etuser

學校在純 IPv4 的環境時，採用 ISC-DHCP Server 來發放教學區域的私有 IP（10.10.xxx.xxx），並使用閘道 Fortigate 作 NAT 連接到 Internet。 採用 IPv6 後，原本是要使用 ISC-DHCPv6 來作為 IPv6 發放，結果 ISC-DHCPv6 架不起來。不過在查詢 DHCPv6 的過程中，發現 ISC（Internet System Consortium）已開發出下一代的 DHCP Server：Kea Dhcp Server。 Kea Dhcp Server 官網： https://www.isc.org/kea/ 摘錄  https://www.itread01.com/content/1548712273.html  對 Kea DHCP Server 的介紹： Kea DHCP Server 由 Internet Systems Consortium(ISC) 開發的開源 DHCPv4/DHCPv6 伺服器。Kea DHCP Server 是一個高效能的，可擴充套件的DHCP伺服器引擎。通過hooks library可以很容易的修改和擴充套件。 Kea包含的功能元件 keactrl — kea伺服器啟動，停止，配置重置和狀態查詢元件 kea-dhcp4 — DHCPv4伺服器程式，用於響應客戶端的DHCPv4查詢。 kea-dhcp6 — DHCPv6伺服器程式，用於響應客戶端的DHCPv6查詢。 kea-dhcp-ddns — DHCP動態DNS程式.這個程式在DHCP伺服器和DNS伺服器之間扮演者調解者。它接收來自DHCP伺服器域名更新請求和傳送DNS更新訊息給DNS伺服器。也就是說DDNS捕獲使用者每次變化的IP地址，然後將其與域名相對應，這樣其他上網使用者就可以通過域名來進行交流。而最終客戶所要記憶的全部，就是記住動態域名商給予的域名即可，而不用去管他們是如何實現的。 軟體執行環境 加密庫Botan或者OpenSSL log4cplus 1.0.3+ 如果有需要mysql，需要MySQL headers and libraries。可選(postgresql、cassandra類同) 選用 Kea DHCP Server 的原因，...

繼學校開始採用 IPv6 後，在 Fortigate 防火牆除了原有的 IPv4 規則外，還要針對 IPv6 作設定。因為學校的資安策略除了會管制外部對內往伺服器的連線外，還會針對內部對外的不當連線，加上惡意網域日新月異，防不勝防，如此一來會增加人員與設備的負擔。 在 IPv4 環境中，學校內行政辦公室電腦採用固定 IP，其他教學部份均為 DHCP 動態發放 IP。而在 IPv6 的環境下，不管是 Stateless 或 Stateful 設定 IPv6，都會用到 DHCPv6 來設定 DNS 資訊。一般上網的動作一定會有 DNS 查詢的動作，所以可以把 DNS 查詢當作資安的防護層，也就是採用具有過瀘功能的公用 DNS 伺服器（Public DNS servers）。 提到 public dns server，一般都會想到的是 Google public dns 服務（8.8.8.8、8.4.4.8），但查詢 Google 的說明似乎沒有看到 Google 會特別針對資安防護的功能，所以改採用 cloudflare dns。 cloudflare dns 可以設定不同安全等級的 dns 位址： 一般使用 1.1.1.1  1.0.0.1 2606:4700:4700::1111  2606:4700:4700::1001 Malware Blocking Only 1.1.1.2 1.0.0.2 2606:4700:4700::1112 2606:4700:4700::1002 Malware and Adult Content 1.1.1.3 1.0.0.3 2606:4700:4700::1113 2606:4700:4700::1003 而且從 cloudflare dns 的官網說明上看，它還有隱私、安全的功能，速度也比較快。 除了 cloudflare dns 外，還有 opendns、comodo sercure dns 也有提供安全等級的選擇，但速度比較慢。 參考資料： https://blog.cloudflare.com/introducing-1-1-1-1-for-families/ https://developers.cloud...

