IPv6. Tópicos técnicos. Formação para Sistemas Autônomos

Transcrição

1 IPv6 Tópicos técnicos

2 Comparação entre v4 e v6

3 Cabeçalhos de Extensão IPv6 Definidos atualmente: Hop-by-hop options Routing (type 0) Fragment Destination Options Authentication Encapsulating Security Payload

4 Endereçamento IPv4 IPv6 32 bits 128 bits 4 octetos representados por decimais e separados por. 8 hexadecatetos representados por hexadecimais e separados por :

5 Unicast Identificam uma interface univocamente O pacote é entregue apenas a uma interface

6 Unicast (uso local) IPv4 IPv6 Link local (RFC 3330) Link local /16 fe80::/64 Os endereços link local são usados apenas num mesmo segmento de rede. Numa mesma LAN ou VLAN. No IPv4 são atribuídos por um processo chamado APIPA e só são usados quando não há um endereço válido na interface. No IPv6 estão SEMPRE presentes. Os hosts os atribuem a si próprios, de forma automática. São sempre usados, mesmo quando há outros endereços presentes na interface.

7 Unicast (uso na Internet) De: Até: (há exceções) 2000::/3 2000:0000:0000:0000:0000:0000:0000:0000 3fff:ffff:ffff:ffff:ffff:ffff:ffff:ffff (há exceções) Válidos Globais Os endereços válidos (IPv4) ou globais (IPv6) são aqueles roteáveis na Internet. No IPv4, devido ao esgotamento, muitas redes deixam de atribuir esses endereços a usuários, em especial empresas. No IPv6 todos os dispositivos conectados à Internet devem ter um endereços global. Mesmo aqueles em redes corporativas.

8 Unicast (uso privado) IPv4 IPv6 Endereços privados / / /16 Uso em conjunto com o NAT em redes locais ULA (Unique Local Addresses) fc00::/7 fc00::/8 (não utilizado) fdnn:nnnn:nnnn::/48 nnnnnnnnnn = 40 bits empresa escolhe por sorteio No IPv4 os endereços privados são usados em conjunto com o NAT, em redes locais, permitindo o compartilhamento de endereços válidos. No IPv6 esse tipo de uso não é comum, recomendado ou esperado. No IPv4 só há três faixas de endereços privados. Muitas vezes isso leva a colisões em caso de comunicações privadas entre redes diferentes, aquisições de empresas, etc. No IPv6 cada empresa cria um prefixo próprio de 40 bits. Isso significa um total de (mais de um trilhão) de faixas diferentes. Existe baixa probabilidade de colisão em caso de comunicações entre redes privadas. No IPv6 um endereço ULA não é utilizado para acesso à Internet.

9 Unicast (uso dentro do dispositivo) IPv4 Loopback /8 Normalmente se utiliza IPv6 Loopback ::1/128 O endereço loopback é para uso interno nos hosts. Um datagrama enviado por um protocolo de uma camada superior para esse endereço, deve ser encaminhado de volta para o próprio host. Esses endereços não devem nunca aparecer na rede. No IPv4, embora seja comum utilizar apenas o endereço , existe todo um bloco de endereços IPv4. No IPv6 existe apenas um endereço. O grupo de trabalho v6ops no IETF está discutindo a possibilidade de reservar um bloco extra de endereços para loopback, a fim de atender a necessidade de desenvolvedores de softwares de rede.

10 Unicast (documentação e exemplos) IPv4 IPv / / / :db8::/32 Esses endereços são propícios para se escrever howtos, documentos, livros, apostilas, etc. Devem ser filtrados em firewalls e na borda da rede. No IPv4 também é comum usar endereços privados (RFC 1918) para documentos. Mas é preferível utilizar os endereços aqui especificados. No IPv6 estamos discutindo no grupo v6ops do IETF a possibilidade de reservar um segundo bloco, maior, para documentação.

11 Anycast Um mesmo endereço, sintaticamente equivalente a um unicast, é atribuído a diversas interfaces. O pacote é entregue à mais próxima da origem.

12 Anycast Não há um bloco específico para endereços anycast. Um endereço unicast atribuído a diversas interfaces passa a funcionar como um endereço anycast Os root servers do DNS utilizam endereços anycast

13 Multicast Um endereço multicast representa um grupo de interfaces. O pacote é entregue a todas as interfaces do grupo.

14 Multicast /4 (antigo classe D) ff00::/8 Os endereços multicast são propícios para distribuição de conteúdo multimídia, por exemplo. Qualquer aplicação onde existe múltiplos receptores para um mesmo stream de dados pode tirar vantagem. No IPv4 os endereços multicast não funcionam em toda a Internet. Apenas em algumas redes. No IPv6 é cedo ainda para saber o que acontecerá. No IPv6 os endereços multicast são extremamente importantes para funções básicas numa rede local, como a descoberta de vizinhança. Se bloqueados no firewall de um host, a rede não funciona. No IPv4 existem também a possibilidade de utilizar o último endereço da rede como Broadcast, ou o endereço (broadcast limitado).

15 Outros endereços para lembrar IPv4 IPv /24: reservado para atribuição a protocolos específicos /24: 6to4 relay anycast /15: testes de benchmark da rede /4: uso futuro (faixa inutilizada por erro na interpretação da RFC pelos criadores dos Sistemas Operacionais) /32: endereço não especificado 64:ff9b::/96: prefixo usado no mecanismo de transição NAT64 para representar endereços IPv4 na rede IPv6 2002::/16: mecanismo de transição 6to4 2001:0000::/32: mecanismo de transição Teredo ::ffff:w.x.y.z (onde w.x.y.z é um endereços no formato do IPv4): endereços IPv4-mapeado ::0/128: endereço não especificado

16 Pontos de atenção no IPv6 Usamos endereços globais (2000::/3) para todos os hosts que precisem acessar à Internet. Essa é a regra básica, geral, que todos devem ter em mente. Temos de desaprender a pensar em endereços privados do lado de dentro de nossas redes, e endereços válidos somente do lado de fora. Pode haver mais de um endereço global para um mesmo host, ao mesmo tempo, por exemplo em algumas técnicas de multihoming Sempre há um endereço link-local (fe80::/64). E sempre significa: mesmo quando há um ou mais endereços globais Não usamos NAT, até pouco tempo nem existia NAT66 O NAT66 hoje existe mas não é de N:1, não serve para compartilhar endereços. Há poucas situações em que seu uso realmente é necessário e justificável. Deve ser evitado. Endereços ULA (fc00::/7) podem ser usados em equipamentos que não requerem acesso à Internet. Em alguns casos isso pode ser considerado uma camada adicional de segurança. Na maior parte dos casos isso não é necessário. Os endereços multicast são necessários numa rede local, para funções equivalentes às do ARP e RARP no IPv4. Se bloqueados, a rede não funciona.

17 Dúvidas?

18 Características de um bom plano de endereçamento Singularidade: cada bloco distribuído e/ou alocado deve ser único no mundo Registro: o espaço de endereçamento tem que estar registrado na base de um RIR e as informações pertinentes ao registro devem ser acessíveis (via whois) Agregação: sempre que possível distribuir os endereços de maneira hierárquica dentro da topologia. As políticas de endereçamento devem evitar a fragmentação. Conservação: Mesmo com a grande quantidade de endereços deve-se evitar o uso de práticas que favoreçam o desperdício de endereços.

19 Vantagens de um bom plano de endereçamento Políticas de segurança e roteamento mais fáceis de implementar; Maior facilidade no rastreamento de endereços; Escalabilididade; Maior eficiência no gerenciamento da rede.

20 Agregação das rotas Impacto na tabela de rotas Memória Processamento Interno Global Prefixos desnecessários anunciados no BGP representam um custo extra (em gasto de memória e processamento) para TODOS os roteadores da Internet. Agora temos dois protocolos: IPv4 e IPv6! Os impactos são dobrados. O cuidado também deve ser.

21 Sem Agregação

22 Desvantagens Múltiplas rotas divulgadas para todos os Ases da Internet Se a rota precisar ser retirada e anunciada novamente (por exemplo, por um erro, ou problema no cliente específico): Processamento em todo o backbone da Internet Demora na convergência 10 a 20 min para ser visível novamente em toda a Internet

23 Rotas Agregadas

24 Engenharia de tráfego Se quisermos usar a desagregação como ferramenta de engenharia de tráfego, temos de fazer de forma planejada! No exemplo, para cada upstream: Anuncia-se o bloco agregado (Tudo) Mais o bloco de uma parte dos clientes, forçando o balanceamento do tráfego entrante

25 Shame on you! Há relatórios feitos periodicamente sobre a desagregação das rotas na tabela global de roteamento: (não se pode afirmar categoricamente que esses ASes estão errados, sem entender suas razões, mas o exagero no número de prefixos anunciados é um forte indício de que são desnecessários)

26 Como distribuir seus blocos? IPv4 IPv endereços possíveis O provedor recebe e distribui blocos muito pequenos Trabalhamos com escassez de endereços Priorizamos a economia de endereços endereços possíveis O provedor recebe e distribui grandes blocos Trabalhamos com endereços abundantes Priorizamos a boa organização dos blocos, o aproveitamento dos novos recursos do IPv6, a previsão de uso futuro

27 Como distribuir seus blocos? O que acontece se você agrupar todos os clientes no início do bloco? /20 Que prefixos você teria de anunciar para fazer engenharia de tráfego? Como um cliente com necessidade de expansão seria atendido? Como você aplicaria filtros (ACLs) diferentes para diferentes tipos de clientes (gerência da porta 25, por exemplo)?

28 Como distribuir seus blocos? Uma distribuição mais homogênea e organizada permitirá que você enderece melhor essas questões.

29 Como distribuir seus blocos? Considere a necessidade de engenharia de tráfego. Quantos upstreams você terá? Você deseja fazer balanceamento de tráfego? A quantidade prevista de cada tipo de uso para os endereços (quantidade de clientes domésticos e residenciais, por exemplo), pode mudar no futuro? Seus clientes vão se expandir?

30 Como distribuir seus blocos? Faça uma distribuição hierárquica do seu bloco. Duas ou três categorias normalmente são suficientes para um bom resultado. Separe os bits mais significativos para a divisão principal e os restantes para a divisão secundária.

31 Como distribuir seus blocos? Por exemplo. Consideremos que você tem um /32 IPv6 e atende algumas localidades, tendo em cada uma um PoP. Consideremos que você atende clientes domésticos e corporativos em cada localidade. A divisão principal pode ser a geográfica, e a secundaria, a funcional (discutiremos os prós e contras a seguir). Podemos separar, por exemplo, 4 bits para as localidades, e mais 4 bits para o tipo de cliente. Dessa forma atenderemos 16 localidades possíveis, cada uma com 16 tipos de clientes. Para cada tipo de cliente teremos disponíveis 256 redes /48, ou redes /56. Prefixo /32 recebido 32 bits IID 64 bits Local Tipo Redes /56 bits do cliente

32 Como distribuir seus blocos? Por exemplo. Consideremos que você tem um /32 IPv6 e atende algumas localidades, tendo em cada uma um PoP. Consideremos que você atende clientes domésticos e corporativos em cada localidade. A divisão principal pode ser a geográfica, e a secundaria, a funcional (discutiremos os prós e contras a seguir). Podemos separar, por exemplo, 4 bits para as localidades, e mais 4 bits para o tipo de cliente. Dessa forma atenderemos 16 localidades possíveis, cada uma com 16 tipos de clientes. Para cada tipo de cliente teremos disponíveis 256 redes /48, ou redes /56. Prefixo /32 recebido 32 bits IID 64 bits Local Tipo Redes /48 bits do cliente

33 Como distribuir seus blocos? Distribuição Geográfica Regiões, Cidades, Bairros Departamentos, Salas, Andar Fácil de entender e aplicar Distribuição Topológica Organização da rede Privilegia agregação Distribuição Funcional Serviços e funcionalidades Facilita gestão dos serviços e configurações de firewalls

34 Pontos de atenção para o IPv6 Não contamos mais endereços. Contamos redes. As redes onde estão os hosts devem ser /64 Nem maiores, nem menores... Autoconfiguração stateless Os endereços deixaram de ser um recurso escasso. São agora abundantes.

35 Boas práticas IPv4 IPv6 Evite desperdício, procure formas de utilizar ao máximo os IPs Subredes com prefixos em múltiplos de 4 bits (dígitos hexadecimais) Separe um bloco em cada região/pop para infraestrutura Um /48 em cada região/pop para infraestrutura Separe um bloco para Loopbacks Loopbacks no primeiro /64 da rede RFC3021 Links ponto a ponto podem ser /31 Links ponto a ponto /127 ou / 126 Procure utilizar tamanhos coerentes de prefixos para cada nível hierárquico da rede Tamanhos coerentes de prefixos para cada nível hierárquico da rede

36 Tamanho dos blocos IPv6 O provedor recebe, no mínimo, um /32 Pode receber blocos maiores, se justificar a necessidade. Os tamanhos de blocos recomendados para os usuários são: /48 para organizações /64 para usuários móveis /56 para usuários domésticos Se for alocar menos no início, reserve um /56. Mas e a diferenciação dos serviços residencial e corporativo? Encontre outra forma Não coloque barreiras para obtenção de endereços!

37 Como alocar os endereços? Vimos já como planejar a distribuição do bloco de endereços recebido, em blocos menores, destinados a cada localidade ou tipo de serviço. Para cada um desses blocos, como podemos alocar os endereços? Vamos supor que tenhamos um bloco /22 destinado a nossos clientes corporativos. Vamos distribuir um / 27 para cada um deles. São 32 clientes possíveis. Quais são as alternativas?

38 Alocação sequencial (rightmost) O que acontece se o primeiro cliente precisar de mais espaço? Nenhum cliente alocado Receberá um bloco não agregável. Isso pode não ser uma boa idéia! 1 o. cliente Por outro lado, caso você venha a necessitar de um grande espaço contíguo para alocar para um cliente especial, você o terá. Esse método equivale a contar variando os bits mais a direita. Por isso é chamado rightmost. 2 o. cliente 3 o. cliente 4 o. cliente

39 Alocação reservando blocos Para cada cliente reservamos um espaço que é o dobro do que é alocado O bloco subsequente é agregável! Parece melhor que a solução anterior! Nenhum cliente alocado 1 o. cliente 2 o. cliente Mas o que acontece se o cliente precisar crescer mais, e o dobro não for suficiente? 3 o. cliente 4 o. cliente

40 Alocação reservando sempre o maior espaço possível Podemos reserva para cada cliente o maior espaço disponível possível para o crescimento. Nenhum cliente alocado 1 o. cliente 2 o. cliente Isso equivale a contar variando os bits disponíveis mais a esquerda. Por isso é chamado de leftmost. 3 o. cliente 4 o. cliente

41 Dúvidas?

42 Descoberta de Vizinhança Descoberta de Endereços da Camada de Enlace Determina o endereço MAC dos vizinhos do mesmo enlace. Substitui o protocolo ARP. Utiliza o endereço multicast solicited-node em vez de broadcast. O host envia uma mensagem NS informando seu endereço MAC e solicita o endereço MAC do vizinho. 2001:db8::faca:cafe:1234 MAC AB-CD-C C 2001:db8::ca5a:f0ca:5678 MAC AB-CD-C C0 ICMPv6 Type 135 (Neigbor Solicitation) Origem 2001:db8::faca:cafe:1234 Destino FF02::1:FFCA:5678 (33-33-FF-CA-56-78) Who is 2001:db8::ca5a:f0ca:5678?

43 Descoberta de Vizinhança Descoberta de Endereços da Camada de Enlace Determina o endereço MAC dos vizinhos do mesmo enlace. Substitui o protocolo ARP. Utiliza o endereço multicast solicited-node em vez de broadcast. O host envia uma mensagem NS informando seu endereço MAC e solicita o endereço MAC do vizinho. O vizinho responde enviando uma mensagem NA informando seu endereço MAC. 2001:db8::faca:cafe:1234 MAC AB-CD-C C 2001:db8::ca5a:f0ca:5678 MAC AB-CD-C C0 ICMPv6 Type 136 (Neigbor Advertisement) Origem 2001:db8::ca5a:f0ca:5678 Destino 2001:db8::faca:cafe:1234 (AB-CD-C C) Use AB-CD-C C0

44 Descoberta de Vizinhança Descoberta de Roteadores e Prefixos Localizar roteadores vizinhos dentro do mesmo enlace. Determina prefixos e parâmetros relacionados à autoconfiguração de endereço. No IPv4, está função é realizada pelas mensagens ARP Request. Roteadores enviam mensagens RA para o endereço multicast allnodes.

45 Descoberta de Vizinhança Detecção de Endereços Duplicados Verifica a unicidade dos endereços de um nó dentro do enlace. Deve ser realizado antes de se atribuir qualquer endereço unicast a uma interface. Consiste no envio de uma mensagem NS pelo host, com o campo target address preenchido com seu próprio endereço. Caso alguma mensagem NA seja recebida como resposta, isso indicará que o endereço já está sendo utilizado.

46 Path MTU Discovery MTU - Maximum Transmit Unit - tamanho máximo do pacote que pode trafegar através do enlace. Fragmentação - permite o envio de pacotes maiores que o MTU de um enlace. IPv4 - todos os roteadores podem fragmentar os pacotes que sejam maiores que o MTU do próximo enlace. Dependendo do desenho da rede, um pacote IPv4 pode ser fragmentado mais de uma vez durante seu trajeto. IPv6 - fragmentação é realizada apenas na origem. Path MTU Discovery busca garantir que o pacote será encaminhado no maior tamanho possível. Todos os nós IPv6 devem suportar PMTUD. Implementações mínimas de IPv6 podem omitir esse suporte, utilizando 1280 Bytes como tamanho máximo de pacote.

47 Path MTU Discovery Assume que o MTU máximo do caminho é igual ao MTU do primeiro salto. Pacote maiores do que o suportado por algum roteador ao longo do caminho, são descartados Uma mensagem ICMPv6 packet too big é retornada. Após o recebimento dessa mensagem, o nó de origem reduz o tamanho dos pacotes de acordo com o MTU indicado na mensagem packet too big. O procedimento termina quando o tamanho do pacote for igual ou inferior ao menor MTU do caminho. Essas interações podem ocorrer diversas vezes até se encontrar o menor MTU. Pacotes enviados a um grupo multicast utilizam tamanho igual ao menor PMTU de todo o conjunto de destinos.

48 DNS Imensa base de dados distribuída utilizada para a resolução de nomes de domínios em endereços IP e vice-versa. Arquitetura hierárquica, com dados dispostos em uma árvore invertida, distribuída eficientemente em um sistema descentralizado e com cache. Registros IPv4 = A - Traduz nomes para endereços IPv4. IPv6 = AAAA (quad-a) - Traduz nomes para endereços IPv6. Exemplo: IN A IN AAAA 2001:12ff:0:4::22

49 DNS Registro PTR Resolução de Reverso. IPv4 = in-addr.arpa - Traduz endereços IPv4 em nomes. IPv6 = ip6.arpa - Traduz endereços IPv6 em nomes. Exemplo: in-addr.arpa PTR f.f ip6.arpa PTR Obsoletos Registros A6 DNAME Domínio para a resolução de reverso ip6.int

50 DNS A base de dados de um servidor DNS pode armazenar tanto registros IPv6 quanto IPv4. Esses dados são independentes da versão de IP em que o servidor DNS opera. Um servidor com conexão apenas IPv4 pode responder consultas AAAA ou A. As informações obtidas na consulta IPv6 devem ser iguais às obtidas na consulta IPv4.

51 6in4

52 GRE

53 Tunnel broker

54 6PE e 6VPE

55 6to4

56 6rd

57 NAT444

58 NAT64

59 464XLAT

60 DSLite

61 MAP-E

62 MAP-T

63 Dúvidas?