IPv6 Support für die Öffentlichen Verwaltung. gefördert durch das

Größe: px

Ab Seite anzeigen:

Download "IPv6 Support für die Öffentlichen Verwaltung. gefördert durch das"

Ulrich Feld
vor 6 Jahren
Abrufe

1 IPv6 Support für die Öffentlichen Verwaltung Hemer, 2016 Uwe Kaiser

immer mehr Anforderungen an das Internet und seine Protokolle das Internet als Fundament aller Kommunikation ist

2 IPV6 MOTIVATION Das Potential von IPv6 Internet of Things Web2.0 Web IPv6 IPv4 Mobilität DSL Rechnernetze NAT Unified Communication Evolution des Internets und seiner Dienste immer mehr Anforderungen an das Internet und seine Protokolle das Internet als Fundament aller Kommunikation ist an seine Grenzen gekommen IPv6 als breiteres Fundament der Internet-Evolution IPv6-Adressraum moderne Protokolleigenschaften: Auto-Konfiguration Mobilität Sicherheit 2

3 IPV6 DIE REALITÄT 3

4 IPV6 DIE REALITÄT - 2 4

5 IPV6 VORLIEGENDE ERGEBNISSE IPv6 Profilierung für unterschiedliche Geräteklassen Migrationsleitfaden für die Öffentliche Verwaltung Bewertung von Übergangstechnologien Hilfestellungen für KMUs IPv6 Konzeption für Sensoranbindungen Checklisten und Schulungsmaterialien Evaluierung von Routingkonzepten und Hardware 5

ORIENTIERUNG ripe-554 USGv6 rfc1772 rfc1981 rfc1997 rfc2080 rfc2205 rfc2207 rfc2210 rfc2401

rfc2492 rfc2497 rfc2507 rfc2526 rfc2545 rfc2590 rfc2597 rfc2671 rfc2675 rfc2711 rfc2740 rfc2746

rfc3095 rfc3097 rfc3140 rfc3146 rfc3152 rfc3168 rfc3173 rfc3175 rfc3181 rfc3182 rfc3226 rfc3241

rfc3484 rfc3526 rfc3566 rfc3572 rfc3596 rfc3602 rfc3633 rfc3686 rfc3736 rfc3775 rfc3810 rfc3843

rfc4106 rfc4113 rfc4191 rfc4193 rfc4213 rfc4271 rfc4282 rfc4283 rfc4291 rfc4292 rfc4293 rfc4295

rfc4443 rfc4495 rfc4541 rfc4543 rfc4552 rfc4581 rfc4594 rfc4601 rfc4604 rfc4607 rfc4609 rfc4632

rfc4868 rfc4869 rfc4877 rfc4884 rfc4891 rfc4941 rfc4944 rfc4945 rfc4966 rfc4995 rfc4996 rfc5006

