Formação IPv6 28 e 29 de Novembro de 2011 Portugal

Apresentação em tema: "Formação IPv6 28 e 29 de Novembro de 2011 Portugal"— Transcrição da apresentação:

1 Formação IPv6 28 e 29 de Novembro de 2011 Portugal
Carlos Friaças 1

2 Direitos de Autor Este conjunto de slides pertence ao projecto 6DEPLOY-2, através dos seus parceiros. A versão Powerpoint deste conteúdo pode apenas ser reutilizado e modificado com autorização escrita dos autores O uso parcial deste conteúdo é permitido se o devido crédito for atribuído ao projecto 6DEPLOY-2 Os ficheiros em formato PDF estão disponíveis em Contactos: para: Ou:

3 Aplicações 29 de Novembro de 2011 Portugal Carlos Friaças 3

4 Agenda Apache E-Mail/Postfix FTP Multicast
Videoconferência / Video on Demand P2P 4

5 Web/Apache Existem patches para versões 1.3.x
Apache >= 2.x suporta IPv6 Existem patches para versões 1.3.x Directivas Listen 80 (colocar apenas o porto e não um IP) NameVirtualHost <endereço> (colocar o endereço IPv6 entre [ ]) VirtualHost <endereço> (colocar o endereço IPv6 entre [ ]) Exemplo de configuração: httpd.conf Listen 80 NameVirtualHost [2001:690:1fff:200:20e:cff:fe31:c81f] <VirtualHost [2001:690:1fff:200:20e:cff:fe31:c81f]> DocumentRoot /usr/local/apache2/htdocs/lg ServerAdmin ServerName lg.ip6.fccn.pt ServerAlias lg.tbed.ip6.fccn.pt ServerSignature </VirtualHost> 5

6 E-Mail/Postfix Postfix >= 2.2 suporta IPv6
Exemplo de configuração: /etc/postfix/main.cf inet_protocols = ipv4, ipv6 smtp_bind_address6 = 2001:db8:1:1::1600 smtp_bind_address = inet_interfaces = 2001:db8:1:1::1600, localhost mynetworks = [2001:db8:1:1::]/ /24 [::1]/ /8 Responde no porto 25, tanto em IPv4 como em IPv6 6

7 E-Mail Logs de Servidor Transparência
imapd-ssl: user=jgoncalves, ip=[2001:690:2080:8009:34ac:199a:a90:271] imapd-ssl: user=amr, ip=[2001:690:2080:8009:64fb:6204:99ce:b389] imapd-ssl: user=assisg, ip=[2001:690:2080:8009:6861:b929:6577:2cf4] imapd-ssl: user=jcarvalho, ip=[2001:690:2080:8009:16f:4b32:ee75:6ff3] imapd-ssl: user=lino, ip=[2001:690:2080:8009:8991:dfbc:1b02:10c2] imapd-ssl: user=massano, ip=[2001:690:2080:8009:813b:ddaf:4701:81fa] Transparência Potencialmente gerador de tráfego IPv6 significativo – localmente 7

8 FTP VsFTP >= 2.0.x suporta IPv6
Exemplo de configuração: /etc/xinetd.d/vsftpd service ftp { socket_type = stream wait = no user = root server = /usr/local/sbin/vsftpd server_args = /etc/vsftpd.conf flags = IPv6 nice = 10 disable = no } Responde no porto 21, tanto em IPv4 como em IPv6 8

9 Multicast Objectivo: Poupança em fluxos de tráfego
Arquitectura dífícil de manter no inter-domínio (entre redes de ISPs diferentes) Com o IPv6 surge o conceito de Source Specific Multicast (SSM) 9

10 Multicast utilizados entre o cliente (pc) e o gateway
IPv4: IGMP, Internet Group Management Protocol IPv6: MLD, Multicast Listener Discovery Protocolos para Gerir Grupos Multicast utilizados entre o cliente (pc) e o gateway evitam que as portas que não estão a aceder a grupos Multicast recebam tráfego indesejado 10

11 Videoconferência Vários Componentes Gestores H.323: OpenMCU
Clientes: GnomeMeeting/Ekiga, ConferenceXP 11

12 Video On-Demand Windows Media Services 9 (>Win2003 Server)
Ferramenta VideoLan Stream sobre IPv6 Menu Media Abrir emissão de rede (servidor = nome com AAAA) 12

13 P2P - Peer-to-Peer Virtualmente todos os nós prestam um serviço
Meios: DNS, Serviço de Ponto de Encontro Sem restrições em relação ao «iniciador» Todos os participantes partilham uma visão consistente da rede NAT não facilita funcionamento Domínio de Endereçamento Global 13

14 P2P - Bittorrent Protocolo criado em 2002
Existem conteúdos «legais» acessíveis através deste protocolo: Suporte em alguns clientes Sempre dependente da plataforma Win/Linux/BSD/Mac Comunicação sobre IPv6 com: «Tracker» Outros clientes 14

