שאלת IPv6

oferlap · שליחה #1 17/05/2023 12:16

אני מחובר בסיבים לבזק בינלאומי וגם לסלקום, כל אחת מהחברות מספקת IPv6 משלה.
היום בדקתי בראוטר אילו כתובות מתקבלות בצד ה- WAN שלו, וראיתי שהן /128. זאת אומרת שהמידע מתייחס רק לכתובת האחת שמקבל הראוטר עצמו מכל ספקית, ואי אפשר לדעת על סמך המידע הזה את מרחב הכתובות שאני מקבל.
איך בכל זאת אפשר לדעת את זה?

מידע נוסף:
הראוטר מחלק כתובות ברשתות הפנימיות באופן אוטומטי ונראה שזה עובד בסדר גמור פונקציונלית, אבל בזמן האחרון שמתי לב שיש פתאום בעיה עם חלק מהרשתות, שהגדרתי לעבוד דרך החיבור של סלקום. אני לא בטוח ממתי הבעיה הזו קיימת ולמה. הראוטר לא חילק בזמן האחרון כתובות כמו שצריך למכשירים ברשתות האלה, עד שהגדרתי אותן לעבוד עם בזק בינלאומי. פינגים כן עובדים דרך ה- WAN של סלקום ב- IPv6, מתוך הממשק של הראוטר שנועד לצורך בדיקות.
אפשר גם להגדיר שתי כתובות פר מכשיר, כלומר את שתי הספקיות בו זמנית, אבל זה תמיד עשה לי בעיות, עד היום לא באמת התעמקתי למה.

OMRIJ · שליחה #2 17/05/2023 15:39

לדעתי הספריות בארץ מספקות מרחב של /56
אז הprefix שלך הוא ה4 קבוצות הראשונות בכתובת

sys_admin · שליחה #3 17/05/2023 16:19

17/05/2023 15:39
OMRIJ כתב: לדעתי הספריות בארץ מספקות מרחב של /56
אז הprefix שלך הוא ה4 קבוצות הראשונות בכתובת
...

למה לנסות לבלבל את הפותח הדיון עם שטויות מופרכות ולא קשורות לכלום. ההprefix שלו כלל לא 4 קבוצות הראשונות בכתובת ולא קשור כלל בשום צורה לכתובת IPv6 בודדת שמסופקת לממשק WAN של הנתב שלו, שהוא כתב עלייה. prefix, הוא יכול להיות ולרוב גם מטווח אחר, שונה לגמרי.
וספקיות בארץ מספקות מרחבים שונים, ולא /56. זה יכול להיות גם /56, גם /48 , גם /60 וגם אחרים.

oferlap · שליחה #4 17/05/2023 16:29

רגע, /56 זה לא 3 הקבוצות הראשונות? 4 קבוצות זה כבר 64/ ביט, לא?

בכל אופן בדקתי כמה כתובות שהתקבלו אצלי מבזב"ל, אולי חלקן קיימות כבר מזמן והאחרות נוספו רק היום (עד עכשיו לא התעסקתי בזה כאמור, אז לא יודע זמנים) - והשוני ביניהן מגיע לפעמים אפילו ל- 3 ביט האחרונים מהקבוצה *השניה*. נגיד 2A10:800B::0 למכשיר אחד ו- 2A10:800C::0 למכשיר אחר.
אז יש מצב שזה /29 כלומר 32-3 ביט (או יותר)?
או שכתובת ה- Prefix של הספקית פשוט השתנתה קצת במשך הזמן, אבל כתובות שכבר הוקצו טרום השינוי ממשיכות להתקיים במתכונת הקודמת?

sys_admin · שליחה #5 17/05/2023 16:29

17/05/2023 12:16
oferlap כתב: אני מחובר בסיבים לבזק בינלאומי וגם לסלקום, כל אחת מהחברות מספקת IPv6 משלה.
היום בדקתי בראוטר אילו כתובות מתקבלות בצד ה- WAN שלו, וראיתי שהן /128. זאת אומרת שהמידע מתייחס רק לכתובת האחת שמקבל הראוטר עצמו מכל ספקית, ואי אפשר לדעת על סמך המידע הזה את מרחב הכתובות שאני מקבל.
איך בכל זאת אפשר לדעת את זה?