6 ORIENTIERUNG ripe-554 USGv6 rfc1772 rfc1981 rfc1997 rfc2080 rfc2205 rfc2207 rfc2210 rfc2401 rfc2402 rfc2404 rfc2406 rfc2410 rfc2451 rfc2460 rfc2464 rfc2467 rfc2473 rfc2474 rfc2475 rfc2491 rfc2492 rfc2497 rfc2507 rfc2526 rfc2545 rfc2590 rfc2597 rfc2671 rfc2675 rfc2711 rfc2740 rfc2746 rfc2747 rfc2750 rfc2765 rfc2766 rfc2784 rfc2872 rfc2918 rfc2961 rfc2983 rfc2996 rfc2998 rfc3086 rfc3095 rfc3097 rfc3140 rfc3146 rfc3152 rfc3168 rfc3173 rfc3175 rfc3181 rfc3182 rfc3226 rfc3241 rfc3246 rfc3247 rfc3260 rfc3289 rfc3306 rfc3307 rfc3315 rfc3392 rfc3411 rfc3412 rfc3413 rfc3414 rfc3484 rfc3526 rfc3566 rfc3572 rfc3596 rfc3602 rfc3633 rfc3686 rfc3736 rfc3775 rfc3810 rfc3843 rfc3879 rfc3936 rfc3948 rfc3956 rfc3963 rfc3971 rfc3972 rfc3986 rfc4007 rfc4022 rfc4038 rfc4087 rfc4106 rfc4113 rfc4191 rfc4193 rfc4213 rfc4271 rfc4282 rfc4283 rfc4291 rfc4292 rfc4293 rfc4295 rfc4301 rfc4302 rfc4303 rfc4306 rfc4307 rfc4308 rfc4309 rfc4338 rfc4360 rfc4362 rfc4429 rfc4434 rfc4443 rfc4495 rfc4541 rfc4543 rfc4552 rfc4581 rfc4594 rfc4601 rfc4604 rfc4607 rfc4609 rfc4632 rfc4659 rfc4718 rfc4760 rfc4798 rfc4807 rfc4809 rfc4815 rfc4821 rfc4835 rfc4861 rfc4862 rfc4864 rfc4868 rfc4869 rfc4877 rfc4884 rfc4891 rfc4941 rfc4944 rfc4945 rfc4966 rfc4995 rfc4996 rfc5006 rfc5063 rfc5072 rfc5095 rfc5114 rfc5120 rfc5175 rfc5308 rfc5340 rfc5350 rfc5555 rfc5946 rfc6145 IPv6Ready Logo Program DoD IPv6 6

7 STRUKTUR UND PROFIL Knoten Endsystem Router Sicherheitsgeräte Paketfilter Application-Layer-Gateway VPN-Krypto-Gateway Infrastruktur-Server DNS, DHCP, SNMP Management Enterprise Switch 7

8 8

9 MIGRATION Ziel der Migration Dienste & Netze, Teil- oder Vollmigration, Dual-Stack oder IPv6-only Erfassung IT-Infrastruktur, Komponenten, Hardware, Software Reihenfolge Technische und organisatorische Abhängigkeiten (Verträge) Lebenszyklen (Life-Cycles) / Beschaffung (Abschreibung) Planung Konzept, Beteiligte, Prüfung, Abnahme Testbed, Dokumentation, Schulung Umsetzung Migrationsbaustein 9

10 MIGRATION 10

11 MIGRATION Start WAN-Zugang IPv6-fähig? ja IPv6 Adresskonzept vorhaden? ja Basisinfrastruktur migriert? ja Basisdienste migriert? ja Host Dual-Stack Betrieb? ja Anwendungen Dual-Stack Betrieb? ja Ende nein nein nein nein nein nein WAN-Zugang migrieren IPv6 Adresskonzept erstellen Router, Switches, FW usw. konfigurieren Dienste (DNS und NTP) migrieren IPv6 auf Host konfigurieren Anwendung für Dual-Stack Betrieb konfigurieren 11

12 DOKUMENTE Profil, Leitfaden, Folien, etc. Abteilung_BIT/Leistungen/IT_Beratungsleistungen/ IPv6/best_practice/bestpractice_node.html 12

13 IPV6 SCHWERPUNKTE Übergangstechnologien Tunnel Dual Stack Protokollumsetzung DS-Lite 6in4 6to4 SIIT XLAT Framework NAT64 Teredo 6rd Übergangstechnologien XLAT XLAT ISATAP TunnelBroker Proxy / ALG weitere Mechanismen VLANs NAT CGN Terminalserver-Zugriff 13

eingesetzter Technologie für Anwendungen der Kunden Rückwirkungen von

14 SICHTWEISEN DER AKTEURE Provider SoHo ÖV Auswirkungen von Übergangstechnologien auf Kunden des Providers (ISP) Nutzbarkeit eingesetzter Technologie für Anwendungen der Kunden Rückwirkungen von Kunden auf ISP IPv4- / IPv6-Verkehrsanteile beeinflussen direkt die Kosten des ISP 14

