Het grote IPv6 topic

[Maurits van Baerle]

Paul schreef op maandag 5 november 2018 @ 14:25:
[...]
Precies het goede woord. Vooralsnog zijn er echter meer aansluitingen zonder IPv6 dan aansluitingen met. Totdat dit andersom is (and then some) zou je echter een volwaardig alternatief moeten hebben.

Maar waarom dan? Waarom het voor consument X uit moeten maken of consument Y wel of geen IPv6 heeft? Die staan toch los van elkaar?

Het mooiste zou zijn als je als consument zou kunnen bijbetalen om van DS-Lite naar DS gezet te worden. Maar zelfs als dat niet kan, als je perse DS nodig hebt dan zijn er ook alternatieve ISP's die volledig Dual Stack aanbieden.

[Paul]

Maurits van Baerle schreef op maandag 5 november 2018 @ 14:32:
Maar waarom dan? Waarom het voor consument X uit moeten maken of consument Y wel of geen IPv6 heeft? Die staan toch los van elkaar?

Niet als consument Y een bekende is van consument X en bij diens server wil. Bijvoorbeeld om backups op te slaan bij de NAS die bij je zwager staat (en ja, ik ga hier wat los om met wie welke variant heeft. Hoofdzaak is dat er een verkeersstroom opgezet moet worden en daarvoor heb je OF aan beide kanten IPv6, of aan één kant een volwaardig IPv4-adres nodig en aan de andere kant een vorm van IPv4. Voor kruislings backuppen in dat tweede geval aan beide kanten een volwaardig IPv4-adres).

Maar zelfs als dat niet kan, als je perse DS nodig hebt dan zijn er ook alternatieve ISP's die volledig Dual Stack aanbieden.

Yup: ik kan kiezen tussen kabel en ADSL. Die eerste doet IPv4 of DS-Lite, en 400 MBit/s om 40 MBit/s, die andere mogelijk wel dual stack, maar slechts 18 om 1. Nee dank je. Ik wil best helpen om IPv6 te promoten, maar ik heb nog liever dat mijn backups ergens deze eeuw nog veilig gesteld zijn en ik online een spelletje kan spelen terwijl mijn vrouw Netflix kijkt.

[Dreamvoid]

Maurits van Baerle schreef op maandag 5 november 2018 @ 14:32:
Maar waarom dan? Waarom het voor consument X uit moeten maken of consument Y wel of geen IPv6 heeft? Die staan toch los van elkaar?

Omdat er best veel scenario's zijn waar je een Consument-2-Consument verbinding wil leggen. Consument X met een IPv4-only internet verbinding kan niet inloggen op de VPN, de off-site backup NAS, of de Plex mediaserver van consument Y die een DS-lite aansluiting heeft.

Ik ben nu bv bijzonder blij dat ik thuis een dual-stack verbinding heb, anders kon ik zowel vanaf mijn werk (IPv4) als vanaf mijn 4G-telefoon (IPv4) niet meer mijn muziek van thuis streamen.

[Maurits van Baerle]

Paul schreef op maandag 5 november 2018 @ 14:53:
[...]
Niet als consument Y een bekende is van consument X en bij diens server wil. Bijvoorbeeld om backups op te slaan bij de NAS die bij je zwager staat (en ja, ik ga hier wat los om met wie welke variant heeft. Hoofdzaak is dat er een verkeersstroom opgezet moet worden en daarvoor heb je OF aan beide kanten IPv6, of aan één kant een volwaardig IPv4-adres nodig en aan de andere kant een vorm van IPv4. Voor kruislings backuppen in dat tweede geval aan beide kanten een volwaardig IPv4-adres).

Dreamvoid schreef op maandag 5 november 2018 @ 15:04:
[...]

Omdat er best veel scenario's zijn waar je een Consument-2-Consument verbinding wil leggen. Consument X met een IPv4-only internet verbinding kan niet inloggen op de VPN, de off-site backup NAS, of de Plex mediaserver van consument Y die een DS-lite aansluiting heeft.

Ik ben nu bv bijzonder blij dat ik thuis een dual-stack verbinding heb, anders kon ik zowel vanaf mijn werk (IPv4) als vanaf mijn 4G-telefoon (IPv4) niet meer mijn muziek van thuis streamen.

Da's waar. Goed punt.

[Verwijderd]

svheel schreef op vrijdag 2 november 2018 @ 14:42:
Heeft iemand ervaring met IPv6 op pfSense achter een XS4ALL xDSL verbinding?
De setup is redelijk eenvoudig:
Draytek Vigor 130 (bridged) -> pfSense box met PPPoE=WAN -> LAN

De IPv6 instellingen zijn eigenlijk redelijk eenvoudig, ik heb zowel deze:
https://blog.firewallonli...ll-pfsense-opnsense-ipv6/
als deze:
Venxblog: KPN glasvezel via PFSense (comment van emoRV)
geprobeerd. De laatste is wat uitgebreider, met wat meer instellingen, maar met beide is het resultaat eigenlijk hetzelfde:
De IPv6 verbinding lijkt eigenlijk gewoon te werken, LAN krijgt netjes een IPv6 adres uit de range die XS4ALL mij heeft gegeven, WAN heeft alleen link-local adressen (fe80::). Het lukt ook om b.v. www.tweakers.net of ipv6.google.com over IPv6 te pingen vanaf de firewall.

Wat ik niet voor elkaar krijg is dat clients die zijn aangesloten op de LAN interface een IPv6 adres krijgen (ze hebben alleen een link-local adres). Ik heb allerlei instellingen geprobeerd in Services->DHCPv6 server & RA, maar krijg het niet werkend:
- DHCPv6 server aan, range opgeven, prefix delegation size=64 en Route Advertisement op 'Managed' of 'Assisted'.
- DHCPv6 server uit, RA op 'Unmanaged'.

Ik zie geen vreemde foutmeldingen in logs zoals 'Routing' of 'DHCP' en ook geen firewall-meldingen dat verkeer wordt geblockt (er staat een IPv6 LAN to All rule op de LAN interface).

Iemand enig idee wat er aan de hand kan zijn?

Een aantal dingen die je kan nakijken:
WAN ipv4 configureation PPPoE
IPv6 configuration type DHCP6

LAN
IPv6 Configuration Type: Track Interface

Track Ipv6 Interface
Ipv6 Interface WAN
IPv6 Prefix ID: wat je wilt, bv lan 1000 of BEEF

Services
DHCPv6 Server &RA
DHCPv6 server uit

Tabblad Router advertisements
Routermode : unamaged - RA flags

En herstart je firewall een keer, heb ook een hoop dingen geprobeerd en het ging pas werken na herstart, ik heb nooit uitgezocht waarom precies maar een vermoeden is dat de PPPoE sessie anders niet juist opkwam met IPv6 en delegation.

[ Voor 8% gewijzigd door Verwijderd op 05-11-2018 16:26 ]

[Roetzen]

Paul schreef op maandag 5 november 2018 @ 14:25:
[...]
Precies het goede woord. Vooralsnog zijn er echter meer aansluitingen zonder IPv6 dan aansluitingen met. Totdat dit andersom is (and then some) zou je echter een volwaardig alternatief moeten hebben.

Als je echt geen adressen meer hebt, dan moet je wel. Daar is bij Ziggo echter geen sprake van.

Dat roep je al langer, maar de onderbouwing ontbreekt. De ISPs publiceren geen gegevens over hoeveel IPv4 ze nog hebben, dat is concurrentiegevoelige informatie. Maar alles wijst er op dat het toch echt krap begint te worden. Ziggo is vijf jaar geleden al gestopt met roepen dat ze nog genoeg IPv4 hebben. En wat er naar buiten lekt is ook dat het op is. Daar komt bij dat Ziggo deel is van Liberty Global en dat is een multinational. Zou Ziggo Nederland nog een opgepot voorraadje hebben, dan zal ze dat echt niet voor zichzelf kunnen en mogen houden. Dat de IPv4 op is, is een wereldwijd probleem en dus zal Liberty Global de resterende kruimeltjes aan IPv4 daar in de wereld inzetten waar het het hardst nodig is.

De tijd dat dat door jou gewenste "volwaardig alternatief" nog mogelijk was ligt al ver achter ons.De IPv4 adressen zijn op. DS-Lite is onvermijdelijk. Wen er maar aan.

[Paul]

Roetzen schreef op maandag 5 november 2018 @ 16:38:
Dat roep je al langer, maar de onderbouwing ontbreekt.

Wat dacht je van het feit dat een MediaBox een publiek routeerbaar IPv4-adres heeft? Dat een heel groot deel van de klanten nog steeds een publiek IPv4-adres heeft? Dat nieuwe klanten (in dit geval, mijn ouders, twee maanden geleden) nog steeds een IPv4-adres krijgen? En hun Mediabox ook?

Niks meer uit te delen <> actief innemen. Die eerste kan ik me indenken (en is in geval van Ziggo bewezen onwaar, in ieder geval 2 maanden geleden). Die tweede zal ik me voorlopig tegen blijven verzetten, in ieder geval op persoonlijke schaal.

DS-Lite is onvermijdelijk. Wen er maar aan.

Ga eerste eens IPv6 uitrollen voordat je IPv4 inneemt... IPv4 wordt nog volop gebruikt. Wen er maar aan.

[Dreamvoid]

Telco's kunnen hele volksstammen (=iedereen die thuis geen VPN of andere server draait) op CG-NAT zetten, en ze zullen het niet merken, en zo kan je een IPv4 wereld lang rekken. Sterker nog, da's precies hoe mobiele carriers het nu doen.

Het zou al een hoop schelen als die mobiele carriers IPv6 gaan uitrollen, dan verdwijnt al een groot pijnpunt voor DS-lite op je vaste lijn. Ik voorzie daarin helemaal niet zoveel problemen, aangezien al die gebruikers nu ook al achter IPv4 CGNAT zitten - die raken met DS-Lite hun publieke IPv4 adres niet kwijt, die hadden ze toch al niet. Ik heb nooit een goed reden gehoord waarom er eigenlijk geen enkele mobiele telco in Europa aan IPv6 doet, terwijl het in de VS de standaard is.

Buiten dan dat de telco's in Europa allemaal goed naar elkaar kijken - introduceert er eentje nieuwe netwerk features als WiFi Calling, VoLTE, hybride-DSL/LTE, dan volgt de rest snel.

