IMHO, kym ipv6 nebude mat funkcny NAT, tak ani nema sa sancu rozsirit na 100%.
Vedsina ludi, jedno ci v domacnosti, malej alebo velkej firme, uprednostnuje vyhody intranetu za natom, kazdy aj zacinajuci admin, by mal vediet nastavit svoj router tak aby mu sadu ip adries router smeroval na zariadenie ktore ma mat verejnu ip. Uplne rovnako ako router bez natu. Router s natom sa lisi akurat tym ze pre jednu ip ma vo fireealli nastavene pravidlo pre prepis adries.
Pretoze k comu maju mat zariadenia ktore su cisto klienti verejnu unikatnu ip?
1. Aby mi mohol niekto vzdialne pomoct so spravou zariadenia? Nechcem, mozem poziadat spoza natu cez teamviever, bez moznosti aby mi tam niekto liezol bez poziadania.
2. Koli tomu ze mam v prehliadaci zapnute vsetky mozne ochrany proti sledovacim prvkom, tak unikatna ip pomoze lepsie smerovat reklamu? Fakt po tom netuzim.
3. Ako 2 s tym ze ucelom je cielena cenzura. Nie smev cine, taketo veci sa u nas nedeju. Irelevantne...
4. Niekto ma pocit ze komunikacia ktoru NAT zakryje pod jednu IP je v niecom neregulerna? Nie je, komunikacia medzi NATom a cielovym servrom prebieha uplne regulerne, ako by sajednalo o jedno zariadenie. Prepis adries tam a spat riesi NAT, cielovy server, ani smerovce medzi nimi, nemusia nic riesit, komunikuju a smeruju len jednu ip.
K comu by malo mat zariadenie na ktore sa ziadny klient nikdy nepripoji verejnu adresu? Nejaky napad?
To ze poziadavky na verejnu ip adresu cisteho klienta mozem upne dropovat pred routovanim nakonkretny ciel, moc neberiem. Pretoze naco mam taku unikatnu adresu vystavenu do internetu ak odmieta vsetky poziadavky na nadviazanie spojenia. A tiez pre to ze je mnoho adminov ktory maju v praci firewall od nemenovanej renomovanej firmy, ktory nema preflaknuty backdoor len pre to ze ho este nikto nezverejnil, nie pre to ze by tam nebol.
Já to zkusím, kdyby to třeba četl někdo jiný co tomu taky nerozumí.
Maškaráda na IPv6 funguje stejně jako na IPv4 a v Linuxu je podpora (přiznám se, osobně jsem nezkoušel): https://tldp.org/HOWTO/Linux+IPv6-HOWTO/ch18s04.html
> Pretoze k comu maju mat zariadenia ktore su cisto klienti verejnu unikatnu ip? [...] K comu by malo mat zariadenie na ktore sa ziadny klient nikdy nepripoji verejnu adresu?
a) A proč ne?
b) Protože nejsou „čistí klienti“, třeba předně v okamžiku kdy chceš udělat videohovor, jak je teď populární.
c) Protože je opruz mít v síti „čisté“ a „nečisté“ klienty - kdo by se s tím konfiguroval?
> Nechcem, mozem poziadat spoza natu cez teamviever
Víš kolik stojí licence na TW když ho nechceš používat nelegálně (free verze je jen pro nekomerční použití)? Ano, i tohle je důsledek a „cena“ maškarády.
> bez moznosti aby mi tam niekto liezol bez poziadania
Tak mu to nepovolíš, ne? To je sranda že jako příklad bereš zrovna TW, uzavřený software s podivnou bezpečností (čísla relací spravovaná jejich serverem + 4místné PINy; celá ta šaškárna s „reverse connection“…).
> Koli tomu ze mam v prehliadaci zapnute vsetky mozne ochrany proti sledovacim prvkom, tak unikatna ip pomoze lepsie smerovat reklamu?
A privacy extensions znáš?
Já to zkusím, kdyby to třeba četl někdo jiný co tomu taky nerozumí.
To je problem vacsine odbornych diskusii v tejto dobe. Ty co tomu nerozumeju, miesto toho aby citali a ucili sa maju potrebu komentovat. (to to nie jeutok voci vam).
Maškaráda na IPv6 funguje stejně jako na IPv4 a v Linuxu je podpora (přiznám se, osobně jsem nezkoušel): https://tldp.org/HOWTO/Linux+IPv6-HOWTO/ch18s04.html
Nefunguje to tak ako ma. Vyskusane. Navic nechcem mat ako domaci router skrinu s naistalovanym linuxom, radsej nejaku krabicku. Do tej to niekto skompiluje a prida az to bude fungovat tak ako to ma fungovat. https://openwrt.org/docs/guide-user/network/ipv6/ipv6.nat6 je mozne si to naistalovat ako volitelny balik ale uprednostil by som ak by to bolo priamo v image openwrt.
> Pretoze k comu maju mat zariadenia ktore su cisto klienti verejnu unikatnu ip? [...] K comu by malo mat zariadenie na ktore sa ziadny klient nikdy nepripoji verejnu adresu?
a) A proč ne?
Proc hulis, skodi ti to. A proc ne? - nechcem tym naznacit ze hulite, ale odpoved je stylom urcitej uzko zaujmovej skupinky ludi. Nie len ze je neslusne odpovedat na otazku otazkou, je to este neslusnejsie v tom ze ta otazkootpoved je neskutocne infantilna a snazi sa dotazovatela znizit na uroven dotazovaneho. Mate snad potrebu niekoho znizovat?
b) Protože nejsou „čistí klienti“, třeba předně v okamžiku kdy chceš udělat videohovor, jak je teď populární.
Pretoze vsetky decka mali pocas domacej vyuky k dispozicii ipv6. To je fakt ci utopia? Skype nez ho nerozpokazil M$ vedelo vungovat cez niekolko natov... Ci mate dojem ze nadviazanie p2p spojenia medzi dvoma zariadeniami ktore oboje lezia za natom je problematicke?
c) Protože je opruz mít v síti „čisté“ a „nečisté“ klienty - kdo by se s tím konfiguroval?
Niekto do si da na stieti ako svojom pracovnom nastroji (mimo ine) zalezat.
> Nechcem, mozem poziadat spoza natu cez teamviever
Víš kolik stojí licence na TW když ho nechceš používat nelegálně (free verze je jen pro nekomerční použití)? Ano, i tohle je důsledek a „cena“ maškarády.
