Como eu me conecto ao meu servidor IPv6 NAT-ed?

Question

Até recentemente, eu tinha um servidor rodando em casa como um DMZ (todo o tráfego externo encaminhado através dele) por trás de um roteador a cabo / modem. Isso funcionou bem. Agora, depois que meu ISP foi 100% IPv6, não consigo mais me conectar a ele.

Eu costumava entender IPv4, segmentos de rede, etc, mas não consigo "ler" o IPv6 da mesma forma, quando estou impossibilitado de ssh em não sei por quê. Possivelmente porque o que eu acredito ser o IP externo pode não ser ...

Eu obtive o endereço IP externo indo para whatismyip.org , o que resultou em 2a01:79c:cebd:5bc:b0cc:d7d2:22d0:3369 na tela. Isso não foi feito no servidor (que é sem cabeça), mas em outra máquina na mesma rede. Como ouvi algo sobre o IPv6 possibilitando conectar diretamente a uma máquina atrás de um NAT sem encaminhamento, isso me faz suspeitar que o endereço IPv6 que estou vendo não é o IP do roteador (o que normalmente seria em um mundo IPv4) , mas o endereço IPv6 do computador na rede local. Eu provavelmente estou muito longe daqui, mas achei que valeria a pena mencionar.

De qualquer forma, tentar conectar-se ao servidor web em execução no servidor foi tentado assim: curl http://[2a01:79c:cebd:5bc:b0cc:d7d2:22d0:3369] . Não consegui me conectar.

    

Answer 1

As I heard something about IPv6 making it possible to directly connect to a machine behind a NAT without forwarding

Oh, muita confusão desnecessária. Me desculpe.

O IPv6 funciona essencialmente da mesma forma que o IPv4. Obviamente, existem algumas diferenças, como o IPv6 usando mais bits por endereço.

Por um tempo, o DHCPv6 não foi desenvolvido como o DHCP / IPv4. As pessoas foram incentivadas a usar o protocolo de anúncios de roteadores / roteadores. (Já vi isso ser chamado de RS e RA.) O RS / RA nunca teve muita popularidade no IPv4, talvez principalmente porque o DHCP / IPv4 já era bastante popular. Com o IPv6, um processo chamado SLAAC usa RS e RA.

Se você usa o SLAAC, algumas implementações exigem o uso de tamanhos de sub-rede / 64. Esta é uma mudança notável do DHCP / IPv4, onde vários tamanhos de sub-rede eram suportados e diferentes tamanhos de sub-rede eram usados com bastante frequência.

Com o IPv6, um padrão inicial especificava que os ISPs deveriam distribuir pelo menos 48 blocos. (Cada bloco / 48 tinha 2 sub-redes 16/64, também sub-redes 16.384 / 64). Isso permitia que as pessoas se agrupassem. Isso basicamente eliminou a necessidade de usar NAT para ajudar a minimizar o uso de endereços, porque as pessoas estavam obtendo muitos endereços. Isso fez com que muitas pessoas proclamassem que o NAT não era necessário.

A maneira de "contornar o requisito de usar o NAT" era configurar sub-redes IPv6. No entanto, "contornar o requisito de NAT" é significativamente diferente de "contornar NAT". É possível usar o NAT com o IPv6 e fazer com que ele funcione tecnologicamente da mesma maneira que o NAT com o IPv4 funciona, com diferenças óbvias, como comumente ter tamanhos de sub-rede maiores. Os princípios, no entanto, funcionarão da mesma forma.

this makes me suspicious that the IPv6 address I am seeing is not the IP of the router (which it normally would be in a IPv4 world), but the IPv6 address of the computer on the local network.

Sim, isso é possível. Com o IPv4, você pode atribuir endereços IP públicos às suas máquinas internas. Isso geralmente não é feito devido à falta de endereços IPv4 públicos disponíveis, mas pode ser configurado. Com o IPv6, o cenário comum é geralmente não ter a falta de endereços públicos disponíveis, portanto, esse tipo de configuração é mais comum com o IPv6.

Ainda assim, sua máquina interna terá um gateway padrão, que provavelmente é o roteador. Faça login nesse roteador e você poderá ver as tabelas de roteamento.

Você está usando endereços IPv6 públicos. Os endereços IPv6 de uso privado começam com "fd" (assim como os endereços IPv4 de uso privado começam com "192.168." Ou "172.16." Até "172.31." Ou "10.") Endereços que começam com "fe80:" são "link" - "endereços locais, semelhantes aos do IPv4" 169.254. endereços, mas com algumas diferenças. (Em IPv6, ver "fe80:" é um requisito; não ver isso é um problema. Em contraste, ver IPv4 "169.254." É muitas vezes um problema.)

Você pode encontrar o endereço do seu servidor com o NDP. por exemplo, no Microsoft Windows:

netsh interface ipv6 show neighbor

Outros sistemas operacionais podem usar comandos como ndp ou ip -6 para mostrar vizinhos IPv6.

    

Answer 2

Normalmente, apenas ativar o IPv6 não afetará o IPv4. Então eu estou supondo que você quer dizer que o seu ISP tem realmente desativado conectividade IPv4 nativo (e foi com o CGNAT)?

Bem, de qualquer forma, primeiro vamos esclarecer o que torna o IPv6 diferente:

As I heard something about IPv6 making it possible to directly connect to a machine behind a NAT without forwarding, this makes me suspicious that the IPv6 address I am seeing is not the IP of the router (which it normally would be in a IPv4 world), but the IPv6 address of the computer on the local network.

O motivo pelo qual você não precisa de redirecionamento de porta é que você não está mais atrás do NAT. Em vez de seu próprio endereço global, seu roteador também obtém um intervalo completo (prefixo / 64) para uso na LAN, e cada dispositivo tem seu próprio endereço global desse prefixo. Seu alcance de LAN é 2a01:79c:cebd:5bc::/64 e todos os endereços são acessíveis externamente.

Então, se você está tentando se conectar ao endereço mostrado por "whatismyip" no seu computador, então, na verdade, você está se conectando ao mesmo computador - se quiser descobrir o endereço do seu servidor, tem que verificar de esse servidor. Você não precisa realmente visitar um site - devido ao endereço que já é global, você pode obtê-lo apenas de ip addr no Linux ou ifconfig no BSD ou ipconfig no Windows.

(Na verdade, é ainda melhor porque muitos hosts configuram endereços vários - um persistente, mais endereços temporários alterados diariamente. Os sites mostrarão o endereço temporário, mas para conexões de entrada você definitivamente deseja a permanente, os comandos acima mencionados mostrarão a você ambos.)

No entanto, só porque não há "encaminhamento de porta" não significa necessariamente que você não precisará mais de nenhuma configuração de roteador.

No IPv4, a adição de uma regra de "encaminhamento de porta" não apenas configurava a conversão de NAT - ela também abria o firewall para essa porta em particular. Embora o NAT não seja mais uma preocupação no IPv6, você ainda tem um firewall - e se seu ISP tiver algum senso de segurança, então o firewall ainda bloqueia as conexões de entrada por padrão.

Portanto, se você tiver o endereço correto, mas ainda não conseguir se conectar, talvez ainda precise acessar a configuração do seu roteador, encontrar as configurações do firewall e adicionar uma regra que permita o tráfego de entrada para server_ip .

O IPv4 e o IPv6 realmente compartilham a maioria dos mesmos conceitos - o roteamento é o mesmo, as sub-redes são as mesmas, o NAT é uma coisa, o endereço privado ainda existe, como o TOOGAM mencionou. Os dois últimos são muito menos prevalentes no IPv6 do que no IPv4 (onde são usados devido à falta de endereços).