Technik Das IPv6 Einmaleins

[fsit]

Hallo Zusammen,
Ich versuche in diesen Thread euch einmal das Thema IPv6 näher zu bringen. Mir fällt immer mehr auf das dies ein rotes Tuch für viele User und sogar für IT Admins ist.
Sollten Unklarheiten sein, so stellt bitte direkt hier die Fragen und ich werde versuchen sie schnellstmöglich zu Beantworten.
Ebenfalls werde ich mir die Mühe machen und den Thread immer wieder ergänzen.

Was ist mit IPv5 passiert ?
Es gibt IPv4, das sind die weitverbreiteten IP Adressen (zb. 185.32.124.1) und es gibt jetzt neu auch IPv6 (zb. 2a00:c1e0::1), aber was ist mit IPv5 passiert ?

IPv5 war ein experimentelles Streaming-Audio-/Video-Protokoll mit dem Namen „Internet-Streaming-Protokoll“ und geht auf das Jahr 1979 zurück. Es wurde von einer Gruppe von Technologen für die Übertragung von Video- und Audioinhalten sowie Simulationen über Internet entwickelt, blieb jedoch mehr oder weniger in den Anfängen stecken. Ungeachtet seiner Popularität erhielt das Protokoll die Bezeichnung IPv5. Infolgedessen stand dieser Name für die nächste Internetprotokoll-Generation nicht zur Verfügung, die daher den Namen IPv6 erhielt.

Warum brauchen wir IPv6?
- Internet Users und PC (2014: 2.925 Milliarden Nutzer, man bedenke das China, Afrika und Südamerika noch Nachholbedarf in Punkto Internet Connectivity haben.

- Zuwachs von Tablet und Mobiltelefone.
- Auto/LKW welche auch ans Netzwerk wollen
- Internetanschlüsse in Flugzeuge
- Endkundengeräte (Kühlschrank, Mikrowelle, Diverse Sensoren)
- Möglichkeit für End-zu-End IPSEC (Hatten wir eigentlich schon bei IPv4 wurde aber durch den rasanten Verbrauch an IPv4 Adressen eliminiert und dafür NAT in Betrieb genommen.)
- Durch die Vergabe von kleinen IPv4 Netzen wächst die Routing Tabelle ins endlose. (Aktuell: 586745 Einträge)

- Firmen binden sich mit IPv4 Adressen des Provider (PA) an das Internet. Ein ISP Wechsel ist nur mit grossem Aufwand Möglich.

Wer vergibt IPv6 Adressen ?
Die Hauptorganisation ist die iana (www.iana.org), welche die Verteilung an die 5 regional tätigen Organisationen (genannt RIR - Regional Internet Registry)macht. Für unsere Region ist Ripe NCC (www.ripe.net) verantwortlich für die Vergabe an den Internet Provider (genannt LIR - Local Internet Registry).

Wenn Privatpersonen oder Firmen einen eigenen IPv6 Block haben möchten, welche Ihnen gehört - Das heisst, dass sie den IP Block auch zum nächsten ISP mitnehmen können, auch wenn sie den alten kündigen (Bevor nun alle ihre eigenen IPv6 wollen, bitt klärt das zuerst mit eurem Provider ab ob dies Möglich ist. Bei Homeabos und Anschlüssen ist dies in der Regel nicht möglich.) - müssen Sie zu einem LIR gehen, welche sie "sponsert" und für sie den IP Block beantragt und verantwortlich auch ist für die Richtigkeit der Angaben. Dieser Services kostet natürlich jährlich etwas. Ansonsten sind die IPv6 Adressen kostenfrei.

