IPv6 Migration. Strategie zur erfolgreichen Migration. Johannes Ernst. Marktplatz Furtwangen / johannes.ernst@hs-furtwangen.

Transkript

1 IPv6 Migration Strategie zur erfolgreichen Migration Johannes Ernst Marktplatz Furtwangen / johannes.ernst@hs-furtwangen.de Semester Seminararbeit Netzprojekt 1 Herr Kramer SS

2

3 Zusammenfassung i Zusammenfassung Das war noch eine schöne Zeit: In den Anfängen des Internets und der Einführung der IP-Adressen hatte sich noch niemand Gedanken um die Größe des IP-Bereiches gemacht. Eine Zahl von 2 32, das entspricht Adressen, war zu dieser Zeit eine utopische Größenordnung, bei der man gedacht hatte, diese Zahl würde man nie erreichen. Aus diesem Grund vergab man großzügig sehr große Netze etwa an Universitäten ohne dabei auf den Bedarf zu achten. Im Jahre 2011, also in diesem Jahr, gibt es keine freien IP-Adressen mehr. Alle Adressen wurden an die regionalen Verwalter verteilt. Der Umstieg auf IP-Adressen der Version 6 ist zwingend nötig. In dieser Arbeit stelle ich Ihnen die wichtigsten Punkte vor, auf die man sein Augenmerk legen muss, um die größten Untiefen im Gewässer des IP-Protokolls der Version 6 zu umschiffen.

4

5 Inhaltsverzeichnis iii Inhaltsverzeichnis Zusammenfassung Inhaltsverzeichnis Abkürzungsverzeichnis i iii iv 1 Einleitung Was ist IPv6? Die Migrationsstrategie Dual Stack Hardware Migration Backbone Router Anbindung Infrastruktur Geräte Software Fazit 9 Literaturverzeichnis 11 Eidesstattliche Erklärung 13

6

7 Abkürzungsverzeichnis v Abkürzungsverzeichnis NAT Network Address Translation IP Internet Protocol IPv4 Internet Protocol Version 4 IPv6 Internet Protocol Version 6 QoS Quality of Service DHCP Dynamic Host Configuration Protocol VLAN Virtual Local Area Network OSPF Open Shortest Path First OSI Open Systems Interconnection BGP Border Gateway Protocol WLAN Wireless Local Area Network

8

9 1. Einleitung 1 1 Einleitung Wir haben ein großes Problem: Der Vorrat an IPv4-Adressen ist im Jahre 2011 erschöpft. In Asien gibt es so gut wie keine freien IPv4-Netze mehr. Die Anbieter für Internetverbindungen schlagen sich dort mit der NAT-Technologie herum, um doch die Masse an Menschen, die dort leben, anzubinden. NAT ist jedoch keine Lösung, kostet es erstens Performance auf den Routern und bietet zweitens keine direkte Kommunikation mit den Systemen der Nutzer, da für viele Nutzer nur eine externe IP-Adresse zur Verfügung steht. Wir in Europa haben etwas Glück, die Ripe (der Verwalter der IP-Adressen in Europa) ist sehr streng mit der Vergabe von Adressen. Auch zieht die Ripe die Blöcke von Adressen wieder ein, wenn diese nicht mehr benötigt werden. Der Hauptgrund, warum wir in Europa und in den USA noch Adressen haben, ist erst mal, dass wir uns zu den Anfängen erheblich viele Adressen gesichert haben. Auch steigt bei uns in den alten Ländern die Einwohnerzahl nicht so exponentiell an. Wir haben also bis jetzt noch sehr viel Glück, aber das Ende ist auch bei uns in Sicht. Die Ripe wird nur noch bis Ende dieses Jahres Adressen verteilen können, dann können auch unsere Provider keine Adressen mehr beziehen. Der Mensch und die Unternehmen scheuen die Umstellung, auch alles, was Geld kostet, deshalb beginnt nun der Handel mit freien Netzen - was nach der ICANN eigentlich verboten ist, darüber sieht man derzeit aber einfach hinweg. Den größten Deal hat in letzter Zeit Microsoft abgeschlossen, das aus der Konkursmasse von Nortel die übrigen Netze gekauft hat. Aber alle Maßnahmen werden ein Ende haben: Sobald wir mehr als 2 32 Geräte mit öffentlichen Adressen versorgen wollen, müssen wir uns etwas überlegen. Die Alternative steht in den Startlöchern - welche genau das ist und wie die Migration durchgeführt werden soll, erfahren Sie in den nächsten Abschnitten. 1.1 Was ist IPv6? Das IP-Protokoll der Version 6 ist der Nachfolger der Version 4. Das Internet-Protokoll ist die logische Basis unserer Netze zur Kommunikation zwischen einzelnen Geräten im Netz. Dabei wird das Protokoll zur Kommunikation zwischen den Netzen genutzt, in den Netzen werden nach dem ISO/OSI-Modell die Layer 1 und 2 verwendet. Das IP-Protokoll definiert somit die logischen Adressen der Geräte in einer physischen

