Vlákno názorů k článku Stav IPv4: drancování a všudypřítomný NAT od kk - Jsem pripojen pres poskytovatele internetu centrio a pravidelne...

"sit, se stovkama zarizeni, kde se to confi rucne, i jen na 4ce"

Snad v jakekoliv fabrice na vyrobnich linkach. Kdyz tedy je nekdo natolik pokrokovy, ze by si automaty mohli mezi sebou povidat po ethernetu a ne po necem prumyslovejsim. Nikdo si nelajsne nejake komplikace pri vyrobe jenom proto, ze nekde nejaky DHCP server na druhem konci fabriky ma slabsi chvilku. Stejne tak pri vymene nejakeho HW pouze prenastavis ip adresu a jede se dal. Chran buh, aby v takovych situacich bylo nutne kontaktovat IT, aby milostive vzali na vedomi, ze nejake zarizeni ma novou MAC adresu.

A tech masin v ty fabrice po ty siti komunikuje nekolik set? Vazne? Takovou fabriku bych rek jeste nikdo nepostavil. Nemluve o tom, ze tyhle veci vetsinou stejne behaj po seriaku a maximalne je to pak pripojeny nekde vsechno k jednomu PC. Uz jen proto, ze na ethernetu se da tezko cokoli garantovat, coz tyhle stroje dost casto vyzadujou.

Mam tu asi tak 20 veci, ktery maji fixni IPcko. Nejaky ty zavory, pichacky ... veci ktery defakto ani sitovat neumej, jen se po siti daj nastavit a da se z nich neco precist. A navic sou to krabice prevazne 10+let stary a dokud neumrou, nikdo je vymenovat nebude.

Vsechno ostatni je dhcp/ra a vsude se dava DNS. Nehodlam totiz resit, ze nekdo nekde neco prepoji, presune, ... zmeni se tomu IPcko ... a vsechno v riti. Pokud mi nekdo za poslednich 10let prisel s tim, ze jeho appka potrebuje napevno IP, tak sem ho rovnou vyhodil.

A krasna vec cece, probihala postupna migrace na novy verze softu, zaroven se to samo presunovalo na novy verze OS, a voiala, jak to bylo easy, kdyz stacilo zmenit jedinej zaznam v DNS a namirit to na novej stroj. Jen proto, ze trvam striktne na tom, ze se do zadny konfigurace zadny IPcka davat nebudou, ani 4kovy ani 6tkovy.

Ted nevim, jestli si ze me delate legraci, nebo ne.
Byl jste nekdy v nejake tovarne? A pokud ano, tak nekde jinde, nez u sekretarek a jejich sitove tiskarny?
Zbytek nema smysl, evidentne zijete v jinem svete.

Ha, ha, ještě vyspávám poslední akci, kdy se síťovaly mašinky real time řízené po ethernetu přes IP protokol. Jen ten kruh má 140 kusů ethernet switchů a kruhy jsou dva, každá mašínka připojneá současně do obou kruhů. Takže jen cca 300 IP adres pro síťvé prvky v jedné hale. Ano, je to hromad malých průmyslových switchů, které mají typicky 4 ks optických portů a 6 ks metalických, cca z poloviny vždy zaplněno. Kruh používá turboring technoligii od Moxy, takže výpadek v řádů max 2 milisekundy při přerušen spojení někde nebo selhání switche. Komunikuje se přes UDP, kde jsou použity v tom IP stacky, co mají podporu pro real time komunikaci přes Ethernet Samozřejmě se po tom nemotá nic jiného, než ta průmyslová řídící komunikace, protože by cokoliv jiného to rozbilo. Takže ano, takových hal je dneska v Česku už řada.
Dneska se už na průmylsový Ethernet cpe všechno možné, co ještě před pár lety bylo doménou sériových linek RB485 a podobných, dost často každé čidlo je samostatné minikrabička napájené přes PoE a komunikující samostatně s dalšíma krámama.
Ale jinak i ty malé Moxy switche už IPv6 umí. :-) jenom ta pdopra pro PTPv2 je softwarová a ne lně hardwarová v těch miniswitchích, takže mizerná přesnost. :-(

Znam sit na severu moravy s cca 10k uzivateli konfigurovanou (z dobrych duvodu) staticky.

Lidi maji tech svych 5 udaju na papirku a v pripade vymeny routeru se v panelaku/ulici najde vzdy alespon jeden typek ktery to za tri minuty do zarizeni natuka, navic dnes uz to nezanedbatelne mnozstvi lidi zvladne samo. Na brane jen povolujete IP adresy a ani nemusite drzet databazi MAC adres. V zacatcich spouta freenetu nemela zarizeni schopne DHCP snoopingu a tak jeden router po rozpojeni omylem zapojeny LANovou stranou do domovni site dokazal behem noci znefunkcnit pripojeni vetsine lidi v panelaku.

DHCP snooping, je dobra vec. Kdysi jsem napsal maly patch(cca 80 radek) od ISC DHCPd deamona. IP adresa se pak prideluje na zaklade informaci z Option82. IP adresa je asociovana s konktretnim portem na switchi a je jedno jake zarizeni se do nej pripoji (samozrejme to nesmi byt hub anebo jiny switch).

Jedna moznost, a druha je, ze kdyz uz si chces hrat na toho providera, tak asi neni uplne dobrej napad mit jednotlivy usery na jedny hromade, takze vlan to jisti.

akoze kazdemu klientovi vlastnu vlan? :D
alebo si poviem tito dvaja sa maju radi, ty mozu byt spolu, ale toto su konkurenti tych dam od seba lebo by sa hekovali navzajom? way to go!

VLAN neni zase tak moc (alespon na starsich boxech). Nektere switche umi ulozit template access-listu do ktereho lze vlozit IP adresu z dhcp snooping. Dokud klient nedostane odpoved od DHCP tak nemuze nic, a az ji dostane, tak muze pouzivat pouze to IP, ktere dostal pres DHCP. Na svoje "sousedy" muze samozrejme porad utocit, ale IP adresu nikomu ukrast nemuze.