IPv6 in der MPG. von. Holger Beck. Gesellschaft für wissenschaftliche Datenverarbeitung mbh Göttingen. Am Fassberg 11, Göttingen

Größe: px

Ab Seite anzeigen:

Download "IPv6 in der MPG. von. Holger Beck. Gesellschaft für wissenschaftliche Datenverarbeitung mbh Göttingen. Am Fassberg 11, 37077 Göttingen"

Alfred Kaufman
vor 8 Jahren
Abrufe

1 IPv6 in der MPG von Holger Beck Gesellschaft für wissenschaftliche Datenverarbeitung mbh Göttingen Am Fassberg 11, Göttingen Fon: Fax:

Göttingen Am Fassberg 11, 37077 Göttingen Fon:

2 Panic: Hilfe die IP-Adressen sind alle! Am 3. Februar 2011 ist die Welt untergegangen oder doch nicht? jedenfalls hat am 3.2. die Internet Assigned Numbers Authority (IANA) die letzten Adressen vergeben genauer: je ein /8-Netz jeweils Adressen an die 5 Regional Internet Registries (RIRs) - AfriNIC (Afrika) - APNIC (Asia/Pacific) - ARIN (Nordamerika) - LACNIC (Lateinamerika) - RIPE (Europa) Also: Es gibt keine IP-Adressen mehr! 2

die Internet Assigned Numbers Authority (IANA) die letzten Adressen vergeben genauer: je ein /8-Netz jeweils

3 Don t Panic: Wo kommen die IP-Adressen her? Exkurs zum Vergabeprozess 1. IANA vergibt Adressen an Regional Internet Registries (RIRs, z.b. RIPE in Europa), 2. RIRs vergeben Adressen an Local Internet Registries (LIRs) oder Internet Service Provider (ISPs), z.b. den DFN-Verein, 3. Die LIRs vergeben Adressen an Kunden (z.b. DFN an die GWDG), 4. In lokalen Netzen werden Adressen unterverteilt (z.b. GWDG an Universitätsinstitute). Wo ist das Problem? Die RIRs können (noch) Adressen vergeben DFN, GWDG, MPG oder Unis haben mittelfristig immer noch genug Adressen Neue Teilnehmer, die noch keine Adressen haben (insbesondere in Asien) bekommen bald massive Probleme Weiter mit IPv4? NAT NAT NAT Ketten? vom

In lokalen Netzen werden Adressen unterverteilt (z.b. GWDG an Universitätsinstitute). Wo ist das Problem?

4 Doubt: Kommt IPv6 überhaupt? IPv6 ein Wolkenkuckucksheim? Kennen Sie das papierlose Büro? Setzen Sie OSI-Protokolle ein? Ist IPv6 der Nachfolger der OSI-Protokolle und kommt nie? Von IPv6 wird schon lange geredet Standardisierung in RFCs seit 1993, offizielle Adressvergabe seit 1999 aber IPv6 wird bisher kaum verwendet. Network Address Translation (NAT) hat den IPv4-Adressraum lange gestreckt und die Einführung von IPv6 überflüssig gemacht. Seit 2010 verstärktes Interesse IANA-Pool vergeben seit World IPv6 Day am mit deutlichem Anstieg des IPv6-Verkehrs (relativ) Letztlich führt doch kein Weg an IPv6 vorbei NAT über NAT über NAT geht nicht immer so weiter Der Zug nimmt Fahrt auf. 28. DV-Treffen, , Bonn 4 Holge r

Network Address Translation (NAT) hat den IPv4-Adressraum lange gestreckt und die Einführung von IPv6 überflüssig gemacht. Seit 2010 verstärktes Interesse IANA-Pool vergeben seit 3.2.2011 World IPv6 Day am 8.

5 Business Case: Braucht die MPG IPv6? Werden bei uns unsere IPv4-Adressen knapp? noch lange nicht. Schließen wir uns ohne IPv6 vom Internet aus? kurzfristig nicht, selbst kleine IPv6-Inseln werden zunächst selber dafür sorgen müssen, dass die alte IPv4-Welt für sie erreichbar ist, mittelfristig könnte es nötig sein, Dienste auch über IPv6 anzubieten. Brauchen wir IPv6 für unser Image? als Einrichtung der Spitzenforschung: vermutlich ja, in nicht zu ferner Zukunft an öffentlich sichtbaren Stellen. Müssen wir darüber jetzt schon nachdenken? Jetzt geht noch alles ohne Zeitdruck, also besser jetzt. Investitionsschutz: Nicht IPv6 ist teuer IPv6 nicht bedenken kann teuer werden. 5

sein, Dienste auch über IPv6 anzubieten. Brauchen wir IPv6 für unser Image?