[ Voor 45% gewijzigd door Dreamvoid op 05-11-2018 17:41 ]

[Roetzen]

Paul schreef op maandag 5 november 2018 @ 16:55:
[...]
IPv4 wordt nog volop gebruikt. Wen er maar aan.

Ik hoef nergens meer aan te wennen, ik heb het gewenningsproces al lang achter de rug. Ik heb mijn huiswerk gedaan. Ik ben klaar voor DS-Lite. Al een paar jaar.

Dreamvoid schreef op maandag 5 november 2018 @ 17:28:
Telco's kunnen hele volksstammen (=iedereen die thuis geen VPN of andere server draait) op CG-NAT zetten, en ze zullen het niet merken,

De dochter en schoonzoon van die kennis van mij hadden ook niet gemerkt dat ze op DS-Lite waren gezet Het kwam pas aan het licht toen die kennis van mij er even naar ging kijken. .

en zo kan je een IPv4 wereld lang rekken. Sterker nog, da's precies hoe mobiele carriers het nu doen.

Naar verluid krijg je met T-Mobile soms nog steeds een publiek IPv4 adres. En ook met het nieuwe "gratis" XS4ALL Simkaartje..

Het zou al een hoop schelen als die mobiele carriers IPv6 gaan uitrollen,

Dat zou zeker helpen!

dan verdwijnt al een groot pijnpunt voor DS-lite op je vaste lijn. Ik voorzie daarin helemaal niet zoveel problemen, aangezien al die gebruikers nu ook al achter IPv4 CGNAT zitten - die raken met DS-Lite hun publieke IPv4 adres niet kwijt, die hadden ze toch al niet.

Toen ik mijn AH mobiel prepaid dongeltje net had, nu een jaar of 7, 8 geleden kreeg ik nog wel een publiek IPv4 adres. Ik heb het niet precies bijgehouden, maar ik denk dat het wel vijf jaar gelden is dat ik dat voor het laatst zag.

Ik heb nooit een goed reden gehoord waarom er eigenlijk geen enkele mobiele telco in Europa aan IPv6 doet, terwijl het in de VS de standaard is.

DNA Finland heeft wel IPv6 op haar mobiele netwerk. Dus het komt er wel aan...

Buiten dan dat de telco's in Europa allemaal goed naar elkaar kijken - introduceert er eentje nieuwe netwerk features als WiFi Calling, VoLTE, hybride-DSL/LTE, dan volgt de rest snel.

Dat AH dongeltje van mij doet alleen 2G en 3G. Op mijn wenslijstje voor zijn opvolger staat in elk geval 4G en IPv6. De eerste mobiele operator in Nederland die IPv6 aanbiedt ziet mij de dag er na in de rij staan voor een SIM kaartje,

[Jordi]

Ik zou het geen gek idee vinden als ISP's met een bijna uitgeputte eigen voorraad IPv4 adressen na de uitrol van IPv6 iedere klant bij het verstrekken van een nieuw modem achter CGNAT zetten, met de mogelijkheid in een control panel d.m.v. opt-in zelf te kiezen voor een normaal IPv4 adres (en dus dualstack). Als je als ISP een hufter wilt zijn, praatmarketpromoveer je het tot nieuwe feature en vraag je er geld voor.

De meeste eindgebruikers interesseert het geen bal en zetten dit niet aan, want ze weten niet eens wat IPv[46] is en schermen met instellingen zijn natuurlijk heel eng. Op deze manier blijft de afname van nieuwe IPv4 adressen beperkt, komen er zelfs steeds meer adressen "terug" en die kleine groep mensen die wel graag dingen van buitenaf willen benaderen zijn ook tevreden. Met de totale hoeveelheid adressen die huidige ISP's in Nederland hebben, kun je dan nog tot in lengte van jaren vooruit. _{Maar als iedereen nu eens IPv6 krijgt, maakt dat natuurlijk ook allemaal niet meer uit...}

[Roetzen]

Jordi schreef op maandag 5 november 2018 @ 22:08:
Ik zou het geen gek idee vinden als ISP's met een bijna uitgeputte eigen voorraad IPv4 adressen na de uitrol van IPv6 iedere klant bij het verstrekken van een nieuw modem achter CGNAT zetten,

Dat lijkt precies te zijn wat ze nu doen. Nieuw modem --> DS-Lite.

met de mogelijkheid in een control panel d.m.v. opt-in zelf te kiezen voor een normaal IPv4 adres (en dus dualstack)

Je hebt te veel vertrouwen in de mensheid. Als dat gratis is, gaan er veel te veel mensen het aanzetten alleen voor de "heb". De Nederlander laat niet gauw iets liggen als het gratis is. Ook al heeft ie het helemaal niet nodig. En als ie niet weet wat IPvx is, dan is er wel het slimme neefje dat het even voor hem aan zet. Nee, gratis weggeven gaat niet werken.

Als je als ISP een hufter wilt zijn, praatmarketpromoveer je het tot nieuwe feature en vraag je er geld voor.

Dat is niet hufterig, dat is gewoon commercieel denken. Hoeveel zou je over hebben voor een publiek IPv4 adres?

Maar als iedereen nu eens IPv6 krijgt, maakt dat natuurlijk ook allemaal niet meer uit...

Inderdaad. Sommigen beweren dat als je nog IP4 over hebt, je niet te lang moet wachten met verkopen. Nu doet een IPv4 adres ongeveer een tientje. Als straks bijna iedereen IPv6 heeft, is het niets meer waard...

[Jordi]

Roetzen schreef op maandag 5 november 2018 @ 22:38:
Je hebt te veel vertrouwen in de mensheid. [...]

Dat ik dat nog eens mag horen, meestal verwijt men mij het tegenovergestelde
Ik denk dan weer dat je het niveau van de meeste eindgebruikers overschat. Wat je schetst gaat ongetwijfeld voorkomen hoor, maar met de ervaringen die ik met eindgebruikers heb, zou het me erg verbazen als het aan de lopende band was. Niet omdat mensen geen gratis spul willen, maar zoals gezegd is de kennis er vaak niet en velen komen nauwelijks in control panels (vaak is er al moeite überhaupt een wachtwoord te onthouden!), laat staan dat ze op eigen houtje gaan spitten naar geavanceerde opties en daarin zitten prutsen. Wij gevorderde gebruikers zijn een stuk minder vertegenwoordigd dan je misschien zou denken. Als je wel gelijk hebt (want dat kan best), kan er altijd nog een vergoeding aan worden gehangen natuurlijk.

Dat is niet hufterig, dat is gewoon commercieel denken.

Je lijkt te impliceren dat commercieel denken automatisch betekent dat het niet hufterig is. Ik bestrijd dat. Overigens was ik niet 100% serieus met dat woord

Als straks bijna iedereen IPv6 heeft, is het niets meer waard...

Dat lijkt me plausibel, ja. Dat moment kan wat mij betreft niet snel genoeg komen. Eigenlijk zou zodra de adoptie nog een stuk verder is een echt grote partij een nieuwe dienst eens heel brutaal alleen op IPv6 moeten hosten. Maar dat zal wel dromen blijven...

[Paul]

Roetzen schreef op maandag 5 november 2018 @ 22:02:
Ik hoef nergens meer aan te wennen, ik heb het gewenningsproces al lang achter de rug.

Dat valt blijkbaar vies tegen, want je blijft het maar raar vinden dat mensen IPv4 gebruiken...

[elsinga]

Roetzen schreef op maandag 5 november 2018 @ 22:38:
Dat is niet hufterig, dat is gewoon commercieel denken. Hoeveel zou je over hebben voor een publiek IPv4 adres?

[...]

Inderdaad. Sommigen beweren dat als je nog IP4 over hebt, je niet te lang moet wachten met verkopen. Nu doet een IPv4 adres ongeveer een tientje. Als straks bijna iedereen IPv6 heeft, is het niets meer waard...

Ik zou wel 1 euro per maand meer willen betalen voor echt dual stack met een publiek (liefst fixed, maar semi-fixed zoals nu is ook nog prima) IPv4 adres. Alternatief is een VPN met dedicated IP adres, dat kost meer.

[Dreamvoid]

elsinga schreef op dinsdag 6 november 2018 @ 07:02:
Ik zou wel 1 euro per maand meer willen betalen voor echt dual stack met een publiek (liefst fixed, maar semi-fixed zoals nu is ook nog prima) IPv4 adres. Alternatief is een VPN met dedicated IP adres, dat kost meer.

Je bedoelt een VPS?

[ANdrode]

Roetzen schreef op maandag 5 november 2018 @ 16:38:
[...]
Dat roep je al langer, maar de onderbouwing ontbreekt. De ISPs publiceren geen gegevens over hoeveel IPv4 ze nog hebben, dat is concurrentiegevoelige informatie. Maar alles wijst er op dat het toch echt krap begint te worden. Ziggo is vijf jaar geleden al gestopt met roepen dat ze nog genoeg IPv4 hebben. En wat er naar buiten lekt is ook dat het op is. Daar komt bij dat Ziggo deel is van Liberty Global en dat is een multinational. Zou Ziggo Nederland nog een opgepot voorraadje hebben, dan zal ze dat echt niet voor zichzelf kunnen en mogen houden. Dat de IPv4 op is, is een wereldwijd probleem en dus zal Liberty Global de resterende kruimeltjes aan IPv4 daar in de wereld inzetten waar het het hardst nodig is.

Gewoon even de statistieken voor wat volgens mij alleen fZiggo is uit de RIPE database. Helpt beter dan stellingen over krapte.

code:

ziggo-services-mnt:  1273 subnets  1227281 ips
ZIGGO-MNT:             53 subnets  3513600 ips
TNF-MNT:               17 subnets   157440 ips
ZIGGO-IPMGMT:         139 subnets  3266833 ips

Gezocht op maintained-by. De subnets zijn niet disjunct tussen de regels, binnen een regel zitten geen dubbeltellingen (naast elkaar liggende en overlappende CIDR's zijn gemerged)

En een paar andere:

code:

XS4ALL-MNT:            14 subnets  1110272 ips
SN-LIR-MNT:           103 subnets 14151168 ips

Met overleg is er dus wel genoeg IPv4 in Nederland

[Dreamvoid]

Jordi schreef op maandag 5 november 2018 @ 23:31:
Dat lijkt me plausibel, ja. Dat moment kan wat mij betreft niet snel genoeg komen. Eigenlijk zou zodra de adoptie nog een stuk verder is een echt grote partij een nieuwe dienst eens heel brutaal alleen op IPv6 moeten hosten. Maar dat zal wel dromen blijven...

Dat is op dit moment niet zozeer brutaal, als wel commerciele zelfmoord - dan heb je een dienst waar in Nederland letterlijk niemand vanaf zijn mobieltje op kan.

[Jordi]

De woordgroep "zodra de adoptie nog een stuk verder is" staat daar natuurlijk niet zonder reden. Overigens heb ik het nergens over een grote partij in Nederland. Je punt is (natuurlijk) helder, maar ik zou het, al was het maar een experiment, toch graag een keer zien.

[Vorkie]

Met IPv6 en IPv4 zit ik op diverse locaties op ongeveer de volgende schaal aan internetverkeer:

300GB IPv6
700GB IPv4

Hoezo wordt IPv6-only op dit moment beter voor consumenten? Zelfs zakelijk is dat al een uitdaging.

Kijk alleen al naar mailverkeer, ik zie alleen GMAIL (van de grote hosters) eigenlijk connecteren op IPv6 MX records. Outlook.com doet dit niet. Zelfs de advertentiehosters zitten nog op IPv4... en zolang bij "goedkope" hosters je zelf nog een IPv6 record moet toevoegen (ipv gelijk als default te doen) blijven de hobby sites ook op IPv4.

Zolang de infrastructuur, servers, niet voor >80% op IPv6 draaien, zullen consumenten veel problemen ondervinden. Ook Consumer2Consumer.

[ANdrode]

Vorkie schreef op dinsdag 6 november 2018 @ 10:15:
Zolang de infrastructuur, servers, niet voor >80% op IPv6 draaien, zullen consumenten veel problemen ondervinden. Ook Consumer2Consumer.

Voor servers zijn er toch effectieve transitiemechanismen? CG-NAT (of beter, NAT64) zorgt er voor dat een server via IPv4 prima te bereiken is.
Wat betreft complexiteit houdt je dual stack op LAN zolang je CG-NAT gebruikt. Ik zou persoonlijk pas van dual stack afstappen zodra ik op NAT64 overga. En dat was de laatste keer dat ik het gebruikte een best goede ervaring voor een publiek netwerk

Wat je met DS-Lite verliest als consument is een volwaardige verbinding omdat je niet meer via IPv4 bereikbaar bent. Dat raakt dus P2P verkeer, games, sommige domotica en server toepassingen. Met IPv4 only als server verlies je bijna niets (alleen P2P uitgaande verbindingen)

[Roetzen]

elsinga schreef op dinsdag 6 november 2018 @ 07:02:
[...]
Ik zou wel 1 euro per maand meer willen betalen voor echt dual stack met een publiek (liefst fixed, maar semi-fixed zoals nu is ook nog prima) IPv4 adres. Alternatief is een VPN met dedicated IP adres, dat kost meer.

Als je maar een beperkt aantal poorten nodig hebt, is http://www.feste-ip.net/ een mogelijkheid. €5/poort/jaar.

[ik222]

Roetzen schreef op dinsdag 6 november 2018 @ 11:28:
[...]

Als je maar een beperkt aantal poorten nodig hebt, is http://www.feste-ip.net/ een mogelijkheid. €5/poort/jaar.

Dat is slechts voor een beperkt aantal scenario's een oplossing. Prima als je een OpenVPN server wilt draaien waarbij de poort weinig uitmaakt maar bijvoorbeeld niet als je zoals ik een mailserver, wat kleine websites en een Nextcloud installatie draait. Simpelweg omdat je dan specifieke veelgebruikte poorten nodig hebt en niet een willekeurige poort.

Nee ik sluit me wat dat betreft aan bij een aantal anderen. IPv6 is belangrijk voor de toekomst maar als ik nu moet kiezen tussen een publiek IPv4 adres of een IPv6 adres dan kan ik niet anders dan voor IPv4 only kiezen momenteel omdat daarmee simpelweg alles werkt en met enkel CGN IPv4 + IPv6 niet.

Daarom is het dus ook zo belangrijk dat providers in elk geval als keuze nu netjes dualstack ondersteunen. Hetgeen Ziggo nu doet klinkt best leuk als voorstander van IPv6 maar remt feitelijk gewoon de uitrol.

[elsinga]

Dreamvoid schreef op dinsdag 6 november 2018 @ 09:56:
[...]

Je bedoelt een VPS?

Nee, een VPN, waarbij mijn NAS een verbinding naar een VPN provider opzet en daar altijd hetzelfde publieke IP adres krijgt, waarover ook inkomend verkeer mogelijk is.

[elsinga]

Roetzen schreef op dinsdag 6 november 2018 @ 11:28:
[...]

Als je maar een beperkt aantal poorten nodig hebt, is http://www.feste-ip.net/ een mogelijkheid. €5/poort/jaar.

Als ik daar 80, 443 en nog wat andere well-known poorten kan gebruiken... Maar ik gebruik er nog wel een paar, waaronder een reeksje voor Passive FTP. Zonder dat zou ik met 12 poorten of zo klaar zijn en dan is een VPN met vast IP adres (en alle poorten beschikbaar) net zo duur/goedkoop.

[stormfly]

ANdrode schreef op dinsdag 6 november 2018 @ 10:01:
[...]


Gewoon even de statistieken voor wat volgens mij alleen fZiggo is uit de RIPE database. Helpt beter dan stellingen over krapte.

code:

ziggo-services-mnt:  1273 subnets  1227281 ips
ZIGGO-MNT:             53 subnets  3513600 ips
TNF-MNT:               17 subnets   157440 ips
ZIGGO-IPMGMT:         139 subnets  3266833 ips

Gezocht op maintained-by. De subnets zijn niet disjunct tussen de regels, binnen een regel zitten geen dubbeltellingen (naast elkaar liggende en overlappende CIDR's zijn gemerged)

En een paar andere:

code:

XS4ALL-MNT:            14 subnets  1110272 ips
SN-LIR-MNT:           103 subnets 14151168 ips

Met overleg is er dus wel genoeg IPv4 in Nederland

Okey Ziggo dus 8,1 miljoen IP's en SURFnet (academisch netwerk) 14 miljoen IP's. Ik wist dat SURFnet een early adopter was uit de tijd dat prefixen nog oneindig leken. Heb je wel eens in academische ziekenhuizen achter de schermeen gekeken, werkplekken hebben daar vaak nog gewoon een publiek IP Dat snap ik als je ISP 14.1 miljoen prefixen heeft....

Er is echt geen schaarste

[ANdrode]

stormfly schreef op dinsdag 6 november 2018 @ 13:12:
[...]
Okey Ziggo dus 8,1 miljoen IP's en SURFnet (academisch netwerk) 14 miljoen IP's. Ik wist dat SURFnet een early adopter was uit de tijd dat prefixen nog oneindig leken. Heb je wel eens in academische ziekenhuizen achter de schermeen gekeken, werkplekken hebben daar vaak nog gewoon een publiek IP Dat snap ik als je ISP 14.1 miljoen prefixen heeft....

Mogelijk overlappen de maintainers - waardoor een stuk van Ziggo dubbel geteld is. Weet wel vrijwel zeker dat de ziggo(-services)-mnt tak en de LG tak los zijn. Dit zie je ook in whois:

$ whois 82.72.0.0 | grep mnt-by
mnt-by:         ZIGGO-IPMGMT
mnt-by:         ZIGGO-MNT
mnt-by:         TNF-MNT
mnt-by:         ZIGGO-RTRMGMT

$ whois 95.96.130.1 | grep mnt-by
mnt-by:         MNT-LGI
mnt-by:         MNT-LGI
mnt-by:         AS6830-MNT

Bij surfnet zie je een aantal erg groote allocaties. Het lijkt er op dat het heel hard ging als je er vroeg bij was.

code:

ziggo-services-mnt:  1273 subnets  1227281 ips (178.84.0.0/15 (131072), 89.98.0.0/15 (131072), 217.103.0.0/16 (65536) ...)
ZIGGO-MNT:             53 subnets  3513600 ips (94.208.0.0/13 (524288), 84.24.0.0/13 (524288), 83.80.0.0/13 (524288) ...)
MNT-LGI:              318 subnets  8011208 ips (89.64.0.0/12 (1048576), 84.112.0.0/13 (524288), 94.168.0.0/14 (262144) ...)
AS6830-MNT:             6 subnets   164864 ips (94.170.0.0/15 (131072), 31.5.128.0/17 (32768), 194.53.113.0/24 (256) ...)
TNF-MNT:               17 subnets   157440 ips (145.79.0.0/16 (65536), 159.100.64.0/18 (16384), 93.117.192.0/18 (16384) ...)
ZIGGO-IPMGMT:         139 subnets  3266833 ips (94.208.0.0/13 (524288), 84.24.0.0/13 (524288), 217.120.0.0/14 (262144) ...)
XS4ALL-MNT:            14 subnets  1110272 ips (83.160.0.0/14 (262144), 82.92.0.0/14 (262144), 80.126.0.0/15 (131072) ...)
SN-LIR-MNT:           103 subnets 14151168 ips (145.160.0.0/11 (2097152), 145.96.0.0/11 (2097152), 145.192.0.0/12 (1048576) ...)

Kanttekeningen: dit is alleen uit de RIPE database én voor bepaalde maintainers. Je kan op basis hiervan dus alleen een ondergrens geven van hoeveel IP's ISP's hebben . CIDR ranges komen uit de RIPE database en zijn daarna met netaddr samengevoegd.

[ Voor 5% gewijzigd door ANdrode op 06-11-2018 15:45 ]

[Roetzen]

stormfly schreef op dinsdag 6 november 2018 @ 13:12:
[...]
Okey Ziggo dus 8,1 miljoen IP's

Aangezien je voor een IPv4 only of Dual stack klant minstens twee adressen nodig hebt, is dat bepaald niet ruim voor 4 millioen klanten. Plus dat er zakelijke klanten zijn die willen betalen voor meer dan één adres en er natuurlijk intern ook nog wat nodig is.. En zoals ik al zei: Als Liberty Global die adressen elders harder nodig heeft, zal er geschoven worden.

en SURFnet (academisch netwerk) 14 miljoen IP's. Ik wist dat SURFnet een early adopter was uit de tijd dat prefixen nog oneindig leken.

De ironie wil dat Surfnet ook een early IPv6 adopter is. Maar ze gaan heus geen IPv4 adressen weggeven aan Ziggo. Of een andere commerciële partij.

Er is echt geen schaarste

Tja, als ik de Quote 500 opsla, dan kan ik ook niet anders concluderen dan dat er echt geen schaarste aan geld is in Nederland. De miljarden liggen voor het opscheppen. Alleen laten ze jou en mij niet bij de schep.

[AlbertJP]

stormfly schreef op dinsdag 6 november 2018 @ 13:12:
[...]

Heb je wel eens in academische ziekenhuizen achter de schermeen gekeken, werkplekken hebben daar vaak nog gewoon een publiek IP Dat snap ik als je ISP 14.1 miljoen prefixen heeft....

Sterker nog, op de wifi van de UU krijg je een publiek IP. De universiteit heeft een /16 voor bedrade netwerken en een /19 voor de wifi. (Ze bieden nu alleen nog, op geen van beiden, IPv6.)

[ Voor 5% gewijzigd door AlbertJP op 06-11-2018 18:04 ]

[Vorkie]

AlbertJP schreef op dinsdag 6 november 2018 @ 18:04:
[...]

Sterker nog, op de wifi van de UU krijg je een publiek IP. De universiteit heeft een /16 voor bedrade netwerken en een /19 voor de wifi. (Ze bieden nu alleen nog, op geen van beiden, IPv6.)

Jammer van de ipv6, maar als ze hebben, waarom niet :-)

Ik werk ook bij een bedrijf met een complete /8 :-)

[MrNGm]

AlbertJP schreef op dinsdag 6 november 2018 @ 18:04:
[...]

Sterker nog, op de wifi van de UU krijg je een publiek IP. De universiteit heeft een /16 voor bedrade netwerken en een /19 voor de wifi. (Ze bieden nu alleen nog, op geen van beiden, IPv6.)

Ohja, dat doet me eraan denken dat 't "testnet" voor IPv6 op de RU (Nijmegen) bijna 3 jaar bestaat (na flink aandringen van mijn kant). Paar servers en een handjevol clients, inmiddels. Woo-hoo!

[Roetzen]

AlbertJP schreef op dinsdag 6 november 2018 @ 18:04:
[...]

Sterker nog, op de wifi van de UU krijg je een publiek IP. De universiteit heeft een /16 voor bedrade netwerken en een /19 voor de wifi. (Ze bieden nu alleen nog, op geen van beiden, IPv6.)

Er gaat niks boven de eigen waarneming en aangezien ik er toch vanavond zou zijn voor een lezing heb ik mijn laptopje maar even meegenomen.

Op de parkeerplaats voor het Freudenthal gebouw kon ik verbinden met het gastnetwerk. Ik kreeg een IP in de 10.*.*.* range. En alleen toegang tot het intranet. Voor het eduroam netwerk heb ik geen netwerksleutel...

En inderdaad, geen IPv6. Mijn Alma Mater loopt niet voorop ,

[AlbertJP]

Het gastnetwerk is inderdaad beperkt (er staan ook veel poorten uitgaand dicht), maar op Eduroam krijg je een IP uit 145.107.128.0/19.

[elsinga]

Mijn dochter zit in een studentenkamer van de Universiteit Nijmegen en heeft een publiek IP adres (213..124.*.*) op haar internetaansluiting, maar geen IPv^6

[MrNGm]

elsinga schreef op woensdag 7 november 2018 @ 06:34:
Mijn dochter zit in een studentenkamer van de Universiteit Nijmegen en heeft een publiek IP adres (213..124.*.*) op haar internetaansluiting, maar geen IPv^6

Jup; wel eens naar gevraagd bij de toko die dat draait en zo te zien zijn ze nog (mid-oktober) aan het wachten op Ziggo Zakelijk.

[ANdrode]

Roetzen schreef op dinsdag 6 november 2018 @ 21:55:
[...]

Er gaat niks boven de eigen waarneming en aangezien ik er toch vanavond zou zijn voor een lezing heb ik mijn laptopje maar even meegenomen.

Op de parkeerplaats voor het Freudenthal gebouw kon ik verbinden met het gastnetwerk. Ik kreeg een IP in de 10.*.*.* range. En alleen toegang tot het intranet. Voor het eduroam netwerk heb ik geen netwerksleutel...

En inderdaad, geen IPv6. Mijn Alma Mater loopt niet voorop ,

Gastnetwerk zonder publiek IP adres is een logische keuze. Dat is ook ongeveer het enige netwerk dat een universiteit wil filteren lijkt mij.

Er zijn SURF instellingen die wel al > 15 jaar dualstack hebben en ook al lange tijd IPv6 op WLAN. Ben eerlijkgezegd verbaasd dat er daar nog outliers de andere kant op zijn
En hebben alle WO instellingen 1 of 2 /16's?

[valkenier]

Roetzen schreef op dinsdag 6 november 2018 @ 16:07:
[...]

Aangezien je voor een IPv4 only of Dual stack klant minstens twee adressen nodig hebt, is dat bepaald niet ruim voor 4 millioen klanten.

Hoezo minstens 2? Ik heb er maar 1, voor mijn internet. Het CM adres-zelf zit in de 10.X reeks. De enige reden om 2x IPv4 nodig te hebben is dat die achterlijke mediabox ook een publiek IPv4 krijgt. We hebben hier al veel vaker gesuggereerd om deze eerst maar eens op IPv6 te zetten. Dat scheelt al een bak IPv4. Bovendien was het genoemde aantal fvan Ziggo, fUPC zal er ook nog wel ritsje hebben gehad. Ik geloof er nog niet in dat Ziggo een echt tekort heeft, daarvoor zijn ze nog iets te kwistig met IPv4. Dat ze er geen nieuwe bij krijgen, dat klopt natuurlijk. Maar het klantenbestand zal redelijk stabiel zijn, dus ach.
Anders hadden ze wel een stapje harder gelopen met hun IPv6 de afgelopen jaren.

En zoals ik al zei: Als Liberty Global die adressen elders harder nodig heeft, zal er geschoven worden.

Maybe, of ze worden gewoon domweg verkocht. Dat zou me dan weer niks verbazen, en zo creëer je je eigen tekort en zadel je klanten op met CGNAT-gedoe.

[ANdrode]

valkenier schreef op woensdag 7 november 2018 @ 19:36:
[...]
Maybe, of ze worden gewoon domweg verkocht. Dat zou me dan weer niks verbazen, en zo creëer je je eigen tekort en zadel je klanten op met CGNAT-gedoe.

Er zijn weinig landen waar LGi klanten meer laat betalen dan in Nederland (lijkt er op dat internet+tv in Zwitserland goedkoper is maar wil geen te sterke claim maken ). Tegelijkertijd is er hier een redelijke competitieve markt als het gaat om de kwaliteit van de dienst van andere aanbieders.

Die IPv4 adressen kan je zo lang je ze hebt mooi in Nederland gebruiken. Goedpraten dat er tegen een premium prijs een halve dienst geleverd wordt voelt voor mij als stockhold syndrome
Blijft dat een ISP nu IPv6 moet leveren maar er zijn er genoeg die dual stack leveren

[ Voor 6% gewijzigd door ANdrode op 07-11-2018 22:25 ]

[MrNGm]

ANdrode schreef op woensdag 7 november 2018 @ 10:30:
[...]
Rr zijn SURF instellingen die wel al > 15 jaar dualstack hebben en ook al lange tijd IPv6 op WLAN. Ben eerlijkgezegd verbaasd dat er daar nog outliers de andere kant op zijn

seconded

ANdrode schreef op woensdag 7 november 2018 @ 10:30:
En hebben alle WO instellingen 1 of 2 /16's?

Ik weet dat de RU een /16 heeft (destijds deels ook voor WLAN), en bij de omschakeling naar eduroam is daar iets van een /21 voor apart (bij)gekomen. Van oudsher had de RU ook enkele ranges voor de studentenhuisvesting-kamers (allemaal publiek IPv4). Nu de RU dat niet meer doet weet ik eigenlijk niet wat er met die ranges gebeurt...

[MooDyBLueS]

Een vraag waar ik nog nergens het antwoord op heb kunnen vinden: de laatste tijd merkte ik dat mijn Xbox One S wat nukkig was met het netwerk oppakken direct na het aanzetten. Tijdens troubleshooten en zoeken kwam ik continu de melding tegen (van Microsoft) dat Xbox het beste werkt met IPv6. Aha dacht ik, dat stond inderdaad nog op mijn niet-zo-belangrijke to-do-lijstje.

Ik heb een ASUS RT-AC66U router in de meterkast op mijn KPN glasvezel verbinding en die ontving nog geen IPv6, dus maar even de ExperiaBox aangesloten, die kreeg een firmware update binnen en warempel: IPv6 stond aan en ook de Xbox had na een reboot direct IPv4 en IPv6, geen wijzigingen aan mijn kant. Ook mijn MacBook en iPhone kregen IPv6 adressen, alles prima dus.

Vervolgens de ASUS weer aangesloten en daar eigenlijk alleen maar geselecteerd dat het Native mode moest zijn en op de PPP verbinding. Na een reboot kregen mijn beide Apple apparaten wederom een IPv6 adres (2 zelfs, maar daarvoor ook), maar mijn Xbox One S niet. Diverse reboots, wat dingen handmatig gezet en weer teruggedraaid, maar niks helpt.

Kan dit simpelweg incompatibiliteit zijn tussen de ASUS router en de Xbox of is er toch iets qua instellingen waar ik naar moet kijken? Ik kan natuurlijk prima de ExperiaBox ertussen hangen, maar dat is toch weer een extra apparaat met extra stroomverbruik (hoe weinig ook) en daarvoor heb ik nu ook juist de RT-AC66U gekocht, omdat deze ook gewoon direct werkt op het glasvezelkastje.

Edit:
Ik kom er zojuist ook achter dat zowel de Google IPv6 test als diverse andere aangeven dat ik geen IPv6 heb, terwijl mijn MacBook dit wel zegt en ik ook prima IPv4 kan uitschakelen zonder daar enig effect van te merken. Zal het dan toch de ASUS router zijn die niet helemaal lekker IPv6 praat (evt. i.c.m. KPN)?

[ Voor 9% gewijzigd door MooDyBLueS op 09-11-2018 10:15 ]

[ANdrode]

ANdrode schreef op woensdag 7 november 2018 @ 22:24:
[...]
Die IPv4 adressen kan je zo lang je ze hebt mooi in Nederland gebruiken. Goedpraten dat er tegen een premium prijs een halve dienst geleverd wordt voelt voor mij als stockhold syndrome
Blijft dat een ISP nu IPv6 moet leveren maar er zijn er genoeg die dual stack leveren

Een snippet van mijn post in het Ziggo topic (die ik voor hier begon). Volgens het kwartaalverslag Q32018 heeft Ziggo 3.311.800 internet klanten.

In mijn ogen passen al deze klanten inclusief overhead in de allocaties van Ziggo zelfs zonder LGI ip's

[Dreamvoid]

MooDyBLueS schreef op donderdag 8 november 2018 @ 16:06:
Edit:
Ik kom er zojuist ook achter dat zowel de Google IPv6 test als diverse andere aangeven dat ik geen IPv6 heb, terwijl mijn MacBook dit wel zegt en ik ook prima IPv4 kan uitschakelen zonder daar enig effect van te merken. Zal het dan toch de ASUS router zijn die niet helemaal lekker IPv6 praat (evt. i.c.m. KPN)?

Dan heb je dus wel lokaal IPv6 op je LAN maar niet op het WAN? Dat zal aan KPN liggen dan, die ws alleen IPv6 adressen aan Experiaboxen uitdeelt en (nog?) niet aan 3rd party hardware.

[ANdrode]

Dreamvoid schreef op dinsdag 13 november 2018 @ 09:57:
[...]
Dan heb je dus wel lokaal IPv6 op je LAN maar niet op het WAN? Dat zal aan KPN liggen dan, die ws alleen IPv6 adressen aan Experiaboxen uitdeelt en (nog?) niet aan 3rd party hardware.

Daar ga ik niet vanuit.

Bij KPN werkt IPv6 samen met een FritzBox. En bij KPN heb ik dit niet geprobeerd maar bij XS4ALL (soortgelijke PPPOE setup) werkt dit ook zonder problemen met LEDE

[Dreamvoid]

Dan zal-ie het toch moeten testen met een andere router, misschien ligt het idd aan die Asus zelf.

[valkenier]

ANdrode schreef op dinsdag 13 november 2018 @ 09:34:
[...]


Een snippet van mijn post in het Ziggo topic (die ik voor hier begon). Volgens het kwartaalverslag Q32018 heeft Ziggo 3.311.800 internet klanten.

In mijn ogen passen al deze klanten inclusief overhead in de allocaties van Ziggo zelfs zonder LGI ip's

Kijk aan. Iedereen kan aan de Full Dual Stack.

[Dreamvoid]

Het lijken in Europa vooral nieuwe ISP's te zijn (zonder historische IPv4 pool) die aan de DS-Lite gaan. Mobiele telco's lijken ook met een beperkte pool te zitten, gezien hun enthousiasme voor CG-NAT.

[ANdrode]

Dreamvoid schreef op dinsdag 13 november 2018 @ 10:20:
Dan zal-ie het toch moeten testen met een andere router, misschien ligt het idd aan die Asus zelf.

Ik wist niet meer hoe ik het geconfigureerd had. Na snel controleren lijkt het er op dat DHCPv6 client op de PPPoE tunnel genoeg zou moeten zijn.

@MooDyBLueS wat heb je precies ingesteld op de Asus? Wat voor firmware draait deze?

[valkenier]

Dreamvoid schreef op dinsdag 13 november 2018 @ 13:09:
Het lijken in Europa vooral nieuwe ISP's te zijn (zonder historische IPv4 pool) die aan de DS-Lite gaan. Mobiele telco's lijken ook met een beperkte pool te zitten, gezien hun enthousiasme voor CG-NAT.

Voor mobiele providers vind ik CGNAT IPv4 helemaal niet zo erg. Wie draait er nou een server op z'n telefoon. Maar laat ze dan wel daarnaast IPv6 invoeren.

[Dreamvoid]

Er is op zich niks mis met je telefoon remote kunnen overnemen/ssh

Het schijnt vooral vervelend voor de telco's zelf te worden, nu ze steeds vaker verzoeken krijgen van de politie qua telefoons tracken/aftappen, met een eigen ip zou je die eenvoudiger in de logs kunnen zien.

[ Voor 62% gewijzigd door Dreamvoid op 13-11-2018 14:13 ]

[Kees]

Dreamvoid schreef op dinsdag 13 november 2018 @ 14:06:
Er is op zich niks mis met je telefoon remote kunnen overnemen/ssh

Het schijnt vooral vervelend voor de telco's zelf te worden, nu ze steeds vaker verzoeken krijgen van de politie qua telefoons tracken/aftappen, met een eigen ip zou je die eenvoudiger in de logs kunnen zien.

Niet alleen voor telco's, ik zou het ook erg fijn vinden als ik mobieltjes zou kunnen tracken op een ipv6 adres ipv dat alles met 1 adres binnenkomt..

[MooDyBLueS]

ANdrode schreef op dinsdag 13 november 2018 @ 13:10:
[...]


Ik wist niet meer hoe ik het geconfigureerd had. Na snel controleren lijkt het er op dat DHCPv6 client op de PPPoE tunnel genoeg zou moeten zijn.

@MooDyBLueS wat heb je precies ingesteld op de Asus? Wat voor firmware draait deze?

Ik heb de volgende opties gekozen:
Connection Type = Native
Interface = PPP
DHCP-PD = Enable

Bij LAN settings geeft hij zelf (zonder keuzes, tenzij ik Static IPv6 als Connection Type kies) het volgende aan:
LAN IPv6 Address = 2a02[...]
LAN Prefix Length = 48
LAN IPv6 Prefix = 2a02[...]
Auto Configuration Setting = Stateless

Connect to DNS Server Automatically = Enable
* Hier ook Disable geprobeerd zowel met KPN IPv6 DNS adressen als die van CloudFlare

Enable Router Advertisement = Enable

[elsinga]

Dreamvoid schreef op dinsdag 13 november 2018 @ 14:06:
Het schijnt vooral vervelend voor de telco's zelf te worden, nu ze steeds vaker verzoeken krijgen van de politie qua telefoons tracken/aftappen, met een eigen ip zou je die eenvoudiger in de logs kunnen zien.

Een grote telco heeft daarvoor gewoon een logserver staan die de NAT toewijzingen vrijwel realtime opslaat. En die toewijzingen kun je dan op verzoek best even doorspitten.

[Dreamvoid]

Dat bedoel ik niet. Van buiten communiceer je immers enkel met de gateway, niet met het intern toegewezen ip adres. Als de politie bv ziet dat er communicatie is met ip adres xyz (het gateway adres) dan kan de telco niet 123 vaststellen naar welke telefoon dat was.

[Snow_King]

Dreamvoid schreef op woensdag 14 november 2018 @ 08:40:
Dat bedoel ik niet. Van buiten communiceer je immers enkel met de gateway, niet met het intern toegewezen ip adres. Als de politie bv ziet dat er communicatie is met ip adres xyz (het gateway adres) dan kan de telco niet 123 vaststellen naar welke telefoon dat was.

Tenzij alle NAT sessies inclusief poort nummer worden bijgehouden. Ik zou alleen niet weten hoe je zoiets doet met duizenden sessies per seconde.

Dat gaat een bizarre hoeveelheid aan logs opleveren. Maar dan moet je ook maar hopen dat een website náást het IP ook het poort nummer in zijn logs op nam.

Ik geloof er weinig van dat men zoiets echt doet bij CGNAT.

[ANdrode]

Snow_King schreef op woensdag 14 november 2018 @ 09:23:
[...]
Tenzij alle NAT sessies inclusief poort nummer worden bijgehouden. Ik zou alleen niet weten hoe je zoiets doet met duizenden sessies per seconde.

Met NetFlow aan beide kanten van de CGNAT ben je er eigenlijk al. En aangezien dit een reele requirement is kan de hardware dit waarschijnlijk zelfs al;

Cisco over een product:
The NAT64 stateful, NAT44, and DS Lite features support Netflow for logging of the translation records.. The Netflow uses binary format and hence requires software to parse and present the translation records. However, for the same reason, Netflow requires lesser space than Syslog to preserve the logs

Of een subset van de data:

When bulk port allocation is enabled and when a subscriber creates the first session, a number of contiguous outside ports are pre-allocated. A bulk allocation message is logged indicating this allocation. Subsequent session creations will use one of the pre-allocated port and hence does not require logging.

(Dan heb je dus alle poorten die gebruikt zijn door een user te loggen wie een verbinding maakte vanaf jouw IP. Maar als de overheid sessies wil weten om achteraf te kunnen doorzoeken heb je toch flows nodig)

Dat gaat een bizarre hoeveelheid aan logs opleveren. Maar dan moet je ook maar hopen dat een website náást het IP ook het poort nummer in zijn logs op nam.

Niet meer ruimte dan normale flow logs (nou ja - iets meer, het v6 adres is langer dan het v4 adres). Als de CGNAT daarnaast de uitgaande verbindingen verdeelt over zijn IP adres pool (round robin per doel ip) dan spreid je de belasting. Ook met een reeks poort allocations spreid je de last goed als deze groot genoeg zijn.

1000 poorten -> 63 klanten/ip (2^16-2^10 non-privileged poorten) -> kans dat meerdere klanten 'bijzondere' sessie maken is klein.

[elsinga]

Snow_King schreef op woensdag 14 november 2018 @ 09:23:
[...]

Tenzij alle NAT sessies inclusief poort nummer worden bijgehouden. Ik zou alleen niet weten hoe je zoiets doet met duizenden sessies per seconde.

Dat gaat een bizarre hoeveelheid aan logs opleveren. Maar dan moet je ook maar hopen dat een website náást het IP ook het poort nummer in zijn logs op nam.

Ik geloof er weinig van dat men zoiets echt doet bij CGNAT.

Ik weet van heel dichtbij dat dit zeker gebeurd. Moet in het kader van Lawfull Intercept ook.

[ANdrode]

elsinga schreef op woensdag 14 november 2018 @ 18:37:
[...]
Ik weet van heel dichtbij dat dit zeker gebeurd. Moet in het kader van Lawfull Intercept ook.

offtopic:
Daarnaast valt flow data in het niet bij de data die voor de diensten verzameld moet worden. Architectureel gezien is het in gedeelde netwerken 'gewoon' nodig om alles te tappen wat in een fysiek subnet zit. Minimaal een line card, mogelijkeen port mirror van de uplink aan data.

40-100gbps, 300-40000 klanten aan data die het filter in gaat

[dion_b]

Voor het eerst in tijden op het werk weer actief met IPv6 bezig geweest. Om eea buiten productie om te testen zitten rommelen aan een eigen DNS servertje waar ik handmatig in bind een paar AAAA records in heb zitten vrotten. Heb ik dat ook eens een keertje gedaan

Resultaat mag er zijn, de helft van m'n client devices doen gelijk wat ze moeten - waarmee duidelijk werd dat er aan serverzijde ("nee hoor, wij hebben alles al lang goed op orde staan") ook werk te doen was. Dat is eerder vandaag opgelost en we hebben nu e2e connectivity


Mooie is dat ik uiteraard veel in Wireshark heb mogen kijken om te zien wat er allemaal exact gebeurde. Naast het eigenlijk verkeer waar ik mee werkte stond ergens een webbrowser open met Facebook actief. Dat was gezien het IP-adres vrij simpel te achterhalen: 2a03:2880:f01b:1:face:b00c:0:1

[Dreamvoid]

Het implementeren van IPv6 is inderdaad niet triviaal - veel mensen hebben het idee dat alles simpelweg direct moet werken als als je de server een IPv6 adres geeft. Helaas begint het testen dan pas.

[dion_b]

Yep. Zelfs bij hard- en vooral software van bedrijven die redelijk te boek staan als IPv6-evangelisten zie je zo vaak dat als IPv6 niet expliciet genoemd wordt bij iedere requirement, feature request of issue, het genegeerd wordt - en zelfs al wordt het expliciet genoemd, dan is de kans groot dat niemand de moeite genomen heeft om te testen.

Daar vandaag twee keer tegenaan gelopen. Eerste keer was dat een DNS override-fucntionaliteit dat specifiek aangevraagd was door ons, en waar we IP versie niet expliciet genoemd hebben aangezien hele product expliciet dual-stack moest zijn, toch alleen voor IPv4 opgeleverd was

Vervolgens bleken dus de devices niet allemaal voorkeur aan IPv6 te geven in een dual-stack environment, ondanks dat dat wel expliciet gespecificeerd was. Onze eigen acceptance mensen hadden het niet getest ("lab config issues" oftewel geen werkende IPv6-connectiviteit in hun lab), en de vendor vraagt om de requirement nogmaals te verduidelijken want zij menen het opgeleverd te hebben zoals aangevraagd

[Freeaqingme]

dion_b schreef op dinsdag 11 december 2018 @ 01:19:
en de vendor vraagt om de requirement nogmaals te verduidelijken want zij menen het opgeleverd te hebben zoals aangevraagd

Afhankelijk van wat voor support contract je exact hebt, kan je natuurlijk dit reproduceren in een ipv6-only omgeving, en dan tegen de vendor zeggen "kijk dan, het werkt echt niet".

[dion_b]

Freeaqingme schreef op dinsdag 11 december 2018 @ 01:22:
[...]


Afhankelijk van wat voor support contract je exact hebt, kan je natuurlijk dit reproduceren in een ipv6-only omgeving, en dan tegen de vendor zeggen "kijk dan, het werkt echt niet".

Nope, bij IPv6-only werkt het wel over IPv6, het kan dus wel, de voorkeur staat alleen verkeerd in dual-stack environments. Maar goed, vendor snapt het heus wel, dit is puur face saving om te doen alsof er sprake is van een misverstand die opgehelderd moet worden. Komt bij de volgende release wel goed denk ik

[Roetzen]

Nieuwe metingen

[valkenier]

Zozo, Gaan we het beleven dat LG KPN gaat inhalen?
Maar wat gaat die invoering langzaam overall, 20% in 5 jaar tijd erbij voor LG, in dit tempo bereiken we de 100% over 20 jaar.

[St00mwals]

valkenier schreef op dinsdag 18 december 2018 @ 18:31:
Zozo, Gaan we het beleven dat LG KPN gaat inhalen?
[...]

Als KPN IPv6 nu eens op de oudere EB's aan gaat zetten en het ook door gaat voeren op hun dochters (zoals Telfort) dan gaat het ineens wel weer snel bij KPN.

Weet iemand trouwens wat op dit moment een beetje het maximum percentage is wat je als ISP op IPv6 kunt halen? 100% is voor nu een utopie aangezien er nog veel site's niet geschikt zijn en laat staan een VPN'etje naar je werk.

[Roetzen]

St00mwals schreef op dinsdag 18 december 2018 @ 18:40:
[...]

Als KPN IPv6 nu eens op de oudere EB's aan gaat zetten en het ook door gaat voeren op hun dochters (zoals Telfort) dan gaat het ineens wel weer snel bij KPN.

Ik denk niet dat KPN dat bij haar dochters kan afdwingen. Die zijn zelfstandig. En oudere EB's geschikt maken voor IPv6 is ook geen voor de hand liggende keuze. Normaal kiest men voor "natuurlijk verloop" van CPEs.

Weet iemand trouwens wat op dit moment een beetje het maximum percentage is wat je als ISP op IPv6 kunt halen? 100% is voor nu een utopie aangezien er nog veel site's niet geschikt zijn en laat staan een VPN'etje naar je werk.

Boven de 90% is haalbaar.
Er zijn er nog meer: https://www.worldipv6launch.org/measurements/

[ik222]

Een school / campus netwerk kan je natuurlijk niet helemaal vergelijken met een normale commerciële ISP.

Als je in Nederland kijkt naar de grafiek van XS4ALL dan zitten die al enige tijd stabiel op 65 a 70%. En zij zetten overal standaard IPv6 aan op de door hen geleverde modems. Dus dat lijkt me op dit moment zo'n beetje het maximaal haalbare.

[Roetzen]

RELIANCE JIO INFOCOMM LTD zit op 88,55% Verizon Wireless op 87,53%. T-Mobile USA op 93,44%. Dat zijn geen campus netwerken, maar grote commerciële partijen. Dus het kan wel...

Die mobiele netwerken hebben wel het voordeel dat hun klanten voor 99,9% spul hebben dat IPv6 kan. Dus ze zitten niet met een hoop oude IPv4 only meuk. Maar ja, dat voordeel zouden de Europese mobile ISPs ook kunnen benutten...

[ik222]

Mobiel is nog weer wat anders idd, daar heb je eigenlijk geen devices meer die nog geen IPv6 kunnen. Buiten misschien nog een enkele tethering gebruiker.

Bij de Nederlandse mobiele providers hoor je inderdaad vooralsnog niets van IPv6.

[Dreamvoid]

100% IPv6 ga je niet krijgen, zelfs al heeft 100% van je gebruikers een IPv6 adres dan ga je altijd nog een beetje verkeer over IPv4 houden, je blijft 2 stacks houden. Er is nog geen enkele provider die zijn gebruikers op single stack IPv6 zet.

[MrNGm]

Het was desondanks een fijne gewaarwording dat ik deze week een VM IPv6-only kon gebruiken (vrij miniem, though: netinstall van Arch Linux en het customizen van een package).

@ik222 ik ben wel benieuwd, wat zou je verwachten bij een mobiele provider die IPv6 levert in een dataverbinding? Statische /128 assignment, compleet /64 voor één mobiel device, inkomend/uitgaand al dan niet gefirewalled...?

[Dreamvoid]

Hier zie je hoe T-Mobile USA hun IPv6 heeft gedaan:
https://www.internetsocie...-ipv6-only-using-464xlat/

[ik222]

MrNGm schreef op woensdag 19 december 2018 @ 00:14:
Het was desondanks een fijne gewaarwording dat ik deze week een VM IPv6-only kon gebruiken (vrij miniem, though: netinstall van Arch Linux en het customizen van een package).

@ik222 ik ben wel benieuwd, wat zou je verwachten bij een mobiele provider die IPv6 levert in een dataverbinding? Statische /128 assignment, compleet /64 voor één mobiel device, inkomend/uitgaand al dan niet gefirewalled...?

Dan is 90% haalbaar zoals ook die statistieken laten zien van providers die het gedaan hebben. Dat is ook wel logisch omdat het overgrote deel van het dataverkeer gegenereerd wordt door de grote spelers die inmiddels wel IPv6 ondersteunen. Denk aan Google, Facebook, Netflix etc. Als al je devices IPv6 doen gaat dus zo een groot deel van het dataverkeer via IPv6.

Maar 90% van het dataverkeer via IPv6 is is uiteraard wel wat anders als dat 90% van het internet ook bereikbaar is via IPv6. Dat laatste getal is lastiger te meten maar is wel precies de reden waarom IPv6 only momenteel nog lang geen werkbare optie is. Want die 10% van het dataverkeer is een veel groter percentage van het aantal websites / diensten. Alleen zijn dit niet de grote dataverkeer slurpers.

[ANdrode]

Roetzen schreef op dinsdag 18 december 2018 @ 22:00:
RELIANCE JIO INFOCOMM LTD zit op 88,55% Verizon Wireless op 87,53%. T-Mobile USA op 93,44%. Dat zijn geen campus netwerken, maar grote commerciële partijen. Dus het kan wel...

Die mobiele netwerken hebben wel het voordeel dat hun klanten voor 99,9% spul hebben dat IPv6 kan. Dus ze zitten niet met een hoop oude IPv4 only meuk. Maar ja, dat voordeel zouden de Europese mobile ISPs ook kunnen benutten...

Ik zou het effect andersom zien.

Wat je bij XS4ALL (of SURF instellingen met goede IT) ziet is het percentage IPv6 gebruik wat je krijgt wanneer alle apparaten dual stack hebben:

Geschreven voordat ik de statistieken opzocht
Dit is gemeten door middel van advertenties - dan krijg je dus een representatief sample van client devices inclusief mobiele apparaten. Hierin verschilt het waarschijnlijk van de andere grafiek.