מידע נוסף:
הראוטר מחלק כתובות ברשתות הפנימיות באופן אוטומטי ונראה שזה עובד בסדר גמור פונקציונלית, אבל בזמן האחרון שמתי לב שיש פתאום בעיה עם חלק מהרשתות, שהגדרתי לעבוד דרך החיבור של סלקום. אני לא בטוח ממתי הבעיה הזו קיימת ולמה. הראוטר לא חילק בזמן האחרון כתובות כמו שצריך למכשירים ברשתות האלה, עד שהגדרתי אותן לעבוד עם בזק בינלאומי. פינגים כן עובדים דרך ה- WAN של סלקום ב- IPv6, מתוך הממשק של הראוטר שנועד לצורך בדיקות.
אפשר גם להגדיר שתי כתובות פר מכשיר, כלומר את שתי הספקיות בו זמנית, אבל זה תמיד עשה לי בעיות, עד היום לא באמת התעמקתי למה.
...

כתובת IPv6 בודדת שאתה רואה על ממשק WAN של הנתב שלך, היא באמת לא קשורה ל delegated prefix ה שאתה מקבל מהספק ואת הטווח שלו אתה יכול לדעת או ממשק ניהול של הנתב, או מיומן רישום שלו או מספק אינטרנט שלך. למשל כך זה נראה בממשק ניהול של נתב שמריץ את OpenWRT :

וכך זה נראה ביומן רישום יומן רישום אירועים של pfSense בחיבור אחר של תשתית סיבים:

רק מה, כפי שכבר הסברתי לך בדיונים אחרים בנושא זה, כל עוד לא יהיה לך delegated prefix קבוע מהספק, לא תוכל כלל לעשות בטווח כתובות זה שום שימוש מינימלי.

OMRIJ · שליחה #6 17/05/2023 16:57

17/05/2023 16:29
sys_admin כתב: רק מה, כפי שכבר הסברתי לך בדיונים אחרים בנושא זה, כל עוד לא יהיה לך delegated prefix קבוע מהספק, לא תוכל כלל לעשות בטווח כתובות זה שום שימוש מינימלי.
...

עכשיו מי מדבר שטויות?
אפשר לעשות איתה בדיוק מה שאפשר לעשות עם כתובת קבועה
רק עם שירות של DDNS בדרך.
לי יש prefix דינמי, ועדיין יש לי שרת DNS over tls שמשמש מספר מכשירים סלולריים, שרת nginx עם לא מעט יישומים שמופנים ממנו ועוד.
הכל IPV6

sys_admin · שליחה #7 17/05/2023 16:57

17/05/2023 16:29
oferlap כתב: רגע, /56 זה לא 3 הקבוצות הראשונות? 4 קבוצות זה כבר 64/ ביט, לא?

בכל אופן בדקתי כמה כתובות שהתקבלו אצלי מבזב"ל, אולי חלקן קיימות כבר מזמן והאחרות נוספו רק היום (עד עכשיו לא התעסקתי בזה כאמור, אז לא יודע זמנים) - והשוני ביניהן מגיע לפעמים אפילו ל- 3 ביט האחרונים מהקבוצה *השניה*. נגיד 2A10:800B::0 למכשיר אחד ו- 2A10:800C::0 למכשיר אחר.
אז יש מצב שזה /29 כלומר 32-3 ביט (או יותר)?
או שכתובת ה- Prefix של הספקית פשוט השתנתה קצת במשך הזמן, אבל כתובות שכבר הוקצו טרום השינוי ממשיכות להתקיים במתכונת הקודמת?
...

אתה רואה, בכל זאת הוא הצליח לבלבל אותך והשיג את מה שרצה.

56 זה לא 3 הקבוצות הראשונות כלל, אלה שזה 3 הקבוצות הראשונות וגם חלק אחד מתוך 256 חלקים של הקבוצה הרביעית.
ו 4 קבוצות, זה באמת כבר /64 .

