Vlákno názorů k článku EU slavnostně spouští IPv6 od PaJaSoft - Vsak ja s kolegou Kubeckem taky - server...

Vsak ja s kolegou Kubeckem taky - server je lednice - vyrizuje pozadavek, klient je technik - zada diagnostiku. Kdyby nebyl po ceste NAT a byl nasazen bezny bezpecny (z hlediska kryptologickeho - existuji a jsou dostupne, ze se "bezne" nepouzivaji je podruzny problem, reps. problem tech, kteri sladne spi v nevedomosti) autentizacni mechanismus (kteremu svete div se IPv6 velmi chutna, naopak NAT jej vyrazuje ze hry), nevidim v tom vubec zadny problem a klidne spani pro zmenu budu mit ja...

Dekuji nacelniku, ze ses mne zastal a vykonal spinavou praci (modre jsem uz jmenoval...:-]])...

Ftip je v tom, ze to cislo 2^16 - 1 se nam take vyrazne zmensuje, protoze ne vsechny rozsahy lze pouzit diky nutnosti pouzit NATovani - kazda odchozi session/konexe si uzme jednu, takze realne vyuzitelnych portu je podstatne mene a na realna omezeni se muzete dostat snadno i dnes, zbytek uz jsem psal...

A samozřejmě i jakékoli jiné s délkou prefixu od 8 do 30. Jenže to číslo 65535 s tím nijak nesouvisí, to je počet portů, které můžete použít pro maškarádu/portforwarding. A s tím nehnete...

Nechci prudit, ale neni jen Cckova privatni sit. Jsou A a B :-)

Jen poznamka:

> Navic IPv6 zadny DHCP server nepouziva/nepotrebuje. Ma lepsi metody.

Ma lepsi metody, ale bezstavova autokonfigurace ma taky svoje musky. DHCPv6 jiz existuje a nevypada to, ze by se nemel pouzivat :)

Nefunguje. Ten počítač venku má pořád svou reálnou IP adresu. Teprve security gateway to může v případě potřeby pro vnitřní síť přeNATovat, aby to pro schované počítače vypadalo, jako by měl privátní adresu. Možná vám to připadá, že zbytečně slovíčkařím, ale není to jedno a v konkrétních případech vám ty rozdíly mohou hodně znepříjemnit život.

Mam jednu verejnou IP a potrebuju adresovat vice stejnych sluzeb v lokalni siti na ruznych mistech? Jak to provedete? Navic, dokazete si predstavit, ze lokalnich sluzeb muze byt vice jak 65535? Ja ano a nemusi to byt az tak velka sit, co pak? Pak uz Vam ani NAT nepomuze...

Skutecne je Michal In... - ja bych rekl, ze zrovna "bezpecnost" H.323 je prave intenzivne propirana jak CERTem, tak na BugTraqu...

A pridam dalsi? V dnesnim NATovem IPv4 svete bezne funguje komplexni skala ICQ sluzeb? Realitu znate sami.

Pridam vsak jeste jeden argument, ktery jsem nezaznamenal - pujdu oklikou - proc myslite, ze po IPv6 vyrazne pasou "mobilni" operatori? Modri jiz vedi a ostatnim to nelze jednoduse vysvetlit/popsat...

Myslim, ze ty vety plati univerzalne. I v jaderne elektrarne nesmi byt bezpecnost na ukor funkcionality. A ostatne, v jaderne elektrarne nebuduji Internet (buduji, a to ne vsude, jenom internety).

Kazdy program obsahuje chyby (vcetne firewallu, IDS systemu a dalsich bezpecnostnich komponent). Nicmene jejich dopad na funkcnost muze byt minimalizovan.

IPv6 hned nepotrebujeme. IPv6 potrebuji "hned" hlavne cinani a vetsina ostatnich asiatu, kde naroky na adresni prostor presahuji ochotu RIRu jim ho pridelit. Pro nas evropany jsou (podle meho) dulezitejsi dalsi veci (treba mobilita) - ktere dnes nejsou v prvcich implementovany.

Jinak ja si nemyslim, ze migrace vetsiny Internetu na IPv6 probehne driv nez nekdy v letech 2006-2010 a soubezny provoz IPv4 a IPv6 bude otazkou jeste nekolika desitek let.

Pokud se tyce reseni problemu metodou on/off, verim, ze je to resitelne (napriklad updatem firmware ze site vyrobce pri "hard resetu"). A IPv6 tomu muze pomoci treba autokonfiguraci.

Pripada mi, ze zijete odtrzene od reality. I kdyz je mi to divne, protoze problematice rozumite velmi dobre.

Problem je v te volbe bezpecnosti a tu druhou vetu muzete pouzit treba v jaderne elektrarne :-) Jak jiste vite zabezpeceni pocitace je pro vetsinu domacich uzivatelu neco absolutne nepodstatneho. Nutnost aktivniho pristupu k udrzovani systemu up-to-date je proste odrazuje a vety typu: "Jen at me nabori, stejne tam nemam nic cenneho" jasne ukazuji, ze lide si ani neuvedomuji ze nejde jen o sbirani dat prave z toho jejich pocitace. Pokud by ip stack dostali veci typu lednicky, tak si jiste dovede predstavit jak by to vypadalo. Nebo jste opravdu presvedcen, ze budou ridici programy techto zarizeni bez fatalnich chyb? Ja myslim, ze nikoliv. Teoreticky je mozne navrhout takova neprustrelna zarizeni, ovsem praxe a zvlaste ta levna je nekde jinde. Lide nebudou chtit kupovat drahe veci. A to souvisi i s voip. Mel byste obcas zabrousit do obycejne spolecnosti(a treba i mimo Prahu) kde jsou lide zijici z vyplaty do vyplaty. Vas i me internet zivi a proto mi take pripada cena za linku a konektivitu normalni (ale muze byt i lepsi, ze :-), ale pro obycejne lidi je internet hlavne zabava za kterou musi platit, pro ne internet neni prioritni. ipv6 je zcela jiste dobra vec a necht se prosadi, otazkou ale zustava jestli to potrebujeme hned a za kazdou cenu.
Jiz jsem daval priklad s wifi zarizenimi, kde kvalita os (v odolnosti vuci chybam) v techto prvcich (a nejen v tech levnych) je tristni. U pocitacu jsme take zvykli, ze jejich spolehlivost neni rovna spolehlivosti jednodusich zarizeni. Jiz dnes se da setkat s tim, ze zarizeni vybavane slozitejsim softwarem proste obcas nefunguje (napr. DVD prehravace). Jako uzivatel mate vetsinou jen jednu moznost on/off a zkusit to znova a pak to odnest do servisu. Jenze to on/off se jaksi stalo standardem pro cokoliv co v sobe ma slozitejsi program a je to konzumni zbozi. A jeste neco. Lide si dnes casto ani neumi naladit kanaly na televizi a ted by jeste meli neco nastavovat na lednicce? :-)
Pokud na to koukam svym pohledem tak jsem pro to aby mela adresu kazda zarovka (navic obsahujici i kameru) u me doma. A jsem ochoten s tim experimentovat a experimentuji se zarizenimi ktere nejsou pro masovy trh at uz z duvodu ceny nebo pro svou slozitost.

Leckde nikoliv. Srovnejte ceny za VSATy a satelitni telefony :-)

Ovsem za cenu ktera je vetsi nez za telefon :-)
To se muze hodit nekomu kdo vola tak masivne, ze se mu vyplati voip na neomezenem lince :-)

Rekneme, ze bych rad, kdyby mi lednice dala vedet, ze necemu prosla trvanlivost nebo ze neco chybi. To uz patri k tomu skladovani :-)

Ale ani na to nepotrebuju slozite uzivatelske IO. Zato IP stack by se mi hodil.

No jo, ale dotycny bude pravdepodobne vyzadovat konektivu 768 kbit/s s neomezenym prenosem dat za 29,90 EUR jako to maji v Ettlingenu pripadne minimalne jako to cetl v diskuznich skupinach.

Pak ovsem nepotrebujete mit v lednici ip stack ;-) Ja ostatne take ne :-)

No vidim, ze zakladni paradigma Internetu (logika je na koncich a uprostred je hloupa sit a umoznuje ji end-to-end konektivita) Vam nic nerika. No jen houst a vetsi kapky. Neni nad to, kdyz budu do Internetu pristupovat pres deset prekladu adres a tucet firewallu.

Je na kazdem uzivateli, aby si zvolil takovou bezpecnost, jaka se mu zda primerena. Tato bezpecnost ale NESMI byt na ukor funkcnosti.

V opacnem pripade vytvarime zadni vratka pro man-in-the-middle utoky. Jako priklad muzu uvest treba aplikacni brany pro H.323 - to je dira jako vrata.

No ja od lednice ocekavam, ze v ni budu skladovat potraviny (a z hlediska uzivatelskeho IO je to skutecne velmi omezena funkcionalita). Vy mozna cekate, ze z lednice budete surfovat. To pak ale neni lednice, ale plnohodnotny pocitac zabudovany do chassis lednice (a to je neco kapku jineho).

Ano komplikuje, ale uvazuji o pripadu kdy je lednicka nebo server ve vnitrni siti doma serverem a klientem je pocitac jinde na siti.

Ziju stridave v Praze a ve Velvetech.

Troufam si tvrdit, ze Internet je dostupny vsude, kde je dostupny telefon (ale i na dalsich mistech).

Jistě. Proto je také třeba omezit přístup k těmto zařízením jen na oprávněné klienty. A věřte nebo ne, fakt, že se mnoho klientů skrývá za NATy, autentizaci/autorizaci neusnadňuje, naopak ji velmi komplikuje.

O bezpecnost svoji site se staram sam. Ovsem pri pohledu jak jsou na tom site o ktere se nikdo nestara = nikdo tomu tam nerozumi a nechce platit za udrzbu me jima hruza kdyby ti sami lide dostali moznost pripojit si k internetu pulku domacnosti :-)

Jiste udela, ale za penize a ty muzu rovnou pouzit na zaplaceni konfigurace te vpn.

Ano ted je a dokonce i u modelu s vestavenym pocitacem :-) Ale funkcne to asi jeste neni to prave orechove. Proto tam vlastne chceme pripojit ten internet nebo ne? ;-)

Ajajaj :-)
Zijete urcite v Praze, ze? :-) Ale svet neni jen Praha a ostatni staty na zapad. A cena slusne linky s pasmem na telefonovani take neni levna.

Kdo se Vam o bezpecnost Vasi lokalni site stara dnes?

Troufam si tvrdit, ze pokud si vyberete seriozniho prodejce aktivniho prvku, udela Vam stejny servis jako ten prodejce mobilu.

... a uzivatelsky vstup do lednice neni velmi omezen ?

Troufam si tvrdit, ze Internet je fyzicky dostupnejsi nez telefon :-)

A s cenou to taky neni tak hrozne.

Ovsem nejsou tu jenom ti hodni, ze ;-)

Bude-li lednička (mikrovlnka, video, ...) klientem, pak veřejnou adresu obvykle nepotřebuje. Proto jsem nastínil jednu z mnoha situcí, kdy má smysl uvažovat o tom, že komunikace bude iniciována z druhé strany. A samozřejmě je i mnoho dalších. Třeba technik v servisu by si mohl na dálku provést diagnostiku a v mnoha případech už by pak mohl jít na opravu už se znalostí toho, co se děje (a vzít si odpovídající náhradní díly).

