Увімкнення IPv6 без сюрпризу для жодного сервера

Причина, з якої багато продуктивних мереж досі працюють лише на IPv4, не технічна. Це страх: що увімкнення IPv6 змінить щось на серверах, на які ніхто роками не дивився, або відчинить двері, які кожен access list IPv4 старанно зачиняв. Обидва страхи обґрунтовані, і обох можна уникнути правильним порядком роботи. Ось порядок, якого дотримуємося ми.

Два реальні ризики

Сервери налаштовують себе самі. Більшість операційних систем типово приймають router advertisements. Тієї миті, коли шлюз у VLAN починає анонсувати префікс, кожен хост у цьому VLAN може призначити собі адресу IPv6, встановити маршрут за замовчуванням і почати віддавати перевагу IPv6 для всього, що резолвиться в запис AAAA. Ніхто не змінював ці сервери, а їхня поведінка змінилася.

Політика безпеки діє окремо для кожного протоколу. Access list IPv4 нічого не робить для IPv6. Інтерфейси керування, замкнені через IPv4, можуть бути широко відчинені через IPv6 у день, коли пристрій отримує глобальну адресу. Це той ризик, що кусає тихо, бо ніщо не зламане; воно просто відкрите.

Крок перший: план адресації, про який ви не пошкодуєте

Перш ніж щось налаштовувати, розкладіть виділений блок на папері. План, який добре нам служив:

• Один публічний блок для продуктивних систем клієнтів.
• Один публічний блок для сервісів платформи і внутрішніх сервісів, які мають бути досяжними.
• Один лише внутрішній блок, зареєстрований у RIR, але ніколи не анонсований, для керування та інфраструктури, які ніколи не мають маршрутизуватися в інтернет.
• Усередині кожного блоку віддзеркалюйте план IPv4, де можете. Якщо VLAN 210 несе 192.0.2.0/26 в IPv4, дайте йому очевидний, виводимий /64 в IPv6. Інженери мають уміти обчислити IPv6-двійника хоста, не шукаючи його.

Використовуйте /64 для кожного сегмента LAN і /127 для з’єднань точка-точка. Зарезервуйте цілий блок для loopback, щоб ідентичності маршрутизаторів легко впізнавалися в traceroute і журналах. Рано вирішіть, як хости отримують адреси: статичне призначення для серверів тримає адреси передбачуваними для правил firewall і зворотного DNS, тоді як stateless автоконфігурація пасує клієнтським мережам краще, ніж серверним.

Крок другий: паритет безпеки перед досяжністю

Замкніть двері, перш ніж відкривати вулицю. На кожному пристрої, перш ніж маршрутизація IPv6 дійде до нього ззовні:

• Access list керування для SSH, SNMP, API і вебінтерфейсів існують для IPv6 і забороняють інтернет, відповідно до IPv4.
• Фільтрація anti-spoof застосована до IPv6 на кожному інтерфейсі, зверненому до інтернету, з unicast reverse path checking або явними фільтрами джерел.
• Control plane policing покриває ICMPv6 і neighbour discovery, щоб пристрій залишався керованим під шквалом, не блокуючи трафік neighbour discovery, який IPv6 потрібен, щоб узагалі працювати. ICMPv6 в IPv6 не є необов’язковим, як дехто ставиться до ICMP в IPv4: повідомлення packet-too-big є тим, як працює виявлення MTU шляху.
• Зони зворотного DNS для нового простору делеговані і заповнені, щоб перевірки пошти та відповідності не провалилися першого ж разу, коли хост заговорить IPv6.

Крок третій: від edge до ядра, по одному пристрою

Додавайте сімейства адрес IPv6 до наявних сесій BGP з transit і peers замість того, щоб будувати нові, і рухайтеся всередину: edge-маршрутизатори, потім лінки до fabric, потім внутрішня маршрутизація fabric. Змінюйте по одному пристрою за раз і робіть snapshot стану кожної сесії маршрутизації до і після кожного кроку, щоб з першого погляду бачити, що нічого іншого не зрушило:

show bgp all summary | utility egrep "Neighbor|Estab|Idle|Active"

Збережений до і після кожної зміни, простий diff цього виводу є найшвидшим регресійним тестом, який ви колись напишете.

Крок четвертий: тихі шлюзи

Тепер налаштуйте шлюзи IPv6 там, де вже живуть шлюзи IPv4, у тих самих VLAN і на тих самих leaf, але з придушеними router advertisements:

interface Vlan210
  ipv6 address 2001:db8:210::1/64
  ipv6 nd suppress-ra

Для наявних серверів нічого не змінюється, бо ніхто не анонсує їм префікс. Хости отримують IPv6, коли вирішите ви: або зі статичною адресою і шлюзом у їхній власній конфігурації, або через увімкнення анонсів у VLAN, де кожен хост відомий і готовий. У Linux перевірте, що зробить хост, перш ніж щось перемикати:

sysctl net.ipv6.conf.all.accept_ra net.ipv6.conf.eth0.accept_ra
ip -6 addr show; ip -6 route show

Крок п’ятий: тестуйте ззовні, через обидва протоколи

Погляд зсередини мережі їй лестить. Щойно блок анонсований, проскануйте кожну адресу на кожному пристрої із зовнішньої точки через IPv4 і IPv6 і підтвердьте, що жоден порт керування, моніторингу чи маршрутизації не відповідає з інтернету. Потім зробіть позитивний тест: дістаньтеся до реального хоста через IPv6 з кількох країн без втрат і підтвердьте, що його запис AAAA, зворотний запис і сертифікат TLS працюють через IPv6 точно так само, як через IPv4. Сервіс, який резолвиться через IPv6, але не відповідає, гірший за сервіс узагалі без IPv6, бо клієнти спробують його першим і чекатимуть. Інструменти на кшталт nmap із зовнішнього хоста і глобальні вимірювальні мережі на кшталт RIPE Atlas роблять обидві перевірки легкими.

nmap -6 -Pn -p 22,161,179,443,830 2001:db8:210::1

Ваш власний контрольний список

• Чи є записаний план IPv6, який віддзеркалює ваш план IPv4?
• Чи має кожне обмеження керування IPv4 свого IPv6-двійника?
• Чи прив’язана фільтрація anti-spoof для IPv6 на інтерфейсах, звернених до інтернету?
• Чи придушені router advertisements, доки ви не вирішите їх увімкнути?
• Чи існують і резолвляться ваші зворотні зони IPv6?
• Чи сканували ви свій власний простір IPv6 ззовні?

IPv6 є нативним на всіх наших майданчиках, в Афінах, Амстердамі і Торонто, і був розгорнутий саме в цьому порядку. Якщо ви хочете IPv6 на своїй платформі без сюрпризів, ми радо допоможемо.

cta: Поговоріть з інженером

Related

• /what-we-do/network/ipv6/
• /what-we-do/network/change-discipline/
• /what-we-do/network/dns/