IPv6 vs IPv4

matteocontrini Ci sono tanti operatori locali che forniscono IPv6 e non ci sono problemi, il resto è una scusa sinceramente... Prima o poi andrà fatto e i problemi che ci sono oggi ci saranno anche fra 5 anni, identici.

per una volta Matteo sei tu che sei OT! L'errore enorme è stato fatto negli anni '90, dando per scontato che IPv4 non sarebbe diventato legacy e non pianificando una migrazione più coordinata. Oggi IPv6 è un arnese che è vecchio (come architettura) come IPv4 ma è meno diffuso, quindi con inerenti problematiche di sicurezza (sia per inesperienza dell'uso, sia per l'implementazione su tante piattaforme rispetto ad IPv4). Il risultato? Verrà soppiantato da qualcosa di completamente diverso e più utile all'annoso problema di ricongiungere in modo più armonico i nomi delle risorse di rete.

matteobra IPv4 è più moderno di IPv6

In quale perversa fantasia sarebbe più moderno di IPv6?

matteobra 2) Le implementazioni di IPv6 "in the wild" (telecamere, IoT, ecc) sono ESTREMAMENTE più immature e meno proven di IPv4, quindi inerentemente più insicure (citofonare "engineering in a hurry", dei tempi moderni).

In ogni caso, questo non significa che IPv6 sia meno sicuro, perchè "i produttori di telecamere IoT ecc" avrebbero fatto le stesse identiche cose ma con IPv4, se non fosse che gli indirizzi IP sono tutto fuorchè abbondanti

matteobra "tutto ciò che negli anni '90 era interessante di IPv6, è stato backportato"

Mi sa che si sono dimenticati 96 bit per strada..

matteobra 2) Le implementazioni di IPv6 "in the wild" (telecamere, IoT, ecc) sono ESTREMAMENTE più immature e meno proven di IPv4, quindi inerentemente più insicure (citofonare "engineering in a hurry", dei tempi moderni).

Errato. Le implementazioni su dispositivi IoT, telecamere ecc. al 99% fanno schifo, sia di Ipv6 che di Ipv4. Inoltre tali dispositivi sono pieni di backdoor con password hardcoded, vulnerabilità in ogni dove.
Il fatto che ad oggi il problema non sia grave è grazie al NAT, che come già detto non è un sistema di sicurezza, ma fortuna vuole che evita che la maggior parte di tali dispositivi diventi zombie di qualche botnet.
Ricordo infine che i meccanismi di NAT, come già detto, vengono adottati per la carenza di IPv4.

@matteocontrini purtroppo qua si sta andando un po' troppo off-topic, potrebbe essere utile creare una nuova discussione visto che non si parla di MyNet.

matteobra 1) IPv4 è più moderno di IPv6 (tutto ciò che negli anni '90 era interessante di IPv6, è stato backportato)

Questo non significa essere più moderno, significa che a livello di funzionalità a IPv4 sono state fornite alcune migliorie offerte da IPv6. Questo comunque non risolve la mancanza di indirizzi (che sono circa 4 miliardi e non si scappa), che è il motivo per cui è stato sviluppato IPv6.

matteobra 2) Le implementazioni di IPv6 "in the wild" (telecamere, IoT, ecc) sono ESTREMAMENTE più immature e meno proven di IPv4, quindi inerentemente più insicure (citofonare "engineering in a hurry", dei tempi moderni).

Questo non significa essere meno sicuro: se IPv6 fosse stato implementato 10 anni fa, ci sarebbero 10 anni di prove sul campo che ci avrebbero dato la stessa sicurezza ed esperienza che abbiamo in IPv4. Come ho già detto, la sicurezza di questi dispositivi in the wild (perlomeno per le utenze domestiche) è affidata al NAT, non a un firewall. Evidentemente nel passaggio a IPv6 questi dispositivi potrebbero non essere adeguati, ma la colpa è dei dispositivi, non della connessione. In aggiunta a questo, basta che il firewall del router di default abbia una regola di drop da WAN a LAN e c'è la stessa "sicurezza" offerta dal NAT.
Inoltre, con l'adozione di IPv6, i servizi cloud collegati a questi dispositivi non sarebbero più necessari.
Deve esserci un cambiamento di paradigma: si dà più rilevanza al singolo dispositivo (firewall, aggiornamenti, ecc) rispetto che affidarsi all'effetto collaterale del NAT. Configurare IPv6 è oggettivamente un po' più complicato, ma concettualmente è più semplice di inventarsi NAT, reverse proxy o altri protocolli.

matteobra 3) IPsec è una storia vecchia: non è più obbligatorio (ed infatti il 99% delle transazioni del poco traffico IPv6 mondiale non è IPsec, ma plain & dirty [IPv6])

Ammetto la mia ignoranza, non ne ero a conoscenza. Ma comunque non significa che in futuro questo possa cambiare e si possa avere il traffico IPSEC su IPv6 come sarebbe da protocollo.

[cancellato] Non c'entrano nulla con gli IP. Sono un meccanismo di collezione dati utente che pensano di monetizzare.

Intendevo dire un'altra cosa: ora come ora, per accedere da remoto dietro CGNAT ad alcuni dispositivi (come le videocamere, le lampadine, ecc) è necessario usare un servizio cloud che faccia da ponte. Con IPv6, non sarebbe necessario, perché basterebbe accedere con l'ip pubblico assegnato al device.
Per i motivi che hai detto, i sistemi cloud rimarranno, ma potrà esistere un'alternativa.

[cancellato] Certo, poi ci sarà il rischio del solito sito di gamer che consiglierà per giocare meglio di togliere tutte le regole del firewall...

Purtroppo.

[cancellato] Ci sono buoni motivi per nascondere la reale origine di una richiesta - è una questione di privacy, non sicurezza. C'è anche il problema del renumbering se si cambia prefisso.

Se si usa SLAAC con le privacy extension, non vedo problemi di privacy. E il renumbering comunque non dovrebbe essere un problema eccessivo, visto che il protocollo più diffuso sarà route advertisement automatici (http://www.tcpipguide.com/free/t_IPv6AutoconfigurationandRenumbering.htm).
Inoltre, non vedo perché a regime i prefissi non dovrebbero essere statici: l'idea, se non sbaglio, sarebbe quella di assegnare a ogni cliente una /56 o una /48 tutta sua. Un servizio DNS locale potrebbe risolvere il problema degli indirizzi mnemonici.

stemax97 Se si usa SLAAC con le privacy extension, non vedo problemi di privacy.

C'è il problema delle macchine che non possono avere IP dinamici, e c'è il problema delle macchine che usano DHCP (e che tendono a mantenere lo stesso IP), cosa comune in ambito aziendale dove vuoi accentrare la gestione delle risorse e relativo logging - un'azienda ha anche bisogno, in caso di necessità, di sapere chi fa cosa. SLAAC è un meccanismo molto 1996 pensato per una internet molto diversa, dove si gestivano ancora i DNS a mano, non esisteva DHCP e le reti erano lente, quindi mettere l'assegnazione dell'IP sull'edge sembrava una buona idea.

stemax97 E il renumbering comunque non dovrebbe essere un problema eccessivo,

Pensa ad una azienda che per qualche motivo cambia prefisso perché non ne ha uno proprio. Deve prendere ogni dispositivo che ha un IP fisso (e c'è un buon numero di dispositivi in una rete complessa che deve sempre essere raggiungibile e non deve cambiare IP a casaccio...) e andare a modificarlo. Poi tutto quello che dipende da quegli iP (rotte, configurazioni, ecc. ecc.).

IPv6 purtroppo è stato pensato quando c'erano ancora relativamente pochi mainframe e mini a dominare in pochi datacenter. Non è stato pensato per una internet molto più grande e distribuita. Certo, più automatizzato è il controllo dei dispositivi e applicazione e più facile è farlo, ma c'è ancora molto che non è facilmente e completamente automatizzabile.

Un'alternativa è assegnare a tutto anche degli indirizzi ULA, se possibile, al prezzo di aumentare la complessità del tutto.

giuse56 scusate l'ignoranza ma levando tutte le regole firewall per giocare non c'è il rischio di essere hackerati o robe del genere?

Appunto. Però purtroppo mi aspetto chi non riuscendo a far funzionare il gioco con opportune regole toglierà tutto, dirà "funziona!!" e lo consiglierà ad altri che lo seguiranno - con le prevedibili conseguenze.

[cancellato] vuoi accentrare la gestione delle risorse e relativo logging - un'azienda ha anche bisogno, in caso di necessità, di sapere chi fa cosa

[cancellato] Pensa ad una azienda che per qualche motivo cambia prefisso perché non ne ha uno proprio. Deve prendere ogni dispositivo che ha un IP fisso (e c'è un buon numero di dispositivi in una rete complessa che deve sempre essere raggiungibile e non deve cambiare IP a casaccio...) e andare a modificarlo. Poi tutto quello che dipende da quegli iP (rotte, configurazioni, ecc. ecc.).

Capisco assolutamente, questo problema non ha ancora una soluzione comoda come per IPv4.

Però credo si possa trovare un sistema automatizzato per gestire anche queste evenienze (su OpenWRT puoi installare ip6neigh che si occupa di assegnare nomi DNS ai dispositivi SLAAC). Certo, bisogna investirci un attimo di tempo, ma siamo riusciti a risolvere problemi ben più complessi. E direi che è ora di cominciare questa transizione

[cancellato] Un'alternativa è assegnare a tutto anche degli indirizzi ULA, se possibile, al prezzo di aumentare la complessità del tutto.

Volevo scriverlo anche io! Pur funzionando, però, si viene meno allo spirito di IPv6. Ma in particolari situazioni (come quella aziendale) può essere un buon compromesso!