10 2 1. Einleitung Struktur. Dabei muss jedes Gerät, das zur Kommunikation erreichbar sein soll, eine eindeutige Adresse erhalten. Hier bietet v4 232, sprich Adressen und somit die maximale Anzahl der Geräte, die adressiert werden können. IPv6 setzt hier ordentlich einen drauf, es bietet einen Adressraum von 2 128, also 128 Bit Adressen, was die schiere Anzahl von 340 Sextillionen Adressen bedeutet, die wir wohl in naher Zukunft nicht belegen können. Es ist aber nicht nur der Adressen-Bereich, den IPv6 ausmacht, es bietet erweiterte Routing-Funktionalitäten, direktes QoS im IP- Protokoll sowie das automatische Aushandeln von Adressen im Netz. Dabei wird kein DHCP-Server mehr benötigt. Da die IP-Adresse aus 128 Bit besteht, ist deren Aussehen nicht identisch mit dem der alten Adressen. Sie werden in HEX-Zahlen formatiert und immer in 3-Byte-Bündel getrennt. Eine Adresse wird also folgend aussehen: 2001:0db8:0000:08d3:0000:8a2e:0070:7344. Dabei können mehrere Null und Anfangsnullen entfernt bzw. mit doppelt Punkten codiert werden. Somit verkürzt sich die Adresse, wird jedoch immer noch nicht so einfach zu merken sein wie eine IPv4-Adresse. Jetzt wissen wir, was eine IPv6-Adresse ist, doch wie migrieren wir nun von einem Nativ-IPv4-Netz zu IPv6? Das werden Sie in den nächsten Kapiteln erfahren.[doc04]

11 2. Die Migrationsstrategie 3 2 Die Migrationsstrategie Wir haben uns in der Firma durchgesetzt und alle Nutzer vom Umstieg auf bzw. der Migration zu IPv6 überzeugt. Vor dem Umstieg muss man jedoch noch einige wichtige Optionen klären, die zur Verfügung stehen. Denn ein überlegter und klarer Umstieg mit Vorbereitung und Planung des Prozesses verhindert viele Probleme bei der Migration zu IPv6. Beim Wechsel zu IPv6 kann man sich eine sehr tiefe Grube graben, aus der man nur noch schwer heraus kommt - und somit an der Migration scheitert. 2.1 Dual Stack Als erstes muss man entscheiden, welche Topologie man möchte. Das bedeutet, ob man von reinem nativen IPv4 auf natives IPv6 migriert, oder ob doch eine Zwischenlösung nutzt, die beides bietet: IPv4- und IPv6-Adressen. Diese Topologie nennt man den Dual Stack-Betrieb, bei dem die Geräte eine IPv4- und eine IPv6- Adresse erhalten und somit beide logischen Schichten der Protokolle erreichen. Damit kann man auch direkt beide Netze erreichen, ohne zwischen den beiden System umzusetzen. Beim reinen Betrieb von IPv6-Adressen lässt man das gesamte IPv4 Netz weg und verteilt nur noch Adressen der Version 6. Dienste, die nur IPv4 anbieten, sind dann nicht mehr erreichbar und laufen ins Leere, sollte nicht ein Umsetzer, sprich Tunnel zwischen beiden Varianten vermitteln. Zum reinen Betrieb spricht die Homogenität, bei der nur ein Internet-Protokoll verarbeitet und verwaltet werden muss, aber eben die Dienste über IPv4 nicht erreichbar sind. Ich rate allen von nativem IPv6 ab, ein reiner Betrieb dieser Technologie ist derzeit mit sehr schweren Einschränkungen verbunden und muss mit viel Schweiß und Blut bezahlt werden. Der Betrieb im Dual Stack-Modus ist derzeit die einzige Möglichkeit, alle Dienste zu nutzen und sich etwas Arbeit und Stress zu sparen. Insbesondere die Software auf den Systemen macht immer noch einen Strich durch die Rechnung, denn meist scheitert daran eine erfolgreiche Migration. Diese Klippe können wir dann jedoch mit dem Dual Stack-Betrieb umschiffen, in dem wir die nötigen Verbindungen noch auf IPv4 fahren. Ich gehe jedoch in den weiteren Kapiteln genau auf diese Punkte ein.

12 4 2. Die Migrationsstrategie 2.2 Hardware Migration Ein großer und wichtiger Punkt der Migration ist die Hardware. Die Hardware muss einen IPv6-Support bereitstellen, sonst kann es zu großen Problemen bei der Verarbeitung der Daten kommen. Die Implementierung muss des öfteren auch auf Grund der Performance per Hardware geschehen, etwa bei Routern im Core-Bereich. Aber welche weiteren Eigenschaften muss man beachten? Dabei gibt es eine Unterteilung in drei Bereiche: Backbone, der Access Infrastruktur und den Client Hardware im Netzwerk Backbone Das Grundgerüst des größeren Netzwerkes ist die Backbone Infrastruktur. Sie bildet das Gerippe des Netzwerkes, das zur Verteilung der Daten im gesamten System zuständig ist. Das ist die erste Gruppe von Hardware, die zur Migration auf IPv6 umgestellt werden muss. Denn um in unteren Ebenen IPv6 zur Verfügung zu stellen, müssen die Verkehrswege der Clients damit ausgerüstet sein. Es ist vergleichbar mit einem großen Auto: Ist die Landstraße zwar groß genug, jedoch die Autobahnen nicht, kann das Fahrzeug trotzdem nicht über weite Strecken fahren, da die Infrastruktur fehlt. Genau so ist es auch hier, der erste Weg muss es sein, die Backbone mit IPv6-fähiger Hardware auszurüsten. Entweder geschieht das per Firmware-Update, was eine kostengünstige Umrüstung ist, oder man muss die Hardware tauschen, da dafür keine Updates zur Verfügung stehen etwa durch veraltete Hardware oder die Updatepolitik der Hersteller. Alle großen Hersteller bieten IPv6-fähige Netzwerkkomponenten an. Die Hardware muss von der Wurzel aus ausgerüstet werden, um Schwankungen im Bereich der Netzfähigkeit im Core-Netz zu verhindern, etwa durch Überlastung von Netzknoten bei den Umstellungen. Bei Hardwaretausch werden je nach Redundanzstrukturen Ausfälle des Netzes nötig, wie bei Austausch oder Upgrade der Core-Switches. Dabei sollte man die verwendeten Hardware-Systeme in einer Testumgebung zur Verfügung stellen und eine Migration des Netzes simulieren, in dem man bei den Schritten der Umstellung auf Probleme achtet. Ich hatte zum Beispiel bei einem Versuchsaufbau mit einem HP ProCurve Switch Probleme mit der Vergabe von IP-Adressen der Version 6 des DHCP-Servers. Dieser hat nach einer gewissen Zeit diese Pakete geschluckt und nicht mehr verteilt. In den ersten Minuten nach einem Restart waren die Funktionalitäten geben.[6de08] Sobald die Backbone umgestellt wurde, sollte man einen Lasttest fahren und gegebenenfalls das Netz für einige Wochen beobachten, ob sich nicht doch Probleme bei der Migration zeigen. Sollte das Netz über längere Zeit stabil sein, kann man beginnen, die Migration weiterzuführen. Dabei werden alle an der Backbone angeschlossen Access Switches auf IPv6 umgestellt. Die Konfiguration von etwa VLANs funktioniert simultan wie mit IPv4. Es werden lediglich auf den Interfaces der Switche noch eine IPv6-

13 2. Die Migrationsstrategie 5 sowie eine IPv4-Adresse angelegt. Bei WLAN-Accesspoints und anderen Stationen ist eine Umstellung nicht zwingend möglich und man muss diese auch nicht austauschen, wenn Sie keine IPv6-Funktionalität kennen. Denn diese Stationen und Geräte arbeiten alle auf Layer 2 Ebene, IPv6 ist auf Layer 3 Ebene - und somit sind die Layer 2 transparent für diese Schicht. Lediglich Webinterfaces etwa können dann nicht per IPv6 erreicht werden.[ac06] Router Sobald das Hauptnetzwerk IPv6-fähig ist, muss man sich überlegen, in wie weit man Subnetze und Routing benötigt. Sollte das Netz in mehrere VLANs aufgeteilt werden, ist es auch sehr wichtig, ein korrektes Routing zu fahren. Alle IPv6-fähigen Layer 3 Switche, wie auch die Router verfügen über IPv6-Routing-Funktionalität, sehr ähnlich mit der des IPv4-Standards, nur dass hier die Adresse und Subnetze anders aufgebaut sind. Dabei führen wir auch die bekannten IPv6-Routing-Tabellen, und es gibt Erweiterungen für OSPF und BGP. Wichtig dabei ist die Entscheidung, wie IP-Adressen verteilt werden sollen. In der Regel wird das DHCP sein, IPv6 bietet jedoch auch die Autokonfiguration, bei dem der Switch an alle Clients die IP-Adressen verteilt. Bei allen Konfigurationen muss auf den Switches Routing Assignments aktiviert werden, damit die Switche den Clients die zur Verfügung stehenden Routen mitteilen können. Dabei spart man sich erheblichen Konfigurationsbedarf. Bei den Routern direkt muss nur die IPv6-Routing-Funktionalität aktiviert werden. Danach routen auch diese IPv6-Pakete zwischen den Netzen Anbindung Sobald unser Netzwerk auf IPv6 umgerüstet ist, müssen wir uns um die Anbindung nach extern kümmern. Wie wollen ja mit unserem Dual Stack-Netzwerk auch Webseiten und Dienste über IPv6 erreichen. Dazu muss die Anbindung eine IPv6-Verbindung ermöglichen. Einige Betreiber bieten auch zur IPv4-Connectivity eine IPv6-Connectivity an. Dabei muss nur noch die Konfiguration am Entry Gateway vorgenommen werden, damit die Daten des Anbieters übernommen werden. In der Regel reicht es, wenn die Netzdaten dazu im System eingetragen werden und dann die IPv6 Routing-Funktion aktiviert wird. Dann müssen keine weiteren Konfigurationen angelegt werden, wie haben dann über einen Exit Point beide Verbindungsarten aufgebaut. Sollte unser Provider keine IPv6-Connectivity zur Verfügung stellen, gibt es die Möglichkeit, einen Tunnel zu nutzen. Es gibt Anbieter, die kostenlose Tunnels über IPv4 anbieten. Dabei tunneln sie die IPv6-Pakete über eine IPv4-Kapselung der IPv6-Daten über die Anbindung. Es wird also ein Tunnel eingerichtet, der auf unserem Router endet und vom Anbieter ausgeht. Treffen beim Anbieter IPv6 Daten ein, die zu unserem

