IPv6 fastweb, funziona bene? A me no...

giox069 · 2022-01-05T14:46:02+00:00

Salve a tutti. Ho Fastweb FTTC da più di un anno, uso un mio router (una Debian configurata a mano) al posto del fastgate. Da mesi mi sembra che IPv6 funzion...

giox069

celeste_lightblue Ho cambiato fornitore. Ci sono dei piccoli provider in italia che ti forniscono IPv6 realmente funzionante. IPv6 di fastweb, come hai potuto constatare, non funzionava 1 anno fa e a quanto capsico non funziona nemmeno ora.

celeste_lightblue

giox069 Lo so, ma con Fastweb non è che mi trovi così male. Diciamo che il cambio operatore è sempre un'incognita, sei quel che lasci, ma non sai quel che trovi.

mark129 A proposito di Roma, stamattina Rai 1 su RaiPlay era servito da quest'altro IP che va correttamente a Roma tramite HE.

100ge8-1.core1.rom1.he.net (2001:470:0:4d4::2)  31.094 ms * *
akamai.rom.namex.it (2001:7f8:10::2:940)  22.247 ms * *
g2a02-26f0-0004-0000-0000-0000-5c7a-5f6b.deploy.static.akamaitechnologies.com (2a02:26f0:4::5c7a:5f6b)  22.450 ms * *

Il problema si presenta su alcune CDN per cui il traffico si dirige a Francoforte per ritornare a Milano.

mark129

celeste_lightblue Pareri?

Non ottimizzano (eufemismo) il routing ma credo sia solo per il tunnel: @giusgius voi a Roma prendete Fastweb pure in IPv6? Avete nel caso "quirk" simili?

giusgius

mark129 penso che i problemi su IPv6 siano più sulla parte di accesso… perché sul transito funziona bene (sì, la sessione è anche IPv6), non ho notato problemi onestamente

handymenny

celeste_lightblue che DNS stai usando? akamai usa i DNS per geolocalizzarti e scegliere a quale CDN mandarti

banalizzando, se ad esempio usi 1.1.1.1 e questo "si trasloca" a milano (succede), akamai ti manda a milano

celeste_lightblue

handymenny Uso quelli di Cloudflare. Andare a Milano, ci vanno. Il punto è che passano per Francoforte.

Eccone un altro, tramite dorsale HE:

port-channel12.core2.fra1.he.net (2001:470:0:63d::1)  37.916 ms  38.088 ms  38.238 ms
seabone-net-as6762.e0-30.core2.fra1.he.net (2001:470:0:5ae::2)  59.231 ms *  41.942 ms
* 2001:41a8:20::3a (2001:41a8:20::3a)  30.514 ms  30.636 ms
2001:41a8:20:2::2c2 (2001:41a8:20:2::2c2)  30.884 ms  32.638 ms  32.770 ms
* g2a02-26f0-00de-0000-0000-0000-5c7b-b423.deploy.static.akamaitechnologies.com (2a02:26f0:de::5c7b:b423)  34.710 ms  33.162 ms

Comunque in generale il routing IPv6 mi sembra incasinato, non solo lato Fastweb. Facendo traceroute su un server Google.com di MIlano (mil07s17-in-x04.1e100.net - 2a00:1450:4002:414::2004), sia da Fastweb che su VPN con server DataPacket a Milano, entrambi passano su server Google 2001:4860:1:1:: che me li localizza negli Stati Uniti.

handymenny

celeste_lightblue Uso quelli di Cloudflare

prova a rifare i test usando quelli di fastweb (non i traceroute, ma verificare a che nodo akamai ti connetti)

celeste_lightblue Comunque in generale il routing IPv6 mi sembra incasinato,

Dipende da caso a caso, chiaramente essendo meno utilizzato rispetto a IPv4 (da un operatore come Fastweb) ci vedi meno ottimizzazione.
Era lo stesso anche con l'IPv6 Wind un anno fa, poi piano piano stanno sistemando.

celeste_lightblue entrambi passano su server Google 2001:4860:1:1:: che me li localizza negli Stati Uniti.

a meno che tu non abbia latenza superiore a 100ms, è un'indicazione "fuorviante" quel stati uniti

celeste_lightblue

handymenny Eh, un po' complicato perché ho configurato il router con stubby per il DNS over TLS su tutta la rete e toglierlo e rimetterlo è un casino. Non credo nemmeno sia molto indicativo perché già adesso le CDN cambiano di ora in ora, (ieri sera Rai 1 su RaiPlay mi mandava a Milano, stamattina a Roma, poi di nuovo a Milano).

Comunque, allo stato delle prove attuali, CDN IPv6 Akamai a Roma ci va direttamente. CDN IPv6 Akamai a Milano passa per Francoforte. CDN IPv4 Akamai a Milano ci va direttamente.

Provato con VPN DataPacket a Milano e ci va direttamente tramite Telia. Il bello è che Fastweb può usare Telia come Tier 1, ma in IPv6 usa HE passante per Francoforte (o GTT in alternativa).

Comunque trascurano l'IPv6, però almeno si sono degnati di fare le cache delle CDN Google per Youtube con IPv6 Fastweb (2001:b00::).

handymenny

celeste_lightblue chiedevo perché è possibile che esista una CDN Akamai su rete Fastweb con IPv6, in quel caso niente transiti, né IX.
Ma se Akamai non riesce a capire dai DNS che sei un cliente Fastweb, non te la usa.

celeste_lightblue

handymenny Capito, ma Google/Youtube come fa a capire che sono cliente Fastweb?

