DHCPv6 vs SLAAC

MicheleMarcon mancato supporto a DHCPv6

Senza DHCPv6 diventa complicato assegnare hostname statici ai lease, ad esempio.
Poi ci sono anche questioni di controllo negli ambienti enterprise.
Su OpenWRT esiste questo scriptino che riduce il problema: https://github.com/AndreBL/ip6neigh/

MicheleMarcon dipende da chi sei. Probabilmente un amministratore della rete aziendale madonnerà perchè i dispositivi fanno sostanzialmente quello che vogliono loro. Anche se dal mio punto di vista personale cambia poco, i cellulari dei dipendenti stanno su una WiFi separata dove non mi interessa molto di che cosa gli dico col DHCP.

MicheleMarcon Ma SLAAC con le privacy extension non è meglio nel 99% del casi?

Dipende "meglio" per chi. Con DHCP chi eroga l'indirizzo sa che quell'indirizzo è stato assegnato in data X al dispositivo Y, e l'indirizzo non cambia - o cambia in modo controllato. E si può controllare quello che fa Y sulla rete. In certe reti questo è essenziale, persino per i guest su reti separate, per motivi di sicurezza.

Con SLAAC e gli indirizzi generati e ri-generati a caso questo è impossibile. E poiché Google non vuole che la sua preziooossssssssa raccolta dati degli utenti sia in qualche modo bloccata, si rifiuta testardamente di implementare DHCPv6.

Per questo metto a disposizione ai dispositivi Android un SSID/VLAN separata dove tutto Google è bloccato....

MicheleMarcon Con IPv6 si possono avere più indirizzi sulla stessa interfaccia, quindi puoi dargli un ip statico con hostname raggiungibile nella rete privata.

Manualmente dici, per ogni dispositivo (non vedo come senza DHCPv6)? Non è scalabile...

MicheleMarcon Vedi sopra. Username + password e sei tracciato.

Non basta certo - anche se chiedi user e password devi associarli poi ad un dispositivo, non è che presentano poi le credenziali in ogni pacchetto che scambiano - qui non stiamo parlando dell'accesso ad un singolo sito web, stiamo parlando di accesso ad una rete, con dispositivi che possono cambiare IP quando voglio loro diventa difficile tracciarli. E c'è chi deve tracciare il dispositivo e avere i log con tutti i dati necessari per sapere chi ha fatto cosa e quando sulla tua rete.

MicheleMarcon Francamente non vedo il nesso

Il nesso è esattamente quello che ha scritto x_term, con SLAAC "i dispositivi fanno sostanzialmente quello che vogliono loro" che è quello che serve a Google - dispositivi che continuano ad inviare dati ovunque siano, con ridotte possibilità di controllo da parte dei gestori delle reti.

Il problema è che Android è un sottoprodotto del business principale di Google - che è raccogliere dati e usarli per vendere pubblicità. Questo è il difetto principale dell'open source, siccome i soldi devono arrivare da qualche parte, i software finiscono per inchinarsi ad altri interessi - quelli che forniscono i soldi....

MicheleMarcon Un impiegato va su fibra.click? Licenziamolo subito!!!

FYI: Si configura come telecontrollo del lavoratore, ed in Italia almeno è illegale.

/OT

MicheleMarcon Poi se cambia l'indirizzo richiedi le credenziali.

Infattibile - come dice ziomatt agli utenti non piace, e se poi devi fare un'analisi del traffico perché ci sono stati problemi devi tenere traccia di quando cambia l'IP e quindi di tutti gli IP coinvolti. E se questi cambiamenti sono sparsi nei log di dispositivi (switch, router, ecc.) è ancora più scomodo, anche se hai tutto configurato per l'invio in remoto dei log e un SIEM per correlarli.

MicheleMarcon Errore, devi associarli ad un indirizzo.

No. Devi associarli in modo univoco ad un dispositivo e seguirlo finché è nella tua rete - gli indirizzi appunto cambiano. E non è che prima di fare qualcosa di non lecito ti logghi prima con le tue credenziali.... in certe situazioni può essere anche un vantaggio per un malcapitato utente al quale sono stare rubate le credenziale, c'è almeno una possibilità di dimostrare che non sono state usate da un suo dispositivo.

MicheleMarcon Hai già l'indirizzo pubblico (che cambia ogni giorno)...

Non saprei dirti ogni quanto cambia sinceramente, non ci ho mai guardato, ma le esigenze a livello enterprise sono proprio di tracciatura e monitoraggio verso l'accesso delle risorse (intranet o internet che siano), per limitarle e/o tracciarle.
Se non c'è un'associazione IP-identity non ce la fai a fare queste attività.

MicheleMarcon Siamo in un ambiente enterprise, che "non piace" per definizione

Non è detto che debba diventare veramente snervante da utilizzare. Io non voglio certo fare come il Mordac di Dilbertiana memoria, ma gli utenti inevitabilmente devono sottostare a certe regole perché una rete aziendale non è un campo giochi.

MicheleMarcon cosa fa Google? Lascia i suoi dipendenti senza controllo?

Google ha accesso a tutta la telemetria dei suoi dispositivi con tanto di ID univoci.... quindi non ha alcun problema a controllarli, anzi ha probabilmente un livello di controllo che nessun altro ha.

MicheleMarcon mi sa di "cospirazionismo"

Davvero? Basta seguire i soldi... non ci sono motivazioni tecniche per non implementare DHCPv6 in Android.

MicheleMarcon Non è possibile bloccare tutto il traffico verso google e buonanotte?

Certo, è quello che faccio io e fa imbestialire gli utenti

MicheleMarcon E comunque le privacy extension sono per tutelare la privacy degli utenti

Per quanto io sia un forte sostenitore della privacy, quando sei su una rete altrui ci sono regole per quelle reti, perché anche il proprietario della rete ha delle responsabilità che possono sfociare nel penale, nei casi più gravi, ed ha tutti i diritti di tutelarsi.

MicheleMarcon Non è possibile bloccare tutto il traffico verso google e buonanotte?

Fai prima a non far connettere i cellulofoni alla rete... Google ha un pacco di servizi utili per gli utenti, a cominciare dal motore di ricerca e dalle mail. E ha il vizio di cambiare spesso l'associazione servizi-IP pubblico (almeno in v4).

x_term

Mi sono sempre chiesto se i dirigenti di Google hanno delle build speciali.... o se usano iOS

Non credo che vogliano che i loro affari privati siano registrati su server sì della propria azienda, ma ai quali hanno inevitabilmente accesso altre persone...