AUTOMOTIVE INFOCOM TRANSPORT & ENVIRONMENT AERONAUTICS SPACE DEFENCE & SECURITY. IPv6. Jetzt die Weichen stellen

Transkript

1 AUTOMOTIVE INFOCOM TRANSPORT & ENVIRONMENT AERONAUTICS SPACE DEFENCE & SECURITY IPv6 Jetzt die Weichen stellen 1

2 Überblick Relevanz von IPv6 Kernvorteile von IPv6 IPv6 Transition Nationale und internationale Aktivitäten Reifegrad von IPv6 Ihre Schritte zu IPv6 Zusammenfassung 2

3 Relevanz von IPv6 3

4 Bedarf an öffentlichen IP-Adressen circuit switched Protokoll: z.b. ISDN Telefonnetz Telefonbuch Max Mustermann packet switched Protokoll: IP Internet Domain Name Service

5 Vergabe der öffentlichen IP-Adressen Global IANA RIPE ARIN APNIC AFRINIC LACNIC Europa Asien / Pazifik Afrika Nordamerika Lateinamerika Internet Service Provider / Endkunden 5

6 Ende des Vorrats an öffentlichen IPv4 Adressen Global IANA RIPE ARIN APNIC AFRINIC LACNIC Europa Asien / Pazifik Afrika Nordamerika Lateinamerika 6

7 Probleme des Endes der öffentlichen IPv4 Adressen (1) Transport Layer IPv4 (privat) Link Layer Physical Layer Transport Layer IPv4 (öffentlich) Link Layer Physical Layer Internet IPv4 NAT-Box (übersetzt private in öffentliche IP-Adressen) 7

8 Probleme des Endes der öffentlichen IPv4 Adressen (2) Zahlreiche Endgeräte besitzen die gleichen privaten IP-Adressen Direkter Verbindungsaufbau zu diesen Endgeräten ist nur schwer machbar (statische Vorkonfiguration) Problem für sämtliche Peer-to-Peer-Anwendungen NAT-Boxen müssen Zustandsinformation (Mapping öffentliche-private IP- Adressen) speichern Bruch der Ende-zu-Ende-Transparenz des Internets Sämtliche Ende-zu-Ende-Anwendungen müssen Präsenz von NAT- Boxen erkunden und entsprechende Workarounds implementieren Aufwändiges Management, Performance-Einbußen Zusammenlegen von privaten Netzen z.b. bei Reorganisation ist aufwändig Mehrere gleiche IP-Adressen im selben Netz 8

9 Kernvorteile von IPv6 9

10 Kernvorteile von IPv6 Vorteile aufgrund riesigem Adressraum Zustandslose, automatische Konfiguration der Endgeräte Effiziente Struktur des Protokollheaders Optimierte Mobilitätsunterstützung Berücksichtigung der Sicherheitsfunktionalität von Beginn an Verwendung von IP Multicast anstelle von IP Broadcast 10

11 Riesiger Adressraum (1) Adressraum IPv4 (32 Bit) IPv6 (128 Bit) Schreibweise Dezimal IPv4: Hexadezimal IPv6: 2002:0da8:123c::0 Verschiedene Adressbereiche IPv4:private und öffentliche Adressen IPv6: link-local, unique local addresses, global addresses, 11

12 Riesiger Adressraum (2) Vorteile des riesigen Adressraums Ausreichend Adressen für neue Anwendungen Car-to-Car, Sensornetze, Cloud Computing, Intelligent Buildings, Internet of Things, Kein Bedarf an privaten Adressen Einfacheres Management des Netzwerkes Klare Strukturierung des Netzwerkes Keine NATs Einfachere Umstellung der Netzwerktopologie aufgrund von Umorganisationen Vereinfacht gleichzeitige Anbindung an mehrere Provider Aus Redundanzgründen Aus Mobilitätsgründen 12

13 Zustandslose, automatische Konfiguration der Endgeräte (1) IPv6 Adresse (128 Bit) Subnet prefix (64 Bit) ID (64 Bbit) 13