ולהמשך השאלה שלך, כמו שכבר כתבתי, Prefix לא קשור כלל לכתובת שרגל WAN של הנתב מקבלת. וכל החלק המשותף בינהם יכול להיות רק בטווח של כתובות שספק רכש. למשל, אם בזק רכשו טווח של 2a06:c700::/29
https://bgpview.io/prefix/2a06:c701:a000::/36
אז החלק המשותף לרגל WAN של הנתב ול Prefix יהיה רק שני "קבוצות" אלה. אבל יכול להיות שאת הכתובת של רגל WAN הנתב שלך יקבל מטווח אחר של הספק, למשל מטווח של 2A10:800B ואת ה Prefix מטווח של 2a06:c700. כך המשותפת תהיה רק "קבוצה" ראשונה.

רק שכל זה, לא עוזר לך כלל לדעת מה ה Prefix האמתי שהוקצה לך. ואיך לדעת את זה כבר כתבתי מקודם. וגם את זה, שללא שהוא יהיה קבוע, אין לך מה לעשות בו.

sys_admin · שליחה #8 17/05/2023 16:59

17/05/2023 16:57
OMRIJ כתב: עכשיו מי מדבר שטויות?
אפשר לעשות איתה בדיוק מה שאפשר לעשות עם כתובת קבועה
רק עם שירות של DDNS בדרך.
לי יש prefix דינמי, ועדיין יש לי שרת DNS over tls שמשמש מספר מכשירים סלולריים, שרת nginx עם לא מעט יישומים שמופנים ממנו ועוד.
הכל IPV6
...

אתה ממשיך לכתוב שטויות מופרכות שלא קשורות לכלום. שאם מקודם עוד היה כדאי להסביר למה זה הזוי, בכדי שפותח הדיון לא יתבלבל מהם, אז כרגע זה כבר מיותר אפילו להסביר לך, כי זה כבר לא קשור לשאלה שלו. ולפי איך שזה נראה אתה לא מבין גם אחרי שמסבירים לך את היסודות הפשוטים. וממשיך להתווכח על דברים שאתה כלל לא מבין.

OMRIJ · שליחה #9 17/05/2023 17:00

לא אני לא
אתה כרגיל מברבר המון
לגבי ה/56 אכן טעיתי, התבלבלתי עם /64
לגבי החלק השני, אני עובד ככה כבר המון זמן
אם תרצה מדריך, אני אכין לך

קשקשן

זה לא קשור לשאלה שלו, זה קשור לזה שכתבת שבלי כתובת קבועה אין לך מה לעשות עם IPV6

oferlap · שליחה #10 17/05/2023 18:43

17/05/2023 17:00
OMRIJ כתב: זה לא קשור לשאלה שלו, זה קשור לזה שכתבת שבלי כתובת קבועה אין לך מה לעשות עם IPV6
...

אם הבנתי נכון הוא מתכוון שאי אפשר במצב הזה להורות לראוטר להקצות טווחי כתובות מוגדרים מראש עבור רשתות פנימיות שונות (VLANs), מה שמאפשר להתנהל במסודר עם רשימות וכללים בערך כמו ב- IPv4.
זה לא רלוונטי למי שאין רשתות נפרדות (למשל למצלמות בתוך הבית לעומת מצלמות בשטח משותף, טלפוניה, IOT, ניהול וכו'), ובטח שאין בעיה לעשות שימוש בכתובות שמחולקות אוטומטית.
עד שעכשיו נתקלתי פתאום בבעיה ואני מנסה להבין איך בדיוק המנגנון עובד כדי אולי לדעת מי אשם.

