Názory k článku CZ.NIC zkušebně vypne tunelovací technologie Teredo a 6to4 pro IPv6

Tak to jsem rád, že mám tunel od HE. Až i ten ho vypne, tak budu zase v prdeli. Můj ISP (Nej.cz) IPv6 nenabízí a lokální ISP na tom nejsou lépe. Jejich obchodníci vůbec netuší, co to je :-(

Kde jsou časy 802.cz, tehdy byli tahounem v implementaci nových technologií. Jenže pak přešli pod RIO Media a následně Nej.cz a inovace vystřídala jízda setrvačností.

No, nejsou sami.
A to ještě musíte mít veřejnou a fixní IPv4 adresu.
Škoda Sixxsnet (aiccu), to byla moc pěkná služba pro ty nešťastníky bez veřejné IP, případně na cesty.

Veřejná, obvykle se měnící IPv4 adresa - jeden z pozůstatků 802.cz.

VPS za 80 Kč měsíčně, WireGuard. Takový problém to zase není. Používám to tak už dlouho a ještě za to navíc mám IPv6 v podstatě všude.

Mohu poprosit o reálného poskytovatele VPS za 80kč, který by poskytl větší adresní prostor než /64?

Co /64! Většina VPS má tak /80 či méně, a to ještě ne jako přesměrovaný rozsah, ale ručně nastavované. Prostě to na připojení sítě není dělané.

Jak velké sítě? Řešíte SOHO poskytovatele když potřebujete připojovat tisíce strojů v desítkách podsítí?

Co připojujete? IBM?

Mozno potrebuje viac ako jeden subnet. Napriklad druhy, pre tu VPN...

Ale lepší se to. Spousta ISP letos zavedla IPv6. Chce to ISP prudit, že jim nejdou weby typu dnslabs.nl, loopsofzen.co.uk atd... a oni šestku dřív nebo později zavedou.

Tak určitě. Provideři na nic jiného nečekají, než vynaložit obrovské prostředky aby frikulínům umožnili přístup k nějakým pofiderním stránkám...

To je samozřejmě hlavní problém v nasazování IPv6: trápí to poskytovatele služeb, ale vyřešit to teď musejí poskytovatelé připojení, bez kterých to nepůjde. Ono se to ale postupně zlepšuje a třeba Google už hlásí třetinu uživatelů na IPv6.

Jak poroste cena IPv4 a bude se zvyšovat penetrace IPv6, tak bude přibývat i služeb, které pojedou jen po IPv6.

To ale pokládá otázku: Existuje vůbec nějaký tlak na poskytovatele připojení od poskytovatelů služeb, kteří jsou si na rozdíl od většiny uživatelů vědomi potřeb???

A ty CGNATy a podobne maji provideri zadarmo?

Já se tak těším na to, až se ta sněhová koule nabalí tolik, že se to někde zlomí, vznikne nějaká IPv6 služba, kterou budou všichni chtít – a všichni tihle „ISP“ a další vám podobní si začnou stěžovat, že na to nejsou připravení, a že je nikdo nevaroval, že je to potřeba.

Nedokážu si představit, jak by mohla vzniknout čistě IPv6 služba, která by se stala nepostradatel­nou/worldwide, když majoritní část internetového světa (a to my nejsme, ani celý evropský region to není) žádnou IPv6 nemá a rozhodně v dohledné době mít nebude. To trošku zaměňujete příčinu za důsledek. Ani malí ISP nejsou hloupí, a pokud by měli na trhu problém s absencí IPv6, tak už by ho dávno řešili. Ale nemají, a opět říkám - v dohledné době ani mít nebudou.

Vypněte, žádná změna pro většinu lidí nenastane, protože je žádné IPV6 nezajímá a ničemu to nepotřebují.

Máte pravdu, uživatelé nepotřebují IPv6. Nepotřebují ani IPv4, DNS, HTTP, TLS, BGP, ICMP a stovku dalších protokolů. Uživatelé potřebují jen služby na těchto protokolech postavené. Aby se tyhle služby ale mohly rozvíjet, potřebují adresy, které ve světě IPv4 dávno došly, jejich cena letí strmě nahoru (za dva roky na dvojnásobek) a další nebudou. Proto internet potřebuje IPv6.

