Show notes
Über die Herausforderungen der IPv6 Einführung aus Sicht eines ISPUnser Gast (00:00:00)Christian RohmannArbeitet bei NetCologne: http://netcologne.de"NetCologne macht Internet"... und Telefon... und ein paar Dienste drumherumChristian arbeitet im Bereich Network Engineering und Design, genauer um die Infrastruktur und DiensteDSL Zuhause (00:02:40)Die DSL-Box/Router/"FritzBox" meldet sich im Netz mit ihrer Identifikation und bekommt automatisch ihre KonfigurationAlternativ muss man alle Zugangsdaten, Netzwerkeinstellungen etc. selber machenHybrid Fibre Cable/Coaxial (HFC): https://en.wikipedia.org/wiki/Hybrid_fibre-coaxialAuthentifizierung via DOCSIS: https://en.wikipedia.org/wiki/DOCSISKonfiguration quasi via DHCPDigital Subscriber Line (DSL): https://en.wikipedia.org/wiki/DSLz.B. via Kupfer oder GlasfaserDigital subscriber line access multiplexer (DSLAM): https://en.wikipedia.org/wiki/DslamPoint-to-point protocol over Ethernet (PPPoE): https://en.wikipedia.org/wiki/PppoeBroadband remote access server: (BRAS): https://en.wikipedia.org/wiki/BroadbandRemoteAccess_ServerAuthentifizierung gegenüber BRAS über PPPoEIPv4 (00:08:50)IPv6: https://en.wikipedia.org/wiki/Ipv6In Köln gibt es jetzt von NetCologne IPv6 für alle!IPv4: https://en.wikipedia.org/wiki/Ipv4IPv4 Adressen werden knapp, 32 Bit Adressen, also ~4 Mrd. AdressenClassless Inter-Domain Routing (CIDR): https://en.wikipedia.org/wiki/ClasslessInter-DomainRoutingNetwork Address Translation (NAT): https://en.wikipedia.org/wiki/NetworkaddresstranslationPrivate Network Adresses: https://en.wikipedia.org/wiki/PrivateIPaddressz.B. 192.168.0.0 - 192.168.255.255 (192.168.0.0/16) oder 10.0.0.0 - 10.255.255.255 (10.0.0.0/8)NAT ist kein Security Feature(!), das ist nur ein notwendiges Übel.Direkte Verbindungen, z.B. für File Sharing, sind per se nicht ohne weiteres MöglichPort Forwarding: https://en.wikipedia.org/wiki/Port_forwardingIPv6 (00:16:30)IPv5: https://en.wikipedia.org/wiki/Ipv5IPv6: Angefangen ~1996VIEL Mehr Adressen: 128 Bit Adressen, 2^128 AdressenDie Netze in IPv6 ist strenger strukturiert als IPv4Den Netzteil, die ersten 64 bit einer IPv6 Adresse nennt man Prefix, den Rest nennt man InterfaceStateless Autoconfiguration: https://en.wikipedia.org/wiki/Ipv6#Stateless_Autoconfigurationjedes Gerät kann sich seine eigene Adresse aussuchen und sich selber konfigurierenDHCPv6: https://en.wikipedia.org/wiki/DHCPv6Link Local Adress: https://en.wikipedia.org/wiki/Ipv6#LinklocaladdressNur gültig für alles, was nicht geroutet wirdGlobal Unicast Adress: https://en.wikipedia.org/wiki/Ipv6#Createaglobal_addressPrefix vom Netz + Interface Adresse generierenDer Router broadcastet im Netz regelmäßig, dass er ein Netz hat und welchen Prefix zu verwenden istPrefix Delegation: https://en.wikipedia.org/wiki/Prefix_delegationDer Router fragt beim ISP nach einem PrefixBei NetCologne bekommt jeder Kunde ein /48 Prefix, kann also 65.536 Netze aufbauenRouter AdvertisementNetCologne hat 2005 angefangen mit einem /32 NetzWenn jeder ein /32 Netz bekommt, kann man so viele ISPs anbieten, wie es bisher insgesamt theoretische Adressen im IPv4 Internet gibt!Mittlerweile hat NetCologne ein /29 NetzRegional Internet Registry: https://en.wikipedia.org/wiki/RegionalInternetregistryErlaubt die Zuordnung von Adressen zu RegionenNetCologne ist dann eine Local Internet Registry https://en.wikipedia.org/wiki/LocalInternetregistryVerwaltet autonom das zugeteilte NetzNächster Schritt nach dem Netz ist die Kommunikation mit anderen NetzenPeering (https://en.wikipedia.org/wiki/Peering) mit direkten Partnern und Upstream mit indirekten PartnernWichtig als ISP: Mit IPv6 darf es nicht schlechter für den Kunden werdenDaher: Sehr viele stabile und redundante Verbindungen in das restliche InternetWar in den ersten Jahren einfach nicht gegebenEs gab zwischendurch 2 oder 3 Internetze (IPv6)IPv6 und IPv4 parallel (00:42:23)Dual Stack (https://en.wikipedia.org/wiki/Dual-stack#DualIPstack_implementation)Technisch sind das IPv4 und IPv6 Netz vollständig