Dobry argument.
Ted jeste aby ten internet byl take tak cenove i fyzicky dostupny jako telefon.

Ano, potřebujeme. Zkuste se podívat, jak vypadá třeba taková komunikace pomocí ICQ. Nepřipadá vám to trochu postavené na hlavu? Jak chcete provozovat internetovou telefonii bez veřejných adres? A tak by se dalo pokračovat.

rekl bych (ale nejsem odbornik) ze hodne zalezi na cinnostech co po lednicce budete chtit. S tim sovusi rezimy a zpusoby komunikace a "kdo" bude vlastne server a kdo klient (zda-li lednicka, vy, nejaky centralni app u vas doma - jakysi majordomus). Na zaklade techto parametru je vhodne zvolit pouzitelny zpusob komunikace vcetne smeru a urceni roli (klient, server, peer).
Prislo mne, ze puvodni prispevek, na ktery jsem reagoval, spise uvazoval scenar, kdy si mikrovlnka/lednicka - obstara recept/konwhow co je potreba pro pripravu vybrane krme, a za tyto data posleze(az dojde k cinu = priprave pokrmu) zaplati. Napada mne analogie ze soucasneho sveta - s klasickym predplacenym kontentem. kontent je zde recept. mikrovlnka pak vystupuje jako client = nepotrebuje unikatni IP. autentizace kliena/autorizace plaby se prece i v dnesnim svete neresi pomoci IP, ale o mnoho vrstev vyse.

Nejsem odbornik na DRM, ale ale stale nevidim duvod (v tomto scenari) a potrebu mit unikatni IP pro prosazeni DRM.

s pozdravem
nezn

Neni pocitac jako pocitac :-) Ani jedna z tech veci ktere jste jmenoval nema bezne ip stack a uzivatelsky vstup je velmi omezen.

Takhle to funguje :-) Potrebujete jen verejnou adresu brany a verejnou adresu na tom klientu z ktereho se pripojujete na tu branu.

Ano muze to byt i na ipv6, ale otazka znela potrebujeme nutne ipv6, kdyz mame ipv4 a kde to lze take udelat? :-)

Aha, takze prodejce se mi bude starat o bezpecnost moji domaci site zadarmo? Lednici spravuje opravar ;-) U mobilu pokud se vyskytne chyba v softweru tak zajdu do servisu kde mi to opravi bud zadarmo v zarucni lhute nebo za penize. Deje se tohle dnes napriklad u wifi prvku, ktere take maji plno chyb? Myslite, ze takova sofistikovana lednicka bude mit naprosto bezchybny os? A co ten zbytek zarizeni?

Co treba kerberos? Tam mate take autorizaci na jednom miste a presto nemusi byt zarizeni nijak skryta.

Navic nikde neni receno, ze nemuzete mit na ipv6 stejny firewall jako je NAT, akorat mnohem jednoduseji implementovately a ten nebude poustet k zarizenim pakety ke kterym neexistuje odchozi spojeni. Ale soucasne odpadnou stresna problemy s protokoly u kterych je potreba na firewallu vevnitr paketu prepisovat adresy.

Navic IPv6 zadny DHCP server nepouziva/nepotrebuje. Ma lepsi metody.

Nebude mít privátní adresu, takhle to nefunguje. Samozřejmě je možné nějakým podobným způsobem zařídit přístup do té "schované" sítě, ale je to zbytečná komplikace a navíc to není příliš univerzální.

Kdo vám dnes spravuje ty počítače, které máte ve videu, televizi, autě, ...? On je přeci jen rozdíl mezi jednoúčelovým embedded počítačem, který nemusíte ani nijak konfigurovat, a security gateway pro VPN.

Ze by ten, kdo je prodal? :-)

Kdo Vam dneska "spravuje" lednici nebo mobilni telefon?

IMHO to lze automatizovat. Doma bude jeden DHCP server (s rozumnym default nastavenim) a od toho so lednicka necha pridelit interni adresu a pote mu oznami, ze je typ=lednicka. DHCP aktualizuje DNS se jmenem lednicka (lednicka2, ...). Ja se pripojim na domaci sit (musim znat jeji adresu ale to pro primo adresovatelnou lednicku taky a tady pak tech adresu bude vice) a domaci server mi nabidne seznam domacich zarizeni popr. mam uchovany odkaz primo na tu lednicku. Autorizace na ten domaci server prez prukaz totoznosti (obsahujici klice pro asymetrickou kryptografii). Ostatne i pri primem pristupu k lednicce bych chtel mit pristup zabezpeceny a v tomto modelu je vyhoda ze zabezpeceni nastavuju jen na jednom miste (domaci server) a ne samostatne na lednicce, vytapeni, zabezpeceni, druhe lednicce, ... . Ano toto lze i pri prime adresovatelnosti ale ta prima adresovatelnost je vpodstate zbytecna.

Což o to, také si to dokážu představit už dnes - a ten HW/SW do ledničky by nestál nějak astronomické částky. Jen ta nabídka permanentního připojení s dostatkem skutečných IP adres (nejde jen o ledničku - co třeba když se někde zdržím a chci si nahrát film, který nestihnu?) zatím poněkud kulhá...

A nejen pocitace, ale i ty lednicky, zachody, topeni... ;-)

Odpovim protiotazkou. Kdo bude spravovat ty pocitace ktere budou mit ipv6 unikatni adresu?

Kdo Vam tu VPN (respektive aktivni prvky, ktere ji budou zabezpecovat) bude spravovat?

Kdo Vam tu VPN bude spravovat?

Hmm, ale k tomu nepotrebuju mit lednicce unikatni adresu. Pripojim se domu pres vpn a moje pdacko bude mit privatni adresu stejne jako lednicka.

Mno tak to si dovedu predstavit uz nyni a to nejen v USA ;-). Za 5-10 let si to predstavuji jinak: lednicka si sama vede seznam co je v ni pomoci RFID, PDA se mi automaticky synchronizuje kdyz odchazim ven, lednicka sama objednava podle nastaveneho programu dochazejici suroviny. No a nakonec je tu i ta moznost se spojit pres net a vyzadat si primo ten aktualni seznam :-)

Protože tady nejde o to, abyste si na mikrovlnné troubě pouštěl webový prohlížeč, zatímco budete čekat, než se ohřeje jídlo. Pro některé aplikace potřebujete, aby zařízení bylo adresovatelné - např. budete v obchodě a nemůžete si vzpomenout, kolik máte doma másla. Tak spustíte aplikaci na svém PDA, ta se spojí s ledničkou, v ledničce se rozsvítí a pošle se vám obrázek obsahu ledničky. Samozřejmě je to jen fantazie, ale za nějakých 5-10 let by to mohla být běžná záležitost.

Dobry den,

muzim priznat, ze nevim jak souvisi unikatni IP adresa s prosazovanim DRM. Muzete to trochu rozvest?

Ale to víš, že jo. Až někoho napadne patentovat si recepty, převést je do el. podoby a použít DRM, pak bude nutné, aby každá mw trouba měla unikátní IP adresu, protože z každého ohřátého jídla budeš platit license fee :-) A trouba si před ohřívíním zjistí, jestli nedlužíš a pokud ano, dojde k znehodnocení potravin uvnitř.

Nechápu proč by se měla mikrovlnná trouba připojovat k internetu. A když ano tak proč platnou internetovou adresou ? Vždyť by měla být za firewallem a připojovat se přes jednu IP adresu jako to dnes dělají firmy s pomocí NATu (alias IP maškarády). Vždyť je to celé nesmysl. Navíc se 4 číslicovou IP adresou se lépe manipuluje a snadněji se pamatuje. Je to celé nesmysl.