IPv6 in der Realwelt

Transkript

1 IPv6 in der Realwelt Welche Rolle spielt das DNS? Peter Koch Frankfurt, 20. Mai 2010

2 Heute in Stichworten IPv6 im DNS: AAAA Records, Zahlen und Bilder IPv6 und Glue-Records Reverse Mapping für IPv6 Türsteher für AAAA? DNS64 2

3 Nicht repräsentative Stichprobe 3

4 Dann war da noch A6 Häufig handelt es sich um (alte) rekursive Nameserver auf der Suche nach Nameserveradressen 4

5 Zwei auf einen Streich? Anwendungen suchen oft nach AAAA und A A, falls AAAA nicht existiert Wie geht das schnell? QDCOUNT > 1 ist nicht definiert QTYPE ANY hilft nicht (klare, aber teils unintuitive Semantik) Neuer Meta-Typ? (vgl. MAILB) Umsetzungsaufwand, Rückwärtskompatibilität, A in der additional section ist nicht zuverlässig Lösung: zwei (parallele) Querys Aber Vorsicht bei großzügigen negativen Antworten (NOERROR!!) 5

6 IPv6-Glue-Records IPv6-Konnektivität für Nameserver Rootnameserver (sieben von 13 ) TLD, Infrastrukturserver DNS Root Zone Scaling Study (OARC für ICANN) Autoritative AAAA-Daten werden auch via IPv4 gefunden Hilfreich dann: Eintrag von IPv6-Glue-Records Gleiche Notwendigkeitsregeln wie bei IPv4 Für DE seit Februar 2010 automatisiert möglich Nserver: dns1.lrz.de Nserver: dns1.lrz.de 2001:4ca0:0:100:0:53:1:1 6

7 IPv6 Reverse Mapping Kanonisch in IP6.ARPA ip6.arpa IN PTR a.nic.de. Großer Adress- und Namensraum Delegation via RIR und LIR/ISP dünn besiedelt aber auch ohne AXFR leicht aufzählbar Zweifelhaft für privacy enhanced addresses 7

8 IPv6 Reverse Mapping - wie, wenn überhaupt? Diskussion in der IETF (Access Provider): Automatisierte Delegation (an CPE?) Automatisierte Erzeugung (Volumen!) dynamisch -- und wie paßt dazu DNSSEC? Verzicht in diesen Fällen? Auswirkungen auf Zugang zu Diensten? Latenz? Howard, Durand: Reverse DNS in IPv6 for Internet Service Providers 8

9 Zugangskontrolle für AAAA? Rolloutstrategie für Diensteanbieter: mit AAAA oder lieber nur Wessen Support-Telefon klingelt, wenn der Dienst nicht erreichbar ist? die Qualität leidet? Zentrale Maßnahme ( Google -Whitelist) AAAA wird nur an geprüfte Anfrager gegeben Schließt vom DNS-Resolver auf den Client (CDN-Problem) aufwendig 9

10 Zugangskontrolle für AAAA (ii) (De)Zentrale Maßnahme ( Yahoo -Vorschlag) ISP soll AAAA nur an Clients mit guter IPv6-Konnektivität weitergeben Ggf. dann Whitelist für ISPs gut heißt, die DNS-Anfrage kam via IPv6 zum rekursiven Resolver Hack in BIND: filter-aaaa-on-v4 Ähnliche Schwächen/Risiken wie der zentrale Ansatz Zusätzlich nur bedingt DNSSEC-kompatibel Ergänzender Ansatz: Client-ID im DNS Caching, Konsistenz, 10

11 Zugangskontrolle für AAAA (iii) Transport der DNS-Pakete => IPv6-Konnektivität? Was, wenn der Client DNS nur via IPv4 auflöst? Was, wenn der Client einen anderen ( offenen ) Resolver nutzt? Wie sind AAAA-Filter mit DNSSSEC vereinbar? Wie groß ist das Problem tatsächlich? Messungen sehen um die 0.1% der Client-Population betroffen Sind Transitions-Mechanismen wirklich die Hauptursache? 11

12 DNS64 für NAT64 Verbinde IPv6-only-Netz mit dem (IPv4-)Internet Wie sieht der Client einen IPv4-only-Server? Umsetzung IPv4/IPv6 an der Netzgrenze (NAT64) Problem: Server hat keine IPv4-Adresse, keinen AAAA-RR Dynamische Umschreibung und Erzeugung des AAAA DNSSEC-Validierung vs. Dynamische Synthese Kenntnis des Prefixes und der Synthese erforderlich Bagnulo et.al.: DNS64: DNS extensions for Network Address Translation from IPv6 Clients to IPv4 Servers 12

13 DNS IPv6 network IPv Network -- Name server -- with DNS H2 H NAT (entnommen dem Internet-Draft) 13

14 Zusammenfassung DNS über IPv6 funktioniert Offene operative Fragen beim Reverse Mapping DNS wird als Vehikel zur Lösung von Konnektivitäts- bzw. Qualitätsproblemen vorgeschlagen Anwendbarkeit, Skalierbarkeit unklar DNS ist Baustein in Migrations-/Koexistenzstrategien Operator-Input ist erwünscht http: //tools.ietf.org/wg/dnsop http: //tools.ietf.org/wg/v6ops http: //tools.ietf.org/wg/behave 14

15 ? Peter Koch < 15