Ak to bude bez maskarady tak vzdialeny servis bude zadarmo? Vraciame sa k socializmu?
> bez moznosti aby mi tam niekto liezol bez poziadania
Tak mu to nepovolíš, ne? To je sranda že jako příklad bereš zrovna TW, uzavřený software s podivnou bezpečností (čísla relací spravovaná jejich serverem + 4místné PINy; celá ta šaškárna s „reverse connection“…).
4 miestny pin je jedna z moznosti, da sa tam nastavit aj dlhe regulerne heslo.
> Koli tomu ze mam v prehliadaci zapnute vsetky mozne ochrany proti sledovacim prvkom, tak unikatna ip pomoze lepsie smerovat reklamu?
A privacy extensions znáš?
Znam, co mi prinesie? Ze po ceste paketu k serveru nikto neuvidi mac adresu koncoveho zariadenia? To je skvele. Ze mi to bude pridelovat nahodnu IP? Stoji mi za to riesit rekonfiguraciu firewallu tak aby sa ip mojeho laptopu dostala tam kam ma a ip zariadenia ktore nemozem konfigurovat nedostalo tam kam nema? To naozaj nechcem :D
> Proc hulis, skodi ti to. A proc ne?
Jenže defaultní stav je obyčejné routování. Vy jste přišel s nějakou komplexitou (maškarádou) a tvrdíte „proč by měli mít veřejnou adresu? proč nepoužít moji maškarádu?“. Takže ten argument ve skutečnosti předvádíte vy.
> Pretoze vsetky decka mali pocas domacej vyuky k dispozicii ipv6. To je fakt ci utopia?
Ne, a také kvůli tomu museli používat centralizovaná řešení ženoucí data přes cloud, za která musela zaplatit buď svými daty, nebo přímo pronájmem.
> Skype nez ho nerozpokazil M$ vedelo vungovat cez niekolko natov...
Používalo několik komplikovaných technik (UDP hole punching atd.), a v případě, že selhaly, routovalo data přes nic netušící supernody s veřejnou adresou.
> Ci mate dojem ze nadviazanie p2p spojenia medzi dvoma zariadeniami ktore oboje lezia za natom je problematicke?
Ano, a není to dojem, ono je opravdu problematické, často dokonce úplně nemožné.
> Niekto do si da na stieti ako svojom pracovnom nastroji (mimo ine) zalezat.
Opět ten argument: „přináší to složitější konfiguraci a opruz!“ „ale vždyť to určitě nějak uděláš!“ :D
> Ak to bude bez maskarady tak vzdialeny servis bude zadarmo? Vraciame sa k socializmu?
Wat.
> Ze mi to bude pridelovat nahodnu IP? Stoji mi za to riesit rekonfiguraciu firewallu tak aby sa ip mojeho laptopu dostala tam kam ma a ip zariadenia ktore nemozem konfigurovat nedostalo tam kam nema? To naozaj nechcem :D
Jenže defaultní stav je obyčejné routování. Vy jste přišel s nějakou komplexitou (maškarádou) a tvrdíte „proč by měli mít veřejnou adresu? proč nepoužít moji maškarádu?“. Takže ten argument ve skutečnosti předvádíte vy.
Toto nikdy nie je defaultny stav na brane nejakoho podniku alebo domacnosti. Do tohto stavu to treba dodatocne prekonfigurovat.
Ne, a také kvůli tomu museli používat centralizovaná řešení ženoucí data přes cloud, za která musela zaplatit buď svými daty, nebo přímo pronájmem.
No, kedze ide o skupinovy chat tak sa predpoklada ze jeden z nodov bude zaroven centrala. Inak by kazdy klient v triede o 40 ziakoch a ucitelke musel spracovavat 41 videostreamov...
Používalo několik komplikovaných technik (UDP hole punching atd.), a v případě, že selhaly, routovalo data přes nic netušící supernody s veřejnou adresou.
Pouzivalo konkretne stun, supernody vecsinov nefungovali ako retranslacka ale ako stun server ktory je pre nadviazanie takehoto spojenia nutny.
Ano, a není to dojem, ono je opravdu problematické, často dokonce úplně nemožné.
Dokazal to nielen skype, bezne sa pouzivali klienti ktori toto robili za cielom multiplayer hier.
Opět ten argument: „přináší to složitější konfiguraci a opruz!“ „ale vždyť to určitě nějak uděláš!“ :D
Preco by to mal byt opruz? Ked clovek vie co ma robit (spoji svoje znalosti so svojou inteligenciou) tak je to trivialna zalezitost.
> Ak to bude bez maskarady tak vzdialeny servis bude zadarmo? Vraciame sa k socializmu?
Wat.
Ak poskytujem nejaky servis tak ludi ktori to robia musim nejako zaplatit, je jedno ci priamo spoplatnim alebo naklady rozpustim do cien produktov. Nie je neobvykle ze firmy ktorim zalezi na dobrej reputacii, pouzivaju nastroje ktore si musia zaplatit. Nieco podobne som riesil uz v inej diskusii, tam mal clovek problem s tym ze je phpstorm plateny, riesil ako ziskat kluce zadarmo (volakedy to islo) ale nemal problem fakturovat za svoju pracu, no proste ku mne socializmus odo mna kapitalizmus...
To je správná připomínka, ale moc si nedokážu představit ten use-case
u svého počítače budu filtrovat přímo na něm, například protože mám víc informací jako která aplikace to spojení vykonává
u zařízeních kde to je potřeba bych neměl spoléhat na to, že si zařízení neukradne jinou IP v síti, která má komunikaci povolenou. Jedině ve spojení s chytrým switchem s nastavenou filtrací IP adres podle fyzického portu.
To ze mam na svojom notasi firewall je samozrejme, pouziva sadu pravidiel podla toho ci jev domacej siet, alebo mimo nej.
To mi ale neumozni dynamicky menit ip adresy v pravidlach tak aby sa moj pracovny pocitac dostal tam kam ma.
Rovnako ako pri nahodnej ip nezabranim pripojit sa tam kam nemaju zariadeniam, ktore su okrem toho ze im mozem povolit siet, blackbox.
Jedine ze by bolo mozne zadavat pravidla pre nazvy ktore by sa resolvovali z dns, ale to sa zo zrejmych dovodov nerobi.
