Vlákno názorů k článku Na návštěvě v IPv6 laboratoři: jste kompatibilní? od Radek Hladik - Zdravím, přiznám se, že by mně docela zajímalo, zda...

Pocitace budou mit vice prefixu a co jsem zkousel, funguje to vpohode. Jako bonus to tak nejak "od prirody" rozklada zatez. V ramci vnitrni site se pouzivaji linkove adresy - veskera komunikace beha po nich.

Osobně nemám rád to "tak nejak od prirody". U takovýhle zásadních věcí chci vědět přesně proč a jak to funguje. A děsím se toho, že si každý počítač bude sám volit cestu. Už jen ten algoritmus na volbu zdrojové adresy, který defaultně upřednostňuje IPv4 před některými tunel,y a člověk potřebuje diagram, aby věděl, jak se to zachová, mě odrazuje.
Linkové adresy jsou na vnitřní komunikaci málo, je potřeba něco nezávislého na síťovce a spol. Nemluvě o tom, že adresa, která se pěkně pamatuje taky není k zahozeni (ikdyž to už je jen bonus).
Ale přesně na tohle směřroval můj dotaz, jestli je možné takovou věc v NIC laboratořích vidět a vyzkoušet si, protože si dovedu představit, že to nějak fungovat bude a bylo by dobré s tím získat co nejvíce zkušeností.

Algoritmus na volbu zdrojové adresy je dán precedenční tabulkou (v Linuxu je uložena v /etc/gai.conf), přičemž RFC definuje jen její výchozí stav (zjednodušeně řečeno: preferuj levnější/kratší spojení a IPv6).

Linkové adresy (fe80::/64) si klidně můžete nadefinovat vlastní, nezávislé na síťovce a snadno pamatovatelné, RFC to umožňuje.

To RFC jsem četl. Velice zajímavé čtení a plně chápu jeho důvody, atd... Stejně jako chápu, proč je lepší upřednostňovat IPv4 před tunelem. Ale i přesto si stojím za tím, že algoritmus o asi 8mi korcích, konfigurační tabulkou a dalšími případnými zadrhelovými místy bych radši viděl na routeru (=jednom centralizovaném místě) než na každé divoké stanici. Je to sice trochu přehánění, ale nechci moc řešit situace typu "vaše tiskárna nerespektovala prioritu prefixu a proto nejede", "ten nový cosiMac je skvělý, ale nějak mu trvá, než zjistí, že připojení nejede", "ten prográmek na optimalizaci spojení vám krásně nastavil tabulku preferenci, jen jí trochu rozvrtal :-)"

Protože jde o algoritmus volby zdrojové adresy, velice by mě zajímalo, jak by ten router mohl něco takového dělat. Snad jedině že by tu tabulku přibalil do RA.

Podívejte se, jak to router dělá u dnes velice rozšířeného schématu s IPv4+NAT. Volba zdrojové adresy je přesunuta na router, protože stanice vždy použije jednu fixně přiřazenou a router tu adresu změní podle potřeby. Ve skutečnosti je to přesně to, co zpochybňujete ve vašem příspěvku, že by nějak vůbec mohlo jít.
To, že zmíněné řešení s NATem má jiné nevýhody, dobře vím. Stejně tak řešení s distibucí více prefixů má (mimo jiné) tuto nevýhodu, že přesouvá netriviální část logiky na jednotlivé klienty.
Ve skutečnosti je to hodně debata o tom, zda přizpůsobovat technologii potřebám nebo potřeby technologii. Ale stojím si za tím, že zatím všechna takováto řešení jsou v případě nastíněného problému malé sítě ve finále komplikovanější, složitější na údržbu a náročnější na chybu. A k tomu, abych přesvědčil zákazníky, aby přešli na něco nového, co jim zkomplikuje život, bych potřeboval opravdu schopné marketingové oddělení :-)

NAT je obezlička, která pořádně nefunguje. Kromě toho, že klient se nedozví, kdy a jak se změnila jeho vnější IP adresa (což je potřeba vědět třeba při streamování), tak jak router změní adresu v šifrovaném FTP či jak namapuje porty v šifrovaném SIPu? To totiž ta volba zdrojové adresy dělá taky.