IPv6 Adressierung im LAN?
Jeder Computer kriegt eine (/128 Subnet) IPv6 Adresse. Bei Autoconfig nach EUI-64 wird das die LAN Adresse (/64 Subnet) plus die MAC Adresse plus eine Zufällige Nummer nach RFC 3041

Bei der LAN Auswahl streiten sich nun ein wenig die Geister. Nimmt man die öffentlichen IPv6 Adressen (So wäre es eigentlich vorgesehen) oder erstellt man "Unique Local IPv6 Adressen Bereich". Wenn man die öffentlichen IPv6 nehmen würde, würde das heissen das END-to-END Verbindungen (PC zu PC) direkt wieder möglich werden und man kein NAT mehr benötigt (Firewall würde dann im transparent Modus laufen)
Auf jedenfall was klar ist, ist das ein LAN ein IPv6 /64 Subnet kriegen würde, das sind umgerechnet 18’446’744’073’709’551’616 IPv6 Adressen.

Ein Standort (Niederlassung) kriegt Minimum ein /48 IPv6 Subnet, damit könnten 65536 /64 Subnet (LAN) gebaut werden.

Eine Firma mit zwei Niederlassungen sollte also nach Policy Minimum ein /47 Subnet, oder alternativ zwei /48 Subnetze bekommen.

Wieso erzähle ich hier, wie IPv6 Global verteilt wird ?
IPv6 ist ein End to End Verbindung. Firewalls werden zukünftig nur noch im transparent Mode betrieben. Somit hat jeder PC/Server oder Devices ein «externe IP Adresse».
Wenn man dies so installiert, wäre von Vorteil das man nicht die IP Adressen des ISP braucht (sogenannten PA Adressen), sondern bei Ripe selber anfragt für Provider Independent (ISP unabhängige IP Adressen).
Diese können bei jedem ISP geroutet werden. Sollte man also den ISP wechseln, wird der neue ISP die PI IP Adressen in sein AS (Autonomes System) aufnehmen.


Verteilung aktuell von IPv6 Adressen ?
Aktuell sieht die globale verteilten IPv6 Adressen (/32 sind Internet Provider) wie folgt aus:

Google Link zu den statistiken: http://www.google.ch/ipv6/statistics.html#tab=ipv6-adoption&tab=ipv6-adoption

LIR Status Weltweit: https://ripeness.ripe.net/pies.html

Wir sind also noch ganz schön weit weg von IPv4 abzuschalten.

RFC 790 (September 1981) – Assigned Numbers ?
Es gibt auch noch ganz lustige Eindrücke, wie klein das Internet (ARPA) angefangen hat. Folgende RFC beschreibt, wie man an Ressourcen wie IP Adresse gekommen ist.
Am einfachsten war es dazumal man kontaktiert einfach JON Postel (Ein Urvater des Internets )

Aufbau einer IPv6 Adresse ?
Eine IP Adresse ist in 8 viererblöcke unterteilt, von welcher jede Stelle 0-9 und a-f belegt werden kann.
Da es so eine lange zeichenreihenfolge ist, hat das der Vorteil, man kann an der Ip Adresse relativ einfach erkennen wo Sie her kommt. Sprich welcher RIR hat es vergeben, welcher Provider und sogar welche Site ist es. Das ist bei IPv4 heute leider nicht mehr Möglich, da Provider aus verschiedenen Subnetze Ihre IP haben.

Wie kürze ich eine (128bit lange) IPv6 Adresse ?
Immer wieder werde ich gefragt, wie kann man das kürzen und damit umgehen. Ich will versuchen dies in wenigen Schritten zu erklären. Hier sieht Ihr eine echte IPv6 Adresse in voller länge. Bestehend aus acht 16 Bit Gruppen, getrennt durch einen <:>

2a00:c1e0:0000:0000:0000:0000:0000:0001

Vorausgehende "0" können entfernt werden, dann würde die IPv6 Adresse noch so aussehen:

2a00:c1e0:0000:0000:0000:0000:0000:1

Einmalig kann mit <::> alle zusammenhängende "0" gekürzt werden (Auch Gruppen übergreifend) und schwupps:

2a00:c1e0::1

Vorteil von IPv6 ?
- Mehr IP Adressen verfügbar
- Grössere Netzwerke
- Hierarchisches Netzwerk -> Dadurch kleinere Global Routing Tabelle (aktuell: ~27000)

- Stateless Adress Autoconfiguration (SLAAC).
- Direkte End to End Verbindungen / VPN Verbindungen

Vergleichen wir doch noch den Header von IPv4 und IPv6 ?
Der IPv6 Header ist nach RFC 2460 aufgebaut und hat immer eine fixe Grösse von 40 Bytes. Somit ist nur platz für das wesentliche und lässt sich dadurch auch schneller verarbeiten.

