Hlavní navigace

10 důvodů, proč mít NAT na IPv6

Petr Kapounek

Je NAT síťové zlo? Nebo něco, co bychom měli mít i v IPv6? A jaké mohou být důvody pro použití NATu v sítích postavených na IPv6?

IP adresy verze 4 docházejí a všude se množí diskuze, jestli nasazení IPv6 hoří, nebo nehoří. Přibývá také střetů mezi příznivci a odpůrci IPv6 NATu. Přišel jsem si taky „praštit“ a nabízím konkrétní argumenty.

1. Přechod local ISP k jinému ISP

Málokterý lokální ISP má vlastní BGP router a přidělené AS od RIPE. Většina disponuje subnety od nadřazeného ISP. V případě náhlého přechodu k jinému ISP není možné naráz přečíslovat všechny klienty (někdy jsou jich tisíce) a nový ISP nemůže do Internetu propagovat rozsahy, které mu nepatří. NAT je jediné řešení jak udržet síť v provozu, než se provede nezbytné přečíslování.

2. Přístup z nenaroutováného subnetu

Často existuje důvod přidělit zákazníkovi samostatný rozsah, nikoliv podrozsah z nadřazeného routeru. Např. tehdy, když předpokládáme přepojení zákazníka do jiných fragmentů sítě a pro zákazníka by bylo časté přečíslování krajně nepohodlné a narušovalo provoz jeho technologií. Pokud provádím připojení fyzicky od zákazníka, nejprve si vytvořím NAT do sítě, pak projdu routery v síti a nastavím na nich routy na rozsah zákazníka a pak NAT zruším. Stejně mohu postupovat v případě nějakého nouzového přepojování.

3. Změna adresy serveru

Mám u spousty zákazníků nastavenou IP adresu nějakého serveru, typicky DNS a jsem nucen server přepojit, takže se změní jeho adresa. Změna nastavení u všech zákazníků by byla neúměrně pracná a výpadek pro mnoho klientů zdlouhavý. Nastavím DST-NAT a nechám jim původní adresy. Bez NATu by to bylo možné řešit pomocí proxy, což je zbytečně náročná aplikace na provoz, výkon i konfiguraci. NAT narozdíl od proxy nečte celé pakety, ale pracuje jen s hlavičkami.

4. Připojení zařízení bez možnosti změny nastavení

Zrovna tak se může stát, že zákazník má zařízení, kde z nějakého důvodu nemá přístup do konfigurace sítě. Můžu tak původní adresu namapovat 1:1 na novou a pro DNS server udělat výše zmíněný DST-NAT a zákazník může fungovat.

5. Přístup privátní sítě do Internetu

Mám síť na privátních rozsazích, např. komunitní síť, nebo prostě jen nechci rozsahy závislé na nadřazeném ISP. Po mém ISP tedy musím chtít, aby on popř. jeho ISP, zkrátka ten, kdo má BGP router, odpropagoval moje privátní rozsahy do Internetu. Pokud na to vůbec přistoupí, musím ještě doufat, že servery se kterými budu chtít komunikovat, nefiltrují komunikaci z privátních rozsahů. Anebo nastavím NAT.

6. Přístup privátní sítě se zajištěním soukromí

Ve stejné situaci můžu také chtít, aby můj privátní rozsah nebyl dostupný z Internetu. Tedy musím jednak přesvědčit nadřazeného ISP aby mě odpropagoval, za druhé musím použít firewall a zakázat komunikaci z Internetu do mého rozsahu. Dva zbytečné úkony. Přitom by stačilo zapnout NAT.

7. Připojení nebo propojení kolizních privátních sítí

Ať už přistupuji do Internetu z privátní sítě nebo propojuji více privátních sítí, rozsah, který používám, nesmí používat nikdo jiný, jinak dojde ke kolizi. Tedy zvolený náhodný prefix musí být dostatečně náhodný. To sice vyplývá z doporučení RFC, spoléhat se na to ale nedá.

8. Přístup privátní sítě s ochranou proti „šmírovacím“ orgánům

A nakonec můžu chtít nejen to, aby se do mé privátní sítě nikdo nedostal, ale také to, aby nikdo nemohl identifikovat počítač, který v Internetu komunikuje. Právě v době častých sporů ohledně sdílení dat je pro některé skupiny uživatelů Internetu značné riziko, je-li jejich IP adresa v Internetu jednoznačná. „Šmírovací“ zákon sice platí, ale nevztahuje se na neveřejné sítě. Ty mohou překládat adresy a nemusí vézt logy komunikace, zatímco vlastníka veřejné IP adresy udat musí tak jako tak. Nyní je sice legislativně možné být v Internetu anonymní, současná podoba IPv6 bez NATu to ale neumožňuje.

9. Přístup z IPv6 do IPv4

Pokud to někdo myslí s IPv6 vážně, jistě bude cílit na to, aby jeho síť byla IPv6 only. Bude to jistě jednodušší na správu a hotové řešení i do budoucna. Provozovat dual-stacky dalších 50 let není příliš lákavá představa. Aby se ale uživatelé na IPv6-only síti dostali na IPv4 zdroje, nezbývá než je překládat. Samostatnou specifikaci pro 6to4 NAT považuji přinejmenším za perverzní. RFC pro IPv6 totiž stanovuje tzv. IPv4 kompatibilní adresy. Stačilo by, aby se veškeré routery chovaly, jak selský rozum napovídá, a IPv4 kompatibilní adresy při přechodu na IPv4 rozhraní převáděli do plnohodnotného IPv4 formátu a naopak. Pak by bylo možné zmíněnou situaci řešit „běžným“ 6to6 NATem.