15 P2P - Azureus 15

16 P2P - uTorrent 16

17 Recapitulando… O software de servidor WEB Apache, como outros, suporta IPv6. O serviço de (envio e recepção) pode funcionar completamente sobre IPv6. Existe diverso software que possibilita o serviço de arquivo/transferência de ficheiros sobre o protocolo IPv6. 17

18 Recapitulando… O Multicast em IPv6 fica flexibilizado com o surgimento do conceito SSM (source-specific Multicast). Serviços de Videoconferência (nas suas várias componentes) e de Videodifusão podem funcionar sobre IPv6. Existe software variado que permite a comunicação peer-to-peer sobre IPv6 entre nós de uma rede bittorrent. 18

19 Questões ? Obrigado ! 19

20 Segurança 29 de Novembro de 2011 Portugal Carlos Friaças 20

21 Agenda O que há de novo no IPv6? Ameaças IPsec Firewall Conclusão 21

22 O que há de novo no IPv6? A Segurança foi uma preocupação desde o início Áreas que beneficiaram da forma de ver a rede trazida pelo IPv6: Ameaças ao acesso móvel e ao IP móvel Endereços gerados Criptograficamente Protocolos para Autenticação e Acesso à Rede IPsec Tornar as intrusões mais difíceis 22

23 Ameaças Escuta passiva e activa Repetição Análise de Tráfego
Negação de Serviço Ataque Físico Passwords Vírus, Cavalos de Tróia, Worms Acesso Acidental Desastres Naturais Engenharia Social 23

24 Ameaças Scanning de Gateways e Máquinas
Scanning de Endereços Multicast Não havendo endereço broadcast é possível recorrer a outros métodos Spoofing Controle de acesso não autorizado Ter em atenção a criação de listas de acesso para o protocolo IPv6 O IPv6 foi pensado de raiz para ter mais segurança que o IPv4, usando headers próprios para segurança- O IPsec foi copiado pelo IPv4, pelo que o nível de segurança em ambos é praticamente idêntico quando usado o IPsec. 24

25 Ameaças Ataque ao Encaminhamento IPv6 «Sniffing»
É recomendado o uso dos tradicionais mecanismos no BGP e IS-IS O IPsec garante a segurança de protocolos como o OSPFv3 e o RIPng «Sniffing» Sem o recurso ao IPsec, o IPv6 está tão exposto a este tipo de ataque como o IPv4 Mecanismos de transição Ataques específicos para diferentes mecanismos 25

26 Ameaças Ataques «Man-in-the-Middle» Flooding – DDOS
Sem o uso de IPsec, este tipo de ataques em IPv6 ou IPv4 é semelhante Flooding – DDOS Idênticos em IPv4 e IPv6 Ataques ao nível da Aplicação Actualmente, a maioria das vulnerabilidades na Internet é ao nível da aplicação, que não beneficia do uso do IPsec 26

27 Scanning em IPv6 Scanning = «Varrimento»
O tamanho de cada rede é incomparavelmente maior As LANs têm 2^64 endereços. Deixa de ser razoável pesquisar por um endereço sequencialmente Com 1 milhão de endereços/segundo, seriam necessários mais de 500 mil anos para percorrer todos os endereços de uma única LAN É possivel sim, fazer scan de uma determinada máquina, não de ranges. 27

28 Scanning em IPv6 Os métodos de Scanning em IPv6 vão provavelmente evoluir Os servidores públicos necessitam de estar registados no DNS, o que constitui um alvo fácil Os Administradores das redes podem adoptar endereços fáceis de memorizar (ex: ::1,::2,::53) Os endereços EUI-64 têm uma componente fixa (de 16 bits) Os códigos que identificam os fabricantes das placas de rede são bem conhecidos (primeiros 24 bits do endereço MAC) Ao comprometer pontos importantes da arquitectura (ex: routers), um atacante pode detectar a existência de muitos alvos possíveis Outras técnicas incluem obtenção de informação através de zonas de DNS ou de logs Negar a transferência de zona (para o mundo) é prática corrente 28

29 Scanning em IPv6 - Multicast
Novos vectores de ataque Uso de endereços Multicast para «emular» funções de router ou servidor DHCPv6 Todos os nós (FF02::1) Todos os routers (FF05::2) Todos os servidores DHCPv6 (FF05::5) Estes endereços devem ser filtrados em cada ponto de «fronteira» Este é o comportamento por omissão se o IPv6 Multicast não estiver activo no Backbone 29

30 Spoofing em IPv6 A maior agregação que é possível com o IPv6, torna menos complexa a filtragem para impedir o spoofing em pontos estratégicos da rede O aspecto negativo tem a ver com os últimos 64 bits Para identificar um utilizador através de um endereço IPv6, seria necessário manter constantemente o mapeamento entre endereços IPv6 e endereços MAC 30

31 Spoofing em IPv4 com 6to4 Origem IPv4: Origem IPv4 spoofed
Através de tráfego injectado da Internet IPv4 para uma rede IPv6, recorrendo às características do mecanismo de transição 6to4 Origem IPv4: Origem IPv4 spoofed Destino IPv4: Relay 6to4 Anycast ( ) Origem IPv6: Origem IPv6 spoofed, com prefixo 2002:: Destino IPv6: Válido Atacante Internet IPv4 Rede IPv6 Rede IPv6 relay 6to4 gateway 6to4 31