Já spíš očekávám, že mi upadne IPv6, ale protože stále většina služeb funguje nad IPv4, tak nic nepoznám - a až narazím na něco IPv6-only, budu se divit.

Já to mám naopak. Nedávno mi vypadla IPv4 konektivita a já jsem si ničeho nevšiml. Jen žena si stěžovala, že jí nefungují některé weby. Chodíme holt každý na jiné :-).

Pan Krčmář takto propaguje IPv6 pod každým článkem. Je to skvělé, jen vlastně mimochodem uzná, že s tím nefunguje připojení k internetu. Ale vadí to jen ženě, takže to nevadí a úplně to stačí.

Já chápu tu potřebu, ale neustále strkat hlavu do písku před problémy a dělat, že je to už dospělé se nedá. Je to skvělé a geniální, jen to prostě musím často vypínat.

Jinak kdo má MikroTik, když si něco doma vezme adresu z IPv6 , dá se to vůbec nějak zjistit na routeru? Nebo je potřeba to zjišťovat na clientech a vlastně celý management adres řešit manuálně?

Internet ano, ale uživatelům to je převážně jedno a bude až do té doby, dokud budou weby fungovat přes IPv4.

Ano, je to začarovaný kruh. Ovšem už se objevují první služby pouze na IPv6 a bude jich přibývat, protože je problém získat další IPv4 adresy.

Tak takhle to určitě nestojí, a to IPv6 hujerství je čím dál tím více k úsměvu než k čemukoliv jinému.
IPv6 je protokol, který se za téměř 30 let existence nedokázal prosadit prakticky nikam, některé dlouhodobě slibované funkcionality dodnes nefungují buď vůbec, anebo jsou nespolehlivé, a vývoj probíhá... mírně řečeno dost podivně. Tedy současné snahy o masivní tlačení IPv6 vpřed jsou někde mezi křečí a absurditou. Internet NEPOTŘEBUJE IPv6, Internet potřebuje nějaký, dnes zatím ne úplně jasný, evoluční krok vpřed. Jestli ho potřebuje už příští rok nebo až za 20 let, to také není úplně jasné, ale potřebuje ho. A dle mého skromného soudu tento evoluční krok nebude mít s IPv6 už nic společného.

Kdyby bývalo bylo IPv6 jen o rozšíření adresního prostoru, skoro bych dal ruku do ohně za to, že už bychom ho dáááávno používali. Ale je na něj nabalená spousta dalších věcí, které ho (podle mě většinou zbytečně) komplikují a ztěžují tak jeho nasazení v praxi.

Nemůžete situaci IPv6 hodnotit podle toho, co vidíte na české vesnici. Např. přístupy na Google z IPv6 jsou přes 35 % a neustále rostou, Německo už má přes 50 %, Francie je těsně pod, Indie přes 60 %. Čína plánuje přejít do roku 2030 kompletně na IPv6.

Takže váš komentář je zcela mimo. IPv6 už tady je a dost viditelně, akorát vy jste si toho nevšiml. IPv6 už se prosadilo, už se na tom nedá nic změnit, teď už akorát můžeme pozorovat, jak ty počty budou narůstat, případně to můžeme podpořit, aby to rostlo trochu rychleji.

