IPv6. Laurent Fasnacht. 28 novembre 2008

Transcription

1 IPv6 Laurent Fasnacht 28 novembre 2008

2 Nouveautés de l IPv6 Adresses Paquets IPv6 Mobile IPv6 Idées reçues Comment avoir une connexion IPv6 Outils utiles En pratique

3 Pourquoi changer Plage d adresse (...) Plus besoin de NAT Meilleure agrégation Address scope Auto-configuration sans état ( DHCP) Multicast et IPSec en natif Mobile IPv6

4 Plage d adresse 128 bits ( adresses possibles) En pratique, le client final reçoit en général un /64 ( adresses) IP publiques pas besoin de NAT Idée principale : utiliser la grande plage disponible pour agréger correctement, et augmenter les possibilités de routage

5 Ecriture d adresse IPv6 Hexadécimal, groupes de 16 bits séparés par des : Zéros non significatifs au début de chaque groupe peuvent être omis On peut remplacer des groupes de 0000 par :: (à un seul endroit!) On les note entre crochets lorsqu il peut y avoir une ambiguité avec l indication de port Pour spécifier explicitement l interface, on utilise le %

6 Exemple d adresse IPv6 2001:41e0:ff2a:0100:021c:23ff:fe1e:4e5a 2001:41e0:ff2a: 100: 21c:23ff:fe1e:4e5a 2001:41e0:ff2a:100:21c:23ff:fe1e:4e5a fe80:0000:0000:0000:020d:b9ff:fe14:ea24 fe80:0000:0000:0000: 20d:b9ff:fe14:ea24 fe80::20d:b9ff:fe14:ea24 ping6 ff02::1%eth0

7 Construction d une adresse IPv6 Serveur internet : attribué manuellement Appareil quelconque : Préfixe réseau (64 bits) + EUI-64 (64 bits) EUI-64 : construit à partir de l adresse MAC

8 Address scope Address type Binary prefix IPv6 notation Unspecified (128 bits) ::/128 Loopback (128 bits) ::1/128 Multicast FF00::/8 Link-local unicast FE80::/10 Site-local unicast FEC0::/10 Unique Local Address FC00::/7 Global unicast (everything else) (Source : RFC 3513, RFC 3879, RFC 4193)

9 Link-local Adresse MAC: 00:1D:E0:08:E9:89 Adresse IPv6: fe80::21d:e0ff:fe08:e989/64 Egalement possible de générer une adresse aléatoire (pour être moins facile à identifier).

10 Unique Local Address La fin du préfixe DOIT être générée de façon aléatoire. (cf. RFC 4193) Idée : Minimiser les risques de conflits si deux réseaux doivent être connectés.

11 Pour comparaison (ICMP Request, en IPv4) Ethernet II, Src: 00:1c:23:1e:4e:5a, Dst: 00:00:0c:07:ac:05 Internet Protocol, Src: , Dst: Header length: 20 bytes Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00) Total Length: 84 Identification: 0x0000 (0) Flags: 0x04 (Don t Fragment) Fragment offset: 0 Time to live: 64 Protocol: ICMP (0x01) Header checksum: 0x1ab1 [correct] Source: ( ) Destination: ( ) Internet Control Message Protocol Type: 8 (Echo (ping) request) Code: 0 () Checksum: 0xbf00 [correct] Identifier: 0xaa25 Sequence number: 1 (0x0001) Data (56 bytes) [...]

12 Paquet IPv6 - ICMPv6 request Ethernet II, Src: 00:1c:23:1e:4e:5a, Dst: 00:0d:b9:14:ea:24 Type: IPv6 (0x86dd) Internet Protocol Version 6 Payload length: 64 Next header: ICMPv6 (0x3a) Hop limit: 64 Source: 2001:41e0:ff2a:100:21c:23ff:fe1e:4e5a Destination: 2001:620:0:8::20 Internet Control Message Protocol v6 Type: 128 (Echo request) Code: 0 Checksum: 0xcf6b [correct] ID: 0xe024 Sequence: 0x0016 Data (56 bytes) [...]

13 Paquet IPv6 Ethernet II, Src: 00:1c:23:1e:4e:5a, Dst: 00:0d:b9:14:ea:24 Type: IPv6 (0x86dd) Internet Protocol Version = Version: = Traffic class: 0x = Flowlabel: 0x Payload length: 40 Next header: TCP (0x06) Hop limit: 64 Source: 2001:41e0:ff2a:100:21c:23ff:fe1e:4e5a Destination: 2001:660:7301:1:211:43ff:feaa:f48b Transmission Control Protocol, Src Port: (37505), Dst Port: http (80) [...]