一、伺服器手動設定 機房的伺服分為 Ubuntu 及 Windows Server 系列兩種。Windows Server 具有圖形介面（GUI），且與 Win7、Win10 作業系統操作相似，相當容易設定。只要把 IP 相關資訊輸入即可。 Ubuntu linux 系統需要修改系統設定檔（/etc/network/interface） 二、Fortigate SLAAC 設定 以學校中 vlan192 為例，IPv6區段為 2001:288:102b:a5::/64 最主要是 config ipv6 之後的區段，set ip6-address 設定本機作為這個 vlan 的 IPv6 的 IP，set ip6-send-adv、set ip6-other-flag 開啟RA功能，並設定成 DHCP+SLAAC 動態 IPv6 環境。 因為採用 DHCP+SLAAC 的緣故，必須要有 DHCPv6 來發放 DNS 資訊，否則要每一台手動設定才能正確連接網路。 除此之外，Fortigate 上還需要針對 IPv6 做 Routing table 和 IPv6 Firewall Rule 的設定。

學校的 IPv6 網段是： 2001:288:102b::/48 ，依照校內現行的網路架構，每個 vlan 區域分配的 IPv6 網段為 2001:288:102b:xxxx::/64 ，其中 xxxx 部份，依照任務與地理位置來編號，以方便辨識與記憶： 0 表伺服器群組 a4 表綜合大樓 vlan1 辦公室區域，a440 表綜合大樓 vlan400 教室區域，a410 綜合大樓 vlan410 A416 偏鄉英文教室，a450 綜合大樓 vlan500 電腦教室區域 a5 為尚志大樓 vlan192 辦公室區域，a510 尚志大樓 vlan100 教室區域（及部份因 IPv4 不足所歸屬的行政電腦） b456 為 B棟 vlan193 辦公室區域，bb20 為 B棟 vlan200 教室區域 現行網路架構為 IPv4 與 IPv6 並存 。伺服器群組部份 關閉 RA 封包 ，以手動設置 IPv6 固定位址。其餘區域設置 SLAAC+DHCPv6 方式配發 IPv6，但其內部重要的骨幹 L3 switches 則手動設定 IPv6 位址。

IPv4：32位元，格式 xxx.xxx.xxx.xxx (xxx：0~255) IPv6：128位元，格式 hhhh:hhhh:hhhh:hhhh:hhhh:hhhh:hhhh:hhhh (hhhh：0000~FFFF） IPv6種類： (a) Link Local；(b) Unique Local；(c) Global (a) Link Local 固定為  FE80  帶頭（二進位的 1111 1110 10 開頭再固定接上54 bits的 0，最後接64 bits的Interface Identifier） 僅限同一個 Link（網段）之間使用，不可跨越 Router 送往其他網段 每個已經啟用 IPv6 的介面會自動各配一個 Link-local 位址，不論該介面是否已有其他可跨網段的 Unicast 位址 主要用於 Neighbor Discovery、Automatic Address Configuration…等用途 您可以使用 Link-local Address 與同網段其他 IPv6 主機進行溝通，只是執行這個動作時，由於主機上可能有多個介面都配有 Link-local Address，因此您需要指定外送介面 另外，在 IPv4 表示本機的 127.0.0.1，在 IPv6 下可表示為 ::1/128 (b) Unique Local FC00::/7 －唯一區域位址（ULA，unique local address）只可用於本地通訊，類似於IPv4的專用網路位址 10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16。 這定義在 RFC 4193 中，是用來取代站點本地位域。這位址包含一個40位元的偽隨機數，以減少當網站合併或封包誤傳到網路時碰撞的風險。 這些位址除了只能用於區域。 (c) Global 可用於網際網路使用的 IP 位址。 本校申請所得的 IPv6 位址為：2001:288:102b::/48，經計算共有 1,208,925,819,614,629,174,706,176 個 IP 位址可以用。 目前規劃每個 vlan 網段分配 2001:288:102b:xxxx::/64 的 IP 位址。共可以分出 65,5...

學校申請的IPv6發下來了：2001:288:102b::/48

中華電信已啟用 IPv6 服務，所以將家用 TPlink AP 設定成使用 IPv6。 登入AP管理介面，進入「進階設定」的「IPv6」功能頁 開啟 IPv6 功能，因為中華電信使用 PPPOE 的認證。 在進階設定中，將“前綴授權”切換成「啟用」（因為中華電信的IPv6會動態配發：2001:B011:400A:21C1:99E1:D4C0:5715:7DFE/64子網，這一個子網會動態配發，而且在下方的區域網路設定中用得到，所以切換成啟用會自動設定） 設定完成後，回到狀態頁中查看 IPv6 的狀態： 使用 ipconfig 查看電腦 IPv6 的情形 用瀏覽器檢查 IPv6 是否正確使用（ https://test-ipv6.com/index.html.zh_TW ）