IPv6 в Cisco или будущее уже рядом (Часть 1)
Протокол IPv6 является наследником повсеместно используемого сегодня протокола IP четвёртой версии, IPv4, и естественно, наследует большую часть логики работы этого протокола. Так, например, заголовки пакетов в IPv4 и IPv6 очень похожи, используется та же логика пересылки пакетов – маршрутизация на основе адреса получателя, контроль времени нахождения пакета в сети с помощью TTL и так далее. Однако, есть и существенные отличия: кроме изменения длины самого IP-адреса произошёл отказ от использования широковещания в любой форме, включая направленное (Broadcast, Directed broadcast). Вместо него теперь используются групповые рассылки (multicast). Также исчез ARP-протокол, функции которого возложены на ICMP, что заставит отделы информационной безопасности внимательнее относиться к данному протоколу, так как простое его запрещение уже стало невозможным. Мы не станем описывать все изменения, произошедшие с протоколом, так как читатель сможет с лёгкостью найти их на большинстве IT-ресурсов. Вместо этого покажем практические примеры настройки устройств на базе Cisco IOS для работы с IPv6.
Многие начинающие сетевые специалисты задаются вопросом: «Нужно ли сейчас начинать изучать IPv6?» На наш взгляд, сегодня уже нельзя подходить к IPv6 как к отдельной главе или технологии, вместо этого все изучаемые техники и методики следует отрабатывать сразу на обоих версиях протокола IP. Так, например, при изучении работы протокола динамической маршрутизации EIGRP стоит проводить настройку тестовых сетей в лаборатории как для IPv4, так и для IPv6 одновременно. Перейдём от слов к делу!
Адресация в IPv6
Длина адреса протокола IPv6 составляет 128 бит, что в четыре раза больше той, которая была в IPv4. Количество адресов IPv6 огромно и составляет 2128≈3,4⋅1038. Сам адрес протокола IPv6 можно разделить на две части: префикс и адрес хоста, которую ещё называют идентификатором интерфейса. Такое деление очень похоже на то, что использовалось в IPv4 при бесклассовой маршрутизации.
Адреса в IPv6 записываются в шестнадцатеричной форме, каждая группа из четырёх цифр отделяется двоеточием. Например, 2001:1111:2222:3333:4444:5555:6666:7777.
Маска указывается через слеш, то есть, например, /64.
В адресе протокола IPv6 могут встречаться длинные последовательности нулей, поэтому предусмотрена сокращённая запись адреса. Во-первых, могут не записываться начальные нули каждой группы цифр, то есть вместо адреса 2001:0001:0002:0003:0004:0005:0006:7000 можно записать 2001:1:2:3:4:5:6:7000. Конечные нули при этом не удаляются. В случае, когда группа цифр в адресе (или несколько групп подряд) содержит только нули, она может быть заменена на двойное двоеточие. Например, вместо адреса 2001:1:0:0:0:0:0:1 может использоваться сокращённая запись вида 2001:1::1. Стоит отметить, что сократить адрес таким образом можно только один раз.
Ниже приводятся правильные и неправильные формы записи IPv6 адресов.
Правильная запись.
2001:0000:0db8:0000:0000:0000:07a0:765d
2001:0:db8:0:0:0:7a0:765d
2001:0:db8::7a0:765d
Ошибочная форма.
2001::db8::7a0:765d
2001:0:db8::7a:765d
Забавные сокращения.
::/0 – шлюз по умолчанию
::1 – loopback
2001:2345:6789::/64 – адрес какой-то сети
Однако не все адреса протокола IPv6 могут быть назначены узлам в глобальной сети. Существует несколько зарезервированных диапазонов и типов адресов. Адрес IPv6 может относиться к одному из трёх следующих типов.
• Unicast
• Multicast
• Anycast
Адреса Unicast очень похожи на аналогичные адреса протокола IPv4, они могут назначаться интерфейсам сетевых устройств, серверам и хостам конечных пользователей. Групповые или Multicast адреса предназначены для доставки пакетов сразу нескольким получателям, входящим в группу. При использовании Anycast адресов данные будут получены ближайшим узлом, которому назначен такой адрес. Стоит обратить особое внимание на то, что в списке поддерживаемых протоколом IPv6 адресов отсутствуют широковещательные адреса. Даже среди Unicast адресов существует более мелкое дробление на типы.
• Link local
• Global unicast
• Unique local
Адреса, относящиеся к группе Unique local, описаны в RFC 4193 и по своему назначению очень похожи на приватные адреса протокола IPv4, описанные в RFC 1918. Адреса группы Link local предназначены для передачи информации между устройствами, подключёнными к одной L2-сети. Большинство адресов из диапазона Global unicast могут быть назначены интерфейсам конкретных сетевых узлов. Список зарезервированных адресов представлен ниже.
| Адрес | Маска | Описание | Заметки |
| :: | 128 | — | Аналог 0.0.0.0 в IPv4 |
| ::1 | 128 | Loopback | Аналог 127.0.0.1 в IPv4 |
| ::xx.xx.xx.xx | 96 | Встроенный IPv4 | IPv4 совместимый. Устарел, не используется |
| ::ffff:xx.xx.xx.xx | 96 | IPv4, отображённый на IPv6 | Для хостов, не поддерживающих IPv6 |
| 2001:db8:: | 32 | Документирование | Зарезервирован для примеров. RFC 3849 |
| fe80:: — febf:: | 10 | Link-local | Аналог 169.254.0.0/16 в IPv4 |
| fc00:: | 7 | Unique Local Unicast | Пришёл на смену Site-Local. RFC 4193 |
| ffxx:: | 8 | Multicast | — |
Базовая настройка интерфейсов
Включение маршрутизации IPv6 производится с помощью команды ipv6 unicast-routing. В принципе, поддержка маршрутизатором протокола IPv6 будет производиться и без введения указанной команды, однако без неё устройство будет выполнять функции хоста для IPv6. Многие команды, к которым вы привыкли в IPv4, присутствуют также и в IPv6, однако для них вместо опции ip нужно будет указывать слово ipv6.
Настройка адреса на интерфейсе возможна несколькими способами. При одном лишь включении поддержки IPv6 на интерфейсе автоматически назначается link-local адрес.
Вычисление части адреса link-local производится с помощью алгоритма EUI-64 на основе MAC-адреса интерфейса. Для этого в середину 48 байтного МАС-адреса автоматически дописывается два байта, которые в шестнадцатеричной записи имеют вид FFFE, а также производится инвертирование седьмого бита первого байта MAC-адреса. На рисунках ниже схематично показана работа обсуждаемого алгоритма.
Сравните указанные выше link-local адрес с физическим адресом интерфейса Gi0/0 маршрутизатора (несущественная часть вывода команды sho int Gi0/0 удалена).
Назначение адреса на интерфейс вручную производится с помощью команды ipv6 address, например, ipv6 address 2001:db8::1/64. Возможно лишь указывать адрес сегмента сети, оставшаяся часть будет назначаться автоматически с использованием преобразованного с помощью EUI-64 физического адреса интерфейса, для чего используйте команду с ключевым словом eui-64.
Обмен сообщениями внутри одного L2-сегмента только с помощью адресов link-local возможен и в некоторых случаях используется, однако в большинстве ситуаций интерфейсу должен быть назначен обычный маршрутизируемый IPv6-адрес. Так, например, соседство по протоколам OSPF или EIGRP устанавливается с использованием link-local адресов. Автоматический поиск соседа и другие служебные протоколы также работают по link-local адресам
Естественно, сохранилась и возможность автоматического назначения адреса в IPv6 с помощью протокола DHCP. Стоит, правда, отметить, что в IPv6 существует два различных типа DHCP: stateless и stateful, настройка которых производится с помощью команд ipv6 address autoconfig и ipv6 address dhcp соответственно.
Как уже было отмечено ранее, в IPv6 протокол ARP более не используется. Определение соседей производится с помощью протокола NDP (Neighbor Discovery Protocol) путём обмена сообщениями ICMP, отправляя их на групповой адрес FF02::1.
В операционных системах семейства Windows также присутствует возможность просмотра списка соседей (аналог команды arp –a), правда, теперь придётся использовать более длинный системный вызов.
Похожим образом осуществляется поиск маршрутизаторов в локальном сегменте, правда, в этом случае отправка пакетов производится на адрес FF02::2. Заинтересованный узел отправляет сообщение RS (Router Solicitation), на которое получает ответ RA (Router Advertisement) от маршрутизатора. Указанный ответ содержит параметры работы IP-протокола в данной сети. Описанный процесс представлен на рисунке ниже.
Обнаружение маршрутизатора, подключённого к сегменту локальной сети, используется для получения узлом адреса IPv6 с помощью процедуры stateless address autoconfiguration (SLAAC), которую ещё называют Stateless DHCP.
______________
UPD 5/05/14: Как верно заметил коллега в комментарии, следует различать SLAAC и Stateless DHCP. В нашем с Максимом тексте пропущено важно е слово «ОШИБОЧНО». Помните, как в учебнике по философии говорилось, что нельзя выдирать цитату из контекста, а то получится «Было бы ошибкой думать, что (цитата)» 🙂
Итого, верно было бы написать: «stateless address autoconfiguration (SLAAC), которую в некоторой литературе ОШИБОЧНО называют Stateless DHCP.»
Приношу свои извинения за недосмотр и введение в заблуждение
______________
IPv6 в Cisco
На этой странице описывается процедура настройки IPv6 в Cisco.
Содержание
[править] Базовые настройки
[править] Настройка адреса на интерфейсе маршрутизатора
Есть несколько вариантов настройки адреса на интерфейсе (подробнее на странице IPv6):
- Статическое задание:
- задать весь IPv6-адрес статически,
- задать префикс адрес статически, оставшиеся 64 бита автоматически настраиваются на основании MAC-адреса интерфейса (EUI-64),
Статическое задание global unicast адреса на интерфейсе:
Настройка EUI-64 IPv6 адреса:
[править] Настройка статических маршрутов в IPv6
[править] Непосредственно присоединенный статический маршрут
Непосредственно присоединенный статический маршрут (directly attached static route) — маршрут, который указывает на исходящий интерфейс.
Непосредственно присоединенный статический маршрут:
В примере указано, что все сети с префиксом 2001:128::/32 непосредственно доступны через интерфейс fa0/0.
Непосредственно присоединенные статические маршруты помещаются в таблицу маршрутизации, если:
- интерфейс, на который они указывают, в статусе up
- на этом интерфейсе включен IPv6.
У статического маршрута IPv6, который указывает на интерфейс, метрика 1, а не 0 как в IPv4.
[править] Рекурсивный статический маршрут
У статического маршрута IPv6, который указывает на next-hop IP-адрес, метрика 1, как и в IPv4.
How to Configure IPv6 on Cisco Devices
Photo: felixtriller.de on FlickrThis brief tutorial is a followup article to What Every Network Admin Should Know About IPv6. In that article, we explored a number of topics that are integral to understanding how IPv6 works, including IPV6 addressing, the Neighbor Discovery Protocol, link-local addresses, IPv6 multicasts, and more.
In this instalment, we look at how to configure IPv6 on a simple network with Cisco devices.
How to enable IPv6
Turning on IPv6 on a Cisco device is a simple matter.
This command enables on IPv6 on just the device. It establishes an IPv6 routing table, allows you to configure IPv6 addresses on interfaces, and gives you access to the various IPv6 services the device can run.
How to configure interfaces for IPv6
Configuring IPv6 on an interface is similar to configuring IPv4, just with more options for addressing. The simplest option is “auto-config”.
In this case, the device uses the IPv6 Neighbor Discovery Protocol to figure out the /64 subnet for the network. Then it uses its own MAC address and a standard algorithm called EUI-64 to create the unique address.
Then, because it’s a really bad thing to have duplicate addresses in any protocol, it uses another standard protocol to ensure the automatically generated address is actually unique.
The trouble with auto-config is that there has to be a router on the network before neighbor discovery is useful. So usually the network devices need to be deliberately configured with a particular subnet. You can do this while still using the MAC address-generated host part for the IPv6 address.
And you can also configure the full address by hand, which allows you to specify different host portions for the address as well as potentially different subnet mask lengths.
Note that I still used a /64 subnet. In general, you’ll want to use /64 subnets for any network that includes end devices like workstations or servers because just about everything uses the EUI-64 algorithm. Don’t fight it.
How to configure IPv6 routing
IPv6 has similar routing options to IPv4. You can configure static routes as well as various dynamic routing protocols such as Open Shortest Path First (OSPF) and Border Gateway Protocol (BGP). And you can redistribute routes between different routing protocols.
These are very big topics, however. For getting started with IPv6 in a simple network, it’s often sufficient to use static routes.
The syntax is exactly what you’d expect from IPv4 routing. Traffic to be sent to the prefix (ABCD::/64 in the first example) is forwarded first to the router at ABC0::1.
One interesting option in IPv6 routing is to use link-local addresses for the next hop device. The option appears automatically when you use a dynamic routing protocol, but you can use either global or link-local addresses with static routes.
How to configure IPv6 security
There are a couple of useful IPv6 security options. The first is the Access Control List (ACL), which is similar to an IPv4 ACL. First, configure a named ACL.
Then apply the ACL to an interface using the “ipv6 traffic-filter” command.
Another useful security feature is RA Guard, which prevents internal IPv6 attacks against the neighbor discovery feature. The concern is that an attacker device could advertise itself as an IPv6 router for the network segment. The attacker could then either disrupt communication or, more subtly, intercept and inspect every packet as it goes by.
Apply this command to every interface that connects to an end device, and it will block IPv6 router advertisements from that interface. If the switch itself is the only real router on the segment, then apply this command to all interfaces.
As I’ve shown, IPv6 has a lot of configuration options that are similar to IPv4, and a lot more that are quite different. It has its own complications and its own security problems. But there are also ways that it’s simpler. For example, you can easily make a simple rule that all subnets are /64 address ranges.
Most of your devices are already turning IPv6 on by default, so it makes sense to make your network ready as well. The basic commands we‘ve reviewed here are a great start.