Bij die andere ISP's zie je wat er gebeurt zonder dual stack/wanneer er geen fallback is. Of DS-lite - dan heb je immers:

<3 blockdiag

Kijk bij de statistieken van APNIC naar het verschil tussen IPv6 capable en IPv6 preferred. Over dat verschil gaat het volgens mij

[ Voor 25% gewijzigd door ANdrode op 19-12-2018 10:02 ]

[agresionpower]

Dreamvoid schreef op dinsdag 18 december 2018 @ 23:12:
100% IPv6 ga je niet krijgen, zelfs al heeft 100% van je gebruikers een IPv6 adres dan ga je altijd nog een beetje verkeer over IPv4 houden, je blijft 2 stacks houden. Er is nog geen enkele provider die zijn gebruikers op single stack IPv6 zet.

Die is er wel: https://twitter.com/Mythic_Beasts/status/898532219622494208

[Dreamvoid]

Precies wat ik bedoel, dat is 1 klant, niet al hun klanten.

[idef1x]

Hmm net ook weer eens IPv6 aangeslingerd bij mij thuis. Ziggo levert het nog niet bij mij, maar mijn VPS heeft het wel, dus ben mijn eigen tunnelbroker momenteel
Maarre ligt het nu aan mij of is er nog niet echt veel via IPv6 te bereiken? Eigenlijk alleen Tweakers.net voor de mij interessante sites...Geen duckduckgo, geen nu.nl...

[Vorkie]

idef1x schreef op zaterdag 22 december 2018 @ 08:50:
Hmm net ook weer eens IPv6 aangeslingerd bij mij thuis. Ziggo levert het nog niet bij mij, maar mijn VPS heeft het wel, dus ben mijn eigen tunnelbroker momenteel
Maarre ligt het nu aan mij of is er nog niet echt veel via IPv6 te bereiken? Eigenlijk alleen Tweakers.net voor de mij interessante sites...Geen duckduckgo, geen nu.nl...

Helaas is dat zo.

Sites van die grootte vraag ik mij af waarom ze de frontend niet op IPv6 zetten, "kleine" moeite.

Ik zie hier thuis ongeveer 50/50 IPv4 / IPv6 traffic, Netflix, Facebook, Google, Tweakers etc. gebruiken allen IPv6.

www.buienradar.nl gebruikt geen IPv6, maar hun api.buienradar.nl weer wel.

Google services, dus ook de fonts, gebruiken weer wel IPv6.
Alles van TransIP gebruikt ook IPv6, zoals Stack.

Als je alleen IPv6 sites wilt bezoeken
https://www.worldipv6laun...ipants-website-operators/

/edit
En verder 99% van de e-mails die ik hier ontvang gaat over IPv4.. voor zover ik zie krijg ik alleen vanuit GMail op IPv6 e-mail afgeleverd... treurige bedoeling.

[ Voor 7% gewijzigd door Vorkie op 22-12-2018 09:07 ]

[idef1x]

dank voor de link...beetje droevig gesteld als je op nl domeinnamen gaat zoeken...slechts 73!

Ik merk trouwens dat mijn laptop de voorkeur voor ipv4 heeft zonder fallback (ipv6-test). Nu lees ik her en der dat dat wellicht komt omdat ik thuis een fdxx adres gebruik? Moet ik me kennelijk verdiepen in de werking van een /etc/gai.conf file (Linux)...Misschien mijn hurricane of sixxs subnetje van welleer maar eens kapen. Niet helemaal de bedoeling maar dan werkt het misschien wel zonder andere files aan te passen

[Jerrythafast]

Houd er wel rekening mee dat dat lijstje al 6,5 jaar oud is...

[idef1x]

oh ja je hebt gelijk...helemaal overheen gelezen..krijg alleen niet het idee dat er veel zijn bijgekomen

[Roetzen]

Ik heb SixOrNot geïnstalleerd in Firefox. Daarmee kan ik zien of een verbinding met een website via IPv4 of IPv6 verloopt. Mijn perceptie is dat verreweg de meeste websites die ik bezoek IPv6 doen. Het zijn er echt wel meer dan zes jaar geleden.

[Weppel]

Roetzen schreef op woensdag 26 december 2018 @ 00:15:
Ik heb SixOrNot geïnstalleerd in Firefox. Daarmee kan ik zien of een verbinding met een website via IPv4 of IPv6 verloopt. Mijn perceptie is dat verreweg de meeste websites die ik bezoek IPv6 doen. Het zijn er echt wel meer dan zes jaar geleden.

IPv4Foo is beter en geeft je wat meer inzicht. Laat bijvoorbeeld in één oogopslag zien of _alle_ resources over v6 binnen komen of niet. Ik kom helaas maar zelden websites tegen die volledig IPv6 zijn (dus main host + alle additionele resources).

[MrNGm]

D'r is ook een groot LED-bord dat je kan inkleuren met IPv6!

[Roetzen]

Weppel schreef op woensdag 26 december 2018 @ 00:48:
[...]


IPv4Foo is beter en geeft je wat meer inzicht. Laat bijvoorbeeld in één oogopslag zien of _alle_ resources over v6 binnen komen of niet

Er zijn vele wegen die naar Rome leiden. Bij sommigen kun je inderdaad direct zien of de pagina 100% IPv6 is, bij anderen moet je nog even klikken. Ik had ooit IPvFox, maar die werkt niet meer met de nieuwere versies van FireFox.

Ik kom helaas maar zelden websites tegen die volledig IPv6 zijn (dus main host + alle additionele resources).

Zelfs deze niet:

https://gathering.tweakers.net 2001:9a8:0:e:1337:0:80:1
https://tweakimg.net 2001:9a8:0:e:1337:0:80:1
https://sb.scorecardresearch.com 104.73.138.159
https://www.google-analytics.com 2a00:1450:400e:802::200e
https://ic.tweakimg.net 2001:9a8:0:e:1337:0:80:1
https://dev.visualwebsiteoptimizer.com 5.10.88.212
https://www.googletagservices.com 2a00:1450:400e:801::2002
https://config-prod.choice.faktor.io 2600:9000:2002:bc00:3:65d8:2640:93a1
https://cdn.krxd.net 151.101.36.175
https://cijfers.tweakers.nl 185.54.150.129
https://adservice.google.nl 2a00:1450:400e:801::2002
https://adservice.google.com 2a00:1450:400e:809::2002
https://i.imgur.com 151.101.36.193
https://cmp.choice.faktor.io 2600:9000:2002:c400:14:816b:3900:93a1
https://consumer.krxd.net 151.101.36.175
https://beacon.krxd.net 46.137.126.71


Werk aan de winkel voor de webmasters. (Zoeken naar IPv6 equivalenten van de IPv4 hulpmiddelen)

.

[ Voor 17% gewijzigd door Roetzen op 26-12-2018 18:09 ]

[.oisyn]

Ik snap iets niet. Ik heb sinds kort glas van xs4all en dus ook IPv6. Werkt allemaal prima, maar nou zou ik voor bepaalde devices, zoals mijn PC en mijn NAS, graag een handmatig ip-adres willen configureren.

Het liefst zou ik dat doen via de router (een Fitz!Box 5490), maar die ondersteunt blijkbaar geen configureerbare IPv6 adressen voor DHCPv6. Dan kan ik op zich wel gewoon handmatig een IPv6 adres intypen op mijn PC, maar dat betekent dat ik ook de prefix en de gateway e.d. handmatig moet gaan invullen.

Is er niet gewoon een manier dat ik een interface ID kan instellen en dat de rest gewoon automatisch gaat? Of denk ik nu heel krom en is dit helemaal niet de bedoeling bij IPv6?

[Snow_King]

.oisyn schreef op donderdag 27 december 2018 @ 13:45:
Ik snap iets niet. Ik heb sinds kort glas van xs4all en dus ook IPv6. Werkt allemaal prima, maar nou zou ik voor bepaalde devices, zoals mijn PC en mijn NAS, graag een handmatig ip-adres willen configureren.

Het liefst zou ik dat doen via de router (een Fitz!Box 5490), maar die ondersteunt blijkbaar geen configureerbare IPv6 adressen voor DHCPv6. Dan kan ik op zich wel gewoon handmatig een IPv6 adres intypen op mijn PC, maar dat betekent dat ik ook de prefix en de gateway e.d. handmatig moet gaan invullen.

Is er niet gewoon een manier dat ik een interface ID kan instellen en dat de rest gewoon automatisch gaat? Of denk ik nu heel krom en is dit helemaal niet de bedoeling bij IPv6?

Dat kan zeker wel. Je moet dan de Router Advertisement wel accepteren op de machine, maar hem geen prefix laten genereren.

Dit doe je met de accept_ra, accept_ra_defrtr en accept_ra_pinfo settings in sysctl onder Linux.

[.oisyn]

@Snow_King Thanks, die staan op mijn Synology NAS gewoon aan. En de Windows variant daarvan gok ik ook, want ik kan blijkbaar op zowel mijn NAS als mijn PC de gateway en DNS gewoon oningevuld laten, en dan pakt hij alsnog de standaard IPv6 gateway en DNS.

[Snow_King]

.oisyn schreef op donderdag 27 december 2018 @ 15:02:
@Snow_King Thanks, die staan op mijn Synology NAS gewoon aan. En de Windows variant daarvan gok ik ook, want ik kan blijkbaar op zowel mijn NAS als mijn PC de gateway en DNS gewoon oningevuld laten, en dan pakt hij alsnog de standaard IPv6 gateway en DNS.

Het werkt nu zoals je wenst dan?

Je kan dus gewoon een zelf gekozen v6 adres kiezen op die systemen.

[.oisyn]

@Snow_King Nou ja, ik had eigenlijk gehoopt dat ik die prefix en subnet er niet bij hoefde te specificeren, en dus alleen een interface id op hoefde te geven.

[ Voor 18% gewijzigd door .oisyn op 27-12-2018 16:27 ]

[Brahiewahiewa]

.oisyn schreef op donderdag 27 december 2018 @ 13:45:
.., maar nou zou ik voor bepaalde devices, zoals mijn PC en mijn NAS, graag een handmatig ip-adres willen configureren...

Waarom? ipv6 kent het neighbour discovery protocol

[.oisyn]

Brahiewahiewa schreef op vrijdag 28 december 2018 @ 01:20:
[...]

Waarom? ipv6 kent het neighbour discovery protocol

Gewoon, voor de coolfactor naar buiten toe

[Brahiewahiewa]

.oisyn schreef op vrijdag 28 december 2018 @ 01:27:
[...]


