Ενεργοποίηση IPv6 χωρίς να αιφνιδιάσετε ούτε έναν server

Ο λόγος που πολλά δίκτυα παραγωγής τρέχουν ακόμα μόνο IPv4 δεν είναι τεχνικός. Είναι φόβος: ότι το άνοιγμα του IPv6 θα αλλάξει κάτι σε servers που κανείς δεν έχει κοιτάξει εδώ και χρόνια, ή ότι θα ανοίξει μια πόρτα που κάθε λίστα πρόσβασης IPv4 έκλεισε προσεκτικά. Και οι δύο φόβοι είναι λογικοί, και και οι δύο αποφεύγονται με τη σωστή σειρά εργασίας. Αυτή είναι η σειρά που χρησιμοποιούμε.

Οι δύο πραγματικοί κίνδυνοι

Οι servers ρυθμίζουν μόνοι τους τον εαυτό τους. Τα περισσότερα λειτουργικά συστήματα δέχονται router advertisements από προεπιλογή. Τη στιγμή που ένα gateway σε ένα VLAN αρχίζει να διαφημίζει ένα prefix, κάθε host σε αυτό το VLAN μπορεί να αποδώσει στον εαυτό του διεύθυνση IPv6, να εγκαταστήσει μια default διαδρομή, και να αρχίσει να προτιμά IPv6 για οτιδήποτε αναλύεται σε εγγραφή AAAA. Κανείς δεν άλλαξε αυτούς τους servers, κι όμως η συμπεριφορά τους άλλαξε.

Η πολιτική ασφάλειας είναι ανά πρωτόκολλο. Μια λίστα πρόσβασης IPv4 δεν κάνει τίποτα για το IPv6. Διεπαφές διαχείρισης κλειδωμένες μέσω IPv4 μπορεί να είναι ορθάνοιχτες μέσω IPv6 την ημέρα που μια συσκευή πάρει global διεύθυνση. Αυτός είναι ο κίνδυνος που δαγκώνει αθόρυβα, επειδή τίποτα δεν είναι χαλασμένο. Είναι απλώς εκτεθειμένο.

Βήμα πρώτο: ένα σχέδιο διευθύνσεων που δεν θα μετανιώσετε

Πριν ρυθμίσετε οτιδήποτε, χαράξτε την κατανομή στο χαρτί. Ένα σχέδιο που μας έχει εξυπηρετήσει καλά:

• Ένα δημόσιο block για παραγωγή πελατών.
• Ένα δημόσιο block για πλατφόρμα και εσωτερικές υπηρεσίες που πρέπει να είναι προσβάσιμες.
• Ένα block μόνο για εσωτερική χρήση, καταχωρημένο στο RIR αλλά ποτέ ανακοινωμένο, για διαχείριση και υποδομή που δεν πρέπει ποτέ να δρομολογείται στο internet.
• Μέσα σε κάθε block, αντικατοπτρίστε το σχέδιο IPv4 όπου μπορείτε. Αν το VLAN 210 μεταφέρει το 192.0.2.0/26 σε IPv4, δώστε του ένα προφανές, παραγώγιμο /64 σε IPv6. Οι μηχανικοί πρέπει να μπορούν να βρουν το δίδυμο IPv6 ενός host χωρίς να το ψάξουν.

Χρησιμοποιήστε /64 για κάθε τμήμα LAN, και /127 για point-to-point συνδέσεις. Κρατήστε ένα ολόκληρο block για loopbacks, ώστε οι ταυτότητες των routers να αναγνωρίζονται εύκολα σε traceroutes και logs. Αποφασίστε νωρίς πώς παίρνουν διευθύνσεις οι hosts: η στατική απόδοση για servers κρατά τις διευθύνσεις προβλέψιμες για κανόνες firewall και reverse DNS, ενώ η stateless αυτόματη ρύθμιση ταιριάζει σε δίκτυα clients περισσότερο από ό,τι σε δίκτυα servers.

Βήμα δεύτερο: ισότητα ασφάλειας πριν από την προσβασιμότητα

Κλειδώστε τις πόρτες πριν ανοίξετε τον δρόμο. Σε κάθε συσκευή, πριν η δρομολόγηση IPv6 τη φτάσει από έξω:

• Υπάρχουν λίστες πρόσβασης διαχείρισης για SSH, SNMP, APIs και web διεπαφές για IPv6 που αρνούνται το internet, αντίστοιχες με τις IPv4.
• Εφαρμόζεται anti-spoof φιλτράρισμα στο IPv6 σε κάθε διεπαφή προς το internet, με unicast reverse path έλεγχο ή ρητά φίλτρα πηγής.
• Το control plane policing καλύπτει ICMPv6 και neighbour discovery, ώστε η συσκευή να παραμένει διαχειρίσιμη υπό πλημμύρα, χωρίς να μπλοκάρει την κίνηση neighbour discovery που το IPv6 χρειάζεται για να δουλέψει καθόλου. Το ICMPv6 δεν είναι προαιρετικό στο IPv6 με τον τρόπο που κάποιοι αντιμετωπίζουν το ICMP στο IPv4: τα μηνύματα packet-too-big είναι ο τρόπος που δουλεύει το path MTU discovery.
• Οι ζώνες reverse DNS για τον νέο χώρο έχουν ανατεθεί και συμπληρωθεί, ώστε οι έλεγχοι mail και συμμόρφωσης να μην αποτύχουν την πρώτη φορά που ένας host μιλήσει IPv6.

