Lars Ehrhardt

Transkript

1 IPv6 Linux/Unix Usergroup Sankt Augustin Lars Ehrhardt IPv6 1 Lars Ehrhardt <le@luusa.org>

2 Übersicht Teil 1: Grundlagen Teil 2: Voraussetzungen für IPv6 Tunnelbroker Realisierung von IPv6 für zu Hause mit Linux IPv6 2 Lars Ehrhardt <le@luusa.org>

3 IP Internet Protocol OSI-Schicht 3 RFC 760, 1980 Version 4 Abbildung aus Das neue Internet Protkoll, IPv6, S. 3 IPv6 3 Lars Ehrhardt <le@luusa.org>

4 IPv4 Identifizierung von Rechnern im Internet: luusa.org 32 Bits für eine IPv4 Adresse ca. 4 Milliarden Adressen (4*10 9 ) IPv6 4 Lars Ehrhardt <le@luusa.org>

5 Es war einmal... ca Diskussion um IPNG Angst, dass Adressen knapp werden Diskussionspunkt: Adresslänge Verdoppelung: 64 Bit? Variabel? Nutzen vs. Aufwand bei der Übertragung Einigung auf 128 Bit ca mögliche Adressen IPv6 5 Lars Ehrhardt <le@luusa.org>

6 Vorteile von IPv6 Großer Adressraum Autokonfiguration Einfacher Wechsel von Internetprovidern Keine Fragmentierung in Routern Mobile-IP QoS Sicherheitsfunktionen integriert IPv6 6 Lars Ehrhardt <le@luusa.org>

7 Notwendigkeit von IPv6 Angst vor IP-Adressen -Ende 80 Millionen neue IP-Adressen pro Jahr momentan 1.6 Milliarden Adressen frei (Quelle: APNIC, 06/03) Existenz von NAT Backport von IPv6-Features für IPv4 Entlastung der Routingtabellen: CIDR Warten auf Killerapplikation P2P, VoIP, UMTS, WLAN? Wachstum in Asien IPv6 7 Lars Ehrhardt <le@luusa.org>

8 IPv4 Header: Variable Länge Redundanz IPv6 Header: Weniger Felder Sauberer Größe x2, trotz längerer Adressen IPv(4 6): Header Abbildungen aus Das neue Internet Protkoll, IPv6 IPv6 8 Lars Ehrhardt <le@luusa.org>

9 Unicast: IPv6: Adresstypen Adressierung eines Interfaces mehrere Interfaces pro Rechner möglich Multicast: Adressierung einer Gruppe von Interfaces Pakete werden an alle Mitglieder gesendet, Beispiel: Stream Anycast: Adressierung einer Gruppe von Interfaces Auslieferung nur an ein Mitglied; Beispiel DNS Kein Broadcast -> Ersatz durch Multicast IPv6 9 Lars Ehrhardt <le@luusa.org>

10 IPv6: Adressaufbau Dezimaldarstellung in 128 Bit? Hexadezimaldarstellung: 128 Bit durch 8 Blocks á 4 Hexadezimalzahlen Beispiel: fe80:00cd:3a1b:0000:0901:0000:0000:0001 Vereinfachungen Führende Nullen auslassen Einen(!) Block konsekutiver Nullen auslassen IPv6 10 Lars Ehrhardt <le@luusa.org>

11 Vorher: IPv6: Adressaufbau (2) fe80:00cd:3a1b:0000:0901:0000:0000:0001 Nachher: fe80:cd:3a1b:0:901::1 Präfixdarstellung fe80:cd:3a1b:10:260:efff:fe42:c21c/48 Vergleich zu IPv4: /8 ; /16 Ersten x Bits für Netzwerk, 32-x Bits für Hosts IPv6 11 Lars Ehrhardt <le@luusa.org>