Btw, toto je inak vcelku zbytocna diskusia, tak ako cele ipv6. Zopar ludi ktori su za ipv6 tlacia ipv6 aj na priek tomu ze vecsine ludi nevyhovuje. Inak by uz bol nasadeny vo vacsom meradle. Majte si na vsetkych zariadeniach ip adresy z verejneho segmentu. Kazdy respektuje ze to tak chcete mat. Co tak naopak respektovat ze ostatny by chceli mat ip adresy za natom. Nejak to narusa konfiguraciu siete ktoru si spachate za svojim routrom bez natu?
Co tak naopak respektovat ze ostatny by chceli mat ip adresy za natom./em>
To je jednoduché. Neexistuje žádný racionální důvod mít IP adresy za NATEM. V obou případech musíte mít na hraně sítě firewall a v obou případech dělají pravidla naprosto totéž.
Nejak to narusa konfiguraciu siete ktoru si spachate za svojim routrom bez natu?
Konfiguraci ne. Rozbíjí to aplikační protokoly. Obyčejný kecálek, kterým si píšete s kolegou, musí cestu prorazit obloukem - třeba přes zprostředkující server mimo síť. V mezidobí Vám mechanismus NATU otevírá cestu, jakou se musí odpověď (např. informace o tom, že packet byl doručen) dostat zpět na interní adresu. Ten mechanismus je poměrně složitý i výpočetně náročný. Stačí, aby v něm byla chyba (a chyby tam jsou), a takto otevřená cestička otevírá dveře útokům.
Představte si kecálka, kde si píšete s kolegou na stejné síti a s kolegou mimo síť. Vy jste "A", kolega u vedlejšího stolu "B" a externí kolega "C".
"A" má interní adresu 10.0.0.1 schovanou za veřejnou adresou 83.37.27.11
"B" má interní adresu 10.0.0.2 schovanou za veřejnou adresou 83.37.27.11
"C" má interní adresu 10.0.0.1 schovanou za veřejnou adresou 37.16.87.5
Kecálek pro doručení zprávy nemůže použít ani výhradně veřejné, ani výhradně interní adresy. Musí vědět, že mezi "A" a "B" doručuje po interních adresách (10.0.0.1 <-> 10.0.0.2), ale mezi "A" nebo "B" proti "C" musí použít veřejnou IP adresu. Aby to nebylo příliš jednoduché, tak "A" a "C" mají stejně vypadající interní adresu.
Takže celý ten proces rozhodování je buďto hodně složitý (= náchylný na chybu), nebo celá služba musí použít nějakého prostředníka (= veškerý provoz jde do internetu, i mezi dvěma stoly ve stejné místnosti).
Aby NAT fungoval dobře, musí si router uchovávat tabulku otevřených spojení (connection tracking). Ta, když zmizí, tak veškerá spojení přes NAT se rozpadnou a musí se navázat znovu. Když správce překonfigurovává router, musí to někdy udělat (nebo při restartech apod.). Veškerá spojení musí začít znovu, není šance, aby se navázaly. To generuje provoz navíc, mnohdy se celá data posílají od začátku.
NAT tedy obtěžuje nejen toho, kdo ho používá, ale i toho, kdo komunikuje s tím, kdo je za NATEM. Aplikace jsou složité, méně spolehlivé. Když si to dáte dohromady s tím, že není žádný technický důvod, proč NAT chtít, je pak výsledek úvahy jasný.
To su ale vas podhlad na to ci su dovody racionalne. Alebo vam nejaka vyssia moc dala do vienka normalizovat to co je vseobecne racionalne? Myslim ze nie.
Ktory vseobecne pouzivany kecalek nepotrebuje control server? Control server si mozete realizovat aj v ramci intranetu ked uz o to ide. Napr jabber server. V com je problem?
To su ale vas podhlad na to ci su dovody racionalne. Alebo vam nejaka vyssia moc dala do vienka normalizovat to co je vseobecne racionalne? Myslim ze nie.
Racionální je to, co jde myšlenkově odůvodnit. Pro NAT tu nikde nezazněl žádný argument, kromě toho, že se někdo cítí bezpečnější, než když má veřejnou IP adresu.
To zde bylo víckrát vysvětleno, že to nezajišťuje NAT, ale firewall. Ten je stejný jak pro privátní IP adresy, tak pro veřejné, stejný pro IPv4 i pro IPv6. Obecně se dá říct, že i NATEM lze projít zvenčí dovnitř (takové vektory útoku existují). Dokonce některé z nich byly takového typu, že je nedokázal ani firewall zadržet, protože NAT mechanismus ho obchází (zjednodušeně řečeno).
Žádný jiný argument pro NAT jsem zde nenalezl.
Ktory vseobecne pouzivany kecalek nepotrebuje control server? Control server si mozete realizovat aj v ramci intranetu ked uz o to ide. Napr jabber server. V com je problem?
S kecálkem to byl jen příklad pro ilustraci. Ale konkrétně, centrální server potřebujete hlavně proto, abyste zjistil adresy protějšků. Samotnou komunikaci už můžete posílat napřímo, pokud v cestě nestojí NAT. S NATEM můžete leda posílat i data přes centrální server, nebo na to využít UDP Hole Punching, které v NATU dělá dynamicky díry. Hole Punching je z principu zranitelný, daleko víc než prostup ve firewallu pro veřejnou IP adresu.
Myslienkovo ide odovodnit aj neracionalne veci. Hlavne ak pouzijete vhodny argumentacny klam.
Mal by ste si najskor pouzit otazku ci ide realizovat NAT bez firewallu. To ze firewall bez natu je mozny neiplikuje to ze nat je mozny bez firewallu. Bezpecnost v kazdom pripade zabezpecuje firewall, nat umozni pristup zariadeniam ktore nepotrebuju verejnu ip, do internetu. Napr. koli stahovaniu aktualizacii.
Btw, k plynulosti diskusie neprospieva ani gish gallop (tiez radeny medzi argumentacne klamy). K comu inemu je dobre rozviest kazdu moju vetu nasobkom argumentov. Staci ked budete ragovat na komentar ako celok.
Preco by mali mat verejnu ip. Kto chce mat svoj intranet vystaveny do internetu a chranit ho ma akurat to ze forwardovanie paketov na firewali by malo byt pre niektore stroje zakazane. Mne osobne nerobi radost cakat so stihnutym zadkom az niekto zvereni backdoor pred tym nez budu dostupne zaplaty (za predpokladu ze to bude realne zaplatat).