10. Přístup z IPv4 do IPv6

Jedná se o nejsložitější variantu překladu, přesto věřím, že i tato si najde své využití. Pokud budeme v době Internetu s dominantním IPv6 potřebovat připojit staré zařízení IPv4-only – a takových bude spousta – použijeme krabičku IPv4toIPv6 router. Ten namapuje 1:1 lokální subnet např. 192.168.1.0/24 na příslušný počet IPv6 adres. Aby se zařízení na IPv6 adresy dostalo, bude nezbytné použít DNS server přímo na tomto routeru. Ten bude pro IPv6 DNS záznamy vracet IPv4 adresy z privátního rozsahu např. 10.0.0.0/8 a pro každé spojení samostatně provede DST-NAT do IPv6 sítě. Možná je to krkolomné, ale najdou se případy, kdy to bude nezbytné.

Závěrem

Když se s časovým odstupem po prvních testech IPv6 dívám na tuto problematiku, nemohu se zbavit dojmu, že v utváření protokolu IPv6 hrála větší roli politika či jakýsi naivní idealismus než selský rozum. Jistá skupinka architektů se rozhodla, že vymyslí ideální a dokonalý Internet budoucnosti. V nejbližších letech se ukáže, jestli jim to vyšlo, nebo technologické firmy vyjdou vstříc zákazníkům a navzdory specifikaci si to udělají po svém. Vsázím na to druhé.

Našli jste v článku chybu?

11. 11. 2010 19:15

TomEUS (neregistrovaný)

Jak uz bylo rozebrano prede mnou, NAT je nutne zlo, ktereho se musime zbavit....

Jen dalsi priklad - kdyz domacnost pouzije NAT kompletne se zabarikaduje a zadne jeji nodes nejsou pristupne, pokud se nenastavi "krabicka/router".

Koupil jsi si novou lednicku, ktera umi objednavat veci z internetu tak jak dohcazeji? Smula, misto zastrceni CAT5 a power zavolej ISP at ti to pijde rozchodit. Potrebujes regulovat teplotu, svetlo, dvere atd na dalku - smula, musis rozchodit ten webserver na jinem pro…

11. 11. 2010 13:40

IPv6 NAT by byl genialni v tom, ze spoji nevyhody IPv4 a IPv6.

Vsechny uvedene body se daji uspesne vyresit pomoci std. mechanizmu IPv6, tj. RA, autoconfigu, Stateless DHCP atd. "Poskytovatel" tim ziska sit s end to end konektivitou do internetu a odpadne mu NAT, coz je vec, ktera u vetsich siti muze delat velke problemy, napr. kvuli skalovatelnosti, reseni redundance v ramci site s NAT atd.

Měšec.cz: Zdravotní a sociální pojištění 2017: Připlatíte

Zdravotní a sociální pojištění 2017: Připlatíte

Měšec.cz: Air Bank zruší TOP3 garanci a zdražuje kurzy

Air Bank zruší TOP3 garanci a zdražuje kurzy

Vitalia.cz: Vychytané vály a válečky na vánoční cukroví

Vychytané vály a válečky na vánoční cukroví

Měšec.cz: Kdy vám stát dá na stěhování 50 000 Kč?

Kdy vám stát dá na stěhování 50 000 Kč?

Root.cz: Mirai má nový cíl 5 milionů routerů

Mirai má nový cíl 5 milionů routerů

Podnikatel.cz: Daňové úlevy s EET nestačí. Budou zdražovat

Daňové úlevy s EET nestačí. Budou zdražovat

DigiZone.cz: Perspektivy TV v roce 1939 podle časopisu Life

Perspektivy TV v roce 1939 podle časopisu Life

DigiZone.cz: Vedení ČRo: personální změny od ledna

Vedení ČRo: personální změny od ledna

Vitalia.cz: Nahradí sluch, ale zvuk je zcela jiný

Nahradí sluch, ale zvuk je zcela jiný

DigiZone.cz: Co chtějí operátoři při přechodu na DVB-T2?

Co chtějí operátoři při přechodu na DVB-T2?

Root.cz: Telegram spustil anonymní blog Telegraph

Telegram spustil anonymní blog Telegraph

Vitalia.cz: Analýza letáků: Na co lákají do prodejen?

Analýza letáků: Na co lákají do prodejen?

120na80.cz: Co všechno ovlivňuje ženskou plodnost?

Co všechno ovlivňuje ženskou plodnost?

DigiZone.cz: Česká televize mění schéma ČT :D

Česká televize mění schéma ČT :D

Root.cz: Nová třída SD karet A1 s vysokým výkonem

Nová třída SD karet A1 s vysokým výkonem

120na80.cz: Pánové, pečujte o svoje přirození a prostatu

Pánové, pečujte o svoje přirození a prostatu

Vitalia.cz: Když přijdete o oko, přijdete na rok o řidičák

Když přijdete o oko, přijdete na rok o řidičák

Podnikatel.cz: 3, 2, 1..EET startuje. Na co nezapomenout?

3, 2, 1..EET startuje. Na co nezapomenout?

Podnikatel.cz: Chtějte údaje k dani z nemovitostí do mailu

Chtějte údaje k dani z nemovitostí do mailu

120na80.cz: Stoná vaše dítě často? Upravte mu jídelníček

Stoná vaše dítě často? Upravte mu jídelníček