Wie öffne ich Browser eine IPv6 Adresse ?
Als URL würde dies wie folgt geöffnet: http://[2a00:c1e0::1]:80

Wie werden die Provider / LIR IPv6 einführen ?
Hierzu gibt es etwa vier Möglichkeiten und jeder Provider geht anders damit um - Die meisten tendieren aber zu DS-Lite. Bevor ich mir aber hier die Finger wund schreibe würde ich dies gerne ein paar einfachen Videos überlassen das zu erklären:

6in4 - ist eigentlich die Möglichkeit die Ihr nutzen könnt, wenn Ihr zuhause kein Ipv6 habt, es aber nutzen wollt. Zum Beispiel über www.tunnelbroker.net . Provider werden dies so nicht für die User ausrollen, da es viel zu aufwändig wäre
[YouTube]465dcYn394g[/YouTube]

NAT64 - Wurde sehr lange diskutiert, aber ist sehr Ressourcen fressend, wenn man das auf Provider anwenden würde.
[YouTube]_GkynY809eg[/YouTube]

6RD - Sehr hohe Ansprüche an das Endgerät beim Kunden (CPE).
[YouTube]hx9Kry0-yKo[/YouTube]

DS-Lite - Ist die einfachste und logische Schlussfolgerung wie Provider das in Zukunft handhaben werden. Am Anfang wird es wohl noch so sein, das der Endkunde noch eine öffentliche Ipv4 hat, diese dann aber irgendwann auf eine private umgestellt wird.
[YouTube]NijvopYCtIg[/YouTube]

Die Lehren aus dem "Krieg" ?
- Autokonfiguration ist ein Segen, wie auch ein Fluch zugleich (DNS Konfiguration, Gateway Konfiguration)
- Fortigate Firewall kann erst ab 300 Serie mehr als 200 Mbits IPv6 Traffic verarbeiten (darunter wird es über den CPU gemacht und dieser lässt nicht mehr zu).

Links die nützlich sein könnten:
- CIDR Tabelle IPv6: https://www.mediawiki.org/wiki/Help:Range_blocks/IPv6


PS: Nicht abschliessend und Grafiken werde ich noch Updaten

 

[cstmth | Carl]

Das ist in der Tat sehr interessant und eindeutig etwas womit man sich zumindest auseinandergesetzt haben sollte. Mich wundert jedoch viel eher der Einbruch in Grafik 2 im späten Herbst 2018. Kannst du berichten, was da passiert ist?

 

[fsit]

Das ist in der Tat sehr interessant und eindeutig etwas womit man sich zumindest auseinandergesetzt haben sollte. Mich wundert jedoch viel eher der Einbruch in Grafik 2 im späten Herbst 2018. Kannst du berichten, was da passiert ist?

Hallo,
Danke fürs Feedback und die Nachfrage - Dies ist nur ein Messfehler, welches Sie von den Sonden hatten..

LG Alex

 

[HeikoT]

Hey, zuerst einmal wirklich toller Beitrag. Da steckt eine Menge Arbeit und Recherche drin und ich möchte nur ein wenig ergänzen, quasi als Opposition.

Wir sind also noch ganz schön weit weg von IPv4 abzuschalten.

