我一直在阅读Debian系统pipe理员手册 ,并在网关部分中看到了这段话:
…请注意,NAT仅与IPv4及其有限的地址空间相关; 在IPv6中,地址的广泛可用性通过允许所有“内部”地址在因特网上直接路由(这并不意味着内部机器是可访问的,因为中间防火墙可以过滤stream量),大大降低了NAT的有效性。
这让我想到了…随着IPv6还有一个私人范围。 请参阅: RFC4193 。 公司是否真的要用公有地址build立所有的内部机器? IPv6是如何工作的?
IPv6是如何工作的?
总之,是的。 IPv6地址空间如此大幅度增加的主要原因之一就是摆脱了像NAT这样的创新技术,简化了networking路由。
但是不要混淆公众地址和公众可访问的主机的概念。 即使他们有公共地址,仍然会有“内部”服务器不能访问互联网。 他们将像防火墙一样受到防火墙的保护。 但是,决定今天只有内部服务器需要明天向互联网开放一项特定的服务也会容易得多。
公司是否真的要用公有地址build立所有的内部机器?
在我看来,聪明的人会的。 但是,正如你可能已经注意到的,这将需要相当长的一段时间。
我们在公司networking中为所有设备使用公共IPv6地址。
我们在网关上使用有状态的防火墙,
没有公共交通(ICMP和build立的连接除外)应该进入我们的networking。
到目前为止,我们没有这个设置的问题,它完美的作品。
如果不需要外部连接,则可以使用专用networking。 这也是在IPv6中定义私有地址空间的原因。
NAT是为了延迟IPv4地址空间耗尽而发明的。 NAT导致应用程序出现问题,并使得应用程序与NAT一起工作,需要更多的黑客攻击与IP的原始devise相冲突。
所以,最好的办法就是像Yarik一样工作,在networking边缘使用适当的状态防火墙。
如前所述,这就是知识产权devise工作的方式,而且工作得很好。 NAT有时会引入恼人的问题。 有人把NAT描述为“隐藏”内部IP作为一个优势,但也可能是一个缺点。
我在一个拥有/ 16的地方工作,我们在每台设备(包括打印机,手机和电子时钟)上使用了可公开路由的IPv4地址。 它工作得很好,另外它使得追踪不当用户和设备变得更容易。 它还限制了这些用户的影响,因此,如果有人设法开始传播恶意软件或被强奸,则不太可能影响(比方说)您的邮件服务器的通信能力,因为它被列入黑名单而不受阻碍。
IPv6的支持者把NAT看作是缓解IPv4地址耗尽的临时手段,因此IPv6不需要NAT。
但是,除了停止地址耗尽以外,NAT还有一些优点。
因此,我希望至less有一些公司select使用与IPv4相同的方式部署v6。 其他人可能会与IPv6支持者站在一起,转而使用防火墙,但不支持地址转换。
我强烈地鼓励你(和其他任何考虑使用IPv6实现NAT的人)在阅读RFC 4864之后重新考虑如何去做,而不是NAT
我已经读过,但是我不认为它提供了NAT的完整代表。
IPv6的支持者对此有三种解决scheme,在并行运行多个地址,自动将提供者的dynamic地址分配给内部networking,并使用ULA提供长期的本地地址。
并行运行不同生命周期的地址会造成非永久性地址在长期configuration中不利的结果。 以并行方式运行多个互联网地址具有这样的问题:客户端操作系统没有装备来知道他们的分组将从哪个互联网网关离开。
前缀委派在单级场景下得到了稳固的实施,其中一个CPE路由器从ISP请求一个前缀并将其分配给一个或多个本地接口,但目前似乎没有一个好的多级分类的实现客户网站。
IPv6支持者似乎没有提供任何答案。 他们似乎只是假设事故不会发生。
隐私扩展在某种程度上对此有所帮助,但它们不隐藏子网,它们是客户端function,所以客户端操作系统而不是networkingpipe理员select是否使用它们。
有一个build议/ 128个单独的机器,然后创buildIGP条目路由他们,但我没有意识到任何人在实践中实际执行这个。