Preco by mali mat verejnu ip.
Protože je to normální. Takže otázka je opačná – proč to dělat nenormálně, komplikovaně, proč zařízení dávat neveřejnou IP adresu.
Kto chce mat svoj intranet vystaveny do internetu
Zase si pletete NAT a firewall. NAT žádnému vystavení nebrání.
chranit ho ma akurat to ze forwardovanie paketov na firewali by malo byt pre niektore stroje zakazane
Ano, pokud chcete nějakou komunikaci zakázat, je potřeba použít firewall. NAT nic nezakazuje.
Protože je to normální.
Niektorym ludom pride normalne vystavovat svoje intimne partie na verejnosti. Problem nie je v tom ze ci by to malo byt normalne alebo nie normalne, problem je v tom ze kalhotyv4 davaju moznost volby zatial co zastancovia kalhotv6 si osobuju pravo urcovat co je normalne. Clovek by povedal ze ludia s potrebou normalizovat uz vyhynuli. Bohuzial nevyhynuli, len sucasna doba im dava sirsie moznosti vlastnej zvratenej sebarealizacie. Nie je divu ze cinania tak na nasadenie ipv6 tlacia.
Kto chce mat svoj intranet vystaveny do internetu
Zase si pletete NAT a firewall. NAT žádnému vystavení nebrání.
chranit ho ma akurat to ze forwardovanie paketov na firewali by malo byt pre niektore stroje zakazane
Ano, pokud chcete nějakou komunikaci zakázat, je potřeba použít firewall. NAT nic nezakazuje.
jj, nat preklada adresy medzi verejnou a internou sietou, komunikaciu zabezpecuje firewall. Akurat ze ak adresa zariadenia nie je z rozsahu verejnych ip tak utocnik v pripade preflaknutia backdooru vo firewali nema take moznosti ako ked je zariadenie na verejnej ip.
Niektorym ludom pride normalne vystavovat svoje intimne partie na verejnosti.
Já jsem nepsal o některých lidech. Psal jsem o tom, jak byl internet navržen a jak funguje. Já neurčuju, co je normální, pouze jsem konstatoval stav. Že se vám to nelíbí není můj problém.
O žádné intimní partie nejde. Navíc IPv6 má i z hlediska ochrany soukromí víc možností, než IPv4.
nat preklada adresy medzi verejnou a internou sietou
Ne, NAT překládá adresy. Může to být i překlad mezi veřejnými adresami nebo mezi privátními.
Akurat ze ak adresa zariadenia nie je z rozsahu verejnych ip tak utocnik v pripade preflaknutia backdooru vo firewali nema take moznosti ako ked je zariadenie na verejnej ip.
Pokud bude v routeru backdoor, útočník se do něj dostane a překonfiguruje firewall, úplně stejně překonfiguruje i NAT.
Preco by mali mat verejnu ip. Kto chce mat svoj intranet vystaveny do internetu a chranit ho ma akurat to ze forwardovanie paketov na firewali by malo byt pre niektore stroje zakazane. Mne osobne nerobi radost cakat so stihnutym zadkom az niekto zvereni backdoor pred tym nez budu dostupne zaplaty (za predpokladu ze to bude realne zaplatat).
Tady si myslím, že je chybný úsudek. NAT nezaručuje, že se packet nedostane skrz NAT dovnitř. Naopak existují vektory útoků, které využívají různé koncepční problémy NATŮ, aby se zvenčí dovnitř dostaly. NAT je poměrně komplikovaný a koncepční rizika i rizika chyb implementace jsou velká. Proto se vždy musí k NATU použít i firewall. Hodnota NATU, jakožto měřítka zabezpečení je nulová.
Proti tomu je pravidlo na firewallu s veřejnými IP adresami až trapně jednoduché a nepoměrně méně náchylné k selhání.
Pořád nechápu, v čem vidíte ta rizika. Mám router, a v něm mám NAT a firewall. Bezpečnost zajišťuje ten firewall, nikoliv ten NAT... // Nebo mám router a v něm jen firewall. Bezpečnost zase zajišťuje ten samý firewall jako v případě č. 1.
v clanku sa popisuje situacia podpory komunikacneho softweru v ipv6 only sietach
Ano, na IPv6 vendoři poměrně prdí. Nevidím to jako technický problém IPv6, ale spíš jako důsledek toho, že se ujímá děsně pomalu a nikdo nemá důvod pro něj nic moc ladit. Docela to chápu, taky bych asi ladil pro IPv4, protože IPv6-only sítí je minimum.
Ano, na IPv6 vendoři poměrně prdí. Nevidím to jako technický problém IPv6, ale spíš jako důsledek toho, že se ujímá děsně pomalu a nikdo nemá důvod pro něj nic moc ladit. Docela to chápu, taky bych asi ladil pro IPv4, protože IPv6-only sítí je minimum.
No podla mna je to tym ze ak si spustite za routrom aplikaciu na komunikaciu, tak stale chyba mechanizmus ktory by vam vytvoril prislusne pravidla na firewali, ktory je na routri, aby sa paket dostal z internetu na zariadenie. Teda ak mate zariadenia chranene firewallom. Samozrejme je moznost si tie pravidla pridat rucne ale kolko ludi to zvladne. Moznost ze by sa predavali routre ktore by mali default povolene pravidla pre porty na zariadeniach ktore ma chranit je asi dost nerealna. To by to tam ten firewall mohol byt default vypnuty...
No podla mna je to tym ze ak si spustite za routrom aplikaciu na komunikaciu, tak stale chyba mechanizmus ktory by vam vytvoril prislusne pravidla na firewali, ktory je na routri, aby sa paket dostal z internetu na zariadenie.
Tak třeba já bych si na routeru firewall nezapínal, bohatě mi stačí firewall v OS. Kdo má pocit, že toto nedokáže dostatečně uhlídat, předřadí firewall na bránu. K otevírání portů na firewallu brány slouží UPnP (jakkoliv není vůbec ideální).
Pointa je v tom, že IPv6 zvládá vše, co IPv4. Navíc však, díky dostatku IP adres, nejste nucen využívat některé nešťastné mechanismy, které přináší NAT. V současné době je spousta lidí nucena, i když by chtěla jinak. S NATEM, ať děláte, co děláte, přímé spojení na libovolném portu nenavážete. S veřejnou adresou ano.
