:16:
[...]

Beetje stellig, als je als nieuw bedrijf het internet op wil is zonder IPv4 maar met IPv6 geen optie.

Daar zijn die o.a. die /22's voor die ze nu uitdelen bij RIPE e.a.

[lhoBas]

Ximon schreef op vrijdag 26 juni 2015 @ 11:20:
Hm, ik krijg tegenwoordig van Youtube de melding "We have been receiving a large volume of requests from your network". Dit kan natuurlijk komen omdat Youtube niet goed omgaat met de IPv6 tunnels via (in mijn geval) Leaseweb, maar ik ga voor de zekerheid toch maar even testen of er bij mij thuis niet per ongeluk een open proxy of botnet-achtige meuk te vinden is.

Mijn Sixxs Leaseweb tunnel geeft dezelfde melding, vermoed dat de range op een zwarte lijst staat.

[Roetzen]

CyBeR schreef op vrijdag 26 juni 2015 @ 14:51:
[...]


Daar zijn die o.a. die /22's voor die ze nu uitdelen bij RIPE e.a.

Inderdaad. Maar dan moet je dus wel al een IPv6 blok hebben aangevraagd want anders krijg je die /22 niet. En dat is niet iets wat pas gisteren bekend is geworden.

[Roetzen]

databeestje schreef op vrijdag 26 juni 2015 @ 14:16:
Een (nu) nieuw startend bedrijf kan je het toch niet verwijten dat er geen "goedkoop" IPv4 beschikbaar is. Dat is namelijk de situatie waar ik nu mee aan het worstelen ben.

Ik doelde eigenlijk op de gevestigde orde die op zijn handen is blijven zitten. Nee, inderdaad een nieuwe starter kun je niet verwijten dat de IPv4 adressen op zijn. Maar je kunt het ook niemand anders verwijten. Je hebt gewoon de pech dat je op een ongelukkig moment instapt.

[CyBeR]

Roetzen schreef op zaterdag 27 juni 2015 @ 00:59:
[...]

Inderdaad. Maar dan moet je dus wel al een IPv6 blok hebben aangevraagd want anders krijg je die /22 niet. En dat is niet iets wat pas gisteren bekend is geworden.

Klopt. Mag tegelijk. Betekent overigens niet dat je ook daadwerkelijk IPv6 moet implementeren.

[Verwijderd]

CyBeR schreef op zaterdag 27 juni 2015 @ 01:54:
[...]

Klopt. Mag tegelijk. Betekent overigens niet dat je ook daadwerkelijk IPv6 moet implementeren.

Gezien het beperkt aantal adressen wat je krijgt zou ik voor IPv6 only gaan en SIIT-DC aan de edge zodat je alle IPv4 adressen kunt gebruiken ipv subnetten waardoor gateways en broadcast adressen verloren gaan.

Het zal niet de gemakkelijkste optie zijn om te implementeren maar onmogelijk is het niet, mobile providers in de USA doen het al.

Als je als startup IPv4 zou afnemen en IPv6 laat liggen dan denk ik ook dat je niet lang zal bestaan.

[Snow_King]

CyBeR schreef op vrijdag 26 juni 2015 @ 13:34:
[...]


Windows ondersteunt geen RDNSS toch?

Klopt, maar een RA kán het wel. Het kan sowieso nooit kwaad om die info wel in je RA uit te sturen.

Naast RA kan je dus nog wel DHCPv6 gebruiken voor:
* DNS servers
* DNS domein
* NTP servers

Dennis schreef op vrijdag 26 juni 2015 @ 13:52:
[...]

Dank nogmaals, het werkt nu inderdaad! Nu het volgende probleem oplossen, namelijk waarom resolven van mijn eigen lokale netwerk niet meer werkt .

Goed om te horen, top! Weer een IPv6 netwerk online

[Dennis]

Snow_King schreef op zaterdag 27 juni 2015 @ 10:15:
Goed om te horen, top! Weer een IPv6 netwerk online

Haha, inderdaad. Op de IPv6 test haal ik op mijn schone Windows 8 bak 19 van de 20 punten. Alleen de hostname (reverse DNS) werkt niet goed. Nu sta ik op het punt om mijn thuisnetwerk om te bouwen van een .local domein naar een lan.domeinnaam.nl dus dan zou ik de mogelijkheid hebben om dit werkend te krijgen, maar is dat ook best practice of kun je vanuit beveiligingsoogpunt dit beter weglaten?

[CyBeR]

Hostname is bijna niet te doen als je privacy extensions gebruikt.

[Snow_King]

Dennis schreef op zaterdag 27 juni 2015 @ 11:48:
[...]

