Rådgivning når viden gør en forskel

Transkript

1 1 Rådgivning når viden gør en forskel

2 Hvad siges der i medierne - 1 Computerworld d. 20 september

3 Hvad siger medierne - 2 ZD- NET 9 august

4 Agenda Opsummering på IPv4 Status på IPv4 Opsummering på IPv6 SkiIe scenarier Konklusioner 4

5 IPv4 IP version 4 er en IETF defineret kommunikanonsprotokol Defineret i RFC 791 fra bits adresse, opdelt i 4 okteuer (Bytes) 2 32 mulige adresser ( = 4 Milliarder) Ca. 18 mill. Reserveret som private adresser Ca. 270 mill. Reserveret Nl mulncast adresser 5

6 En IPv4 adresse En IPv4 adresse består alnd af en host del og en netværksdel. Man anvender en netværksmaske Nl at bestemme hvor netværksdelen sluuer og host delen starter: Eksempel: Netværket Host IP adresse = Netværksmaske = I eksemplet har hosten nummer 20 i netværket og selve netværket kendes som Hvis man ønsker at vise hvor mange bits der anvendes Nl netværksmasken, ses det oie som følgende notanon: /24. 6

7 Hvordan har vi klaret os med IPv4 så længe Man har længe vist at der ikke er IPv4 adresser nok Nl det hasngt voksende Internet Idéer Nl at forlænge Nden med IPv4 adresser har bl.a, været Udstrakt brug af NAT Intern brug af RFC 1918 IP adresserne 10.x.x.x/ x.x/16 Nl x.x/ x.x/24 Classless Inter- Domain RouNng (CIDR) Hvilket betyder at den enkelte organisanon har kunnet klare sig med meget få unikke globale IP adresser 7

8 Hvornår skal man skiie Nl IPv6? Man skal ikke bare skiie Nl IPv6 Man skal i stedet også anvende IPv6 Tiden er inde nu Nl at begynde migrering Nl IPv6 Migrering kan foregå langsomt, hvis man starter Ndligt Start med interne forsøg for at forstå forskellene Tal med din ISP for at høre om mulighederne for at blive forbundet Nl IPv6 delen af InterneUet 8

9 Hvorfor skal man implementere IPv6 IPv6 implementering er nødvendig fordi alle IPv4 adresser snart er brugt op. Antallet af applikanoner og enheder som skal bruge IP adresser for at kunne kommunikere over InterneUet er stærkt sngende. Ifølge IANA (Internet Assigned Numbers Authority) vil antallet af ikke allokerede IPv4 adresser være 0 i Q1 2011, medens det forventes at de lokale Internet Registre vil have opbrugt deres puljer senest i Q Fra slutningen af 2011 vil nye enheder og services være nød Nl at anvende IPv6 adresser, da det ikke vil være muligt at få en global IPv4 adresse. Hvis der skal kommunikeres med disse IPv6 enheder, så skal der konvergeres Nl IPv6, enten direkte eller via en translanon gateway. 9

10 Forskelle mellem IPv4 og IPv6 Større adresse rum Den væsentligste grund Nl at IPv6 vinder indpas er muligheden for at få mange flere adresser at råde over. IPv6 giver mulighed for at anvende IP adresser som er 128 bits lange mod IPv4 som kun Nllader en adresselængde på 32 bit. Hermed løses problemet med for få IP adresser, og det bliver ikke længere nødvendigt at anvende NAT. Automa.sk adresse konfigura.on (Stateless Address Auto- Configura.on=SLAAC) En IPv6 host kan få IP adresser på følgende 3 måder: - AutomaNsk ved at anvende ICMPv6 router discovery messages - Ved hjælp af DHCP - Manuelt Nldelt IP adresse Mul.cast Mulitcast er en standard del af IPv6 specifikanoner, denne feature var fra start af en del IPv6, hvorimod IPv4 ikke havde mulitcast support fra start af. Ligeledes er der betydeligt flere mulncast adresser Nl rådighed. Ensartet header format Fast længde på header formatet. Fragmentering udføres af hosten selv, ikke af routerne. Nye metoder Nl at kunne markere pakker som, skal have en speciel behandling gennem netværket (for eks. QOS) Sikkerhed på netværket IPsec, protokollen som anvendes Nl netværks kryptering, er en integreret del af basis protokollen i IPv6, hvor den i IPv4 var en opnon. 10

11 IPv6 antal mulige adresser 11 IPv4 anvender 32 bits adresser = ~ mulige IP adresser CIDR og NAT teknikker anvendes i høj grad Nl at få mest muligt ud af det eksisterende adresse rum IPv6 anvender 128 bits adresser = mulige IP adresser! (340 SeksNllioner (10 36 )) = mere end rigeligt! Giver mulighed for en skalerbar, simpel og nemt forståelig adresseplan