6 Think: IPv6-Planung - Zeit zum Aufräumen Anfang der 90er haben wir IP-Netze geplant und seitdem ist alles irgendwie gewachsen Die IPv6-Einführung ist Gelegenheit Wildwuchs zu beseitigen und neue Konzeptionen zu prüfen. Gesichtspunkte für Planung von Adressen (und Netzstrukturen) organisatorische Aspekte (z.b. an der Universität nach Fakultät, Institut, Abteilung) geographische Aspekte (Aufteilung auf Städte oder einzelne Gebäude) netzwerk-topologische Aspekte (Struktur des Routing-Backbones) funktionale Aspekte (Netze für Wissenschaftler, Verwaltung, Gäste, Server, Arbeitsplatzrechner, unterschiedliche Sicherheitszonen) Sicherheitsregeln auf der grünen Wiese IPv6 keine (kaum) Rücksicht auf laufende Systeme, bei denen man Angst hat den Dienst zu stören, wenn Firewalls restriktiver konfiguriert werden 6

an der Universität nach Fakultät, Institut, Abteilung) geographische Aspekte (Aufteilung auf Städte oder einzelne Gebäude) netzwerk-topologische Aspekte (Struktur des Routing-Backbones) funktionale

7 Go: Migrationsstrategien Alles umschalten auf IPv6 Unsinnig, da bisher bestenfalls IPv6-Inseln existieren Parallelbetrieb: Dual-Stack auf allen Geräten (Endgerät, Router, ) gleichzeitig IPv4 und IPv6 für den Start die Methode der Wahl Nachteil: Dauerbetrieb von zwei Protokollen - Gemildert durch Autokonfigurationsoptionen in IPv6 Nachteil: Verhindert strukturelle Änderungen Translation Verschiedene Varianten zwischen IPv6- und IPv4-Netzen über Adressübersetzung Kommunikation zu ermöglichen In der Anfangsphase für IPv6-only-Inseln notwendig (gewollte und ungewollte) In der Endphase (falls die mal kommt) für IPv4-only-Rest die letzte Rettung Tunneling Lösungen um IPv6-Inseln über IPv4 (oder umgekehrt) zu verbinden Einsatzszenario in MPG zur Zeit nicht absehbar 7

Translation Verschiedene Varianten zwischen IPv6- und IPv4-Netzen über Adressübersetzung Kommunikation zu ermöglichen In der Anfangsphase für IPv6-only-Inseln notwendig (gewollte und

8 Do: Einführung von IPv6 in MPIs Fragen Woher kommen IPv6-Adressen? Ist die Netzwerkinfrastruktur IPv6-fähig? Wie bringe ich meine Endgeräte in die IPv6-Welt? Wie stelle ich meine Dienste auf IPv6 um? Wie beeinflusst IPv6 das Netzwerkmanagement? 8

Wie bringe ich meine Endgeräte in die IPv6-Welt?

9 Request: IPv6-Adressen beantragen Verteilungsprozess wie bei IPv4 Normalfall daher: MPI bekommt vom Provider (meist DFN- Verein) IPv6-Adressen - Adressen ausreichend vorhanden Alternative: Provider Independent (PI) Adressen Eigentümer - direkt von RIPE vergeben, - an strikte Auflagen gebunden, - weil Route Aggregation für IPv6 Strategie ist, - nur für Netze mit Anbindung über mehrere Provider, - für MPIs wohl nur in Ausnahmefällen möglich. IPv6-Adressen werden nicht Besitz des Nutzers Rückgabe bei Providerwechsel (außer PI-Adressen) 9

- an strikte Auflagen gebunden, - weil Route Aggregation für IPv6 Strategie ist, - nur für Netze mit Anbindung über mehrere Provider,

