Názory k článku
Deset důvodů pro NAT na IPv6

hmm, vetsina (ne li vsechny) bodu mi prijde jako pitomost, nicmene bod 6 vypovida za kvalitu celeho clanku

Možná jsou dneska nějaké erupce na slunci a já to jen nemůžu najíž, ale uvádět odkaz na článek není od věci.

Tak jsem to přeci jen našel a s tím článkem se dá jen souhlasit.

Člověka, který může NAT považovat za přínos a chtít jeho implementaci v IPv6. Bych opravdu neoznačil za Admina.

Spíš mám pocit že admin nejsi ty :-D
Mě osobně se zdá, že současný návrh IPv6 je výplod několika ,,podivných" vývojářů vytvořený bez předchozí porady se skutečnými adminy. Napadá mě analogie, kdy v půlce hotového projektu přijde marketingový manager za týmem programátorů a oznámí jim, že se z marketingových důvodů rozhodli změnit MySQL za MSSQL. Možná jsou programátoři z pohledu pracovníka marketingu jen líná a divná asociální verbež, ale tohle debilní prosazování nějaké myšlenky ,,za každou cenu" mi přijde prostě debilní.

Pokud chceme rušit všechno na první pohled neužitečné, je čas zcela zrušit vývoj Linuxové stanice. LINUX PATŘÍ NA SERVER A NA STANICI NEMÁ CO DĚLAT!

Pojďme se dohodnout. Vy povolíte NAT na IPv6 a my na oplátku povolíme Linux na stanicích :-D Byť je Linux na desktopu jednoznačně větší zlo než NAT na IPv6 ;-) :-D :-D

Toto tvrzení je třeba brát tak, že ho vyslovil člověk živící se (profico) objížděním BFU uživatelů a "opravou" jejich pc.

Taky bych nechtěl přijít o trh se stále stejnými vracejícími se zákazníky :-D

Nevim jakou oblast Admina znate vy.
Ja znam 2 oblasti. Firewally velke firmy a domaci sit pro par kompu s routermodemem.
V 1. pripade je to fuk. I kdyz by se mavnutim proutku hned zitra internet zmenil na IPv6, udela se zmena jen na vnejsim interface firewallu, za ktery se maskaraduje veskery odchozi provoz vnitrku a vnitrek pojede na IPv4 jeste HOOODNE dlouho. Jedine co se zmeni jsou verejne servery firmy. Ale jen verejne.
V 2. pripade bych nechtel byt na miste toho rodinneho guru co oprasuje ty domaci kompy s widlows, ktere se najednou octnou zcela vystrcene na internetu a nejpozdeji do mesice bude po nich. Dnesni IPv4 N:1 NAT domacich pripojek je vlastne pozehnani pro ty statisice deravych WinXP, kterych je vetsina.
IPv4 NAT N:1 je defakto uzasny "firewall" z vnejsi strany. Na tom stavi soucasne routermodemy, poradny firewall prakticky zadny z nich v sobe nema. S IPv6 bude tedy treba tam dat krabku s opravdovym firewallem. A to bude drahe. Vlastne nejlepsi pro domacnosti by byl soucasny routermodem s IPv6 jen venku. :-D

Nevim, ale prijde mi, ze vubec nevite jaky je rozdil mezi NATem a firewallem. Kolikrat jsem musel uzivatelum vysvetlovat, ze NAT nerovna se firewall a kolikrat uz na to ti uzivatele doplatili, snad nebudu ani pocitat.

NAT rozhodne zadne PC at uz s jakymkoli systemem, nezachrani pred napadenim.
Ano NAT urcitym zpusobem zvysuje bezpecnost stanic uvnitr, ale jen do te miry nez ho nekdo "otevre".

Podle me je nejlepsi prirovnani NAT ke vchodovym dverim. Kdyz je mate otevrene jste bez NATu, kdyz je zavrete jste za NATem. Cili jen urcity milny pocit bezpeci, ktery ale zadneho zlodeje ani neodradi, natoz zastavi.

Jedina ochrana je firewall. A to jestli jsou za firewallem verejne nebo neverejne adresy je uz jedno.

Naopak tolik problemu co NAT zpusobuje je tak nechutny, ze kdyz zmizi ze sveta tak jen a jen dobre.

Na to s tím "pseudo firewallem" pozor, to stejné lze implementovat na IPv6 pomocí tzv. "stateful firewallu", tedy něčeho jako "iptables -A FORWARD -i eth0 -m conntrack --ctstate NEW -j DROP", kde eth0 je vnější interface. Tím dovolíte navazování spojení jen zevnitř. V podstatě to tak má i spousta IPv4 firewallů.