Das stimmt, aber viel Zeit bleibt uns leider nicht. Bereits letztes Jahr wurde die letzte unbenutzte IPv4 Adresse verteilt. Alle weiteren IPv4 Neuverteilungen wurden mit bereits gebrauchten Adressen getätigt, was zu Sicherheitsproblemen führt. Spätestens wenn mindestens 2 aktive Nutzer die gleiche Adresse haben wird es kritisch

Vorteil von IPv6 ?
- Mehr IP Adressen verfügbar
- Grössere Netzwerke
- Hierarchisches Netzwerk -> Dadurch kleinere Global Routing Tabelle (aktuell: ~27000)

IPv6 ist leider nicht perfekt, z.B. haben Router Probleme mit der Netzwerkadressübersetzung (interne in externe IP übersetzen und umgekehrt). Das kann dazu führen, dass einige Internetdienste mit IPv6 überfordert sind und nicht funktionieren. Wir du bereits gesagt hast sind noch sehr von IPv4 abhängig und es wird eine Weile dauern, bis wir den Sprung zu IPv6 vollständig meistern. Aber genau darum arbeiten wir ja darauf zu , nicht wahr?

 

[fsit]

Hey, zuerst einmal wirklich toller Beitrag. Da steckt eine Menge Arbeit und Recherche drin und ich möchte nur ein wenig ergänzen, quasi als Opposition.



Das stimmt, aber viel Zeit bleibt uns leider nicht. Bereits letztes Jahr wurde die letzte unbenutzte IPv4 Adresse verteilt. Alle weiteren IPv4 Neuverteilungen wurden mit bereits gebrauchten Adressen getätigt, was zu Sicherheitsproblemen führt. Spätestens wenn mindestens 2 aktive Nutzer die gleiche Adresse haben wird es kritisch


IPv6 ist leider nicht perfekt, z.B. haben Router Probleme mit der Netzwerkadressübersetzung (interne in externe IP übersetzen und umgekehrt). Das kann dazu führen, dass einige Internetdienste mit IPv6 überfordert sind und nicht funktionieren. Wir du bereits gesagt hast sind noch sehr von IPv4 abhängig und es wird eine Weile dauern, bis wir den Sprung zu IPv6 vollständig meistern. Aber genau darum arbeiten wir ja darauf zu , nicht wahr?

Danke Dir vielmals für Dein Kommentar.
Bei IPv4 laufen wir bereits auf dem Zahnfleisch und überleben von IPv4 Rückgaben und IPv4 Verkäufe etc. Hier wurde halt auch schon zu beginn ein Fehler gemacht und grösseren Firmen ein komplettes /8 anvertraut... Gut - wer hat schon gedacht, dass dieses Ding "Internet" mal so eine Dimension annimmt.
Schauen wir kurz auf die die Liste von IANA https://www.iana.org/assignments/ipv4-address-space/ipv4-address-space.xhtml stellen wir ziemlich schnell fest, dass zum Beispiel Microsoft, Apple, Ford, Prudential Securities Inc. und US Postal Services (Liste nicht abschliessend) sich je ein /8 Netzwerk unter den Nagel gerissen haben - Dies war sicher nicht so praktisch, wie natürlich auch die Definition für den lokalen Loopback direkt ein komplettes /8 (127.0.0.0/8) zu definieren.
Schauen wir uns also das gesamte Ipv4 Netz an, bleibt uns am Schluss gar nicht mehr so viel übrig, weil vieles weggeht für diverse Multicast,Broadcast etc Services.

Router in unseren Breitengraden haben mittlerweile fast keine Probleme mehr mit Ipv6, da diese damit ausgerüstet, respektive mit Firmware nachgerüstet werden kann. In Afrika sieht die Geschichte leider noch ein wenig anders aus, das viel noch über die alte Hardware von uns läuft und noch mit Linecards gearbeitet wird... Da kann man teilweise noch nicht mal an Ipv6 oder Fulltable denken. Sollte also ein Router IPv6 beherrschen sind mir persönlich keine Probleme bekannt mit Routing/NAT. Ich komme hier vor allem aus der Ecke Cisco, HP, Mikrotik, Broadcom,etc.


LG Alex

 

[HeikoT]

Hier wurde halt auch schon zu beginn ein Fehler gemacht und grösseren Firmen ein komplettes /8 anvertraut... Gut - wer hat schon gedacht, dass dieses Ding "Internet" mal so eine Dimension annimmt.
Schauen wir kurz auf die die Liste von IANA https://www.iana.org/assignments/ipv4-address-space/ipv4-address-space.xhtml stellen wir ziemlich schnell fest, dass zum Beispiel Microsoft, Apple, Ford, Prudential Securities Inc. und US Postal Services (Liste nicht abschliessend) sich je ein /8 Netzwerk unter den Nagel gerissen haben

Das wir uns derart ins eigene Bein geschossen haben war mir bisher nicht bekannt. Das ist wirklich ärgerlich, aber das lässt sich nicht ändern. Am Ende weiß man immer mehr.

Router in unseren Breitengraden haben mittlerweile fast keine Probleme mehr mit Ipv6, da diese damit ausgerüstet, respektive mit Firmware nachgerüstet werden kann. In Afrika sieht die Geschichte leider noch ein wenig anders aus, das viel noch über die alte Hardware von uns läuft und noch mit Linecards gearbeitet wird... Da kann man teilweise noch nicht mal an Ipv6 oder Fulltable denken. Sollte also ein Router IPv6 beherrschen sind mir persönlich keine Probleme bekannt mit Routing/NAT.

Moderne Router und Anwendungen können damit gut umgehen, trifft aber leider nicht auf jeden Dienst zu. Der unterschiedliche Informationsgehalt macht konvertieren nicht wirklich möglich, daher hängts immer am Dienst ob er damit was anfangen kann. Vielleicht klang ich in meinem ersten Post zu pessimistisch, aber man hängt sich bereits an Kleinigkeiten auf. In vielen Bereichen gibt es ähnliche Upgradeprobleme (Beispiel TLS), man kann nicht absehen, wann die Kompatibilität der älteren Version völlig vom Netz genommen werden kann.

Ich komme hier vor allem aus der Ecke Cisco, HP, Mikrotik, Broadcom,etc.

Arbeitest du in der Branche? Oder vielleicht IT-Student?

LG

 

[fsit]

Hallo,
Ich bin der Inhaber von FSIT AG - ein schweizer ISP, welcher sich im Datacenter und ITC- Dienstleistung Umfeld bewegt.
Zu meiner Ausbildung, respektive Weiterbildung und Kernkompetenz gehört unteranderem HPE ASE Master und CISCO CCIE - Bin also mehrheitlich im Netzwerk unterwegs. Soviel zu meiner Person.

Ja, das war der Start vom Internet. Und nun Microsoft zb einfach das /8 wegzunehmen ist auch nicht so ganz einfach.. Ich betreue zb eine Bank, welche 4500 Arbeitsplätze hat und diese haben ein /16 Subnetz wovon sie ein /22 wirklich routen. Solche werden aktuell angegangen das Sie die Netze zurückgeben - sehr schwer und viel mit Diplomatie zu tun

Ich verstehe was Du meinst mit Ipv6, aber das Problem ist hausgemacht. Viele Software Entwickler, wie auch sogar Netzwerk - Techniker haben "Angst" vor Ipv6 und implementieren es schlichtweg nicht - weil sie es nicht verstehen. Anstelle das SIe einfach einmal die ersten Schritte machen und damit Erfahrung aufbauen, lassen sie es lieber links liegen.
Die Technologie wird diese Personen dann schnell einholen, spätestens denn, wenn es heisst Ipv4 geht Offline am XX.XX.XXXX . Mein Rat an alle in dieser Branche - lernt IPv6 - Zelebriert es.. Ihr könnt das Wissen bald mal teuer verkaufen....

Lg Alex

 

[HeikoT]

Oha, dass du eine so wichtige Position bekleidest, damit hätte ich nicht gerechnet. Aber ich verstehe deine Motivation nun deutlich besser, es braucht jemanden der mutig genug ist und es den anderen vormacht.

Mein Rat an alle in dieser Branche - lernt IPv6 - Zelebriert es.. Ihr könnt das Wissen bald mal teuer verkaufen....

Werde ich auf jedenfall aus dieser kleinen Diskussionsrunde mitnehmen und wertschätzen. Ich hoffe du bleibst auch weiter so ambitioniert und wünsche dir noch alles Gute.

LG Heiko