12 IPv6 opbygning af adresse - 1 En IPv6 adresse er opbygget af 8 individuelle grupper af hver sin 16 bits hexadecimale værdi. En typisk adresse kan se ud som den her viste: 2001:0db8:1234:5678:9abc:def0:1234:5678 Det er muligt at forkorte en IPv6 adresse ForansNllet nul (0) kan helt undlades Gentagne Nlfælde af flere sæt med rene nuller kan noteres som (::) 2001:0db8:0000:130F:0000:0000:087C:140B Bliver eier trunkering Nl 2001:db8:0:130F::87C:140B Dobbelte kolons kan dog kun forekomme engang i adressen! Netværk præfix kan vises på samme måde som IPv4 CIDR: /24 Netværk præfix for et IPv6 netværk kan vises som (trunkeret først): 2001:db8:12::/ :0db8:0012:0000:/64 12

13 IPv6 opbygning af adresse - 2 IP adressen er delt i en netværksdel og en host del. Default er alnd at der er afsat 64 bits Nl hver del. DeUe kan godt ændres men det er ikke Nlrådeligt! Der er som Ndligere nævnt 3 måder hvorpå en host kan få en IPv6 adresse: AutomaNsk selvgenereret IP adresse* Manuelt indtastet IP adresse DHCP Nldelt IP adresse * Selvgenereret IP adresse er netværks ID hentet fra nærmeste router eierfulgt af en host ID som indeholder enten enhedens 48 bit MAC adresse, spliuet på midten med indsat FFFE, sådan at der i alt er 64 bit, eller en random generet host ID adresse. 13

14 De forskellige typer af IPv6 adresser Unicast Adresse Denne adresse idennficerer en enkelt node/interface. Trafik sendt Nl en Unicast adresse sendes kun Nl et enkelt interface Mul.cast Adresse Denne adresse idennficerer en gruppe af enheder/interfaces. Trafik sendt Nl en MulNcast adresse sendes Nl alle enheder i gruppen. Anycast Adresse Denne adresse idennficerer også en gruppe af enheder/interfaces. Trafik sendt Nl en Anycast adresse sendes Nl den den nærmeste enhed i netværket som lyuer på anycast adressen. En Anycast adresse er f.eks. en Unicast adresse som er Nldelt flere enheder og som har en Host ID = 0000:0000:0000:0000 (Subnet- router anycast address) Der findes ikke nogen broadcast adresse mere i IPv6! De anses for at være for ressource tunge, IPv6 bruger MulNcast adresser i stedet. 14

15 Unicast IPv6 adresser Unicast adressen kan være en af følgende typer Global adresse kan routes over InterneUet Local adresse Nldelt og administreret i organisanonen, kan ikke anvendes på InterneUet Link local adresse Nldeles alnd af enheden selv, anvendes ved kommunikanon på eget segment (Kræver kun at man tænder for IPv6 på interfacet) Eksempel fra Cisco router: Vlan1 is up, line protocol is up IPv6 is enabled, link- local address is FE80::216:47FF:FE80:6AC0 No Virtual link- local address(es): Global unicast address(es): 2001:DB8:1234:5678::1622, subnet is 2001:DB8:1234:5678::/64 15

16 Unicast IPv6 adresser En global unicast adresse kan Nldeles på følgende måder Manuelt indtastet her angives, som ved IPv4 en adresse, en prefix længde og en default gateway (Link local adressen på nærmeste gateway) Autogeneret adresse, hvor prefix hentes fra nærmeste router ved hjælp af router discovery messages fra klient. Host delen kan genereres på to måder Randomiseret adresse genereret af klienten selv Anvend MAC adresse med indføjet FFFE i midten af host delen af IPv6 adressen Ethernet ID 00:23:6c:85:c9:8d IPv6 adresse: 2002:5ab8:f42e:0000:0223:6cff:fe85:c98d Eks. på selvgeneret IP host del, baseret på MAC adressen. Bemærk at en EUI adresse kendes på at bit 2 er sat i den anden byte af den oprindelige adresse 16

17 Eksempel på en IPv6 adresse (Apple) Her vises en hvordan en Apple MAC har selvgenereret en IPv6 adresse ud fra routerens netværks adresse 2001:DB8:1234:5678:/64. Ethernet kortets MAC adresse er 00:23:32:d5:b8:e4 (bemærk at anden byte=2) 17

