这是关于IPv6和NAT的典型问题
有关:
- IPv6子网划分如何工作,它与IPv4子网划分有什么不同?
- 我怎样才能将我的脚趾头浸入dynamic的IPv6networking寻址?
- IPv6没有NAT,但是一个ISP变化呢?
所以我们的ISP最近已经build立了IPv6,而我一直在研究过渡到什么程度之前所需要的。
我注意到了三个非常重要的问题:
我们的办公室NAT路由器(旧的Linksys BEFSR41)不支持IPv6。 也没有任何新的路由器,AFAICT。 我正在阅读的关于IPv6的书告诉我,它使得NAT“无用”。
如果我们应该摆脱这个路由器,并将所有东西直接连接到互联网,我就开始恐慌。 没有办法,我会把我们的账单数据库(有大量的信用卡信息!)在互联网上给大家看。 即使我build议在其上设置Windows防火墙,只允许6个地址有任何访问权限,我仍然冷汗。 我不相信Windows,Windows的防火墙,或者远远超过这个networking的networking。
有几个完全没有IPv6能力的旧硬件设备(即打印机)。 而且可能是一个安全问题的清单,可以追溯到1998年左右。而且可能没有办法以任何方式实际修补它们。 并没有资助新的打印机。
我听说IPv6和IPSEC应该以某种方式使所有这些安全,但是没有使这些设备在互联网上不可见的物理上分离的networking,我真的不知道如何。 我同样可以真正看到我所制造的任何防御措施是否会在短时间内被超越。 我已经在互联网上运行了多年的服务器,而且我对于保护这些服务器所需的东西非常熟悉,但是像我们的计费数据库一样,在networking上放置一些私有的东西一直是完全不可能的。
如果我们没有物理上独立的networking,我应该用什么来取代NAT?
首先,最重要的是,只要您的安全设备configuration正确,就不用担心公共IP分配。
如果我们没有物理上独立的networking,我应该用什么来取代NAT?
自从二十世纪八十年代以来,我们一直在物理上分离它们,路由器和防火墙。 你使用NAT获得的一个很大的安全性就是强迫你进入默认的拒绝configuration。 为了获得任何服务,你必须明确打孔。 爱好者设备甚至允许您将基于IP的ACL应用到这些孔,就像防火墙一样。 实际上,可能是因为他们盒子上有“防火墙”。
正确configuration的防火墙提供与NAT网关完全相同的服务。 NAT网关经常使用,因为它比大多数防火墙更容易进入安全configuration。
我听说IPv6和IPSEC应该以某种方式使所有这些安全,但是没有使这些设备在互联网上不可见的物理上分离的networking,我真的不知道如何。
这是一个误解。 我在一个拥有1/16 IPv4分配的大学工作,而且我们绝大部分的IP地址消耗都在这个公共分配上。 当然,我们所有的terminal用户工作站和打印机。 我们的RFC1918消费仅限于networking设备和需要这种地址的某些特定服务器。 如果你刚刚开始颤抖,我也不会感到惊讶,因为当我第一天出现在显示器上,并在我的IP地址上看到后,
然而,我们还活着。 为什么? 因为我们有一个外部防火墙configuration为有限的ICMP吞吐量的默认拒绝。 仅仅因为140.160.123.45在理论上是可以路由的,并不意味着你可以从任何地方到达公共互联网。 这是防火墙devise的目的。
给定正确的路由器configuration,并在我们的分配不同的子网可以完全不可达彼此。 您可以在路由器表或防火墙中执行此操作。 这是一个独立的networking,过去已经使我们的安全审计员满意。
没有办法,我会把我们的账单数据库(有大量的信用卡信息!)在互联网上给大家看。
我们的账单数据库是在一个公共的IPv4地址上,并且一直存在,但是我们有证据表明您不能从这里到达。 仅仅因为地址在公共v4路由列表中并不意味着它将被保证交付。 互联网和实际的数据库端口之间的两个防火墙过滤了邪恶。 即使从我的办公桌,在第一个防火墙后面,我也无法进入该数据库。
