Newsgroup: it.comp.reti.locali
Titolo: ho provato l'ipv6

scusate, non sapevo dove postare e posto qui
 
volevo un po' di informazioni su questo ipv6..
 
siccome ho un abbonamento con alice adsl a 20 mega e ho letto che 
avevano attivato l'accesso in ipv6, mi sono deciso a fare una prova
 
ho configurato il mio cisco con le impostazioni di alice ipv6 e mi sono 
collegato
 
risultato:
- la connessione funziona
- ottengo sia un indirizzo pubblico ipv4 che un ipv6
 
in particolare da quello che ho capito anche i pc in rete locale 
ottengono via dhcp dal router un ipv6 e quando vado su qualche sito 
internet che mi dice qual e' il mio ipv6, mi fa vedere l'indirizzo ipv6 
del pc in uso nella rete locale non quello del router come avviene con 
l'ipv4
 
domande:
 
1. e' possibile fare in modo che i pc della rete locale non siano 
esposti pubblicamente su internet con un indirizzo accessibile dall'esterno?
tipo con l'ipv4 uso indirizzi tipo 192.168.0.*
si possono impostare indirizzi privati in ipv6?
 
in particolare, su una macchina leggo per esempio queste impostazioni:
ipv4: addr:192.168.0.8  Bcast:192.168.0.255  Mask:255.255.255.0
ipv6: addr: fe80::225:22ff:fe29:.../64 Scope:Link
 
non potrebbe bastare quest'ultimo indirizzo (quello basato sul mac 
address) per stare in rete locale e collegarsi in ipv6?
ci vuole per forza un ulteriore ipv6??
 
 
 
2. ho notato che collegandomi diverse volte a internet, si ottengono 
indirizzi ipv6 diversi, cioe' sempre dinamici come l'ipv4...
ci sono miliardi di indirizzi disponibile e c'e' ancora questo casino 
che devono assegnare gli indirizzi dinamicamente???
 
3. non ho capito quanti indirizzi vengono assegnati una volta che ci si 
collega a internet.. un'intera /64 ???
 
 
4. non ho capito quali sono i dns ipv6 di telecom..
su internet ho trovato solo quelli di google (2001:4860:4860::8888  e 
2001:4860:4860::8844)
 

 collega a internet.. un'intera /64 ???
In realtà i provider dovrebbero fornire una /48, ma ovviamente non sono 
obbligati.

ne approfitto pure per un'altra domdanda:
 
 
come mai leggo sul router due distinti ipv6 pubblici, oltre 
all'indirizzo locale FE80... (cioe' due indirizzi che cominciano con 
2A01...............)
??
 
 
 
cisco877#sh ipv6 interface brief 
 
ATM0                       [up/up] 
 
     unassigned 
 
ATM0.1                     [up/up] 
 
     unassigned 
 
Dialer0                    [up/up] 
 
     FE80::1 
 
     2A01:2000:2000:B5DF::1 
 
FastEthernet0              [up/down] 
 
     unassigned 
 
FastEthernet1              [up/down] 
 
     unassigned 
 
FastEthernet2              [up/up] 
 
     unassigned 
 
FastEthernet3              [up/down] 
 
     unassigned 
 
NVI0                       [administratively down/down] 
 
     unassigned 
 
Virtual-Access1            [up/up] 
 
     FE80::225:84FF:FE56:44D1 
 
Vlan1                      [up/up] 
 
     FE80::225:84FF:FE56:44D1 
 
     2A01:2000:2001:1F11::1

 ??
Dovrebbe essere perché l'indirizzo sulla Dialer0 è la WAN ed è 
l'indirizzo su cui sono instradati gli indirizzi della LAN, che sono 
configurati sull'interfaccia Vlan1.
Ma prendi la mia risposta con beneficio del dubbio, perché come ho 
giocato in IPv6 fino ad ora, il mio provider mi ha assegnato la rete 
staticamente.
 
Una correzione alla mia precedente risposta: la rete da assegnare agli 
utenti dovrebbe essere una /56, non una /48.


 
Da quanto avevo capito io, gli indirizzi IPv6 che iniziano per fe80 
sono privati (un po' come gli 192.168 ecc per IPv4)
 
 

 sono privati (un po' come gli 192.168 ecc per IPv4)
No, fe80::/10 corrisponde a 
169.254.0.0/16
 serve praticamente solo per
l'autoconfigurazione degli indirizzi, gli ipv6 "privati" sono fc00::/7
ULA/i vecchi site-local che al pari dei loro omologhi ipv4 non sono
instradabili ma a differenza di questi ultimi sono pensati solo per quegli
host che non hanno motivo di accedere a nulla fuori dalla lan (per es. le
stampanti, una delle tante fonti di problemi a tema security negli ultimi
anni) e bon....
 
l'OP volendo potrebbe fare una lan ULA con un gw che via ip6tables od altro
"natta" il traffico ma questo è l'esatto opposto di ciò che si voleva fare
con ipv6: fornire connettività end-to-end per tutti gli hosts del mondo
senza più tutte le menate dei vari nat. Cosa che ha come effetto collaterale
molto desiderato l'incentivare un modello zero-trust anche nelle lan...
 
 
-- 
| sed s/_//g on my mail to reach me :-)

 molto desiderato l'incentivare un modello zero-trust anche nelle lan...
 
La cosa che non mi è ancora chiara è: che succede se prendo un pc e lo 
collego ad una rete che assegna un IPv6 non privato? Il pc diventa 
automaticamente raggiungibile da internet con tutti i rischi del caso o 
devo comunque abilitarlo in qualche modo?
 
 

un'altra cosa che non mi e' chiara:
se vado su un sito web tipo what's my ip (che dice cioe' qual e' il mio 
ip) giustamente visualizza l'ip del pc e non quello del router.. e come 
si fa per vedere l'ip del router senza accedere al router via telnet ??

 
http://whatismyv6.com/
 
 
si ma l'ipv6 che mostra e' quello del pc, non del router
come si fa per visualizzare l'ip del router???
 

 direttamente raggiungibile
 
E' quello che temevo... Quindi praticamente il 90% dei PC in giro (che 
non sono usati/gestiti da personale esperto in materia che può porre 
rimedio) diventerà automaticamente raggiungibile... bellissima 'sta 
cosa!
 
 


Sui router domestici c'è l'impostazione predefinita di effettuare il 
mascheramento.
Presumo che nei futuri router domestici ci sarà l'impostazione 
predefinita "blocca tutto, tranne le connessioni originate dagli host 
nella LAN".

Ni, considera che se parli di desktop non dovresti avere servizi in ascolto
quindi non dovresti avere particolari problemi, se poi parliamo di Windows&c
allora.........


allora.........
 
Non dovresti, hai detto bene...
A me pare una buona cosa il fatto che il router non inoltri niente se
non esplicitamente configurato.
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 allora.........
 
Visto che, volenti o nolenti, "Windows&C" resta comunque l'ambiente 
largamente più diffuso, direi che qualche domanda preventiva bisogna 
porsela. Nessuno, pur lavorando in quell'ambito, probabilmente farebbe 
in tempo a chiudere tutte le porte da tutti i clienti se, per ipotesi, 
dall'oggi al domani si decidesse di abbandonare IPv4 in favore di IPv6.
Da qui la mia perplessità: ormai è assodato che il mondo "là fuori" 
(internet) non è propriamente un playground per bambini e che ogni 
giorno si scoprono vulnerabilità nuove in molti prodotti (non solo in 
Windows o per Windows), quindi a che pro un indirizzamento così aperto 
ed invadente?
 
 

Claiudio ci ha detto :

Speriamo che la "presunzione" sia corretta, sennò ci troveremo 
improvvisamente, per esempio, impossibilitati ad usare condivisioni 
perché, se una cartella è visibile da un pc in rete, lo sarà anche dal 
resto di internet
 
 

 indirizzamento così aperto ed invadente?
 
1) Il passaggio a ipv6 non sara' stile "switch off" da tv analogica
a digitale. Ipv6 e Ipv4 Coesisteranno, e penso per molto tempo...
2) Se parli di "indirizzamento aperto e invadente", devi tener
conto che ipv4 e' nato *senza* aver in mente il NAT, che e' stato
introdotto piu' tardi piu' che altro per ovviare alla scarsita' di
indirizzi, ma mai pensato in funzione della sicurezza (e NON e' il NAT
in se' una cosa che la riguardi...).
Secondo me non c'e' problema: i router che supportano ipv6 saranno
dotati di un firewall stateful che sia perlomeno in grado di bloccare le
tentate connessioni iniziate dall'esterno o comunque pacchetti
scorrelati. Se poi hai un router in modalita' trasparente e gestisci le
cose con un firewall ipv4 in nat o bridging, che supporta anche ipv6,
basta che configuri un firewall in modalita' bridging (non penso
che tu possa fare altrimenti...) per ipv6.
 
p.s.: ma non ne avevamo gia' parlato in un thread passato? A me sembra,
senza offesa, che hai ancora una mentalita' "NAT dipendente" LOL. ;-)
 
bye G.L.
-- 
Da i.d.c.tutela:
P.S. Quando ci sarà lo switch-off, avrò problemi anche col
monitor del PC? Ho visto che è collegato in modalità analogica.


Penso sia normale, lo farebbe anche se avessi attestato un ipv4 pubblico
sul pc con un router in modalita' trasparente (solo routing) o comunque
un firewall in bridge che ti consente di avere attestati sui pc ip
pubblici della subnet pubblica assegnatavi dal provider. ;-)
 
Dovrebbe presumibilmente essere l'ip del gateway sulla configurazione
ipv6 del pc, no?


 a digitale. Ipv6 e Ipv4 Coesisteranno, e penso per molto tempo...
 
si, giusto e per molto tempo ci saranno utonti che saranno esposti 
pubblicamente su internet senza sapere il perche', solo perche' hanno 
impostato sul pc l'ipv6 via dhcp...
 
per me provvedo a disinstallare l'ipv6 da tutti i pc
troppi rischi


Anche perche' mi sa che e' ALTAMENTE autoconfigurante... :-D



 
Nessuna offesa, anzi... si ricordo che forse se ne era già discusso 
tempo addietro, ma allora, come adesso, ero rimasto scettico 
sull'eventualità di assegnare ad un apparato "privato" (vuoi che sia un 
pc un frigorifero "smart") un indirizzo che fosse liberamente 
raggiungibile da internet a meno di non prendere precauzioni.
Insomma, mi sembra che si percorra la strada inversa rispetto a quanto 
fatto finora: invece di chiudere tutto e aprire solo ciò che serve, con 
IPv6 si apre tutto e si chiude solo in un secondo momento.
Anche se, come te, sono convinto che, prima della "grande diffusione", 
verranno distribuiti apparati appositamente configurati, io non mi 
sento troppo tranquillo (il bug è sempre dietro l'angolo).
 
Senza poi contare un aspetto meramente pratico: io ricordo a memoria 
l'IP (statico) di molte delle macchine sulle quali agisco spesso, se 
non altro perché hanno quasi tutti una base comune (192.168). Un domani 
ti voglio a ricordarti una sleppa di 32 caratteri esadecimali (ok, a 
volte può essere più corto grazie alle "scorciatoie" ma è pur sempre 
moooolto meno memorizzabile).
 
Insomma, se non si fosse ancora capito... 'sto IPv6 nun me piace pe' 
ggnente! :-P
 
 

Se è per questo è da anni che tanti avrebbero dovuto porsela: tunnel broker
ci sono in giro da un pezzo e la quasi totalità dei fw non li sega per cui
se chiunque riesce ad introdurre ad es.gogoc&c+radvd può avere accesso libero
in ipv6 da remoto a praticamente tutte le macchine (da anni tutti gli OS
principali e una bella fetta di dispositivi vari ha ipv6 attivo per default).
Il classico caso è qualcuno che si attacca alla WiFi locale (che come molto
spesso accade non prevede forme di isolamento di sorta nel privato e nelle
PMI)...
 
#ifdef SEMI-RANT
Proprio per questo, da anni i vari spacciatori di ferro di rete e l'intero
mondo opensource offrondo anche fw ipv6 e consigliano di usarli (di vendor
grandi cito i vari workshop by Cisco, Brocade, forse persino MikroTik...).
Per contro da anni tanti, curiosamente quasi sempre vendor di software
proprietario e quasi sempre vendor di prodotti con tanti problemi di
security (non Microsoft od Apple una volta tanto) in buona compagnia con
tanti "clienti pigri", dagli ISP sino al "sistemista" indigeno ignorano
ipv6 proprio per non dover fare qualche pur minimo cambiamento...
 
IMVHO più si avanza meglio è, chi resta (ed è rimasto) indietro dovrà suo
malgrado muoversi o farsi tagliar via dalla selezione naturale.
#endif // SEMI-RANT


 blocca tutto, tranne le connessioni originate dagli host nella LAN
e questo risolverebbe magicamente eventuali problemi? sottovaluti la 
categoria!


 
il salto è culturale, la connettività non riguarderà più utenti 
coscienti ma intere famiglie di oggetti... dai frigoriferi 
all'automobile che viaggia autonomamente quinti il concetto attuale di 
utente cosciente di ciò che fa sparirà a favore di chi? boh?
 

 ggnente! :-P
 
A me SPAVENTA... :-)