32 Controle de acesso A implementação da política é ainda feita nas firewalls (ou listas de acesso nos routers) Algumas considerações Filtrar endereços multicast nos pontos de fronteira Filtrar endereços IPv4 mapeados em IPv6 any deny ssh 2001:db8:1::1 permit Dst port Src port Dst Src Action 2001:db8/32 são os endereços usados para exemplos. 2001:db8:2::2 32

33 Controle de acesso Criar filtros para endereços bogon
em IPv4 é mais fácil negar os bogon + redes privadas em IPv6 é mais fácil permitir os endereços legítimos host/net 2001:db8::/32 deny service any 2002::/16 permit 2001::/16 2003::/16 3ffe::/16 Dst port Src port Dst Src Action 2001:db8/32 são os endereços usados para exemplos. 33

34 Encaminhamento Devem utilizar-se as mesmas medidas de protecção que em IPv4 Autenticação de vizinhos (BGP) Filtragem de anúncios inválidos Cifragem de mensagens de encaminhamento Basicamente deve aplicar-se o mesmo nível de segurança em IPv6 e em IPv4 Nota: Atenção nos routers a todos os serviços que estão a correr (ex: http,telnet, ssh). Estes devem estar também protegidos contra acessos indevidos em IPv6. 34

35 Mecanismos de Transição
Há cerca de 15 métodos com várias combinações possíveis Dual stack: aplicar o mesmo nível de segurança para ambos os protocolos Túneis iptunnel – utiliza o Protocolo 41 para atravessar a firewall túnel GRE – será mais aceitável uma vez que já era usando anteriormente ao aparecimento do IPv6. 35

36 DDoS Não existem endereços broadcast em IPv6
Evita ataques através do envio de pacotes ICMP para o endereço de broadcast As especificações do IPv6 proibem a geração de pacotes ICMPv6 em resposta a mensagens enviadas para endereços globais multicast (com a excepção da mensagem «Packet too big»). Muitos sistemas operativos seguem a especificação Ainda há alguma incerteza sobre o perigo que pode ser criado por pacotes ICMPv6 com origem em endereços multicast globais Much of the activity with Multicast still has little practical feedback 36

37 Mitigação de DDoS em IPv6
Ter a certeza que os sistemas implementam o descrito no RFC 4443 (e actualizado pelo RFC 4884) Implementar filtragens recomendadas nos RFCs 2827 e 3704, à entrada do sistema autónomo Implementar filtragem à entrada de pacotes IPv6 com endereços de origem IPv6 multicast na rede local 37

38 IPsec Mecanismos gerais de segurança IP Fornece… Autenticação
Confidencialidade Gestão de Chaves – necessita de uma infraestrura de chaves públicas (PKI) Aplicável ao uso em LANs, e WANs públicas & privadas, e na Internet. Definido como obrigatório nas normas do IPv6 O IPsec não é apenas um único protocolo. O IPsec contém um conjunto de algoritmos e uma infraestrutura que permite a comunicação entre duas partes, independentemente do algoritmo apropriado para dotar de segurança essa comunicação 38

39 IPsec Trabalho emanado do IPsec-wg do IETF
Aplica-se tanto ao IPv4 como ao IPv6 e a sua implementação é: Mandatória para IPv6 Opcional para IPv4 Modos IPsec: Transporte & Túnel Arquitectura IPsec: RFC (actualizado pelo RFC 6040) Protocolos IPsec: Authentication Header – AH (RFC 4302) Encapsulating Security Payload - ESP (RFC 4303) 39

40 IPsec - Arquitectura Políticas de Segurança: Que tráfego é tratado?
Associações de Segurança: Como é processado o tráfego? Protocolos de Segurança: Que protocolos (extensões do cabeçalho) são usados? Gestão de Chaves: Internet Key Exchange (IKE) Algoritmos: Autenticação e Cifragem IKE is still changing 40

41 IPsec - Modos Modo de Transporte Modo de Túnel Acima do nível IP
Apenas o payload dos datagramas IP são protegidos Modo de Túnel IP dentro de IP Todos os datagramas que atravessam o túnel são protegidos 41

42 IPsec : Gestão de Chaves
Manual Chaves configuradas em cada sistema Automática: IKEv2 (Internet Key Exchange v2, RFC 4306) Negociação da Associação de Segurança: ISAKMP Diferentes blocos (payloads) são ligados a seguir ao cabeçalho ISAKMP Protocolos de Troca de Chaves: Oakley, Scheme Algoritmos: Autenticação e Cifragem 42

43 Protecção – Firewalls IPv6
IPv6 & Firewalls Não elimina a segurança IPv4, se ela existir  O processo do firewall IPv6 é em geral separado do firewall IPv4, mas pode ser efectuado no mesmo equipamento Isto é possível, por exemplo, em firewalls Checkpoint Sem necessidade de gerir NATs Mesmo nível de segurança e privacidade Segurança fim-a-fim com recurso a IPsec Suporte de transição e coexistência IPv4/IPv6 43