OMRIJ · שליחה #11 17/05/2023 19:42

יכול להיות שזה הוא התכוון, אין לי מושג
המרחק בין זה לבין "אין לך מה לעשות עם IPV6" גדול
אני אכן עובד עם SLAAC ברשת אחת, וכמעט כל הגישה שלי מבחוץ לרשת הביתית היא IPV6. גם הVPN, וגם המון שירותים שרצים בdocker

sys_admin · שליחה #12 17/05/2023 23:27

17/05/2023 18:43
oferlap כתב: אם הבנתי נכון הוא מתכוון שאי אפשר במצב הזה להורות לראוטר להקצות טווחי כתובות מוגדרים מראש עבור רשתות פנימיות שונות (VLANs), מה שמאפשר להתנהל במסודר עם רשימות וכללים בערך כמו ב- IPv4.
זה לא רלוונטי למי שאין רשתות נפרדות (למשל למצלמות בתוך הבית לעומת מצלמות בשטח משותף, טלפוניה, IOT, ניהול וכו'), ובטח שאין בעיה לעשות שימוש בכתובות שמחולקות אוטומטית.
עד שעכשיו נתקלתי פתאום בבעיה ואני מנסה להבין איך בדיוק המנגנון עובד כדי אולי לדעת מי אשם.
...

זה לא רק עניין של "שאי אפשר במצב הזה להורות לראוטר להקצות טווחי כתובות מוגדרים מראש עבור רשתות פנימיות שונות (VLANs)" ולא רק ל VLANs, אלה גם לחיבור של VPN לרשת ביתית מרחוק, אלה שזה גם כל דבר אחר החל אפילו מקביעת חוקי FIREWALL מוגדרים הנדרשים להתקנים בתוך הרשת ולכל דבר מינימלי אחר. אנסה להסביר על מה מדובר. כתובות IPv6 הן כתובות חיצוניות שזמינות מצד האינטרנט ובכדי שרשת ביתית לא תהיה חשופה נדרש להגדיר כללים מוגדרים ב Firewall שבנתב. אם אין לך טווח כתובות קובע מוגדר, אז מן הסתם שאתה גם לא יכול לקבוע חוקים מוגדרים למה אסור לעבור ולמה מותר פנימה ולאיזה התקן מוגדר בתוך הרשת ( כי פשוט אתה לא יכול לקבוע לכל התקן כתובת קבועה, אם אתה לא מקבל טווח קבוע ). כך למשל אם יש מתאם VoIP או מרכזייה ביתית, אז נדרש לפתוח פורטים מוגדרים שהיהו זמינים מבחוץ, אם יש מצלמות אבטחה או NVR, אם יש התקני IOT כנ''ל, וכך הלהאה.
אלה הם יסודות בסיסיים של התנהלות עם טווחי כתובות חיצוניים שזמינים מצד האינטרנט, ולא משנה, אם הכתובות אלה הן IPv6 או IPv4.

OMRIJ · שליחה #13 17/05/2023 23:55

אפשר להגדיר כללים בפיירוול גם עם dynamic prefix...
https://openwrt.org/docs/guide-user/fir ... forwarding

https://serverfault.com/questions/11173 ... is-dynamic

https://docs.opnsense.org/manual/aliases.html

ואפילו בראוטר ביתי פשוט של אסוס אפשר לעשות את זה
עם SLAAC הsuffix קבוע, מבוסס על כתובת הmac
וזה מספיק בשביל מה שציינת.

אני עובד ככה כבר המון זמן...

oferlap · שליחה #14 18/05/2023 7:31

17/05/2023 23:27
sys_admin כתב: אם אין לך טווח כתובות קובע מוגדר, אז מן הסתם שאתה גם לא יכול לקבוע חוקים מוגדרים למה אסור לעבור ולמה מותר פנימה ולאיזה התקן מוגדר בתוך הרשת
...

לדעתי הפיירוול אצלי בראוטר סוגר תקשורת מבחוץ ב- IPv6, אלא אם משהו ספציפי מותר דרך הכללים שמוגדרים ב- IPv4 (למשל פורט פתוח או כלל בפיירוול) ואז הוא מנסה לחקות את אותה תוצאה גם ב- IPv6.
למשל Ping לא מגיע מבחוץ, אבל כן חוזר דרך אותה רשת, או דרך VLANS שמוגדרים לתקשר זה עם זה - בדומה להתנהגות של NAT Loopback ב- IPv4.
אבל בזמן האחרון זה לא עובד כ"כ טוב, יש שיבושים מוזרים, מדי פעם אני למשל מקבל Host Unreachable או תוצאות מוזרות באתרי בדיקה כמו IPv6 Test.

