Gesellschaft für wissenschaftliche Datenverarbeitung mbH Göttingen

Am Fassberg, 37077 Göttingen

Fon: 0551 201-1510 Fax: 0551 201-2150gwdg@gwdg.de www.gwdg.de

von

IPv6 - Der Stand der Dinge

Holger Beck

Vorstellung

� Zur Person• Seit 1990 bei der GWDG• Arbeitsgebiete

- Netzwerke (Router, Switches, Firewall, DNS, DHCP, … -nicht [mehr] Netzwerkbetriebssysteme)

- IT-Sicherheitsbeauftragter der GWDG� Zur Agenda

• Ein paar einführende Worte zu IPv6• Wie sieht es mit IPv6 im GÖNET und im Wissenschaftsnetz des

DFN (X-WiN) aus• Was wird die GWDG unternehmen?• Was kommt auf die Netzwerkteilnehmer zu?

2

Was ist IPv6?

� Internet Protocol Version 6• zunächst ein neues Protokoll

- Formatierung der Datenpakete (Header)- Funktionalitäten (Mobile IP, MS DirectAccess, Quality of Service,

Umnummerierung von Netzen)- Verfahren (z.B. Adressvergabe, Konfiguration des Router im

Endgerät, Duplicate Address Detection)• im Wesentlichen auf Schicht 3 des OSI Models (Vermittlungsschicht )• insbesondere aber ein Protokoll, dass den Adressraum des Internets

erweitert• In der Entwicklungszeit auch mal Internet Protocol Next Generation

(IPng) genannt.� Nachfolger des aktuellen Internet Protocols IP

• genauer: von Internet Protocol Version 4 (IPv4)

3

Hilfe – die IP -Adressen sind alle!

� Am 3. Februar 2011 ist die Welt untergegangen• … oder doch nicht?

� Am 3.2. hat die Internet Assigned Numbers Authority (IANA) die letzten Adressen vergeben• genauer: je ein /8-Netz • jeweils 16.777.216 Adressen• an die 5 Regional Internet Registries (RIRs)

- AfriNIC (Afrika)- APNIC (Asia/Pacific)- ARIN (Nordamerika)- LACNIC (Lateinamerika)- RIPE (Europa)

4

Wo kommen die IP -Adressen her?

� Exkurs zum Vergabeprozess1. IANA vergibt Adressen an RIRs (z.B. RIPE in Europa),2. RIRs vergeben Adressen an Local Internet Registries (LIRs)

oder Internet Service Provider (ISPs), z.B. den DFN-Verein,3. Die LIRs vergeben Adressen an Kunden (z.B. DFN an die

GWDG),4. In lokalen Netzen werden Adressen unterverteilt (z.B. GWDG

an das Mathematische Institut).� Wo ist das Problem?

• Die RIRs können (noch) Adressen vergeben• DFN, GWDG oder andere Unis haben mittelfristig immer noch

genug Adressen• Neue Teilnehmer, die noch keine Adressen haben

(insbesondere in Asien und Afrika) bekommen bald massive Probleme

5

http://ipv6.he.netvom 29.08.2011

Die etwas andere IP -Adresse

� Formatänderung• die Adresse ist 4x so lang (128 statt 32 Bit)• Blockung in Zahlen von je 16 Bit statt 8 Bit• man spricht hexadecimal• Trennzeichen : statt .• z.B.: 2001:0638:0600:0000:0000:0000:0E7E:0015

� Vereinfachung• Führende Nullen können weggelassen werden,

- 2001:638:600:0:0:0:E7E:15• Einmalig können aufeinanderfolgende Blöcke von Nullen weggelassen

werden (dann steht dort nur :: )- 2001:638:600::E7E:15

� Fazit• zumindest gewöhnungsbedürftig

6

… und davon auch noch gleich mehrere

Zuordnung Präfix binär Präfix hex Anteil der Adressen

Global Unicast 001 2000::/3 1/8

Link-local Unicast 1111 1110 10 FE80::/10 1/1024

Site-local Unicast(obsolet)

1111 1110 11 FEC0::/10 1/1024

Local IPv6 Address

1111 110 FC00::/7 1/128

Private Administration

1111 1101 FD00::/8 1/256

Multicast 1111 1111 FF00::/8 1/256

7

Ist das alles kompliziert …

� Zunächst ist IPv6 erst einmal ungewohnt� IPv6 ist über Jahre gewachsen

• … und manchmal ging es bei der Entwicklung hin und her� Aber in IPv6 sind viele Erfahrung, die mit IPv4 über Jahre

gesammelt wurden eingeflossen� Technisch ist IPv6 nicht komplizierter

• Headerformate sind einfacher- … und sollten sich daher besser verarbeiten lassen

• Verschlüsselung (IPSec) ist integriert- … und verfügbar, wenn man es benutzen will

8

Adressen ohne Ende

� 2128 (340.282.366.920.938.463.463.374.607.431.768.211.456, ca. 340 Sextillionen)• für jedes Sandkorn der Erde eine Adresse (stand irgendwo)• ca. 66,7 Trillionen Adressen pro Quadratzentimeter

Erdoberfläche (510 Mio km2, selbst gerechnet, keine Gewähr)� Probleme gibt es erst wieder, wenn diese Herren mitmischen

wollen:

9

… oder doch nicht

� 64 Bit Interface Identifier• 264 = 18.446.744.073.709.551.616 Adressen pro (Sub-) Netz

(ca. 18 Trillionen)• Bleiben 64 Bit für „Netzwerknummer“

- Global Routing Prefix plus- Subnet Identifier

� ISP vergeben typischerweise /48 Präfixe• z.B. an GWDG, aber auch an Kunden mit kleineren Netzen• verbleiben 16 Bit für Subnetze (65.536 Subnetze)• Aufteilung auf GWDG, Universität, UMG, MPIs

- geviertelt also 16.384 • Das erste Institut wollte ein /48er Netz, mindestens aber /56

- /56er Subnetze gibt es aber nur 256 pro /48er Netz- Also haben wir doch schon wieder zu wenig Adressen?

10

Netzwerkkonfiguration bei IPv6

� Stateless Address Autoconfiguration (SLAAC)• Rechner generiert selbst Interface Identifier• Global Prefix wird vom Router mitgeteilt• oder der Link Local Prefix in Abwesenheit von Routern verwendet• Routing-Informationen werden über Router Advertisements von Routern

bekannt gemacht� Stateful Autoconfiguration / DHCPv6

• über Router Advertisements kann statt SLAAC Adresskonfiguration über DHCPv6 signalisiert werden

� SLAAC liefert keine weiteren Informationen z.B. zu DNS• Über Router Advertisements kann mit geteilt werden, dass über

DHCPv6 ergänzenden Informationen bezogen werden können� Manuelle Konfiguration ist natürlich auch möglich

11

Interface Identifier und Datenschutz

� Varianten von Interface Identifier• EUI-64

- MAC-Adresse - aufgefüllt mit FFEE zwischen 3. und 4. Byte und „locally

administered Bit“ gesetzt (2. Bit)• manuell konfigurierte Adresse• per DHCPv6 vergeben• variierende Adresse über Privacy Extensions (RFC4941)

� Datenschutzproblem (ohne Privacy Extensions)• über immer gleich bleibende Interface Identifier lassen sich

Benutzerprofile erstellen- bisher in Uni-/Firmennetzen mit festen Adressen mit IPv4- im Privatbereich und bei dynamischen Adressen oder NAT in

Uni-/Firmennetzen bisher nicht12

Kommt IPv6 überhaupt?

� Kennen Sie • das papierlose Büro?• Oder setzen Sie OSI-Protokolle ein?• Ist IPv6 der Nachfolger der OSI-Protokolle• … und kommt nie?

� Von IPv6 wird schon lange geredet• Standardisierung in RFCs seit 1993• Offizielle Adressvergabe seit 1999

� … aber IPv6 wird bisher kaum verwendet.• Network Address Translation (NAT) hat den IPv4-Adressraum lange gestreckt

� Seit 2010 verstärktes Interesse• IANA-Pool vergeben seit 3.2.2011• World IPv6 Day am 8.6.2011 mit deutlichem Anstieg des IPv6-Verkehrs (relativ)

� Letztlich führt doch kein Weg an IPv6 vorbei• IPv4 ist eben doch langsam ausgereizt.

� Ist die IPv6-Einführung teuer?• IPv6 nicht zu berücksichtigen ist teuer!• … wenn Sie heute in IPv4-only investieren und dann doch IPv6 brauchen

13

Was brauche ich für IPv6?

� Als Endnutzer• Ein halbwegs neues Betriebssystem

- da ist dann alles drin• So sollte es zumindest sein

- Vielleicht ist noch der DSL-Router zu alt, der Provider unterstützt IPv6 nicht, …

� Als Netzwerkbetreiber• IPv6-fähige Router• IPv6-fähige Firewalls• IPv6-fähige Infrastrukturdienste

- DNS-Server- DHCP-Server- Managementanwendungen

� Als Dienstanbieter• Kommt auf den Dienst an

- Mit etwas Glück reicht Einschalten- Dumm gelaufen, wenn in irgendwelchen Programmen oder Datenbanken 32

Bit für Adressen fest eingebaut sind.14

Was muss ich tun?