14 Neighbor solicitation Ethernet II, Src: 00:0f:3d:cd:ea:63, Dst: 33:33:ff:1e:4e:5a Type: IPv6 (0x86dd) Internet Protocol Version 6 Payload length: 32 Next header: ICMPv6 (0x3a) Hop limit: 255 Source: fe80::20f:3dff:fecd:ea63 (fe80::20f:3dff:fecd:ea63) Destination: ff02::1:ff1e:4e5a (ff02::1:ff1e:4e5a) Internet Control Message Protocol v6 Type: 135 (Neighbor solicitation) Code: 0 Checksum: 0x6a10 [correct] Target: fe80::21c:23ff:fe1e:4e5a (fe80::21c:23ff:fe1e:4e5a) ICMPv6 Option (Source link-layer address) Type: Source link-layer address (1) Length: 8 Link-layer address: 00:0f:3d:cd:ea:63

15 Neighbor advertisement Ethernet II, Src: 00:1c:23:1e:4e:5a, Dst: 00:0f:3d:cd:ea:63 Type: IPv6 (0x86dd) Internet Protocol Version 6 Payload length: 32 Next header: ICMPv6 (0x3a) Hop limit: 255 Source: fe80::21c:23ff:fe1e:4e5a (fe80::21c:23ff:fe1e:4e5a) Destination: fe80::20f:3dff:fecd:ea63 (fe80::20f:3dff:fecd:ea63) Internet Control Message Protocol v6 Type: 136 (Neighbor advertisement) Code: 0 Checksum: 0x9a23 [correct] Flags: 0x Target: fe80::21c:23ff:fe1e:4e5a (fe80::21c:23ff:fe1e:4e5a) ICMPv6 Option (Target link-layer address) Type: Target link-layer address (2) Length: 8 Link-layer address: 00:1c:23:1e:4e:5a

16 Voici ce que cela donne ~ # ping6 ff02::1%eth0 PING ff02::1%eth0(ff02::1) 56 data bytes 64 bytes from fe80::215:17ff:fe74:29fe: icmp_seq=1 ttl=64 time=0.027 ms 64 bytes from fe80::20a:95ff:fec2:ef4c: icmp_seq=1 ttl=64 time=0.580 ms (DUP!) 64 bytes from fe80::20d:b9ff:fe14:c89c: icmp_seq=1 ttl=64 time=1.35 ms (DUP!) 64 bytes from fe80::20d:b9ff:fe14:c7c8: icmp_seq=1 ttl=64 time=2.09 ms (DUP!) 64 bytes from fe80::20d:b9ff:fe14:c610: icmp_seq=1 ttl=64 time=2.32 ms (DUP!) 64 bytes from fe80::20d:b9ff:fe14:c844: icmp_seq=1 ttl=64 time=3.07 ms (DUP!) 64 bytes from fe80::250:56ff:fe87:695b: icmp_seq=1 ttl=64 time=10.5 ms (DUP!) 64 bytes from fe80::21e:c2ff:fe14:f9d0: icmp_seq=1 ttl=64 time=42.3 ms (DUP!)

17 ICMPv6 - Router Advertisement Internet Control Message Protocol v6 Type: 134 (Router advertisement) Checksum: 0x85da [correct] Cur hop limit: 64 Flags: 0x00 Router lifetime: 30 Reachable time: 0 Retrans timer: 0 ICMPv6 Option (Prefix information) Type: Prefix information (3) Length: 32 Prefix length: 64 Flags: 0xc0 Valid lifetime: Preferred lifetime: Prefix: 2001:41e0:ff2a:100:: ICMPv6 Option (Source link-layer address) Type: Source link-layer address (1) Length: 8 Link-layer address: 00:0d:b9:14:ea:24

18 Mobile IPv6

19 Quelques idées reçues l IPv6 est lent l IPv6 ne fonctionne pas correctement Avoir le support IPv6 activé ralentit l OS

20 Methodology Enroll a small fraction of ordinary Google users into an IPv6 experiment, where their browser is asked to perform a background request Involves users from all datacenters equally, but background request goes to one of two datacenters (one in the US, one in Europe) Cryptographically signed to avoid easy injection of false data 1. Search request 2. Search results + background load 3. Background request ipv4.ipv6-exp.l.google.com or dualstack.ipv6-exp.l.google.com Recorded information: IPv4 and IPv6 addresses, as applicable Image request latency Browser/OS details (User-Agent string) 3

21 Connectivity 0.238% of users have useful IPv6 connectivity (and prefer IPv6) 0.09% of users have broken IPv6 connectivity That is, adding an AAAA record will make these users unable to view your site Due to statistical issues, this is a much less accurate figure (could easily be 0.06% or 0.12%), so take it with a grain of salt Probably at least a million distinct IPv6 hosts out there Again, a number with statistical caveats 5