No, jedno z pravidel zní ,,Co o Vaší síti nevykecáte, to se jen obtížně zjišťuje." takže NAT opravdu nepřímo chrání. Čím lépe znáte vnitřní strukturu sítě, tím snáze překonáte Firewall. Hromada lidí tu používá FIREWALL jako nějaké magické zaklínadlo, ale to jsou prostě úplný JELITA!!!

- jak moc často provádíte upgrade firmware vašeho domácího Firewallu????
- jak moc často takový upgrade provádí BFU????
- pokud budete znát defaultní nastavení nějakého síťového prvku, bude pro Vás daleko jednodušší překonat FW pokud víte jaké adresy jsou na druhé straně....

Čím méně o nějaké síti víte, tím hůř se na ní útočí.

Promiňte, já si neuvědomil že FIREWALL je magické zaklínadlo.
Když uvidím úchyla - stačí říct FIREWALL a bude pryč.

Nejlepší job to je pro tvůrce botů a PORTSCANNERŮ, boti budou mít alespoň co scannovat.

FIREWALL!!! a boti jsou pryč.

,,Co o Vaší síti nevykecáte, to se jen obtížně zjišťuje."

To by mě zajímalo, jak útočníkovi pomůže seznam stovek až milionů (při zapnutí privacy extension) IP adres.

„- jak moc často provádíte upgrade firmware vašeho domácího Firewallu????“

- jak moc často provádíte upgrade firmware vašeho domácího NATu????

„- pokud budete znát defaultní nastavení nějakého síťového prvku, bude pro Vás daleko jednodušší překonat FW pokud víte jaké adresy jsou na druhé straně....“

Dneska v 95 % případů jsou na druhé straně adresy z rozsahu 192.168.0.0/23.

2. V propojených sítích Czfree je momentálně řádově 100 000 PC domácích uživatelů (uživatelů je cca 40 000), tedy většinou BFU. NAT je v těchto sítí až na drobné výjimky zakázán, takže drtivá většina PC na sebe přímo "vidí". Minimálně sítě připojené v NFX mají mezi sebou spojení o rychlostech v desítkách Mbps až po jednotky Gbps, takže žádné úzké hrdlo, které by limitovalo šíření virů tam není. Přesto ani v takto velké skupině domácích PC není žádné rapidní umírání windows, ani žádné epidemie virů. Czfree sice jede na neveřejných adresách, ale PC s veřejnou IP je z těch 100 000 zhruba 10-15 000, takže místo pro průnik virů do sítě je rozhodně dostatek.

Závěr. Mýtus, že Windows, nebo přímo Windows XP musí umřít po pár dnech přímého připojení do internetu je jen mýtus. Děravost po SP3 už není tak vysoká.

1) Ono to bude i tak, že kdo si řekne o veřejnou IP, už není takový BFU.

2) Co myslíte tím zákazem NATu v CZFree? Jsem právě teď připojen přes jednu z CZFree sítí a jsem nejméně za třemi.

Mimochodem, proč právě CZFree dávno plně neimplementovalo IPv6 a dál si "trapně" kouskuje prostor 10/8? Místo veřejných adres má většina účastníků jen privátní a pro většinu svého provozu je právě za nějakým tím NATem.

Jediný pokus něco změnit zdá se odumřel:
http://czfree.net/forum/showthread.php?s=&threadid=19910&highlight=ipv6

Přitom na rozdíl od obyčejných ISP, bych v takovém typu sítě čekal horečnou aktivitu při implementaci ->všichni uživatelé okamžitě plnohodnotný internet.

1. Ano. Ale lidí i ne BFU je czfree síti tolik aby se nějaké děravé nezáplatované PC s veřejnou IP, které bude šířit viry do vnitřní sítě, našlo každou chvíli a přesto se žádné mohutné virové nákazy nekonají.

2. Každá síť má svá pravidla, takže lokálně to může být jinak, ale velké sítí spojené v NFX NAT primárně zakazují. IP z koordinovaného rozsahu 10.0.0.0/8 mají dostatek, tak proč zavádět NAT. Veřejných IP ale tyto sítě pro všechny členy nemají, takže hlavní NATy tak odstranit nelze.

Zavádění IPv6 brzdí stejné důvody jako u komerčních ISP, doplněné navíc tím, že typicky u uživatele v bytě končí síť nikoliv routerem, ale prostě UTP kabelem ve switchi či AP a na druhé straně je opět jen switch. Navíc pokud nabízíte rychlost do vnitřní sítě 1 Gbps, tak mě ukažte domácí router, který takovou rychlost uroutuje, zatímco 1 Gb switch stojí pár stovek.

Prece neni mozne, aby ten clanek byl mysleny vazne. Autor snad nejakou sit spravuje, tak by o dane problematice mel neco vedet.

Aby bylo jasno - nesnáším extrémisty, kteří tvrdí, že "NAT není firewall" / "NAT nechrání nic", protože ... mají i nemají pravdu. Samotný NAT pochopitelně nic nechrání, ale pokud se vypne source routing, omezí se zdroje útoků jen na síťový segment, do kterého je zapojen vnější interface. A ukažte mi (dnes, 2010) stroj, který by měl source routing defaultně povolen. Takže NAT chrání, nepřímo.
.
Svůj postoj jsem už vysvětloval Janu Engelhardtovi, diskutoval jsem s ním na téma NATu v IPv6 netfilteru, ten tuto myšlenku až (alespoň na první pohled) slepě odmítá. Hádám, že se bojí, aby se NAT v IPv6 nerozmohl.
.
Podle mě NAT v IPv6 pořád své místo má. Asi ne v tak ... zarostlé podobě, jako v IPv4 (v Netfilteru je speciální "nat" tabulka), ale pořád je jednodušší napsat jedno iptables pravidlo, než pouštět nějak složitě userspace proxy s kernel conntrack hooky.
.
Můj příklad použití? Stavím se u kamaráda, jehož ISP mu přidělil jednu IPv6 adresu a potřebuji se nutně připojit na net. Janovo řešení je kontaktovat ISP a požádat o přidělení další adresy, nebo ideálně od takového ISP odejít. To ale neřeší moji situaci v sobotu ve 2 ráno. Nouzové řešení by bylo nastavit si MAC adresu počítače známého a připojit se místo něj. Jenomže to je zase nevýhodné v situaci, kdy budu u toho známého zůstávat přes víkend. DALEKO jednodušší by bylo použít NAT, ale ... IPv6 přece nemá NAT!
.
Jistý nezaujatý a asi ne moc situace znalý člověk se tehdy zapojil do diskuze a prakticky ji ukončil tím, že (přeložím) "bez ohledu na politiku, pokud nový nástroj nezvládne situaci, ve které starý obstojí, pak to není krok vpřed".
.
Tím vším neříkám, že chci zaNATovaný IPv6 Internet, pochopitelně použití IPv6 NATu ze strany ISP by byla "ultra-mega-prasárna", to nechci ani já, spíše mě zaráží, proč chce tolik lidí pohřbít nějakou technologii nadobro jen proto, že se změnil její význam. Neříkám, že se NAT musí použít, jen říkám, že bychom neměli pohřbívat francouzák jen proto, že nás propustili z autoservisu. NAT v IPv6 se pořád hodí, sice pro daleko menší množství případů, ale i ty se počítají. Vsadil bych se, že těchto případů bude víc, než uživatelů arch/xtensa/ ;)

tak a ja doufam ze chovani ISP bude normalni a nebude pridelovat jednu adresu ale jednu sit
pak vsecky ty podivne "cobysemohlos­tatukamarada" prihody nenastanou:)

Chci pro jistotu 1 miliardu veřejných adres, když jich je tolik tak proč bych nemohl mít pro každou jedinečnou session prohlížeče vlastní IP?

--- konečně budu moct hlasovat dosytosti
--- nebude možné mě zabanovat
--- logy na serverech budou konečně PĚKNĚ VELKÉ, jak jinak využít terové disky
--- rapidshare a podobný budu moct konečně využívat zcela neomezeně
--- downloadaccelerator bude moct stahovat pomocí cca 65535 různých IP
--- konkurenčním punťům co si platí AdWords budu moct konečně pořádně zatopit
--- myslím, že k vůli identifikaci bude vhodné použít pro každou session jedinečnou IP

Na další úžasné a báječné nápady přijdete sami.

nechapu, ale ok, de se flamovat:)
-ooo to bozske plytvani, dyt preci staci jedna adresa na zakaznika, prece to vsem vyhovuje, vlastne ne, predchozi post to resil:)
-zabanovat se da podsit
-logy, tohle jsem jeste neslysel, myslim si ze tech par bajtu se pohodove ztrati
-jasne,rapidshare si vasi site nevsimne:)
-i jine filesharovaci servry si niceho nevsimnou
-i google si niceho nevsimne
-a to je nahodou vybornej napad, pro kazdej web pouzit jinou ip bez otevrenych jinych portu, to se clovek nebude muset bat chodit ani na xxx pochybneho puvodu;)

Zabanovat celou podsíť :-D :-D :-D ??
Takže ,,při správné konfiguraci a způsobu přidělování IP adres" místo jednoho zákazníka třeba firmy O2 zabanujete všechny ?
No, je vidět že jste skutečný oborník :-D