44 Firewall IPv6 – arquitectura #1
DMZ Router Rede Protegida Internet Firewall Internet router firewall Rede Requisitos: Firewall tem que suportar filtragem de pacotes Neighbor Discovery Firewall tem que suportar filtragem de pacotes de Anúncio de Router Firewall tem que suportar o protocolo MLD, se o Multicast é usado 44

45 Firewall IPv6 – arquitectura #2
DMZ Router Rede Protegida Internet Firewall Internet  firewall  router  Rede Requisitos: Firewall tem que suportar filtragem de pacotes ND Firewall tem que suportar filtragem de protocolos dinâmicos de encaminhamento (i.e. BGP, OSPF, IS-IS) Firewall idealmente terá uma multiplicidade de interfaces 45

46 Firewall IPv6 – arquitectura #3
DMZ Rede Protegida Internet Firewall Router Internet firewall/router  Rede Requisitos Apenas um ponto para funções de routing e implementação de políticas de segurança – comum em ambientes «SOHO» Necessita suporte de todas as funções de router e também de firewall 46

47 Recapitulando… O IPv6 pode potencialmente melhorar a segurança na Internet. A maioria das ameaças mantém-se no mundo IPv6, embora algumas sofram mudanças. Os mecanismos de transição são uma fonte potencial de problemas de segurança. 47

48 Recapitulando… A IPSec é a melhor ferramenta para mitigar vários problemas. O posicionamento de um firewall tem que ser pensado de acordo com o cenário em que será usado. Elementos como Firewalls, Routers, DNS, etc, já estão apetrechados para funcionarem em IPv6 com segurança. 48

49 Questões ? Obrigado ! 49

50 Encaminhamento 29 de Novembro de 2011 Portugal Carlos Friaças 50

51 Agenda ISIS OSPFv3 Multiprotocolo BGP Conclusões 51

52 Encaminhamento Sistemas
É uma questão a ter sempre em conta, de qualquer ponto da rede, ou sistema OS IPv4 IPv6 Cisco (IOS) show ip route show ipv6 route WinXP/Win7 route print netsh interface ipv6 show route Linux /sbin/route /sbin/route –A inet6 Mac netstat –r 52

53 Tipos de Protocolo Interno Externo
RIPng (Routing Information Protocol) IS-IS (Intermediate System-Intermediate System) OSPFv3 (Open Shortest Path First) Externo BGP (Border Gateway Protocol) The routing protocols can be divided in two families, one aiming to provide for dynamic intra-domain routing, and other aiming to provide for the inter-domain routing. The protocols that support IPv6 are basically the ones that are used in the IPv4 world. 53

54 ISISv6 É um protocolo OSI Baseado em apenas dois níveis
L2 = Backbone L1 = Stub L2L1= Interligação L2 e L1 Funciona sobre o protocolo CLNS Cada equipamento IS envia LSPs (Link State Packets) Envia informação via TLV’s (Tag/Length/values) Processo de estabelecimento de vizinhanças não muda Operação inalterada Intermediate System to Intermediate System is a link-state protocol routing decisions based on link states “State” is the description of the interface and its relationship to its neighboring devices [CLNS] - Connectionless Network Service The goal is to find the topology in the form of a shortest path tree (SPT) and them from the SPT build routing tables ISIS for IPv6 has exactly the same characteristics than on IPv4. Each router in the routing domain issues an LSP (link state packets) that contains information pertaining to that router. The LSP contains typed variable length data often referred to as TLVs (type- length-values) All comunication is made with LSP LSP componentes: who is my neigbor the interfaces’ addresses what’s the cost what are the protocols supported This is the best internal routing protocol in terms of scalability 54

55 ISISv6 Actualizações: Dois novos Tag/Length/Values (TLV) para IPv6
IPv6 Reachability IPv6 Interface Address Novo identificador da camada de rede IPv6 NLPID We extend the protocol with 2 new TLVs to carry information required to perform IPv6 routing. Two new TLV’s had to be created to suport IPv6: IPv6 Reachability – describes network reachability and contains IPv6 routing prefix and metrics IPv6 Interface Address – contains IPv6 interface addresses (128 bits) New network Layer Identifier IPv6 NLPID – this indicates that the router supports IPv6 55

56 OSPFv3 OSPFv3 = OSPF para IPv6 Baseado em OSPFv2
Topologia de uma área é invisível de fora dessa área O flooding de LSAs é feito por área O cálculo da SPF é realizado separadamente para cada área Todas as áreas têm de dispôr de uma ligação ao backbone (área 0) It is a link-state protocol so, it makes the routing decisions based on the states of the links The state is the description of the interface and its relationship to its neighboring devices The communication is done via Link-State Advertisements (LSAs). A router's collection of LSA data is stored in a link-state database The database’s contents, when subjected to the Dijkstra algorithm, result in the creation of the OSPF routing table. Not as scalable as IS-IS. 56

