Ativar o IPv6 sem surpreender um único servidor

A razão pela qual muitas redes de produção ainda correm apenas IPv4 não é técnica. É medo: de que ligar o IPv6 mude algo em servidores que ninguém olha há anos, ou abra uma porta que todas as listas de acesso IPv4 fecharam com cuidado. Os dois medos são razoáveis, e os dois evitam-se com a ordem de trabalho certa. Esta é a ordem que usamos.

Os dois riscos reais

Os servidores configuram-se sozinhos. A maioria dos sistemas operativos aceita router advertisements por omissão. No momento em que um gateway numa VLAN começa a anunciar um prefixo, todos os hosts dessa VLAN podem atribuir a si próprios um endereço IPv6, instalar uma rota por omissão, e começar a preferir IPv6 para tudo o que resolva para um registo AAAA. Ninguém mexeu nesses servidores, e no entanto o seu comportamento mudou.

A política de segurança é por protocolo. Uma lista de acesso IPv4 não faz nada pelo IPv6. Interfaces de gestão trancadas por IPv4 podem estar escancaradas por IPv6 no dia em que um dispositivo recebe um endereço global. Este é o risco que morde em silêncio, porque nada está avariado. Está apenas exposto.

Passo um: um plano de endereços de que não se vai arrepender

Antes de configurar o que quer que seja, desenhe a alocação no papel. Um plano que nos tem servido bem:

• Um bloco público para a produção dos clientes.
• Um bloco público para a plataforma e os serviços internos que precisam de ser alcançáveis.
• Um bloco apenas interno, registado no RIR mas nunca anunciado, para gestão e infraestrutura que nunca devem ser encaminháveis na internet.
• Dentro de cada bloco, espelhe o plano IPv4 onde puder. Se a VLAN 210 transporta 192.0.2.0/26 em IPv4, dê-lhe um /64 óbvio e derivável em IPv6. Os engenheiros devem conseguir deduzir o gémeo IPv6 de um host sem o ir procurar.

Use um /64 para cada segmento LAN, e /127 para ligações ponto a ponto. Reserve um bloco inteiro para loopbacks, para que as identidades dos routers sejam fáceis de reconhecer em traceroutes e logs. Decida cedo como os hosts obtêm endereços: a atribuição estática para servidores mantém os endereços previsíveis para regras de firewall e reverse DNS, enquanto a autoconfiguração stateless serve melhor redes de clientes do que redes de servidores.

Passo dois: paridade de segurança antes da acessibilidade

Tranque as portas antes de abrir a rua. Em todos os dispositivos, antes de o encaminhamento IPv6 lhes chegar de fora:

• Existem listas de acesso de gestão para SSH, SNMP, APIs e interfaces web em IPv6, que negam a internet, a condizer com as de IPv4.
• É aplicada filtragem anti-spoof ao IPv6 em todas as interfaces viradas para a internet, com verificação unicast reverse path ou filtros de origem explícitos.
• O control plane policing cobre ICMPv6 e neighbour discovery, para que o dispositivo continue gerível sob um flood, sem bloquear o tráfego de neighbour discovery de que o IPv6 precisa para sequer funcionar. O ICMPv6 não é opcional no IPv6 da forma como alguns tratam o ICMP no IPv4: as mensagens packet-too-big são a forma como o path MTU discovery funciona.
• As zonas de reverse DNS para o novo espaço estão delegadas e preenchidas, para que as verificações de mail e de conformidade não falhem na primeira vez que um host fala IPv6.

Passo três: do edge ao core, um dispositivo de cada vez

Acrescente address families IPv6 às sessões BGP existentes com trânsito e peers em vez de construir sessões novas, e trabalhe para dentro: edge routers, depois as ligações para o fabric, depois o encaminhamento interno do fabric. Altere um dispositivo de cada vez, e tire um snapshot do estado de todas as sessões de encaminhamento antes e depois de cada passo, para ver num relance que nada mais se moveu:

show bgp all summary | utility egrep "Neighbor|Estab|Idle|Active"

Guardado antes e depois de cada alteração, um simples diff dessa saída é o teste de regressão mais rápido que alguma vez escreverá.

Passo quatro: gateways silenciosos

Agora configure gateways IPv6 onde os gateways IPv4 já vivem, nas mesmas VLAN e leaves, mas com os router advertisements suprimidos:

interface Vlan210
  ipv6 address 2001:db8:210::1/64
  ipv6 nd suppress-ra

Nada muda para os servidores existentes, porque ninguém lhes está a anunciar um prefixo. Os hosts recebem IPv6 quando decidir, seja com um endereço estático e um gateway na sua própria configuração, seja ativando os advertisements numa VLAN onde todos os hosts são conhecidos e estão prontos. Em Linux, verifique o que um host vai fazer antes de ligar o que quer que seja:

sysctl net.ipv6.conf.all.accept_ra net.ipv6.conf.eth0.accept_ra
ip -6 addr show; ip -6 route show

Passo cinco: teste de fora, nos dois protocolos

A vista de dentro de uma rede lisonjeia-a. Assim que um bloco é anunciado, faça um varrimento a todos os endereços de todos os dispositivos a partir de um ponto externo, em IPv4 e em IPv6, e confirme que nenhuma porta de gestão, monitorização ou encaminhamento responde a partir da internet. Depois faça o teste positivo: chegue a um host real por IPv6 a partir de vários países sem perdas, e confirme que o seu registo AAAA, o seu registo reverse e o seu certificado TLS funcionam todos por IPv6 exatamente como por IPv4. Um serviço que resolve por IPv6 mas não responde é pior do que um sem IPv6 nenhum, porque os clientes vão tentá-lo primeiro e esperar. Ferramentas como o nmap a partir de um host externo, e redes de medição globais como o RIPE Atlas, tornam as duas verificações fáceis.

nmap -6 -Pn -p 22,161,179,443,830 2001:db8:210::1

A sua própria lista de verificação

• Existe um plano IPv6 escrito que espelha o seu plano IPv4?
• Cada restrição de gestão IPv4 tem o seu gémeo em IPv6?
• A filtragem anti-spoof está ligada para IPv6 nas interfaces viradas para a internet?
• Os router advertisements estão suprimidos até decidir ativá-los?
• As suas zonas reverse IPv6 existem e resolvem?
• Já fez um varrimento ao seu próprio espaço IPv6 a partir de fora?

O IPv6 é nativo em todos os nossos sites, Atenas, Amesterdão e Toronto, e foi ativado por esta ordem. Se quer IPv6 na sua plataforma sem surpresas, teremos todo o gosto em ajudar.

CTA

Fale com um engenheiro

Related

Relacionados: IPv6, nativo e dual-stack · Como alteramos as coisas: disciplina de alterações de rede · Authoritative DNS e reverse DNS, operados como infraestrutura