getrenntAndere Möglichkeiten mit nur IPv6 in das IPv4 Netz zu kommenVerwendung eines Proxies (passiert auf Application Layer)Geht auf mit SSL da die Zertifikate auf den Common Name ausgestellt sindGeht aber nur für HTTP-DiensteMail ist auf Grund der begrenzten Gegenstellen einfacherProbleme bei Diensten wie VoIPThemen vor allem in Asien sehr relevant, da dort keine IPv4 Adressen mehr verfügbar sindUm einen transparenten Parallelbetrieb zu leisten muss man auf IP oder TCP Layer runterCarrier-grade NAT: https://en.wikipedia.org/wiki/CarriergradeNATDual-Stack Lite: https://en.wikipedia.org/wiki/Dual-StackLite#Dual-StackLite_.28DS-Lite.29Dual-Stack Lite muss man machen, wenn man nicht mehr genug IPv4 Adressen für alle hatCarrier-grade NAT will man nicht habenIPv4 wird noch auf unbestimmte Zeit weiterhin existierenMeilensteine für das Internet: IPv6 TageErst ein Test: https://en.wikipedia.org/wiki/WorldIPv6DayandWorldIPv6LaunchDay#WorldIPv6DayUnd der Launch: https://en.wikipedia.org/wiki/WorldIPv6DayandWorldIPv6LaunchDay#WorldIPv6Launch"Launch" bedeutet konkret, dass beide Netze parallel existieren und Domainnamen müssen im DNS sowohl auf IPv4 als auch IPv6 aufgelöst werden könnenPer RFC ist definiert, dass zuerst versucht wird die IPv6 Adresse aufzulösenBasti fragt sich warum AWS und Co. noch nicht IPv6 eingeführt istGroße Netzwerkinfrastruktur löst Dinge oft in Hardware, ein Austausch ist daher nicht so einfachSehr große Anbieter haben sehr komplexe Setups mit sehr vielen SystemenEin gewisses Maß an Nostalgie lässt sich auch nicht abstreiten ;-)unzähliger weitere Gründe an die man gar nicht denken mag…Neben der Infrastruktur gibt es ja auch noch die Endgeräte (Für Christian sind Endgeräte die Router bei den Leuten zu Hause, Anm.d.Red.)Sehr viele Endgeräte die nur IPv4 können und nie was anderes können werdenGrundsätzliches Problem: IPv6 kann man nicht verkaufen, daher muss man wirtschaftlich den regulären Lebenszyklus der Gerätschaften abwarten, um diese zu erneuernEndgeräte im Sinne von, dass wo der Nutzer vorsieht, sind alle vollständig und stabil IPv6 fähigWenn Geräte nicht IPv6 können sollten sie am besten ignorant sein und nicht kaputt gehen, wenn ihnen jemand eine IPv6-Adresse andrehen willTests hierzu wurden u.a. von Akamai und Google durchgeführtUm Fehlverhalten in Browsern zu verhindern, wurde Happy Eyeballs entwickelt: https://en.wikipedia.org/wiki/Happy_EyeballsDer Browser erkennt sehr schnell ob IPv6 geht und wenn nicht geht man auf IPv4Um als Dienstanbieter testen zu können wie die IPv6 Konnektivität der Nutzer ist werden einige Teile nur über IPv6 bzw. IPv4 zugänglich gemachtWhitelisting auf ProviderebeneWird jetzt nicht mehr gemachtKein konkreter Austausch zwischen Diensteanbieter und ISPDie Topologie und das Routing bei IPv6 und IPv4 sind nicht zwingend gleichAm Ende ist der Weg zwischen Dienst und Nutzer, dass was am längsten bei der Umstellung brauchtTunnel (01:15:46)Wenn man umbedingt IPv6 haben will aber der Provider es noch nicht anbietet oder die Hardware zu Hause es nicht kann, gibt es die Möglichkeit einen Tunnel zu verwendenNetCologne bietet auch einen solchen Tunnelendpunkt im Rahmen des SixXS-Projektes an (https://www.sixxs.net/main/)Nicht zu verwechseln mit Dual-Stack, dass Equipment weiß nichts von IPv6Unterschiedliche Möglichkeiten: Netz auf einen Router zuweisen lassen, IPv6 auf ein GerätNeben den reinen Fakten zu IPv6 muss man als ISP auch Erfahrung im Betrieb haben und dafür eignet sich der SixXS-PoP hervorragendSixXS-Tunnel ist sein 2010 in Betrieb, lange bevor IPv6 für den Endkunden überhaupt in konkreter Planung warDas war möglich, weil der Ausbau des Backbones seit 2005 statt fandStufen der Umsetzung (01:24:00)2005 - Zuteilung eines NetzblocksAb da Umstellung des Backbones2010 - SixXS PoPAb 2011 begonnen Serverdienste auf IPv6-Betrieb aufzurüstenEnde 2011 waren alle Dienste über IPv6 erreichbarMailverkehr zwischen den Servern geschieht mittlerweile zum Großteil über IPv6IPv6 Konnektivität bei sich selbst testenGoogle Chrome Plugin: