Warum wir an der Universität der Bundeswehr München IPv6 noch nicht eingeführt haben

Transkript

1 Warum wir an der Universität der Bundeswehr München IPv6 noch nicht eingeführt haben Dan Luedtke Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 1

2 Über mich B. Eng. Elektrotechnik und technische Informatik Dan Luedtke IT-Sicherheit, Netzwerke, IPv6, OS-Entwicklung Studentische Hilfskraft im Rechenzentrum Dan Luedtke Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 2

3 Die Universität Campus-Universität, gegründet 1973 Dient der wissenschaftlichen Ausbildung von Offizieren und Offizieranwärtern ca Studenten Stand: 2011 ¾ wohnen auf dem Campus am HDN angeschlossen Mitglied im DFN-Verein HDN Upstream-Provider Hochschuldatennetz Luftbild vom Campus UniBwM Quelle: UniBwM Pressearchiv Dan Luedtke Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 3

4 Hochschuldatennetz 272 Switches, überwiegend Edge-Switches / :638:103::/48 >9000 Endsysteme Datendurchsatz Upstream, typ. Bsp. Quelle: UniBwM RZ NetMan Dan Luedtke Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 4

5 Netzzonen (vereinfacht) IntranetBW IANA/Internet via DFN IntranetBW Clients Border-Router Wohnheime Verwaltung Mil. Diensträume Zentraler Router WLAN Hörsäle Server (intern) Institute Server (global) Labore RZ-Labor Dan Luedtke Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 5

6 Border Link, RZ-Labor DFN via FHG München DFN via Garching Private ASN Border-Router HA IPv6 RZ-Labor Zentraler Zentraler Router Router HA IPv6 Hochschuldatennetz FHG Fraunhofer Gesellschaft HA High Availability Dan Luedtke Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 6

7 Zentraler Router Zentraler Router IPv6 IPv6 Hochschuldatennetz IPv6-fähig IPv6 belastet die CPU stärker IPv6 entlastet die ASICs Einige IPv4-Features gehen bei Nutzung von IPv6 verloren Austausch absehbar ASIC anwendungsspezifische integrierte Schaltung Dan Luedtke Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 7

8 Edge-Level Sicherheit 802.1Q-Trunk Edge-Level Switch N RS UP Client Virus-Throttling ICMP-Throttling Untagged VLAN fest zugewiesen VLAN dynamisch via 802.1X Loop-Protection DHCP-Snooping DHCP-Protection Dynamic ARP Protection 802.1Q VLAN RS UP Reserved Uplink Dan Luedtke <mail@danrl.de> Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 8

9 Edge-Level Sicherheit 802.1Q-Trunk Edge-Level Switch N RS UP Client Virus-Throttling ICMP-Throttling Untagged VLAN fest zugewiesen VLAN dynamisch via 802.1X Loop-Protection DHCP-Snooping DHCP-Protection Dynamic ARP Protection IPv6-Äquivalente in der Firmware nicht vorhanden Dan Luedtke <mail@danrl.de> Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 9

10 IPv4-Konnektivität herstellen Internet 3. DHCP Acknowledge DHCP- Server Zentraler Router 2. Relay 4. Relay 6. Port-Policy: Nur MAC/IP aus dem Lease sind erlaubt Edge-Level Switch N RS UP 5. Switch lernt Lease 1. DHCP Request Client A Client B Dan Luedtke <mail@danrl.de> Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 10

11 IPv6-Konnektivität herstellen Grundlage für Laborsetup Switches aus neuer Serie 4. DHCP Reply DHCP- Server Internet Zentraler Router 1. Router Advertisement Managed=1 DHCPv6 Other=1 RDNS via DHCPv6 3. Relay 5. Relay 7. Port-Policy: Nur MAC/IP aus dem Lease sind erlaubt Edge-Level Switch N RS UP 6. Switch lernt Lease 2. DHCP Request IPv6 Client A Client B RDNS Resolving Nameserver Dan Luedtke <mail@danrl.de> Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 11

12 Probleme Manche Betriebssysteme beherschen kein DHCPv6 Manche Betriebssysteme ignorieren das Other-Flag Unsere Switches können DHCPv6-Snooping etc. (noch) nicht! Austausch der Switches aus Kostengründen derzeit nicht möglich DHCP- Server Edge-Level Switch N IPv6 Client A Internet Zentraler Router RS UP Client B Dan Luedtke <mail@danrl.de> Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 12

13 Offene Fragen (Edge-Level) Privacy Extensions am Client? Aufwand und Nutzen der DUID-Verwaltung? Relay einsparen? site-local multicast DHCP- Server Internet Zentraler Router ff05::1:3 All-dhcp-servers RFC3315 Edge-Level Switch N RS UP IPv6 Client A Client B DUID DHCP Unique Identifier Dan Luedtke <mail@danrl.de> Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 13

14 Probleme ohne IPv6 gesunkene Kundenzufriedenheit Kunden finden workarounds Teredo (z.t. automatisch) Tunnelbroker Getunnelter Verkehr entzieht sich unserer Kontrolle! Wir lassen nicht jeden tunneln Dan Luedtke Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 14

15 Probleme ohne IPv6 (Bsp.) World IPv6 Day 2011 IPv4 IPv6 RZ Edge-Level Switch N RS UP Kunde Teredo-Tunnel Connection-Sharing aktiviert verschickt Router Advertisements ungewollter Router Client A Client B Client C nutzt scheinbar natives IPv6 Dan Luedtke <mail@danrl.de> Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 15

16 Offene Punkte Kein IPv6 ist keine Lösung! Wo wäre eine zentrale Adressvergabe sinnvoll? Server verwaltete Systeme Wo wäre die Nutzung von SLAAC statt DHCPv6 sinnvoll? Wohnbereiche Wireless Bring-Your-Own-Device-Netze Kann uns OpenFlow weiterhelfen? Wollen und können wir Kunden eigene Netze geben? Layer-2 ISP Gibt es einen Konflikt zwischen Privacy Extensions und Sicherheit? Falls ja, wie lösen wir diesen? Dan Luedtke Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 16

17 Lösungsvorschlag BYOD-Netze Router Advertisements mit RDNS-Option SLAAC Neighbor Discovery Snooping Neighbor Discovery Detection Erweitertes Logfile Zeitstempel IPv6-Adresse Switchport BYOD Bring-Your-Own-Device SLAAC Stateless Address Autoconfiguration Dan Luedtke Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 17

18 Fragen? Vielen Dank für Ihre geschätzte Aufmerksamkeit! Quellen RFC 2675, 5095, 3122, 4443, 4884, 4007, 2460, 5942 Netzkonzept für die UniBwM ab 2008; Winfried Thalmeier (CSO) IT-Sicherheitsstrategie an der UniBwM; 2008; Winfried Thalmeier (CSO) Projektstudie IPv6 im Hochschuldatennetz; 2011; Dan Luedtke IPv6 Border-Link and Edge-Level Packet Filtering; 2011; Dan Luedtke IN EIGENER SACHE AS57821 is looking for peers! Dan Luedtke Donnerstag, 10. Mai 2012 Frankfurt a.m. IPv6-Kongress Folie 18