NSA waarschuwt voor beveiligingsrisico's bij netwerken met IPv4 en IPv6
Organisaties die overstappen naar IPv6 lopen extra risico tijdens de overgangsfase waarbij er ook nog van IPv4 gebruik wordt gemaakt, zo waarschuwt de Amerikaanse geheime dienst NSA. Dit komt mede door een gebrek aan ervaring bij systeembeheerders met IPv6, aldus de NSA in een nieuw document met beveiligingsadviezen voor gebruik van het IP-protocol (pdf).
Het is al jaren bekend dat het aantal IPv4-adressen beperkt is en de groei van het aantal "connected devices" niet kan ondersteunen. Toch verloopt de overstap naar IPv6 moeizaam. Zo heeft Nederland volgens cijfers van Google een IPv6-adoptie van nog geen dertien procent. Volgens de NSA zijn de beveiligingsproblemen die bij IPv6 om de hoek komen kijken gelijk aan die van IPv4. "Dat wil zeggen, de beveiligingsmethodes gebruikt bij IPv4 moeten ook worden toegepast bij IPv6, met aanpassingen waar nodig voor de verschillen met IPv6", aldus de Amerikaanse geheime dienst in de nieuwe "IPv6 Security Guidance".
De grootste beveiligingsproblemen gelinkt aan IPv6 zullen zich voordoen in netwerken waar nog geen gebruik van IPv6 wordt gemaakt of zich in de beginfase van de IPv6-transitie bevinden. Deze netwerken hebben nog geen volwassen IPv6-configuraties en netwerksecuritytools. Daarnaast hebben de betreffende systeembeheerders geen ervaring met het IPv6-protocol, zo laat de NSA verder weten.
Een ander probleem waarvoor de geheime dienst waarschuwt zijn "dual stacked" netwerken die IPv4 en IPv6 gelijktijdig draaien, en daardoor met een groter aanvalsoppervlak te maken hebben. Daardoor zijn ook verdere maatregelen vereist om de risico's aan te pakken. "Het beheer van dual stack vergroot de operationele last en het aanvalsoppervlak. Systeemeigenaren en -beheerders zouden beveiligingsmaatregelen voor beide IP-protocollen moeten implementeren om het netwerk te beschermen", aldus de NSA.
De Amerikaans geheime dienst stelt dat de kennis van de systeem- en netwerkbeheerders die een IPv6-implementatie configureren en beheren een grote impact heeft op de algehele veiligheid van het netwerk. "Als gevolg kan de daadwerkelijke veiligheid van een IPv6-implementatie verschillen." De NSA doet ook verschillende aanbevelingen om IPv6-netwerken te implementeren en beveiligen, waaronder het gebruik van split domain name system (Split DNS), automatische tunnels en configuraties, het filteren van IPv6-verkeer en het beschermen van de local link.
Reacties (27)
Een ander probleem waarvoor de geheime dienst waarschuwt zijn "dual stacked" netwerken die IPv4 en IPv6 gelijktijdig draaien
Nou dat is weer mooi dan. Op een paar academische uitzonderingen na zijn ALLE netwerken waar IPv6 gebruikt wordt "dual-stacked"!Tunnels zijn juist de pest voor je veiligheid. Vooral in de begintijd hebben de IPv6 aanhangers gepushed dat er automatisch IPv6 over IPv4 tunnels moesten worden opgezet door end-systems zodat ze ook het door hen aanboden IPv6 hadden. Maar dan gingen ze wel lekker om de firewall heen.
Gelukkig is die insanity nu grotendeels voorbij en is men weer terug op "je maakt IPv6 native op je netwerk". En daar moet je wel even bij nadenken, ja.
Ik zal eerlijk bekennen dat ik het ook over al uit heb staan en dat mijn firewalling strict op IPv4 draait.
Wel heb ik mij best een beetje verdiept in IPv6.
Ik blijf het alleen bizar vinden dat veel v6 firewalling nogsteeds op NAT leunt, had gehoopt dat we dat gedrocht achter ons zouden kunnen gaan laten. En ja ik weet dat propere implementatie dit niet doet.
Ik ben het wel met de NSA eens dat (net als UDP!!) men veelal doet alsof het niet bestaat en daarmee kraters van security problemen slaat.
Wel heb ik mij best een beetje verdiept in IPv6.
Ik blijf het alleen bizar vinden dat veel v6 firewalling nogsteeds op NAT leunt, had gehoopt dat we dat gedrocht achter ons zouden kunnen gaan laten. En ja ik weet dat propere implementatie dit niet doet.
Ik ben het wel met de NSA eens dat (net als UDP!!) men veelal doet alsof het niet bestaat en daarmee kraters van security problemen slaat.
Gelukkig draai ik IPv8.
Wat een onzin weer. IP-nummers zijn NOOIT onveilig. En dat men niet over wil stappen is eenvoudig. Ik kan een IPv4 nummer onthouden terwijl ik naar een andere doos loopt. IPv6 niet. Elke admin haat IPv6. Dat is de rede.
Wat een onzin weer. IP-nummers zijn NOOIT onveilig. En dat men niet over wil stappen is eenvoudig. Ik kan een IPv4 nummer onthouden terwijl ik naar een andere doos loopt. IPv6 niet. Elke admin haat IPv6. Dat is de rede.
Door Anoniem: Gelukkig draai ik IPv8.
Wat een onzin weer. IP-nummers zijn NOOIT onveilig. En dat men niet over wil stappen is eenvoudig. Ik kan een IPv4 nummer onthouden terwijl ik naar een andere doos loopt. IPv6 niet. Elke admin haat IPv6. Dat is de rede.
Wat een onzin weer. IP-nummers zijn NOOIT onveilig. En dat men niet over wil stappen is eenvoudig. Ik kan een IPv4 nummer onthouden terwijl ik naar een andere doos loopt. IPv6 niet. Elke admin haat IPv6. Dat is de rede.
Daar hebben we al heel lang geleden een oplossing voor gevonden, namelijk DNS.....
Door Anoniem:
Een ander probleem waarvoor de geheime dienst waarschuwt zijn "dual stacked" netwerken die IPv4 en IPv6 gelijktijdig draaien
Nou dat is weer mooi dan. Op een paar academische uitzonderingen na zijn ALLE netwerken waar IPv6 gebruikt wordt "dual-stacked"!Dat is misschien toch het verkeerde design .
Want dan moet *nog steeds* een volledig IPv4 verhaal werkend in de lucht houden , en blijf je V4 adressen en redelijke mate nodig hebben .
En dan blijft de grote vraag "waarom doen we dan uberhaupt IPv6" .
Je kunt gaan dromen van een V6 *only* netwerk , met wat compatibility oplossingen voor legacy V4 connectiviteit .
(het is niet helemaal 'paar academische uitzonderingen - sommige erg grote mobiele operators doen het zo ).
[..]
Gelukkig is die insanity nu grotendeels voorbij en is men weer terug op "je maakt IPv6 native op je netwerk". En daar moet je wel even bij nadenken, ja.
Ook de NSA moet noodzakelijkerwijs wat open deuren intrappen als ze brede adviesen voor 'iedereen' schrijven.
Door Anoniem:
Ik blijf het alleen bizar vinden dat veel v6 firewalling nogsteeds op NAT leunt, had gehoopt dat we dat gedrocht achter ons zouden kunnen gaan laten. En ja ik weet dat propere implementatie dit niet doet.
Waar haal je dat idee vandaan dan? Want ik vind het eerlijk gezegd een bizarre claim?Ik blijf het alleen bizar vinden dat veel v6 firewalling nogsteeds op NAT leunt, had gehoopt dat we dat gedrocht achter ons zouden kunnen gaan laten. En ja ik weet dat propere implementatie dit niet doet.
Bedoel je wellicht dat er bij IPv6 vaak een stateful firewall gebruikt wordt die uitgaand verkeer en bijbehorende antwoorden
wel toestaat, maar inkomende connecties blokkeert?
Dat heeft niks met NAT te maken hoor! Dat een NAT router effectief hetzelfde doet betekent niet dat het ook NAT is.
NAT is bij IPv6 vrij ongebruikelijk. Er zijn wel toepassingen voor maar dat is dan meer prefix translation (1:1 subnet NAT)
dan de cone NAT die bij IPv4 gebruikt wordt (wegens de schaarse IP adressen).
Ja IPv6 is overengineered om een probleem op te lossen wat niet bestaat en daardoor kun je elke zandkorrel op de planeet een IP adres geven, wat dan weer resulteert in dat je er erg kwistig mee omgaat waardoor je beter 1 octet meer had kunnen kiezen ipv 128 bit..
mensen moeten ermee kunnen werken en mensen kunnen nu eenmaal beter 4 octets onthouden dan een 128 bit getal.
iedereen kan 192.168.178.1 onthouden (zeker mensen die last hebben van Ziggo kwaliteit) maar 2001:0db8:85a3:0000:0000:8a2e:0370:7334 is toch effe iets lastiger.
daarom techneuten.. verzin geen oplossing voor techniek, maar verzin oplossingen voor MENSEN... dat is een wezenlijk verschil en zal je oplossing misschien minder veilig maken maar onder aan de streep veeeel veiliger.
Dus als je nu IPv4+ gedaan had en daaruit kwam dan bijvoorbeeld 1.192.168.178.1, dan had je makkelijker een transitie kunnen doen.
mensen moeten ermee kunnen werken en mensen kunnen nu eenmaal beter 4 octets onthouden dan een 128 bit getal.
iedereen kan 192.168.178.1 onthouden (zeker mensen die last hebben van Ziggo kwaliteit) maar 2001:0db8:85a3:0000:0000:8a2e:0370:7334 is toch effe iets lastiger.
daarom techneuten.. verzin geen oplossing voor techniek, maar verzin oplossingen voor MENSEN... dat is een wezenlijk verschil en zal je oplossing misschien minder veilig maken maar onder aan de streep veeeel veiliger.
Dus als je nu IPv4+ gedaan had en daaruit kwam dan bijvoorbeeld 1.192.168.178.1, dan had je makkelijker een transitie kunnen doen.
Door Anoniem:
Daar hebben we al heel lang geleden een oplossing voor gevonden, namelijk DNS.....
Door Anoniem: Gelukkig draai ik IPv8.
Wat een onzin weer. IP-nummers zijn NOOIT onveilig. En dat men niet over wil stappen is eenvoudig. Ik kan een IPv4 nummer onthouden terwijl ik naar een andere doos loopt. IPv6 niet. Elke admin haat IPv6. Dat is de rede.
Wat een onzin weer. IP-nummers zijn NOOIT onveilig. En dat men niet over wil stappen is eenvoudig. Ik kan een IPv4 nummer onthouden terwijl ik naar een andere doos loopt. IPv6 niet. Elke admin haat IPv6. Dat is de rede.
Daar hebben we al heel lang geleden een oplossing voor gevonden, namelijk DNS.....
Zie reactie van Vandaag, 12:35 door Anoniem
24-01-2023, 14:41 door
Briolet
Door Anoniem: iedereen kan 192.168.178.1 onthouden (zeker mensen die last hebben van Ziggo kwaliteit) maar 2001:0db8:85a3:0000:0000:8a2e:0370:7334 is toch effe iets lastiger.
Met dat IPv4 adres heb ik ook al moeite met onthouden. Ik tik gewoon "conn" in in de browser. Die vult het dan al aan tot "connectbox.local". En omdat het een connectbox is, is die naam simpel te onthouden. (-:
(Wel eerst toevoegen aan de eigen dns server)
Maar veelal heb je het ook niet zelf in de hand om afscheid te nemen van IPv4. b.v. de mailomgeving van Ziggo heeft nog geen IPv6 adressen richting gebruiker. Wel richting andere smtp servers. Ook hun website (Zoals heel veel andere websites) is IPv4 only.
Mijn netwerk is al jaren dual stacked. Mijn firewall kan met IPv6 overweg, en ondersteund ook met IPv6 NAT voor uitgaand verkeer. Inkomend verkeer op IPv6 sta ik niet toe, nog geen goede reden voor gezien.