信用卡信息是一个特例。 这受到PCI-DSS标准的制约,标准直接规定包含这些数据的服务器必须位于NAT网关1的后面。 我们是,这三个服务器代表我们的RFC1918地址的总服务器使用情况。 它不会增加任何安全性,只是一层复杂性,但我们需要检查checkbox以进行审计。
在互联网热潮真正成为主stream之前,提出了原来的“IPv6使NAT成为过去”的想法。 在1995年,NAT是解决小规模IP分配问题的一个解决方法。 在2005年,它被载入许多安全最佳实践文件,至less有一个主要的标准(具体PCI-DSS)。 NAT提供的唯一具体好处是,在networking上执行侦察的外部实体并不知道NAT设备背后的IP环境(尽pipe归功于RFC1918,他们有一个很好的猜测),以及无NAT的IPv4(例如作为我的工作)情况并非如此。 这是防守深度的一小步,不是一个大的问题。
RFC1918地址的replace是所谓的唯一本地地址。 像RFC1918一样,除非同行明确同意让他们路由,否则他们不会路由。 与RFC1918不同,它们(可能)是全球唯一的。 将ULA转换为全球IP的IPv6地址转换器确实存在于较高范围的外围设备中,绝对不在SOHO设备中。
用公网IP地址就可以生存下来。 请记住,“公共”不能保证“可达”,你会没事的。
2017更新
在过去的几个月里,亚马逊网站一直在增加对IPv6的支持。 它刚刚添加到他们的amazon-vpc产品中,他们的实现给出了一些线索,预计如何进行大规模的部署。
为了增加NAT的一个安全优势,他们现在提供一个仅仅出口的因特网网关 。 这提供了一个类似NAT的好处:
这提供了一层深度防御,以防万一错误configuration的防火墙规则意外地允许入站stream量。
此产品不会像NAT那样将内部地址转换为单个地址。 出站stream量仍将具有打开连接的实例的源IP。 希望将VPC中的资源列入白名单的防火墙运营商最好将networking白名单,而不是特定的IP地址。
可路由并不总是可达的 。
1 :2010年10月,PCI-DSS标准发生了变化,强制RFC1918地址的声明被删除,“networking隔离”取而代之。
我们的办公室NAT路由器(旧的Linksys BEFSR41)不支持IPv6。 也没有任何新的路由器
IPv6被许多路由器支持。 没有那么多便宜的针对消费者和SOHO的。 最糟糕的情况是,只需使用Linux机器或使用dd-wrt重新刷新路由器即可获得IPv6支持。 有很多select,你可能只是看起来更难。
如果我们应该摆脱这个路由器,并将所有东西直接插入互联网,
没有任何过渡到IPv6的build议你应该摆脱外围安全设备,如路由器/防火墙。 路由器和防火墙仍然是几乎所有networking的必需组件。
所有的NAT路由器都可以充当有状态的防火墙。 RFC1918地址的使用没有任何魔力可以保护你。 努力工作是有状态的。 如果您使用真实或私人地址,正确configuration的防火墙也可以保护您。
您从RFC1918地址获得的唯一保护是允许用户在防火墙configuration中避开错误/懒惰,但仍然不是那么脆弱。
有几个完全没有IPv6能力的旧硬件设备(即打印机)。
所以? 您不太可能需要通过互联网来提供这些信息,并且在您的内部networking上,您可以继续运行IPv4和IPv6,直到支持或更换所有设备。
如果运行多个协议不是一个选项,你可能需要设置某种网关/代理。
IPSEC应该以某种方式使所有这些安全
IPSECencryption并authentication数据包。 它与摆脱你的边界设备无关,并且更多地保护传输中的数据。
是。 NAT已经死了。 已经有一些企图批准NAT over IPv6的标准,但是他们没有一个开始实施。
这实际上已经引起了试图符合PCI-DSS标准的供应商的问题,因为标准实际上指出你必须在NAT后面。
对我来说,这是我听过的最棒的新闻。 我讨厌NAT,而且我更讨厌电信级的NAT。
NAT只是为了让我们通过IPv6而成为标准的解决scheme,但它已经深入到了互联网社会。
在过渡期间,你必须记住,除了一个类似的名字,IPv4和IPv6是完全不同的1 。 所以,双栈的设备,你的IPv4将被NAT,而你的IPv6不会。 这几乎就像有两个完全独立的设备,只是包装到一块塑料中。