Pak je tu spousta problémů, které přináší connection tracking. Je to pomalé, a když se ztratí záznam (nebo vyprší po nějaké době, kterou určuje router), tak spojení spadne. Bez NATU a connection trackingu se do toho nikdo další nemíchá, je to jen na Vás a protistraně.
No za tym routrom nemusi lezat len pc ktore uz ma firewall. Mozu za nim byt zariadenia ktore firewall nemaju alebo maju obmedzene moznosti komunikacie.
To mluvíte o zkušenostech s IPv4 a dnes. Dokud byl standard mít veřejné IP adresy (tu dobu si pamatuju), tak si to každé zařízení hlídalo. Tehdy se nejednalo o firewally v dnešním slova smyslu, ale o výčet naslouchajících služeb a allow a deny listy.
Na IPv6 se to zase posune. Předpokládám, že budou vznikat zařízení, když už nebudou mít firewall, že by default budou přijímat jen místní spojení.
Taky nebude těžké zařazovat zařízení do příslušných vlan, podle toho, co od něj chcete. Stejně jako udělali výrobci routerů udělátka na jednoduché nastavení firewallu + NATU do jedné kolonky, něco podobného vznikne na IPv6, jen na jiném (zdravějším) technickém základu.
Minimálně na nějakou dobu předpokládám (resp. se tak děje), že routery budou podporovat ve výchozím stavu firewall s policy drop a měnit se to bude postupně. Úplně stejně, jako to vznikalo na IPv4.
Na IPv6 se to zase posune. Předpokládám, že budou vznikat zařízení, když už nebudou mít firewall, že by default budou přijímat jen místní spojení.
Prima, pridam k tym bodom preco zatial nepouzivat IPv6. Ako som pisal od zaciatku, az sa <s>posunie</s> tak rad prejdem komplet na IPv6.
Miesto toho aby som lovil porty ktore si chytra tv otvori do internetu, proste ju strcim za nat. Zakazat jej komunikaciu uple clovek nechce, pretoze by si rad pustil netflix, iptv alebo pouzil cervene tlacitko.
Enigma2 pre zmenu IPv6 firewall nema, tvorcovia ho vyhodili so zdrojakov pretoze ako sa vyjadrili netusia kto by ten paskvil(IPv6) pouzival...
Plus kopa dalsich blackboxov, ktore keby priatelka nema tak mi to da riadne vyzrat...
Miesto toho aby som lovil porty ktore si chytra tv otvori do internetu, proste ju strcim za nat.
Nevadí vám, že je pak do internetu otevřená stále a stále může přijímat spojení ze zařízení ve vaší síti a ze zařízení v okolí vaší sítě?
Kdybyste tam neměl ten NAT, jednoduše na firewallu zakážete veškerá příchozí spojení na IP adresu té televize. Jenže když tam máte NAT, je už ta konfigurace komplikovanější (podle komentářů to vypadá, že bude nad vaše síly), takže radši tu TV necháte vystavenou do internetu. Protože pořád věříte tomu, že NAT brání komunikaci, i když vám tu spousta lidí vysvětlovala, že to tak není.
Problém je v tom serveru.
Co je funkce kecálka? Na jednom stroji napíšu zprávu, ta se zobrazí na jiným stroji a naopak.
Na jakým pracuje principu? Nasype text do socketu a odešle na druhý stroj.
Jak to udělat nejjednodušším způsobem? Otevřít TCP spojení na druhýho klienta a vyměňovat si data napřímo.
Jde použít nejjednodušší způsob obecně? Ne na IPv4, klienti na sebe nevidí kvůli NATu a nedokážou navázat spojení mimo stejný segment sítě. Na IPv6 s veřejnýma adresama bez problémů
Jak nevázat spojení s někým, koho nevidím? Pomocí serveru, který vidí oba, oba se připojí a vyměňují si zprávy prostřednictvím něho.
Takže ten server na výměnu zpráv tam být musí, ale právě proto, že existuje NAT. Tedy přesně naopak, než jak sis to vybájil!
A jenom tak mimochodem, control server je zase něco jinýho. Je to něco jako telefonní seznam, kde najdeš klienta a jeho poslední známou IP adresu, na které poslouchá a sedí na serveru, jehož URL má appka zadrátovanou. Ale dá se klidně nahradit distribuovanou DB na klientech, pokud ti na sebe vidí.
Ty si kodis vlastneho kecalka, zema tak primitivne obmedzene moznosti?
Ako ten imaginarny kecalek co tu popisujes:
1. zisti aku ip adresu ma ten co s nim chces komunikovat. Zvihnes telefon a zavolas dotycnemu aku ma ip v tej kaviarni co v nej momentalne sedi. Alebo ten kecalek oznami svoju ip contorol servru.
2. ako zaistis povolenie komunikacie pre port socketu na firevali zaktorim kecalek lezi
Control server mimo ine zaistuje aj prepojenie kecalkov p2p za natom za pomoci stun. Najdi si ako to funguje.
Njn, chcelo by to vratit sa do reality a nie vymyslat scenare ktore ak nastanu tak nastanu velmi ojedinele.
To, co říkáte, že nastanou jen ojediněle, nastávají ojediněle teď a jen díky tomu, že NAT je smutná realita. To je jako kdybyste v socialistickém Československu řekl, že není potřeba otevírat hranice na západ, protože tam stejně lidi necestují.
Jenže to že někdo má veřejnou IP (jedno jestli 4 nebo 6) neznamená že bude možné spojení. Když si budu chtít psát kecálkem přímo se sousedem, co má stejného ISP, tak i kdybychom měli oba IPv6, tak to stejně ztroskotá na tom, že firewall v routeru zarazí příchozí spojení z WAN (výchozí nastavení). Takže ten centrální server je stejně nutný.
Když si budu chtít psát kecálkem přímo se sousedem, co má stejného ISP, tak i kdybychom měli oba IPv6, tak to stejně ztroskotá na tom, že firewall v routeru zarazí příchozí spojení z WAN (výchozí nastavení).
Kdysi dávno, když jsme se sousedem byli připojeni ke komunitní WiFi, bývaly občas výpadky připojení k Internetu a tak jsme komunikovali přes jednoduchý chat v PHP běžící na lokálním webserveru. Pak jsme objevili Picophone a pak přešli ke komerčnímu poskytovateli připojení :-)
Takže ten centrální server je stejně nutný.