14 Zustandslose, automatische Konfiguration der Endgeräte (2) Prozess: Stateless Address Autoconfiguration Router liefert zum Subnet Prefix zusätzlich Information über Standard- Gateway Verschiedene Möglichkeiten zur Bildung der ID durch Endgerät Ableitung aus MAC-Adresse Verwendung von Zufalls-ID Verwendung von Kryptomaterial 14

15 Effiziente Struktur des Protokollheaders (1) 15

16 Effiziente Struktur des Protokollheaders (2) Einfachere Struktur des IPv6-Headers Mehr Möglichkeiten zur Unterscheidung verschiedener Datenströme (Flows) Modularer Aufbau und Möglichkeit zur Erweiterung durch Extension Header Hop-by-Hop Header Destination Header Routing Header Fragmentation Header Authentication Header Schnellere Bearbeitung durch Extension-Header Router müssen nicht sämtliche Informationen auswerten 16

17 Optimierte Mobilitätsunterstützung - Anforderungen Stark zunehmende mobile Nutzung des Internets durch Vielzahl an drahtlosen Zugangstechnologien (UMTS, WLAN, WiMax, ) Vielzahl an mobilen Endgeräten (PDAs, Notepads, Mobilfunkgeräte, ) Vielzahl an neuen Anwendungen (Sensornetze, Car-to-Car, Mobile Office, ) Anforderungen an eine optimierte Mobilitätsunterstützung Mobilität ist transparent für Nutzer und Anwendung Automatische Konfiguration gültiger IP-Adressen an den jeweiligen Netzzugängen Anwendung läuft unterbrechungsfrei an neuem Netzzugang weiter 17

18 Optimierte Mobilitätsunterstützung Ein Beispiel Netzwerk B Heimnetz A Internet Home Agent Netzwerk C Corresp. Node C Router 18

19 Optimierte Mobilitätsunterstützung Registrierung des Nutzers Netzwerk B Netzwerk A ❶ Internet ❷ Home Agent Netzwerk C ❶ Mobile Node sendet Binding Update ❷ Home Agent antwortet mit Binding Acknowledgement Corresp. Node C 19

20 Optimierte Mobilitätsunterstützung Triangle Routing Netzwerk B Netzwerk A ❷ Internet Mobile Node Home Agent ❸ Netzwerk C ❶ ❶ Corresp. Node C initiiert die Kommunikation mit Mobile Node und sendet Datenpakete an die Heimadresse des Mobile Nodes ❷ Home Agent empfängt diese Datenpakete in Abwesenheit des Mobile Nodes und leitet diese an den Mobile Node weiter (Proxy Funktionalität) ❸ Mobile Node antwortet direkt an den Correspondent Node C Corresp. Node C 20

21 Optimierte Mobilitätsunterstützung Route Optimization Nur bei IPv6 Netzwerk B Internet ❶ Netzwerk A Mobile Node Home Agent Netzwerk C ❷ ❶ Mobile Node sendet Binding Update an Corresp. Node C ❷ Corresp. Node C sendet die folgenden Datenpakete direkt an Mobile Node Corresp. Node C 21

22 Integrierte Sicherheitsfunktionalität IPsec war zu Beginn integraler Bestandteil von IPv6 Aufgrund der Wiederherstellung der Ende-zu-Ende-Transparenz des Internets können VPNs einfacher etabliert werden Keine NATs Privatsphäre kann durch Verwenden von Zufallszahlen in der ID ermöglicht werden Sichere, automatische Konfiguration der Endgeräte mittels Secure Neighbor Discovery (SEND) Leider fehlt hier noch der Support von Microsoft Sichere Mobilitätsunterstützung 22

23 Verwendung von IP Multicast anstelle IP Broadcast IPv6 verwendet anstelle IP Broadcast IP Multicast für zahlreiche Kontrollnachrichten Damit werden Kontrollnachrichten gezielt den beabsichtigten Empfängern zugestellt (alle Router, alle Home Agents, ) Dies erfordert Unterstützung von IP Multicast Berücksichtigung in Security Policy 23