那么,IPv6的上网工作如何? 那么,在NAT之前互联网曾经工作的方式被发明了。 您的ISP将为您分配一个IP范围(与现在一样,但通常为您分配一个/ 32,这意味着您只能获得一个IP地址),但您的范围现在将有数百万个可用的IP地址。 您可以自由填充这些IP地址(如自动configuration或DHCPv6)。 这些IP地址中的每一个都可以从互联网上的任何其他计算机上看到。
听起来很可怕吧? 你的域名控制器,家庭媒体PC和你的iPhone与隐藏的色情藏品都将被从互联网上访问?! 那么,不。 这是一个防火墙的目的。 IPv6的另一个强大function是,它强制防火墙从“全部允许”方式(如大多数家庭设备)变为“全部拒绝”方式,在这种方式下,您可以为特定IP地址开放服务。 99.999%的家庭用户会高兴地把他们的防火墙默认和完全locking,这意味着不允许未经请求的stream量进入。
1 还有比这更多的方法,但是它们不能相互兼容,即使它们都允许在顶部运行相同的协议
众所周知,NAT的PCI-DSS要求是安全影院,而不是实际的安全性。
最近的PCI-DSS已经从呼叫NAT退出了一个绝对的要求。 许多组织已经通过PCI-DSS审计,而没有NAT的IPv4将状态防火墙显示为“等效的安全实现”。
还有其他的安全剧场文件要求NAT,但是,由于它破坏了审计线索并使事件调查/缓解变得更加困难,对NAT(有或没有PAT)进行更深入的研究将成为一个净安全的负面影响。
一个没有NAT的良好状态防火墙是在IPv6世界中一个非常优越的NAT解决scheme。 在IPv4中,NAT是为了地址保护而容忍的必要的罪恶。
它会(可惜)有一段时间才能摆脱单栈IPv6纯networking。 在此之前,双栈优先使用IPv6是可行的。
虽然目前大多数消费者路由器不支持带有固件版本的IPv6,但许多消费者可以使用第三方固件(例如,使用dd-wrt的Linksys WRT54G等)来支持它。 此外,许多企业级设备(思科,Juniper)都支持IPv6即开即用。
重要的是不要混淆PAT(多对一NAT,在消费者路由器上常见)与其他forms的NAT,以及无NAT的防火墙; 一旦互联网变成只有IPv6,防火墙仍然会阻止内部服务的暴露。 同样,具有一对一NAT的IPv4系统也不会被自动保护, 这是防火墙策略的工作。
如果NAT能够在IPv6世界中生存下来,那很可能是1:1的NAT。 在IPv4空间中从未见过的一种forms的NAT。 什么是1:1 NAT? 这是一个全球地址1:1翻译成本地地址。 IPv4等价物将所有连接转换为1.1.1.2,只转换为10.1.1.2,以此类推整个1.0.0.0/8空间。 IPv6版本将会将全局地址转换为唯一本地地址。
通过频繁地转换您不关心的地址(如内部办公室用户浏览Facebook)的映射,可以提供更高的安全性。 在内部,您的ULA号码将保持不变,所以您的水平分割DNS将继续正常工作,但外部客户永远不会在可预测的端口上。
但是真的,它创造的麻烦只是less量的改进的安全性。 扫描IPv6子网是一项非常大的任务,如果不对IP地址如何在这些子网上进行分配(MAC生成方法?随机方法?静态分配人类可读地址?),则无法实现。
在大多数情况下,会发生什么情况是企业防火墙后面的客户端将获得全局地址,可能是ULA,外围防火墙将设置为拒绝所有到这些地址的任何传入连接。 对于所有的意图和目的,这些地址是从外面无法访问的。 一旦内部客户端启动连接,数据包将被允许通过该连接。 需要将IP地址更改为完全不同的内容,方法是强制攻击者通过该子网上2 ^ 64个可能的地址进行缩略。
RFC 4864描述了IPv6本地networking保护 ( IPv6 Local Network Protection) ,这是一种在IPv6环境中提供NAT可察觉的好处的方法,而实际上不必诉诸于NAT。