14 6 2. Die Migrationsstrategie Subnetz gelangen sollen, werden Sie dort in IPv4-Pakete gekapselt und über das normale IPv4 Netz übertragen. Wenn sie am Ende unseres Tunnels eintreffen, werden sie wieder entpackt, also wieder in IPv6-Daten umgesetzt und in unser Netzwerk an den Empfänger weitergeleitet. Einige Kritikpunkte sind bei der Tunnel-Lösung jedoch zu besprechen. Die Latenz kann sich dramatisch erhöhen, etwa wenn der Tunnel-Anbieter nur Verbindungsserver im Ausland besitzt, denn dann sind weite Strecken zurückzulegen und die Latenz steigt an. Ein weiterer Punkt wäre die Instabilität der Tunnels: Bei höheren Latenzen und eingesetzter Tunnel-Technik kann es öfters zu Unterbrechungen kommen. Bei diesen Unterbrechungen ist dann unser IPv6-Netz nicht von extern erreichbar, und auch wir können keine IPv6-Daten entfernen. Eine native IPv6- Anbindung ist immer einer Tunnel-Lösung vorzuziehen Infrastruktur Geräte Sobald unser Netz IPv6-fähig ist und wir ein Anbindung dafür realisiert haben, können wir uns mit den anderen Geräten im Netzwerk beschäftigen. Wir wollen ja auch eine Integration der Systeme in IPv6. Dazu sollten erst alle Systeme wie Drucker oder ähnliches integriert werden. Das hat nämlich den Grund, dass wir ja mit unseren Clients auch diese Dienste per IPv6 ansprechen wollen. Wir stellen also erst die Systeme wie Drucker, Server und andere Geräte um. Sollte ein Gerät kein IPv6 unterstützen wie etwa der Druckerserver im Drucker, kann dieser immer noch per IPv4 erreicht werden. Da wir noch beide Varianten anbieten, gibt es hier kein Problem. Nach der Umstellung ist es angebracht, die letzten Geräte in unserem Netzwerk umzustellen. Das wären die Client-Systeme. Bei den heutigen Systemen muss dazu nur noch auf den Rechnern der IPv6-Stack aktiviert werden. Bei allen aktuellen Systemen sind diese schon aktiviert und können einfach alle Daten per DHCP oder Autokonfiguration beziehen. 2.3 Software Der wohl wichtigste Punkt bei der Migration in eine IPv6-Welt ist die Software. So gut wie alle neuen Geräte im Netzwerk unterstützen nun mit der Auslieferung den IPv6-Stack und können schnell eingebunden werden. Jedoch benötigen wir für die gesamten Dienste die Software, die ja auch die Dienstleistungen zur Verfügung stellt. Daran scheitert es leider immer noch, obwohl die Zeit recht knapp bemessen ist und eine Anpassung bald nötig wird. In unserem Testaufbau war die Einbindung der Geräte das einfachste, die passende Software und Dienste auf den Systemen und Switches zu aktivieren und effektiv mit IPv6 zu nutzen scheiterte jedoch oft. Entweder nehmen Systeme die Einträge für die Konfigurationen per radvd oder DHCP nicht an und erhalten

15 2. Die Migrationsstrategie 7 so keinen Nameserver wie etwa das MAC OS in der aktuellen Version, oder der Switch verliert die DHCP-Pakete auf dem Switch. Hier ist die Software meist noch sehr rückständig, kann entweder gar kein IPv6 oder nur bedingt oder lediglich mit IPv4 in der Kombination. So ergab ein Test der Einbindung von Windows- und Ubuntu-Systemen in einen Active Directory, dass nur mit der Kombination aus IPv4 mit IPv6 eine Verbindung möglich ist, eine Integration mit IPv6 dagegen nicht. Der Faktor Software ist hier der Punkt, an dem meist eine Migration scheitert. Der Wandel zum Support beider Systeme hat erst angefangen und ist nicht so schnell getan. In unserem Szenario gab es erhebliche Probleme, die nur auf die Software zurückzuführen waren. Die Integration hat erst angefangen und es werden Monat für Monat nur wenige Funktionalitäten von IPv6 eingeführt. Standard-Dienste wie etwa ein Apache-Server, der Mail-Server oder der FTP sind jedoch schon in großem Umfang angepasst und IPv6-ready, hier hat Software von der Stange bzw. Open Source einen großen Vorsprung. Aber Programme im Unternehmensumfeld etwa für Abrechnung oder Verwaltung sind bei weitem noch nicht bereit für IPv6. Für den Betrieb der Standard-Dienste kann man deshalb IPv6 einsetzen und aktivieren, jedoch nicht auf dem IPv6-only-Support, sonst werden es oft viele Nutzer nicht erreichen. Ein weiterer Punkt ist die Integration von DNS in das System. Da die DNS-Server per Glue Record und der dahinter stehenden IP-Adresse erreicht werden, muss der Server beide IP-Varianten bieten. Sonst ist die Zone immer nur für eine Variante erreichbar. Sehr wichtig ist der Dual Stack-Betrieb deshalb bei Nameservern. Denn diese müsse ja die Domain auflösen. Sollte jetzt nur IPv4 zur Verfügung stehen, und der User würde aber nur IPv6 nutzen, würde er den Nameserver nicht erreichen, auch wenn dieser für die Zone Einträge für IPv4 sprich A-Records etwa enthielt, und auch welche für IPv6, die sogenannten AAAA-Records. Ein Dual Stack-Betrieb ist hier also unverzichtbar.[doc04]

