Het grote IPv6 topic

[Olaf van der Spek]

CAPSLOCK2000 schreef op maandag 28 juni 2010 @ 17:28:
Dat ben ik niet met je eens, automatisch poorten forwarden zou een aantal van de problemen verminderen die je krijgt als je NAT gebruikt om meerdere PC's achter 1 ip te stoppen maar je blijft problemen houden.

Natuurlijk, het is geen perfecte oplossing. Maar kom op, twee mailservers achter NAT?

Mijn punt is dat een enorm deel van de problemen die veel mensen met applicaties / port forwarding hebben voorkomen hadden kunnen worden.

[CyBeR]

Marzman schreef op maandag 28 juni 2010 @ 18:10:
[...]

Dat is ook prima op te lossen door het op een sterkere server te gooien of een mailcluster te maken. Een mailserver zit trouwens zelden achter nat.

Mail was een voorbeeld. Dit probleem beslaat niet alleen mail. (Bovendien is 'cluster' ook niet altijd toepasbaar.)

[CAPSLOCK2000]

Olaf van der Spek schreef op maandag 28 juni 2010 @ 18:27:
[...]

Natuurlijk, het is geen perfecte oplossing. Maar kom op, twee mailservers achter NAT?

Mijn punt is dat een enorm deel van de problemen die veel mensen met applicaties / port forwarding hebben voorkomen hadden kunnen worden.

Het was met opzet een extreem voorbeeld. Het is sowieso moeilijk om veel bekende voorbeelden te noemen (VOIP en FTP zijn al genoemd) omdat er zoveel NAT gebruikt wordt. Als je applicatie niet werkt met NAT dan wordt je niet bekend.

Ik ben het met je eens dat een hoop problemen voorkomen zouden kunnen worden als mensen wat langer zouden nadenken, maar het zou niet nodig hoeven zijn (als er genoeg adressen waren).

[axis]

CyBeR schreef op maandag 28 juni 2010 @ 18:49:
[...]
Mail was een voorbeeld. Dit probleem beslaat niet alleen mail. (Bovendien is 'cluster' ook niet altijd toepasbaar.)

Wat wel eens voorkomt is 2 kleine bedrijfjes die in 1 pand zitten, beiden met een Microsoft SBS server (met Exchange), en die 1 simpel adsl lijntje willen delen met 1 publiek ip. Dan krijg je inderdaad het probleem van waar je poort 25 laat uit komen.


Zo te zien zijn er twee kampen: zij die NAT vies vinden en er zo snel mogelijk vanaf willen (waaronder ik), en zij die het wel ok vinden zoals het nu gaat. De technische details en workarounds voor NAT-problemen lijken me aan de ene kant niet zo heel relevant voor de discussie, aan de andere kant is het juist wel relevant, want NAT zorgt voor problemen die IPv6 oplost. Ik kan me daarnaast ook voorstellen dat hoe groter je hekel aan nat is, hoe groter je behoefte is aan ipv6. *Krabt achter oren*

[CyBeR]

axis schreef op maandag 28 juni 2010 @ 23:22:
[...]
Ik kan me daarnaast ook voorstellen dat hoe groter je hekel aan nat is, hoe groter je behoefte is aan ipv6. *Krabt achter oren*

Mwoah dat klopt wel ongeveer.

Maar gelukkig gaat dat binnenkort veranderen, aangezien IPv4-adressen krijgen op korte termijn onmogelijk gaat worden.

[DGTL_Magician]

axis schreef op maandag 28 juni 2010 @ 23:22:
[...]

Wat wel eens voorkomt is 2 kleine bedrijfjes die in 1 pand zitten, beiden met een Microsoft SBS server (met Exchange), en die 1 simpel adsl lijntje willen delen met 1 publiek ip. Dan krijg je inderdaad het probleem van waar je poort 25 laat uit komen.


Zo te zien zijn er twee kampen: zij die NAT vies vinden en er zo snel mogelijk vanaf willen (waaronder ik), en zij die het wel ok vinden zoals het nu gaat. De technische details en workarounds voor NAT-problemen lijken me aan de ene kant niet zo heel relevant voor de discussie, aan de andere kant is het juist wel relevant, want NAT zorgt voor problemen die IPv6 oplost. Ik kan me daarnaast ook voorstellen dat hoe groter je hekel aan nat is, hoe groter je behoefte is aan ipv6. *Krabt achter oren*

Tja, IMHO is NAT een mooie workaround voor de problemen van IPv4. Mogelijkheden tot address hiding e.d. IPv6 lost die problemen op en dus is NAT niet meer nodig.

Het probleem is denk ik een beetje dat NAT er al zolang is dat het er bij de meeste mensen in gehamerd zit als een deel van de oplossing.

[Olaf van der Spek]

axis schreef op maandag 28 juni 2010 @ 23:22:
Zo te zien zijn er twee kampen: zij die NAT vies vinden en er zo snel mogelijk vanaf willen (waaronder ik), en zij die het wel ok vinden zoals het nu gaat. De technische details en workarounds voor NAT-problemen lijken me aan de ene kant niet zo heel relevant voor de discussie, aan de andere kant is het juist wel relevant, want NAT zorgt voor problemen die IPv6 oplost. Ik kan me daarnaast ook voorstellen dat hoe groter je hekel aan nat is, hoe groter je behoefte is aan ipv6. *Krabt achter oren*

IPv6 is geen oplossing voor oude p2p games (en andere apps).
Maar volgens mij is er niemand die niet van NAT af wil.

[Vibonacci]

Het schijnt dat ipv4 adressen in de laatste overgangsperiode enorm veel waard zullen zijn op de zwarte markt. Boden vanaf 4 digits zijn bij deze welkom

[deadlock2k]

-

[ Voor 99% gewijzigd door deadlock2k op 06-08-2021 16:20 ]

[CAPSLOCK2000]

Vibonacci schreef op dinsdag 29 juni 2010 @ 13:55:
Het schijnt dat ipv4 adressen in de laatste overgangsperiode enorm veel waard zullen zijn op de zwarte markt. Boden vanaf 4 digits zijn bij deze welkom

Ik geloof er niks van. IP adressen verplaatsen is nog best lastig.
Ik denk dat in vrijwel alle gevallen het goedkoper zal zijn om naar IPv6 te migreren dan om IPv4 adressen bij te kopen. De verkopende partij zal immers z'n hele netwerk opnieuw moeten inrichten en al z'n routers, switches, firewall etc controleren of de oude IP's niet meer gebruikt worden. Als je als bedrijf communiceert met andere bedrijven dan moeten je partners hun beveiliging waarschijnlijk ook aanpassen.
Dergelijke kosten kunnen enorm oplopen en daarom denk ik dat er niet veel organisaties bereidt zullen zijn om hun IPv4 adressen te verkopen.

(Een definitieve oplossing is het sowieso niet. Als we alle IPv4 adressen een keertje op nieuw zouden verkopen dan komen we over 5-10 jaar alsnog in de problemen.)

[tim427]

axis schreef op maandag 28 juni 2010 @ 23:22:
[...]

Wat wel eens voorkomt is 2 kleine bedrijfjes die in 1 pand zitten, beiden met een Microsoft SBS server (met Exchange), en die 1 simpel adsl lijntje willen delen met 1 publiek ip. Dan krijg je inderdaad het probleem van waar je poort 25 laat uit komen.


Zo te zien zijn er twee kampen: zij die NAT vies vinden en er zo snel mogelijk vanaf willen (waaronder ik), en zij die het wel ok vinden zoals het nu gaat. De technische details en workarounds voor NAT-problemen lijken me aan de ene kant niet zo heel relevant voor de discussie, aan de andere kant is het juist wel relevant, want NAT zorgt voor problemen die IPv6 oplost. Ik kan me daarnaast ook voorstellen dat hoe groter je hekel aan nat is, hoe groter je behoefte is aan ipv6. *Krabt achter oren*

Die NAT houd de "domme" mensen ook beschermd lijkt mij? (NAT firewalling).

Dat is namelijk iets wat ik afvraag met IPv6... Er zijn binnekort genoeg ip-adressen (met IPv6) en is dus NAT niet nodig. IEDEREEN krijgt doodleuk een "buitenstaand" ip-adres en iedere computer is dus doodleuk vanaf het internet te benaderen. Dit gaat echt gigantische beveiligins problemen opleveren dnek ik?

Meeste bedrijven zitten lekker veilig achter een Hardware Firewall appliance, dat gaat dus veranderen?

[ChaserBoZ_]

CAPSLOCK2000 schreef op dinsdag 29 juni 2010 @ 16:29:
[...]


Ik geloof er niks van. IP adressen verplaatsen is nog best lastig.
Ik denk dat in vrijwel alle gevallen het goedkoper zal zijn om naar IPv6 te migreren dan om IPv4 adressen bij te kopen. De verkopende partij zal immers z'n hele netwerk opnieuw moeten inrichten en al z'n routers, switches, firewall etc controleren of de oude IP's niet meer gebruikt worden. Als je als bedrijf communiceert met andere bedrijven dan moeten je partners hun beveiliging waarschijnlijk ook aanpassen.
Dergelijke kosten kunnen enorm oplopen en daarom denk ik dat er niet veel organisaties bereidt zullen zijn om hun IPv4 adressen te verkopen.

(Een definitieve oplossing is het sowieso niet. Als we alle IPv4 adressen een keertje op nieuw zouden verkopen dan komen we over 5-10 jaar alsnog in de problemen.)

Afgezien van het netwerk van de 'verkopende partij'; het RIPE laat het verhandelen niet toe Het zou hooguit met een PI reeks kunnen, maar ook daar zitten een boel voorwaarden aan vast. Reeksen verkopen welke via het RIPE zijn uitgedeeld, is dus gewoonweg niet mogelijk.

[CyBeR]

tim427 schreef op dinsdag 29 juni 2010 @ 23:23:
[...]

Die NAT houd de "domme" mensen ook beschermd lijkt mij? (NAT firewalling).

Dat is namelijk iets wat ik afvraag met IPv6... Er zijn binnekort genoeg ip-adressen (met IPv6) en is dus NAT niet nodig. IEDEREEN krijgt doodleuk een "buitenstaand" ip-adres en iedere computer is dus doodleuk vanaf het internet te benaderen. Dit gaat echt gigantische beveiligins problemen opleveren dnek ik?

Meeste bedrijven zitten lekker veilig achter een Hardware Firewall appliance, dat gaat dus veranderen?

Je maakt hier een fundamentele fout. Je verwart NAT met een firewall. De meeste NAT-routers hebben een firewall ingebouwd (en ja, het blokkeren van inkomende connection attempts is firewall-functionaliteit). Maar dat maakt NAT niet gelijk aan een firewall, noch betekent het dat een absentie van NAT inhoudt dat er geen firewall meer is.

[tim427]

CyBeR schreef op dinsdag 29 juni 2010 @ 23:32:
[...]


Je maakt hier een fundamentele fout. Je verwart NAT met een firewall. De meeste NAT-routers hebben een firewall ingebouwd (en ja, het blokkeren van inkomende connection attempts is firewall-functionaliteit). Maar dat maakt NAT niet gelijk aan een firewall, noch betekent het dat een absentie van NAT inhoudt dat er geen firewall meer is.

Ach stomme fout inderdaad, maar leek me makkelijker om met NAT te gaan firewallen dan voor bijvoorbeeld 20 adressen achter je modem. Maar dat is stierenpoep natuurlijk...

[JackBol]

tim427 schreef op dinsdag 29 juni 2010 @ 23:45:
[...]

Ach stomme fout inderdaad, maar leek me makkelijker om met NAT te gaan firewallen dan voor bijvoorbeeld 20 adressen achter je modem. Maar dat is stierenpoep natuurlijk...

of er nou 1 of 10000 adressen achterzitten, de fundamentele 'firewall' die NAT is heeft maar 3 'regels':

1: permit established
2: eventuele port-forwards die zijn ingesteld
3: deny any


tegenwoordig wordt 99% van de modem/routers beheerd door de ISP en daar zitten hele knappe koppen de standaard configuratie van dergelijke apparaatjes te bedenken.

Of dat nu IPv4 met een publiek IP en een privaat lan is dat dmv. NAT werkt, of dat dat nu een IPv6 routertje is dat een basic firewall aan boord heeft met bovenstaande 'regels', dat maakt voor de veiligheid van thuisgebruikers verder niet uit.

Van die 1% die zelf zijn ADSL router managed wordt verwacht dat deze snapt dat een router geen firewall is en dat je maatregelen zult moeten nemen om buitenstaanders van je LAN af te houden. En ja, dat zal regelmatig mis gaan, maar stupiditeit kan je niet oplossen met techniek. (Dat kon met NAT ook al niet, maar dat was nog 'complex' genoeg om de gemiddelde netwerk-hobby-bob voldoende af te schrikken en er vanaf te blijven).

[tim427]

_DH schreef op woensdag 30 juni 2010 @ 07:53:
[...]


of er nou 1 of 10000 adressen achterzitten, de fundamentele 'firewall' die NAT is heeft maar 3 'regels':

1: permit established
2: eventuele port-forwards die zijn ingesteld
3: deny any


tegenwoordig wordt 99% van de modem/routers beheerd door de ISP en daar zitten hele knappe koppen de standaard configuratie van dergelijke apparaatjes te bedenken.

Of dat nu IPv4 met een publiek IP en een privaat lan is dat dmv. NAT werkt, of dat dat nu een IPv6 routertje is dat een basic firewall aan boord heeft met bovenstaande 'regels', dat maakt voor de veiligheid van thuisgebruikers verder niet uit.

Van die 1% die zelf zijn ADSL router managed wordt verwacht dat deze snapt dat een router geen firewall is en dat je maatregelen zult moeten nemen om buitenstaanders van je LAN af te houden. En ja, dat zal regelmatig mis gaan, maar stupiditeit kan je niet oplossen met techniek. (Dat kon met NAT ook al niet, maar dat was nog 'complex' genoeg om de gemiddelde netwerk-hobby-bob voldoende af te schrikken en er vanaf te blijven).

Ja dat was me eventjes ontgaan, ik weet gelukkig wel hoe het werkt, beheer het zelf om meerdere locaties waar bijvoorbeeld ook mijn twee servers in het datacenter.

Maar ik denk dat die 99% toch wel tegenvalt.. Ken genoeg mensen die ooit een ADSL-modem kregen en toen wireless wilden, deze hebben vaak een WirelessRouter/Modem gekocht om zo maar 1 apparaat te hebben.

[CAPSLOCK2000]

tim427 schreef op dinsdag 29 juni 2010 @ 23:23:
[...]

Die NAT houd de "domme" mensen ook beschermd lijkt mij? (NAT firewalling).

Dat is namelijk iets wat ik afvraag met IPv6... Er zijn binnekort genoeg ip-adressen (met IPv6) en is dus NAT niet nodig. IEDEREEN krijgt doodleuk een "buitenstaand" ip-adres en iedere computer is dus doodleuk vanaf het internet te benaderen. Dit gaat echt gigantische beveiligins problemen opleveren dnek ik?

Meeste bedrijven zitten lekker veilig achter een Hardware Firewall appliance, dat gaat dus veranderen?

Dat is de theorie, maar in praktijk gaat er weinig veranderen.

Particulieren die leggen namelijk geen eigen netwerk aan maar krijgen een kant-en-klaar doosje van hun ISP.
Vandaag de dag bevat zo'n doosje een ADSL-modem, router, NAT, switch en een wifi-accesspoint. Meestal zit er ook een firewall bij.
Dat gaat niet veranderen. Mensen krijgen een kastje van hun ISP en die zorgt er voor dat dat kastje veilig is.

[CAPSLOCK2000]

ChaserBoZ_ schreef op dinsdag 29 juni 2010 @ 23:28:
[...]


Afgezien van het netwerk van de 'verkopende partij'; het RIPE laat het verhandelen niet toe Het zou hooguit met een PI reeks kunnen, maar ook daar zitten een boel voorwaarden aan vast. Reeksen verkopen welke via het RIPE zijn uitgedeeld, is dus gewoonweg niet mogelijk.

RIPE laat het niet toe, maar wat gaan ze er tegen doen?
Heel internet is met goede wil aan elkaar gelijmd. IP-ranges zijn bereikbaar omdat iedereen de routes van anderen blind vertrouwt. Zolang mensen mijn routes accepteren kan ik doen met m'n range wat ik wil.

[Hans van Eijsden]

Sinds gisteravond heb ik problemen met de bereikbaarheid via 6to4. Ik kan IPv6-websites niet meer bereiken: niet via de browser, niet via traceroute6.. DNS werkt wel. Ook kan ik via IPv6 gewoon https://6to4.nro.net/ bereiken (welke de reverse-DNS regelt voor mijn 6to4 IPv6).
Ik heb alles al gereset: modem, router, Mac. Dit heeft tot op heden niets geholpen. Ik heb ook gecontroleerd of mijn externe IP-adres niet is veranderd: deze is gewoon hetzelfde gebleven.
Ik kan dus via 6to4 IPv6 wel tot en met NRO komen (vanwie de 6to4 afkomt) maar verder niet, ik vermoed dus dat het probleem daar ligt. Mijn v6 begint met 2002:524a.
Meer mensen problemen?