A co je tohle za čísla, kde jste je vzal? Nemůžu žádnou takhle přesnou a jasnou informaci nikde na Internetu najít.
A co vlastne znamenají? Že v daných lokalitách přistupuje na Internet 35/50/60% koncových uživatelů a firem výhradně z IPv6 adres? Nevěřím. Žádné chování našich byznysových partnerů tomu nenasvědčuje, a na takovou penetraci by jistě reagovali.
Nenasvědčuje tomu ani statistika mého nadnárodního zaměstnavatele. Jméno neřeknu, musí stačit, že nejsme technologická firma ani e-shop, a navštěvují nás diametrálně odlišní lidé než ajťáci. Z celkového objemu přístupů na naše online služby (web, FTP, e-mail, logy z firewallů a IDS, atd.) za rok 2020 bylo sourcováno z IPv6 prostoru necelých 0,3 procenta, agregováno za celou skupinu. Za ČR statistiku nemám, zato ji dokáži rozlišit za serveroamerický region, a ani tam to není přes 4 procenta.
Předpokládám, že pokud Čína přejde do roku 2030 kompletně na IPv6, tak se dostane do izolace . Podobné plány už tu byly v minulosti. Dokážu si ale představit, že v rámci jejich vnitřní ("vnitrostátní") topologie masivně používání IPv6 naroste, protože tam bude prostě vnuceno. Navíc celkem chápu, proč Čína hodlá něco takového udělat - IPv6 totiž tamnějším vymahatelům státní moci značně usnadní kontrolu a šmírování provozu až na poslední míli, až do posledního zařízení na síti, zvlášť pokud se bude dál razit teze "každé zařízení musí mít svoji vlastní veřejnou IP(v6) adresu".
Nejsem sám, kdo si myslí, že zvlášť dnešní době je koncept IPv6 příliš starý, a postavený na myšlenkách a předpokladech, které dnes už neplatí. Stejně tak nevěřím, že by někdo jako Google, Facebook, Amazon a další majoritní hráči měl nějaký zájem na tom, aby si stanovoval termíny, ke kterým vypne dostupnost svých služeb na IPv4. Předpokládám spíše opačné chování - všichni budou do poslední možné chvíle vyčkávat, co udělá "konkurence", a co to s ní následně provede.

A ten evoluční krok nebude vyžadovat propojení jednotlivých uzlů? To se nějak samo obejde bez adresace? Třeba jo.

Dnešní stav je nějaký přechodný. To, že to trvá tak dlouho, má několik příčin. Když to popíšu sám na sobě, tak já mám IPv4 rozsah od prvního dne připojení k internetu. Na počátku teda jen jednu IP (/32) potom teda alespoň /29 (6 hosts). Já jsem tedy ten, zdálo by se, který IPv6 vůbec nepotřebuje, protože mám na všech stranách veřejky a tedy se nemám problém peer-peer připojit kamkoliv - protože přesně to od připojení k internetu očekávám.

I přes to jsem před cca 10 lety požádal ISP o IPv6. A on mi je, po nějakých počátečních technických problémech, přidělil. Dnes mám doma IPv6/48. Úplně stejně jako všude jinde (ok, někde jen /64).

Proč bych se měl donekonečna v diskusích hádat o tom, jak je IPv6 zbytečné? Není lepší věnovat energii a spolupracovat s tím ISP třeba na testech konektivity?

Dneska můj domácí IPv6 provoz tvoří více než 99% přeneseného objemu. Pochopitelně, že se to toho 1% vlezlo i několik služeb, které zatím není snadné obejít. Ale to se časem zlepší. Buď je přestanu potřebovat, nebo si to konečně nastaví správně.

A celkem by mě zajímalo, co jsou ty slibované funkcionality, na které je potřeba čekat a také jejich ipv4 ekvivalent. Já od sítě očekávám především p2p spojení a to jak od čtyřky, tak od šestky. Že tam jsou nějaké další funkce, které měly být a nejsou, přece není důvod k zahození šestky a to ještě za stavu, kdy už ani tu čtyřku pořádně nemáte.

Ono je fajn snažit se prosadit IPv6, ale když ono to často bez toho tunelu nejde... Vypnutím tunelů se sice trochu zvýší tlak na providery, ale ti se kvůli pár otravným zákazníkům "neblázní" - takže ve finále to bude (místo nespolehlivého tunelu k CZ.NIC) nespolehlivý tunel k HE - nebo (xor) pád zpět ke staré IPv4 síti. (Případně hledání jiného poskytovatele, což třeba v našem domě znamená hledání sedmé možnosti připojení - je tu šest možností, ale žádná IPv6 neumí nebo je to omezené k nepoužití.)

Když už tunelujete, můžete si přece udělat vlastní tunel přes VPN a VPS (který stojí pár desetikorun za měsíc). Jak jsem psal nahoře, v kombinaci z WireGuardem to funguje docela přijatelně, na kdejakém systému a zařízení, na které si vzpomenete a prakticky odkudkoliv.