15 VERSCHIEDENE ANSÄTZE FÜR DEN ÜBERGANG Dual Stack ( IPv4 und IPv6 parallel ) Geräte sind über beide Protokolle gleichzeitig erreichbar, automatische / konfigurierbare Auswahl physikalische Trennung oder Nutzung virtueller LANs Tunnel ( Verbindung von IPv6-Inseln ) Anbindung einzelner IPv4- bzw. IPv6-Inseln Verbindung zwischen mehreren IPv4- bzw. mehreren IPv6-Inseln Protokollumsetzung auf Netzwerkebene: zwischen IPv4-only- und IPv6-only auf höheren Ebenen: durch Application Layer Gateways (ALGs) 15

Klienten über Gateways ins IPv6-Internet Gateway im Internet wird aus einem

16 6TO4 MECHANISMUS ÖV ISP Netzwerk IPv6 und IPv4 IPv6 Internet IPv6 und IPv4 IPv6 über IPv4 Tunnel IPv4 IPv4 Internet GW Verbindung Dual-Stack-fähiger Klienten über Gateways ins IPv6-Internet Gateway im Internet wird aus einem öffentlichen Pool gewählt keine IPv6-Unterstützung beim Provider (ISP) notwendig 16

17 6TO4 DETAILS RFC 3056 Connection of IPv6 Domains via IPv4 Clouds Host oder Router baut Tunnel zu öffentlichem Gateway auf Adressierung: Öffentliche IPv4-Adresse wird auf /48 IPv6-Netz abgebildet IPv6-Adresse mit Präfix 2002 und hexadezimal notierter IPv4-Adresse Transport: IPv6-Paket wird über Tunnel an 6to4-Relay geschickt Rückweg nicht zwingend über das gleiche Relay (öffentliche IPv4-Adr.) Sicherheitshinweise in RFC 3964 Security Considerations for 6to4 17

6TO4 BEWERTUNG Sicherheit bei 6to4 als kritisch zu betrachten, da Gateway im Internet zufällig ausgewählt wird und daher nicht unter Kontrolle der ÖV ist

bei großer Entfernung von ÖV 6to4 ist anfällig für Angriffe eingehender Verkehr wird aufgrund des Protokolls von beliebigen 6to4-Gateways im Internet akzeptiert

18 6TO4 BEWERTUNG Sicherheit bei 6to4 als kritisch zu betrachten, da Gateway im Internet zufällig ausgewählt wird und daher nicht unter Kontrolle der ÖV ist schlechte Performance für IPv6 möglich, je nach Auswahl des Gateways, z. B. bei großer Entfernung von ÖV 6to4 ist anfällig für Angriffe eingehender Verkehr wird aufgrund des Protokolls von beliebigen 6to4-Gateways im Internet akzeptiert Notlösung, wenn keine andere (Tunnel-)Technik einen notwendigen Zugang zum IPv6-Internet ermöglicht Da 6to4 hier ein Sicherheitsrisiko darstellt: keinesfalls nutzen! leitet 6to4-(Tunnel-)Verkehr üblicherweise durch, verwenden die Technik aber selbst nicht 18

19 BEWERTUNGEN & EMPFEHLUNGEN SoHo ÖV ISP Dual Stack in4 ( Tunnelbroker) + Teredo / 6to4 - (Sicherheit) -- (Sicherheit) ISATAP - DS-Lite / CGN + (über ISP) - (über ISP) + (spart IPv4) 6rd + (über ISP) - (über ISP) + (ermöglicht IPv6) ÖV-Tunnelbroker + + (Nutzer/Anbieter) (ggf. Dienstanbieter) NAT64 & DNS64 - (Aufwand) + XLAT464 + (über ISP) - (über ISP) + (für neue ISP) Proxy / ALG (ggf. Dienstanbieter) Reverse Proxy ++ (ggf. Dienstanbieter) L2-VLAN - SIIT

20 IPV6 ZWISCHENLÖSUNGEN Dual-Stack Tore Anderson, Redpill Linpro, V6 World Congress, Paris, März 2015: "Avoid dual-stack (with or without RFC1918) Dual work, dual complexity, dual faults, dual monitoring,..." SIIT-DC Stateless IP / ICMP Translation for Data Centres RFCs 6052, RFC 6145, draft-ietf-v6ops-siit-dc 20