OMRIJ · שליחה #15 18/05/2023 7:34

איזה ראוטר? נשמע לא סביר שהוא מחיל כללים של IPV4 על IPV6

oferlap · שליחה #16 18/05/2023 7:41

Draytek Vigor 3910.
לא יודע עד כמה מדוייק לומר שהוא מחיל כללים של IPv4, ההבנה שלי בקרביים של המכשירים האלה די מוגבלת, הוא כנראה יוצר בעצמו כללים שבאים לחקות בקירוב את אותה התנהגות. אין לי הסבר אחר למה שקורה שם כשמעולם לא הגדרתי כללים בנוגע ל- IPv6 ובכל זאת מה שצריך לעבור עובר, ומה שלא לא.

sys_admin · שליחה #17 18/05/2023 8:40

18/05/2023 7:31
oferlap כתב: לדעתי הפיירוול אצלי בראוטר סוגר תקשורת מבחוץ ב- IPv6, אלא אם משהו ספציפי מותר דרך הכללים שמוגדרים ב- IPv4 (למשל פורט פתוח או כלל בפיירוול) ואז הוא מנסה לחקות את אותה תוצאה גם ב- IPv6.
למשל Ping לא מגיע מבחוץ, אבל כן חוזר דרך אותה רשת, או דרך VLANS שמוגדרים לתקשר זה עם זה - בדומה להתנהגות של NAT Loopback ב- IPv4.
אבל בזמן האחרון זה לא עובד כ"כ טוב, יש שיבושים מוזרים, מדי פעם אני למשל מקבל Host Unreachable או תוצאות מוזרות באתרי בדיקה כמו IPv6 Test.
...

מן הסתם בהגדרה כלל לא יכול להיות מצב ש: "שהוא מחיל כללים של IPv4" על תקשורת של IPv6. וזה מסיבה מאוד פשוטה והיא שמדובר על שני סוגי תקשורת נפרדים שלא יכול להיות ביניהם הקשר משותף לא בהיבט של ניתוב משותף ולא בהיבט של כללי FIREWALL משותפים. ובכדי שתראה את זה הכי פשוט אתה יכול לראות את זה בניסוי לא מסובך. למשל אתה יכול לפתוח שירות כלשהוא מתוך הרשת שלך לכיוון האינטרנט ב IPv4, למשל את SSH ולהתחבר מצד האינטרנט לשירות זה בתוך הרשת שלך. זה שאפשרת אותו בכללים של IPv4 או אפילו, אם הפנת את פורט שלו דרך NAT לא יביא למצב שיש לך גישה עליו מבחוץ גם ב IPv6. וגם הפוך, אם בדקת והוא זמין ולא חסום ב FIREWALL ב IPv6, אם תחסום אותו ב IPv4 בחוקי FIREWALL, זה לא יהפוך אותו לחסום גם ב IPv6. וזה בגלל שמדובר על שני פרוטוקולי תקשורת שונים, שפועלים במקביל, בצורה עצמאית כל אחד ולא קשורים אחד בשני. זה גם נדרש שלכל סוג של פרוטוקול תהיה שליטה עצמאית ונפרדת מבחינת הכללים שחלים עליו.
ובכדי לראות ולהגדיר את זה אתה רק צריך לבדוק בממשק ניהול FIREWALL של הנתב שלך, אם בכלל יש שם מה לראות ולהגדיר. בגלל שיש גם נתבים שנועדו לשימוש של עקרות בית נואשות ובגלל כך אין להם שום אשפרות שליטה על כלום, כולל גם לא אפילו על דברים טריוויאליים כמו חוקי FIREWALL לתקשורת IPv6.