16

17 3. Fazit 9 3 Fazit Die Strategie ist eigentlich sehr einfach: An eine reine IPv6-Verbindung ist in den nächsten 10 Jahren, meiner Schätzung nach, nicht zu denken. Denn erstens hängt die Software extrem der Entwicklung hinterher, und zweitens haben die meisten noch keinen Support für IPv6 aktiviert. Die Nachfrage für IPv6 ist noch so gering, dass es viele DSL-Anbieter gibt, die noch keinerlei IPv6-Anbindung bieten. Der Dual Stack- Betrieb ist genau die Lösung, die ich vorschlage, dadurch kann nacheinander das Netz umgestellt werden, ohne dass es zu großen Problemen kommt, und die Nutzer können nebenher auch weiter die Strukturen nutzen. Sobald dann das Netz zur Verfügung steht, kann man beginnen mit der Migration der Dienste und Software und kann den Usern dann beides an bieten. Würden wir heute nur IPv6-only-Betrieb fahren, könnten wir nur sehr wenige Seiten erreichen und kaum Dienste nutzen. Und genau hier ist auch das Henne-Ei-Problem: Die Nachfrage ist so gering, weil es noch kein Angebot gibt, und die Anbieter wollen es noch nicht realisieren, da es noch wenig Nachfrage gibt. Irgendeine Seite muss sich ins Zeug legen, um den IPv6-Support zu verstärken. Der Dual Stack-Betrieb lässt sich einfach realisieren, viele Komponenten lassen sich einfach integrieren, und es sind nur wenige Einstellungen von Nöten. Die Betriebssysteme nutzen dann auch automatisch IPv6, falls vorhanden und verfügbar, auch wenn die Auflösung der IPv6-Einträge noch per IPv4 geschieht. Wenn dann IPv6 verfügbar ist können die Nutzer die Dienste nutzen, die sie wollen. Egal ob es IPv6 oder IPv4 ist, dank unseres Dual Stack-Betriebs ist das für den Nutzer völlig transparent. Die Nutzung wird erst langsam steigen, derzeit fehlt überall noch der Wille. Meiner Prognose nach wird der Boom erst in Asien beginnen, da dort die IPv4-Adressen schon Mangelware sind. Wir hier in Europa und in Amerika verfügen noch etwas an Reserven und beginnen gerade mit dem Handel der Adressen. Die Zukunft liegt jedoch in IPv6, und eine Migration sollte langsam, aber zeitig konzertiert und geplant angegangen werden. Denn dann verhindert man Probleme und verpasst nicht den Trend. Denn eines ist sicher: IPv6 ist das Protokoll der Zukunft, das in den nächsten Jahren irgendwann das Netz dominieren wird. Genau diesen Trend wollen wir ja nicht schlafen, sonst sind wir irgendwann nicht mehr erreichbar: Wenn die ganze Welt schon IPv6 spricht, wir aber nur IPv4.

18

19 Literaturverzeichnis 11 Literaturverzeichnis [6DE08] 6DEPLOY: IPv6 Tutorial. workshops/ipv6_eng_v2_handout.pdf, 2008 [AC06] ARCHITECTURE, Federal CIO C. ; COMMITTEE, Infrastructure: IPv6 Transition Guidance. Transition_Guidance.doc, 2006 [Doc04] DOCUMENTATION, IETF I.: RFC rfc/rfc3849.txt, 2004

20

21 Eidesstattliche Erklärung 13 Eidesstattliche Erklärung Ich versichere, dass ich die vorstehende Arbeit selbständig verfasst und hierzu keine anderen als die angegebenen Hilfsmittel verwendet habe. Alle Stellen der Arbeit die wörtlich oder sinngemäß aus fremden Quellen entnommen wurden, sind als solche kenntlich gemacht. Die Arbeit wurde bisher in gleicher oder ähnlicher Form in keinem anderen Studiengang als Prüfungsleistung vorgelegt oder an anderer Stelle veröffentlicht. Ich bin mir bewusst, dass eine falsche Erklärung rechtliche Folgen haben kann. Furtwangen, 14. Januar 2010, Johannes Ernst Ort, Datum, Unterschrift