12 IPv6: Adressaufbau (3) Bsp: 2001:cd:3a1b:10:260:efff:fe42:c21c/48 3 Bits: Format Prefix (001 für global agg. Adressen) 13 Bits: Top-Level Aggregation Identifier 2 Bits: Reserviert, momentan immer Bits: Next-Level Aggregation Identifier: cd:3a1b 16 Bits: Site-Level Aggregation Identifier: Bits: Interface ID: 260:efff:fe42:c21c Genaue Aufteilung des IPv6-Adressraums: RFC2373 IPv6 12 Lars Ehrhardt <le@luusa.org>

13 Besondere Adressbereiche Aktuelle Präfixe für globale Unicast Adressen: 3FFE: 6Bone (Testnetzwerk für IPv6, befristet) 2001: Produktivbereich 2002: 6to4 Besondere Unicast-Adressen: 0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:1 Oder: ::1 (entspricht ) 0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0:0 Oder: :: (entspricht ) IPv6 13 Lars Ehrhardt

14 Besondere Adressbereiche (2) besondere Bedeutung für Adressen mit den Präfixen: Netzlokal (site-local): FEC0:-FEFF: Vergleichbar zu privaten IPv4-Adressräumen Verbindungslokal (link-local): FE80:-FEBF: Interface im gleichen OSI-Ebene 2 Adressraum z.b. gleiche Ethernet-Broadcast Domäne Verbindungslokale Adresse kann automatisch aus Umwandlung der MAC-Adresse in eine EUI 64-Bit Adresse erzeugt werden MAC-Adresse: 00:60:EF:42:C2:1C Automatisch erzeugte Link-Local Adresse: FE80::0260:EFFF:FE42:C21C 2. Bit: Invertierung -> Vereinfachung bei der Konfiguration IPv6 14 Lars Ehrhardt <le@luusa.org>

15 Besondere Adressbereiche (3) Multicast-Adressen: Format: FFxy x=flags (0: dauerhaft, 1: temporäre Multicast-Adresse) y=gültigkeitsbereich (..., 2: link-local, 5: site-local,...) Beispiel: Ping an alle Knoten im gleichen Link-Segment: ping6 -I eth0 FF02::1 Ping an alle Router im gleichen Link-Segment: ping6 -I eth0 FF02::2 IPv6 15 Lars Ehrhardt

16 Automatische Konfiguration Stateless Address Configuration: Clients können sich via ICMPv6 selbständig konfigurieren Eindeutige Adresse wird an Hand von MAC- Adresse gebildet Überprüfung auf Eindeutigkeit Falls nicht eindeutig, manuelle Konfiguration IPv6 16 Lars Ehrhardt

17 Automatische Konfiguration (2) Stateful Address Configuration: Router-Advertisements verbreiten Konfiguration Router schicken ICMP6 Nachricht (router advertisment) an FF02::1 Clients können mit router solicitation an FF02::2 ein router advertisment anfordern IPv6 17 Lars Ehrhardt

18 Praktischer Teil Ich will auch IPv6 haben!... aber wie??? IPv6 18 Lars Ehrhardt

19 Ready for IPv6? IPv6 Unterstützung vorhanden? test -f /proc/net/if_inet6 && echo "IPv6 ready" Modul laden: modprobe ipv6 Neuen Kernel mit IPv6 erzeugen: : Networking options ---> The IPv6 protocol (EXPERIMENTAL) test*: Networking support --> Networking options --> The IPv6 protocol (EXPERIMENTAL) IPv6 19 Lars Ehrhardt

20 Ready for IPv6? Betriebssystem: Alle aktuellen Betriebssysteme *BSD (KAME) Linux (USAGI) MS, offiziell ab WinXP/SP1, Win2000SP1 MacOS Version 10.2 Solaris AIX HP-UX IPv6 20 Lars Ehrhardt

21 Ready for IPv6? IPv6 Tools Konfiguration via ip (IProute2-Paket) URL: ftp://ftp.inr.ac.ru/ip-routing/ Debian: apt-get install iproute Mit Einschränkungen: ifconfig und route IPv6 21 Lars Ehrhardt

22 IPv6: Konnektivität Provider um IPv6 bitten... Yeah, right! IPv6 Anbindung via IPv4-Tunnel: Abbildung von IPv6 22 Lars Ehrhardt

23 6to4 Tunnel (1) IPv4-Adresse: Darstellung in IPv6: :: oder: ::C3E3:4E6E Automatische Generierung des IPv6-Präfix printf "2002:%02x%02x:%02x%02x" `echo tr "." " "` IPv6-Präfix: 2002:c3e3:4e6e Gateway-Rechner ::1 Vollständige Adresse: 2002:c3e3:4e6e::1 IPv6 23 Lars Ehrhardt

24 6to4 Tunnel (2) Neuen Tunnel einrichten: ip tunnel add tun6to4 mode sit ttl <ttldefault> remote any local Link online bringen: ip link set dev tun6to4 up IPv6-Adresse dem Device zuweisen: ip -6 addr add 2002:c3e3:4e6e::1/16 dev tun6to4 Default-Route einrichten: ip -6 route add 2000::/3 via :: dev tun6to4 metric 1 IPv6 24 Lars Ehrhardt <le@luusa.org>

25 Tunnelbroker Vorteil: zuverlässig (feste Verbindung, Ansprechpartner) In der Regel: eigenes /48 oder /64 Präfix Nachteil: Momentan kein standardisiertes Verfahren zum Aktualisieren der Tunnelinformationen, wie IPv4 Adressen der Endpunkte IPv6 Adressen der Endpunkte Hoher PITA-Faktor bei dynamischen Verbindungen IPv6 25 Lars Ehrhardt

26 Freenet6 URL: (Kanada) Anonymer Zugriff möglich /48 Präfix nach kostenloser Registrierung Reverse DNS-Zone Delegation möglich Eigenes Clienttool für Tunnelaktualisierung Debian: apt-get install freenet6 Sourcen vorhanden für alle OS: Linux, Windows, MacOS, *BSD IPv6 26 Lars Ehrhardt

27 Hurricane Electrics Tunnelbroker URL: (USA) Registrierung notwendig /64 Präfix nach kostenloser Registrierung Adressen aus dem Produktivbereich 2001:: Reverse DNS-Zone Delegation möglich Perl Skript zur Tunnelaktualisierung vorhanden IPv6 27 Lars Ehrhardt

28 SixxS (1) URL: (NL, D) Registrierung notwendig /48 Präfix nach kostenloser Registrierung Adressen aus dem Produktivbereich 2001:: Reverse DNS-Zone Delegation möglich Kein Skript zur Datenaktualisierung vorhanden Sehr gute Weboberfläche IPv6 28 Lars Ehrhardt

29 SixxS (2) Punktesystem Neuanmeldung +25 Punkte Einrichten/Aktualisieren von Tunneln/Subnets kostet jeweils Punkte Pro Woche Ping-Uptime +5 Punkte Kein Ping für 1 Tag -5 Punkte, nach 1 Woche Deaktivierung des Tunnels Für DialUp-Accounts sinnlos, da Änderung der IP Adresse alle 24h IPv6 29 Lars Ehrhardt <le@luusa.org>

30 SixxS (3) Beta-Programm seit an mit einigen Daten Installation eines HeartBeat-Clients sendet ein UDP-Paket alle 60 Sekunden an Tunnelendpunkt Automatische Aktualisierung der Tunneldaten bei Änderung der lokalen IPv4-Adresse Timeout: Tunnelabbau IPv6 30 Lars Ehrhardt

31 Sonstige: XS26: (BE, CZ, UK, PL) Update via Web (lange Updatezeit) BTExact (UK) Update via Web (umständliches WebGUI) Dolphin (CH) Update via Web (PHP), funktionierte nicht IPv6 31 Lars Ehrhardt