22 Connectivity development over time 0.26% 0.24% 0.22% 0.20% 0.192% 0.203% 0.192% 0.207% 0.209% 0.220% 0.230% 0.233% 0.237% 0.238% 0.18% 0.16% 0.14% 0.12% 0.10% 0.08% 0.06% 0.04% 0.02% -0.01% Aug 13 Aug 20 Aug 27 Sep 3 Sep 10 Sep 17 Sep 24 Oct 1 Oct 8 Oct 15 Week averages,

23 Latency Requests IPv4 host IPv4 hit on dual-stacked host Time Combined data, Aug Oct

24 Relative IPv4/IPv6 latency (paired data) Requests 150ms IPv4 IPv6 Time Combined data, Aug Oct

25 Connectivity by country 0.0% 0.7% Combined data, Aug Oct 2008, lower bound of 68% confidence interval 14

26 Breakdowns by OS IPv6 penetration and connectivity type by operating system Ranked by overall IPv6 penetration Operating system IPv6 penetration Native/other proportion 6to4 proportion Teredo/ISATAP proportion Mac OS 2.44% 9% 91% 0% Linux 0.93% 86% 13% 1% Windows Vista 0.32% 55% 43% 2% Windows Server % Windows XP 0.03% 50% 30% 20% Windows 2000 <0.01% of all IPv6 hits are from of all Teredo users are on Windows 52% Macs with 6to4 97% (even undercounting Vista) Combined data, Aug Oct

27 Overall trends IPv6 prevalence is still low, but growing by the week Large (and sometimes surprising) variations among individual countries Still heavily influenced by single deployments (e.g., free.fr) It's not that broken ~0.09% clients lost, ~150ms extra latency don't believe the FUD The default policy matters a lot Vista: 10x IPv6 prevalence over XP (OS defaults to enabling IPv6) Mac OS: 8x IPv6 prevalence over Vista (Airport Extreme with 6to4 as default) 6to4 is by far the most common transition mechanism (at least when you don't count Vista's not-preferred-by-default Teredo) Probably in part due to the AirPort Extreme Consider running your own 6to4 relay for return packets 18

28 Teredo Protocol permettant de créer un tunnel UDP jusqu à une gateway appropriée Avantages : très facile à mettre en place, marche derrière un NAT Désavantages : pas toujours très rapide, pas de routage de subnet statique (plage générée à partir de l IPv4 et d aléatoire) Clients : Linux/BSD : miredo (

29 Anycast ( ) Tunnel 6to4 jusqu à l adresse anycast Avantage : pas besoin de logiciel particulier Désavantages : pas toujours très rapide, pas de routage de subnet statique (plage générée à partir de l IPv4), ne passe pas un NAT Mise en place : Dépend de la distribution

30 ipv6: 2002:[ipv4 en hexadécimal]::1 ip tunnel add tun6to4 mode sit ttl <ttldefault> remote any local <ipv4> ip link set dev tun6to4 up ip -6 addr add <ipv6>/16 dev tun6to4 ip -6 route add 2000::/3 via :: dev tun6to4 metric 1

31 SixXS Plusieurs possibilités de tunnels (statique, dynamique, tunnel over udp) Avantages : très facile à mettre en place, marche derrière un NAT (over udp), on peut obtenir un /48 Désavantages : fonctionne avec un système de points, pour éviter les abus (alias : il faut parfois attendre un peu pour avoir ce que l on veut)

32 Outils utiles aiccu : Permet de se connecter à SixXS radvd : Router ADVertisement Daemon ip6tables : firewall (nécessaire...) tinc : logiciel permettant de faire du vpn. Pas vraiment spécifique à l IPv6, mais utile pour passer des routeurs qui bloquent les tunnels.

33 totd Proxy DNS Supporte le préfixage d adresse IPv4 en IPv6. Par exemple : smasrv1.epfl.ch IN A smasrv1.epfl.ch IN AAAA fd4a:c7fe:6dc0:3ffe::80b2:2a7e 0x80 -> 128, 0xb2 -> 178, 0x2a -> 42, 0x7e -> 126

34 ptrtd Convertit de l IPv6 en IPv4 Utilise une interface tun, vers laquelle doit être routé le préfixe Fonctionne un peu comme un NAT

35 Merci de votre attention! Et un conseil : essayez ;-) Des questions? (avant de passer à la pratique)

36 Testez Requis : avoir un os supportant l IPv6 IPv6 uniquement (totd+ptrtd pour l IPv4) : Modifier /etc/resolv.conf pour qu il utilise en premier le serveur de nom 2001:41e0:ff2a:101::1 IPv6 + IPv4 : Obtenir une adresse par dhcp