René Hüftlein, B.Eng.; Wissenschaftlicher Mitarbeiter im Labor Kommunikationstechnik Beitrag für den IPv6-Kongress am 20./21.

Transkript

1 René Hüftlein, B.Eng.; Wissenschaftlicher Mitarbeiter im Labor Kommunikationstechnik Beitrag für den IPv6-Kongress am 20./21. Mai 2010 in Frankfurt/Main.

2 Hallo Welt! Etwas über mich: René Hüftlein 2003 Fachabi Sozialwesen 2005 Beginn Studium Elektrotechnik 2009 Abschluss B.Eng. Seit 09/2009 wissens. MA Die Hochschule Pforzheim: Gegründet 1877 Ca Studenten 3 Fakultäten 33 Studiengänge Pers. Interessen: IPv6, Social Media (WEB2.0) 2

3 Warum IPv6? Adressknappheit? HS Pforzheim: /16 ca Studenten ~ 14 IPs/Student NATs Uns gehen die Adressen nicht aus! Neue Telefonanlage mit fast 500 Nebenstellen (VoIP)? WLAN-Zugänge für Laptops und Handys? Anmietung neuer Räumlichkeiten Zusätzliche Studienplätze 3

4 IPv6 an der Hochschule 2001:7c0:1400::/48 Zur Zeit ein Netz 2001:7c0:1400:1::/64 Lediglich 4 Rechner haben die Berechtigung durch den IPv6-Link auf das Internet zuzugreifen 4

5 IPv6 für jedermann Henne-Ei-Problem Zuerst Dienste mit IPv6? Für wen? Zuerst der User mit IPv6? Warum? Private Nutzer benötigen einfachen und automatischen Zugang zu IPv6 5

6 Die verschiedenen Tunnel 6to4 Teredo ISATAP Broker (AYIYA) 6

7 RFC 3056 Connection of IPv6-Domains via IPv4-Clouds Der 6to4 Tunnel 7

8 Funktionsprinzip I Einsatz durch Einzelplatzrechner oder Router Es wird eine öffentliche IPv4-Adresse benötigt IPv6-Pakete werden an den 6to4-Adapter übergeben und dort in IPv4 verpackt IPv4 Protokolltyp 41 Bei Routereinsatz kann an einer IPv4-Adresse ein komplettes /48-Netz betrieben werden 8

9 Funktionsprinzip II Eigener IPv6 Präfix 2002::/16 Ergänzung um die IPv4-Adresse 2002: ::/ :8d2f:4b20::/48 This is illustrated as follows: bits FP TLA V4ADDR SLA ID Interface ID 001 0x

10 Routing in IPv4 und IPv > 2002:8D2F:4BCC::1 Natives IPv6 2001:7C0:1400:1::1 IPv4 [Type 41] IPv4 Internet IPv6 [ping] IPv4 [Type 41] an IPv6 [ping] an 2002:8D2F:4BCC::1 6to4 Relay Anycast 2002::/16 IPv6-Route IPv4 [Type 41] an IPv6 [ping] an 2001:7C0:1400:1:: > 2002:5C4F:97B9::1 10

11 Sinnvolle Szenarien Bestes Beispiel: AVM Fritz!Box 7270 DualStack-Betrieb für private Netze 5c4f 97b9 =

12 Zusammenfassung 6to4 Einfach und konfigurationslos Auf privaten Routern die wahrscheinlich geeignetste Art IPv6-Zugang zu realisieren Durch Verwendung von Protocol Type 41 jedoch für viele Laien nicht als Netzwerkverkehr identifizierbar 12

13 RFC4380 Teredo: Tunneling IPv6 over UDP through Network Address Transaltions (NATs) Der Teredo Tunnel 13

14 Funktionsweise Teredo Durchdringung von NAT als Alternative innerhalb privater IPv4-Netze Benutzung von UDP als Transportmedium Benötigt Zugangs-Server im IPv4-Netz Zusätzlich sind Relay Router zur Sicherstellung der Erreichbarkeit notwendig 14

15 Der Teredo Zugang zu IPv6 Automatisierte Bildung einer IPv6-Adresse: 2001:0000::/32 Teredo-Service-Präfix IPv4-Adresse des Teredo Servers Plus Flags, Port* und IPv4-Adresse des Clients* *Diese werden binar invertiert verwendet. The Teredo addresses are composed of 5 components: Prefix Server IPv4 Flags Port Client IPv4 2001:0000: :0: 1234: :0000: 53AA:64C: :0: FB2D: 3F57:FFFB

16 Teredo Begriffe Teredo Client Teredo Server Teredo Relay Teredo Bubble 16

17 NAT-Durchdringung Teredo Client IPv4 NAT Teredo Server ❼ ❶ ❷ ❻ ❸ priv. ⓫ ❽ ❿ IPv4 Internet ❾ ❺ IPv6 Internet ❹ Beispiel: Ping eines Teredo Clients an einen nativen IPv6-Rechner aus einem restricted NAT. Teredo Relay IPv6 peer 17

18 Sicherheitsrisiken Durchbohrung des NATs Nicht erkennbar am Typ und verhält sich wie normaler UDP-Verkehr Überwindet auch Systeme die Pakete mit internen IP- Adressen verwerfen 18

19 Zusammenfassung Teredo Auch für genattete Netzwerke/Systeme geeignet Wiederum einfach und konfigurationslos Nicht geeignet für den Einsatz an Routern Kann allerdings durch Sperren von Traffic an Zielport 3544 leicht gestoppt werden An der Teredo Adresse kann der NAT-Typ abgelesen werden 19

20 Beitrag für den IPv6-Kongress am 20./21. Mai 2010 in Frankfurt/Main. IPv4 IPv6 René Hüftlein, B.Eng. Hochschule Pforzheim Tiefenbronner Str Pforzheim Projekt SecurITAS Prof. Dr.-Ing. Frank Niemann

21 Das Projekt SecurITAS wird ermöglicht durch: Drachenfels GmbH, Pforzheim Institut für Kommunikationstechnik, Universität Hannover Quellen: Carpenter/Moore (2001) RFC3056 Connection of IPv6 Domains via IPv4 Clouds Huitema (2006) RFC4380 Teredo: Tunneling IPv6 over UDP through Network Address Transaltions (NATs) Hoagland (2007) The Teredo Protocol: Tunneling Past Network Security ans Other Security Implications Hüftlein (2009) Aufbau eines IPv6 Testbeds und Anbindung der Hochschule Pforzheim an das IPv6-Internet 21