本文档介绍了一些可以在IPv6站点上组合的技术,以保护其networking架构的完整性。 这些统称为本地networking保护的技术保留了私有networking的“内部”和“外部”之间明确界限的概念,并允许防火墙,拓扑隐藏和隐私。 但是,由于它们在需要的地方保持地址透明性,所以它们实现了这些目标,而没有地址转换的缺点。 因此,IPv6中的本地networking保护可以提供IPv4networking地址转换的好处而没有相应的缺点。
它首先列出了NAT所带来的益处(并在适当的时候揭穿它们),然后描述可用于提供相同优点的IPv6的特性。 它还提供实施说明和案例研究。
虽然在这里重印太长了,但讨论的好处是:
这几乎涵盖了所有可能需要NAT的场景,并提供了在没有NAT的情况下在IPv6中实现它们的解决scheme。
您将使用的一些技术是:
( 有关详细信息, 请参阅RFC ;再次,转载甚至从中摘录重要内容太长)。
有关IPv6转换安全性的更一般性讨论,请参阅RFC 4942 。
有点。 IPv6地址实际上有不同的“types”。 最接近RFC 1918(10/8,172.16 / 12,192.168 / 16)被称为“唯一本地地址”,并在RFC 4193中定义:
http://en.wikipedia.org/wiki/Unique_local_address
所以你从fd00 :: / 8开始,然后添加一个40位的string(在RFC中使用预定义的algorithm!),最后得到一个应该是全局唯一的伪随机/ 48前缀。 您可以根据需要分配剩余的地址空间。
您应该在您的(IPv6)路由器上将fd00 :: / 7(fc00 :: / 8和fd00 :: / 8)阻止到您的组织之外 – 因此地址名称中的“本地”。 这些地址,在全球地址空间中,不应该是全世界都可以访问的,只是在你的“组织”中。
如果您的PCI-DSS服务器需要IPv6来连接其他内部IPv6主机,则应为您的公司生成一个ULA前缀,并将其用于此目的。 如果您愿意,您可以像使用其他前缀一样使用IPv6的自动configuration。
鉴于IPv6的devise使主机可以拥有多个地址,机器除了ULA以外还可以具有全球可路由的地址。 因此,需要与外部世界和内部计算机进行通信的Web服务器可以同时具有ISP分配的首选地址和ULA前缀。
如果你想要类似NAT的function,你也可以看一下NAT66,但总的来说,我是围绕ULA构build的。 如果您还有其他问题,可以查看“ipv6-ops”邮件列表。
networkingpipe理员一眼就看到NAT,小企业和居民用户在另一个angular度看待这个问题,这个问题有很多困惑。 让我澄清一下。
静态NAT(有时称为一对一NAT) 绝对不能保护您的私人networking或个人电脑。 就保护而言,更改IP地址是没有意义的。
dynamic重载的NAT / PAT就像大多数住宅网关和WiFi AP绝对有助于保护您的私人networking和/或您的PC。 通过devise,这些设备中的NAT表是一个状态表。 它跟踪出站请求并将其映射到NAT表中 – 连接超时一段时间后。 任何与NAT表中的内容不匹配的未经请求的入站帧都会被默认删除 – NAT路由器不知道在私有networking中将它们发送到哪里,因此丢弃它们。 通过这种方式,唯一的设备就是你的路由器。 由于大多数安全漏洞都是基于Windows的 – 在Internet和Windows PC之间安装这样的设备确实有助于保护您的networking。 这可能不是最初预期的function,这是为了节省公共知识产权,但它完成了工作。 作为奖励,这些设备中的大多数还具有防火墙function,多次阻止ICMP请求,这也有助于保护networking。
考虑到上述信息,在迁移到IPv6时使用NAT进行部署可能会使数百万消费者和小型企业设备遭受潜在的黑客攻击。 这对企业networking几乎没有任何影响,因为他们专业pipe理防火墙。 消费者和小型企业networking可能不再在互联网和他们的PC之间具有基于nix的NAT路由器。 没有理由认为一个人不能改用防火墙解决scheme – 如果正确部署,安全性要高得多,但也超出了99%的消费者理解如何去做的范围。 dynamic重载NAT只需使用它即可提供一点保护 – 插入住宅路由器并受到保护。 简单。