24 IPv6 Transition 24

25 Transition Mechanismen Dual Stack Transport Layer IPv6 IPv4 Link Layer Physical Layer Transport Layer IPv4 IPv6 Link Layer Physical Layer Internet IPv4 / IPv6 25

26 Transition Mechanismen Tunnelling (1) Transport Layer IPv6 IPv4 Link Layer Physical Layer Transport Layer IPv4 IPv6 Link Layer Physical Layer Internet IPv4 26

27 Transition Mechanismen Tunnelling (2) Transport Layer IPv6 IPv4 Link Layer Physical Layer Transport Layer IPv4 IPv6 Link Layer Physical Layer Internet IPv4 Internet IPv4 / IPv6 Tunnel Broker 27

28 Transition Mechanismen Translation Transport Layer IPv6 IPv4 Link Layer Physical Layer Transport Layer IPv4 Link Layer Physical Layer Internet IPv4 / IPv6 IPv4 / IPv6 Translator 28

29 Transition Mechanismen Kurze Bewertung Dual Stack Sauberer Architekturansatz Benötigt nach wie vor IPv4-Adressen je Endsystem Tunnelling Häufig verwendeter Transitionmechanismus (z.b. 6rd, ISATAP, Teredo, ) Benötigt nicht unbedingt IPv4-Adresse je Endsystem Generiert Overhead je Datenpaket (signifikant für kleine Datenpakete wie VoIP) Herausforderung für Sicherheit Inspektion der eingepackten Datenpakete erforderlich Vertrauenswürdigkeit von Tunnel-Broker / Relais oft nur schwer überprüfbar Automatisch bei vielen Windows7-Rechnern aktiviert! Translation Seltener verwendeter Transitionmechanismus (z.b. NAT64) Benötigt am wenigsten IPv4-Adressen Kein Overhead Herausforderung: Übersetzung der in Anwendungen integrierten IP-Adressen Aber: Bruch der Ende-Ende-Transparenz des Internets 29

30 Nationale und internationale Aktivitäten ten 30

31 Wichtige nationale und internationale Aktivitäten Standardisierung in der Internet Engineering Task Force (IETF) Verschiedene Arbeitsgruppen, wie v6ops, 6man, Promotion von IPv6 International: Globales IPv6 Forum, Europäische IPv6 Task Force National: Deutsches IPv6 Council Zertifizierung von IPv6 IPv6 Logo Program 31

32 Zahlreiche Aktivitäten der EC Die EC unterstützt durch zahlreiche Aktivitäten eine IPv6-Einführung Zahlreiche F&E-Projekte in den letzten 10 Jahren (6INIT, 6WINIT, SEINIT, 6NET, ENABLE, ) Bietet IPv6 im europäischen Forschungsnetz GEANT seit längerer Zeit an Unterhält eine europäische IPv6 Task Force Veranstaltet zahlreiche IPv6 Days um einen breiten Informationsaustausch zu gewährleisten z.b. IPv6-Day im Dezember 2010 in Ghent ( ) Hat einen eigenen Action-Plan für die Einführung von IPv6 aufgestellt 32

33 World IPv6 Day Am ist ein World IPv6 Day geplant Ziel Bedeutung der IPv6-Einführung einer breiten Masse bewusst machen Möglichkeit der Erprobung von IPv6 auf breiter Basis Teilnahme wichtiger Content-Provider Google, Yahoo, Facebook, Akamai, Derzeitige Standardisierungsaktivitäten fokussieren vor allem auf operative Optimierung bei der IPv6-Einführung Weitere Informationen 33