Edit: ruim 36 uur later werkt het allemaal weer. Bleek alleen van toepassing te zijn op Ziggo-gebruikers...

[ Voor 7% gewijzigd door Hans van Eijsden op 07-07-2010 12:26 ]

[DutchTSE]

Ik zie dat dit topic eigenlijk alleen over IPv6 in thuisnetwerken gaat. Zitten hier ook hosters (vast wel) en hoe ver zijn die met hun IPv6 implementatie?

Wij hadden alle diensten behalve webhosting al IPv6 ready. DirectAdmin heeft sinds deze week IPv6 ondersteuning in BETA uitgebracht (http://www.directadmin.com/features.php?id=1080) dus alle diensten kunnen nu op IPv4 + IPv6 draaien, inclusief alle klanten die een webhostingpakketje afnemen. Wij hadden de alpha al getest en de beta vinden wij al productie waardig genoeg.

Of is het topic hier niet voor bedoeld?

[ Voor 4% gewijzigd door DutchTSE op 09-07-2010 12:45 ]

[CyBeR]

DutchTSE schreef op vrijdag 09 juli 2010 @ 12:44:
Ik zie dat dit topic eigenlijk alleen over IPv6 in thuisnetwerken gaat. Zitten hier ook hosters (vast wel) en hoe ver zijn die met hun IPv6 implementatie?

De meeste grote hosters hebben hun netwerken al IPv6-geschikt. Grote uitzondering hierin is True. Het helpt voor die hosters wel dat ze gewoon directe verbindingen hebben met andere netwerken dus ze hoeven niet supermoeilijk te doen als hun apparatuur zelf geschikt is.

Of is het topic hier niet voor bedoeld?

Natuurlijk wel.

[Bigs]

Wij zijn als webhoster op zich wel bezig met IPv6. Onze eigen websites en enkele DNS servers zijn IPv6-enabled, maar verder is het voor ons nog een beetje behelpen omdat wij 80% van onze servers op Plesk hebben draaien en Plesk heeft geen IPv6 support (wat ik trouwens ongelofelijk slecht vind). Hier en daar hebben we wel wat gehackt in configuratie files, maar de web server van het control panel zelf is bijvoorbeeld gewoon gecompiled zonder IPv6 support dus dan houdt het snel op. Een positief punt is dan wel weer dat wij inmiddels op al onze colo-caties de beschikking over native IPv6 hebben. De Nederlandse datacenters lijken het dus wel goed te doen.

Van de ene kant erg jammer, maar van de andere kant is er ook nog nauwelijks vraag vanuit onze klanten. Wat ik bovendien heb gemerkt is dat een enkeling onze website niet kan bezoeken door een foutieve IPv6 configuratie op zijn eigen computer.. vandaar dat wij onze grote projecten ook nog niet op IPv6 hebben draaien.

[CyBeR]

Bigs schreef op vrijdag 09 juli 2010 @ 12:57:
Van de ene kant erg jammer, maar van de andere kant is er ook nog nauwelijks vraag vanuit onze klanten. Wat ik bovendien heb gemerkt is dat een enkeling onze website niet kan bezoeken door een foutieve IPv6 configuratie op zijn eigen computer.. vandaar dat wij onze grote projecten ook nog niet op IPv6 hebben draaien.

Er zijn inderdaad bepaalde situaties waarin dat gebeurt. Meestal een brakke router. Ik heb een keer achter een linksys gezeten bijvoorbeeld die een rfc1918-adres had, en ondanks dat toch trachtte 6to4 te gebruiken. En dat kon niet uitgezet worden.

[DutchTSE]

Bigs schreef op vrijdag 09 juli 2010 @ 12:57:
Wij zijn als webhoster op zich wel bezig met IPv6. Onze eigen websites en enkele DNS servers zijn IPv6-enabled, maar verder is het voor ons nog een beetje behelpen omdat wij 80% van onze servers op Plesk hebben draaien en Plesk heeft geen IPv6 support (wat ik trouwens ongelofelijk slecht vind). Hier en daar hebben we wel wat gehackt in configuratie files, maar de web server van het control panel zelf is bijvoorbeeld gewoon gecompiled zonder IPv6 support dus dan houdt het snel op. Een positief punt is dan wel weer dat wij inmiddels op al onze colo-caties de beschikking over native IPv6 hebben. De Nederlandse datacenters lijken het dus wel goed te doen.

Van de ene kant erg jammer, maar van de andere kant is er ook nog nauwelijks vraag vanuit onze klanten. Wat ik bovendien heb gemerkt is dat een enkeling onze website niet kan bezoeken door een foutieve IPv6 configuratie op zijn eigen computer.. vandaar dat wij onze grote projecten ook nog niet op IPv6 hebben draaien.

DirectAdmin had tot voor kort ook geen IPv6 en minimale vraag ernaar. Ik heb toen per stukje software dat er gebruikt werd uitgezocht hoe deze met IPv6 te compilen viel, welke aanpassingen er nodig waren aan de templates, geinventariseerd op webhostingtalk welke wensen er waren en dat hele zooitje naar ze doorgemailt. Toen is het er toch van gekomen! Af en toe even vragen om een status update om de vraag warm te houden.

Heb je al contact opgenomen met Plesk hierover? Benadruk even dat in de EU veel netwerken al geschikt zijn, in Amerika lijkt IPv6 veel minder te spelen (DirectAdmin zit in de USA/Canada en daardoor speelde het bij hun niet, weet niet waar Plesk zit?).

Toch merk ik onder de hosters dat IPv6 niet zo speelt, en in mijn gedachte waren er ook maar een paar netwerken native IPv6 ready, zeg max 10 netwerken.

[Olaf van der Spek]

Pas als consumenten ook IPv6 krijgen, zal het echt gaan lopen. Hoe staat het ermee bij de nederlandse ISPs? XS4ALL is ermee aan het experimenteren, maar verder heb ik er weinig van gehoord.

[Verwijderd]

Er zijn nog wel meer ISP's die staan te springen, maar het zijn voornamelijk de Telco's die hier het voorbereidende werk moeten doen

[JackBol]

Bigs schreef op vrijdag 09 juli 2010 @ 12:57:

Van de ene kant erg jammer, maar van de andere kant is er ook nog nauwelijks vraag vanuit onze klanten. Wat ik bovendien heb gemerkt is dat een enkeling onze website niet kan bezoeken door een foutieve IPv6 configuratie op zijn eigen computer.. vandaar dat wij onze grote projecten ook nog niet op IPv6 hebben draaien.

Misschien interessant voor je: http://www.ietf.org/proceedings/73/slides/v6ops-4.pdf

0.09% of users have broken IPv6 connectivity
- That is, adding an AAAA record will make these users unable to view your site

[Bigs]

_DH schreef op vrijdag 09 juli 2010 @ 23:08:
[...]


Misschien interessant voor je: http://www.ietf.org/proceedings/73/slides/v6ops-4.pdf

0.09% of users have broken IPv6 connectivity
- That is, adding an AAAA record will make these users unable to view your site

Hmmja ik vermoedde al dat Google wel cijfers zou hebben, gezien hun aanpak van IPv6 (alleen voor netwerken waar IPv6 goed geïmplementeerd is). Hun eigen conclusie is wel:

It's not that broken: ~0.09% clients lost, ~150ms extra latency – don't believe the FUD

Maar het blijft een lastige afweging..

[Olaf van der Spek]

Wat is de oorzaak van die extra latency?

[Orion84]

Tunneling wat veel gebruikers op dit moment nog gebruiken voor IPv6 connectivity?

Persoonlijk heb ik daar niet echt last van trouwens, google.com en ipv6.google.com geven vergelijkbare ping resultaten, maar wellicht dat dat van PoP tot PoP verschilt?

[ Voor 129% gewijzigd door Orion84 op 10-07-2010 12:17 ]

[Olaf van der Spek]

Ah, natuurlijk.

Er zijn nog wel meer ISP's die staan te springen, maar het zijn voornamelijk de Telco's die hier het voorbereidende werk moeten doen

Dat geldt alleen voor (DSL) ISPs die geen eigen netwerk hebben toch? Hoe zit het met de kabelaars dan?

[ Voor 89% gewijzigd door Olaf van der Spek op 10-07-2010 12:19 ]

[ChaserBoZ_]

Olaf van der Spek schreef op zaterdag 10 juli 2010 @ 12:18:
Ah, natuurlijk.

[...]

Dat geldt alleen voor (DSL) ISPs die geen eigen netwerk hebben toch? Hoe zit het met de kabelaars dan?

Inderdaad, een ISP welke bij telco's layer2 diensten inkoopt, kan daar ieder protocol op laten werken

[Skinkie]

Olaf van der Spek schreef op zaterdag 10 juli 2010 @ 12:18:
Dat geldt alleen voor (DSL) ISPs die geen eigen netwerk hebben toch? Hoe zit het met de kabelaars dan?

Ubee modems zijn IPv6 ready.

[CyBeR]

ChaserBoZ_ schreef op zaterdag 10 juli 2010 @ 23:22:
[...]


Inderdaad, een ISP welke bij telco's layer2 diensten inkoopt, kan daar ieder protocol op laten werken

Punt is een beetje dat die diensten voor DSL afaik niet L2 zijn. Of je moet een stuk verder gaan in je infra dan gewoon reseller van DSL zijn.

[ Voor 11% gewijzigd door CyBeR op 10-07-2010 23:33 ]

[Olaf van der Spek]

Skinkie schreef op zaterdag 10 juli 2010 @ 23:28:
[...]

Ubee modems zijn IPv6 ready.

Maar verder?

[Skinkie]

Olaf van der Spek schreef op zaterdag 10 juli 2010 @ 23:42:
[...]

Maar verder?

Het lijkt neer te komen op geen prioriteit bij Ziggo.

[axis]

Voor de mensen die geinteresseer zijn, meld je ook aan op de ipv6 task force mailing list (http://melix.ams-ix.net/mailman/listinfo/ipv6-tf), daar komt erg interessante informatie voorbij.

Wij hebben als hosting partij de meeste sites op ipv6 draaien. Vooral Windows Server 2008/2008R2 en Linux (geen control panels). Alleen nog wat sites op oude 2003 machines met IIS6 zijn niet bereikbaar over ipv6.

DNS en mail uiteraard al jaren over ipv6..

[ChaserBoZ_]

CyBeR schreef op zaterdag 10 juli 2010 @ 23:33:
[...]


Punt is een beetje dat die diensten voor DSL afaik niet L2 zijn. Of je moet een stuk verder gaan in je infra dan gewoon reseller van DSL zijn.

Het bedrijf waar ik voor werk koppelt op ATM met BBNed en KPN, dat is L2
Daarom kunnen we de overschakeling naar IPv6 helemaal zelf doen zeg maar, geen afhankelijkheden van derden.

Indien je als ISP een IP dienst afneemt bijvoorbeeld, dan heb je een uitdaging

[Raven]

DutchTSE schreef op vrijdag 09 juli 2010 @ 12:44:
Ik zie dat dit topic eigenlijk alleen over IPv6 in thuisnetwerken gaat. Zitten hier ook hosters (vast wel) en hoe ver zijn die met hun IPv6 implementatie?

Ik heb een vergelijkbare vraag, maar dan over de verschillende mobiele telefonie providers en WM6 e.d.

Van WM6 weet ik dat ie er mee overweg kan, iig als deze files aanwezig zijn: tcpip6.dll, ipv6hlp.dll & dhcpv6l
Maar verder....

[Giem]

Skinkie schreef op zondag 11 juli 2010 @ 01:02:
[...]

Het lijkt neer te komen op geen prioriteit bij Ziggo.

Ik heb gewoon een ipv6 van Ziggo thuis, wel met een eigen router die er ondersteuning voor heeft. Dus ik weet niet hoe het met Ziggo zijn eigen routers.

[Loekie]

Giem schreef op dinsdag 13 juli 2010 @ 09:42:
[...]


Ik heb gewoon een ipv6 van Ziggo thuis, wel met een eigen router die er ondersteuning voor heeft. Dus ik weet niet hoe het met Ziggo zijn eigen routers.

Kun je je config uit de doeken doen? Het is geen 6to4 mag ik hopen?
Welke apparatuur gebruik je?

[Giem]

Loekie schreef op dinsdag 13 juli 2010 @ 10:25:
[...]

Kun je je config uit de doeken doen? Het is geen 6to4 mag ik hopen?
Welke apparatuur gebruik je?

Ik zal vanavond even controleren of het niet 6to4 is. Ik heb in elk geval niks ingesteld, en kan gewoon ipv6.google.com bereiken/pingen enz. Zie dan ook netjes allemaal ipv6 nummers.

Ik heb een ubee modem, met een Belkin N+ router (F5D8235ed4), met de laatste firmware, en windwos 7.

[CyBeR]

Ik garandeer je dat 't 6to4 is.

[Giem]

CyBeR schreef op dinsdag 13 juli 2010 @ 11:52:
Ik garandeer je dat 't 6to4 is.

En dit regelt Ziggo voor je?

[CyBeR]

Giem schreef op dinsdag 13 juli 2010 @ 13:35:
[...]


En dit regelt Ziggo voor je?

Nee, daarom.

[xares]

Vandaag mijn Cisco geupdate met het nieuwste IOS met IPv6 ondersteuning

Ik kom er alleen niet helemaal uit.

Stel ik wil dit als mijn gateway hebben: fe80:1be8:8:0:0:0:1:1 (IP-adres van vlan)

int vlan100
ipv6 address fe80:1be8:8:0:0:0:1:1/48
end

show ipv6 route:

Switch#show ipv6 route
IPv6 Routing Table - Default - 3 entries
Codes: C - Connected, L - Local, S - Static, U - Per-user Static route
R - RIP
C fe80:1BE8:8::/48 [0/0]
via Vlan100, directly connected
L fe80:1BE8:8::1:1/128 [0/0]
via Vlan100, receive
L FF00::/8 [0/0]
via Null0, receive

Kabeltje op de poort van vlan 100 naar mijn pc met de instellingen:

IP-adres: fe80:1be8:8:0:0:0:1:1
Lengte van voorvoegsel IPadres: 64
Gateway: fe80:1be8:8:0:0:0:1:1

Vervolgens kan ik niet pingen naar 2001:1be8:8:0:0:0:1:1

Ik denk dat ik iets over het hoofd zie met subnets. Alleen geen idee wat

[Onno]

xares schreef op dinsdag 13 juli 2010 @ 19:33:
Vandaag mijn Cisco geupdate met het nieuwste IOS met IPv6 ondersteuning

Als dat over je 3550 gaat: die ondersteunt geen IPv6, ook al hebben ze de laatste firmware wel inclusief IPv6-support gecompileerd.

[xares]

Het is inderdaad een Cisco 3550.

Beetje vreemd dat ze dat doen.

[Verwijderd]

xares schreef op dinsdag 13 juli 2010 @ 19:33:
Vandaag mijn Cisco geupdate met het nieuwste IOS met IPv6 ondersteuning

Ik kom er alleen niet helemaal uit.

Stel ik wil dit als mijn gateway hebben: fe80:1be8:8:0:0:0:1:1 (IP-adres van vlan)

int vlan100
ipv6 address fe80:1be8:8:0:0:0:1:1/48
end

show ipv6 route:


[...]


Kabeltje op de poort van vlan 100 naar mijn pc met de instellingen:

IP-adres: fe80:1be8:8:0:0:0:1:1
Lengte van voorvoegsel IPadres: 64
Gateway: fe80:1be8:8:0:0:0:1:1

Vervolgens kan ik niet pingen naar 2001:1be8:8:0:0:0:1:1

Ik denk dat ik iets over het hoofd zie met subnets. Alleen geen idee wat

IP-adres: fe80:1be8:8:0:0:0:1:1
pingen naar 2001:1be8:8:0:0:0:1:1 werkt niet

Wat is er mis

Als je een show ipv6 interface brief doet, staat je interface up/up enz?

[Giem]

CyBeR schreef op dinsdag 13 juli 2010 @ 15:29:
[...]


Nee, daarom.

Hoe kan je zien of je via 6to4 verbinding maakt of rechtstreeks?

Dit is een trace:
C:\Users\Giem>tracert ipv6.google.com

Traceren van de route naar ipv6.l.google.com [2a00:1450:8003::6a]
via maximaal 30 hops:

1 1 ms <1 ms <1 ms 2002:5ed7:36b3:1234::1
2 14 ms 13 ms 13 ms 2002:9164:bc1d::1
3 15 ms 31 ms 13 ms 2001:610:188:140:145:100:188:1
4 17 ms 13 ms 13 ms 2001:610:f01:9168::169
5 15 ms 22 ms 14 ms AE1.500.JNR02.Asd002A.surf.net [2001:610:e08:68::69]
6 21 ms 20 ms 19 ms 2001:4860:1:1:0:44f::
7 84 ms 26 ms 23 ms 2001:4860::1:0:8
8 33 ms 28 ms 25 ms 2001:4860::1:0:2a
9 27 ms 27 ms 36 ms 2001:4860::34
10 37 ms 36 ms 35 ms 2001:4860:0:1::2d
11 25 ms 129 ms 35 ms 2a00:1450:8003::6a

De trace is voltooid.

[CyBeR]

Giem schreef op dinsdag 13 juli 2010 @ 21:21:
[...]


Hoe kan je zien of je via 6to4 verbinding maakt of rechtstreeks?

Hieraan:

1 1 ms <1 ms <1 ms 2002:5ed7:36b3:1234::1

Adres dat begint met 2002 is altijd 6to4.

[ChaserBoZ_]

Tja, ik zit ook nog te wachten op een nieuw IOS voor specifieke IPv6 functies, volgens degene die mn TAC beheert is het wachten tot eind deze maand, en dan ben ik proefkonijn met IOS 15 *zucht*.

[mphilipp]

CyBeR schreef op dinsdag 13 juli 2010 @ 22:16:
[...]
Adres dat begint met 2002 is altijd 6to4.

Maar je kunt dus in principe je eigen netwerkt volledig omschakelen naar IPV6 als je eigen apparatuur dat ondersteunt? Ik heb nl Netgear Gigabit switches (unmanaged desktop switches), die zouden maling moeten hebben aan V4/6, en wil een Draytek 2130 router kopen ivm high speed internet van Ziggo. Die Draytek is IPV6 ready. OS is Windows 7 en een Linux doos, die moeten dat allemaal kunnen.

Dat Ubee modem 'spreekt' ook IPV6, dus aan de huiskant zou dat allemaal goed moeten gaan. Zie ik nog iets over het hoofd? Of ik er iets mee opschiet weet ik niet, maar dan is het maar gedaan.

[CyBeR]

mphilipp schreef op donderdag 22 juli 2010 @ 00:06:
[...]

Maar je kunt dus in principe je eigen netwerkt volledig omschakelen naar IPV6 als je eigen apparatuur dat ondersteunt? Ik heb nl Netgear Gigabit switches (unmanaged desktop switches), die zouden maling moeten hebben aan V4/6, en wil een Draytek 2130 router kopen ivm high speed internet van Ziggo. Die Draytek is IPV6 ready. OS is Windows 7 en een Linux doos, die moeten dat allemaal kunnen.

Correct.

Dat Ubee modem 'spreekt' ook IPV6, dus aan de huiskant zou dat allemaal goed moeten gaan. Zie ik nog iets over het hoofd? Of ik er iets mee opschiet weet ik niet, maar dan is het maar gedaan.

Je modem heeft met 6to4 niets te maken. 6to4 is, wat jouw modem en je ISP betreft gewoon IPv4 verkeer. Namelijk proto 41 (6in4) naar 192.88.99.1.

[analog_]

Technieker bij Mobistar (belgische ISP, kleine speler) meende binnen zes á twaalf maanden IPv6 aan te bieden native of tunneling is nog niet duidelijk maar de is dus hoop.

[Snow_King]

Leuk om te zien: nieuws: India verplicht invoering ipv6 voor maart 2012

Ben ook benieuwd wat dit gaat doen. Azië staat bekend om de schaarste in IPv4 addressen. Krijgen we dan straks een soort tweedeling waar US / Europa moeite heeft met Azië bereiken aangezien wij hier nog maar beperkt IPv6 doen?

[Giem]

Snow_King schreef op maandag 26 juli 2010 @ 09:15:
Leuk om te zien: nieuws: India verplicht invoering ipv6 voor maart 2012

Ben ook benieuwd wat dit gaat doen. Azië staat bekend om de schaarste in IPv4 addressen. Krijgen we dan straks een soort tweedeling waar US / Europa moeite heeft met Azië bereiken aangezien wij hier nog maar beperkt IPv6 doen?

Min of meer.. als hun ipv6 only servers hebben zonder ipv4.. en wij hebben hier alleen ipv4, en geen ipv6 adres,.. dan zul je ze niet kunnen bereiken.

[Snow_King]

Giem schreef op maandag 26 juli 2010 @ 10:18:
[...]


Min of meer.. als hun ipv6 only servers hebben zonder ipv4.. en wij hebben hier alleen ipv4, en geen ipv6 adres,.. dan zul je ze niet kunnen bereiken.

Technisch snap ik dat volledig, maar zal het in de praktijk ook zo ver gaan komen?

Nu hoor ik geruchten dat Ziggo eind dit jaar al IPv6 wil gaan uitrollen, maar zal het ook zo'n vaart gaan lopen?

[mphilipp]

Snow_King schreef op maandag 26 juli 2010 @ 09:15:
Leuk om te zien: nieuws: India verplicht invoering ipv6 voor maart 2012

Ben ook benieuwd wat dit gaat doen. Azië staat bekend om de schaarste in IPv4 addressen. Krijgen we dan straks een soort tweedeling waar US / Europa moeite heeft met Azië bereiken aangezien wij hier nog maar beperkt IPv6 doen?

Wet van de remmende voorsprong. Ik denk niet dat de bedelaars een internet aansluiting hebben...

[Orion84]

Sowieso zijn er nog allerlei constructies om IPv6 only hosts toch toegankelijk te maken via allerlei gateway en tunneling technieken, zoals bijvoorbeeld Teredo 6to4.

[axis]

Er waren volgens mij een aantal pornoboeren die hadden gezegd dat ze een grote gratis ipv6-only repository zouden openstellen, om de vraag te verhogen, maar dat is ook nog niet gebeurd

[CyBeR]

axis schreef op maandag 26 juli 2010 @ 10:30:
Er waren volgens mij een aantal pornoboeren die hadden gezegd dat ze een grote gratis ipv6-only repository zouden openstellen, om de vraag te verhogen, maar dat is ook nog niet gebeurd

die site (www.ipv6experiment.com) verwijst nu door naar www.camwhores.com, maar verdomd:

code:

[marco@miranda Rei]$ host www.camwhores.com
www.camwhores.com has address 204.9.55.7
www.camwhores.com has IPv6 address 2001:4978:1:2::cc09:3707

[Verwijderd]

http://webwereld.nl/nieuw...pese-ipv6-middenmoot.html

De zakelijke providers die IPv6 aanbieden in Nederland zijn BIT, Breedband Delft, Interoute, Signet, Introweb en Proserve.

Ik vraag me af of dit op dit moment ook de énige zakelijke ISP's zijn die IPv6 aanbieden. Het valt me eigenlijk érg tegen.

[CyBeR]

Dat is dan waarschijnlijk alleen voor zakelijk access. De betere hosting (co-locatie vooral) en transit-ISP's doen native IPv6. In ieder geval de mijne, ReasonNet. LeaseWeb doet 't ook als je een rack of meer afneemt, etc.

[Osiris]

XS4ALL heeft ook al jaaaaaaaaaaaaren IPv6 in hun colo

[Verwijderd]

Dan vraag ik me dus af waar "de" op slaat. Misschien de providers die dit standaard aanbieden, dus ongevraagd? Dat doen wij namelijk wel tegenwoordig.

[ Voor 15% gewijzigd door Verwijderd op 26-07-2010 18:36 ]

[Olaf van der Spek]

nieuws: India verplicht invoering ipv6 voor maart 2012

Dit is nieuws dat ik vaker wil zien!

[analog_]

Heb ook feature request ([FR] IPv6 / IPv4 Toggle Button) bij Opera ASA geplaatst voor hun browser. Ik wil een IPv4/IPv6/preference for IPvN over IPvN toggle knop die ook een indicatie geeft welk protocol momenteel gebruikt wordt voor de gevraagde URL (lichte bump request)

Olaf van der Spek schreef op maandag 26 juli 2010 @ 20:30:
nieuws: India verplicht invoering ipv6 voor maart 2012

Dit is nieuws dat ik vaker wil zien!

We hebben trouwens ook richtlijnen van de EU gekregen omtrent IPv6 uitrol door commerciële ISP boeren, er zou dacht ik een quote van 25% of 30% van de users verbonden moeten zijn tegen het einde van 2010.

Giem schreef op maandag 26 juli 2010 @ 10:18:
[...]

Min of meer.. als hun ipv6 only servers hebben zonder ipv4.. en wij hebben hier alleen ipv4, en geen ipv6 adres,.. dan zul je ze niet kunnen bereiken.

Dan kunnen we stoppen met dnssec en die anti-spam records in DNS. Geen spam meer

[ Voor 18% gewijzigd door analog_ op 27-07-2010 07:05 ]

[analog_]

*sigh* geen delete knopje. my bad.

[ Voor 92% gewijzigd door analog_ op 27-07-2010 07:05 ]

[Raven]

Veel grotere providers nog niet klaar voor IPv6

Veel grotere internet service providers (ISP's) zijn nog niet klaar voor het invoeren en aanbieden van IPv6 aan zakelijke klanten. Dat blijkt uit een 'nulmeting' tussen januari en april 2010 door TNO. De onderzoeksorganisatie deed het onderzoek in opdracht van het Ministerie van Economische Zaken (EZ).

Het aantal internetproviders dat daadwerkelijk een IPv6-verbinding aanbiedt aan haar klanten, is met zeven nog gering. Ook is nog niet helder hoe snel meer diensten en content op IPv6 beschikbaar komen.

'Het zijn op dit moment vooral de kleine internet service providers (ISP's) die IPv6 hebben doorgevoerd en aanbieden aan zakelijke klanten', schrijven de TNO-onderzoekers. Er zijn zes ISP's in Nederland die een 'native' IPv6-verbinding aanbieden aan zakelijke klanten. Dat zijn BIT, Breedband Delft, Interoute, Signet, Introweb en Proserve. XS4all biedt IPv6 aan voor een beperkte doelgroep Nederlandse consumenten.

Nulmeting
Nederland zit in de voorhoede bij de voorbereiding voor het gebruik van het nieuwe internetprotocol IPv6. Hoewel het gebruik nog laag is, blijkt uit het toenemend aantal aangevraagde adressen dat het bewustzijn wel toeneemt, schrijven de onderzoekers. Het is echter nog onduidelijk op welke schaal daadwerkelijk voorbereidingen worden getroffen om het nieuwe internetprotocol in te voeren.

Drie procent van de Nederlandse internetgebruikers heeft toegang heeft tot het IPv6-internet. In vergelijking met andere landen is dat een gemiddelde score. Tot eind 2009 had Nederland in totaal 23 miljoen IPv4-adressen aangevraagd, waarvan 2 miljoen in 2009. Deze groei is toe te schrijven aan de opkomst van mobiele toepassingen die naar verwachting blijft doorzetten.

TNO deed een 'nulmeting' van de Nederlandse IPv6-uitrol tussen januari en april 2010. Over een half jaar zal een tweede meting plaatsvinden.

[Liegebeest]

Ik hoor eigenlijk verdacht weinig mensen over de security implicaties van IPv6 voor professionele netwerken. Ik bedoeld, wat te denken van de encryptie mogelijkheden die in veel gevallen onze firewalls nagenoeg onbruikbaar maken?

* Liegebeest gaat eens wat meer Googlen over "IPv6 security concerns".

EDIT:
Goed spul...

[ Voor 11% gewijzigd door Liegebeest op 27-07-2010 10:41 ]

[Orion84]

cailin_coilleach schreef op dinsdag 27 juli 2010 @ 10:29:
Ik hoor eigenlijk verdacht weinig mensen over de security implicaties van IPv6 voor professionele netwerken. Ik bedoeld, wat te denken van de encryptie mogelijkheden die in veel gevallen onze firewalls nagenoeg onbruikbaar maken?

* Orion84 gaat eens wat meer Googlen over "IPv6 security concerns".

Die encryptiemogelijkheden (IPSec) zitten toch net zo goed in IPv4, alleen zitten ze daar niet verplicht in en ontbreekt de ondersteuning dus in sommige apparaten/implementaties? Kortom, waar baseer je je precies op dat je verwacht dat met de komst van IPv6 ineens iedereen versleutelde IP pakketjes gaat verzenden?

Ik heb me er niet bijzonder in verdiept, dus wellicht mis ik wat, in dat geval hoor ik graag wat ik mis

[Liegebeest]

Het is nog niet eens spannend dat "iedereen" versleutelde packets gaat versturen. Het is vooral spannend dat de verkeerde mensen dit gaan doen om zo ongewenst verkeer mogelijk te maken. Als ik het goed begrijp kan je daar op firewall op het moment nog verdraaid weinig tegen doen.

[Orion84]

cailin_coilleach schreef op dinsdag 27 juli 2010 @ 10:48:
Het is nog niet eens spannend dat "iedereen" versleutelde packets gaat versturen. Het is vooral spannend dat de verkeerde mensen dit gaan doen om zo ongewenst verkeer mogelijk te maken. Als ik het goed begrijp kan je daar op firewall op het moment nog verdraaid weinig tegen doen.

Er zijn vast mogelijkheden om ipsec traffic te blokkeren (naar vertrouwde doelen / van onvertrouwde bronnen). De geadresseerde en afzender zijn immers niet versleuteld, dus daar kan je nog steeds op filteren en IPSec traffic is vast wel herkenbaar als zodanig.

Bovendien kunnen die "verkeerde mensen" dat nu met IPv4 ook prima als ze dat willen. Nogmaals: het enige wat er veranderd is, is dat IPSec verplicht ondersteund moet worden door IPv6 hosts, terwijl dat voor IPv4 hosts optioneel, maar doorgaans wel geïmplementeerd, was. Zie ook: Wikipedia: IPv6

IPsec support is mandatory in IPv6; this is unlike IPv4, where it is optional (but usually implemented).

[ Voor 5% gewijzigd door Orion84 op 27-07-2010 11:36 ]

[analog_]

Orion84 schreef op dinsdag 27 juli 2010 @ 11:14:
[...]

Wat ik niet helemaal begreep is of deze security on-the-fly wordt genegotieerd of dat je deze met de hand á la backport IPsec moet instellen op voorhand. Anders kunnen we alle S varianten van de lagen erboven ook langzaam uitfaseren zoals HTTPS en de vele secure FTP varianten.

[CyBeR]

Die moet geconfigureerd worden.

[moto-moi]

FYI: irc.tweakers.net is nu ook (eindelijk) bereikbaar onder een ipv6 ip aangezien we eindelijk echte ipv6 van True kunnen krijgen. Nu maar eens kijken of we alle services op die bak tof kunnen samen laten werken met ipv6 en daarna maar eens heel voorzichting richting de rest van de website kijken

[boonie]

Dat is goed nieuws. Ik ben benieuwd of tweakers het eerder voor elkaar heeft dan nu.nl. Linkje.

[moto-moi]

boonie schreef op zaterdag 31 juli 2010 @ 10:34:
Dat is goed nieuws. Ik ben benieuwd of tweakers het eerder voor elkaar heeft dan nu.nl. Linkje.

Dunno, sowieso heb ik echt nog nooit gehoord van 'de Nederlandse IPv6 Task Force', dus zo heel druk zullen die nou ook weer niet lobbyen bij grote websites, waar Tweakers.net toch onder schijnt te vallen, volgens mij.

[Snow_King]

moto-moi schreef op zaterdag 31 juli 2010 @ 10:04:
FYI: irc.tweakers.net is nu ook (eindelijk) bereikbaar onder een ipv6 ip aangezien we eindelijk echte ipv6 van True kunnen krijgen. Nu maar eens kijken of we alle services op die bak tof kunnen samen laten werken met ipv6 en daarna maar eens heel voorzichting richting de rest van de website kijken

Niet zo moeilijk doen, Apache en Varnish doen prima IPv6

LVS / IPVSADM (Wat Tweakers voor de loadbalancing gebruikt toch?) doet wat moeilijker met IPv6...

Maar het zou super zijn zodra Tweakers ook IPv6 doet! Is een mooi bericht dan op de FP.

Ik heb overigens mijn ISP, ZeelandNet, een mail gestuurd, ook zij geven aan nog geen IPv6 plannen te hebben..... Hoe kan dat toch zijn?

[moto-moi]

Snow_King schreef op zaterdag 31 juli 2010 @ 11:45:
Niet zo moeilijk doen, Apache en Varnish doen prima IPv6

Wij doen wel iets meer dan apache en varnish draaien hoor

LVS / IPVSADM (Wat Tweakers voor de loadbalancing gebruikt toch?) doet wat moeilijker met IPv6...