To je sice hezké, ale tak možná pro mne, pokud budu mít dost času na bádání. Přeci jen je rozdíl naklikat to na routeru a mít hotovo, proti nastavování na VPS, tvorby tunelu a studia potřebné síťařiny. (A následně to udržovat, aktualizovat, pravidelně platit...)
Podle mne by bylo prostě lepší, kdyby to uměl přímo poskytovatel připojení. Když neumí, pak je nějaký instantní tunel druhé nejjednodušší řešení. Bastlit si to sám je až ta skoro poslední možnost - hned před "zůstat na IPv4.
Mimochodem - nemáte odkaz na nějaký dobrý a jednoduchý návod, jak ten tunel (pro asi tak /56 rozsah) správně na VPS vytvořit?

Ten "instantní tunel" je co se konfigurace týká méně náročný tak asi tak o instalaci a pořízení toho VPS. WireGuard je co se konfigurace týká dokonale primitivní a "to VPS platit" znamená jednou za rok poslat někam tisícovku. Udržovat a aktualizovat to, upřímně, potřeba skoro není.

Samozřejmě, že by bylo lepší, kdyby to uměl poskytovatel, nebo tedy spíš úplně všichni. Ale zrovna tunelování se dá obejít dost snadno. Proto také píši "když už tunelujete".

Takže celé domácí připojení postavit nad "několika desetikorunami měsíčně" a když to za těch pár desetikorun nepojede, prostě nefungovat? To zní, jako plán.

A potom je otázka, jestli nebude rozsah té VPS zakázaný u některých providerů, aby se tím neobcházely místní restrikce (VPSFree).

Proč by to nefungovalo? Jak jste na to přišel? To je prostě obyklá cena nejslabších VPS. A na tohle nic silnějšího třeba není.

Co je a není kde zakázané netuším. Tam, kde mám VPS je s tím nulový problém.

Nulový problém :D To jakože u toho VPS ani aktualizace nejsou potřeba? To se snad budu muset na ten WireGuard podívat... Ono softwarů, které jsou hned naprgané jako bez bugů a nepotřebující aktualizace je jako šafránu.

20. 10. 2021, 21:03 editováno autorem komentáře

vpsFree taky nabizi tunely a myslim ze to nemeli striktne omezene jen na cleny:

https://kb.vpsfree.cz/informace/projekty/ipv6tunel

Je to tak, není to omezené na členy. Napište mail, dostanete tunel a nepotřebujete k němu veřejnou IPv4.

Tohle beru jako zálohu, kdybych doma přišel o IPv6.

V souvislosti s tím je ale vhodné zmínit, že by bylo vhodné začít tlačit na ČTÚ (přímo nebo přes jiné orgány) na local loop unbundling pro optická vedení - víme, že posledně to těm lemplům trvalo 8 let u telefonních vedení. Následná možnost výběru poskytovatele služeb by sama o sobě mohla vést (mimo jiné) k zlepšení dostupnosti IPv6.

Jeste bych doplnil, ze protoze podporuji Wireguard a Mikrotik ho v beta verzi umi taky, tak se dost vyrazne rozsiruje pocet lidi, kteri to mohou vyuzit.

Až na nutnost psát si každý rok o nový certifikát. A to ještě nezbývá, než doufat, že se můžete připojit s jedním certifikátem z více zařízení -- nejsem si teď jist, jak OpenVPN či WireGuard v tomhle ohledu fungují -- to kdyby vás náhodou napadlo chtít používat tunelované IPv6 kromě tří soukromých serverů v mém případě třeba i na notebooku (což vás napadne dost rychle) a nedejbože smartphonu.

Protože jinak těch certifikátů potřebujete každý rok rovnou několik, správně je rozdistribuovat na příslušná zařízení atd.

Tohle není úplně stoprocentní řešení.

Jen na tom nefunguje Netflix. Jejich rozsah je blokován.

Když si prohlédnu těch 5 důvodů pro zrušení, tak mi přijdou všechny sporné až alibistické. Jedinými (v nich neuvedenými) argumenty jsou ta práce a peníze, ale od toho tu přece CZ.NIC je, aby za peníze z domén vyvinul nějaké užitečné úsilí (Turris je přece taky jen pro okrajovou skupinu nadšenců). Z mého pohledu je to jen o tom, zda službu IPv6 pro uživatele chtějí, nebo nechtějí poskytovat.

P. S.: Když teda chtějí vypnout službu 6 přes 4, protože není potřeba, tak by dávalo smysl spuštění služby 4 přes 6, ne?

Obe technologie jsou vicemene zastarale (6to4 i oficielne; Teredo pohrbil uz i Microsoft) a davno prekonane. Stejne jako na lokalni siti se uz dnes jen malokdo trapi treba s IPX protokolem. Osobne si myslim, ze i kdyby to vypli v tichosti, tak si toho realne nikdo nevsimne.

Penize jsou validnim argumentem - a ano, nevidim duvod, proc by mel CZ.NIC utracet penize na krmeni davno mrtveho kone :-)

Jen pro upřesnění - 6to4 není to stejné jako 6in4, že?

Není.

• Teredo - adresy z bloku 2001::/32, tj. 2001:0::/32
• 6to4 - adresy z bloku 2002::/16, tj. 2002:0::/32 až 2002:ffff::/32
• 6in4 v podobě Hurricane Electric (tunnelbroker.net) - adresy z bloku 2001:470::/32

CZ.NIC vypíná jen Teredo a 6to4 brány. Provoz do prefixů 2001:0::/32 a 2002::/16 (díky BGP) převezmou ostatní brány v Internetu (už jich moc nezbývá), zejména tedy brány u Hurricane Electric.

Na 6in4 tunely nemá vypínání žádný dopad.

No, protokol je stejný (protokol 41) a záleží jen na způsobu konfigurace.

Je sranda, že IPv4 došly a jsou drahé, ale když jsem navrhoval mému VPS poskytovateli, ať mi zruší IPv4 oproti slevě, tak se kroutil a nic nevykroutil. Tak nevím

Jedna jediná adresa je mu k ničemu.

Mam 6to4 (uz skoro dvacet let; nativni konektivita se ISP porad nejak nedari) a pokud zustane brana aspon u HE, tak je to asi jedno, o moc horsi to nebude. Ona uz stejne pouzitelnost postupne upada.

Na svym PC jsem dlouho mival 6to4 preferovany pred IPv4, jen tak experimentalne pro radost, protoze proc ne. Dlouho to bylo naprosto v pohode, servery s IPv6 fungovaly a celkove to jako docasny reseni bylo skvely. Ale je to tak dva tri roky, co uz jsem to musel vratit zpatky do defaultu, aby se preferovalo IPv4, protoze pokusy o pripojeni na IPv6 byly cimdal nespolehlivejsi. Nekdy to neslo vubec, jindy se to ruzne podivne sekalo, proste radost uz to nebyla.

V soucasnosti to vetsinou jeste staci, pokud se obcas potrebuju dostat na neco, co je IPv6-only. Ale budoucnost to zjevne nema. Snad se ISP konecne podari nativni konektivita. Udajne proti tomu nejsou, svuj prefix uz maji deset let, ale dotazeni k zakaznikum porad vazne. Tunely se mi resit nechce. V tom bylo 6to4 skvely, mam IPv4 => mam automaticky i IPv6, aniz bych se o tom musel s kymkoliv bavit.

Veškeré argumenty pro vypnutí chápu, ale v situaci, kdy jsme na světě na krásném 46. místě s pouhými 16.34% penetrace IPv6 (dle Google, takže předpokládám u klientů) - a to ještě velkou část zachraňují akademické popř. státní instituce (tam kde neignorují pravidla) - to povede k dalšímu zhoršení dostupnosti IPv6.

Nepovede to ke zhorseni cisel, protoze Teredo a 6to4 jsou depreferovane protokoly (operacni systemy preferuji IPv4 nad 6to4/Teredo).

Microsoft v novych Windows Teredo davno deaktivoval.
Na 6to4 potrebujete verejnou adresu a s ni muzete pouzivat 6in4 (napr. tunnelbroker.net), ktery je stale dostupny.
Navic oba protokoly jsou extremne nespolehlive a kazdy, kdo je pouziva, by mel prejit na spolehlivejsi alternativu.

Z uvedenych 16 % delaji statni instituce temer nulu, protoze IPv6 vetsinou ignoruji (jen male procento z nich ma po IPv6 dostupny web/mail/DNS), zatimco v tomto cisle je pocet uzivatelskych pristupu (ze siti, ktere maji IPv6).