Βήμα τρίτο: από το edge στον πυρήνα, μία συσκευή τη φορά

Προσθέστε address families IPv6 στις υπάρχουσες συνεδρίες BGP με transit και peers αντί να χτίσετε νέες, και δουλέψτε προς τα μέσα: edge routers, μετά οι συνδέσεις προς το fabric, μετά η εσωτερική δρομολόγηση του fabric. Αλλάζετε μία συσκευή τη φορά, και παίρνετε snapshot της κατάστασης κάθε συνεδρίας δρομολόγησης πριν και μετά από κάθε βήμα ώστε να βλέπετε με μια ματιά ότι τίποτα άλλο δεν μετακινήθηκε:

show bgp all summary | utility egrep "Neighbor|Estab|Idle|Active"

Αποθηκευμένο πριν και μετά από κάθε αλλαγή, ένα απλό diff αυτής της εξόδου είναι η ταχύτερη δοκιμή παλινδρόμησης που θα γράψετε ποτέ.

Βήμα τέταρτο: ήσυχα gateways

Τώρα ρυθμίστε gateways IPv6 εκεί που ήδη ζουν τα gateways IPv4, στα ίδια VLANs και leaves, αλλά με τα router advertisements απενεργοποιημένα:

interface Vlan210
  ipv6 address 2001:db8:210::1/64
  ipv6 nd suppress-ra

Τίποτα δεν αλλάζει για τους υπάρχοντες servers, επειδή κανείς δεν τους διαφημίζει prefix. Οι hosts παίρνουν IPv6 όταν το αποφασίσετε εσείς, είτε με στατική διεύθυνση και gateway στη δική τους ρύθμιση, είτε ενεργοποιώντας advertisements σε ένα VLAN όπου κάθε host είναι γνωστός και έτοιμος. Στο Linux, ελέγξτε τι θα κάνει ένας host πριν γυρίσετε οτιδήποτε:

sysctl net.ipv6.conf.all.accept_ra net.ipv6.conf.eth0.accept_ra
ip -6 addr show; ip -6 route show

Βήμα πέμπτο: δοκιμάστε από έξω, και με τα δύο πρωτόκολλα

Η θέα από μέσα από ένα δίκτυο το κολακεύει. Μόλις ανακοινωθεί ένα block, σαρώστε κάθε διεύθυνση σε κάθε συσκευή από ένα εξωτερικό σημείο παρατήρησης, και με IPv4 και με IPv6, και επιβεβαιώστε ότι καμία πόρτα διαχείρισης, παρακολούθησης ή δρομολόγησης δεν απαντά από το internet. Μετά κάντε τη θετική δοκιμή: φτάστε σε έναν πραγματικό host μέσω IPv6 από αρκετές χώρες χωρίς απώλεια, και επιβεβαιώστε ότι η εγγραφή AAAA του, η reverse εγγραφή του και το πιστοποιητικό TLS του δουλεύουν όλα μέσω IPv6 ακριβώς όπως μέσω IPv4. Μια υπηρεσία που αναλύεται μέσω IPv6 αλλά δεν απαντά είναι χειρότερη από μία χωρίς καθόλου IPv6, επειδή οι clients θα το δοκιμάσουν πρώτο και θα περιμένουν. Εργαλεία όπως το nmap από εξωτερικό host, και παγκόσμια δίκτυα μέτρησης όπως το RIPE Atlas, κάνουν και τους δύο ελέγχους εύκολους.

nmap -6 -Pn -p 22,161,179,443,830 2001:db8:210::1

Η δική σας checklist

• Υπάρχει γραπτό σχέδιο IPv6 που αντικατοπτρίζει το σχέδιο IPv4 σας;
• Έχει κάθε περιορισμός διαχείρισης IPv4 το δίδυμό του σε IPv6;
• Είναι το anti-spoof φιλτράρισμα δεμένο για IPv6 στις διεπαφές προς το internet;
• Είναι τα router advertisements απενεργοποιημένα μέχρι να επιλέξετε να τα ενεργοποιήσετε;
• Υπάρχουν οι reverse ζώνες IPv6 σας και αναλύονται;
• Έχετε σαρώσει τον δικό σας χώρο IPv6 από έξω;

Το IPv6 είναι native σε όλα τα sites μας, Αθήνα, Άμστερνταμ και Τορόντο, και ενεργοποιήθηκε με αυτή τη σειρά. Αν θέλετε IPv6 στην πλατφόρμα σας χωρίς εκπλήξεις, ευχαρίστως να βοηθήσουμε.

CTA

Μιλήστε με έναν μηχανικό

Related

Σχετικά: IPv6, native και dual-stack · Πώς αλλάζουμε πράγματα: πειθαρχία αλλαγών δικτύου · Authoritative DNS και reverse DNS, ως υποδομή