也就是说,没有理由不能像在IPv4中一样使用NAT。 实际上,路由器可以被devise为在WAN端口上具有一个IPv6地址,并在其后面具有IPv4专用networking(例如,NAT)。 对于消费者和居民来说,这将是一个简单的解决scheme。 另一个select是将所有设备与公有IPv6 IP相连—中间设备可以充当L2设备,但是提供状态表,数据包检查和function齐全的防火墙。 本质上,没有NAT,但仍阻止任何未经请求的入站帧。 重要的是要记住,你不应该直接插入你的电脑到你的广域网连接,没有中间设备。 除非你想依靠Windows防火墙。 。 。 这是一个不同的讨论。 除了使用Windows防火墙之外,每个networking(甚至家庭networking)都需要一个保护本地networking的边缘设备。
IPv6将会有一些成长的过程,但是没有任何问题不能很容易地解决。 你将不得不丢弃你的旧IPv4路由器或住宅网关? 也许,但时间到了,将会有廉价的新解决scheme。 希望很多设备只需要一个固件闪存。 IPv6是否能够更加无缝地融入当前的架构? 当然,但它是这样的,它不会消失 – 所以你不妨学习它,活下去,爱它。
希望NAT能永远消失。 只有当IP地址稀缺时,才有用,而且没有安全function,通过有状态的防火墙不能提供更好,更便宜,更容易的pipe理。
由于IPv6不再稀缺,这意味着我们可以摆脱这个丑恶的黑客即NAT的世界。
在V4到V6的转换场景中,有很多scheme支持NAT。 但是,如果您拥有全IPV6networking并连接到上游IPV6提供商,则NAT不属于新的世界秩序,除了您可以通过V6networking在V4networking之间进行通信。
思科提供了4to6scheme,迁移和隧道方面的大量信息。
http://www.cisco.com/en/US/docs/ios/ipv6/configuration/guide/ip6-tunnel.html
也在维基百科:
https://secure.wikimedia.org/wikipedia/en/wiki/IPv6_transition_mechanisms
恕我直言:不。
SNAT / DNAT还有一些地方可以使用。 有些服务器被移到另一个networking,但我们不希望/我们不能改变应用程序的IP。
我还没有看到关于IPv6如何丢失(如果确实会消失)的决定性的答案会影响用户的隐私。
随着单个设备的IP地址公开曝光,networking服务将更容易通过您的各种设备在互联网上进行监视(收集,存储,聚合时空和网站,并促进大量的二次使用)。 除非… ISP,路由器和其他设备使得dynamicIPv6地址变得可能和容易,这些地址可以针对每个设备进行频繁更改。
当然不pipe我们还有什么静态的Wi-Fi MAC地址公开问题,但这是另一回事。
政治和基本商业惯例很可能会进一步推动NAT的存在。 过多的IPv6地址意味着ISP会试图为每个设备收费,或限制连接数量受限制的设备。 请参阅最近的这篇文章。 例如:
http://news.slashdot.org/story/11/03/17/0157239/British-ISPs-Could-Charge-Per-Device
仅供参考,任何有趣的是使用IPV6的NAT / NAPT可以。 所有有PF的BSD操作系统都支持NAT66。 很好用。 从我们使用的博客 :
ipv6 nat(nat66)由FreeBSD pf
虽然nat66还在草稿下,但是FreeBSD pf已经支持很久了。
(编辑pf.conf并插入以下代码)
v6_wan_if="your-v6-wan-interface-name" v6_wan_ip="your-v6-wan-ip-address" no nat on $v6_wan_if inet6 from $v6_wan_ip to any nat on $v6_wan_if inet6 from any to any -> $v6_wan_ip
你们都准备好了!
对于我们这些使用单一IP地址多年的鱿鱼的人来说,这是非常好的工作。 通过IPv6 NAT,我可以得到2 ^ 120个私有地址(站点本地),其中包括2 ^ 56个子网长度和5/64个子网。 这意味着我必须比其他IPv6大师聪明得多,因为我有更多的地址
事实是,仅仅因为我有更多的地址(或者可能使用了比您更长的IPv6),确实不会使IPv6(或者我对同一个问题)更好。 但是,如果需要使用防火墙代替PAT,并且不再需要NAT,那么它会使IPv6更复杂,但是是一种select。 防火墙的目标是允许所有出站连接并保持状态,但阻止入站发起的连接。
至于NAPT(带PAT的NAT),需要一些时间让人们摆脱这种思维方式。 例如,直到我们可以让你的曾祖父build立他自己的IPv6防火墙而没有站点本地寻址(私人地址),也没有任何guru的帮助,玩NAT的可能的想法可能是一个好主意,因为那将是他所知道的
最近提出的针对ipv6的build议表明,从事这项新技术工作的工程师将把NAT结合到ipv6中,理由是:NAT提供了一个额外的安全层
该文档是在ipv6.com网站,所以这似乎所有这些答案说,NAT提供没有安全性看起来有点尴尬
我意识到,在未来某个时刻(只能推测),IPv4地址的区域将不可避免地耗尽。 我同意IPv6有一些严重的用户缺点。 NAT的问题非常重要,因为它确实提供了安全性,冗余性和隐私性,并允许用户无限制地连接几乎所有设备。 是的,防火墙是防止未经请求的networking入侵的金标准,但是NAT不仅可以添加另一层保护,而且无论防火墙configuration或最终用户的知识如何,它都会默认提供安全的默认设置,不pipe您如何定义IPv4与NAT和防火墙默认情况下更安全,然后只有防火墙的IPv6。 另一个问题是隐私问题,在每台设备上都有一个互联网可路由的地址,这将为用户带来各种潜在的隐私侵犯,个人信息收集和追踪,这些都是今天难以想象的。 我也认为,如果没有纳特,我们可能会被开放,通过Isp的增加成本和控制。 Isp可能会按照每个设备或每个用户的使用率开始收费,就像我们在USB共享方面已经看到的那样,这将大大降低terminal用户自由地连接他们认为合适的设备。 截至目前,美国的互联网服务提供商(ISP)几乎没有任何forms提供IPv6,我觉得非技术企业的转换速度会很慢,因为增加的成本几乎没有或者没有增值。 当然,IPv6在没有NAT的情况下具有一些优点,但是增加了IPv6的复杂性,更不用说应用程序和服务的可用性了,许多其他问题将推动IPv4至less再延续十年。