18 Eksempel på en IPv6 adresse- 1 (Windows7) MicrosoI anvender som default ikke EUI64 adresser. De genererer en random IPv6 adresse, som forhåbentlig er unik. Yderligere optræder en midlerndig IPv6 adresse. Autogenereret random adresse Man kan diskutere om MicrosoIs løsning er bedre, men det er kun MS der ikke vil anvende EUI64 per default. Problemet med duplicate IP adresser er muligt, men nok ikke videre sandsynligt. 18

19 Eksempel på en IPv6 adresse- 2 (Windows7) Windows7 kan omkonfigureres Nl at anvende EUI64 adresser: netsh interface ipv6 set global randomizeiden6fiers=disabled store=persistent Slår randomisering af IP adressen fra, nu anvendes standard EUI64 adressering netsh interface ipv6 set privacy state=disabled store=persistent Slår brug af midlerndige IPv6 adresser fra kun en global IPv6 adresse anvendes Autogenereret EUI64 adresse 19

20 Eksempel på en IPv6 adresse (HP printer) Her ses et eksempel på en HP printer der har fået Nldelt en DHCP IPv6 adresse via en DHCP server hvor netværks præfix er 2001:DB8:1234:5678:/64. IndikaNon på autogeneret adresse Autogenereret DHCP Nldelt Ethernet kortets MAC adresse er 00:21:5a:97:t:e8 (bemærk at anden byte=2 for den autogenerede adresse!) 20

21 DNS i IPv6 DNS anvendes Nl at oversæue logiske navne Nl en IP adresser. I IPv4 anvendes A records Nl at definere en host I IPv4 kan en forward (A) record se ud som følger: www IN A Den Nlsvarende reverse PTR record kunne da se ud som: in- addr.arpa PTR I IPv6 anvendes AAAA records Nl at definere en host I IPv6 kan en forward (AAAA) record se ud som følger: www IN AAAA 2001:ec8:4008::1234:5678:9abc:def0 Den Nlsvarende reverse PTR record kunne da se ud som: f0.de.bc.9a c8.e.1.20.ipv6.arpa PTR www6.netplan.dk. 21

22 DNS server opsummering Ny syntaks, men samme opbygning af DNS server Eksisterende DNS server supporterer måske ikke IPv6? Opgrader Nl DNS server der kan supportere IPVv6 DNS server vil være en typisk dual- stack applikanon og være DNS for både IPv4 og IPv6 Reference Nl to IPv6 DNS produkter: SolidDNS: hup:// info- page Cisco Network Registrar: hup:// 22

23 Hierarkisk adressering og aggregering Her ses tydeligt idéen bag den hierarkiske opbygning af det offentlige Internet med IPv6 adressering En ISP er ejer alle adresser startende med 2001:0DB8::/32 Til kunde 1 uddeles 2001:DB8:0001::/48 Nl kunde 2 uddeles 2001:DB8:0002::/48 Kunde1 opdeler eget netværk i to segmenter: :DB8:0001:0001::/ :DB8:0001:0002::/64 23

24 IP adresseplan forskellige valg Med IPv6 er der forskellige muligheder for at designe netværket 1. Anvend ULA IPv6 adresser overalt I dag findes der ikke nogen IPv6 NAT mulighed som kan anvendes i et produknonsnetværk 2. Anvend både ULA og Globale IPv6 adresser Er den mest avancerede løsning, men også mere besværligt at håndtere med hensyn Nl DHCP, DNS, routning og sikkerhed husk at access lister ikke alnd fungerer helt eier hensigten! 3. Anvend kun Globale IPv6 adresser Anbefalet løsning, men sikkerheds folkene vil måske mene at egen netværkstopologi ikke skal vises for uvedkommende 24

25 Anvend ULA IPv6 adresser DeUe sikrer intern kommunikanon og fuld frihed Nl at designe netværket som man vil. Der vil dog ikke være direkte kommunikanon Nl InterneUet. Der eksisterer en RFC4193 der beskriver hvilke IPv6 adresser der ikke benyues på det offentlige Internet Husk at anvende access- lister så ULA adresser ikke slipper ud på det offentlige Internet! Netplans ULA adresse er fd7d:af53:d532::/48 registreret hos hup:// 25

26 Eksempel på et rent ULA setup Alle enheder anvender en unik intern adresse Der skal findes en NAT enhed der kan supportere IPv6 eller en proxy server som kan håndtere IPv6. Der skal være access filtre der forhindrer at ULA adresse slipper ud på InterneUet Fungerer som i dag med IPv4, bortset fra at der ikke er nogen skalerbare NAT/Proxy løsninger i dag. Fjerner ikke fordelene ved ikke længere at skulle anvende NAT mod InterneUet (Problem med globale mulncast, eller ingen end- to- end kommunikanon uden NAT) 26