Gewoon, voor de coolfactor naar buiten toe

Begin er dan alvast maar aan te wennen dat je met ipv6 niet één IP-adres hebt maar meerdere IP-adressen per machine.
Als je services aanbiedt op je netwerk, geef je in principe elke service z'n eigen IP-adres: eentje voor SSH, een andere voor NFS, nog een andere voor RDP, etc. etc. 't Voordeel daarvan is dat je middels de firewall precies kunt definiëren wie er toegang kan krijgen tot die services. De service migreren naar een andere machine wordt ook een stuk gemakkelijker. 't Nadeel is dat je het allemaal wel moet administreren

[.oisyn]

@Brahiewahiewa Reden destemeer voor handmatig geconfigureerde adressen dus?

[Zr40]

Ik doe niet aan aparte IPv6 adressen voor iedere service op dezelfde machine, of uberhaupt aan handmatig geconfigureerde adressen. Geeft mij teveel gedoe

Het autoconfiguration adres verandert niet, en dat stop ik gewoon in DNS.

[Nakebod]

Iedere service een eigen IPv6 adres?
Behalve "omdat het kan", waarom? Enige logische zou zijn als je meerdere services hebt die dezelfde poort willen gebruiken, maar verder?

Voor de firewall die je noemt mag het ook niet uitmaken, of je nu een regel maakt dat poort 22 naar iets::1 gaat of naar iets::2, in beide gevallen moet je dat prima kunnen definiëren/zien in je firewall. Zo niet, dan is je firewall brak.

[Snow_King]

Brahiewahiewa schreef op vrijdag 28 december 2018 @ 01:42:
[...]

Begin er dan alvast maar aan te wennen dat je met ipv6 niet één IP-adres hebt maar meerdere IP-adressen per machine.
Als je services aanbiedt op je netwerk, geef je in principe elke service z'n eigen IP-adres: eentje voor SSH, een andere voor NFS, nog een andere voor RDP, etc. etc. 't Voordeel daarvan is dat je middels de firewall precies kunt definiëren wie er toegang kan krijgen tot die services. De service migreren naar een andere machine wordt ook een stuk gemakkelijker. 't Nadeel is dat je het allemaal wel moet administreren

Wat een werk allemaal zeg

Ik draai in een netwerk zo'n duizend fysieke en nog eens enkele duizenden VM's en die krijgen allemaal via SLAAC hun IPv6.

We doen niet 'moeilijk' met handmatig adressen zetten, het adres wat een machine krijgt is stabiel en die gebruiken we dan ook voor alles.

Firewall er op en gaan.

[Brahiewahiewa]

Oh, ik heb ook niet gezegd dat e.e.a. al volledig is uitgekristalliseerd is of tot op het bot doordacht.
Maar je krijgt met ipv6 nu eenmaal een address space ter grootte van het huidige internet en er zijn krachten in het veld die daar gebruik van maken. Privacy extensions bijvoorbeeld; staat standaard aan op OSX en Windows. Linux en BSD zijn wat terughoudender maar hebben het al wel geïmplementeerd

.oisyn schreef op vrijdag 28 december 2018 @ 01:43:
@Brahiewahiewa Reden destemeer voor handmatig geconfigureerde adressen dus?

Ik zou 't scripten. D'r is in Linux vast wel een variabele $prefix en gateway informatie doe je via RAD

[ Voor 26% gewijzigd door Brahiewahiewa op 28-12-2018 11:32 ]

[Freeaqingme]

Brahiewahiewa schreef op vrijdag 28 december 2018 @ 11:27:
Maar je krijgt met ipv6 nu eenmaal een address space ter grootte van het huidige internet

Dat je daar gebruik van zou kunnen maken betekent natuurlijk niet dat je dat dan daarom ook maar moet doen. Idee is toch vooral dat de adresspace zo groot is dat je makkelijk kan routeren (en niet te kort komt), niet dat ieder individueel adres over X jaar in gebruik moet zijn (in tegendeel...)

Brahiewahiewa schreef op vrijdag 28 december 2018 @ 11:27:
Privacy extensions bijvoorbeeld; staat standaard aan op OSX en Windows. Linux en BSD zijn wat terughoudender maar hebben het al wel geïmplementeerd

Hier haal je m.i. wel 2 dingen door elkaar. Privacy Extensions lijkt me vooral heel handig (als het al ergens handig voor is) voor end user devices. Doorgaans draaien die geen algemeen bereikbare diensten. Dat was wel de vraag van vraagsteller, en ik zou dan ook onderscheid maken tussen end user devices enerzijds, en servergerelateerde zaken anderzijds.

[CAPSLOCK2000]

Ik gebruik ook steeds meer IP-adressen voor individuele diensten.
Ik geef zowel machine als applicaties een eigen adres.
Dat is in mijn ogen een logische stap in het proces van "klassieke server" via "VM" en "container" naar "micro-service". De software wordt in steeds kleinere eenheden opgesplitst en die eenheden communiceren met elkaar via het het netwerk en hebben daarvoor een eigen IP-adres. Applicaties draaien tegenwoordig niet meer op een vast stuk ijzer maar verdelen zich dynamisch over de beschikbare hardware.
In mijn thuisnetwerk hebben de meeste van die servers en services hebben een vast IP-adres. Bij mij thuis is dat de meest pragmatische oplossing, als je het dynamisch doet heb je toch weer een extra laag indirectie (zoals dynamische DNS) nodig om alles terug te vinden. Dat voegt een hoop complexiteit toe waar ik (in mijn situatie) weinig voor terug krijg. Ik heb toch niet de hardware in huis om het echt goed HA op te zetten en ik wil er geen kaartenhuis van maken dat omvalt omdat de DHCP-server z'n IP-adres niet in DNS kan registeren ofzo iets.
Ooit, als ik groot ben , zal het wel meer dynamisch worden maar dat gaat nog even duren.

Voor de firewall die je noemt mag het ook niet uitmaken, of je nu een regel maakt dat poort 22 naar iets::1 gaat of naar iets::2, in beide gevallen moet je dat prima kunnen definiëren/zien in je firewall. Zo niet, dan is je firewall brak.

Het maakt voor mij nogal veel verschil of iemand verbinding wil maken met poort 22 van mijn mailserver of poort 22 van mijn jumphost. De jumphost is voor de hele wereld bereikbaar, de mailserver niet.
Daarbij moet ik wel zeggen dat ik nog een klassieke centrale firewall heb die mijn heel netwerk in de gaten houdt.

Hierbij worstel ik nog om het juiste model of de juiste taakverdeling te vinden. Tegenwoordig is de consensus volgens mij dat je beveiliging zo veel mogelijk end-to-end doet. Dus liever ieder systeem of iedere applicatie z'n eigen beveiliging dan één centrale firewall. Dat botst echter met de wens om services zo veel mogelijk te isoleren in een minimale container die precies één taak vervult.

In de cloud/container wereld zie ik vaak dat er één centraal punt wordt gemaakt, zoals een load-balancer, dat als een soort gateway dient tussen de "cloud" en "internet". Die load-balancer heeft dan een stabiel adres in DNS staan en zorgt voor SSL-terminatie en dergelijken. Dan begint het echter al snel weer te lijken op een klassiek netwerk met verdediging aan de poort maar zonder interne veiligheid. Als iemand weet binnen te dringen op die load-balancer dan ligt alles open.'

Het gaat een beetje OT, maar het punt is dat ik dit soort dingen makkelijker kan doen door alles z'n eigen IP-adres te geven.

Freeaqingme schreef op vrijdag 28 december 2018 @ 14:19:
Hier haal je m.i. wel 2 dingen door elkaar. Privacy Extensions lijkt me vooral heel handig (als het al ergens handig voor is) voor end user devices. Doorgaans draaien die geen algemeen bereikbare diensten. Dat was wel de vraag van vraagsteller, en ik zou dan ook onderscheid maken tussen end user devices enerzijds, en servergerelateerde zaken anderzijds.

En op deze manier gaat dat ook niet meer lukken, daar ben ik niet zo gelukkig mee. Ik heb meer vertrouwen in een decentraal en egalitair netwerk dan in een onderverdeling tussen "servers" en minderwaardige "clients".

[ Voor 11% gewijzigd door CAPSLOCK2000 op 28-12-2018 14:25 ]

[Freeaqingme]

CAPSLOCK2000 schreef op vrijdag 28 december 2018 @ 14:20:
En op deze manier gaat dat ook niet meer lukken, daar ben ik niet zo gelukkig mee. Ik heb meer vertrouwen in een decentraal en egalitair netwerk dan in een onderverdeling tussen "servers" en minderwaardige "clients".

Tjah, ik denk niet dat ik al zover ben. Sluit niet uit dat dat in de toekomst verandert, maar voor mij is een BYOD-netwerk wel iets wat ik zo simpel mogelijk wil houden en waarbij ik er vanuit ga dat de gebruikers in 't algemeen vooral dingen stukmaken als je ze die ruimte geeft. Daarom houd ik dat 't liefst zo simpel mogelijk, waarbij je een device gewoon 1 IP geeft. Wat zou de toegevoegde waarde zijn om - ik zeg maar wat - een chromebook of ipad meerdere IP's te geven?

Als het gaat om adressering probeer ik zelf vooral na te denken over 3 dingen:
- Bij bijv. verschillende websites welke je apart wil filteren, doe je dat liever op layer 3 of 4 dan op layer 7.
- De vraag hoe waarschijnlijk het is dat een deel van de diensten op termijn naar een andere host verhuist. Bijvoorbeeld een backofficeapplicatie en een publieke website. Ondanks dat het nu op dezelfde host draait, als je er van uit gaat dat het binnenkort op een aparte host terecht komt zou je 't alvast op een apart ip kunnen zetten (tuurlijk is er DNS, maar waarom omnummeren als je dat ook kan voorkomen?).
- Als er sprake is van enige kans op een DDOS. Dan wil ik in een worst-case scenario een IP voor 1 specifieke dienst kunnen blacklisten (als m'n isp dat niet voor me doet), zonder dat andere diensten daardoor beinvloed worden.

(en inderdaad heb je ook nog de gecontaineriseerde omgevingen waarin je doorgaans nog wat andere overwegingen hebt, maar die zijn - denk ik - vaak heel specifiek voor de gekozen setup)