IPv6 einschalten, ohne einen einzigen Server zu überraschen

Der Grund, warum viele Produktionsnetze noch immer nur IPv4 fahren, ist nicht technisch. Es ist die Sorge, dass das Einschalten von IPv6 etwas an Servern ändert, die seit Jahren niemand angesehen hat, oder eine Tür öffnet, die jede IPv4-Zugriffsliste sorgfältig geschlossen hat. Beide Sorgen sind berechtigt, und beide lassen sich mit der richtigen Reihenfolge der Arbeit vermeiden. Das ist die Reihenfolge, die wir verwenden.

Die zwei echten Risiken

Server konfigurieren sich selbst. Die meisten Betriebssysteme nehmen Router Advertisements standardmäßig an. In dem Moment, in dem ein Gateway in einem VLAN ein Präfix ankündigt, kann sich jeder Host in diesem VLAN eine IPv6-Adresse zuweisen, eine Default-Route installieren und für alles, was zu einem AAAA-Eintrag auflöst, IPv6 bevorzugen. Niemand hat diese Server geändert, und doch hat sich ihr Verhalten geändert.

Sicherheitsrichtlinien gelten pro Protokoll. Eine IPv4-Zugriffsliste tut nichts für IPv6. Management-Schnittstellen, die über IPv4 abgeriegelt sind, können über IPv6 weit offen stehen, sobald ein Gerät eine globale Adresse bekommt. Das ist das Risiko, das leise zubeißt, weil nichts kaputt ist. Es ist nur exponiert.

Schritt eins: ein Adressplan, den Sie nicht bereuen

Bevor Sie irgendetwas konfigurieren, teilen Sie die Zuweisung auf dem Papier auf. Ein Plan, der uns gut gedient hat:

• Ein öffentlicher Block für die Produktion der Kunden.
• Ein öffentlicher Block für Plattform und interne Dienste, die erreichbar sein müssen.
• Ein rein interner Block, bei der RIR registriert, aber nie announced, für Management und Infrastruktur, die nie im Internet routbar sein dürfen.
• Spiegeln Sie innerhalb jedes Blocks den IPv4-Plan, wo Sie können. Wenn VLAN 210 in IPv4 das Netz 192.0.2.0/26 trägt, geben Sie ihm in IPv6 ein offensichtliches, ableitbares /64. Ingenieure sollten den IPv6-Zwilling eines Hosts bestimmen können, ohne nachzuschlagen.

Verwenden Sie ein /64 für jedes LAN-Segment und /127 für Punkt-zu-Punkt-Verbindungen. Reservieren Sie einen ganzen Block für Loopbacks, damit Router-Identitäten in Traceroutes und Logs leicht zu erkennen sind. Entscheiden Sie früh, wie Hosts ihre Adressen bekommen: statische Vergabe für Server hält die Adressen für Firewall-Regeln und Reverse DNS vorhersehbar, während zustandslose Autokonfiguration eher zu Client-Netzen passt als zu Server-Netzen.

Schritt zwei: Sicherheitsparität vor Erreichbarkeit

Schließen Sie die Türen ab, bevor Sie die Straße öffnen. Auf jedem Gerät, bevor IPv6-Routing es von außen erreicht:

• Management-Zugriffslisten für SSH, SNMP, APIs und Web-Oberflächen existieren für IPv6 und verweigern das Internet, passend zu den IPv4-Listen.
• Anti-Spoofing-Filter sind für IPv6 auf jeder Schnittstelle zum Internet aktiv, mit Unicast-Reverse-Path-Prüfung oder expliziten Quellfiltern.
• Control Plane Policing deckt ICMPv6 und Neighbour Discovery ab, damit das Gerät unter einer Flut verwaltbar bleibt, ohne den Neighbour-Discovery-Verkehr zu blockieren, den IPv6 überhaupt zum Funktionieren braucht. ICMPv6 ist in IPv6 nicht optional, so wie manche ICMP in IPv4 behandeln: Packet-too-big-Nachrichten sind die Grundlage der Path MTU Discovery.
• Die Reverse-DNS-Zonen für den neuen Adressraum sind delegiert und befüllt, damit Mail- und Compliance-Prüfungen nicht fehlschlagen, wenn ein Host zum ersten Mal IPv6 spricht.

Schritt drei: vom Edge zum Core, ein Gerät nach dem anderen

Fügen Sie IPv6-Adressfamilien zu den bestehenden BGP-Sessions mit Transit und Peers hinzu, statt neue aufzubauen, und arbeiten Sie sich nach innen vor: Edge-Router, dann die Verbindungen zur Fabric, dann das interne Routing der Fabric. Ändern Sie ein Gerät nach dem anderen und halten Sie den Zustand jeder Routing-Session vor und nach jedem Schritt fest, damit Sie auf einen Blick sehen, dass sich nichts anderes bewegt hat:

show bgp all summary | utility egrep "Neighbor|Estab|Idle|Active"

Vor und nach jeder Änderung gespeichert, ist ein einfaches Diff dieser Ausgabe der schnellste Regressionstest, den Sie je schreiben werden.

Schritt vier: stille Gateways

Konfigurieren Sie jetzt IPv6-Gateways dort, wo die IPv4-Gateways bereits leben, auf denselben VLANs und Leaves, aber mit unterdrückten Router Advertisements:

interface Vlan210
  ipv6 address 2001:db8:210::1/64
  ipv6 nd suppress-ra

Für bestehende Server ändert sich nichts, weil ihnen niemand ein Präfix ankündigt. Hosts bekommen IPv6, wenn Sie es entscheiden, entweder mit statischer Adresse und Gateway in ihrer eigenen Konfiguration oder indem Sie Advertisements in einem VLAN aktivieren, in dem jeder Host bekannt und bereit ist. Prüfen Sie unter Linux, was ein Host tun wird, bevor Sie irgendetwas umlegen:

sysctl net.ipv6.conf.all.accept_ra net.ipv6.conf.eth0.accept_ra
ip -6 addr show; ip -6 route show

Schritt fünf: von außen testen, über beide Protokolle

Der Blick von innen schmeichelt einem Netzwerk. Sobald ein Block announced ist, scannen Sie jede Adresse auf jedem Gerät von einem externen Standpunkt aus, über IPv4 und IPv6, und bestätigen Sie, dass kein Management-, Monitoring- oder Routing-Port aus dem Internet antwortet. Dann der positive Test: Erreichen Sie einen echten Host über IPv6 aus mehreren Ländern ohne Verlust und bestätigen Sie, dass sein AAAA-Eintrag, sein Reverse-Eintrag und sein TLS-Zertifikat über IPv6 genauso funktionieren wie über IPv4. Ein Dienst, der über IPv6 auflöst, aber nicht antwortet, ist schlimmer als einer ganz ohne IPv6, weil Clients es zuerst versuchen und warten. Werkzeuge wie nmap von einem externen Host und globale Messnetze wie RIPE Atlas machen beide Prüfungen einfach.

nmap -6 -Pn -p 22,161,179,443,830 2001:db8:210::1

Ihre eigene Checkliste

• Gibt es einen schriftlichen IPv6-Plan, der Ihren IPv4-Plan spiegelt?
• Hat jede IPv4-Management-Beschränkung einen IPv6-Zwilling?
• Sind Anti-Spoofing-Filter für IPv6 auf den Schnittstellen zum Internet gebunden?
• Sind Router Advertisements unterdrückt, bis Sie sie bewusst aktivieren?
• Existieren Ihre IPv6-Reverse-Zonen, und lösen sie auf?
• Haben Sie Ihren eigenen IPv6-Adressraum von außen gescannt?

IPv6 ist an allen unseren Standorten nativ, Athen, Amsterdam und Toronto, und wurde in dieser Reihenfolge eingeführt. Wenn Sie IPv6 auf Ihrer Plattform ohne Überraschungen wollen, helfen wir gern.

CTA

Mit einem Ingenieur sprechen

Related

Verwandt: IPv6, nativ und Dual-Stack · Wie wir Dinge ändern: Disziplin bei Netzwerkänderungen · Autoritatives DNS und Reverse DNS, betrieben als Infrastruktur