גם לנושא של VLANS, בכדי שתהיה תקשורת IPv6 תקינה ביניהם אתה צריך להגדיר את הטווחים מוגדרים תקינים לכל אחד מהם ואחרי זה גם את הכללי FIREWALL הרצויים לכתובות נדרשות ולטווחים אלה. אחרת גם אין שום אפשרות לתקשורת תקינה מסוג זה.

amdr1 · שליחה #18 18/05/2023 21:20

משהו יודע אים נתבים של ספקי אינטרנט תומכים בprefix delegation לכיוון נתב פרטי ואפשר בכלל לדבר על זה עים תמיכה תכנית?

sys_admin · שליחה #19 18/05/2023 23:30

18/05/2023 21:20
amdr1 כתב: משהו יודע אים נתבים של ספקי אינטרנט תומכים בprefix delegation לכיוון נתב פרטי ואפשר בכלל לדבר על זה עים תמיכה תכנית?
...

מבחינת נתבים של ספקי אינטרנט אין שום הבדל, אם בצד הלקוח מותקן נתב פרטי או לא מן הסתם לצורך תמיכה ב prefix delegation, ואם ללקוח יש נתב פרטי שתומך בזה, מוגדר נכון ובמערכת של ספק אינטרנט מוגדרת אפשרות זו, אז הנתבים של הספקים אינטרנט תומכים בזה ללא שום בעיה.

חוץ מזה, זה מובן כבר מצילומי מסך מכמה נתבים פרטיים שונים שלי שצירפתי מקודם, שבכולם רואים שמתקבל בהם prefix delegation מצד הנתבים של ספקי אינטרנט.

ולשאלה של, אם "אפשר בכלל לדבר על זה עים תמיכה תכנית", התשובה היא, כן לדבר אפשר, רק, אם לדבר עם ילדים מוקדנים שמקריאים תשובות מתסריט שיחות זה יהיה מיותר, בדיוק כמו לדבר איתם על כל נושא טכני אחר חוץ מנושאים של איפוס של ציוד קצה שהם סיפקו או כיבוי והדלקה שלו.

oferlap · שליחה #20 19/05/2023 9:28

טוב, התיעוד היחיד שראיתי ברשת לגבי איפה ממשק ה- web של הראוטר הזה מציג במסודר את הנתון של Prefix Delegation היה בלוג פרטי כלשהו
https://alanjmcf.wordpress.com/2022/01/ ... k-routers/
אם אני מבין נכון, זה דווקא היה מוצג בדגמים ישנים שלהם, ונפל איכשהו בין הכיסאות אחר כך.

הדרך היחידה לראות את זה היום היא לחפש ב- syslog.

אז חיפשתי, וגיליתי שבזב"ל נותנים לי /48 וסלקום /56.
ושזמני ההתפוגגות של הכתובות נדיבים יותר בבזב"ל.
ושבזב"ל מקצים גם Hostname לכל כתובת, וסלקום לא.

עכשיו נשאר לי לנסות להבין כל מיני דברים אחרים, כמו למה הראוטר מקצה אצלי את אותו prefix לכמה רשתות פנימיות שונות, בזמן שבתיאוריה, לפי ההסבר בבלוג הנ"ל, הוא היה אמור להפריד אותן על פי מספר סידורי עולה.

או למה הנתונים שהראוטר מראה ב- live, בדף של physical connections, הנתונים שמתייחסים לבזב"ל מופיעים בפונט אדום ולא ירוק. זה לא אומר שזה מנותק או לגמרי לא שמיש כמו שאדום כזה אומר ברובריקה השכנה של IPv4, זה מה שבטוח. השאלה מה זה כן אומר. אני מניח שלא משהו טוב.

או למה אתר הבדיקה הזה טוען שאני לא משתמש ב- SLAAC
https://ipv6-test.com/
בזמן שהראוטר מוגדר לאפשר SLAAC ואני גם רואה לפי הכתובת של המחשב שהיא נגזרת מה- MAC Address שלו.

מה עדיף, לתת ל- ICMPv6 לעבור, כמו שרומז האתר הזה, או לחסום אותו?

והאם כדאי יותר להפעיל בראוטר שירות DHCPv6, או לאפשר למכשירים לתת כתובות לעצמם דרך SLAAC?