IPv6 aus Sicht eines ISPs die Sicht der Mittelständler

Transkript

1 ISPs 1 IPv6 aus Sicht eines ISPs die Sicht der Mittelständler Gert Döring SpaceNet AG, München Deutscher IPv6-Gipfel am HPI Potsdam,

2 IPv6 über die Jahre Wahrnehmung von IPv : was das wohl ist? 1998: spannend! 2000: unsere Kunden brauchen das! 2003: irgendwie geht s nicht voran...? 2006: irgendwann kommt der große Ansturm noch!... und nun? 2/26

3 Inhalt IPv6 aus Sicht eines kleinen Providers Abgrenzung zu Access- und Backbone-Carrieren warum IPv6? Gelöste Probleme aktuelle Fragen und Widrigkeiten der laufende Betrieb Marktbetrachtungen warum will das keiner? die Rolle der kleinen Provider 3/26

4 SpaceNet AG Wer ist SpaceNet? gegründet 1993 (damals noch als GmbH) Internet Service Provider, Schwerpunkt München / Bayern Kundensegment: anspruchsvolle Geschäftskunden Komplexe Hosting-Lösungen Sicherheits-Lösungen (Firewalls, VPNs) Internet-Access (Standleitungen, DSL) erster ISP in Deutschland mit kommerziellem IPv6-Angebot eigene Office-Infrastruktur seit 2002 mit IPv4+IPv6 IPv6 für die meisten Produkte verfügbar (ohne Aufpreis!) natürlich auch mit IPv6 4/26

5 SpaceNet AG Abgrenzung im Markt Large-Scale Access-Provider (z.b. Vodafone, Telekom) extrem hohe Zahl an low-revenue -Kunden Produkte und Prozesse müssen extrem standardisiert sein Hotline-Fälle müssen minimiert werden Speziallösungen für einzelne Kunden (IPv6) schwierig Backbone-Carrier (z.b. NTT) Internationales Netz Kunden sind andere Provider und große Firmen Kundenanforderungen (Verfügbarkeit, Service) sind höher meist nur ein reduziertes Produktspektrum weniger Systeme durch IPv6-Rollout betroffen 5/26

6 warum IPv6? Warum will SpaceNet IPv6? begrenzter Adreßraum von IPv4 kostet Geld und Nerven Reibereien mit Kunden bezüglich Netzgröße n:1 NAT behindert neue Anwendungen (VoIP, P2P) Adresskollisionen in Enterprise-VPN-Netzen (doppelte Verwendung des selben 10.x.x.x-Bereichs etc) Kompromisse auf Kosten der Sicherheit (VLAN-Sharing) Adressverwaltung generell sehr zeitaufwändig durch IPv6 komplett gelöst. weitere Vorteile im Access-Bereich: Autoconfig in absehbarer Zeit wird IPv6-Support ohnehin zwingend nötig 6/26

7 ISP-Technik Exkurs in die Technik 7/26

8 ISP-Technik Aufgaben eines Internet Providers... ISP-Kerngeschäft: Pakete transportieren schnell, zuverlässig, ohne Unterschied IPv4/IPv6 sekundäre Dienste Betrieb von Mailservern, inklusive Spam-Filter Betrieb von Hosting-Plattformen (Server, Loadbalancer) Firewall- und VPN-Dienstleistungen DNS (Name Service) IP-Adressverwaltung für Kunden Accounting und Billing Monitoring 8/26

9 ISP-Technik Elemente im Netz eines Hosting-Providers Vodaphone Anti- Spam Mailserver Peering- Router Access- Router Firewall zum Kunden Loadbalancer Datenbank NTT Upstream- Router DNS-Server Webserver 9/26

10 Erfolgsstory Erfolgsstory 10/26

11 Erfolgsstory Erfolgsstory der letzten 12 Jahre... Core-Router (Cisco, Juniper) haben guten IPv6-Support alle wichtigen Peering-Punkte zum Datenaustausch mit anderen Internet-Providern sind IPv6-fähig internationale Transit-Provider bieten IPv6-Transit an alle gängigen Betriebssysteme haben IPv6 an Bord die wichtigsten Schlüssel-Applikationen (Web, DNS, Mail, Peer2Peer, ssh) können über IPv6 kommunizieren Vergaberichtlinien für IPv6-Adressen existieren (RIPE) DNS-Infrastruktur (root,.de,... ) ist v6-fähig Akzeptanz bei den Providern steigt Wikipedia und Google über IPv6 erreichbar(*) 11/26

12 Erfolgsstory Nette Anekdoten... Protokoll-Redundanz bei (IPv4-)DHCP-Server-Ausfall Arbeit über IPv6 (SSH, Web,... ) weiterhin möglich kein Captive-Portal-Zugriff auf diversen Konferenzen IPv4 ist in üblicher NAT/Portal-Problematik gefangen, IPv6 funktioniert einfach transparent Google kommt über IPv6 und keiner merkt s Protokoll unter der Anwendung sehen selbst erfahrene Netzwerker nur mit Hilfe eines Netzwerk-Sniffers (tcpdump) 12/26

13 Probleme Schwierigkeiten und Probleme 13/26

14 Probleme Schwierigkeiten (I) - Mail alle gängigen Mailserver sind voll IPv6-fähig Unix: sendmail, exim, postfix, (qmail), qpopper,... Windows: Exchange... und das z.t. schon seit 10 Jahren viele gängige Mail-Clients sind IPv6-fähig Mutt, Kmail, Thunderbird, Outlook, OWA,... die überraschende Schwierigkeit: Anti-SPAM/Anti-Virus kein Standard für DNS-Blacklisting kein Support von Cisco/Ironport OpenSource (SpamAssassin, milter-greylist,... ) OK kommerzielle Lösungen fehlen 14/26

15 Probleme Schwierigkeiten (II) - Firewall und VPN IPv6-Support in den meisten kommerziellen Firewalls noch nicht auf dem Niveau des IPv4-Supports z.b. fehlende Einschränkungen im Management-Zugriff oder nur deutlich reduzierte Performance möglich Mehraufwand durch unabhängige Regelsets für IPv4+IPv6 zusammengefasste Regelsets nur bei pf(4) für BSD VPN-Anbindungen IPv6 fehlt in vielen VPN-Lösungen noch komplett z.t. geht IPv6 sogar komplett an vorgebenen Policies vorbei genaue Produkt-Evaluierung nötig 15/26

16 Probleme Schwierigkeiten (III) - Hosting (Managed) Server-/Applikations-Hosting Betriebssysteme und Standard-Applikationen unkritisch Problemfeld Load-Balancing erste Implementationen von Foundry, F5, Citrix andere Hersteller lassen auf sich warten großes Ärgernis: zusätzliche Lizenzkosten für IPv6 verschiedene mögliche Lösungsansätze: IPv6 NAT (Foundry, F5) zum Client IPv6, zum Server IPv4 (Citrix) interne Verbindungen (Datenbank-Connects o.ä.) können weiter auf IPv4 bleiben, ggf. auch mit privaten Adressen 16/26

17 Probleme Tücken und unintended consequences... Autoconfig auf einmal machen Rechner ungeplant IPv6 operative Probleme, Security-Implikationen Firewall de-sync separate Regelsets für IPv4 und IPv6 Apache-ACLs nach Aktivierung von IPv6 scheitert plötzlich der Zugriff Accounting und Billing je nach Abrechnungsverfahren Anpassungen nötig IDS IDS-System sieht Angriffe über IPv6 nicht, oder crashed 17/26

18 ISP-Technik: was fehlt? Hosting-Netz revisited... Vodaphone Anti- Spam Mailserver Peering- Router Access- Router Firewall zum Kunden Loadbalancer Datenbank NTT Upstream- Router DNS-Server Webserver 18/26