10 Message: Koordinierte IPv6-Adressen in der MPG IPv4-Adress-Zoo der MPG An verschiedenen Stellen werden Listen aller Adressen der MPG benötigt (z.b. Firewalls, Zugriffe auf Server) Für IPv4 sind diese Listen historisch gewachsen (und ziemlich lang) Einheitlicher IPv6-Adressblock für MPG Nicht 100%ig möglich - Einrichtungen im Ausland, - andere Anbindungen, die nicht über DFN erfolgen. - PI-Anbindungen DFN kann einen größeren Adressblock für MPG bereitstellen - aus dem MPIe dann ihre Adressen erhalten, - bei Zustimmung der MPIe werden wir den DFN um Reservierung bitten, - evtl. eine Aufteilung (Aggregation) mit dem DFN-Verein abstimmen. 10

Firewalls, Zugriffe auf Server) Für IPv4 sind diese Listen historisch gewachsen (und ziemlich lang) Einheitlicher IPv6-Adressblock für MPG Nicht 100%ig möglich -

11 Base: Netzwerkinfrastruktur Router bei aktuellen Routern sollte IPv6 kein Problem darstellen, ältere Router müssen evtl. ersetzt werden, bei MPIs selten umfangreiches Routing nötig. Firewalls/VPN teilweise gar nicht unterstützt, teilweise Software-Upgrade nötig, teilweise ok, teilweise Durchsatzunterschiede zwischen IPv4 und IPv6 Gateways für IPv4/IPv6-Umsetzung, kurzfristig eher nicht notwendig. Switche Reine Layer-2-Switche eher unproblematisch, Adressen nur für Managementzugriffe nötig 11

Firewalls/VPN teilweise gar nicht unterstützt, teilweise Software-Upgrade nötig, teilweise ok, teilweise

12 Serve: Dienste IPv6-fähig machen Interne Dienste und Basisdienste DNS - Erreichbarkeit über IPv6, - Auflösung von und zu IPv6-Adressen, - als Basis für IPv6 unabdingbar, - unproblematisch, da verfügbar. DHCP - für automatische Konfiguration von Endgeräten mit Einstellungen über reine Adressvergabe hinaus nötig, - Implementation nicht immer verfügbar/vollständig. Dienstangebote für Extern Webserver, Mail usw., wahrscheinlich, der Bereich, der als erstes mit IPv6 angeboten werden sollte. 12

DHCP - für automatische Konfiguration von Endgeräten mit Einstellungen über reine Adressvergabe hinaus nötig, -

13 Use: IPv6 am Endgerät Verfügbarkeit Gängige Betriebssysteme in halbwegs aktueller Version können IPv6 Teils bei Standardinstallation automatisch eingeschaltet Datenschutz Problem mit Adressen, die auf MAC-Adresse des Endgeräts basieren - Rechner wird eindeutig identifizierbar und Profile können dadurch erstellt werden - Insbesondere für Heim- und mobile Computer neu Privacy Extensions erzeugen zufällige Adressen Software - Aus Sicht des Netzwerkadmins auch nicht unbedingt erwünscht Probleme möglich bei Software, die mit IP-Adressen umgeht, wenn dort 32 Bit fest kodiert wurde Killerapplikation, die nur mit IPv6 funktioniert nicht bekannt. Probleme Präferenz für IPv6 bei Dual-Stack-Nodes bei nur scheinbarer IPv6-Konnektivität zu einer Gegenstelle 13

Privacy Extensions erzeugen zufällige Adressen Software - Aus Sicht des Netzwerkadmins auch nicht unbedingt erwünscht Probleme möglich bei Software, die mit IP-Adressen umgeht, wenn dort 32

14 Teach: Workshops, Schulungen Heute eine Stunde Überblick über IPv6 im Workshop DFN-CERT Tutorium "IPv6 und Sicherheit für Einsteiger" zweitägig Sonderveranstaltung für MPG? Andere Anbieter Im Rahmen einer MPG-Veranstaltung? MPG-Arbeitskreis IPv6 14

Einsteiger" zweitägig Sonderveranstaltung für MPG?

15 Danke für die Aufmerksamkeit! Mehr zu IPv6 im Workshop Fragen? 15

Ähnliche Dokumente

How-to: Webserver NAT. Securepoint Security System Version 2007nx

How-to: Webserver NAT. Securepoint Security System Version 2007nx Securepoint Security System Inhaltsverzeichnis Webserver NAT... 3 1 Konfiguration einer Webserver NAT... 4 1.1 Einrichten von Netzwerkobjekten... 4 1.2 Erstellen von Firewall-Regeln... 6 Seite 2 Webserver