Není. Už je to jen ve vašich rukou. Stejně jako se vás dnes ptají Windows, zda mají povolit nějaké aplikaci naslouchání na socketu, můžou se ptát, zda to mají povolit na síťovém firewallu.
A nebo prostě nemusíte na domácím routeru blokovat žádný provoz, třeba s výjimkou takového, který by z venku opravdu neměl přijít. případně pokud máte v síti nějaká podivná IoT zařízení, jejichž bezpečnosti nevěříte, blokovat provoz na ně. Protože firewall normálně v síti není potřeba, je to až druhá úroveň ochrany pro ty, kdo vědí, jak jej nastavit.
V mých nebo vašich rukou možná, ale v rukou běžného uživatele rozhodně ne. Domácí routery mají firewall (a mám za to že podle nějakého RFC je doporučeno aby ve výchozím stavu blokoval příchozí provoz, což je IMHO správně) a běžná domácí uživatel nebude nastavovat ve žádná vlastní pravidla provozu, protože tomu nerozumí a ani tomu rozumět nechce.
Nemyslím si, že by bylo správně, že domácí routery mají firewall, který ve výchozím nastavení blokuje provoz. Navíc pokud máte v síti nezabezpečená zařízení, firewall na hranici sítě vám moc nepomůže. A teda že bych bezpečnost sítě chtěl svěřovat zrovna notoricky děravým čínským krabičkám…
10. 6. 2021, 21:11 editováno autorem komentáře
"Zopar ludi ktori su za ipv6 tlacia ipv6 aj na priek tomu ze vecsine ludi nevyhovuje."
Ale houby. Většina lidí, pasivních konzumentů, protokol neřeší, pokud nějak funguje služba, kterou chtějí používat. Je jim úplně jedno, jestli se video streamuje po IPv4, nebo někdo nasadil IPv6 multicast a šetří si tak kapacitu páteřní linky. Takže pokud IPv6 funguje, tak jim vyhovuje.
Pak jsou tady lidi, kterým nevyhovuje IPv4. Kvůli blokaci služeb třeba. Teď si nevzpomenu na detaily, ale nějaký registr na minfin, co musí podnikatelé používat, dává možnost jenom omezenýho počtu přístupů v nějakým čase z jedné IP adresy. Co to asi udělalo, když účetní byly na home office za CGNATem? O IPv4 ví taková účetní houby, o natu ještě míň a stejně kvůli němu nadává... Těchto lidí furt přibývá.
A pak jsou tady jedinci, kteří se rozhodli pracovat v oboru, který je jeden z nejdynamičtějsích na světě a co pár let je v něm všechno úplně jinak. A furt se musí učit, aby z toho nevypadli a při práci používat hlavu. Ale z nějakýho důvodu se rozhodli, že jich se změny netýkají, nový technologie prostě používat nebudou a ani se nepodívají, jak že to vlastně funguje. A už vůbec nebudou přemýšlet o tom, jestli se něco dá udělat jinak nebo jestli to náhodou nebude lepší... A když to zkusí, stejně to nepochopí.
Takže pokud IPv6 funguje, tak jim vyhovuje.
Odpoved mate priamo v clanku kde je popisany stav fungovania komunikacnych aplikacii v ipv6 only sietach. Vecsina nefunguje.
Pak jsou tady lidi, kterým nevyhovuje IPv4. Kvůli blokaci služeb třeba.
To je ale problem implementacie toho serveru. Proste to nezvladli s greylistom...
A pak jsou tady jedinci, kteří se rozhodli pracovat v oboru, který je jeden z nejdynamičtějsích na světě a co pár let je v něm všechno úplně jinak.
Jj, to ze sa ucia im dava vyhodu ze nejdu s davom ukricanych fanatikov len preto ze musia byt "in". To ako to funguje lepsie uz mam osahane. Moj providerpodporuje IPv6.
Odpoved mate priamo v clanku kde je popisany stav fungovania komunikacnych aplikacii v ipv6 only sietach. Vecsina nefunguje.
Ale ne kvůli tomu, že by to neuměl protokol, ale protože vendoři těch aplikací to prostě neřeší. Ano, pro uživatele je to stav na prd, ano, znamená to, že zavádění IPv6 do praxe je dost bolestné, ano, dá se říct, že IPv6 málo myslelo na přechodovou cestu. Ne, nedá se říct, že IPv6 schází potřebné vlastnosti.
Odpoved mate priamo v clanku kde je popisany stav fungovania komunikacnych aplikacii v ipv6 only sietach. Vecsina nefunguje.
Máte to osahané z hlediska současného uživatelského dojmu, nebo z hlediska toho, co ten protokol nabízí?
Ale ne kvůli tomu, že by to neuměl protokol, ale protože vendoři těch aplikací to prostě neřeší.
Njn, robia presne to iste co ja, skusil som a usudil som ze cas zatial este nenastal, riesit to budem az s tym nebudu problemy.
Máte to osahané z hlediska současného uživatelského dojmu, nebo z hlediska toho, co ten protokol nabízí?
Myslite ze som ako skusil zapnut IPv6, poladit to sposobom IPv4 a sem tam mrkol na stackoverflow? Ja som stara skola, zaklad su manualy, pripadne konzultacia s niekym o kom viem ze ma v problematike prehlad.
Přesně tak. Já mám v síti NAT jen proto, že mám jedinou globální IPv4 adresu. Kdyby mi jich poskytovatel dal třeba /24, tak ten NAT prostě vypnu a budu ve vnitřní síti používat globální adresy, stejně jako to dělám s IPv6.
V řadě sítí to tak je, třeba v síti CESNET najdete spoustu koncových počítačů s veřejnou IP adresou. Mají je, tak není důvod je nepřidělovat. Na Strahově to tak velmi dlouho bylo (nevím, jestli tam dnes už není NAT), že prostě studenti v pokojích měli přidělenou veřejnou adresu. Není s tím žádný problém.
10. 6. 2021, 09:27 editováno autorem komentáře
No cca 10 rokov do zadu ked UPC este fungovalo v norme (veleli poskytnut na svojom zariadeni bridge mode) tak som mal 4 verejne IPv4 adresy, jednu pre nat a dalsie boli routovane na interfejsy zariadeni ktore som chcel mat na verejnej ip. Od vtedy doba pokrocila, a aplikacie ktore potrebuju verejnu ip mam mimo domacnost. Rovnako mam od poskytovatela aj moznost ipv6 ale tu som radsej zase vypol. Hlavne pre to ze sa mi nechcelo riesit problemy ktore tym vznikli sadou ohybakov + sadou rovnakov na tie ohybaky.