Wat is me af vroeg, waarom hebben ze IPv6 niet zo gemaakt.
192.168.10.1.0.1/ 255.255.255.255.0.0 ....desnoods 8 posities IPv8.
Dit voelt erg vertrouwd en iedereen die IPv4 kent kan er zo mee aan de gang.
Er zal vast een onderliggende gedachte/techniek zijn.
192.168.10.1.0.1/ 255.255.255.255.0.0 ....desnoods 8 posities IPv8.
Dit voelt erg vertrouwd en iedereen die IPv4 kent kan er zo mee aan de gang.
Er zal vast een onderliggende gedachte/techniek zijn.
Door Anoniem: Wat is me af vroeg, waarom hebben ze IPv6 niet zo gemaakt.
192.168.10.1.0.1/ 255.255.255.255.0.0 ....desnoods 8 posities IPv8.
Dit voelt erg vertrouwd en iedereen die IPv4 kent kan er zo mee aan de gang.
Er zal vast een onderliggende gedachte/techniek zijn.
192.168.10.1.0.1/ 255.255.255.255.0.0 ....desnoods 8 posities IPv8.
Dit voelt erg vertrouwd en iedereen die IPv4 kent kan er zo mee aan de gang.
Er zal vast een onderliggende gedachte/techniek zijn.
Het design heeft de vorige oorlog zitten winnen .
Men wilde "alles wat nodig is voor connectivity" in de netwerk laag . En in een enkel protocol . En netwerk technisch efficient .
Dus : weg ARP, (ander protocol), weg DHCP (verkeerde laag, complex, aparte server, beheer door server admins niet netwerk etc ) .
Dat geneuzel over "iedere zandkorrel een adres" is of was geen technische reden, maar een analogie voor semi-technisch publiek om duidelijk te maken hoe groot de adresruimte is.
WEL een valide technische reden is : weinig prefixen in de globale internet routing tabel en makkelijk te subnetten.
Dus kom je uit : een lang genoeg "host-uniek" deel dat voor autoconfiguratie gebruikt kan worden en wereldwijd uniek is.
(aka mac en stateless auto config) . Boem - minimaal 48 bits, en er zijn of waren wat andere protocollen dan ethernet, dus 64 bits host-deel van een netwerk adres.
Feitelijk goed gekeken naar Novell IPX, want die deden dit puntje gewoon beter dan IP.
Dan ook maar 64 bit voor de netwerk prefix, dan kun je heel goed brede (interne) subnetten van standaard formaat maken die allemaal een subnet zijn van een enkele prefix .
En veelvouden van 32 of 64 bits zijn ontzettend veel efficienter op hardware dan beknibbelde lengtes.
je wint meestal NIKS wanneer je maar 40 bits bewerkt in plaats van 64 , omdat het allemaal in dezelfde cyclus gelezen wordt en bewerkt in een 64 bit register. (unaligned memory access is op veel CPUs een forse performance penalty)
Weg ARP - alle neighbour discovery is nu deel van het IPv6 protocol (icmp dingen). Geen protocol 0x806 meer naast 0x800.
technisch efficient : weg met broadcast, alles is multicast, waar clients een groep joinen (of niet) afhankelijk of ze wat doen met het protocol.
Dat was een lesson learned uit de eerste wired switches, waar multicast inderdaad prettiger is dan broadcast. En low spec clients geen last hebben van netwerk broadcast ruis .
Nu is multicast op een Wireless netwerk vooral pijnlijk. Of het vergt weer ontzettend intelligente APs die dat gaan zitten snoopen en unicast vertalen.
IPv6 is bedacht door mensen die nog dachten dat het internet peer-to-peer verbindingen tussen alle aangesloten
apparaten zou moeten toestaan. Dat was oorspronkelijk ook het uitgangspunt bij IPv4, alleen had men toen nog
als doelgroep bijvoorbeeld defensie en universiteiten in gedachten. Toen "de consument" ook op internet kwam
was het aantal adressen veel te weinig om alle aangesloten apparaten een eigen adres te geven, en is NAT bedacht.