19 IPv6 und die Kunden Marktbetrachtungen 19/26

20 IPv6 und die Kunden IPv6 ist kein Produkt! Anbieter warten üblicherweise auf Kundennachfrage, bevor ein neues Produkt eingeführt wird das am häufigsten gehörte Gegenargument zu IPv6: es fehlt die Nachfrage seitens der Kunden das stimmt auch denn Kunden fragen auch nicht nach IPv4 oder Postleitzahlen Kunden wollen das Internet benutzen IP-Infrastruktur ist nur Mittel zum Zweck Vermittlung der Technik ist Aufgabe der Provider 20/26

21 IPv6 und die Kunden Kunden (1): reine Endkunden die große Klasse der reinen User hat kein Interesse an IPv6... weil sie nicht wissen, was TCP, IPv4 oder IPv6 ist.... und sie müssen das auch nicht wissen die Umstellung auf IPv6 wird für diese Kunden automatisch passieren MS und Apple liefern Betriebssysteme mit aktivem IPv6 aus Anwendungen verwenden IPv6 einfach, wenn es da ist es fehlt noch: günstige Heim-Router (CPEs) mit IPv6 ab Werk... und ist einfach mit dabei seitens der großen Anbieter DTAG, Freenet, Hansenet (u.a.) arbeiten bereits daran 21/26

22 IPv6 und die Kunden Kunden (2): Content-Anbieter kommerzielle Angebote bzw. werbefinanzierte Inhalte mehr Verständnis für IP-Technologieen gute Erreichbarkeit schon aus finanziellen Aspekten wichtig... damit IPv6 wichtig wg. emerging markets (China usw.) Henne-und-Ei-Problem der Verfügbarkeit Angebot muss hoch verfügbar und schnell sein schlechte Anbindung bei Clients schafft Probleme beim Anbieter z.t. noch technische Probleme, z.b. Load-Balancer ohne IPv6 der Zug nimmt langsam Fahrt auf ipv6.google.com, 22/26

23 IPv6 und die Kunden Kunden (3): Enterprise-Kunden zunehmende Probleme durch IPv4-Adresskollisionen Workarounds treiben operative Kosten in die Höhe bei sehr großen Firmen reicht privater IPv4-Adreßraum nicht gleichzeitig aber durchaus glücklich mit kastriertem Internet privater IPv6-Adreßraum (ULA) groß genug und eindeutig mögliche Lösung: IPv6 innen, Proxy mit IPv4+IPv6 außen Probleme: Veränderungen in großen Netzen sehr schwerfällig Entscheider sehen die Probleme (Kosten!) von IPv4 und den Nutzen von IPv6 nicht ISPs können durch Beratung und Konzeptarbeit helfen 23/26

24 IPv6 und die Kunden Wie können ISPs bei der Migration helfen? zuverlässiger Transport von IPv6 gleiche Paketpfade (= gleiche Qualität) für IPv4 und IPv6 keine proof of concept IPv6-Tunnel-Basteleien technische Unterstützung der Kunden IPv6-Connectivity anbieten Migrations-Tools (6to4/Teredo-Relays, etc.) betreiben Dual-Stack-Server anbieten: DNS, , WWW proxy,... Wissenstransfer IPv6-Migration mit den Kunden gemeinsam durchplanen Vor-Ort-Unterstützung bei der Einrichtung von IPv6 im Kundennetz 24/26

25 Zusammenfassung Schlußbetrachtung IPv6 ist für ein zukunftssicheres Internet unvermeidbar der Aufwand zur Umstellung ist erheblich... aber wenn man jetzt beginnt, gibt es keinen Knall die verbleibenden Probleme mit IPv6 sind in der restlichen Lebenszeit von IPv4 gut lösbar viele ISPs haben ihren Teil der Arbeit bereits erledigt und können einen produktiven IPv6-Netzbetrieb anbieten für Endkunden im Consumer-Bereich wird (muss!) IPv6 einfach passieren kleinere ISPs können Kunden bei der Planung und Implementation von IPv6 sehr gut unterstützen. 25/26

26 The End Nichts als Fragen? Google mit IPv6 (only!) IANA RIPE NCC Geoff Huston, IPv4 run-down gert/09-v6c-spacenet.pdf 26/26