Configurazione tunnel IPv6

Mmatteocontrini · 21 giu 2020

edofullo C'è, ma addio ad Android

Ah intendevo a livello di client. Ma di che dispositivi parli? Io su Windows vedo un solo IPv6 (global unicast), che però è random quindi in realtà non posso sapere se è SLAAC casuale o se è il DHCPv6 che me lo dà così, ma presumo la seconda opzione, quindi non penso di avere il problema che hai tu.

EDIT: è assegnato dal DHCP al 100%, c'è scritto in ipconfig

edofullo Sarei curioso di vedere cosa succederebbe se venisse collegato a una vera Dual Stack con le impostazioni di fabbrica.

Secondo me non gestisce la parte IPv6, perché è configurato per avere il tunnel

Mmatteocontrini · 21 giu 2020

matteocontrini per non aggiungere un altro edit che plot-twista l'intero messaggio, ne scrivo un altro ahah

Mi sono reso conto ora che anche io vedo un "IPv6 temporaneo" (sembra random), ed esco su Internet con quello effettivamente. Ma il DHCP a che serve allora?

edofullo · 21 giu 2020

matteocontrini Secondo me non gestisce la parte IPv6, perché è configurato per avere il tunnel

Intendo lo scolapasta, supporta IPv6 e nelle impostazioni della GUI della TIM c'è pure il bottone per attivarlo.
Ovviamente non funziona poi perchè TIM non lo da, però c'è

matteocontrini vedo un solo IPv6 (global unicast), che però è random quindi in realtà non posso sapere se è SLAAC casuale o se è il DHCPv6 che me lo dà così

Io ne ho 2, su Windows uno viene segnato come "temporaneo"

Comunque è proprio per la Privacy, Linux (KDE) permette di scegliere come gestire la cosa nelle impostazioni

Quando DHCP lo avevo in stateless+stateful mi dava 3 indirizzi.

Edit: pure android prende 2 indirizzi come linux. Uno segue il mac, l'altro è random

matteocontrini Ma il DHCP a che serve allora?

Sei sicuro sia davvero DHCP?
Se concide col Mac dovrebbe essere SLAAC

Mmatteocontrini · 21 giu 2020

edofullo Intendo lo scolapasta, supporta IPv6 e nelle impostazioni della GUI della TIM c'è pure il bottone per attivarlo.

Ah ok sorry

edofullo Comunque è proprio per la Privacy, Linux permette di scegliere come gestire la cosa nelle impostazioni

Ah. Mi sfugge il beneficio per la privacy al momento?

edofullo Sei sicuro sia davvero DHCP?

Sìsì ci sono informazioni sulla scadenza del lease.

Se fosse SLAAC EUI-64 ci sarebbe un FF:FE in mezzo al MAC (vengono aggiunti per espandere da 48 a 64 bit, oltre a flippare il settimo bit), ma non c'è

Mmatteocontrini · 21 giu 2020

matteocontrini ...probabilmente perché il Fastgate non ha firewall sull'IPv6 quindi per - ehm - sicurezza assegna indirizzi a caso

edofullo · 21 giu 2020

matteocontrini Mi sfugge il beneficio per la privacy al momento?

Per non permettere ai siti web di tracciare il singolo dispositivo, immagino.

https://www.internetsociety.org/resources/deploy360/2014/privacy-extensions-for-ipv6-slaac/

matteocontrini Sìsì ci sono informazioni sulla scadenza del lease.

Se fosse SLAAC EUI-64 ci sarebbe un FF:FE in mezzo al MAC (vengono aggiunti per espandere da 48 a 64 bit, oltre a flippare il settimo bit), ma non c'è

Ho guardato sul portatile e anche a me su Windows mi da 2 indirizzi "casuali"
Su linux invece uno è legato al MAC e uno no, strano.

Comunque il DHCP non l'ho disattivato completamente: l'ho messo in modalità stateless, qualsiasi cosa sia

matteocontrini probabilmente perché il Fastgare non ha firewall sull'IPv6

x_term · 21 giu 2020

matteocontrini Ma il DHCP a che serve allora?

Per far contenti gli amministratori di certe reti, dato che SLAAC è per definizione (e per loro concezione) l'anarchia in rete.

Mmatteocontrini · 21 giu 2020

edofullo Per non permettere ai siti web di tracciare il singolo dispositivo, immagino.

Ah se cambia spesso sì, ho visto ora la RFC. Quindi avrebbe senso impostarne uno statico a mano per accedere dall'esterno, mentre in uscita viene usato quello random che cambia da solo ogni tanto. Mentre quello del DHCP boh...

edofullo Comunque il DHCP non l'ho disattivato completamente: l'ho messo in modalità stateless, qualsiasi cosa sia

Non assegna indirizzi ma fornisce comunque qualche configurazione, non so di preciso neanch'io...

EDIT: non è vero, li assegna ma non memorizza l'associazione

x_term Per far contenti gli amministratori di certe reti, dato che SLAAC è per definizione (e per loro concezione) l'anarchia in rete.

Però se poi i dispositivi moderni usano SLAAC applicando le "privacy extensions" non serve poi a molto.

[cancellato] · 21 giu 2020

edofullo Ovviamente non funziona poi perchè TIM non lo da, però c'è

Anni e anni fa c'erano le credenziali PPPoE "sperimentali" aiiceadsl6/aliceadsl6 per averlo... non so se funzionano/se siano ancora in uso.

matteocontrini Ma il DHCP a che serve allora?

Se non altro per avere il subnet prefix

matteocontrini Mi sfugge il beneficio per la privacy al momento?

