O Reillys Taschenbibliothek. DNS & BIND im IPv6. kurz & gut. Cricket Liu O REILLY. Deutsche Übersetzung von Kathrin Lichtenberg

Transkript

1 O Reillys Taschenbibliothek DNS & BIND im IPv6 kurz & gut O REILLY Cricket Liu Deutsche Übersetzung von Kathrin Lichtenberg

2 2001:db8:dead:beef:: die ersten 64 Bits einer IPv6-Adresse als 2001:db8:dead:beef und die verbleibenden 64 als Nullen an. Sie können :: auch am Anfang einer IPv6-Adresse angeben, um ein Suffix festzulegen. So wird zum Beispiel die IPv6-Loopback-Adresse im Allgemeinen so geschrieben: ::1 oder als 127 Bits aus Nullen, gefolgt von einem einzigen Eins-Bit. Sie können :: sogar in der Mitte einer Adresse als Abkürzung für fortlaufende Gruppen aus Nullen verwenden: 2001:db8:dead:beef::1 Die Abkürzung :: dürfen Sie in einer Adresse nur einmal verwenden, da sie ansonsten mehrdeutig wird. IPv6-Präfixe werden in einem Format angegeben, das der CIDR-Notation von IPv4 ähnelt. So viele Bits, wie signifikant sind, werden in der normalen IPv6-Notation ausgedrückt, gefolgt von einem Schrägstrich und dem Dezimalwert, der besagt, wie viele signifikante Bits es genau gibt. Die folgenden vier Präfixspezifikationen sind also äquivalent (obwohl offensichtlich nicht gleichermaßen knapp): 2001:db8:dead:beef:0000:00f1:0000:0000/ :db8:dead:beef:0:f1:0:0/ :db8:dead:beef::f1:0:0/ :db8:dead:beef:0:f1::/96 IPv6 ist insofern vergleichbar zu IPv4, als dass es Netzwerkmasken variabler Länge unterstützt und dass die Adressen in Netzwerk- und Hostteile aufgeteilt werden. Allerdings gibt es in IPv6 empfohlene Netzwerkmasken für Netzwerke und Subnetze: Die ersten 48 Bits einer IPv6-Adresse sollten eine bestimmte Endsite identifizieren, und ein 64-Bit-Präfix sollte eines von bis zu Subnetzwerken in der Site identifi- 4 Kapitel 1: DNS und IPv6

3 zieren, die durch das 48-Bit-»Eltern«-Präfix gekennzeichnet ist. Momentan haben alle globalen IPv6-Unicast-Adressen im Internet (Adressen, die eindeutig und global routbar sind) Präfixe, die mit dem Binärwert 001 beginnen (äquivalent zu 2000::/3). Diese werden von regionalen Internet-Registrierungsstellen (Regional Internet Registry, RIR) und Internet- Service-Providern zugewiesen. Das Präfix selbst kann hierarchisch sein, mit einem RIR, der verantwortlich für die Zuordnung höherer Bits zu verschiedenen ISPs ist, und ISPs, die verantwortlich für die Zuordnung der niedrigsten Bits der Präfixe zu ihren jeweiligen Kunden sind. Nach dem Endsite-Präfix enthalten IPv6-Unicast-Adressen typischerweise weitere 16 Bits, die das spezielle Subnetzwerk innerhalb einer Endsite identifizieren. Diese Bits werden Subnetz-ID genannt. Die verbleibenden Bits der Adresse kennzeichnen eine spezielle Netzwerkschnittstelle und werden als Interface-ID bezeichnet. Hier ist ein Diagramm, das zeigt, wie diese Teile zusammenpassen: 48 Bits 16 Bits 64 Bits Präfix Subnetz-ID Interface-ID / \ \ 3Bits 9Bits 12-20Bits 16-24Bits IETF IANA RIR RIR oder ISP Wie Sie im Diagramm sehen können, besteht das 48-Bit- Präfix aus mehreren Teilen. Wie bereits erwähnt wurde, werden die ersten drei Bits von der IETF zugewiesen, um den Global Unicast Space zu kennzeichnen. Die nächsten neun Bits werden von der IANA einer speziellen RIR zuge- Die ABCs der IPv6-Adressen 5

4 wiesen (zum Beispiel ist 2620::/12 der ARIN zugewiesen, der American Registry for Internet Numbers). Die RIR weist die Präfixe, die von 24 bis 48 reichen, dann den ISPs und Endbenutzern zu (die RIR kontrolliert zwischen 12 und 36 Bits). Schließlich kann der ISP in seinem Adressraum die Bits nach seinem RIR-zugewiesenen Präfix bis zur /48 den einzelnen Kundensites zuweisen. Zufälligerweise hat Movie University von unserem ISP gerade eine IPv6-Anbindung erhalten. Der ISP wies uns ein Größe-/ 48-IPv6-Netzwerk zu, 2001:db8:cafe::/48, das wir anhand des beschriebenen Schemas in Größe-/64-Subnetzwerke zerlegen. Worum handelt es sich bei dieser fe80::- Adresse? Falls Sie einmal mit ifconfig, netstat oder dergleichen in einem Unix- oder Linux-System herumstochern, werden Sie feststellen, dass den Netzwerkschnittstellen Ihres Hosts bereits IPv6-Adressen zugewiesen wurden, die mit dem Quartett»fe80«beginnen. Dabei handelt es sich um Link-lokale Adressen, die automatisch aus den Hardwareadressen der Schnittstellen abgeleitet werden. Der Linklokale Bereich ist wichtig Sie können auf diese Adressen nur aus dem lokalen Subnetz zugreifen, dürfen sie also nicht in der Delegierung, in masters-unteranweisungen und dergleichen benutzen. Verwenden Sie stattdessen globale Unicast-Adressen, die dem Host zugewiesen wurden. Vermutlich sollten Sie Link-lokale Adressen nicht einmal in der Konfiguration von Resolvern im gleichen Subnetz benutzen, wenn die Wahrscheinlichkeit besteht, dass diese Resolver beweglich sind (d.h., falls sie sich auf Laptops oder anderen Mobilgeräten befinden). 6 Kapitel 1: DNS und IPv6

5 IPv6-Forward- und Reverse-Mapping Es ist ganz klar, dass der A-Record von DNS für die 128-Bit- Adressen von IPv6 nicht mehr ausreicht; die Record-spezifischen Daten eines A-Records sind eine 32-Bit-Adresse im Dotted-Oktett-Format. Die IETF hat eine einfache Lösung für dieses Problem vorgeschlagen und in RFC 1886 beschrieben. Es wurde eine neue Art von Adress-Record namens AAAA verwendet, um die 128 Bit lange IPv6-Adresse zu speichern. Außerdem wurde eine neue IPv6-Reverse-Mapping-Domain eingeführt, nämlich ip6.int. Diese Lösung war einfach genug, um sie in BIND 4 zu implementieren. Leider gefiel diese einfache Lösung nicht allen, und eine viel kompliziertere wurde vorgeschlagen. Diese Lösung führte die neuen A6- und DNAME-Records ein und verlangte eine komplette Überarbeitung des BIND-Nameservers. Nach vielen erbitterten Debatten entschied die IETF schließlich, dass das neue A6/DNAME-Schema zu viel Overhead mit sich brachte, fehleranfällig war und sein Nutzen nicht bewiesen worden war. Zumindest zeitweise wurde der RFC, der die A6-Records beschreibt, in den Experimentalstatus versetzt, von der Benutzung von DNAME-Records in Reverse-Mapping-Zonen abgeraten und der alte RFC 1886 wieder ausgegraben. Alles Alte ist irgendwann wieder neu. Im Moment stellt der AAAA-Record die Methode für den Umgang mit dem IPv6-Forward-Mapping dar. Die Benutzung von ip6.int wird jedoch vor allem aus politischen Gründen abgelehnt; es wurde durch ip6.arpa ersetzt. IPv6-Forward- und Reverse-Mapping 7

6 AAAA und ip6.arpa Der AAAA-Record (ausgesprochen:»quad A«, nicht»ahh!«), beschrieben in RFC 1886, ist ein einfacher Adress-Record mit Record-spezifischen Daten, die viermal so lang sind wie in einem A-Record, daher die vier As im Record-Typ. Der AAAA- Record enthält als Record-spezifische Daten das textuelle Format einer IPv6-Adresse, und zwar exakt so, wie zuvor beschrieben. Sie würden also zum Beispiel solche AAAA-Records sehen: ipv6-host IN AAAA 2001:db8:1:2:3:4:567:89ab Wie Sie sehen können, ist es völlig in Ordnung, wenn man in der IPv6-Adresse Kürzel benutzt, das heißt, man kann führende Nullen in Quartetts fallen lassen und aufeinanderfolgende Quartetts, die nur aus Nullen bestehen, durch :: ersetzen. RFC 1886 hat außerdem ip6.int etabliert, das nun durch ip6.arpa ersetzt wurde, einen neuen Reverse-Mapping-Namensraum für IPv6-Adressen. Jede Ebene an Subdomains unter ip6.arpa repräsentiert vier Bits der 128-Bit-Adresse, kodiert als Hexadezimalziffer, genau wie in den Record-spezifischen Daten des AAAA-Records. Die niedrigsten (am wenigsten wichtigen) Bits stehen ganz am linken Ende des Domainnamens. Im Gegensatz zum Format der IPv6-Adressen in AAAA-Records ist es nicht erlaubt, führende Nullen wegzulassen, so dass es in einem Domainnamen, der einer vollständigen IPv6-Adresse entspricht, immer 32 Hexziffern und 32 Subdomain-Ebenen unter ip6.arpa gibt. Der Domainname, der der Adresse im vorigen Beispiel entspricht, lautet: b.a b.d.0. \ ip6.arpa. 8 Kapitel 1: DNS und IPv6