Klopt, maar afaik is dat gefixed in de laatste versie, maar dat moeten we uiteraard ook gaan testen

[Freeaqingme]

Ik weet niet hoe veel tweakers natief ipv6 hebben, maar je zou ook al 't ipv6 verkeer buiten je loadbalancer om kunnen laten gaan en 1 varnish box ipv6 laten praten. Dan kan t.net vanavond nog ipv6 accessible zijn

[CyBeR]

freakingme schreef op zaterdag 31 juli 2010 @ 13:56:
Ik weet niet hoe veel tweakers natief ipv6 hebben, maar je zou ook al 't ipv6 verkeer buiten je loadbalancer om kunnen laten gaan en 1 varnish box ipv6 laten praten. Dan kan t.net vanavond nog ipv6 accessible zijn

Dat is wat ik doe inderdaad. Nou ja, 't zijn er dan twee (met round-robin dns). Mijn load-balancer doet ook geen IPv6

[moto-moi]

freakingme schreef op zaterdag 31 juli 2010 @ 13:56:
Ik weet niet hoe veel tweakers natief ipv6 hebben, maar je zou ook al 't ipv6 verkeer buiten je loadbalancer om kunnen laten gaan en 1 varnish box ipv6 laten praten. Dan kan t.net vanavond nog ipv6 accessible zijn

bereikbaar wel, maar goed werkend..nee, er dienen nog aardig wat wijzigingen in de database en code gedaan en nagelopen te worden voordat we zeker weten dat we helemaal klaar zijn voor ipv6. En aangezien we niet voor niets 4 webservers hebben, zie ik ook graag onze loadbalancer daar gebruik van maken.

Maargoed, zo te zien heeft lvs support voor ipv6, we moeten alleen ergens tijd vinden om de nieuwste versie daarvan te gaan draaien en de ipv6 support goed te testen voordat we gaan beweren dat tweakers.net en gathering.tweakers.net tof ipv6 ready zijn

Voorlopig houden we het eerst even bij de irc server en de paar vhosts die daarop staan, en voorzichtig gaan we dan naar de rest kijken.

[Verwijderd]

Even een vraagje. Ik heb per ongeluk mijn ipv6 tunnel gewist. Nu probeer ik uit alle macht de tunnel weer op te zetten, maar het lukt me maar niet. Kan niet pingen naar ipv6 websites, laat staat surfen. Ik heb een tunnel van hurricane. Gebruik als windows 7 x64 ultimate en zit tevens achter een router. Ik snap niet dat ik het niet meer aan de praat krijg. Hoop dat de "experts" me hiermee kunnen helpen. Ik gebruikte de netsh commandos die ik van tunnelbroker zelf kreeg, nadat ik de tunnel opnieuw heb aangemaakt.

Deze dus:

netsh interface teredo set state disabled
netsh interface ipv6 add v6v4tunnel IP6Tunnel 192.168.1.100 216.66.84.46
netsh interface ipv6 add address IP6Tunnel 2001:470:1f14:b4c::2
netsh interface ipv6 add route ::/0 IP6Tunnel 2001:470:1f14:b4c::1

Aangezien ik achter een router zit heb ik dus mijn private ip adress gebruikt bij de 2e regel. Alles word mooi ingevoerd, geen rare meldingen, maar toch kan ik geen ipv6 websites bereiken, laat staan pingen. Waar kijk ik overheen ? Ben al 4 dagen bezig, kom er maar niet uit.


Bij voorbaat dank.

[Loekie]

Verwijderd schreef op zaterdag 31 juli 2010 @ 21:07:
Deze dus:

netsh interface teredo set state disabled
netsh interface ipv6 add v6v4tunnel IP6Tunnel 192.168.1.100 216.66.84.46
netsh interface ipv6 add address IP6Tunnel 2001:470:1f14:b4c::2
netsh interface ipv6 add route ::/0 IP6Tunnel 2001:470:1f14:b4c::1

Aangezien ik achter een router zit heb ik dus mijn private ip adress gebruikt bij de 2e regel. Alles word mooi ingevoerd, geen rare meldingen, maar toch kan ik geen ipv6 websites bereiken, laat staan pingen. Waar kijk ik overheen ? Ben al 4 dagen bezig, kom er maar niet uit.


Bij voorbaat dank.

Ik gebruik een hurricane-tunnel onder linux, maar daar moet ik wel het publieke IP gebruiken. Hurricane weet anders naar welk IP het verkeer gestuurd moet worden....
Ik zit ook achter een router en het werkt zonder probleem.
En het klinkt duf, maar soms wil het helpen om machine te herstarten en daarna tunnel op te bouwen. Om wat voor vage reden helpt dat bij mij ook....

[ Voor 22% gewijzigd door Loekie op 31-07-2010 23:38 ]

[Verwijderd]

Opgelost !!

Bleek om iets heel simpels te gaan. De zgn netsh commandos die ik kreeg van tunnelbroker, had ik al op mijn pc staan. Maar omdat ik in de tussentijd mijn tunnel verwijderd had bij tunnelbroker, en daarna weer opnieuw aangemaakt. Veranderde er een cijfertje bij het laatste netsh commando van tunnelbroker. Aangezien ik steeds mijn oude settings gebruikte van mijn vorige tunnel kon er dus niets tot stand komen. Jezus, ik kan mezelf wel voor mijn hoofd slaan. Hier heb ik dus 4 dagen non-stop overheen gekeken.

[Verwijderd]

En weer een nieuw probleem erbij. Mijn ipv6 tunnel werkt prima, alleen als ik tijdens het downloaden ook msn start of een filmpje op youtube wil bekijken knalt de verbinding meteen weg. Ik kan het wel gewoon door windows laten herstellen. Maar het word toch wat irritant nu. Krijg steeds de melding: "default gateway niet beschikbaar". Waar zou dit aan kunnen liggen ?

Bij voorbaat dank

[Raven]

Google indexeert IPv6-websites

Google is in juni 2010 begonnen met de indexering van IPv6-websites. Voorzitter Erik Huizer van de Nederlandse IPv6 Task Force is blij met Google's IPv6-zoekrobot: 'Dat betekent dat wanneer je via IPv6 een website aansluit, je website nu ook via de zoekmachine kan worden gevonden.'

Google is in juni 2010 begonnen met de indexering van IPv6-websites. Dat meldt systeemingenieur Jasper Wonnink op zijn weblog fix6.net. Het nieuws betekent dat Google's zoekmachine nu ook zoekresultaten weergeeft afkomstig van IPv6-websites.

'Vanaf 18 juni, of misschien al eerder, heeft de Googlebot websites via IPv6 geïndexeerd', schrijft Wonnink op zijn weblog. Binnen de log-bestanden van bezoekers van zijn website ontdekte de systeemingenieur een zoekrobot die door Google specifiek lijkt te zijn belast met het indexeren van de inhoud van websites die aan het internet zijn verbonden via IPv6-adressen.

Google was nog niet in staat een reactie te geven.

IPv6 Task Force
De Nederlandse IPv6 Task Force is een lobby gestart om de geïndexeerde IPv6-websites alleen te tonen aan IPv6-gebruikers, om zo organisaties die nog alleen IPv4 gebruiken, aan te moedigen ook over te stappen naar het nieuwe internetprotocol.

'We zijn hard aan het lobbyen bij Google om die indexering van IPv6-websites alleen beschikbaar te maken via IPv6', zegt Huizer. 'Daarmee creëer je een kleine beloning om ook IPv6 te gebruiken. Mensen die dan dual stack draaien (dus zowel IPv6 als IPv4) hebben dan namelijk het voordeel om zowel geïndexeerde IPv4- als IPv6-websites te zien.'

De Internet Assigned Numbers Authority (IANA), de organisatie die wereldwijd is belast met de toewijzing van de numerieke ip-adressen, is naar schatting op 20 juni 2011 door zijn buffer heen. Verschillende organisaties roepen de ict-wereld al tijden op om over te stappen op internetprotocol versie 6 (IPv6), de opvolger van IPv4.

[moto-moi]

Hmm, ik zat thuis ff ipv6 te fixen, en was bezig met het automatisch uitdelen van ipv6 adressen, maar dat heb ik toch maar stopgezet totdat ik een antwoord heb op de volgende vraag:
Op dit moment vertrouw ik op m'n nat setup zodat er geen verkeer binnenkort op m'n interne systemen dat ik daar niet wil hebben. Als ik ipv6 uitrol zou ieder systeem een extern ip hebben. is er een manier om een toffe firewall ertussen te plaatsen die ervoor zorgt dat ik erop kan vertrouwen dat alles wat intern gebeurt ook intern blijft? Ik heb wel beschrijvingen over NAT-achtige constructies gevonden, maar daar bleken allemaal haken en ogen aan te zitten.
Uiteraard kan ik op elk systeem afzonderlijk een firewall zetten, maar dat is eigenlijk niet wat ik wil, ik doe dat soort dingen graag centraal (zeker als ik het later ook op kantoor eventueel ga uitrollen). iemand een idee?

[Orion84]

Wat had je gevonden en welke haken en ogen zaten daar dan aan?

* Orion84 gebruikt in elk geval een DROP ALL, ALLOW related,established achtige constructie op de FORWARD chain middels ip6tables, zoals die in dit topic een genoemd wordt
Om precies te zijn:

code:

## set de default policy
ip6tables -P OUTPUT  ACCEPT
ip6tables -P INPUT   DROP
ip6tables -P FORWARD DROP

# op het lokale netwerk staan we alles toe
ip6tables -A INPUT   -i eth1 -j ACCEPT
ip6tables -A FORWARD -i eth1 -j ACCEPT

# allow incoming ICMP ping pong stuff
ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
ip6tables -A OUTPUT -p ipv6-icmp -j ACCEPT

# Accept 'established' traffic
ip6tables -A INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT
ip6tables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

(Excl. een serie specifieke accepts voor bepaalde hosts en poorten)

[ Voor 68% gewijzigd door Orion84 op 05-08-2010 14:39 ]

[moto-moi]

Orion84 schreef op donderdag 05 augustus 2010 @ 14:34:
Wat had je gevonden en welke haken en ogen zaten daar dan aan?

Vooral http://arstechnica.com/ha...rewall-mixed-blessing.ars deed me erg twijfelen.

* Orion84 gebruikt in elk geval een DROP ALL, ALLOW related,established achtige constructie, zoals die in dit topic een paar keer genoemd wordt

Mjah, hoe ik het per machine in kan stellen kan ik ook wel raden Maar ik vind dat teveel werk, en zoals ik al zei, voor kantoor regel ik liever wat er doorgelaten wordt, in plaats van dat men dat per persoon zelf gaat beslissen.

[Orion84]

Ja, die rules draaien bij mij dus op de debian machine die het routeren van mijn IPv6 subnet voor zijn rekening neemt (en voor IPv4 dus het NAT gebeuren).

* Orion84 gaat eens even dat artikel lezen om te zien wat er mis zou zijn met die aanpak

[ Voor 128% gewijzigd door Orion84 op 05-08-2010 14:52 ]

[Robinski]

Tja, afhankelijk hoe je IPv6 routeerd in je eigen netwerk, zou je op de gateway een firewall kunnen inrichten.

Overigens als je je machines steeds tijdelijk adressen laat aannemen (zoals Windows standaard doet), dan zit je erg veilig. Een scan op actieve systemen op IPv6 duurt al snel jaren, en dan heb je wellicht nog niets gevonden.

[CyBeR]

moto-moi schreef op donderdag 05 augustus 2010 @ 14:23:
Hmm, ik zat thuis ff ipv6 te fixen, en was bezig met het automatisch uitdelen van ipv6 adressen, maar dat heb ik toch maar stopgezet totdat ik een antwoord heb op de volgende vraag:
Op dit moment vertrouw ik op m'n nat setup zodat er geen verkeer binnenkort op m'n interne systemen dat ik daar niet wil hebben. Als ik ipv6 uitrol zou ieder systeem een extern ip hebben. is er een manier om een toffe firewall ertussen te plaatsen die ervoor zorgt dat ik erop kan vertrouwen dat alles wat intern gebeurt ook intern blijft? Ik heb wel beschrijvingen over NAT-achtige constructies gevonden, maar daar bleken allemaal haken en ogen aan te zitten.
Uiteraard kan ik op elk systeem afzonderlijk een firewall zetten, maar dat is eigenlijk niet wat ik wil, ik doe dat soort dingen graag centraal (zeker als ik het later ook op kantoor eventueel ga uitrollen). iemand een idee?

Da's vrij simpel met een stateful firewall die gewoon binnenkomende connection requests en udp zonder state dropped. Sterker nog: dat is precies wat NAT doet, maar dan zonder die vervelende vertaling erbij.

Orion84 schreef op donderdag 05 augustus 2010 @ 14:39:
Edit: ah, duidelijk, een statefull firewall implementeren in een IPv6 router betekent dat je dezelfde problemen krijgt die IPv4 NAT met zich meebracht, namelijk problemen bij bepaalde protocollen zoals FTP.

Ja, dat klopt. Echter is dat een stuk makkelijker op te lossen dan met NAT, aangezien het dan gewoon een kwestie is van een filter maken dat bepaald verkeer gewoon toestaat.

Dit probleem heb je altijd als je aanpassingen doet aan het verkeer tussen twee hosts. Of dat nou het blokkeren van packets is of het daadwerkelijk veranderen ervan (NAT dus) maakt niet uit. Je moet ofwel een protocol handler hebben die ermee om kan gaan of specifieke uitzonderingen maken.

Dat alles gezegd, als je lokale beveiliging op orde is, is dit alles nergens voor nodig, natuurlijk. Je creëert er gewoon dezelfde problemen weer mee als met IPv4 en NAT. Dat wilden we juist voorkomen.

[ Voor 29% gewijzigd door CyBeR op 05-08-2010 15:04 ]

[Orion84]

CyBeR schreef op donderdag 05 augustus 2010 @ 14:52:
[...]


Da's vrij simpel met een stateful firewall die gewoon binnenkomende connection requests en udp zonder state dropped. Sterker nog: dat is precies wat NAT doet, maar dan zonder die vervelende vertaling erbij.

Het probleem is (volgens het artikel dat moto-moi aanhaalt) dat een statefull firewall implementeren in een IPv6 router betekent dat je dezelfde problemen krijgt die IPv4 NAT met zich meebracht, namelijk problemen bij bepaalde protocollen zoals FTP.

Met de "related" optie van iptables zet je dus zo'n Application Layer Gateway op, waar dat artikel het over heeft. Ik denk dat je vervolgens voor jezelf even moet nagaan in hoeverre dat problemen oplevert in de zin dat je verwacht protocollen te gaan gebruiken die niet ondersteund worden door de ALG.

[Olaf van der Spek]

Robinski schreef op donderdag 05 augustus 2010 @ 14:41:
Overigens als je je machines steeds tijdelijk adressen laat aannemen (zoals Windows standaard doet), dan zit je erg veilig. Een scan op actieve systemen op IPv6 duurt al snel jaren, en dan heb je wellicht nog niets gevonden.

Eh, wat? Daar gaan we toch zeker geen beveiliging op baseren?

moto-moi schreef op donderdag 05 augustus 2010 @ 14:23:
Uiteraard kan ik op elk systeem afzonderlijk een firewall zetten, maar dat is eigenlijk niet wat ik wil, ik doe dat soort dingen graag centraal (zeker als ik het later ook op kantoor eventueel ga uitrollen). iemand een idee?

En dan in de problemen komen als een systeem op je LAN besmet raakt of een PC toch ineens direct aan het internet hangt?

[ Voor 36% gewijzigd door Olaf van der Spek op 05-08-2010 15:09 ]

[CyBeR]

Olaf van der Spek schreef op donderdag 05 augustus 2010 @ 15:05:
[...]

Eh, wat? Daar gaan we toch zeker geen beveiliging op baseren?

Nee, maar combineer dat met een host die zelf ook goed beveiligd is en je hebt iets dat in praktische termen niet kraakbaar is.

De tijd van luiheid met de beveiliging van individuele hosts is wmb voorbij.

[Osiris]

Trouwens..

Welke idioot gaat er nog belachelijk ouderwetse protocollen gebruiken als FTP in samenhang met een "state-of-the-art" protocol als IPv6? Da's like, in je prachtige nieuwe Koenigsegg twee kaarsjes als koplamp zetten.

Moet je gewoon niet doen denk ik dan maar

CyBeR schreef op donderdag 05 augustus 2010 @ 15:20:
[...]

De tijd van luiheid met de beveiliging van individuele hosts is wmb voorbij.

't Is niet alsof dát nou zoveel moeite is.

[ Voor 29% gewijzigd door Osiris op 05-08-2010 19:51 ]

[CyBeR]

Osiris schreef op donderdag 05 augustus 2010 @ 19:50:
Trouwens..

Welke idioot gaat er nog belachelijk ouderwetse protocollen gebruiken als FTP in samenhang met een "state-of-the-art" protocol als IPv6? Da's like, in je prachtige nieuwe Koenigsegg twee kaarsjes als koplamp zetten.

Wat is dat nou weer voor onzin? FTP werkt prima voor 't doel waarvoor 't gemaakt is. Het bestaat al een tijdje maar om het ouderwets te noemen gaat me te ver. Het is geen Gopher.

't Is niet alsof dát nou zoveel moeite is.

Precies. En dan hoef je opeens niet zeven kleuren te schijten als je machine toch eens een keer direct aan het internet hangt.