Vlákno názorů k článku CZ.NIC zkušebně vypne tunelovací technologie Teredo a 6to4 pro IPv6 od RRŠ - Ono je fajn snažit se prosadit IPv6, ale...
-
Ono je fajn snažit se prosadit IPv6, ale když ono to často bez toho tunelu nejde... Vypnutím tunelů se sice trochu zvýší tlak na providery, ale ti se kvůli pár otravným zákazníkům "neblázní" - takže ve finále to bude (místo nespolehlivého tunelu k CZ.NIC) nespolehlivý tunel k HE - nebo (xor) pád zpět ke staré IPv4 síti. (Případně hledání jiného poskytovatele, což třeba v našem domě znamená hledání sedmé možnosti připojení - je tu šest možností, ale žádná IPv6 neumí nebo je to omezené k nepoužití.)
-
To je sice hezké, ale tak možná pro mne, pokud budu mít dost času na bádání. Přeci jen je rozdíl naklikat to na routeru a mít hotovo, proti nastavování na VPS, tvorby tunelu a studia potřebné síťařiny. (A následně to udržovat, aktualizovat, pravidelně platit...)
Podle mne by bylo prostě lepší, kdyby to uměl přímo poskytovatel připojení. Když neumí, pak je nějaký instantní tunel druhé nejjednodušší řešení. Bastlit si to sám je až ta skoro poslední možnost - hned před "zůstat na IPv4.
Mimochodem - nemáte odkaz na nějaký dobrý a jednoduchý návod, jak ten tunel (pro asi tak /56 rozsah) správně na VPS vytvořit? -
Ten "instantní tunel" je co se konfigurace týká méně náročný tak asi tak o instalaci a pořízení toho VPS. WireGuard je co se konfigurace týká dokonale primitivní a "to VPS platit" znamená jednou za rok poslat někam tisícovku. Udržovat a aktualizovat to, upřímně, potřeba skoro není.
Samozřejmě, že by bylo lepší, kdyby to uměl poskytovatel, nebo tedy spíš úplně všichni. Ale zrovna tunelování se dá obejít dost snadno. Proto také píši "když už tunelujete".
-
Nulový problém je se zakazováním rozsahů. Naučte se alespoň číst. Aktualizace jsou potřeba natolik, nakolik je to pro vás kritická infrastruktura. Jestli si myslíte, že je domácí router s veřejnou IP adresou u 90 % uživatelů internetu alespoň ze tři čtvrtin tak bezpečný jako instalace jakéhokoliv linuxu s iptables, musíte být dobře naivní.
A to jsem ještě optimista. Na nakonfigurování něčeho tak bezpečného jako jsou tahle koncová zařízení můžete jednou nainstalovat a pak na to pět let nesáhnout a pořád na tom budete s bezpečností podstatně lépe.
-
Tohle beru jako zálohu, kdybych doma přišel o IPv6.
V souvislosti s tím je ale vhodné zmínit, že by bylo vhodné začít tlačit na ČTÚ (přímo nebo přes jiné orgány) na local loop unbundling pro optická vedení - víme, že posledně to těm lemplům trvalo 8 let u telefonních vedení. Následná možnost výběru poskytovatele služeb by sama o sobě mohla vést (mimo jiné) k zlepšení dostupnosti IPv6.
-
Až na nutnost psát si každý rok o nový certifikát. A to ještě nezbývá, než doufat, že se můžete připojit s jedním certifikátem z více zařízení -- nejsem si teď jist, jak OpenVPN či WireGuard v tomhle ohledu fungují -- to kdyby vás náhodou napadlo chtít používat tunelované IPv6 kromě tří soukromých serverů v mém případě třeba i na notebooku (což vás napadne dost rychle) a nedejbože smartphonu.
Protože jinak těch certifikátů potřebujete každý rok rovnou několik, správně je rozdistribuovat na příslušná zařízení atd.
Tohle není úplně stoprocentní řešení.
