没有nat的IPv6，但是isp的变化呢？

12

在我的家用电脑上，除了GotoNet之类的4to6隧道技术外，我还没有使用IPv6。我已经阅读了它一般的工作方式。无需（或建议）没有NAT，并且每个客户端都使用公共ipv6地址，并且我了解继续使用防火墙。据我了解，如果不使用NAT，UAL和ARIN来提供您自己的全局范围，这意味着lan上所有系统上的ipv6地址将来自isp提供的范围。如果您更改ISP会怎样？这是否意味着您必须更改整个局域网地址范围？

在典型的ipv4 Windows商店中，我可能会遇到如下情况：

Site1 Lan IPs: 192.168.1.0/24
Site2 Lan IPs: 10.0.0.0/24
Site1 Public IP: 11.12.13.1/29 (11.12.13.1 - 11.12.13.5 usable)
Site2 Public IP: 20.30.40.1/29 (20.30.40.1 - 20.30.40.5 usable)
Site-to-site VPN via firewalls

Site1:                                 Lan IP,         Public IP:Port
Hardware firewall/router             - 192.168.1.1,    11.12.13.1
Windows AD DC server (AD DNS server) - 192.168.1.10
Windows Exchange (email)             - 192.168.1.11,   11.12.13.2:25+443
Windows RDS (term server)            - 192.168.1.12,   11.12.13.3:3389
Workstations (via DHCP)              - 192.168.1.100+

Site2:
Hardware firewall/router             - 10.0.0.1,       20.30.40.1
Windows AD DC server (AD DNS server) - 10.0.0.10
Windows IIS (webserver)              - 10.0.0.11,      20.30.40.2:80
Workstations (via DHCP)              - 10.0.0.100+

服务器具有静态分配的局域网，DNS服务器也必须静态分配，而防火墙也通过您输入的IP地址（与主机名）将端口转发到服务器。

现在，如果我想将其设置为仅ipv6的环境？静态分配的服务器和dhcpv6工作站的一切是否仍然相同？

但是，如果我切换到另一个isp，那是否意味着我需要更改所有服务器的IP地址？如果我有100台服务器怎么办？我想我可以在服务器上使用dhcpv6，但是我还没有看到允许通过主机名或内部dns（sonicwall，juniper，cisco等）仅本地ip（至少是ipv4）通过端口转发的biz-class防火墙。无论如何，DNS服务器仍然需要静态ips。

这还不是意味着在更改lan ipv6 ips的过渡过程中，由于不再是本地局域网，我的服务器可能正在通过Internet将局域网流量发送到我的旧块吗？从技术上讲，我知道，不太可能有人会很快使用旧块并且可以在防火墙上将其阻止。

听起来每个人都可以为自己的烫发分配ipv6块，这很好，但是我知道这会使全局路由表变得无法使用。

更新根据下面的答案，我更新了上面的示例位置，因此这将是ipv6的等效内容吗？

Site1 ULA: fd80::192:/64
Site2 ULA: fd80::10:/64
Site1 Public IP: 2000:1112:1301::/48
Site2 Public IP: 2000:2030:4001::/48
Site-to-site VPN via firewalls

Site1:                       Link-Local, ULA,            Public
Hardware firewall/router   - fe80::1,    fd80::ABCD:1,   2000:1112:1301::1
Windows AD DC server (DNS) - fe80::10,   fd80::ABCD:10,  2000:1112:1301::A
Windows Exchange (email)   - fe80::11,   fd80::ABCD:11,  2000:1112:1301::B
Windows RDS (term server)  - fe80::12,   fd80::ABCD:12,  2000:1112:1301::C
Workstations (via DHCP)    - fe80::100+, fd80::ABCD:1xx, 2000:1112:1301::10+

Site2:                       Link-Local, ULA,            Public
Hardware firewall/router   - fe80::1,    fd80::ABCD:2,    2000:2030:4001::1
Windows AD DC server (DNS) - fe80::10,   fd80::ABCD:20,   2000:2030:4001::A
Windows IIS (webserver)    - fe80::11,   fd80::ABCD:21,   2000:2030:4001::B
Workstations (via DHCP)    - fe80::100+, fd80::ABCD:2xx,  2000:2030:4001::10+

每个站点自己的系统将通过本地链接进行通信，站点到站点将通过ULA（由VPN加密）相互通信，世界（包括服务）将通过公共IP进行通信？

nat ipv6

— 半完成
source

10

肯定有一些机制可以帮助您。

对于内部LAN通信，网络上系统之间存在唯一的本地地址。将它们视为RFC1918地址；它们仅在您的网络内有效。您将能够使用这些地址在网络范围内进行任何通信；只需从中切割出一些网，fd00::/8然后让您的路由器开始对其进行宣传。

在正常部署中，这意味着您的节点都拥有（至少）3个IPv6地址；例如，链接本地fe80::/64地址（只能与广播域中的其他节点进行通信），唯一本地fd00::/8地址（可以与LAN中的所有设备进行通信）和公用地址。

现在，这仍然意味着您在更改ISP时将重新编号所有内容（假设您不拥有IPv4空间，则现在您正在为可公共寻址的节点进行此操作），而无需担心所有内部地址。通信，可以保持在“唯一本地”范围内。

这可能涵盖了您的担忧-但是还有NPTv6提案，目前有一个试验性RFC。这将使您能够将公共前缀转换为网络边缘的专用范围，这意味着在更改ISP时不会在内部重新编号，并且能够无缝地使用具有不同分配地址的多个ISP（永久或在提供商的过渡期间使用）更改）。

— Shane Madden
source

1

+1-一个简单的事实是，对于小型家庭网络，您将只使用链接本地地址，fe80::/64而您的ISP分配的IP地址则无关紧要。但是，对于数据中心而言，更改ISP一直是一项艰巨的任务，因此也几乎没有什么变化。

— Mark Henderson

1

使用fd00 :: / 8（ULA）时，应该生成一个半随机的/ 48地址块。您可以使用sixxs.net/tools/grh/ula使用符合标准的算法来生成ULA地址块。使用ULA地址进行内部通信（文件服务器等）和站点到站点VPN隧道，并使用公共地址访问Internet。然后，您只需要在更改ISP时重新编号真正的公共服务（例如本地托管的网站和VPN隧道的终结点，但不是您ULA地址空间的所有防火墙策略）

— Sander Steffann 2012年

啊，好吧，我没有想到每个主机只有多个ipv6地址。我更新了示例，并增加了对ipv6等效设置的理解。让我知道我的记法是否正确。听起来，如果只需要加密UAL中的数据，防火墙就很容易设置VPN。也将阅读有关NPTv6的内容。

— Halfdone 2012年

6

对于内部服务（终端服务器，内部邮件服务器，打印机，Web代理等），可以在fd00：/ 8下的唯一本地块内使用站点本地地址。它的设计目的是生成一个/ 48块，您可以从中分割出/ 64单个站点。您可以通过一个/ 64拥有数千个使用此模型的站点。使用此寻址方案的服务器和服务将不受ISP更改的影响。如果站点通过Internet连接，则需要在站点之间建立隧道这些地址。

注意：唯一的本地块会遇到与IPv4专用地址块相同的问题。但是，如果将后面的40位随机化FD，则发生冲突的可能性很小。

客户端计算机在Internet上不需要一致的IP地址。有一些隐私选项会定期生成新地址，以便按IP地址中断来跟踪客户端。如果您的路由器运行radvd（路由器广告后台程序）服务，则您的客户端可以生成自己的地址。（路由器广告标识网关，并可以提供DNS服务器列表。）IPv6 radvd取代了基本的DHCP服务。零配置可用于允许发现许多用于DHCP通告的服务。客户端计算机的地址应与Internet可访问服务器使用的/ 64地址块不同。

DMZ（非军事区）是Internet可访问的服务器和服务所在的位置。当您的ISP更改时，这些地址可能会更改。这些可以驻留在单个/ 64内，这将使地址更改更加简单。由于IPv6需要多个地址支持，因此在断开原始ISP连接之前，您可以连接新的ISP并有序地执行转换。

Unique local block: fd33:ab:de::/48
Site 1:  fd33:ab:de:1::/64
Site 2:  fd33:ab:de:2::/64

Site 1 /48: 2000:1112:1301::/48
Site 1 DMZ: 2000:1112:1301:1:/64    (set on servers)
Site 1 Hosts: 2000:1112:1301:2:/64  (via radv)

Site 2 /48: 2000:2030:4001::/48
Site 2 DMZ: 2000:2030:4001::/64
Site 2 Hosts: 2000:2030:4001:2:/64

您可以使用要区分DMZ和您的主机区域的任何值。就像我在上面的站点2一样，您可以将DMZ使用0。您的ISP可能会提供一个小于/ 48的块。RFC建议它们可以细分/ 64并分配/ 56s。这将限制您可以分配/ 64s的范围。

— 比尔·索尔
source