De bedenkers van IPv6 dachten dat te moeten oplossen, echter daar is in de praktijk helemaal geen behoefte aan.
Mijn koelkast hoeft niet te communiceren met de telefoon van een Chinees. Gewoon NIET.
Het was ruim voldoende geweest om van 32 naar 64 bits adressen te gaan, echter men had het idee om 64 bits
lokale netwerkadressen te gaan gebruiken. Dan had je geen DHCP meer nodig maar kon je je ethernet adres
als lokaal adres gebruiken.
Wederom een grote denkfout, want:
- dit maakte gebruikers trackable, dat moest gefixed worden met "privacy extensions"
- er werd via DHCP nog veel meer doorgegeven dan het adres, daar moesten ook weer allemaal fixes voor komen
Afijn het straalt aan allekanten "ondoordacht" uit, maar het is waar we nu mee zitten.
Omdat er zoveel mensen nog niet zijn overgestapt is het nog minstens 10 jaar nodig om ook IPv4 te hebben op internet,
en waarschijnlijk tot het einde der tijden op lokale netwerken.
Dual-stack is daarom een must.
apparaten zou moeten toestaan. Dat was oorspronkelijk ook het uitgangspunt bij IPv4, alleen had men toen nog
als doelgroep bijvoorbeeld defensie en universiteiten in gedachten. Toen "de consument" ook op internet kwam
was het aantal adressen veel te weinig om alle aangesloten apparaten een eigen adres te geven, en is NAT bedacht.
De bedenkers van IPv6 dachten dat te moeten oplossen, echter daar is in de praktijk helemaal geen behoefte aan.
Mijn koelkast hoeft niet te communiceren met de telefoon van een Chinees. Gewoon NIET.
Het was ruim voldoende geweest om van 32 naar 64 bits adressen te gaan, echter men had het idee om 64 bits
lokale netwerkadressen te gaan gebruiken. Dan had je geen DHCP meer nodig maar kon je je ethernet adres
als lokaal adres gebruiken.
Wederom een grote denkfout, want:
- dit maakte gebruikers trackable, dat moest gefixed worden met "privacy extensions"
- er werd via DHCP nog veel meer doorgegeven dan het adres, daar moesten ook weer allemaal fixes voor komen
Afijn het straalt aan allekanten "ondoordacht" uit, maar het is waar we nu mee zitten.
Omdat er zoveel mensen nog niet zijn overgestapt is het nog minstens 10 jaar nodig om ook IPv4 te hebben op internet,
en waarschijnlijk tot het einde der tijden op lokale netwerken.
Dual-stack is daarom een must.
Wat je vaak ziet is dat bij netwerken die dual stack draaien ze het ipv4 nummer verwerken in het ipv6 adres.
Dus bv : 192.168.12.12 = 2001:0db8:85a3:0000:192:168:12:12
Oftewel : 2001:0db8:85a3::192:168:12:12
Dus bv : 192.168.12.12 = 2001:0db8:85a3:0000:192:168:12:12
Oftewel : 2001:0db8:85a3::192:168:12:12
Domme vraag, is het niet mogelijk dat ip6 op het wan draait en ip4 op het lan? Lijkt me sterk dat een lan met ip4 te weinig adressen zou hebben
Door Anoniem: Gelukkig draai ik IPv8.
Wat een onzin weer. IP-nummers zijn NOOIT onveilig. En dat men niet over wil stappen is eenvoudig. Ik kan een IPv4 nummer onthouden terwijl ik naar een andere doos loopt. IPv6 niet. Elke admin haat IPv6. Dat is de rede.
Wat een onzin weer. IP-nummers zijn NOOIT onveilig. En dat men niet over wil stappen is eenvoudig. Ik kan een IPv4 nummer onthouden terwijl ik naar een andere doos loopt. IPv6 niet. Elke admin haat IPv6. Dat is de rede.
Ik haat het zeker niet. Elke keer als ik weer met een klant moet gaan zoeken om IP overlap op te lossen verlang ik naar de dag dat iedereen V6 doet. Onthouden valt ook wel mee als je de logica een beetje erin houd. De eerste 8 cijfers/letters zijn altijd hetzelfde omdat het onze eigen prefix is. Daarna komt iets variabels wat je logisch moet uitwerken en dan komt het host gedeelte. Belangrijke adressen slijten er gewoon in en al het andere doe je op DNS of een goede IPAM.
De een vindt IPv6 onzing of onhandig. De ander vindt het hoognodig en goed te doen. En uit die hele discussie en de dagelijkse praktijk van miljoenen goed opgeleide beslissers is de huidige globale situatie voortgekomen: zo'n 42% van de Google zoekmachinebezoekers komt daar via IPv6, en vanuit Nederland lijkt dat nog maar zo'n 13%. Ik heb geen mening over IPv4 of IPv6, maar als een protocol 25 jaar na de introductie er zo voorstaat, kun je je een voorstelling maken van de toekomst. En zinnetjes die beginnen met 'Als' of 'Als iedereen nou gewoon .....etc.' betekenen door dat eerste woordje helemaal niets.
Door Anoniem: De een vindt IPv6 onzing of onhandig. De ander vindt het hoognodig en goed te doen. En uit die hele discussie en de dagelijkse praktijk van miljoenen goed opgeleide beslissers is de huidige globale situatie voortgekomen: zo'n 42% van de Google zoekmachinebezoekers komt daar via IPv6, en vanuit Nederland lijkt dat nog maar zo'n 13%.
Gek - Nederland is *enorm* gedaald.
https://www.aelius.com/njh/google-ipv6/nl.html
van 35-40% in een enorme val in maart 2022 .
Welke grote operator heeft IPv6 toen uitgezet ?
(Duitsland, Frankrijk e.d. zitten op 60-70% ) .
Ik heb geen mening over IPv4 of IPv6, maar als een protocol 25 jaar na de introductie er zo voorstaat, kun je je een voorstelling maken van de toekomst. En zinnetjes die beginnen met 'Als' of 'Als iedereen nou gewoon .....etc.' betekenen door dat eerste woordje helemaal niets.
Als je kijkt naar de stijgende prijzen van IPv4 adressen kun je ook denken dat het in nabijere toekomst *wel* een business case wordt, in plaats van een "techneuten speeltje want nieuw en upgrade" .
https://auctions.ipv4.global/prior-sales
"Als je kijkt naar de stijgende prijzen van IPv4 adressen kun je ook denken dat het in nabijere toekomst *wel* een business case wordt, in plaats van een "techneuten speeltje want nieuw en upgrade" .
https://auctions.ipv4.global/prior-sales "
Als ik je link open en kijk naar de grafiek over 2022, lijkt het dat er een lichte daling in de prijzen is geweest. Maar de prijzen zijn de afgelopen jaren inderdaad richting veertig dollar per adres gestegen. En ondanks die hoge prijs zijn de IPv6 cijfers van Google van Juli '22 tot nu teleurstellend stabiel, geen stijging te zien.
https://auctions.ipv4.global/prior-sales "
Als ik je link open en kijk naar de grafiek over 2022, lijkt het dat er een lichte daling in de prijzen is geweest. Maar de prijzen zijn de afgelopen jaren inderdaad richting veertig dollar per adres gestegen. En ondanks die hoge prijs zijn de IPv6 cijfers van Google van Juli '22 tot nu teleurstellend stabiel, geen stijging te zien.
Door Anoniem: Ja IPv6 is overengineered om een probleem op te lossen wat niet bestaat en daardoor kun je elke zandkorrel op de planeet een IP adres geven, wat dan weer resulteert in dat je er erg kwistig mee omgaat waardoor je beter 1 octet meer had kunnen kiezen ipv 128 bit..
mensen moeten ermee kunnen werken en mensen kunnen nu eenmaal beter 4 octets onthouden dan een 128 bit getal.
iedereen kan 192.168.178.1 onthouden (zeker mensen die last hebben van Ziggo kwaliteit) maar 2001:0db8:85a3:0000:0000:8a2e:0370:7334 is toch effe iets lastiger.
daarom techneuten.. verzin geen oplossing voor techniek, maar verzin oplossingen voor MENSEN... dat is een wezenlijk verschil en zal je oplossing misschien minder veilig maken maar onder aan de streep veeeel veiliger.
Dus als je nu IPv4+ gedaan had en daaruit kwam dan bijvoorbeeld 1.192.168.178.1, dan had je makkelijker een transitie kunnen doen.
mensen moeten ermee kunnen werken en mensen kunnen nu eenmaal beter 4 octets onthouden dan een 128 bit getal.
iedereen kan 192.168.178.1 onthouden (zeker mensen die last hebben van Ziggo kwaliteit) maar 2001:0db8:85a3:0000:0000:8a2e:0370:7334 is toch effe iets lastiger.
daarom techneuten.. verzin geen oplossing voor techniek, maar verzin oplossingen voor MENSEN... dat is een wezenlijk verschil en zal je oplossing misschien minder veilig maken maar onder aan de streep veeeel veiliger.
Dus als je nu IPv4+ gedaan had en daaruit kwam dan bijvoorbeeld 1.192.168.178.1, dan had je makkelijker een transitie kunnen doen.
Dus jij wil computersystemen met elkaar laten communiceren via een systeem dat ontworpen is voor mensen?
Good luck!
Er is een reden waarom computersystemen en mensen een aparte taal spreken.
Computers tellen binair stelsel en wij lezen geen HTML.
Er is interfacing software, zoals DNS, ARP, webbrowsers, etc... zodat deze beheersbaar blijven.
Dergelijke low-level kennis is nodig om te kunnen troubleshooten en om een goed design te kunnen maken, maar niet voor het dagelijks werken met computersystemen.
IPv6-only is niet zo moeilijk en werkt prima.
De IPv4-wereld is prima toegankelijk te houden. Denk daarbij aan technieken zoals DS-Lite, NAT64/DNS64 of 464XLAT.
Vele miljoenen mobiele telefoons werken al op die manier.
De IPv4-wereld is prima toegankelijk te houden. Denk daarbij aan technieken zoals DS-Lite, NAT64/DNS64 of 464XLAT.
Vele miljoenen mobiele telefoons werken al op die manier.
Door Anoniem: "Als je kijkt naar de stijgende prijzen van IPv4 adressen kun je ook denken dat het in nabijere toekomst *wel* een business case wordt, in plaats van een "techneuten speeltje want nieuw en upgrade" .
https://auctions.ipv4.global/prior-sales "
Als ik je link open en kijk naar de grafiek over 2022, lijkt het dat er een lichte daling in de prijzen is geweest. Maar de prijzen zijn de afgelopen jaren inderdaad richting veertig dollar per adres gestegen. En ondanks die hoge prijs zijn de IPv6 cijfers van Google van Juli '22 tot nu teleurstellend stabiel, geen stijging te zien.
https://auctions.ipv4.global/prior-sales "
Als ik je link open en kijk naar de grafiek over 2022, lijkt het dat er een lichte daling in de prijzen is geweest. Maar de prijzen zijn de afgelopen jaren inderdaad richting veertig dollar per adres gestegen. En ondanks die hoge prijs zijn de IPv6 cijfers van Google van Juli '22 tot nu teleurstellend stabiel, geen stijging te zien.
De financiele druk is er (nu) - als je naar de prijzen van af 2014 kijkt is het duidelijk omhoog gegaan met wat stabilisatie vanaf 2022 .
De lange termijn trend in de google stats van IPv6 adoptie is 'gestaag omhoog' .
Wanneer je nu een access ISP bent die krap begint te zitten in IPv4 adressen heb je een duur probleem - en wil je serieus naar alternatieven kijken waarbij je niet meer 1:1 relatie tussen # klanten en # IPv4 adressen nodig hebt .
Rol je IPv6 uit , dan haal je een heel forse belasting weg van je CGNAT workarounds en heb je direct winst .
Ik denk (niet gechecked) dat ook hosters en cloudboeren een verschillende pricing hebben voor "reachable dedicated IPv4" vs "reachable IPv6 only" en/of "backend only" , en wat constructies met (shared) reverse proxies .
Kortom - een pricing waarin een uniek reachable IPv4 adres een premium feature is dat niet op alle servers/instances/VMs zit.
Dat is ISP-land .
Enterprise loopt altijd achter, en ik denk dat men daar nog een hele tijd lekker doorkabbelt met NAT met een heel klein extern subnetje, en alles intern op rfc 1918 .
En niet gek - enterprise heeft normaal natuurlijk een extreme verhouding tussen #gebruikers en #publieke IPs .
Door Anoniem: IPv6 is bedacht door mensen
...
Afijn het straalt aan allekanten "ondoordacht" uit, maar het is waar we nu mee zitten.
...
Lees eens https://journals.plos.org/plosbiology/article?id=10.1371/journal.pbio.3001915 (vermeld in https://www.volkskrant.nl/nieuws-achtergrond/bevlogen-wetenschapsscepticus-overschat-vaak-zijn-kennis~b50b986c/)....
Afijn het straalt aan allekanten "ondoordacht" uit, maar het is waar we nu mee zitten.
...
In dat artikel wordt duidelijk hoe het met zelfoverschatting van deskundigheid zit. Ik vermoed dat je er iets van kan leren.
26-01-2023, 12:01 door
Joep Lunaar
Groot voordeel van IPv6 is dat hosts op een local subnet individueel adresseerbaar zijn waardoor (edge) routers geen NAT hoeven te doen voor verkeer tussen interne en externe hosts. NAT vergt is "stateful" en vergt daarom veel meer verwerkingscapaciteit van een router en is ook ingewikkeld, zeker als de payload op applicatie level IP adressen bevatten. Zonder NAT zijn met dezelfde hoeveelheid stroom/silicon hogere snelheden haalbaar, iets wat met gigabit+ verkeer ertoe doet.
Beveiliging staat daar los van en pakket filters kunnen prima IPv6 aan.
Beveiliging staat daar los van en pakket filters kunnen prima IPv6 aan.
Raar.
Het was best even zoeken om te zien *hoe* apnic meet .
https://www.potaroo.net/presentations/2022-09-13-measurement.pdf
Blijkbaar door op ad-netwerken ads te kopen met een klein script dat fetches doet .
En Google meet vzviw bezoekers op hun services (search, gmail, youtube) .
Bij Akamai is NL ook stabiel licht groeiend naar 37%
https://www.akamai.com/internet-station/cyber-attacks/state-of-the-internet-report/ipv6-adoption-visualization
Dan *denk* dat de dikke dip bij Google een aspect is van Google , en waarschijnlijk iets van het datacenter van waaruit NL bediend wordt .
Google doet een hoop geo-gebaseerde service routing . Of misschien dat er op één van de twee grote NL ISPs een private peering met google niet (meer) met IPv6 werkt .
En nog wat stats die ik in mijn eerdere posting nog niet gevonden had.
Er lijkt op ca 26-27 maart 2022 echt iets gebeurd te zijn , waarschijnlijk bij google met betrekking tot IPv6 dat in NL niet meer hersteld is.
Er zijn in diverse Europese landen op precies dezelfde datum blips te zien bij de Google stats , die alleen in NL niet herstelden en elders wel.
Niet te zien bij Akamai . Wel , ook al op/rond die datum een dip(je) bij de Facebook IPv6 stats voor NL.
Akamai stats :
https://www.akamai.com/internet-station/cyber-attacks/state-of-the-internet-report/ipv6-adoption-visualization
FB :
https://www.facebook.com/ipv6/?tab=ipv6_country
Google stats :
https://www.google.com/intl/en/ipv6/statistics.html#tab=per-country-ipv6-adoption
Nu 13.4 %.
En historische stats van google :
https://www.aelius.com/njh/google-ipv6/nl.html
https://www.aelius.com/njh/google-ipv6/fr.html
https://www.aelius.com/njh/google-ipv6/be.html
https://www.aelius.com/njh/google-ipv6/gb.html
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