Avendo mediante SLAAC EUI-64 l'ultima parte dell'indirizzo derivata dal tuo macaddress, teoricamente è possibile tracciare che dispositivo usi (almeno il vendor, lo derivi dal MAC OUI) e da quali prefix ti colleghi visitando ad esempio lo stesso sito. Se generi il tutto random, queste informazioni non le hai.

stemax97 Le uniche applicazioni che necessitano di un tunnel L2 sono quelle che sfruttano il discovery dei devices nella subnet

Ma ormai tutto viene scoperto mediante mDNS/Bonjour, almeno in ottica consumer, ma comunque ha un parto di problemi anche se fai un bridge L2. Una volta trovate e memorizzate nelle app comunque dovrebbero essere raggiungibili senza problemi anche in una configurazione routed, altrimenti hanno implementato gli stack di rete a fido di segugio (e su chissà cos'altro hanno sorvolato anche...).

edofullo All'inizio volevo farla per il discovery di Plex e DLNA per la TV ma poi ho lasciato perdere e fatto manualmente.

Cercati Avahi o mDNS repeater.

x_term · 21 giu 2020

matteocontrini Però se poi i dispositivi moderni usano SLAAC applicando le "privacy extensions" non serve poi a molto.

Quella è stata una decisione di Google. Apple supporta DHCPv6 stateful senza problemi mi pare.

[cancellato] Anni e anni fa c'erano le credenziali PPPoE "sperimentali"

Ci sono anche ora, ma non va una ceppa.

[cancellato] Se non altro per avere il subnet prefix

Si può anche specificare DNSv6 diversi, altrimenti il dispositivo usa quello del DHCPv4 (che risolve in ogni caso le query senza problemi).

Mmatteocontrini · 21 giu 2020

[cancellato] Anni e anni fa c'erano le credenziali PPPoE "sperimentali" aiiceadsl6/aliceadsl6 per averlo... non so se funzionano/se siano ancora in uso.

Sì funziona ancora, ma male, dicono

https://assistenzatecnica.tim.it/at/portals/assistenzatecnica.portal?_nfpb=true&_pageLabel=InternetBook&radice=consumer_root&nodeId=/AT_REPOSITORY/876181

x_term Quella è stata una decisione di Google. Apple supporta DHCPv6 stateful senza problemi mi pare.

Secondo il link sopra l'uso dell'IP random è implementato da Windows, macOS, iOS, Android e alcune distribuzioni di Linux. Quindi tutti praticamente?

x_term · 21 giu 2020

matteocontrini infatti tutti supportano SLAAC, solo alcuni DHCP stateful.
Anche lato server è così. Notabile (per me) mancanza: Mikrotik non supporta DHCPv6 stateful, solo RA+DHCPv6 stateless.

Mmatteocontrini · 21 giu 2020

x_term però è un problema di priorità. Su Windows io vedo l'IPv6 assegnato con DHCP ma poi Windows usa quello random, è una scelta di Windows. Se anche gli altri OS fanno così (oltre ad Android) l'indirizzo del DHCP non serve sostanzialmente a nulla

x_term · 21 giu 2020

matteocontrini sì ma quello che stiamo dicendo è che Android proprio non li legge i DHCPv6

Mmatteocontrini · 21 giu 2020

x_term parlavamo di Windows e Linux, che non usano l'IP del DHCP

Sstemax97 · 21 giu 2020

[cancellato] Ma ormai tutto viene scoperto mediante mDNS/Bonjour, almeno in ottica consumer, ma comunque ha un parto di problemi anche se fai un bridge L2. Una volta trovate e memorizzate nelle app comunque dovrebbero essere raggiungibili senza problemi anche in una configurazione routed, altrimenti hanno implementato gli stack di rete a fido di segugio (e su chissà cos'altro hanno sorvolato anche...).

Purtroppo è la seconda opzione. Ho appena fatto un veloce tcpdump, il primo messaggio inviato dall'app è sempre un broadcast (per questo non funziona in modalità routed) a cui seguono le risposte dei dispositivi, un po' su HTTP e un po' su UDP - ovviamente in chiaro. Non credo che attiverò mai la funzione out-of-home.

@edofullo
come stai gestendo al momento i vari firewall per ipv6?

[cancellato] · 21 giu 2020

stemax97 Simpatico. Da fare un applauso a chi ha progettato 'stakakata (con la loro faccia in mezzo of course).
Puoi citare la marca così chi ha un minimo di decenza la depenna subito dalla lista dei papabili?

edofullo · 21 giu 2020

[cancellato] Anni e anni fa c'erano le credenziali PPPoE "sperimentali" aiiceadsl6/aliceadsl6 per averlo... non so se funzionano/se siano ancora in uso.

Esistono ancora, inutilizzabili.

E comunque sul modem stock non si possono cambiare le credenziali quindi comunque non riesci.

[cancellato] Cercati Avahi o mDNS repeater.

Danke

x_term infatti tutti supportano SLAAC, solo alcuni DHCP stateful.

Per quanto possa servire, pure le esp32 supportano senza problemi SLAAC, DHCPv6 non ancora.

stemax97 come stai gestendo al momento i vari firewall per ipv6?

Reject sul forward, tranne su connessioni già stabilite e pacchetti LAN -> WAN

Ho "aperto" manualmente la 443 sull'IPv6 del Raspberry.

[cancellato] · 21 giu 2020

edofullo Reject sul forward

Consiglio: usa drop non reject. Con Reject restituisci un errore ICMP di "porta chiusa", ma allo stesso tempo fornisci indizi sulla tua "esistenza" in rete. Con Drop, scarti il pacchetto come mai fosse esistito.

edofullo · 21 giu 2020

[cancellato] Fatto

Ora nmap mi segna le porte come 'filtered' al posto di 'closed', è voluto così?