Cal

celeste_lightblue Google non lo sa. È Fastweb che ti manda alla cache Google sulla loro rete. Dovrebbe funzionare a livello bgp, ma ogni tanto va sui DNS.

handymenny

celeste_lightblue
In pratica ci sono 3 modi che hanno le CDN per connetterti al "nodo giusto":

geolocalizzazione su base IP (es. Google, Netflix)
geolocalizzazione su base DNS e eventualmente EDNS/ECS (es. Akamai, Dazn Edge)
IP Anycast (cloudflare)

Il funzionamento del secondo dipende dai DNS che usi

Cal no BGP non c'entra nulla in questo caso, Google ha sostanzialmente un endpoint (HTTPS) che preso il tuo IP ti restituisce il "nodo giusto"

Cal

handymenny pensavo a questo, https://support.google.com/interconnect/answer/9058809?hl=en

Vero, per fare quella cosa con bgp ci vuole anycast massiccio.

celeste_lightblue

Capito, grazie mille. @handymenny hai ragione, ho provato a impostare i DNS Fastweb sul PC e adesso RaiPlay va su cache Fastweb IPv6: 2001:b00:1:2::5043:4240.

Quindi in teoria sarebbe meglio utilizzare quelli di Fastweb, ma perderei il DNS over TLS su tutta la rete. Inoltre i DNS italiani bloccano alcuni IP con la nuova legge (non che la cosa sia un problema, ma non mi piace per principio). Ci devo riflettere...

Grazie comunque le le delucidazioni.

handymenny

celeste_lightblue

Io su adguard home ho configurato questa regola:

[/akamai.com/akamai.net/akamaized.net/akamaiedge.net/daznedge.net/]h3://dns.google/dns-query
[/akamai.com/akamai.net/akamaized.net/akamaiedge.net/daznedge.net/]151.5.216.150

In pratica i domini, che conosco, che potrebbero beneficiare di un geolocalizzazione precisa li mando a Google (che supporta EDNS/ECS per Akamai) o al DNS Wind. Mi sembra un buon compromesso

celeste_lightblue

handymenny Purtroppo con stubby su OpenWRT non posso inserire regole di esclusione. E comunque vorrei evitare di farlo, altrimenti ci dovrei sempre stare attenta, nel caso cambino i nomi di dominio o altre eventualità...

Ho provato a inserire i Quad9 con supporto ECS. Fatto un solo test su RaiPlay, niente cache. Mi manda a Torino, ma stavolta non passo per l'estero.

itgate.topix.it (2001:7f8:23:ffff::3)  24.751 ms *  26.287 ms
po1.nx01.colo.TRN2.ipv6.itgate.net (2001:1418:1::1242)  26.426 ms *  26.266 ms
2001:1418:100::d5fe:d13 (2001:1418:100::d5fe:d13)  27.910 ms *  27.723 ms

Mi dispiace non usare le cache per Cloudflare che avevo impostato più che altro per il DoT su tutta la rete. Dovrò impostarlo soltanto nel browser dove voglio avere più privacy.

attackment

Non so come funzioni in Italia, ma quando venni in Germania, nel lontano 2014, l'allora Unitymedia (ora Vodafone) già aveva a disposizione il doppio ip, in realtà era completamente IPV6, si usava un tunnel 6to4 per gli indirizzi non raggiungibili in v6, Vodafone stessa usava lo stesso metodo, difatti non ci furono casini quando assorbi Unitymedia, ora ho Deutsche Telekom e lei usa due ip veri e propri, v4 e v6, in base alla destinazione usa quello che conviene

[cancellato]

attackment

https://forum.fibra.click/d/21324-stato-di-ipv6-in-italia

Fastweb, con la sua implementazione "primitiva", è già avanti a molti ISP "grandi" - Sky/Iliad a parte che sono stati costretti a essere IPv6 nativi per carenza di indirizzi IPv4.

gandalf2016

celeste_lightblue Dovrò impostarlo soltanto nel browser dove voglio avere più privacy.

Siamo lì a livello di privacy
Tieni presente che Fastweb, a meno che non usi una VPN, vede benissimo tutti i domini del tuo traffico, SSL compreso (dallo SNI nell’header) anche se crittografi le richieste dns verso fuori.

Tutti gli isp più grandi fanno DPI

handymenny

celeste_lightblue Ho provato a inserire i Quad9 con supporto ECS. Fatto un solo test su RaiPlay, niente cache

Perché Akamai richiede un accordo per abilitare la funzionalità ECS e le condizioni di questo accordo non si sposano bene con la filosofia di Quad9 (lo so perché ho chiesto a Quad9).

Marco25

gandalf2016 SNI nell’header

Encrypted Client Hello è in deployment proprio in questo periodo sui browser. Naturalmente ci vorrà un po' prima che i web server lo adottino.

Tutti gli isp più grandi fanno DPI

Ah sì? Per sapere quali siti vengono visitati?

[cancellato]

Il problema è che DoH/DoT sono pensati per un'estrema centralizzazione dei servizi DNS (cui prodest, veramente?), e quindi si sposano male con il conditional forwarding. Non so se a livello dnsmasq puoi decidere cosa va verso Stubby oppure no.

« Pagina precedente Pagina successiva »

Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈 🇵🇸
P.I. IT16712091004 - info@fibraclick.it

♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile