IPv6 子网说明

网络工程 IPv6 ipv6-过渡
2022-02-16 03:39:24

有人可以帮助我更好地了解 IPv6 吗?对我来说,v4 更容易理解。在阅读了几个小时后,我仍然有一些问题:

  1. 也许是最简单的一个:v6 地址是静态的吗?或者我可以让它像 v4 一样静态,以便我可以在家中使用我的打印机?

  2. 在 v4 中,如果我要创建一个服务器,它可以通过我分配的 IPv4 地址访问,然后我的路由器会将它转发给我。在 v6 中,我似乎可以通过知道它的全球单播地址来访问我的 PC。这是否意味着,如果他们随机选择其 v6 地址,任何人都可以访问我的服务器?

  3. 如果我想访问我的本地网络,我会运行一个 VPN,通过它我可以进入它。现在在 v6 中有一个 ULA,但我可以使用前缀来创建 VPN 吗?那将如何运作?

2个回答

也许是最简单的一个:v6 地址是静态的吗?或者我可以让它像 v4 一样静态,以便我可以在家中使用我的打印机?

像 ipv4 一样的 IPv6 地址可以是动态的也可以是静态的。

最大的不同是强烈建议不要使用 IPv6 NAT。NAT 的一个功能是保存地址,但另一个功能是将本地网络上的地址与提供商的地址分离。

这意味着如果您使用“宽带”服务,您很可能会被分配一个动态 IPv6 前缀,就像您今天很可能会被分配一个动态 IPv4 地址一样。但是,对于 IPv4,动态地址保留在“路由器”的提供商一侧,而对于 IPv6,动态地址分配给 LAN 上的终端系统。

IPv6 支持者对此的“解决方案”是并行运行多个地址,您拥有用于与 Internet 通信的动态全局地址,同时具有用于本地通信的静态链接本地和/或唯一本地地址。

在 v4 中,如果我要创建一个服务器,它可以通过我分配的 IPv4 地址访问,然后我的路由器会将它转发给我。在 v6 中,我似乎可以通过知道它的全球单播地址来访问我的 PC。这是否意味着,如果他们随机选择其 v6 地址,任何人都可以访问我的服务器?

这取决于。大多数支持 ipv6 的家庭路由器现在都有一个防火墙,默认情况下只能将流量限制为传出连接。

问题是在地址是动态的环境中很难有意义地配置防火墙。因此很容易陷入这样一种情况,即您唯一合理的选择是“允许每个设备的传入连接”和“根本不允许传入连接”。

纯粹的随机地址猜测在 IPv6 中可能是不切实际的 某种“结构化随机”猜测考虑到已知信息,例如哪些 IP 块已分配给 ISP、哪些 MAC 地址已分配给网络设备供应商、有关网络设备行为的已知信息ISP 等可能会获得更高的命中率,但它仍然可能比 IPv4 扫描有更多的“未命中”。在实践中,我怀疑 ipv6 攻击者更有可能专注于收获而不是扫描地址。

如果我想访问我的本地网络,我会运行一个 VPN,通过它我可以进入它。现在在 v6 中有一个 ULA,但我可以使用前缀来创建 VPN 吗?那将如何运作?

当然,您可以在 VPN 上使用唯一的本地地址,就像您可以使用私有 IPv4 地址一样。

v6 地址是静态的吗?

不是自己。IPv6 地址由您的 ISP 或网络管理员委派,并且可能会随着时间的推移而变化,具体取决于他们的策略。与 IPv4 相比,这种更改不需要硬性削减,但您可以逐步引入新地址,然后逐步淘汰旧地址。(这对于 IPv4 也是可能的,但并不常见。)

在 v4 中,如果我要创建一个服务器,它可以通过我分配的 IPv4 地址访问,然后我的路由器会将它转发给我。

您似乎指的是目标 NAT aka 端口转发 - IPv6 不推荐使用 NAT,并且绝对是多余的。如果您的网络有一个静态 IPv6 前缀,您可以为您的服务器分配一个静态地址(通过 DHCPv6)并透明地访问它。只需适当地配置您的防火墙。使用动态前缀,您仍然可以将 DHCPv6 与某些 DDNS 方案结合使用。

这是否意味着,如果他们随机选择其 v6 地址,任何人都可以访问我的服务器?

这取决于您的防火墙配置。

如果我想访问我的本地网络,我会运行一个 VPN

使用 VPN,您将通过隧道传输 ULA 地址并在 VPN 端点之间使用全局寻址来创建隧道。

或者,您可以在隧道内使用全局地址,但没有必要也没有好处。