IPv6, IPv4 RFC1918 adreslerine eşdeğer nedir?

Başımı burada IPv6'ya sarmakta zorlanıyor. Dilin çoğu kurumsal düzeyde IPv6 dağıtımlarını hedef alıyor, bağlantı yerel, site yerel, küresel tek noktaya yayın, kapsamlar, vb. Tartışıyor. Görünüşe göre ev ağları gibi küçük ağlar hakkında çok fazla sağlam bilgi yok. Düşüncemi kontrol etmek ve IPv4-speak'ten IPv6-speak'e doğru çevirileri aldığımdan emin olmak istiyorum.

İlk soru, IPv6 için RFC1918'in karşılığı nedir? İlk aramalar eşdeğer olmadığını öne sürdü. Sonra Eşsiz Yerel Adresler (RFC4193) üzerine tökezledim ve bu, tüm ULA'ların önek olarak atanması gerektiğini fc00, ardından yönlendirme önekinde 40 bitlik rastgele bir sayı olduğunu belirtir . Bu rasgele sayı "iki IPv6 ağı birbirine bağlandığında çarpışmaları önlemek" - yine işletme düzeyinde bir işleve bir referans.

Eğer evde numaralandırılmış küçük bir yerel 192.168.4.0/24LAN'ım varsa, IPv6'nın ULA kapsamındaki eşdeğeri nedir? Bu IPv6 adresini asla gerçek internete (bir yönlendirici NAT ve güvenlik duvarı kuracak) asla bağlamayacağımı varsayarak, RFC'yi bir dereceye kadar görmezden gelip gidebilir fc00::4:0/120miyim?

Ayrıca, herhangi bir adresin fc00::/7global olarak yönlendirilebilir olduğu görülüyor . Bu, yönlendiricimin bu özel IPv6 adreslerini dünyaya otomatik olarak reklam vermeye başlamaması için ekstra korumalara ihtiyacım olacağı anlamına mı geliyor?

İkinci soru, bu yerel bağlantı nedir? Okuma fe80::/10, arayüzün MAC adresinden oluşan adresin son 64 bitini içeren aralıkta varsayılan olarak atanmış bir adres önerir . Ben de gerekli gibi görünüyor, ancak kurumsal ağlarla ilgili sürekli olarak tartışması beni rahatsız ediyor.

Üçüncü soru, kapsam kimliği nedir? Özellikle ağları birbirine bağlarken kurumsal ağlarla ilgili olarak atılan başka bir terim olarak görünüyor, ancak daha küçük ev ağı düzeyinde neredeyse hiçbir açıklama yok.

Birlikte kullanılan bir kapsam kimliği ve CIDR gösterimi görebilir miyim? Yani, fc00::4:0/120%6kapsam kimlikleri sadece bir tek / 128 IPv6 adresine uygulanmalı mıdır?

"Benzersiz Yerel Adres" tam olarak aradığınız şey. sadece bir tane seçmek yerine rastgele bir sayı oluşturursanız , çarpışma şansının küçük olması içinfc00::/7 yeterli miktarda bilgi verir .

Bu, yönlendiricimin bu özel IPv6 adreslerini dünyaya otomatik olarak reklam vermeye başlamaması için ekstra korumalara ihtiyacım olacağı anlamına mı geliyor?

Bu ULA'ları kapsayan RFC ( RFC4193 ) özellikle bu numaraların internette yönlendirilmemesi gerektiğini belirtirken, iki arkadaş belirli önekleri geçmeyi kabul edebilir. Comcast, bunları tek taraflı olarak yönlendirmeye karar vermediği sürece (aşırı derecede ihtimal dışı), rota reklamlarıyla ilgili endişelenmenize gerek yoktur.

Bu IPv6 adresini asla gerçek internete bağlamayacağımı varsayarak (bir yönlendirici NAT ve güvenlik duvarı kuracak), RFC'yi bir dereceye kadar görmezden gelip fc00 :: 4: 0/120 ile gidebilir miyim?

Bunu varsayma. Örneğin, Comcast şu anda IPv6 denemeleri yapıyor ve son kullanıcılara / 64'leri geçiyorlar (slayt 5); IPv4 ile yaptıkları tek adres değil. Bu, şu anda çalışan IPv6 test cihazlarının global olarak yönlendirilebilen adreslerle çalışma, ancak yönlendiricileri tarafından güvenlik duvarı oluşturma veya yerel veya benzersiz genel adreslerle bağlantı kurma yoluyla bir tür NAT yapma seçeneğine sahip olduğu anlamına gelir.

Bununla birlikte, herhangi bir adres çevirisi olmadan çalışmak göründüğü kadar delice değildir . Aklınızda bulundurun birkaç nokta.

• Comcast size / 64 alt ağını veriyor, bu yüzden saldırganınız IP alanınızın nasıl göründüğünü zaten biliyor.
• A / 64, şaşırtıcı derecede çok sayıda potansiyel adrese bir zihin sağlar. 2 ^ 64 değer! Bu dört milyar IPv4 İnternet'in IP adresleri. (2 ^ 64 == 2 ^ 32 * 2 ^ 32. Dört milyar kez dört milyar.) IPv6 otomatik çoğaltma işleminin doğası, taraması gereken gerçek adres sayısını azaltırken, taraması yine de mümkün değildir.
• Sağlamak için kendi etki alanınızı ayarlamadığınız sürece, Comcast, / 64 değerindeki IP adreslerinize ileri ve geri DNS aramaları sağlamayacaktır. Bu, saldırganların ağınızı uzlaştırma becerisini büyük ölçüde azaltır.
• NAT olmadan çalıştırma, belirli ağ sorunlarını kolaylaştırır ve kesinlikle istenmeyen ancak çok popüler eşler arası teknolojileri (ne hakkında konuştuğumu bilirsiniz) çalıştırıp çalıştırmayı çok daha kolaylaştırır.

Bir güvenlik duvarı olmadan koşmak, yine de göründüğü kadar delilik. Ne mutlu ki, NAT'a gerek olmadan güvenlik duvarı yapabilirsiniz.

İkinci soru, bu yerel bağlantı nedir?

Geçerli yayın alanındaki herhangi bir şeye ulaşabileceğini ve yönlendirilemediğini düşünün. Eski NetBEUI gibi. Aslında, eğer ev ağınız tamamen düz ise, bu adresleri Benzersiz Yerel Adresler yerine kullanabilirsiniz.

Üçüncü soru, kapsam kimliği nedir?

İki farklı şey için kullanılır, bu da tarif etmesini sinirlendirir:

Şey 1: Çok Noktaya Yayın. Çok noktaya yayın paketinin ne kadar ulaşması gerektiğini tanımlar.

2. Şey: (Neyi kastediyorsunuz sanırım) Bu, URI'de hangi arayüzün kullanılacağını tanımlamanın bir yolu olarak kullanılır. Öncelikle yerel bağlantı adresleriyle kullanılır. Asla CIDR notasyonu ile birlikte kullanılmamalıdır, bu yüzden iki sözdizimi asla birleştirilmemelidir.

Fc00 ile başlayan bir adres kullanmamalısınız:

RFC 4193'te açıklandığı gibi 7 bitlik bir önek. Bu ilk 7 bitten sonraki her şey RFC'de açıklandığı gibi doldurulmalıdır. Halihazırda tanımlanmış olan yöntem her zaman fd ile başlayan bir adres üretecektir. 00 rastgele sayılarla değiştirilmelidir ve sonraki 16 bitlik iki grup da toplam 40 bit oluşturan rastgele olmalıdır.

İnternette sizin için bir tane oluşturabilecek birçok sayfa var. Sadece bu sitelerden birinin böyle bir önek fdae gibi görünebileceğini gösteren bir örnek almak istiyorum: a212: e94d :: / 48

Sizin de belirttiğiniz gibi, bu adresler küresel tek noktaya yayındır ancak küresel olarak yönlendirilebilir olmaları gerekmez. Yönlendiriciniz bunları varsayılan olarak harici olarak yönlendirirse, bunu önlemek için filtreleri yapılandırmak iyi bir fikirdir. Giriş yönünüzü de filtrelemelisiniz, bu nedenle her ikisi de yanlış yapılandırılmış yönlendiricilere sahipseniz yalnızca ağınızın dışına yönlendirilecektir.

fe80 ile başlayan tüm adresler: yerel bağlantı. Anahtarsız bir ağa bağlı tüm bilgisayarların yönlendiricisi olmayan bir "bağlantı" olduğunu düşünebilirsiniz. Böylece bu ipv6 adresleri yalnızca bu ağdaki iletişim için kullanılabilir.

Bizim için en zor kısım muhtemelen makinelerin kendilerini yapılandırmasıdır. Ağdaki diğer tüm makinelere "merhaba" demeye özen gösteren Komşu Keşif Protokolü (NDP) adlı bir protokol var.

Makinelerin internete erişmesini istemiyorsanız ... sadece bir yönlendirici yüklemeyin.

İpv6'yı elle veya bir DHCP sunucusuyla kurabilirsin, ama gerek yok. Bu ipv6 ile iyi haberlerden biri.