Proste kazdy ma odlisny usecase. A tym ze sa skupina ludi bude snazit normalizovat usecase na svoj obraz, sa IPv6 nerozsiri na 100%. Tomu moze dopomoct len to aby sa IPv6 dostala do podoby ked pokryje vsetky usecase.
Napriklad moj usecase. A usecase dalsich ktory IPv6 vidia problematicky.
To jest?
Internet na 100% bude fungovat na IPv6 az vtedy ked IPv6 pokryje na 100% poziadavky.
Myslím, že si hodně fandíte, že kvůli vašim požadavkům bude celý svět udržovat v chodu IPv4.Prostě se bude objevovat čím dál víc služeb, které poběží jen na IPv6. To, že vy IPv6 nechcete, bude provozovatelům těch služeb srdečně jedno.
Mne by pouzivat Ipv6 vobec nevadilo, za predpokladu ze:
1. Adresy zariadeni ktore nepotrebuju verejnu ip ju mat nebudu. Ale aby mali moznost stahovat aktualizacie tak potrebuju pristup do internetu. K tomu je nutny dobre fungujuci nat. To IPv6 zatial nema.
2. Moznost cez napr DHCP priradovat adresy tak aby bolo jednoducho mozne aktualizovat DNS. Stav ako na tom IPv6 najdete v clanku.
Dalsie vyhrady si mozete precitat v komentaroch ostatnych, nemam potrebu ich sem opisovat, mne primarne vadia tieto dve. Alebo mozete prepnut do mode ignorant a tvarit sa ze ine vyhrady nie su.
Nepride vam trochu detinske tocit stale dookola otazky na ktore ste uz odpoved dostal?
Kde jsem na tu otázku dostal odpověď? Když jsem se na ni dříve neptal?
Staci si preliezt diskusiu. Ked tak jeden tu https://www.root.cz/clanky/ipv6-po-deseti-letech-svet-je-v-tretine-cesty-cesko-se-zaseklo/nazory/1069946/
To ze ste zabudol na svoju otazku by sa dalo pochopit, aleze ste zabudol aj na to ze ste reagoval na moju odpoved je uz fakt na povazenie. Mal by ste s tym nieco robit. Prehlasenie ze je to normalne asi moc neobstoji...
Ale chápu, vy žádné argumenty nemáte. Jenom hledáte výmluvy.
Argumenty mam, to ze sa van zdaju irelevantne bude vas problem. Zrejme pre to ze sa budete hadat ze ste nepolozil otazku,napriek tomu ze ste reagoval na odpoved. Je jedno ci vam zlyhava kratkodoba pamat alebo ste len tu skutocnost vytesnil pretoze sa nehodi. V oboch pripadoch je to len vas problem, nie moj. Preto by ste si ho mal zriesit vy sam a verte mi ze root nie je tym spravnym miestom kde by sa taketo problemy riesili.
Pořád si jen vymýšlíte a vymlouváte se.
To ze neakceptuje jediny argument ktory vam dam, je vas problem, proste niektori ludia su zahladeny do seba tak, ze diskusiu vedu ako monolog.
To ze nerespektujete ze ludia mimo vasu bublinu maju ine potreby ako vy, je tiez len vas problem. Uz ani necem vediet co vam tak vadi na tom ze ludia nechcu aby kazde jedno zariadenie ktore pouziju malo verejnu ip.
Poziadam vas, nereagujte na moje komentare nez sa nenaucite umeniu dialogu.
12. 6. 2021, 00:33 editováno autorem komentáře
dw: Že vás ty výmluvy pořád baví. Já jsem váš jediný argument akceptoval a vyvrátil jsem ho. Od té doby se pořád jen na něco vymlouváte, místo toho, abyste vy akceptoval, že jsem to vyvrátil, nebo rozporoval můj argument, nebo přišel s jinými argumenty.
Uz ani necem vediet co vam tak vadi na tom ze ludia nechcu aby kazde jedno zariadenie ktore pouziju malo verejnu ip.
Mně na tom nevadí nic. Jenom jsem se slušně zeptal, jestli je k tomu nějaký důvod. Když si někdo zvolí místo jednoduché varianty tu složitější, očekávám, že k tomu má nějaký důvod. Vy jste jeden důvod napsal, já jsem vysvětlil, proč ten důvod nedává smysl. Pokud chcete něco dál dělat komplikovaně, přestože k tomu není racionální důvod, klidně to dělejte. Mně to je úplně jedno. Ale je zbytečné, abyste si sám to neracionální chování obhajoval tím, že píšete do diskusí nesmysly. Přede mnou své neracionální chování fakt obhajovat nemusíte, já jsem zvyklý, že se spousta lidí chová neracionálně.
Poziadam vas, nereagujte na moje komentare nez sa nenaucite umeniu dialogu.
Umění dialogu teď vázne na vaší straně. Vy jste předložil nějaký argument, já jsem ho vyvrátil. Vy se s tím odmítáte smířit a místo toho, abyste reagoval na můj protiargument, pořád se tváříte, že jsem žádný protiargument nenapsal.
Poucte siroke masy navodom ako realizovat NAT bez firewallu.
Jednoduše: prostě budete pouze překládat adresy a nic víc. To, že v linuxovém jádře netfilter implementuje paketový filtr (firewall) i překlad adres (NAT), neznamená, že to nejsou dvě nezávislé funkce. Koneckonců jsou do značné míry oddělené i v tom netfilteru.
ako to funguje v netfiltri viem, otazka znela ako to funguje bez neho.
Stačí, když si vyzkoušíte IPv4 na veřejných adresách. Zjistíte, že nepotřebujete žádný NAT. Stačí Vám firewall, aby vše fungovalo stejně a lépe, než s NATEM. Schválně si to někdy zkuste, doručit veřejnou IP adresu na Váš počítač. Když už nepoznáte posun k lepšímu, tak k horšímu určitě ne.
ako to funguje v netfiltri viem, otazka znela ako to funguje bez neho.
Už jsem vám to jednou vysvětloval, ale asi jste to nepochopil. Zkusím to ještě jednou opravdu polopatě:
Firewall jen blokuje provoz, nijak nemění adresy procházejících paketů. Firewall může v pohodě fungovat bez NATu.
NAT jen mění adresy v hlavičkách procházejících paketů. Účelem NATu není blokování provozu. Samozřejmě pokud adresy změníte špatně, můžete si tím provoz zablokovat, ale to je nežádoucí vedlejší efekt, ne účel. NAT funguje v pohodě bez firewallu.
Firewall i NAT jsou abstraktní koncepty. Vedle toho pak samozřejmě existují konkrétní implementace firewallu a konkrétní implementace NATu. A vás asi mate, že v linuxovém jádru je firewall i NAT implementován v jedné komponentě – netfilter.
A vás asi mate, že v linuxovém jádru je firewall i NAT implementován v jedné komponentě – netfilter.
Tak skuste https://www.google.com/search?client=firefox-b-d&q=nat+implementation+without+firewall a premyslajte :D
Přemýšlel jsem o tom a dospěl jsem k názoru, že nerozumíte tomu, co je firewall a co je NAT.
Představte si aplikaci, která přijme IPv4 paket, přepíše bajty 16–19 (číslováno od 0), z bajtu 9 zjistí číslo protokolu a pokud jde o protokoly 1, 6 nebo 7, přepočítá kontrolní součet paketu a paket odešle. Víte co to je? Implementace NATu. Potřebujete k tomu nějaký firewall? Nepotřebujete.
Víte co to je? Implementace NATu. Potřebujete k tomu nějaký firewall? Nepotřebujete.
Klidně i něco reálnějšího: kdysi (IIRC do verze 2.6.8) byla v linuxovém jádře implementace bezstavového překladu adres, která byla součástí routovacího subsystému, nastavovala se pomocí " ip rule" a " ip route" a s netfilterem ani firewallem obecně neměla naprosto nic společného. Občas na zmínku o ní narazím někde v dokumentaci ještě dnes.
Bude to SW modul v routeru, který poslouchá dejme tomu na 192.168.1.1 a 100.110.120.130.
Když přijde paket z 192.168.1.10:3200 na 192.168.1.1, nahradí adresu odesílatele za 100.110.120.130:45687 a pošle dál. Poznačí si, že port 45687 použil pro 192.168.1.10:3200 a čas, kdy to udělal.
Když přijde paket na 100.110.120.130, podívá se do tabulky, jestli na tom portu něco odesílal, když ne, zahodí to. V našem případě to došlo na 45687, takže paket vezme, jako cílovou adresu mu dá 192.168.1.10:3200 a pošle do vnitřní sítě.
Samo sebou, že to přináší klasickou NATovskou svatou trojici problémů:
- Omezený počet procházejících spojení
- Možnost to krásně obejít nebo prostřelit
- Časový limit por odpověď a z toho plynoucí výpadky spojení
Omezený počet procházejících spojení
Aplikacie by mali uzatvarat nepotrebne spojenia samy, nie cakat na timeout.
Možnost to krásně obejít nebo prostřelit
skuste "-m state --state RELATED,ESTABLISHED -j ACCEPT" s tym ze default bude drop. Bez spoluprace zariadenie na ktore chcete prestrelit nat nemate sancu.
Časový limit por odpověď a z toho plynoucí výpadky spojení
Za natom mi tracepath dava jednotky milisec...
Pripominate mi jedneho byvaleho kolegu. Bol lopata. Libvirt a kvm bolo pre neho privelke susto, tak ho hejtoval a kazdemu vehementne vysvetloval ako je docker jednoduchy a skvely. Na podporu toho vymislal priklady mimo realitu, len aby mal pravdu. Nakoniec ho vyhodili. Tak hadam pracujete niekde, kde su na tom vsetci tak ako vy. :D
Aplikacie by mali uzatvarat nepotrebne spojenia samy, nie cakat na timeout.
To ovšem neřeší problém počtu procházejících spojení.
skuste "-m state --state RELATED,ESTABLISHED -j ACCEPT" s tym ze default bude drop. Bez spoluprace zariadenie na ktore chcete prestrelit nat nemate sancu.
Což ovšem nijak nesouvisí s NATem. Tímhle jste na firewallu zablokoval veškerou komunikaci, která nesouvisí s již navázaným spojením. Tudíž nebude možné s tím zařízením komunikovat vůbec, ani v jednom směru. Kdybyste tam přidal ještě pravidlo, že zařízení samotné může navazovat spojení, je to klasické firewallové pravidlo pro zákaz veškeré příchozí komunikace a povolení jen odchozí komunikace. S NATem to nemá vůbec nic společného, kromě toho, že když máte NAT, musíte si dávat mnohem větší pozor, abyste to nakonfiguroval správně.
Za natom mi tracepath dava jednotky milisec...
Nepochopil jste, o čem je řeč. Jde o to, že NAT si pamatuje spojení jen omezenou dobu. Pokud je spojení delší dobu neaktivní, NAT ho zapomene. A když pak zařízení chtějí něco tím spojením (které je z jejich pohledu stále otevřené) poslat, skončí to na tom NATu, protože už spojení zapomněl a nedokáže paket správně upravit.
Pripominate mi jedneho byvaleho kolegu. Bol lopata. Libvirt a kvm bolo pre neho privelke susto, tak ho hejtoval a kazdemu vehementne vysvetloval ako je docker jednoduchy a skvely. Na podporu toho vymislal priklady mimo realitu, len aby mal pravdu. Nakoniec ho vyhodili. Tak hadam pracujete niekde, kde su na tom vsetci tak ako vy. :D
Je pozoruhodné, když se do hodnocení znalostí ostatních pouští trumbera, který nechápe rozdíl mezi NATem a firewallem.
dw: To, jestli dobře rozumíte rozdílu mezi firewallem a NATem, nemůžete posoudit sám. Kdyby člověk mohl sám posoudit, jak dobře něčemu rozumí, nebyly by ve škole potřeba zkoušky – student by se prostě oznámkoval sám.
No a z vašich komentářů je zřejmé, že tomu rozdílu nerozumíte. Obhajujete NAT a jako důkaz dáte pravidlo pro firewall (navíc špatné). Vymýšlíte si, že NAT nemůže existovat bez firewallu.
A jak suvisi timeout s pomalostou toho spojenia
Netuším. O pomalosti jste teď napsal poprvé vy.