Attivare IPv6 senza sorprendere un solo server

Il motivo per cui molte reti di produzione girano ancora solo in IPv4 non è tecnico. È paura: che accendere IPv6 cambi qualcosa su server che nessuno guarda da anni, o apra una porta che ogni access list IPv4 aveva chiuso con cura. Entrambe le paure sono ragionevoli, ed entrambe sono evitabili con il giusto ordine di lavoro. Questo è l'ordine che usiamo.

I due rischi reali

I server si configurano da soli. La maggior parte dei sistemi operativi accetta i router advertisement per default. Nel momento in cui un gateway su una VLAN comincia ad annunciare un prefisso, ogni host su quella VLAN può assegnarsi un indirizzo IPv6, installare una default route e cominciare a preferire IPv6 per tutto ciò che risolve in un record AAAA. Nessuno ha cambiato quei server, eppure il loro comportamento è cambiato.

La policy di sicurezza è per protocollo. Una access list IPv4 non fa nulla per IPv6. Interfacce di gestione chiuse su IPv4 possono essere spalancate su IPv6 il giorno in cui un dispositivo ottiene un indirizzo globale. Questo è il rischio che morde in silenzio, perché nulla è rotto; è solo esposto.

Passo uno: un piano di indirizzamento di cui non vi pentirete

Prima di configurare qualunque cosa, ritagliate l'allocazione sulla carta. Un piano che ci ha servito bene:

• Un blocco pubblico per la produzione dei clienti.
• Un blocco pubblico per i servizi di piattaforma e interni che devono essere raggiungibili.
• Un blocco solo interno, registrato presso il RIR ma mai annunciato, per gestione e infrastruttura che non devono mai essere instradabili su internet.
• Dentro ogni blocco, rispecchiate il piano IPv4 dove potete. Se la VLAN 210 porta 192.0.2.0/26 in IPv4, datele una /64 ovvia e derivabile in IPv6. Gli ingegneri dovrebbero poter ricavare il gemello IPv6 di un host senza cercarlo.

Usate una /64 per ogni segmento LAN, e /127 per i link punto a punto. Riservate un intero blocco per i loopback, così le identità dei router sono facili da riconoscere nei traceroute e nei log. Decidete presto come gli host ottengono gli indirizzi: l'assegnazione statica per i server tiene gli indirizzi prevedibili per le regole firewall e il reverse DNS, mentre l'autoconfigurazione stateless si addice alle reti client più che alle reti server.

Passo due: parità di sicurezza prima della raggiungibilità

Chiudete le porte prima di aprire la strada. Su ogni dispositivo, prima che il routing IPv6 lo raggiunga dall'esterno:

• Le access list di gestione per SSH, SNMP, API e interfacce web esistono per IPv6 e negano internet, in corrispondenza con quelle IPv4.
• Il filtraggio anti-spoof è applicato a IPv6 su ogni interfaccia rivolta a internet, con unicast reverse path check o filtri espliciti sulla sorgente.
• Il control plane policing copre ICMPv6 e la neighbour discovery, così il dispositivo resta gestibile sotto un flood, senza bloccare il traffico di neighbour discovery di cui IPv6 ha bisogno per funzionare. ICMPv6 non è opzionale in IPv6 come alcuni trattano ICMP in IPv4: i messaggi packet-too-big sono il modo in cui funziona la path MTU discovery.
• Le zone reverse DNS per il nuovo spazio sono delegate e popolate, così i controlli di posta e di conformità non falliscono la prima volta che un host parla IPv6.

Passo tre: dal bordo al core, un dispositivo alla volta

Aggiungete le address family IPv6 alle sessioni BGP esistenti con transit e peer invece di costruirne di nuove, e lavorate verso l'interno: router di bordo, poi i link verso la fabric, poi il routing interno della fabric. Cambiate un dispositivo alla volta, e fate uno snapshot dello stato di ogni sessione di routing prima e dopo ogni passo, così vedete a colpo d'occhio che nient'altro si è mosso:

show bgp all summary | utility egrep "Neighbor|Estab|Idle|Active"

Salvato prima e dopo ogni modifica, un semplice diff di quell'output è il test di regressione più veloce che scriverete mai.

Passo quattro: gateway silenziosi

Ora configurate i gateway IPv6 dove già vivono i gateway IPv4, sulle stesse VLAN e sugli stessi leaf, ma con i router advertisement soppressi:

interface Vlan210
  ipv6 address 2001:db8:210::1/64
  ipv6 nd suppress-ra

Nulla cambia per i server esistenti, perché nessuno sta annunciando loro un prefisso. Gli host ottengono IPv6 quando lo decidete voi, o con un indirizzo statico e un gateway nella loro configurazione, o abilitando gli advertisement su una VLAN dove ogni host è noto e pronto. Su Linux, controllate cosa farà un host prima di attivare qualunque cosa:

sysctl net.ipv6.conf.all.accept_ra net.ipv6.conf.eth0.accept_ra
ip -6 addr show; ip -6 route show

Passo cinque: testate dall'esterno, su entrambi i protocolli

La vista dall'interno di una rete la lusinga. Una volta annunciato un blocco, scansionate ogni indirizzo di ogni dispositivo da un punto di osservazione esterno su IPv4 e IPv6, e confermate che nessuna porta di gestione, monitoraggio o routing risponde da internet. Poi fate il test positivo: raggiungete un host reale su IPv6 da diversi paesi senza perdite, e confermate che il suo record AAAA, il suo record reverse e il suo certificato TLS funzionano tutti su IPv6 esattamente come su IPv4. Un servizio che risolve su IPv6 ma non risponde è peggio di uno senza IPv6, perché i client lo proveranno per primo e aspetteranno. Strumenti come nmap da un host esterno, e reti di misurazione globali come RIPE Atlas, rendono facili entrambi i controlli.

nmap -6 -Pn -p 22,161,179,443,830 2001:db8:210::1

La vostra checklist

• Esiste un piano IPv6 scritto che rispecchia il vostro piano IPv4?
• Ogni restrizione di gestione IPv4 ha un gemello IPv6?
• Il filtraggio anti-spoof è legato a IPv6 sulle interfacce rivolte a internet?
• I router advertisement sono soppressi finché non scegliete di abilitarli?
• Le vostre zone reverse IPv6 esistono e risolvono?
• Avete scansionato il vostro spazio IPv6 dall'esterno?

IPv6 è nativo in tutte le nostre sedi, Atene, Amsterdam e Toronto, ed è stato introdotto in questo ordine. Se volete IPv6 sulla vostra piattaforma senza sorprese, siamo lieti di aiutarvi.

cta: Parla con un ingegnere

Related

• /what-we-do/network/ipv6/
• /what-we-do/network/change-discipline/
• /what-we-do/network/dns/