跳到主要內容

IPv6 系列（一）：IPv6 兩三事



IPv4：32位元，格式 xxx.xxx.xxx.xxx (xxx：0~255)
IPv6：128位元，格式 hhhh:hhhh:hhhh:hhhh:hhhh:hhhh:hhhh:hhhh (hhhh：0000~FFFF）

IPv6種類：(a) Link Local；(b) Unique Local；(c) Global
(a) Link Local
  • 固定為 FE80 帶頭（二進位的 1111 1110 10 開頭再固定接上54 bits的 0，最後接64 bits的Interface Identifier）
  • 僅限同一個 Link（網段）之間使用，不可跨越 Router 送往其他網段
  • 每個已經啟用 IPv6 的介面會自動各配一個 Link-local 位址，不論該介面是否已有其他可跨網段的 Unicast 位址
  • 主要用於 Neighbor Discovery、Automatic Address Configuration…等用途
  • 您可以使用 Link-local Address 與同網段其他 IPv6 主機進行溝通，只是執行這個動作時，由於主機上可能有多個介面都配有 Link-local Address，因此您需要指定外送介面
  • 另外，在 IPv4 表示本機的 127.0.0.1，在 IPv6 下可表示為 ::1/128
(b) Unique Local
  • FC00::/7－唯一區域位址（ULA，unique local address）只可用於本地通訊，類似於IPv4的專用網路位址 10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16。
  • 這定義在 RFC 4193 中，是用來取代站點本地位域。這位址包含一個40位元的偽隨機數，以減少當網站合併或封包誤傳到網路時碰撞的風險。
  • 這些位址除了只能用於區域。
(c) Global
  • 可用於網際網路使用的 IP 位址。
  • 本校申請所得的 IPv6 位址為：2001:288:102b::/48，經計算共有 1,208,925,819,614,629,174,706,176 個 IP 位址可以用。
  • 目前規劃每個 vlan 網段分配 2001:288:102b:xxxx::/64 的 IP 位址。共可以分出 65,535個網域區段，計算每個區段可分配 18,446,744,073,709,551,616 個 IP。

IPv6發放設定：

IPv6 的設定同 IPv4 一樣，可以使用手動設定與 DHCP 動態設定。但除了需要有固定位址的伺服器服務與重要資訊設備外，其餘的使用者真的不需要記那麼長的IP位址。

人工配置位址(適合網路設備及網頁伺服器主機)：
與 Pv4 網路設定固定位址的做法相同，逐台主機人工配置 IPv6 位址、預設閘道與 DNS 伺服器位址。一般而言，路由器與 DMZ 伺服器的 IPv6 位址建議採用人工配置，以方便於防火牆設定資安政策，IPv6 位址尾碼可以選擇與 IPv4 位址相同，便於管理及記憶。在使用固定位址的 DMZ 網段，建議要關閉 RA (Router Advertisement) 的發送，以避免成為資安漏洞。

SLAAC+RDNSS(目前較適合智慧物件連網)：
無狀態位址自動配置 (Stateless Address Auto-configuration, SLAAC) 是 IPv6 通訊協定才有的功能，做法是透過定期經由 Multicast 發出 Router Advertisement (RA) 的封包，網路上的主機經由RA會收到 IPv6 Prefix (也就是Network ID) 及 Default Gateway 的資訊，主機組合收到的 Prefix 及自動產生的 Host ID(主機識別碼)即為該主機的 IPv6 位址。由於位址核發後即不再持續管理這個位址的使用情形，所以稱為「無狀態」。
上述提到的主機識別碼 (Host ID) 有兩種產生方式，一種是使用 EUI-64 運算法，從主機的MAC address 轉換而來，另一種是使用亂數法產生。
SLAAC不支援發送DNS伺服器位址，雖然新修訂的SLAAC RDNSS標準已解決這個問題，但目前Cisco IOS及Windows作業系統均尚未支援。電腦主機對外連線大多透過DNS進行網域名稱與IP位址的解析，缺乏DNS將對網路頁連線造成極大不便。智慧物件通常不需要主動對外連網，網路環境也越單純越好，SLAAC標準將有助於物件連網的發展。

SLAAC+Stateless DHCPv6 (適合不須嚴格進行資安查核管理場所)
這個做法是結合 SLAAC 及 DHCPv6 進行無狀態位址自動配置，RA 負責 IPv6 位址及 Default Gateway 指配，DHCPv6 則提供 DNS 伺服器位址及其他資訊 (如NTP)。實作上是在路由器上設定發送 O-bit 為 1 的 RA 封包，用戶端主機收到 RA 會再向 DHCPv6 伺服器請求 DNS 伺服器位址，但Windows XP不支援DHCPv6，需外掛DHCPv6程式(http://klub.com.pl/dhcpv6/)。
SLAAC的機制並不會進行IPv6位址的更新維護及使用追蹤，所以稱為無狀態DHCPv6定址(Stateless DHCPv6)。在資安管理上不易由IPv6位址追蹤到使用者，因此比較適合不須嚴格進行資安查核管理的場所使用。

Stateful DHCPv6(適合需要嚴格進行資安查核管理場所)
在這個做法裡 RA 只負責提供 Default Gateway，IPv6 位址配置 (包括 Prefix、Host ID)及DNS 伺服器位址等資訊均由 DHCPv6 負責。實作上是設定 RA 封包的 M-bit 及 O-bit 均為1，用戶端主機收到RA會再向DHCPv6伺服器請求IPv6位址及DNS伺服器位址。(Windows XP需外掛DHCPv6程式，http://klub.com.pl/dhcpv6/)
由於DHCPv6會記錄IPv6位址與MAC位址的對應表，並經由定期位址更新維護使用紀錄，所以稱為全狀態DHCPv6位址自動配置(Stateful DHCPv6)，對於需要嚴格進行資安查核管理場所是比較恰當的做法。由於DHCPv6無法提供Default Gateway的資訊，所以Stateful DHCPv6仍需要與RA配合運作，將來DHCPv6可能會發展出提供Default Gateway的機制，這樣就不需要RA的協助。