Haha, inderdaad. Op de IPv6 test haal ik op mijn schone Windows 8 bak 19 van de 20 punten. Alleen de hostname (reverse DNS) werkt niet goed. Nu sta ik op het punt om mijn thuisnetwerk om te bouwen van een .local domein naar een lan.domeinnaam.nl dus dan zou ik de mogelijkheid hebben om dit werkend te krijgen, maar is dat ook best practice of kun je vanuit beveiligingsoogpunt dit beter weglaten?

Je kan het proberen, maar dan heb je geen Privacy Extensions en die wil je wel.

Voor een client, desktop, tablet, doet de rDNS er eigenlijk helemaal niet toe. Lekker zo laten.

Nu vooral IPv6 verkeer genereren!

[Dennis]

Ik gebruik nu geen SLAAC maar DHCPv6 voor IP-adressen en dan heb je dus geen privacy extensions. En weliswaar gebruik ik dan dus geen MAC-adres voor alles achter de /64, maar aangezien mijn leases bijna niet verlopen is dit toch redelijk traceerbaar.

Zit nu even te kijken naar deze pagina over SLAAC en DHCPv6 en de nadelen dus ga even puzzelen of DDNS in combinatie met RFC 4941 een optie is .

[Raven]

Dennis schreef op zaterdag 27 juni 2015 @ 11:48:
[...]

Haha, inderdaad. Op de IPv6 test haal ik op mijn schone Windows 8 bak 19 van de 20 punten. Alleen de hostname (reverse DNS) werkt niet goed. Nu sta ik op het punt om mijn thuisnetwerk om te bouwen van een .local domein naar een lan.domeinnaam.nl dus dan zou ik de mogelijkheid hebben om dit werkend te krijgen, maar is dat ook best practice of kun je vanuit beveiligingsoogpunt dit beter weglaten?

Ik krijg nog altijd 17/20, tenzij ik de firewall van Eset Smart Security uitzet. Tijd terug wel eens naar gekeken maar niet de juiste opties weten te vinden in de instellingen, het andere punt is dezelfde als wat jij hebt, die reverse DNS.

[Dennis]

Raven schreef op zaterdag 27 juni 2015 @ 12:17:
Ik krijg nog altijd 17/20, tenzij ik de firewall van Eset Smart Security uitzet. Tijd terug wel eens naar gekeken maar niet de juiste opties weten te vinden in de instellingen, het andere punt is dezelfde als wat jij hebt, die reverse DNS.

Op mijn Windows 7 computer (waar ik doorgaans op werk) heb ik ook 17 van 20. Zal wel komen door de McAfee firewall inderdaad. Die heb ik niet op Windows 8.

[Maurits van Baerle]

Maar welke punten op die test gaan er dan precies mis door het gebruik van die firewall?

[Raven]

@hierboven:

How can you improve your score ?

1. Reconfigure your firewall
Your router or firewall is filtering ICMPv6 messages sent to your computer. An IPv6 host that cannot receive ICMP messages may encounter problems like some web pages loading partially or not at all.

2. Get a reverse DNS record

Alleen het 1e punt dus, de 2e blijft ook zonder firewall staan.

[ Voor 8% gewijzigd door Raven op 27-06-2015 12:47 ]

[Dennis]

Ik blijf het toch bijzondere materie vinden, dat IPv6. In de link die ik hierboven al aanhaalde wordt voorspeld dat SLAAC nooit zal doorbreken en er dus veel vaker stateful of stateless DHCPv6 wordt gebruikt.

Ik heb zelf nu dus ook stateful, maar denk dat een hybride stateless DHCPv6 en SLAAC voor mij wenselijk is. Op die manier behoud ik DDNS (dat wil ik graag). Het als gevolg van die keuze moeten kunnen updaten van DNS door alle clients beschouw ik als een minder groot veiligheidsrisico, omdat ik mijn netwerk gesegmenteerd heb in een veilig en een onveilig gedeelte en ik bovendien 802.1x op zowel wireless als wired ga toepassen (managed switch).

Wat de keuze niet makkelijker maakt is dat besturingssystemen sterk variëren in ondersteuning voor DHCPv6 en RDNSS (RFC 6106). Volledig SLAAC zou mijn voorkeur hebben als dat wordt ondersteund, maar voor Windows zit dat er volgens dit bericht voorlopig niet in .

[Roetzen]

Dennis schreef op zaterdag 27 juni 2015 @ 13:09:
Op die manier behoud ik DDNS (dat wil ik graag).

Waarom? DDNS is in mijn visie alleen maar een noodgreep om met dynamische adressen toch hostnamen te kunnen gebruiken. En dynamische adressen zijn weer een noodgreep om om te gaan met een tekort aan IP adressen.

Met IPv6 is er geen tekort aan IP adressen, dus ook geen reden voor dynamische adressen en dus ook niet voor DDNS. Wat mis ik?

[Dennis]

We begrijpen elkaar goed toch? Ik wil gewoon graag de computer van mijn ouders bijvoorbeeld kunnen bereiken met een hostname en niet op basis van een IPv6-adres dat ik eigenlijk niet weet. Dat kan toch alleen als ik de client automatisch de DNS-server laat updaten?

