Bezpečnost je v tomto případě stejná, jako je ve světě IPv4. Zkusím to vysvětlit na následujícím modelu....
Ačkoliv jsem maturoval před pár týdny, spravuju síť na jedné menší obchodní akademii (cca 200 žáků). Naši síť tvoří 7 Cisco SW, 2 linux routery a asi 120 počítačů plus tiskáren. V současné době je stav takový, že mám síť rozdělenu do 6 VLAN a v každé z nich mám jinou adresaci. Toť asi k současném stavu, kdy chodí vše jak má.
Nyní si vemte, že bych chtěl zavádět IPv6. No fajn, takže to znamená získat nejlépe native konektivitu od providera (není problém) a začít rozdělovat podsítě. Taky v pořádku. Ale jak jsem psal výše. Nejhorší na IPv6 je právě a jen jeho spravování. Nyní mám všechno děláno přes DHCP s tím, že mám vytvořeny rezervace na základě MAC. To je na systému nezávislé a chodí to naprosto spolehlivě a JEDNODUŠE. Teď si vemte, že bych tam měl nasadit IPv6. V tu chvíli se ze sítě, která je srovnaná a přehledná stane síť naprosto rozházená a nesrovnaná. Proč ? Odpovím si sám. Autokonfigurace.
Současný stav je takový, že fajn, použiju RA, ale v tu chvíli si PC vygeneruje pseudonáhodnou síťovou část adresy. No fajn, ale jak poznám, které PC je lektorské, abych si ho povolil na proxy ? To to mam hledat podle MAC adresy a přepočítávat si ji do IPv6 ? no to snad ne. V IPv4 kouknu a vidim, že adresa 192.168.x.100 je lektorské PC.... A nebo mohu použít DHCPv6, které ovšem nesdělí default-gateway a stejně pracuje na základě nějakého DUID, které se ovšem s reinstalací systému mění a není pro všechny systémy stejné.
Z toho jasně plyne, že jediný opravdu reálný problém nasazení IPv6 v koncových sítích je jen a jen jeho složitost na autokonfiguraci a tím pádem i bordel v síti. Obcházet 120 zařízení a všude nastavit statickou IP, to opravdu nee. Pokud by byli lidé, kteří IPv6 vymýšlí při smyslech, stačilo by to implementovat tak, jak jsem psal výše a většina složitostí by byla eliminována.
Navíc, píšete tu o bezpečnosti. To je ale prašť jako uhoď v IPv4. Klient si může změnit MAC adresu, může změnit IP a může změnit i DUID. To je fakt. Ale na toto stačí podle mě 3 písmenka - ACL. Pokud uživateli na klientské stanici nedáte práva k těmto změnám, tak nic z toho nehrozí. Tím myslím i zabezpečení biosu, bootování, DVD mechaniky apod. V tu chvíli si nikdo neškrtne ani s LIVE CD. Můžete namítnout, že v tu chvíli si přinese někdo svůj PC a tohle vše obejde. To ano. Ale proto existuje věc jako 802.1X a RADIUS.
Nejsem sice žádný bezpečnostní fanatik, ale u nás ve škole to mám takto.
1) na žákovských PC vypnuty USB, DVD mechaniky, zaheslovaný BIOS, zašroubovanou case
2) studenti i učitelé mají omezená práva, tudíž změna MAC, IP či DUID je vyloučena.
3) celá drátová síť je zabezpečena pomocí 802.1X, kdy se ověřuje proti Active Directory identita počítače. Jakmile není v AD, tak si prostě neškrtne. Linux na desktopech nepoužívám a ve velkém prostředí ani používat nehodlám, takže tohle neřešim.
Můžete mi dát za pravdu, můžete se mnou nesouhlasit. Takhle to prostě vidím já. Dokud nebude možnost volit mezi RA+SLAAC a DHCPv6, jak jsem psal výše, tak se IPv6 budu bránit zuby nechty. Podle mě má RA+SLAAC odůvodnění jen v podnikových wifi sítích a v nezabezpečených sítích. Ale v sítích, kde potřebujem pořádek mi lépe vychází použití DHCPv6 tak, jak to navrhuju.
Můžu se zeptat, jak pořádek v koncových sítích řešíte vy ?
