IPv6 nat के बिना लेकिन एक isp परिवर्तन के बारे में क्या?

Question

मैंने अपने होम पीसी पर GoGoNet जैसे सामान के साथ 4to6 टनलिंग के बाहर IPv6 के साथ काम नहीं किया है। मैंने पढ़ा है कि यह सामान्य तरीके से कैसे काम करता है। कोई NAT आवश्यक नहीं है (या सुझाव दिया गया है) और प्रत्येक ग्राहक एक सार्वजनिक ipv6 पते का उपयोग करता है और मैं फ़ायरवॉल के निरंतर उपयोग को समझता हूं। मेरी समझ से, NAT के उपयोग के बिना, UAL और ARIN द्वारा आपको अपनी वैश्विक सीमा देने के लिए, इसका मतलब है कि आपके लैन पर सभी प्रणालियों पर ipv6 पता आपके isp द्वारा प्रदान की गई सीमा से होगा। उस स्थिति में क्या होगा जब आप अपना ISP बदल देंगे? क्या इसका मतलब होगा कि आपको अपनी पूरी लेन पता सीमा बदलनी होगी?

एक सामान्य IPv4 विंडो शॉप में, मेरे पास ऐसी स्थिति हो सकती है:

Site1 Lan IPs: 192.168.1.0/24
Site2 Lan IPs: 10.0.0.0/24
Site1 Public IP: 11.12.13.1/29 (11.12.13.1 - 11.12.13.5 usable)
Site2 Public IP: 20.30.40.1/29 (20.30.40.1 - 20.30.40.5 usable)
Site-to-site VPN via firewalls

Site1:                                 Lan IP,         Public IP:Port
Hardware firewall/router             - 192.168.1.1,    11.12.13.1
Windows AD DC server (AD DNS server) - 192.168.1.10
Windows Exchange (email)             - 192.168.1.11,   11.12.13.2:25+443
Windows RDS (term server)            - 192.168.1.12,   11.12.13.3:3389
Workstations (via DHCP)              - 192.168.1.100+

Site2:
Hardware firewall/router             - 10.0.0.1,       20.30.40.1
Windows AD DC server (AD DNS server) - 10.0.0.10
Windows IIS (webserver)              - 10.0.0.11,      20.30.40.2:80
Workstations (via DHCP)              - 10.0.0.100+

सर्वरों को स्टेटिक रूप से लैन इप्स सौंपा गया है, डीएनएस सर्वरों के पास और अन्य भी हैं, क्योंकि फ़ायरवॉल आपके द्वारा टाइप किए जाने वाले आईपी पतों (बनाम होस्टनाम) के माध्यम से सर्वरों को पोर्ट अग्रेषण करता है।

अब अगर मैं इसे ipv6 केवल पर्यावरण के रूप में सेटअप करना चाहता था? क्या सब कुछ अभी भी वैधानिक रूप से असाइन किए गए सर्वर और dhcpv6 के साथ वर्कस्टेशन के लिए समान होगा?

लेकिन तब अगर मैं किसी अन्य isp पर स्विच करता हूं तो इसका मतलब है कि मुझे सभी सर्वरों के लिए आईपी पता बदलने की आवश्यकता है? अगर मेरे पास 100 सर्वर हैं तो क्या होगा? मुझे लगता है कि मैं सर्वर पर dhcpv6 का उपयोग कर सकता हूं, लेकिन मैंने एक बिज़-क्लास फ़ायरवॉल नहीं देखा है जो होस्टनाम या आंतरिक डीएनएस (सॉनिकवॉल, जुनिपर, सिस्को, आदि) के माध्यम से पोर्ट अग्रेषण की अनुमति देता है। और DNS सर्वर को अभी भी स्थिर ips की जरूरत है।

इसके अलावा इसका मतलब यह नहीं होगा कि बदलते lan ipv6 ips के संक्रमण के दौरान, मेरे सर्वर मेरे पुराने ब्लॉक को इंटरनेट पर लैन ट्रैफ़िक भेज सकते हैं क्योंकि यह अब स्थानीय लैन नहीं है? तकनीकी शब्दों में कम से कम, मुझे लगता है कि यह संभावना नहीं है कि कोई पुराने ब्लॉक का उपयोग करेगा जो जल्दी और यह फ़ायरवॉल पर अवरुद्ध हो सकता है।

मुझे लगता है कि यह सभी के लिए बहुत अच्छा होगा कि वे अपना स्वयं का परमिट प्राप्त ipv6 ब्लॉक करें, लेकिन मुझे लगता है कि यह वैश्विक रूटिंग टेबल को असामान्य रूप से बड़ा बना देगा।

अपडेट नीचे दिए गए उत्तरों के आधार पर, मैंने ऊपर दिए गए उदाहरण के स्थान को अपडेट किया और इसलिए यह ipv6 के बराबर होगा?

Site1 ULA: fd80::192:/64
Site2 ULA: fd80::10:/64
Site1 Public IP: 2000:1112:1301::/48
Site2 Public IP: 2000:2030:4001::/48
Site-to-site VPN via firewalls

Site1:                       Link-Local, ULA,            Public
Hardware firewall/router   - fe80::1,    fd80::ABCD:1,   2000:1112:1301::1
Windows AD DC server (DNS) - fe80::10,   fd80::ABCD:10,  2000:1112:1301::A
Windows Exchange (email)   - fe80::11,   fd80::ABCD:11,  2000:1112:1301::B
Windows RDS (term server)  - fe80::12,   fd80::ABCD:12,  2000:1112:1301::C
Workstations (via DHCP)    - fe80::100+, fd80::ABCD:1xx, 2000:1112:1301::10+

Site2:                       Link-Local, ULA,            Public
Hardware firewall/router   - fe80::1,    fd80::ABCD:2,    2000:2030:4001::1
Windows AD DC server (DNS) - fe80::10,   fd80::ABCD:20,   2000:2030:4001::A
Windows IIS (webserver)    - fe80::11,   fd80::ABCD:21,   2000:2030:4001::B
Workstations (via DHCP)    - fe80::100+, fd80::ABCD:2xx,  2000:2030:4001::10+

प्रत्येक साइट के स्वयं के सिस्टम लिंक-लोकल के माध्यम से बात करेंगे, साइट-टू-साइट एक-दूसरे से ULA (VPN द्वारा एन्कैप्ड) और दुनिया (सेवाओं सहित) सार्वजनिक IP के माध्यम से बात करेंगे?

Answer 1

यहाँ निश्चित रूप से आपकी सहायता के लिए कुछ तंत्र हैं।

आंतरिक LAN ट्रैफ़िक के लिए, आपके नेटवर्क पर सिस्टम के बीच, विशिष्ट स्थानीय पते हैं। उनके बारे में RFC1918 पतों की तरह सोचें; वे केवल आपके नेटवर्क के भीतर काम करेंगे। आप अपने नेटवर्क सीमाओं के भीतर किसी भी संचार के लिए इन पतों का उपयोग करने में सक्षम होंगे; बस कुछ जालों को उखाड़ फेंके fd00::/8और आपके राउटर ने उन्हें विज्ञापन देना शुरू कर दिया।

एक सामान्य तैनाती में, इसका मतलब यह होगा कि आपके नोड्स के पास सभी (कम से कम) 3 आईपीवी 6 पते हैं; एक लिंक-स्थानीय fe80::/64पता (जो केवल अपने प्रसारण डोमेन पर अन्य नोड्स से बात कर सकता है), एक अद्वितीय स्थानीय fd00::/8पता (जो आपके LAN में सब कुछ बात कर सकता है), और एक सार्वजनिक पता।

अब, इसका मतलब यह है कि जब आप आईएसपी बदलते हैं, तो आप सब कुछ बदल रहे हैं (जो कि आप अब वैसे भी सार्वजनिक रूप से संबोधित करने योग्य नोड्स के लिए कर रहे हैं, यह मानकर कि आपके पास आईपीवी 4 स्थान नहीं है), बस आपको आंतरिक सभी के बारे में चिंता करने की आवश्यकता नहीं है संचार, जो अद्वितीय स्थानीय सीमा पर रह सकता है।

यह आपकी चिंताओं को कवर कर सकता है - लेकिन एनपीटीवी 6 प्रस्ताव भी है, जिसके लिए वर्तमान में एक प्रायोगिक आरएफसी है । यह आपको नेटवर्क के किनारे पर सार्वजनिक उपसर्गों को निजी श्रेणियों में अनुवाद करने की अनुमति देगा, जिसका अर्थ है कि जब आप आईएसपी बदलते हैं, तो आंतरिक रूप से कोई भी नया रूप नहीं देता है, और कई आईएसपी का उपयोग करने की क्षमता सीमांत रूप से असाइन किए गए पते के साथ (या तो स्थायी रूप से या प्रदाता के लिए संक्रमण अवधि के दौरान) परिवर्तन)।

Comments

+1 - साधारण तथ्य यह है कि एक छोटे से होम नेटवर्क के लिए, आप बस लिंक स्थानीय पते का उपयोग करेंगे fe80::/64और आपके ISP द्वारा निर्दिष्ट IP पते काफी अप्रासंगिक हैं। डेटासेंटर के लिए, हालांकि ISPs बदलना हमेशा एक बड़ा काम रहा है, इसलिए वहां भी थोड़ा बदलाव होता है।

— मार्क हेंडरसन

जब fd00 :: / 8 (ULA) का उपयोग किया जाता है, तो आप पते का अर्ध-यादृच्छिक / 48 ब्लॉक उत्पन्न करने वाले होते हैं। मानकों-अनुरूप एल्गोरिथ्म के साथ ULA पतों की एक ब्लॉक उत्पन्न करने के लिए आप छहxs.net/tools/grh/ula का उपयोग कर सकते हैं । आंतरिक संचार (फ़ाइल सर्वर आदि) और साइट-टू-साइट वीपीएन सुरंगों के लिए यूएलए पते का उपयोग करें, और इंटरनेट का उपयोग करने के लिए सार्वजनिक पते का उपयोग करें। तब आपको केवल ISPs (जैसे स्थानीय रूप से होस्ट की गई वेबसाइट और वीपीएन सुरंगों के समापन बिंदु, लेकिन आपके ULA एड्रेस स्पेस की सभी फ़ायरवॉल पॉलिसियाँ नहीं) को बदलते समय सही मायने में सार्वजनिक सेवाओं को फिर से सेट करना होगा

— Sander Steffann

आह, ठीक है, मैं मेजबान के प्रति सिर्फ कई ipv6 पते के बारे में नहीं सोचा था। मैंने उदाहरण को अद्यतन किया और आईपीवी 6 के लिए एक समतुल्य सेट की मेरी समझ को जोड़ा। मुझे बताएं कि क्या मुझे मेरा अंकन सही मिल रहा है। इसके अलावा लगता है कि वीपीएन सेटअप यूएएल में डेटा को एन्क्रिप्ट करने के लिए फ़ायरवॉल के साथ बहुत आसान होगा। NPTv6 सामान पर भी पढ़ेंगे।

— हॉफडोन

Answer 2

आंतरिक सेवाओं (टर्मिनल सर्वर, आंतरिक मेल सर्वर, प्रिंटर, वेब परदे के पीछे, आदि) के लिए आप fd00: / 8 के तहत एक अद्वितीय स्थानीय ब्लॉक के भीतर साइट के स्थानीय पते का उपयोग कर सकते हैं। यह एक / 48 ब्लॉक उत्पन्न करने के लिए डिज़ाइन किया गया है जहाँ से आप अलग-अलग साइटों के लिए / 64 सेकंड में नक्काशी कर सकते हैं। आप एक सिंगल / 64 से इस मॉडल का उपयोग करके हजारों साइटें बना सकते हैं। इस संबोधन योजना का उपयोग करने वाले सर्वर और सेवाएं आईएसपी में बदलाव से प्रतिरक्षात्मक होंगी। यदि इंटरनेट के माध्यम से साइटें जुड़ी हैं, तो आपको इन पतों को साइटों के बीच में सुरंग करना होगा।

नोट: अद्वितीय स्थानीय ब्लॉक समान समस्याओं में चलते हैं जो IPv4 निजी पते ब्लॉक में हैं। हालाँकि, यदि आप 40 बिट्स को बेतरतीब ढंग से फॉलो करते हैं FD, तो इसकी अत्यधिक संभावना है कि आपकी टक्कर होगी।

क्लाइंट मशीनों को इंटरनेट पर लगातार आईपी पते की आवश्यकता नहीं है। गोपनीयता के विकल्प हैं जो आईपी एड्रेस ब्रेक द्वारा ट्रेसिंग क्लाइंट बनाने के लिए समय-समय पर नए पते उत्पन्न करेंगे। यदि आपके राउटर एक रेडवेड (राउटर एडवर्टाइज़मेंट डेमॉन) सेवा चलाते हैं, तो आपके ग्राहक अपना पता खुद ही बना सकते हैं। (राउटर विज्ञापन गेटवे की पहचान करते हैं, और DNS सर्वरों की सूची प्रदान कर सकते हैं।) radvdमूल डीएचसीपी सेवाओं की जगह IPv6 । कई सेवाओं की खोज की अनुमति देने के लिए शून्य कॉन्फ़िगरेशन का उपयोग किया जा सकता है जिनकी घोषणा करने के लिए डीएचसीपी का उपयोग किया जाएगा। क्लाइंट मशीनों के पते आपके इंटरनेट सुलभ सर्वर के उपयोग से भिन्न / 64 पते के ब्लॉक में होने चाहिए।

DMZ (डी-मिलिटरीकृत ज़ोन) वह जगह है जहाँ आपके इंटरनेट सुलभ सर्वर और सेवाओं को निवास करना चाहिए। जब आपके ISP बदल जाएंगे तो ये पते बदल जाएंगे। ये एक एकल / 64 के भीतर निवास कर सकते हैं जो पते को सरल बना देगा। चूंकि IPv6 को कई एड्रेस सपोर्ट की आवश्यकता होती है, आप मूल ISP कनेक्शन को डिस्कनेक्ट करने से पहले अपने नए ISP को कनेक्ट कर सकते हैं और एक व्यवस्थित तरीके से बदलाव कर सकते हैं।

Unique local block: fd33:ab:de::/48
Site 1:  fd33:ab:de:1::/64
Site 2:  fd33:ab:de:2::/64

Site 1 /48: 2000:1112:1301::/48
Site 1 DMZ: 2000:1112:1301:1:/64    (set on servers)
Site 1 Hosts: 2000:1112:1301:2:/64  (via radv)

Site 2 /48: 2000:2030:4001::/48
Site 2 DMZ: 2000:2030:4001::/64
Site 2 Hosts: 2000:2030:4001:2:/64

आप उन सभी मूल्यों का उपयोग कर सकते हैं, जिन्हें आप DMZ और अपने होस्ट ज़ोन के बीच भेदभाव करना चाहते हैं। आप DMZ के लिए 0 का उपयोग कर सकते हैं जैसा कि मैंने ऊपर 2 साइट के लिए किया था। आपका ISP / 48 से छोटा ब्लॉक प्रदान कर सकता है। RFC का सुझाव है कि वे ए / 64 को वश में कर सकते हैं और / 56 आवंटित कर सकते हैं। यह आपके द्वारा उपलब्ध कराई गई सीमा / 64s को सीमित करने के लिए प्रतिबंधित करेगा।