� Als Endnutzer• Einschalten

- wenn es nicht sowieso schon eingeschaltet ist- (eigentlich lieber erst mal abschalten, solange es nicht wirklich

betrieben wird und funktioniert)• Netzwerk sollte automatisch konfiguriert werden

� Als Netzwerkbetreiber• Fortbildung• Planen• Beschaffen• In Betrieb nehmen

� Als Dienstanbieter• Prüfen, ob ich Kunden/Nutzer habe, die nur IPv6-Adressen bekommen• … und dann ggf. schleunigst mit dem Netzbetreiber reden• … und meine Angebote auf IPv6-Fähigkeit prüfen

15

Migrationsstrategien

� IPv6-only• Umstellung zum Stichtag

� Dual-Stack• Parallelbetrieb von IPv4 und IPv6 auf jedem Rechner

� Tunnellösungen• Zur Verbindung von IPv6-Inseln über IPv4-Netze (und

umgekehrt)� Gateway-Lösungen

• Umsetzung zwischen den Protokollen

16

IPv6-Planung: Zeit zum Aufräumen

� Anfang der 90er haben wir IP-Netze geplant• … und seitdem ist alles irgendwie gewachsen

� Die IPv6-Einführung ist Gelegenheit • Wildwuchs zu beseitigen und• neue Konzeptionen zu prüfen.

� Gesichtspunkte für Planung von Adressen• organisatorische Aspekte (z.B. an der Universität nach Fakultät, Institut,

Abteilung)• geographische Aspekte (Aufteilung auf Städte oder einzelne Gebäude)• netzwerk-topologische Aspekte (Struktur des Routing-Backbones)• funktionale Aspekte (Netze für Wissenschaftler, Verwaltung, Gäste, Server,

Clienten, unterschiedliche Sicherheitszonen)� Sicherheitsregeln auf der grünen Wiese IPv6

• keine (kaum) Rücksicht auf laufende Systeme, bei denen man Angst hat den Dienst zu stören, wenn Firewalls restriktiver konfiguriert werden …

17

Stand IPv6 im DFN -Wissenschaftsnetz

� Routing• DFN verfügt über den Adressbereich 2001:638::/32, • stellt DFN-Nutzern /48er Bereiche zur Verfügung, z.B.

- 2001:638:600::/48 für die GWDG- 2001:638:603::/48 für SerNet

• soweit auf Nutzerseite gewünscht- z.B. die beiden obigen Netze am Anschluss der GWDG

• dynamisches Routing mit BGP bei redundanten Anschlüssen� DNS

• Reverse Mapping für den eigenen Bereich auf DFN-Servern• Delegation der jeweiligen Netze an Kunden

- inkl. Angebot eines Slave-Server beim DFN� Fazit: Alles notwendige verfügbar, es kann losgehen!

18

Stand IPv6 im GÖNET

� Ja, wir haben IPv6• … wir bieten es nur noch (fast) niemanden an.• Ausnahmen: je ein Testnetz in der Informatik und in

der UMG (Netzwerkgruppe G3-75)� Wir haben später angefangen als der DFN-Verein� Der DFN betreibt (fast) nur Router

• … das wäre auch im GÖNET einfach� Nachfolgend mehr …

19

IPv6 im GÖNET: Routing

� Stand• auf den GÖNET-Routern aktiviert (außer gr-physio1)• Routing-Protokoll: OSPFv3

� Probleme• keine VRF-Unterstützung für IPv6,

- d.h. keine getrennten, virtuellen Router auf einem physikalischen Router,

- bisher kein k.o.-Kriterium für IPv6-Einführung

20

IPv6 im GÖNET: Security

� Firewalls• Firewall-Module im GÖNET

- theoretische IPv6-fähig,- aber nur mit erheblichen Performance-Einbußen,- selbst Kollegen bei Cisco raten von der Aktivierung ab.

• ASAs der GWDG unterstützen IPv6- VPN-Gateways- demnächst Server-Netze der GWDG

• Stateless Paketfilter- für IPv6 aktivierbar

� Firewall-Management• Cisco Security Manager unterstützt IPv6 bisher nur sehr eingeschränkt

� Intrusion Prevention System (IPS)• kein IPv6-Support zu erwarten mit derzeitigem System

� VPN-Gateway• System der GWDG für Einwahl: IPv6-fähig• System für lokale lokale Tunnel: nicht IPv6-fähig

21

IPv6 im GÖNET: DNS

� DNS-Server der GWDG sind IPv6-fähig• AAAA-Records für Namen-zu-Adresse-Auflösung• PTR-Records in ip6.arpa für Adresse-zu-Name-Auflösung• Generierung von PTR-Records aus IPv6-Adressen im IPAM-System• IPv6-Adressen der Server konfigurierbar (bzw. als link-local address

konfiguriert)� PTR-Format

• Jede Hexadezimalziffer einzeln im PTR-Record- z.B. PTR für 2001:638:600::E7E:15- 5.1.0.0.e.7.e.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.6.0.8.3.6.0.1.0.0.2.ip6.arpa.

� Problem• Firewall / Firewall-Management noch nicht IPv6-fähig• 0.0.6.0.8.3.6.0.1.0.0.2.ip6.arpa. noch nicht delegiert (da noch kein

Bedarf)

22

IPv6 im GÖNET: Adresskonfiguration

� Stateless Address Autoconfiguration (SLAAC)• über die Router unterstützt,• Problem der Nachvollziehbarkeit angeschlossener Rechner im internen Netz,• eher nicht erwünscht in den meisten Netzbereichen

� DHCPv6• Unterstützung IPAM-System der GWDG nur eingeschränkt

- Übermittlung von DNS-Servern und DNS-Search-List• Verbesserung zum Jahresende erwartet

� Manuelle Adressvergabe• für Server zu empfehlen,• für Arbeitsplatzrechner eher zu fehleranfällig

� Fazit• In größerem Umfang Autoconfiguration über DHCPv6 zu erwarten.• Test stehen aber noch aus• Mit DHCPv6 im Festnetz keine Privacy Extensions

23

IPv6 im GÖNET: Planung

� Ziele• Strukturierung des Adressraums• Sicherheitsaspekte• Umsetzungsplanung

� Stand• noch in konzeptioneller Phase• noch keine Detailplanung

24

IPv6-Planung im GÖNET: Adressaufteilung

� Erweiterung des Adressraums durch eigene Netze• GWDG, Universität, UMG, Studentenwerk• (MPIe in MPG-Konzept zu behandeln)

� Hierarchische Adressverteilung • Fakultät -> Institut -> Abteilung/Arbeitsgruppe/Sicherheitszone• soll möglich sein• Einführung im Dual-Stack-Betrieb aber zunächst nicht möglich

- ein IPv4-Netz ist ein (V)LAN- mehrere IPv6-Netze müssen durch (V)LANs dargestellt werden- Übergang mit Multinetting (?)

� Auch kleinere Einrichtungen können ein ganzes Netz (mindestens /64) erhalten• vereinfacht das Management

25

IPv6-Planung im GÖNET: Security

� Problem des mangelnden Unterstützung in Hardware und Management-Software• hoffen auf Verbesserung der Management-Software• In 2012/2013 steht ein Erneuerung des GÖNET-Backbones an (neu

Hardware)� Verbindliche Firewallfunktionen im GÖNET

• IPv4 ohne Firewalls in Betrieb gegangen- erst mal alles offen- Angst vor Funktionsverlust bei Firewall-Aktivierung

• IPv6 nur mit Firewall- Standardregel: Alles ist verboten (eingehend)- Jeder neu in Betrieb genommen Dienst muss angemeldet und

freigeschaltet werden- Filter für ausgehenden Verkehr?

– z.B. von MPG-Sicherheitshandbuch gefordert

26

IPv6 im GÖNET: Umsetzungsplan

1. IPv6 in Internetanbindung und Backbone-Routing• weitgehend erledigt (bis auf mögliche Umnummerierung)

2. IPv6-Testnetze• im Betrieb

3. Adressplanung• Klärung zusätzlicher Adressen für Uni, UMG mit DFN

4. IPv6 in Firewalls der GWDG• kurzfristig für GWDG-Server-Netze

5. IPv6 für zentrale Dienste der GWDG• DNS kurzfristig• FTP-Server (war schon für World IPv6 Day angedacht, fehlte nur die Zeit)• WWW, Mail usw.

6. IPv6 in Firewalls im GÖNET• ab Ende 2012/Anfang 2013 allgemein im GÖNET

7. Allgemeines Angebot von IPv6 im GÖNET• ab 2013

� Alles als Dual-Stack27

Danke für die Aufmerksamkeit

� Ende • des Vortrag und

� Beginn • der Diskussion

28