34 Reifegrad von IPv6 34

35 Reifegrad von IPv6 (1) IPv6 Standardisierung Die wesentlichen Standards sind stabil und erprobt Derzeitige Standardisierungsaktivitäten fokussieren vor allem auf operative Optimierung bei der IPv6-Einführung IPv6-Angebot von Internet Service Providern Erste ISPs bieten IPv6 an, z.b. MNET, Spacenet, Weitere haben IPv6-Angebot zeitnah geplant, z.b. Deutsche Telekom Übergangsweise ist die Verwendung von IPv6 Transition Mechanismen möglich Wichtig: Aktive Nachfrage der Kunden beim ISP (Chicken-Egg) Netzwerkkomponenten Router unterstützen die wesentlichen IPv6-Standards, meist ohne zusätzliche Kosten Gängige Betriebssysteme von PCs und Laptops unterstützen IPv6 (ab Windows7 elegant integriert) Customer Provider Edge (CPE) Geräte wie DSL-Boxen haben z.t. erst Beta- Versionen von IPv6 verfügbar 35

36 Reifegrad von IPv6 (2) Anwendungen Mehr und mehr Standardanwendungen (Browser, Mail, VoIP, Chat, ) unterstützen IPv6 Wichtig: Für die IPv6-Fähigkeit spezifischer Fachanwendungen ist der Nutzer selbst verantwortlich Sicherheit VPN-Produkte für IPv6 verfügbar Firewalls unterstützen IPv6 Aber: Oft nicht in allen Application Appliances Content Content wird erst langsam auf Basis IPv6 zur Verfügung gestellt Oftmals erfolgt dies um technische Probleme zu vermeiden auf eigenen Seiten ( 36

37 Ihre Schritte zu IPv6 37

38 Schritte zur IPv6-Einführung (1) Bestandsanalyse Welche Netzkomponenten und Endgeräte sind noch nicht IPv6-fähig? Ab wann sind diese Netzkomponenten und Endgeräte verfügbar? Welche Services und Anwendungen sind noch nicht IPv6-fähig? Ab wann sind diese Services und Anwendungen IPv6-fähig? Gibt es Fachanwendungen, für die ein IPv6-Upgrade beauftragt werden muss? Welcher grobe IPv6-Addressbedarf besteht? Werden die IPv6-Adressen von einem ISP bezogen, oder direkt von einer Registry? Welcher Personenkreis muss sich mit dem Thema IPv6 befassen? Netzwerkadministratoren, Sicherheitsbeauftragte, Service-Personal, 38

39 Schritte zur IPv6-Einführung (2) Kundenspezifisches Migrationskonzept Erstellung eines IPv6-Adresskonzepts Identifikation geeigneter Transitionmechanismen Dual Stack, Tunnelling, Translation Update der Security-Policy Berücksichtigung der IPv6-Spezifika Spezifikation von Vorgehensweise und Zeitplan für Umstellung von Netzwerkkomponenten, Endgeräten, Anwendungen und Services Identifikation von Kosten und Risiken Spezifikation von Trainingsmaßnahmen 39

40 Zusammenfassung 40

41 Zusammenfassung Die Einführung von IPv6 kommt IPv6 bietet neben einem riesigen Adressraum weitere Vorteile Viele Endgeräte, Netzwerkkomponenten, verbreitete Anwendungen, und erste ISPs unterstützen bereits IPv6 Weiterer Bedarf des IPv6-Supports bei einigen Herstellern von CPE und Sicherheitskomponenten, sowie einigen ISPs und Content-Providern Kunden müssen sich um IPv6-Fähigkeit eigener Fachanwendungen kümmern Eine Migration zu IPv6 sollte gut vorbereitet sein Deshalb ist es wichtig, JETZT zu starten Es wird nicht an Flag-Day von IPv4 nach IPv6 umgestellt, sondern es gibt eine lange Migrationsphase mit IPv4 und IPv6 Erfahrung mit IPv6 / Training ist unbedingt erforderlich Bruch des Chicken-Egg-Problems zwischen Kunde und Service Provider durch gemeinsamen Ansatz 41

42 Kontakt 42

43 Kontakt Wolfgang Fritsche Leiter Internet Competence Center Telefon: