Newsgroup: it.comp.reti.locali
Titolo: IPv6, praticità e sicurezza?

Cercando di familiarizzarmi con la nuova versione del famoso 
protocollo, mi sono nati dei dubbi.
Leggendo vari documenti ho capito che, visto che l'IPv6 consente di 
avere un numero estremamente maggiore di indirizzi rispetto all'IPv4, 
non ci sarï¿œ piï¿œ bisogno di avere una distinzione tra IP pubblici ed IP 
privati perchï¿œ ogni singolo dispositivo potrï¿œ avere un IP univoco 
(almeno, io ho capito cosï¿œ). Ma questo come si concilia con la 
sicurezza data da un NAT, che fa sï¿œ che solo un IP pubblico, quello 
assegnato al router dal provider, sia effettivamente esposto verso 
internet, mentre i dispositivi della rete usano IP non raggiungibili 
dall'esterno?
Inoltre, nella configurazione di una rete locale, con quale criterio 
assegnerï¿œ un IP ai client se avrï¿œ necessitï¿œ di assegnarne di fissi, 
magari con una certa logica che serve a me?
 
Grazie per ogni illuminazione sull'argomento!
 
 

  magari con una certa logica che serve a me?
 
Non capisco la domanda, ma presumo con la stessa logica con la quale
si assegnano in ipv4. La minima subnet che assegneranno al cliente
e' - AFAIK - di 2^16 indirizzi.
 
bye G.L.
-- 
Da i.d.c.tutela:
P.S. Quando ci sarï¿œ lo switch-off, avrï¿œ problemi anche col
monitor del PC? Ho visto che ï¿œ collegato in modalitï¿œ analogica.

 
 
Possibile non significa obbligatorio.
 
 
Per il resto procederemo come IPV4, visto che gli attuali modem gi� 
supportano IPV6.
 
-- 
"Non ho paura degli urli dei violenti, ma del silenzio degli onesti"
Martin Luther King.
 
"La religione � il singhiozzo di una creatura oppressa, il sentimento
di un mondo senza cuore, lo spirito di una condizione priva di spirito.
� l'oppio dei popoli." K. Marx


 
Indubbiamente, ma se volessi?
Per IPv4 ci sono le classi "
10.0.0.0/8
", "
192.168.0.0/16
" e 
"
172.16.0.0/12
". C'ï¿œ qualcosa di analogo anche per l'IPv6?
 
 

 dispositivi della rete usano IP non raggiungibili dall'esterno?
 
 
L'errore ï¿œ attribuire una valenza di security al NAT, che con la
security non a nulla a che fare.
 
Se vuoi fare altrettanto con IPv6 lo fai fare al firewall perimetrale:
dentro->fuori=OK; fuori->dentro=KO
E sei nella stessa situazione.
 
 


 
Qui 
http://it.wikipedia.org/wiki/IPv6
 ho trovato a suo tempo la miglior 
spiegazione.
La cosa pi� "strana" mi � sempre parsa COME viene costruito l'indirizzo 
ipv6 e come, secondo le spiegazioni, si pu� avere un ipv6 INTERNO di una 
rete uguale a quello ESTERNO fornito dal provider (o ad altri indirizzi) 
e non avere problemi effettivi di uso .....
-- 
"Non ho paura degli urli dei violenti, ma del silenzio degli onesti"
Martin Luther King.
 
"La religione � il singhiozzo di una creatura oppressa, il sentimento
di un mondo senza cuore, lo spirito di una condizione priva di spirito.
� l'oppio dei popoli." K. Marx
 
"Nessuna buona azione rimarr� impunita!" (285� regola Dell'Acquisizione)

 avere problemi effettivi di uso .....
 
Ah, meno male che non sono il solo ad avere dubbi
 
 

 sicurezza, non lo e' mai stato.
 
Avendo sempre sfruttato la funzione routing dei firewall, non ho ben 
chiaro che livello di sicurezza offre un firewall in modalitï¿œ bridge 
oltre all'analisi dei pacchetti.
Un router fa sï¿œ che l'IP del mio PC (che sia IPv4 o 6) non sia 
raggiungibile direttamente dall'esterno, salvo creando apposite regole 
di routing.
Come si comporta un firwall bridged con gli IPv6 presenti in rete? Sono 
comunque non raggiungibili dall'esterno?
 
 

 Sono comunque non raggiungibili dall'esterno?
 
Si'. Bisogna abbandonare la mentalita' della rete ipv4 privata, e
questo non e' un problema. Anzi, il vantaggio principale e' che
determinati protocolli (es.: voip) non daranno piu' grattacapi
per via del NAT.


 comunque non raggiungibili dall'esterno?
 
Ovvio, come puoi ben intuire. Senno', a che pro? :-)


 oltre all'analisi dei pacchetti.
 
"Analisi dei pacchetti" e' un'altra cosa ("deep inspection", piu'
onerosa: va a vedere i dettagli del protocollo impiegato, al di la'
delle porte associate ai servizi...). Quello che fa un firewall in
modalita' bridge anziche' NAT, e' essenzialmente la stessa cosa:
filtrare pacchetti. Se vuoi, basilarmente, prevenire l'"iniziazione"
di connessioni provenienti dall'esterno, e consentire invece quelle
provenienti dall'interno (e consentire i pacchetti correlati in
iongresso).
Ripeto: non associare il NAT al filtraggio ed alla sicurezza. Fai
finta che il nat, in ipv4, non sia mai esistito, e parti da questo
presupposto. ;-)


 e' - AFAIK - di 2^16 indirizzi.
 
No, 2^64. La subnet minima assegnabile ï¿œ la /64. Non esistono sottoreti
ipv6 piï¿œ piccole della /64. E l'assegnazione consigliata ï¿œ la /56,
ovvero 256 classi /64
 
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 magari con una certa logica che serve a me?
 
Hai 2^64 indirizzi tra cui scegliere, e data la sovrabbondanza di IP
sarï¿œ frequente avere molti IP su ogni macchina. Giï¿œ di base ne avrai
sempre almeno due di unicast su ogni scheda, uno link-local fe80::/64 e
uno global preso mediante SLAAC. Oltre naturalmente ai diversi IP di
multicast in base ai servizi disponibili.
 
Poi ne aggiungerai a tuo uso e consumo; i primi 64 bit saranno sempre
quelli dato che ï¿œ l'indirizzo di rete ed ï¿œ identico per tutti i dispositivi.
 
Gli ultimi 64 bit in genere si lasciano tutti a 0 tranne per gli ultimi
due gruppi per i quali per esempio puoi usare il penultimo gruppo per la
funzione e l'ultimo per la selezione.
 
Per esempio se la rete ï¿œ 2001:1418:107:abcd/64 potrai allocare
 
2001:1418:107:111::1	il default gateway
2001:1418:107:111::1:1	il primo server prima funzione
2001:1418:107:111::1:2	il primo server seconda funzione
2001:1418:107:111::1:3	il primo server terza funzione
2001:1418:107:111::2:1	il secondo server
2001:1418:107:111::3:1	il terzo server
2001:1418:107:111::100:1	la prima stampante	
2001:1418:107:111::100:2	la seconda stampante	
 
E via dicendo. Le funzioni dipendono dai server. Per esempio con IPv6 ï¿œ
inutile in genere gestire i virtual host di un web server; darai un IP a
ciascun sito web e su un singolo server puoi gestire fino a 65535
virtual host differenti cambiando solo l'ultimo gruppo; se dedichi due
gruppi ne puoi gestire piï¿œ di quelli esistenti al mondo. E cosï¿œ anche
addio ai problemi legati ai certificati https dei virtual hosts.
Analogamente i server di posta avranno un IP differente per ogni dominio
di posta. In questo modo il filtraggio di un singolo dominio sarï¿œ piï¿œ
semplice e avrï¿œ meno ripercussioni sul resto dei servizi ospitati.
ecc.ecc.



 
Beh, direi che mi avete chiarito i dubbi piï¿œ grossi.
Grazie
 
 

 con una certa logica che serve a me?
 
in generale si usa l'autoconf con l'EUI-48, cosi' in fase di design non 
ti devi preoccupare dei dettagli
 
-- 
A million bright ambassadors of morning