[Maurits van Baerle]

Raven schreef op zaterdag 27 juni 2015 @ 12:46:
@hierboven:

[...]

Alleen het 1e punt dus, de 2e blijft ook zonder firewall staan.

Ah, daar was ik al bang voor. De firewall zou dat by default moeten doorlaten. Als hij dat niet doet dan is het tijd voor een bugreport bij de fabrikant van de firewall met een verwijzing naar de RFC. Waarschijnlijk hebben miljoenen mensen hier last van en lijdt hun IPv6 ervaring er onder.

Het is prima veilig open te zetten, eventueel met een rate limit. OpenWRT heeft het bijvoorbeeld standaard ICMPv6 open staan maar met maximaal 1000 packets per seconde om flooding tegen te gaan.

[Roetzen]

Uiteraard wil je met hostnamen in plaats van een (v6) IP adres werken. Maar bij een statisch IP adres hoef je dat maar éénmaal te configureren in de zonefile van je DNS provider. Geen reden om daarna nog (automatisch) te udaten.

[Dennis]

Roetzen schreef op zaterdag 27 juni 2015 @ 13:32:
Uiteraard wil je met hostnamen in plaats van een (v6) IP adres werken. Maar bij een statisch IP adres hoef je dat maar éénmaal te configureren in de zonefile van je DNS provider. Geen reden om daarna nog (automatisch) te udaten.

Ja, maar dat is toch juist het hele punt? Ik wil SLAAC gaan gebruiken in verband met privacy, dan heb ik toch geen statisch IP-adres?

[databeestje]

Maurits van Baerle schreef op zaterdag 27 juni 2015 @ 13:29:
[...]

Ah, daar was ik al bang voor. De firewall zou dat by default moeten doorlaten. Als hij dat niet doet dan is het tijd voor een bugreport bij de fabrikant van de firewall met een verwijzing naar de RFC. Waarschijnlijk hebben miljoenen mensen hier last van en lijdt hun IPv6 ervaring er onder.

Het is prima veilig open te zetten, eventueel met een rate limit. OpenWRT heeft het bijvoorbeeld standaard ICMPv6 open staan maar met maximaal 1000 packets per seconde om flooding tegen te gaan.

1000pps met een thuisnetwerk gaat nog wel maar is absoluut niet werkbaar in een groter netwerk. Als je diverse ICMP6 packets dropt kan dat serieuze gevolgen hebben voor clients, zoals PtB.

Pas daar mee op.

Op het werk liep ik met IPv4 al tegen de 1000pps limiter aan met pfSense, en dan breekt er dus van alles. Tegenwoordig staat deze gewoon uit.

De icmp limiters hadden zin voordat amplification aanvallen bestonden. Het gaat tegenwoordig zoveel makkelijker om een aanval te doen door gewoon Call of Duty servers te misbruiken.

[Maurits van Baerle]

databeestje schreef op zaterdag 27 juni 2015 @ 13:39:
[...]

1000pps met een thuisnetwerk gaat nog wel maar is absoluut niet werkbaar in een groter netwerk. Als je diverse ICMP6 packets dropt kan dat serieuze gevolgen hebben voor clients, zoals PtB.

Pas daar mee op.

Op het werk liep ik met IPv4 al tegen de 1000pps limiter aan met pfSense, en dan breekt er dus van alles. Tegenwoordig staat deze gewoon uit.

De icmp limiters hadden zin voordat amplification aanvallen bestonden. Het gaat tegenwoordig zoveel makkelijker om een aanval te doen door gewoon Call of Duty servers te misbruiken.

Klopt, maar denk je dat ESET of McAfee firewall erg grote netwerken zullen beveiligen? Daar zullen toch hooguit enkele tientallen clients achter hangen. Voor ESET en McAfee moet een default van 1000 dus best te doen zijn.

Als ze er intelligentie achter willen zetten zouden ze nog iets kunnen doen met een gemiddelde over 30 dagen nemen. Als dat gemiddelde dan van het ene op het andere moment met 200% wordt overgschreden is er waarschijnlijk sprake van een aanval.

Maar goed, inderdaad een belangrijke waarschuwing!

[ Voor 14% gewijzigd door Maurits van Baerle op 27-06-2015 14:09 ]

[easyriider]

Dennis schreef op zaterdag 27 juni 2015 @ 13:36:
[...]

Ja, maar dat is toch juist het hele punt? Ik wil SLAAC gaan gebruiken in verband met privacy, dan heb ik toch geen statisch IP-adres?

Op mijn Asus router hebben de aangesloten apparaten twee IPv6 adressen. Een random adres dat dagelijks veranderd voor het uitgaande verkeer en een statisch adres waarmee ze van buitenaf te bereiken zijn.