Estou tendo dificuldade em entender o IPv6 aqui. Grande parte da linguagem parece direcionada a implantações de IPv6 em nível empresarial, discutindo link-local, site-local, unicast global, escopos, etc. Não há muitas informações sólidas sobre redes realmente pequenas, como redes domésticas. Quero verificar meu pensamento e ter certeza de que estou obtendo as traduções corretas do idioma IPv4 para o idioma IPv6.
A primeira pergunta é: qual é o equivalente ao RFC1918 para IPv6? As pesquisas iniciais sugeriram que não havia equivalente. Então me deparei com endereços locais exclusivos (RFC4193), e isso afirma que todos os ULAs devem receber o prefixo fc00, seguido por um número aleatório de 40 bits no prefixo de roteamento. Este número aleatório serve para “evitar colisões quando duas redes IPv6 estão interconectadas” – novamente, outra referência a uma função de nível empresarial.
Se eu tiver uma pequena LAN local em casa, numerada usando 192.168.4.0/24, qual é o meu equivalente no escopo ULA do IPv6? Supondo que eu nunca, jamais, vincularei esse endereço IPv6 à Internet real (um roteador fará NAT e firewall), posso ignorar o RFC até certo ponto e continuar fc00::4:0/120?
Parece também que qualquer endereço fc00::/7deve ser roteável globalmente. Isso significa que precisarei de proteções extras para que meu roteador não comece a anunciar automaticamente esses endereços IPv6 privados para o mundo?
Segunda pergunta, o que é essa coisa de link local? A leitura sugere um endereço atribuído por padrão no fe80::/10intervalo que contém os últimos 64 bits do endereço composto pelo endereço MAC da interface. Parece ser obrigatório também, mas estou incomodado com a discussão constante sobre isso em relação às redes corporativas.
Terceira pergunta, para que serve o ID do escopo? Parece ser mais um termo utilizado em relação às redes corporativas, especialmente ao interconectá-las, mas quase nenhuma explicação no nível de rede doméstica menor.
Posso ver um ID de escopo e uma notação CIDR usados juntos? Ou seja fc00::4:0/120%6, ou os IDs de escopo devem ser aplicados apenas a um único endereço IPv6/128?
Responder1
O "Endereço Local Único" é exatamente o que você procura. fc00::/7fornece bits suficientes para quese você gerar um número aleatório em vez de apenas escolher umas chances de colisão são pequenas.
Isso significa que precisarei de proteções extras para que meu roteador não comece a anunciar automaticamente esses endereços IPv6 privados para o mundo?
A RFC que cobre esses ULAs (RFC4193) afirma especificamente que esses númerosnão deveriaser roteados na Internet, embora dois pares possam concordar mutuamente em passar determinados prefixos. A menos que a Comcast decida encaminhá-los unilateralmente (improvável ao extremo), você não deve se preocupar com o anúncio de rotas.
Supondo que eu nunca, jamais, vincularei esse endereço IPv6 à Internet real (um roteador fará NAT e firewall), posso ignorar o RFC até certo ponto e usar fc00::4:0/120?
Não presuma isso. Por exemplo,A Comcast está atualmente fazendo testes de IPv6eeles estão distribuindo /64 para usuários finais(slide 5); não apenas o endereço único que eles estão usando com IPv4. Isso significa que seus testadores IPv6 em execução agora têm a opção de executar com endereços roteáveis globalmente, mas protegidos por firewall por seu roteador, ou fazer algum tipo de NAT com endereços locais de link ou endereços globais exclusivos.
Porém, rodando sem qualquer tipo de tradução de endereçonão é uma má ideia, parece. Tenha em mente alguns pontos.
- A Comcast está distribuindo uma sub-rede /64 para você, para que o invasor já saiba como é o seu espaço IP.
- Um /64 fornece um número surpreendentemente enorme de endereços potenciais. 2 ^ 64 vale a pena! Isso equivale a quatro bilhões de endereços IP da Internet IPv4. (2 ^ 64 == 2 ^ 32 * 2 ^ 32. Quatro bilhões vezes quatro bilhões.) Embora a natureza do provisionamento automático IPv6 reduza o número real de endereços que precisam ser verificados, a verificação ainda é inviável.
- A menos que você configure seu próprio domínio para fornecê-lo, a Comcast não fornecerá pesquisas de DNS direta ou reversa para seus endereços IP no valor de /64. Isso reduz bastante a capacidade dos invasores de reconhecer sua rede.
- A execução sem NAT facilita certos problemas de rede e certamente torna as tecnologias peer-to-peer indesejáveis, mas muito populares (você sabe do que estou falando) muito mais fáceis de instalar e executar.
Porém, rodar sem um firewall ainda é uma ideia tão ruim quanto é com o IPv4. Felizmente, você pode fazer firewall sem precisar de NAT.
Segunda pergunta, o que é essa coisa de link local?
Pense nisso como capaz de alcançar qualquer coisa no domínio de transmissão atual e não pode ser roteado. Como o NetBEUI de antigamente. Na verdade, se a sua rede doméstica for completamente plana, você poderá usar esses endereços em vez de endereços locais exclusivos.
Terceira pergunta, para que serve o ID do escopo?
É usado para duas coisas diferentes, o que torna irritante descrevê-lo:
Coisa 1:Multitransmissão. Ele define a distância que o pacote multicast pretende alcançar.
Coisa 2:(Ao que acho que você está se referindo) Isso é usado em um URI como forma de definir qual interface usar. É usado principalmente com endereços locais de link. Nunca deve ser usado em conjunto com a notação CIDR, portanto as duas sintaxes nunca devem ser combinadas.
Responder2
Você não deveria usar um endereço começando com fc00:
Conforme explicado na RFC 4193, é um prefixo de 7 bits. Tudo após esses primeiros 7 bits deve ser preenchido conforme explicado na RFC. O método atualmente definido sempre produzirá um endereço que começa com fd. O 00 deve ser substituído por números aleatórios, e os próximos dois grupos de 16 bits também devem ser aleatórios perfazendo um total de 40 bits.
Existem muitas páginas na internet que podem gerar um para você. Eu só quero um desses sites para obter um exemplo de como seria esse prefixo fdae:a212:e94d::/48
Como você apontou, esses endereços são unicast globais, mas não devem ser roteáveis globalmente. Se o seu roteador os rotear externamente por padrão, seria uma boa ideia configurar filtros para evitar isso. Seu upstream também deve estar filtrando, para que eles só sejam roteados para fora da sua rede se vocês dois tiverem roteadores configurados incorretamente.
Responder3
todos os endereços começando com fe80: algo são link-local. Você pode pensar em um “link” sendo todos os computadores conectados a uma rede comutada sem roteadores. Portanto, esses endereços IPv6 podem ser usados apenas para comunicação nessa rede.
A parte mais difícil para nós, humanos, é provavelmente que as máquinas agora se configuram sozinhas. Existe um protocolo chamado Neighbor Discovery Protocol (NDP) que se encarrega de dizer “olá” a todas as outras máquinas da rede.
Se você não quer que as máquinas acessem a internet então... simplesmente não instale um roteador.
Você PODE configurar o ipv6 manualmente ou com um servidor DHCP, mas não é necessário. Essa é uma das boas notícias do ipv6.