Komplikovanější to je, jen pokud to chcete použít jinak, než bylo otestováno, že to funguje velmi dobře. IPv6 má naopak (díky autokonfiguraci a prefix delegation) nutnou údržbu minimální a zprovoznění je podobné zprovoznění IPv4 + DHCP (a NAT nastavovat nemusíte).

"NAT je obezlička, která pořádně nefunguje."
Tohle je nepravdivé tvrzení.Dostáváme do jiné oblasti, než původně, takže se předem omlouvám za off-topic.
Jsme technicky založení lidé, takže bychom měli názory trochu precizovat a nepoužívat podobné vágní a nepřesné tvrzeni. NAT je technologie, která má určité + a určité -. V rámci těchto + a - funguje pořádně a správně. Obezlička není technický termín, to není potřeba komentovat (to bych pak klidně mohl tvrdit IPv6 je obezlička a pořádně nefunguje (např. protože se nepřipojí na IPv4 hosty)). Dokonce si troufnu souhlasit, že z "principelního" hlediska je těch - víc než těch +.
Na druhou stranu máme hodně zákazníků, kteří mají pár počítačů, šiforvaný SIP/FTP nepoužívají, zato "rádi" připojují různé divoké zařízení (mobily, různé tablety, tiskárny a já nevím co všecko). Oni běžně používají maximálně web+mail+skype/icq. Tedy naprostou většinu mínusů současného řešení prostě neřeší, protože je nepoužívají. A ano, dá se i říci, že je nepoužívají právě kvuli těmto mínusům. Ale principelně, pokud jim budu nabízet něco nového/lepšího, tak to nesmí v tak poměrně zásadní věci horší. A právě proto můj prvotní dotaz směřeoval přesně na to, zda je možné takovéto řešení v laboratoři vidět (na což jsem už dostal odpověď výše), protože takovýchto principielních/te­oretických diskuzí už jsem několik absolvoval, ale každé zmiňované řešení mělo zase nějaké + a nějaké -.
Samozřejmě, pokud se budeme bavit o jiném typu zákazníků (třeba firma s 20-50 počítači), kde je možno si dovolit více nákladů na správu a jsou větši požadavky na konektivitu, tak to bude něco jiného. Proto jsem svůj prvotní dotaz vymezil.
A co se týče složitosti nastavení NATu, to bych jako problém neviděl, jedno masquerade pravidlo na jednom místě v jendom firewallu není žádný problém.

To je fakt mánie, s tím NATem. Zkus přes to procpat třeba FTP (nedejbože šifrované). Opravdu supr věc, ten NAT. Je to sice dále a úplně na <|>, ale zato je tam horší cesta.

Většinou mi komentáře takovéto úrovně nestojí ani za odpověď, ale budiž :-)

To je fakt mánie těch ANTINATářů. Občas mám pocit, že svolám na nějaký jejich náboženský svátek (asi na Sv. FTPa) nějaké srocení a pak tam budu skandovat proNATovská hesla :-) Ale pak si vždycky řeknu, že bych mohl rozpoutat svatou válku, protože se jedná o lidi, kterým se při zaslechnutí "NAT" zatmí před očima a ztratí veškerou soudnost.

Po odborné stránce nemám co dodat, snad kromě toho, že vás možná překvapí, že jsou lidi, kteří nepoužívají FTP (ani šifrované)...

Aha, takže řešením NATu je nepoužívat protokoly, které neustále rozbíjí. Jooo, to je geniální. Nic jiného jsem ostatně od příznivce toho paskvilu nečekal.

Musím řict, že na odpůrce NATu jste projevil až nadprůměrnou míru chápavosti. Ano, pokud mám technologii, která něco umožňuje, tak používám, to, co umožňuje. A pokud potřebuju používat něco, co neumožňuje, tak to buď nepoužívám nebo změním tu technologii, která mi v tom brání. Už vám ovšem uniklo, co jsem psal, že jsou lidé, kteří některé věci nepoužívají, protože je nepotřebují, nikoliv proto, že je nemohou používat.

Pokud vám nevyhovuje český termín obezlička, stačí místo něj použít anglický termín workaround, který se v technické literatuře používá běžně. Nic jiného totiž SNAT není (DNAT je trochu jiná kategorie a s maškarádou nemá nic společného).

Jaké tam jsou plusy? Snad jediný — stačí vám jedna IP adresa.

Běžně používají ten Skype, protože nic jiného přes NAT neprojde. Co na tom, že všechny chytré telefony už tak tři roky umí SIP, když si s ním stejně nezavoláte.

Pokud vám stačí jedna maškaráda, stačí vám v IPv6 ta výchozí tabulka, takže IPv6 je na tom zase líp (funguje to bez nastavování). Když jste se na tu tabulku totiž ptal, čekal jsem, že používáte něco komplexnějšího, kde je třeba více připojovacích cest. To byste teprve věděl, jak „úžasný“ ten NAT umí být.

Celou dobu řeším přesně tu situaci, kterou jsem nastínil v prvním příspěvku. A vím, jak složitý a problematický dokáže NAT být. A věřte mi, že na několik příchozích spojení bych ho nepoužíval. Osobně totiž jeho výhody i nevýhody velmi dobře znám a právě proto nejsem ani zarytý odpůrce ani zarytý příznivce, ale prostě vím, kdy se ta technologie hodí, kdy ne, co přinese a co způsobí. V kontextu této diskuze jsem to uvedl jako protipřiklad ilustrující, že i volbu zdrojové adresy je možné přesunout na router (samozřejmě za určitých podmínek).
A přiznám se, že na použití slova obezlička ve smyslu workaround nejsem zvyklý, v tom případě beru zpět to, že to není technický termín.

Jakou výhodu má, že počítač netuší, jaká je jeho adresa? Tedy kromě toho, že nefungují služby, které tu adresu potřebují znát.

Routing nemá s NATem nic společného. Ta data by při stejně nastavené routovací tabulce přes ten router tekla, ať už tam NAT je nebo není.

Není to spíš o výhodách spojených s tím, že počítač nemusí řešit, že se mu adresa změní? Internet není neměnná stromová struktura, ale je to velmi proměnlivý graf plný smyček. Je zajímavé, že protokoly pro routování tohle už dávno obstojně vyřešily, zatímco IPv6 to pro koncové body "rozbila". Mám pevnou IPv4 adresu a můžu přepnout na záložní linku bez toho, aby se mi vůbec přerušilo TCP spojení. Asi jste se setkali s tím, že se vám "někde na lince" něco stalo a vaše pakety šly chvíli jinudy. O tom ten protokol je. Jediné, co musíte udělat, je na vašem počítači nastavit pevnou IP adresu. No a NAT je jeden ze způsobů, jak si ulehčit práci - nastavíte si pevnou IP adresu na routeru a dohodnete se na ní se všemi svými providery. Za NATem můžete mít počítače s dynamickou adresou, které nijak neovlivní, že váš router najednou nejede přes providera A, ale přepnul na providera B. S IPv6 to zatím vypadá, že ta pevná IP adresa se bude muset nastavit na každé zařízení a při komunikaci s poskytovateli budou potřebovat váš seznam adres. Což se nám zatím nepodařilo, všichni tři naši poskytovatelé trvají na tom, že počítače připojené přes ně musí mít jimi přidělený prefix. Jenže to TCP spojení nemá šanci přežít, protože jakkoliv je dobré na hledání alternativní cesty, změnu IP adresy koncového zařízení nevydýchá.

To bych teda chtěl vidět. Jak se druhá strana, která používá vaši veřejnou IPv4 adresu, tedy tu, kterou vám přidělí NAT, o tom přepnutí dozví, když budete používat NAT jiného poskytovatele? Pokud tedy nemáte dva providery používající stejnou veřejnou IP adresu.

Na druhou stranu IPv6 umí automatické přepnutí na základě Router Advertismentu (ve výchozím stavu bude aktivní spojení přes oba providery a při problémech se prostě ohlásí, že se jeden odpojil) a díky IPv6 Mobile se ta druhá strana tu změnu IP adresy dozví (pokud to tedy ten provider, co mu spadne síť, má správně nastavené), takže tam se TCP spojení opravdu nepřeruší.