57 OSPFv3 OSPFv3 é uma versão do protocolo exclusivamente IPv6
Numa rede de pilha dupla é necessário correr OSPF2 (IPv4) e OSPFv3 (IPv6) Há algum trabalho a ser desenvolvido no sentido de dotar o OSPFv3 de suporte IPv4. OSPFv3 is an IPv6-only routing protocol -> separate protocol from OSPFv2 (IPv4) In a dual-stack environment, running OSPF, you need OSPFv2 (IPv4) and OSPFv3 (IPv6) Implementing OSPFv3 for IPv6 expands on OSPFv2 to provide support for IPv6 routing prefixes. LSA Types for IPv6 Due to the fact that with IPv6 it is possible to configure many different IP addresses on one interface LSA types for OSPv3 differ from those in OSPFv2 for IPv4 Router LSAs (Type 1)—Describes the link state and costs of a router's links to the area.These LSAs are flooded within an area only. Network LSAs (Type 2)—Describes the link-state and cost information for all routers attached to the network. Interarea-prefix LSAs for ABRs (Type 3)—Advertises internal networks to routers in other areas (interarea routes) Interarea-router LSAs for ASBRs (Type 4)—Advertise the location of an ASBR. Autonomous system external LSAs (Type 5)—Redistributes routes from another AS, usually from a different routing protocol into OSPF. Link LSAs (Type 8)—Have local-link flooding scope and are never flooded beyond the link with which they are associated. Intra-Area-Prefix LSAs (Type 9)—A router can originate multiple intra-area- prefix LSAs for each router or transit network, 57

58 OSPFv3 Detalhes Todos os routers (FF02::5)
Corre directamente sobre IPv6 Distribui prefixos IPv6 Novos tipos de LSAs Os router-ids são endereços IPv4 Usa endereços Multicast Todos os routers (FF02::5) Todos os designated routers (FF02::6) OSPFv3 is an IPv6-only routing protocol -> separate protocol from OSPFv2 (IPv4) In a dual-stack environment, running OSPF, you need OSPFv2 (IPv4) and OSPFv3 (IPv6) Implementing OSPFv3 for IPv6 expands on OSPFv2 to provide support for IPv6 routing prefixes. LSA Types for IPv6 Due to the fact that with IPv6 it is possible to configure many different IP addresses on one interface LSA types for OSPv3 differ from those in OSPFv2 for IPv4 Router LSAs (Type 1)—Describes the link state and costs of a router's links to the area.These LSAs are flooded within an area only. Network LSAs (Type 2)—Describes the link-state and cost information for all routers attached to the network. Interarea-prefix LSAs for ABRs (Type 3)—Advertises internal networks to routers in other areas (interarea routes) Interarea-router LSAs for ASBRs (Type 4)—Advertise the location of an ASBR. Autonomous system external LSAs (Type 5)—Redistributes routes from another AS, usually from a different routing protocol into OSPF. Link LSAs (Type 8)—Have local-link flooding scope and are never flooded beyond the link with which they are associated. Intra-Area-Prefix LSAs (Type 9)—A router can originate multiple intra-area- prefix LSAs for each router or transit network, 58

59 BGP Multiprotocolo É um protocolo de encaminhamento EXTERIOR
Interliga diferentes domínios de encaminhamento que têm políticas autónomas/independentes. Cada um possui um número de sistema autónomo (AS) Multiprotocol Border Gateway Protocol (BGP) for IPv6. BGP is an Exterior Gateway Protocol (EGP) used mainly to connect separate routing domains that contain independent routing policies (autonomous systems). This is the protocol that made the Internet come true in the 70s, and it has been adapted for IPv6. Multiprotocol BGP is an enhanced BGP that carries routing information for multiple network layer protocol address families: IPv6 unicast and multicast IPv4 unicast and multicast All BGP commands and routing policy capabilities can be used with multiprotocol BGP. The 6bone is/was a huge overlay test network based on tunnels, that allowed for extensive testing of IPv6’s extensions for BGP. The 6bone is intented to end by 6/6/2006. 59

60 BGP Multiprotocolo Transporta sequências de números de AS que ilustram caminhos Suporta as mesmas funcionalidades que o BGP para IPv4 Várias famílias de endereçamento: IPv4 unicast IPv4 multicast IPv6 unicast IPv6 multicast Multiprotocol Border Gateway Protocol (BGP) for IPv6. BGP is an Exterior Gateway Protocol (EGP) used mainly to connect separate routing domains that contain independent routing policies (autonomous systems). This is the protocol that made the Internet come true in the 70s, and it has been adapted for IPv6. Multiprotocol BGP is an enhanced BGP that carries routing information for multiple network layer protocol address families: IPv6 unicast and multicast IPv4 unicast and multicast All BGP commands and routing policy capabilities can be used with multiprotocol BGP. The 6bone is/was a huge overlay test network based on tunnels, that allowed for extensive testing of IPv6’s extensions for BGP. The 6bone is intented to end by 6/6/2006. 60

61 BGP Multiprotocolo O BGP4 transporta apenas três tipos de informação que são verdadeiramente específicos do IPv4: O NLRI na mensagem de UPDATE contém um prefixo IPv4 O atributo NEXT_HOP na mensagem de UPDATE contém um endereço IPv4 O BGP ID no atributo AGGREGATOR There are only three pieces of information, carried by BGP, that are IPv4 specific: the NEXT_HOP attribute (expressed as an IPv4 address), AGGREGATOR (contains an IPv4 address), and NLRI (expressed as IPv4 address prefixes). So, to provide backward compatibility, as well as to simplify introduction of the multiprotocol capabilities into BGP-4, two new optional attributes were created:, Multiprotocol Reachable NLRI (MP_REACH_NLRI) and Multiprotocol Unreachable NLRI The first one (MP_REACH_NLRI) is used to carry the set of reachable destinations together with the next hop information to be used for forwarding to these destinations. The second one (MP_UNREACH_NLRI) is used to carry the set of unreachable destinations. 61

62 BGP Multiprotocolo O RFC 4760 define extensões multi-protocolo para o BGP4 Isto torna o BGP4 disponível para outros protocolos de rede (IPv6, MPLS…) Novos atributos do BGP4: MP_REACH_NLRI MP_UNREACH_NLRI Atributo NEXT_HOP independente de protocolo Atributo NLRI independente de protocolo There are only three pieces of information, carried by BGP, that are IPv4 specific: the NEXT_HOP attribute (expressed as an IPv4 address), AGGREGATOR (contains an IPv4 address), and NLRI (expressed as IPv4 address prefixes). So, to provide backward compatibility, as well as to simplify introduction of the multiprotocol capabilities into BGP-4, two new optional attributes were created:, Multiprotocol Reachable NLRI (MP_REACH_NLRI) and Multiprotocol Unreachable NLRI The first one (MP_REACH_NLRI) is used to carry the set of reachable destinations together with the next hop information to be used for forwarding to these destinations. The second one (MP_UNREACH_NLRI) is used to carry the set of unreachable destinations. 62

63 Encaminhamento IPv6 vs. IPv4 a Nível Global
(19/08/2011) IPv6 IPv4 ROTAS 7614 385468 ROTAS AGREGADAS 6612 (86,8%) 226084 (58,6%) SISTEMAS AUTÓNOMOS 4865 (12,3% face ao IPv4) 39488 O IPv6 ainda está a anos luz do IPv4 pelo que se pode ver por estas estatísticas. No entanto, algo facilmente visível é que o nível de agregação por sistema autónomo é Infinitamente melhor em IPv6. 63

64 Conclusões Protocolo IPv4 IPv6 Processos OSPF OSPFv2 OSPFv3 Dois IS-IS
Um BGP BGP4 BGP4+ 64

65 Recapitulando… Todos os sistemas têm uma tabela de encaminhamento.
Existem protocolos de encaminhamento interno e externo (para uso entre domínios). Alguns protocolos funcionam em IPv4 e IPv6 a partir do mesmo processo, enquanto outros necessitam de um processo distinto. Os principais protocolos de encaminhamento já têm suporte IPv6 estável. Pouco mais de 12% dos sistemas autónomos existentes na Internet IPv4 estão ligados à Internet IPv6. 65

66 Questões ? Obrigado ! 66

67 Transição 29 de Novembro de 2011 Portugal Carlos Friaças 67

68 Agenda Túneis 6to4 NAT-PT e NAT64 Carrier Grade NAT (CGN) 68

69 Túneis Inicialmente IPv6 sobre IPv4 (no futuro, IPv4 sobre IPv6!)
Pacotes IPv6 são encapsulados em pacotes IPv4 O pacote IPv6 é o «payload» do pacote IPv4 Usualmente usado entre routers de forma a interligar «ilhas» de redes IPv6 O router de acesso fala IPv6 internamente com os sistemas na sua LAN Encapsula pacotes IPv6 em pacotes IPv4 na direcção do outro extremo do túnel

70 Entrega de pacotes através do túnel
O nó A IPv6 envia pacotes para o nó B IPv6 Encaminhados localmente para o router O router (do lado A) conhece o melhor caminho para o destino (nó B) através do interface do túnel Encapsula os pacotes IPv6 em pacotes IPv4 Envia os pacotes IPv6 para o router (do lado B) A entrega é efectuada através da infraestrutura IPv4 que existe entre ambos (Internet) O router (do lado B) desencapsula os pacotes IPv6 a partir do payload dos pacotes IPv4 recebidos Os pacotes IPv6 são encaminhados internamente até à rede onde está o nó B O nó B recebe os pacotes IPv6

71 Túnel - Endereçamento

72 Manuais ou automáticos?
Os túneis podem ser criados manualmente ou de forma automática Manualmente Requer intervenção manual nos dois extremos Não funciona quando os endereços IPv4 mudam (DSL, …) Boa solução do ponto de vista da gestão: sabe-se o que está no outro extremo do túnel Automaticamente Túneis criados a pedido, mas sem intervenção humana Inclui o mecanismo 6TO4 (RFC3056) Outros mecanismos: ISATAP (RFC4214) e Teredo (RFC4380, RFC5991 e RFC6081)