結合前面所述，學校網路架構主要可以區分為伺服器群組與其他群組。
在伺服器群組中：
  • 設定 Default Gateway 的 IPv6 位址，關閉 RA 功能
  • 各個伺服器手動設定 IPv6 位址等相關資訊
  • 於 DNS 上新增 IN AAAA 的 IPv6 正解
在其他群組（包含行政辦公室、教學教室）中：
  • 設定 Default Gateway 的 IPv6 位址，並開啟 RA 功能
  • 設定 M-bit = 0，O-bit = 1，將區域設定為 SLAAC + Stateless DHCPv6 模式






參考資料：
https://www.lijyyh.com/2011/11/ipv6_16.html
https://www.uuu.com.tw/Public/content/article/140407tips.htm
https://www.jannet.hk/zh-Hant/post/IP-Address-Version-6-IPv6/
https://www.ttrc.edu.tw/userfiles/file/training102/IPv6
https://www.lijyyh.com/2012/04/ipv6ipv6-auto-configuration.html
http://www.myhome.net.tw/2012_09/p03.htm
https://www.cadch.com/modules/news/article.php?storyid=132




標籤：

留言

張貼留言

這個網誌中的熱門文章

IPv6系統（三）：伺服器手動設定 & Fortigate SLAAC 設定

一、伺服器手動設定 機房的伺服分為 Ubuntu 及 Windows Server 系列兩種。Windows Server 具有圖形介面（GUI），且與 Win7、Win10 作業系統操作相似，相當容易設定。只要把 IP 相關資訊輸入即可。 Ubuntu linux 系統需要修改系統設定檔（/etc/network/interface） 二、Fortigate SLAAC 設定 以學校中 vlan192 為例，IPv6區段為 2001:288:102b:a5::/64 最主要是 config ipv6 之後的區段，set ip6-address 設定本機作為這個 vlan 的 IPv6 的 IP，set ip6-send-adv、set ip6-other-flag 開啟RA功能，並設定成 DHCP+SLAAC 動態 IPv6 環境。 因為採用 DHCP+SLAAC 的緣故，必須要有 DHCPv6 來發放 DNS 資訊，否則要每一台手動設定才能正確連接網路。 除此之外，Fortigate 上還需要針對 IPv6 做 Routing table 和 IPv6 Firewall Rule 的設定。
張貼留言
閱讀完整內容

IPv6 系列（五）：KEA DHCP SERVER

學校在純 IPv4 的環境時，採用 ISC-DHCP Server 來發放教學區域的私有 IP（10.10.xxx.xxx），並使用閘道 Fortigate 作 NAT 連接到 Internet。 採用 IPv6 後，原本是要使用 ISC-DHCPv6 來作為 IPv6 發放，結果 ISC-DHCPv6 架不起來。不過在查詢 DHCPv6 的過程中，發現 ISC（Internet System Consortium）已開發出下一代的 DHCP Server：Kea Dhcp Server。 Kea Dhcp Server 官網： https://www.isc.org/kea/ 摘錄  https://www.itread01.com/content/1548712273.html  對 Kea DHCP Server 的介紹： Kea DHCP Server 由 Internet Systems Consortium(ISC) 開發的開源 DHCPv4/DHCPv6 伺服器。Kea DHCP Server 是一個高效能的，可擴充套件的DHCP伺服器引擎。通過hooks library可以很容易的修改和擴充套件。 Kea包含的功能元件 keactrl — kea伺服器啟動，停止，配置重置和狀態查詢元件 kea-dhcp4 — DHCPv4伺服器程式，用於響應客戶端的DHCPv4查詢。 kea-dhcp6 — DHCPv6伺服器程式，用於響應客戶端的DHCPv6查詢。 kea-dhcp-ddns — DHCP動態DNS程式.這個程式在DHCP伺服器和DNS伺服器之間扮演者調解者。它接收來自DHCP伺服器域名更新請求和傳送DNS更新訊息給DNS伺服器。也就是說DDNS捕獲使用者每次變化的IP地址，然後將其與域名相對應，這樣其他上網使用者就可以通過域名來進行交流。而最終客戶所要記憶的全部，就是記住動態域名商給予的域名即可，而不用去管他們是如何實現的。 軟體執行環境 加密庫Botan或者OpenSSL log4cplus 1.0.3+ 如果有需要mysql，需要MySQL headers and libraries。可選(postgresql、cassandra類同) 選用 Kea DHCP Server 的原因，第一，提供 DHC
張貼留言
閱讀完整內容

高機三「全華線上題庫系統」操作說明

機三「機械材料」採用「全華線上題庫系統」作為平時成績，請三年級同學於學期末前完成。 107學年度第二學期 期限：108年4月28日截止（配合職三畢業考提前） 網址： http://52.68.126.252/CHWA_EXAM/student.html#/login 登入方式： 1。先輸入老師的電子郵件：etuser@ms.tsh.ttu.edu.tw，然後按確認 2。選擇班級 輸入個人座號、姓名、密碼（密碼為個人身份證字號） 3。選擇各項考試進行練習。 每項考試均設定成可以重覆練習，系統會取最高分的那一次計算。 考試進行需超過10分鐘才可以交卷
張貼留言
閱讀完整內容