32 SixxS: Beispielkonfiguration Neuen Tunnel einrichten: ip tunnel add sixxs mode sit local [lokaler IPv4 Endpunkt] remote [POP IPv4 Endpunkt] Link online bringen: ip link set sixxs up IPv6-Adresse dem Device zuweisen: ip -6 addr add [lokales IPv6-Addresse/Prefix] dev sixxs Default-Route einrichten: ip -6 route add 2000::/3 via [Entfernter IPv6 Endpunkt] dev sixxs oder: ip -6 route add default via [Entfernter IPv6 Endpunkt] dev sixxs IPv6 32 Lars Ehrhardt

33 SixxS: Test der Konfiguration ping6 -c1 <lokale ipv6 adresse> PING 2001:768:1900:93::2(2001:768:1900:93::2) 56 data bytes 64 bytes from 2001:768:1900:93::2: icmp_seq=1 ttl=64 time=0.134 ms :768:1900:93::2 ping statistics packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = 0.134/0.134/0.134/0.000 ms ping6 -c1 <Tunnelendpunkt> PING 2001:768:1900:93::1(2001:768:1900:93::1) 56 data bytes 64 bytes from 2001:768:1900:93::1: icmp_seq=1 ttl=64 time=81.5 ms :768:1900:93::1 ping statistics packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = /81.546/81.546/0.000 ms IPv6 33 Lars Ehrhardt <le@luusa.org>

34 SixxS: Test der Konfiguration (2) traceroute6 traceroute6 to noc.sixxs.net (2001:838:1:1:210:dcff:fe20:7c7c) from 2001:768:1900:93::2, 64 hops max, 12 byte packets 1 gw-148.mun-01.de.sixxs.net ms ms ms 2 bb2-hst-fe4-1-0-vl4.muc.ipv6.eurocyber.net ms ms ms 3 INXSv6.space.net ms ms ms 4 Cisco-INXS-S5-0.Space.Net ms ms ms 5 Cisco-M-XII-S1-1.Space.Net ms ms ms 6 Cisco-F-III-Tu91.Space.Net ms ms ms 7 de-cix.fra30.ip6.tiscali.net ms ms ms 8 so fra40.ip6.tiscali.net ms ms ms 9 so dus10.ip6.tiscali.net ms ms ms 10 so ams20.ip6.tiscali.net ms ms ms 11 so ams10.ip6.tiscali.net ms ms ms 12 ams-ix.ipv6.concepts.nl ms ms ms 13 se1.breda.ipv6.concepts-ict.net ms ms ms 14 noc.sixxs.net ms ms ms IPv6 34 Lars Ehrhardt <le@luusa.org>

35 Geht nicht... Troubleshooting: Test der IPv4-Konnektivität (Ipv4-Endpunkt) IPv6 Forwarding Aktiv? cat /proc/sys/net/ipv6/conf/default/forwarding Firewall: Protokoll 41 (IPv6) freigeschaltet? iptables -A INPUT -i ppp0 -p ipv6 -j ACCEPT iptables -A OUTPUT -o ppp0 -p ipv6 -j ACCEPT MTU/TTL ip link set mtu 1280 dev sixxs ip tunnel change sixxs ttl 64 tcpdump einsetzen! IPv6 35 Lars Ehrhardt

36 Geht... und nun? IPv6 fertige Clients einsetzen ssh, Mozilla, Konqueror, GnomeMeeting, w3m, silc, irc, xmms, nmap,... IPv6 fertige Server einsetzen Apache2, cyrus2, sshd, sendmail, bind9, courier, exim, slapd,... Gute Übersicht: IPv6 36 Lars Ehrhardt

37 Debian Eigene IPv6-Seite: Viele Pakete sind bereits IPv6 fertig: apt IPv6 portierte Debian-Pakete /etc/apt/sources.list: # ipv6 deb sarge ipv6 deb sid ipv6 # squid deb IPv6 37 Lars Ehrhardt <le@luusa.org>

38 Router Advertisement Daemon Autokonfiguration der Clients Quelle: Debian: apt-get install radvd Konfiguration in /etc/radvd.conf: interface eth1 { AdvSendAdvert on; prefix 2001:768:194a:10::/64 { AdvAutonomous on; AdvOnLink on; AdvRouterAddr on; }; }; IPv6 38 Lars Ehrhardt <le@luusa.org>

39 Router Advertisement Daemon SysCTL: sysctl -w net.ipv6.conf.all.autoconf=0 sysctl -w net.ipv6.conf.all.accept_ra=0 sysctl -w net.ipv6.conf.all.accept_redirects=0 sysctl -w net.ipv6.conf.all.router_solicitations=0 Konfiguration über Proc: echo 0 > /proc/sys/net/ipv6/conf/all/autoconf echo 0 > /proc/sys/net/ipv6/conf/all/accept_ra echo 0 > /proc/sys/net/ipv6/conf/all/accept_redirects echo 0 > /proc/sys/net/ipv6/conf/all/router_solicitations IPv6 39 Lars Ehrhardt <le@luusa.org>

40 Bind9-Konfiguration (1) Forward/Reverse Zonen hinzufügen /etc/bind/named.conf.local: (...) zone "ipv6.homenetwork.local" { type master; file "/etc/bind/ipv6.luusa.org"; }; zone "a ip6.arpa" { type master; file "/etc/bind/reverse a.ip6.arpa"; }; //veraltet: zone "a ip6.int" { type master; file "/etc/bind/reverse a.ip6.int"; }; IPv6 40 Lars Ehrhardt <le@luusa.org>

41 Bind9-Konfiguration (2) Forward Zone deklarieren /etc/bind/ipv6.luusa.org: $ORIGIN. $TTL 3D; 3 IN SOA ipv6.luusa.org. root.ipv6.luusa.org. ( ; serial 3H ; refresh 15M ; retry 1W ; expiry 1D ) ; mininum IN NS dns.ipv6.luusa.org. www IN AAAA 2001:768:194a:10::1 mar-lan IN AAAA 2001:768:194a:10:250:daff:fe41:3a09 mar-wlan IN AAAA 2001:768:194a:20:250:daff:fe41:3a09 IPv6 41 Lars Ehrhardt <le@luusa.org>

42 Bind9-Konfiguration (4) Reverse Zone deklarieren /etc/bind/reverse a.ip6.arpa: <...> $ORIGIN a ip6.arpa IN PTR a e.f.f.f.a.d IN PTR marv-lan.ipv6.luusa.org. $ORIGIN a ip6.arpa. 9.0.a e.f.f.f.a.d IN PTR marv-wlan.ipv6.luusa.org. /etc/bind/reverse a.ip6.int: [veraltet!] <...> $ORIGIN a ip6.int IN PTR a e.f.f.f.a.d IN PTR marv-lan.ipv6.luusa.org. <...> IPv6 42 Lars Ehrhardt

43 IPv6 Firewall: IP6Tables Kernelmodule (IPv6: Netfilter Configuration) Userspace: ip6tables Quellen: Debian: apt-get install iptables Syntax identisch zu iptables ip6tables -A INPUT -i sixxs -p tcp -j LOG ip6tables -A INPUT -i sixxs -p tcp -j ACCEPT ip6tables -A OUTPUT -o sixxs -p tcp -j LOG ip6tables -A OUTPUT -o sixxs -p tcp -j ACCEPT Beispielskript unter IPv6 43 Lars Ehrhardt

44 Literatur/Quellen Wiese, Herbert: Das neue IPv6 Protokoll, ISBN: Deutsches IPv6-Forum: Linux IPv6-HowTo: HS247: IPv6-Vortrag des CCCC IPv6 44 Lars Ehrhardt