Vlákno názorů k článku Kdy dojdou IPv4 adresy? od Michal Krsek - Co se zmen tyce, pokud jste vetsi spolecnost,...

> Jeden za všechny (platí pro IPv4): pokud nemám vlastní AS (a která z firem jej má??), změna inet providera rovná se triviální změně konfigurace routeru. Pokud mám v celé síti veřejné IP adresy, tj. je třeba přeadresovat všechna zařízení, tak pomáhejte adminovi všichni svatí.

Pak se nabizi jeste moznost NATovat privatni rozsah na stejne velky verejny rozsah. Tim ti odpadne velka cast problemu s NATem (i kdyz ne vsechny).

Duvodem proc nema drtiva vetsina uzivatelu "svuj" rozsah IP je prave ten, ze jich jaksi neni dost. Je jasny ze vam asi tezko bude nekdo smerovat /30. Samozrejme ze pro 5 pocitacu si asi nema cenu zadat o prefix, ale pro 50 uz to smysl ma.

Ma to navic jednu vemi velkou vyhodu, kdyz potrebujete zalozni linku, coz u stredni firmy uz je skoro nutnost, nemusite resit nejake zhuverile scripty na routeru, ktere vam budou prepinat NAT a milion forwardovanych portu. Staci proste oboum ISP rict, ze maji smerovat rozsah XY pokud linka funguje.

DHCP zranitelnost - např. podvržený DHCP server. Robustní DHCP vyžaduje nasadit všude spravované switche a zakázat DHCP odpovědi z neautorizovaných portů.

10.0.0.5 - kdo Vám to bude 15 hopů kolem půl zeměkoule směrovat, to jsem teda žádostiv. Samozřejmě, firewall je úplnej základ. Privátní IP adresy jsou pouze dodatečná výhoda - pro mě. Pokud si chce kdokoli komplikovat život vlastním AS a PI adresami, je mu přáno.

svati = autokonfigurace adresy, zakladni kamen ipv6 ;]

Firmy žádný adresní prostor nekupují. Esli někdo platí za přidělení adres, měl by vyměnit svýho providera.

Internet nikdy nebyl nic jiného než soustava sítí, oddělených firewally, a propojených aplikačními bránami. Tak to bylo dávno před tím než se začal masivně používat NAT, takže plačete na špatném hrobečku..

Máte pravdu, na AŽ TAK dávné doby jsem skutečně nepomyslel. Jenže tehdy taky stačil jeden průměrný hacker a jeden blbě napsaný Sendmail a celý internet (pár desítek tisíc uzlů) byl během hodiny dole. Proto přišly firewally a aplikační brány. Pak byl docela dlouho klid, a teprve potom přišel díky menší dostupnosti veřejných adres NAT.

A i kdyby byly (hypoteticky) všechny OS a daemoni psaní pořádně a absolutně bez bezpečnostních chyb, měli bychom v každé větší firmě firewally a aplikační brány taky- zejména proto že se tak mnohem efektivněji šmírujou a kontrolujou zaměstnanci.

Zase tak starý nejsem a doby, kdy v rámci Internetu fungovala end-to-end konektivita, pamatuji velmi dobře.

ja jsem nikdy nepochopil co je tak strasneho na NATu? Myslite ze firmy s nadsenim prijmnou fakt ze muzou mit verejnou adresu na kazdem PC ve firme? Je to pro ne nejaka vyhoda? IPv6 ma hure zapamatovatelne adresy, tudiz admini ztratej prehled co jim kde lezi, a pristup zvenci na kazde PC v jejich firme si stejne nemuzou dovolit z hlediska bezpecnosti, takze i tak tu sit s verejnejma IP nekde odriznou na nejakem routeru. Vyhoda teda vlastne zadna. A polovinu soucasnejch verejnejch IP stejne blokujou domaci uzivatele kteri si ji poridili akorat kvuli torrentum, a nebo jen tak, protoze jim nekdo nabilikoval ze je to mnohem lepsi, ale fakticky ji vubec nepotrebujou.

Přesně tak. Já jich vyměním 16 :):):)

Zjevně nemáte nic moc co do činění s korporátním síťovým prostředím, jinak by z vás věta "Kdyby všechny stroje měly veřejné IP..." nemohla vypadnout.

Zjevne netusite, kolik korporaci ve skutecnosti ve svych siti verejne rozsahy pouziva. Jestli vam trebas takovy Peugeot prijde jako mala firma ...

No nevím, to jako myslíte, že přes VoIP se volá přímo na veřejnou adresu? Co takhle VoIP brány, které jsou nutností už u pár desítek přístrojů (u 10 000 to bez nich opravdu nepůjde).

Jsou nutnosti jen proto, ze neexistuje e2e konetivita. Vazne nevidime zadny duvod k tomu, pouzivat nejaky srv, kdyz chci mluvit s nekym, jehoz IP adresu vidim. Samozrejme, muzu vyuzivat nejake sluzby typu hlasova schranka ... ale kdyz nic takoveho nechci, tak nepotrebuju ani nikomu platit za nejakou virtualni ustrednu, kterou virtualne potrebuju k tomu, abych mohl s nekym mluvit.

Kdyz chcete mluvit s lupou, tak taky nepotrebujete zadne rozhrani a servery, staci, kdyz ma vas stroj pristup do site a da se s nim komunikovat. Vzhledem k tomu ze jde o komunikaci jednostranou, staci, kdyz je dostupna prave ta jedna strana, ale pokud chcete komunikovat obema smery ....

"ja jsem nikdy nepochopil co je tak strasneho na NATu?"

Tak treba to je hnusna berlicka, ktera obecne nefunguje dobre a kvuli ktere je zpravidla dost omezene pouziti nekterych sluzeb.

-- berlicek je spousta. Obecne nefunguje dobre? Tak jak se ma chovat se chova, nic vic od NATu cekat nelze.

"IPv6 ma hure zapamatovatelne adresy, tudiz admini ztratej prehled co jim kde lezi"

Uff. Pokud je tohle vazne pravda, tak si to ti admini myslim zaslouzi.

--ano, tezko asi neni silny argument proti, ale co na to rict? Je to tak. Lepe si zapamatuju 50 adres od tiskaren, switchu, atd v IPv4 nez IPv6, coz samozrejme ale neni argument proti IPv6, je to jen konstatovani.

"a pristup zvenci na kazde PC v jejich firme si stejne nemuzou dovolit z hlediska bezpecnosti, takze i tak tu sit s verejnejma IP nekde odriznou na nejakem routeru."

To zni, jako byste nechapal rozdil mezi slovy NAT a firewall. Nejde o synonymum, nevidim duvod, proc by vas mel nekdo s prichodem IPv6 nutit firewall prestat pouzivat.

-- ale chapal, ale nevidel duvod proc by uzivatele firemniho prostredi meli mit verejnou adresu.

"a nebo jen tak, protoze jim nekdo nabilikoval ze je to mnohem lepsi, ale fakticky ji vubec nepotrebujou."

Zatim co vy mate zrejme jasno. A co to takhle nechat na zakaznicich, resp. lidech, kterych se to tyka? ;)

--at si kdo chce pouziva co chce, mluvim od stavu verejnych adres ktery znam z okoli. A ten stav bude spis nez k IPv6 smerovat k setreni se stavajicima adresama, a treba i jejich odebiranim.

on ten NAT umožňuje například připojení ke dvěma nezávislým providerům bez nutnosti mít provider independent adresy a svůj vlastní AS. To je fakt.

to sice jo, ale o tom přece řeč nebyla. Navíc povinnou součástí IPv6 je i IPSec a tam by mohl být s NATem poněkud problém.

"Obecne nefunguje dobre? Tak jak se ma chovat se chova, nic vic od NATu cekat nelze."

OK, myslel jsem spis to, ze i providerum dava zabrat. Nebo je snad trivialni NATovat tisice uzivatelu, nedej boze uzivatelu p2p siti?

"To zni, jako byste nechapal rozdil mezi slovy NAT a firewall.
[...] "

"ale chapal, ale nevidel duvod proc by uzivatele firemniho prostredi meli mit verejnou adresu."

OK, sice to zni spatne, ale -- proc? Jaky je rozdil(*), jestli firemni pocitace v siti budou mit verejnou adresu, nebo privatni? Kdyz se pripojim k routeru s adresou ze stejneho privatniho rozsahu, tak me pustite dovnitr? (mozna spatna otazka, ono se to stava :))

(*) a ano, nejsem tak uzkoprsy; ale argument "na privatni adresu za NATem se nikdo nedostane" mi moc presvedcivy neprijde, stejne jako konstatovani "je to tak bezpecnejsi"

Pokud bude mít každé zařízení ve firemní síti veřejnou IP, tak to opravdu dobré nebude. Připojení nového zařízení (notebook, PDA, mobil) by pak znamenalo (zbytečnou) registraci veřejné IP (a následné zablokování pro přístup zvenčí), které jen zesložiťuje systém. Nehledě na to, že firma by si na začátku musela koupit "dostatečně" velký adresní prostor, aby měla spojitý pool adres (protože jinak se administruje fakt blbě). Zbytečná investice.

Nechápu, jak může někdo věnovat tolik úsilí tomu, aby vymyslel problém tam, kde ve skutečnosti žádný není…

Presne tak.

"Připojení nového zařízení (notebook, PDA, mobil) by pak znamenalo (zbytečnou) registraci veřejné IP (a následné zablokování pro přístup zvenčí), které jen zesložiťuje systém."

To mi nedava smysl -- privatni adresu neregistrujete, verejnou ano. V tom pripade si treba vydupejte smernici, ze ve firme chcete registrovat i privatni, nebo naopak zadne adresy. :)

NAT je zla vec

Nebýt zprznění Internetu do podoby soustavy sítí schovaných za maškarádami (se všemi negativními důsledky), IPv4 adresy už dávno došly.

Jakozto vetchy starik nad hrobem si dovolim podotknout, ze v davnych dobach se firewally na Internetu nepouzivaly. Pokud pomineme US army, tak Internet byl ciste akademickou zalezitosti a duvody ke skryvani se za firewallem nebyly.

Plkate pekne nesmysly panove, viz napr VoIP. Kdyz se bude chti nekdo zvenku dovolant do firmy, musite mit nejaky bazmek na tom NATu, ktery to zaridi. Kdyz ta firma ma 10 pocitacu, je to jen dalsi misto pripadnych zavad navic, ale kdyz ta firma ma 10 000 pocitacu je to vpodstate neresitelny. Kdyby vsechny stroje meli verejne IP, je to ciste o nastaveni pravidla pro jeden port. Podobnych aplikaci je samozrejme vicero.

"ja jsem nikdy nepochopil co je tak strasneho na NATu?"

Tak treba to je hnusna berlicka, ktera obecne nefunguje dobre a kvuli ktere je zpravidla dost omezene pouziti nekterych sluzeb.

"IPv6 ma hure zapamatovatelne adresy, tudiz admini ztratej prehled co jim kde lezi"

Uff. Pokud je tohle vazne pravda, tak si to ti admini myslim zaslouzi.

"a pristup zvenci na kazde PC v jejich firme si stejne nemuzou dovolit z hlediska bezpecnosti, takze i tak tu sit s verejnejma IP nekde odriznou na nejakem routeru."

To zni, jako byste nechapal rozdil mezi slovy NAT a firewall. Nejde o synonymum, nevidim duvod, proc by vas mel nekdo s prichodem IPv6 nutit firewall prestat pouzivat.

"a nebo jen tak, protoze jim nekdo nabilikoval ze je to mnohem lepsi, ale fakticky ji vubec nepotrebujou."

Zatim co vy mate zrejme jasno. A co to takhle nechat na zakaznicich, resp. lidech, kterych se to tyka? ;)

Natovat jde i ipv6. Jenom se o tom ve slusnych rodinach nemluvi.
BSD to umi snad odjakziva, linux od letosniho ledna. Kdo si chce mrzacit sit natem, muze i nadale.

DHCP znám. Ale

1) jsem docela rád, když si adresy pamatuju a mám v nich v hlavě přehled

2) serverům, routerům, switchům dávám adresy statické. Tato zařízení jsou jakési pevné body, které nechci konfigurovat z DHCP, protože DHCP se mi taky může přestat fungovat a navíc je z pricipu věci insecure.

Administrace lokální sítě postavené na privátních adresách je podle mě jednodušší a bezpečnější než pokud bych všem zařízením dal veřejné adresy.

Souhlasím, možná jsem se nepřesně vyjádřil. Chtěl jsem říct, že v IPv4 světě je výhodné použít uvnitř lokální sítě privátní adresy, protože např. v případě změny v připojení do internetu není nutno cokoli měnit (DNS, DHCP, ...).

Čtěte prosím pozorněji. Já jsem řekl, že DHCP není bezpečné, a na tom taky trvám. O NATu nepadlo ani slovo, NAT samozřejmě nemá žádný bezpečnostní význam.

Naopak použití privátních adres bezpečnost zvýší. Pokud nebudu mít žádný firewall a přitom budu mít privátní adresu za routerem, radikálně omezím množinu možných útočníků zvenčí. Zkuste se ke mně připojit, když mám 10.0.0.5 a vy ke mně máte 15 hopů :-).