73 Tunnel Broker Modo de Operação:
processo de registo, para permitir posterior autenticação, quando o pedido de criação de um túnel é efectuado/recebido de um determinado endereço IPv4 o «broker» configura o seu lado do túnel e envia as configurações necessárias para que o outro extremo seja configurado pelo «cliente» Este mecanismo está descrito no RFC3053, de forma a possibilitar a conectividade de sistema a router, e também de router a router Exemplos: (CA) ipv6tb.he.net (US) (EU)

74 6to4 O mecanismo 6to4 é usado para ligar duas «ilhas» IPv6 através da rede IPv4 O prefixo de rede IPv6 2002::/16 está reservado para este mecanismo Os 32 bits seguintes do endereço são os bits do endereço IPv4 do router 6to4 Exemplo: um router 6to4 com o endereço usará um prefixo IPv6 2002:c000:0101::/48 para a rede do seu «site» de transição Quando um router 6to4 recebe um pacote para um destino com um prefixo 2002::/16, ele sabe que tem de enviá-lo encapsulado através do mundo IPv4 para o endereço indicado nos 32 bits seguintes

75 6to4 - Mapa

76 6to4 - Características Positivo: Simples de instalar e usar
Completamente automático; não necessita de intervenção humana para que seja configurado um novo túnel Os pacotes atravessam os túneis até ao destino usando o melhor caminho disponível na rede IPv4 Negativo: Os relays 6to4 podem ser usados em ataques (DoS attacks) O RFC3964 descreve alguns cuidados a ter em conta

77 6to4 Relay Um router que seja um 6to4 Relay possui um endereço 6to4 mas também um endereço no mundo IPv6 Dois casos a considerar: Pacotes IPv6 enviados de um «site» 6to4 para um destino no mundo IPv6 (fora de 2002::/16) atravessam um túnel até ao relay e aí são encaminhados para a Internet IPv6 até ao seu destino Os relays 6to4 são anunciados no endereço IPv4 anycast Pacotes IPv6 enviados da Internet IPv6 até um «site» 6to4 (portanto num prefixo 2002::/16) são encaminhados até um relay 6to4 e então atravessam um túnel até ao destino. O relay anuncia a rede 2002::/16 aos seus vizinhos na Internet IPv6

78 6to4 Relay - Exemplo

79 6to4 - Aspectos 6to4 é um mecanismo de transição interessante
Embora possua alguns detalhes operacionais menos positivos Problema 1: Possibilidade de abuso do relay Pode ser usado num ataque DoS Os endereços IPv6 que atravessam os túneis automáticos podem ser falsificados (spoofed) Problema 2: Modelo assimétrico/robustez Um «site» 6to4 pode usar um relay 6to4 diferente de cada vez que comunica com um destino na Internet IPv6 (isso depende apenas do estado das rotas IPv6 e IPv4). Alguns relays 6to4 podem ficar inatingíveis caso os ISPs filtrem a informação de routing como forma de apenas os seus clientes poderem alcançar o relay 6to4 que disponibilizam

80 6to4 – Encaminhamento Assimétrico

81 Network layer: NAT-PT Network Address Translation - Protocol Translation Definido no RFC2766, Descontinuado no RFC4966 Similar ao NAT do IPv4, mas com tradução de protocolo Usa o protocolo SIIT (RFC2765, tornado obsoleto pelo RFC6145) O SIIT define algoritmos para traduzir os cabeçalhos de pacotes IPv4 e IPv6, quando possível O NAT-PT adiciona ao SIIT gamas de endereços IPv4 Traduções IPv4-para-IPv6 e IPv6-para-IPv4 são suportadas

82 NAT-PT: Topologia

83 NAT-PT e DNS O protocolo DNS ALG traduz queries DNS de registos IPv6 (AAAA), para queries DNS de registos IPv4 (A). Quando a resposta com o registo (A) é recebida, o DNS ALG traduz o resultado para um endereço IPv6 Guardando o tuplo <IPv6-prefix>:<IPv4 address> O sistema cliente vai usar o endereço IPv6 para contactar o destino, que será traduzido pelo mecanismo de NAT-PT para o destino «real» em IPv4

84 NAT-PT: Aspectos Negativos
Todas as desvantagens do NAT em IPv4, e um pouco mais: Necessita de manter os estados nos equipamentos que suportam o NAT-PT Necessita de lidar com os endereços IP embebidos no payload do pacote (ex: FTP) Os aspectos relacionados com o DNS são complexos A principal dificuldade é não ser escalável para ambientes de média/grande dimensão

85 NAT64 Um bloco IPv6 é usado para mapear endereços IPv4
Pode ser usado um prefixo /96, /64 ou outros O DNS64 converte registos A em AAAA usando o prefixo do NAT64 e fornece registos A e AAAA aos clientes. por Ivan Pepellnjak (NIL),

86 NAT64 O NAT64 e o DNS64 são dois componentes separados
O router que implementa o NAT64 deve anunciar o prefixo de tradução para a rede IPv6 Implementações Open source: Ecdysis Microsoft: Forefront UAG Direct Access Cisco: CGv6 Ericsson: versões «trial» por Ivan Pepellnjak (NIL),

87 Carrier Grade NAT O que é um CGN ?
Uma solução para o esgotamento IPv4, sem IPv6 Partilha de 1 endereço IPv4 por vários utilizadores Cada utilizador recebe apenas algumas portas por João Damas (BONDIS/ISC), World IPv6 Day 2011, Lisboa 87

88 Carrier Grade NAT Porque é altamente indesejável?
Complexidade na rede e nas aplicações O seu uso dificulta a criação de novas aplicações Limitações para os utilizadores Quebra completamente o príncipio fim-a-fim Mais uma forma de «Walled Garden» (captura de utilizadores) Algumas portas (dum mesmo IP) são mais «especiais» que outras (ex: porta 80 [www], porta 22 [ssh], etc…) por João Damas (BONDIS/ISC), World IPv6 Day 2011, Lisboa 88

89 Clip: IPv6 – Are you Ready?
Cisco Systems

90 Recapitulando… Os túneis podem ser manuais ou automáticos.
Os mecanismos de transição não são perfeitos e não podemos esperar uma boa performance. O 6to4 é um mecanismo simples, mas «cego» na tradução que realiza. 90

91 Recapitulando… O NAT64 é uma evolução do NAT-PT que tem por objectivo ligar ambientes «só-IPv6» à Internet IPv4. A transição faz-se através da introdução do IPv6, em paralelo com o IPv4, e recorrendo aos mecanismos de transição apenas em último caso. O CGN, a ser usado, mudará o funcionamento da Internet como o conhecemos hoje (para pior!). 91

92 Questões ? Obrigado ! 92

93 Componente Prática 93

94 Prática #1 Instalar um servidor WEB IPv4+IPv6 (software Apache)
Acessível por: www0<grupo>.ip6.fccn.pt yum –y install httpd Editar /etc/httpd/conf/httpd.conf Dir. Para colocar contéudos: /var/www/html Reiniciar o serviço: /etc/init.d/httpd restart Verificar funcionamento, usando um browser e o nome para aceder em IPv6 ao serviço Objectivo: Activação de um servidor WEB acessível por IPv6

95 Prática #2 Instalar um servidor FTP IPv4+IPv6 (software VsFTPd)
Acessível por: ftp0<grupo>.ip6.fccn.pt yum –y install vsftpd Editar /etc/vsftpd/vsftpd.conf Dir. Para colocar ficheiros: /var/ftp/pub Reiniciar o serviço: /etc/init.d/vsftpd restart Verificar funcionamento, usando um cliente FTP e o nome para aceder em IPv6 ao serviço Objectivo: Operar um servidor de ficheiros acessível via IPv6

96 Prática #3 Instalar um servidor de E-Mail IPv4+IPv6 (software Postfix)
Nome: mail0<grupo>.ip6.fccn.pt yum –y install postfix Editar /etc/postfix/main.cf Reiniciar o serviço: /etc/init.d/postfix restart Fazer telnet ao porto 25, e verificar que o serviço está activo Verificar também no DNS que o servidor é MX para o domínio ip6.fccn.pt (ferramenta DIG) Dig ip6.fccn.pt mx Objectivo: Operar um servidor que funcione sobre IPv6

97 Prática #4 Usar a ferramenta NMAP (nmap.org)
Analisar os portos/serviços em escuta em IPv4 e IPv6 no sistema Linux Endereços Localhost: nmap nmap -6 ::1 Endereços Globais: nmap <endereço_ipv4> nmap -6 <endereço_ipv6> Objectivo: Diagnosticar portos que recebem ligações num sistema

98 Prática #5 OSPFv3 Entrar no respectivo router
Configurar o processo OSPF 100 Verificar que as vizinhanças se formam (ver HowTo-Routing.pdf) Objectivo: Verificar funcionamento de protocolo de encaminhamento interno em IPv6

99 Prática #6 BGP4+ Entrar no respectivo router
Declarar uma vizinhança BGP com os restantes routers Sistema Autónomo = <grupo> Anunciar a rota 2001:690:1F00:BBB<grupo>::/64 (ver HowTo-Routing.pdf) Objectivo: Verificar funcionamento de protocolo de encaminhamento externo em IPv6

100 Prática #7A Estabelecer um túnel IPv6 sobre IPv4 entre o servidor box<grupo> e um router ip tunnel add sit1 mode sit ttl 10 remote local <endereço_ipv4> ip link set dev sit1 up ifconfig sit1 inet6 add 2001:690:1F00:AAA<grupo>::2/64 Verificar Rotas IPv6 (/sbin/route –A inet6) Reencaminhar uma rota para o novo túnel /sbin/route –A inet6 add 2A00:1450::/32 gw 2001:690:1F00:AAA<grupo>::1 Efectuar traceroute6 (para ipv6.google.com) Objectivo: Verificar alteração no contexto de encaminhamento

101 Prática #7B