21 SZENARIO: IPV6-ONLY FÜR NEUE NETZE Idee: Beim Aufbau ganz neuer Netze nur noch IPv6 einsetzen Netze werden einfacher, kein Dual-Stack mehr Problem: Zugriff auf alte IPv4-Systeme z. B. mittels Proxy oder NAT64 Proxy IPv4 IPv6 (auch Dual Stack) DNS IPv6-only DNS64 NAT64 IPv4 21

22 IPV6 INTERNET OF THINGS Übersicht Klassifikation Bewertung Übersicht Protokolle Übersicht Standards Übersicht Player Ebenen Heim, Öffentlichkeit, Industrie Strukturieren Strukturkriterien Bewertung Bewertungskriterien Definition Anwendungsklassen Beispielkonfigurationen 22

23 Landesnetz Bundesland-B IPV6 ROUTING SIMULATION Landesnetz Bundesland-A ****:*02c::/32 Landesrechenzentrum Bundesland-A DR1 ****:*01a::/32 d1d2::d1 DOI Deutschland-Online Infrastruktur DR4 d4d5::d4 d3d4::d4 Tourismus und Freizeit ****:*02c:c000::/34 b3e3::b3 BR3 b3e3::e3 d1e3::e3 c4e3::e3 ER3 d1e3::d1 c4e3::c4 d3d4::d3 d2d3::d3 DR3 d1d2::d2 DR2 d2d3::d2 d3e1::d3 d3e1::e1 b3::b3 e3e4::e3 e1e2::e1 ER1 b1e1::e1 ab1::b1 b1e1::b1 c3c4::c4 CR4 CR1 BR1 ISP1 e1e2::e2 Webserver Mail Server c3c4::c3 CR3 CR2 ER2 b1e2::e2 ****:*008:2222::/48 c2c3::c3 c2c3::c2 c1c2::c2 c1c2::c1 c2c6::c2 b1e2::b1 c1e2::c1 bb1::b1 c1e2::e2 c3c7::c7 BR4 ISP3 Internet c2f1::c2 b4::b4 e3e4::e4 ****:*008::/32 Gesundheit und Soziales b4e4::b4 b4e4::e4 ER4 c3c7::c7 c2f1::f1 c8e4::e4 c8e4::c8 c7c8::c8 CR8 CR7 c7f1::c7 c7f1::f1 FR1 c7c8::c7 Webserver ****:*008:1111::/48 Bürgermeisterbüro Behördenmitarbeiter im Ausland Internet im Ausland Tier 1 Router c9f1::f1 c6f1::f1 2001:db81:1111::/48 ISP4 c2c6::c6 ISP2 a1b::a1 a1b6::a1 AR1 a1b6::b6 BR5 c9f1::c9 CR9 c6f1::c6 b5::b5 b2c5::c5 CR5 b2c5::b2 a1b2::b2 aa1::a1 BR2 b2b6::b2 a1b2::a1 b2b6::b6 BR6 Bürger im Ausland b5ca::b5 b5ca::ca c9ca::ca CR10 c9ca::c9 2001:db8::/32 CR6 c5c6::c6 c5c6::c5 Kleine Kommune in Bundesland-B d4d5::d5 DR5 b6d5::d5 b6d5::b6 23

24 IPV6 KONTAKT Wie alles begann... Kontakt: Uwe Holzmann-Kaiser Fraunhofer FOKUS Kontakt: Tahar Schaa Cassini 24

25 IPV6 MAN KOMMT NICHT DARAN VORBEI Rheinische Gesetzgebung Anti-Stress-Gesetz: Mer muss sisch och jet jünne könne! 25

Ähnliche Dokumente

GRUNDLEGENDE EINFÜHRUNGSKONZEPTE FÜR IPV6

Matthias Heyde / Fraunhofer FOKUS GRUNDLEGENDE EINFÜHRUNGSKONZEPTE FÜR IPV6 IPV6, JA GERN ABER WIE? (UND WIE NICHT) Carsten Schmoll, 24. November 2014 ANNO 2012 2 KLEINE FRAGE VORAB IPv6 mit / statt /