27 Eksempel på et ULA+Global setup Der anvendes både ULA og globale adresser, dog har interne host kun en ULA adresse SAS (Source address selecnon) anvendes Nl at bestemme hvilken adresse enheden bruger Nl at kommunikere med. Enheder med kun en ULA adresse og enheder med kun en global adresse kan tale med hinanden internt i organisanonen. Der er et stort management overhead DHCP, DNS, rounng og sikkerhed Husk access filtre på Internet forbindelse ULA adresser må ikke slippe ud 27

28 Retningslinier ved at vælge ULA+Global Anvend DHCPv6 for både ULA og Global adresser og anvend forskellige policies for begge (LifeNme, opnoner osv) Check at rounng virker for begge kan man nå AD og DNS servere uayængig af hvilken adresse type man har? QoS, ACL, load- balancers skal konfigureres Nl at håndtere de rignge IP segmenter Hvis man anvender SLAAC for begge typer af adresser, så husk at hvis man disabler Windows Privacy, så gælder det for begge type adresser. Det betyder at enten anvendes ingen temporære adresser og EUI64 overalt, ellers er det random og temporære adresser for alle! En mulighed kunne være at anvende DHCPv6 for ULA, og SLAAC for de lokale IP adresser. Så kan man skille det ad ved at anvende forskellige scope opnons. SAS opførsel er OS ayængigt og der har været set problemer med at få deue Nl at virke pålideligt 28

29 Eksempel på et rent Global setup Der anvendes globale IPv6 adresser overalt Ingen problemer med SAS Der anvendes ikke NAT ved kommunikanon med InterneUet Nemmere håndtering af DHCP, DNS, sikkerhed osv. Eneste minus er, at man bryder den indbyggede vane hvor sikkerheds guruerne siger at der alnd skal udføres NAT når interne enheder kommunikerer med InterneUet. - 29

30 IPv6 hvad skal der gøres Pre installa.ons fase Find det sted i netværket hvor integranon af IPv6 skal starte Redegør klart for hvordan netværket er opbygget, anvend eventuelt forskellige netværks værktøjer Nl at dokumentere deue Definer IPv6 sikkerheds forskriier og disses ayængigheder (FW etc.) Hvis der er andre IPv6 ayængigheder, så skal deue beskrives (ApplikaNoner etc) Installa.ons fase Overvej hvilken IPv6 installanonsmodel der skal vælges (ULA + Global?) Campus IPv6 integranons muligheder WAN IPv6 integranons muligheder Avancerede IPv6 service muligheder 30

31 IntegraNon / sameksistens 1. Implementer dual stacks på hosts 2. Implementer dual stacks på Campus switche 3. Implementer dual stacks på WAN/campus og core/edge routere 4. Anvend NAT- PT for de server der aldrig kommer Nl at køre IPv6 31

32 Pre installanons checkliste Find et egnet startpunkt for IPv6. Foretag en netværks analyse af eksisterende situanon, definer retningslinjer for netværks sikkerhed Tal med din ISP og få en IPv6 adresse blok. Ud fra denne skal en IPv6 adresseplan genereres Opbyg et lab med routere, switche og hosts med de relevante styresystemer, som kan emulere alle tænkte IPv6 scenarier husk at budgeuere med deue - Opgradere DNS/DHCP server Nl at kunne supportere IPv6 Opbyg en network management plazorm der kan håndtere IPv6 Der skal vælges/evalueres en routnings protokol. Hvis der skal anvendes mulncast, så skal det også tænkes ind. Se hvilke valg der er gjort på IPv4 og genanvend hvis muligt. Hvis nødvendigt, så kan MS ISATAP anvendes midlerndigt Evaluer om nuværende ISP har en IPv6 kapabel løsning klar, eller skii Nl anden ISP der har. 32

33 Konklusioner Start nu med at Nlegne dig viden om IPv6 anvend bøger, præsentanoner og dit eget lab udstyr Opret et virtuelt team med repræsentanter fra alle områder af IT for at sikre dækning af operanvsystemer, applikanoner, netværk og operanon/management. MicrosoI Windows 7 and Server 2008 har som default IPv6 installeret og konfigureret man skal forstå at deue allerede nu har en indflydelse på netværket. Følgende skal klart overvejes: Fuld paritet mellem IPv4 og IPv6 er måske nok målet, men det er ikke en realitet i dag. Hold skarpt øje med de nye standarder indenfor området 33

34 34 Spørgsmål?