http://mikrotik.moscow Новое в теме IPv6 и NAT — как я изменил своё мнение форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 07:35:27 -0400 IPv6 и NAT — как я изменил своё мнение RouterOS в форуме RouterOS.
+1.
09.02.2019 14:37:00, mutinsa.]]> http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392556 http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392556 Sat, 09 Feb 2019 14:37:00 -0500 RouterOS IPv6 и NAT — как я изменил своё мнение RouterOS в форуме RouterOS.
Я бы был вполне доволен нормальной реализацией NAT64 внутри RouterOS. С DNS всё относительно просто, и контроль над DNS даёт возможность распределять нагрузку между несколькими NAT64-устройствами. В любом случае DNS64/NAT64 будут работать на централизованном устройстве — по крайней мере, если действительно хочешь экономить IPv4-адреса. Так что можно поднять набор “пиццабоксов” с NAT64, даже распределить их по сети провайдера, и иметь 2 DNS64-резолвера, которые будут направлять трафик на них. Далее уже решать тебе, какой запрос каким NAT64-шлюзом обрабатывать: по геолокации, по предыдущим запросам, по загрузке NAT64-шлюзов — вариантов масса.

Да, я могу запустить это на какой-нибудь случайной виртуалке, но если мне нужна производительность (читай — пропускная способность), выглядит так, что лучше взять какой-нибудь 1U-бокс на NP, чем покупать универсальный x86-сервер (без разницы, виртуалка это или нет, виртуалкам тоже нужна железка), ставить туда свой раздутый Linux и собственную реализацию NAT64, которая может зависеть от ядра и прочего.

Честно говоря, для большинства людей запускать открытое ПО не решает много проблем, если они сами не умеют вносить правки и разбираться, что делать. Куда сообщество направится — туда и нужно идти, и с вендорскими проприетарными решениями та же история. Да, есть технически грамотные и опытные люди, которые умеют чинить и собирать, но с точки зрения скорости выхода на рынок разумно стоящее вендорское решение решит задачи быстрее.

Возможно, у каждого свой опыт, но, похоже, общая стоимость владения примерно одинаковая, даже если я куплю (если эта функция появится) специализированное оборудование Mikrotik для этой задачи. Я не против open source. Существует куча сетевых решений для BGP, PPPoE, L2TP и так далее, но мы почему-то предпочитаем готовый подход Mikrotik, работающий на их железе, потому что их железо очень хорошо подходит для таких задач. А время — оно важно.
22.01.2018 14:27:00, doneware.]]> http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392555 http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392555 Mon, 22 Jan 2018 14:27:00 -0500 RouterOS IPv6 и NAT — как я изменил своё мнение RouterOS в форуме RouterOS.
@Marlow: Цель этой темы — не использовать решения Cisco или Juniper. Поэтому предлагать Juniper SRX как вариант — это контрпродуктивно. Конечно, они существуют и работают. Но по какой цене? Что? С какого времени предложение решения стало контрпродуктивным? И SRX100 дешевле CCR9, так что давайте, оно того стоит, ведь MT даже NAT64 не поддерживает. Похоже, я тоже не понял суть, потому что думал, что тема про то, чтобы дочитывать эссе до конца, что я и сделал. Чтобы быть полезным, делюсь парой случайных ссылок из своих поисков (для решения):

Cisco: http://www.cisco.com/c/en/us/products/collateral/ios-nx-os-software/enterprise-ipv6-solution/white_paper_c11-676278.html  
Jool: https://www.jool.mx/en/index.html — в интернете почти нет упоминаний о реальном использовании Jool  
Juniper: https://www.juniper.net/documentation/en_US/junos12.3x48/topics/concept/nat-security-source-pool-persistent-address-understanding.html  
Tayga Gentoo: https://forums.he.net/index.php?topic=1998.0  
Кстати, DNS64 — конфигурация с BIND в режиме DNS64  
Tayga против PF: https://www.researchgate.net/publication/259102526_Performance_Analysis_and_Compariso­n_of_the_TAYGA_and_of_the_PF_NAT64_Implementations

С уважением.
16.01.2017 23:37:00, januszzz.]]> http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392554 http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392554 Mon, 16 Jan 2017 23:37:00 -0500 RouterOS IPv6 и NAT — как я изменил своё мнение RouterOS в форуме RouterOS.
NAT64 и связанная функция DNS64 — это то, что нужно нам, кто хочет перейти в полностью без NAT-среду. Только 6 нативных клиентов может общаться со всеми шестью, и старенькие 4 остаются только для тех мелких сайтов и сервисов, которые еще не мигрировали. Однозначно, это большой плюс от меня. Я читал другие темы и думал: «О боже, они не понимают сути», но вот появился новый светлый лучик в темноте. Приятно видеть новое яркое утро, правда?
09.01.2017 23:16:00, JimmyNyholm.]]> http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392553 http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392553 Mon, 09 Jan 2017 23:16:00 -0500 RouterOS IPv6 и NAT — как я изменил своё мнение RouterOS в форуме RouterOS.
Есть и другие решения для Linux: Jool, который работает ближе к уровню ядра. Со стороны DNS64 есть totd, реализация в bind9 и резолвер knot. Главное в этой теме — не прибегать к решениям Cisco или Juniper. Поэтому предлагать Juniper SRX в качестве решения — контрпродуктивно. Конечно, они существуют и работают. Но по какой цене? /M
09.01.2017 22:41:00, marlow.]]> http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392552 http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392552 Mon, 09 Jan 2017 22:41:00 -0500 RouterOS IPv6 и NAT — как я изменил своё мнение RouterOS в форуме RouterOS.
На самом деле, идеальный NAT64 можно сделать с помощью OpenBSD. Настроить его очень сложно (я сам не настраивал, это сделал коллега), но результат стоит того. Tayga тоже вполне неплох, но работает довольно медленно. В качестве альтернативы я рассматривал использование Juniper SRX — по документации он тоже должен работать хорошо.
09.01.2017 22:36:00, januszzz.]]> http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392551 http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392551 Mon, 09 Jan 2017 22:36:00 -0500 RouterOS IPv6 и NAT — как я изменил своё мнение RouterOS в форуме RouterOS.
NAT64/DNS64 — просто необходимость. Без этого у нас нет пути миграции. Mikrotik по этому вопросу спит крепким сном. Сейчас очень мало решений. Одно — оборудование Cisco, другое — например, Tayga на Linux. По части DNS раньше был Trick or Treat Daemon (totd), но он уже как динозавр вымер, потому что bind9 теперь поддерживает DNS64 напрямую.

– Stateless 1:1 NAT66 тоже обязательно для миграции или мультхоминга, если BGP или что-то подобное не подходит. Я не считаю это таким же критичным, как NAT64, но оно нужно.

– Любые другие виды NAT в IPv6 не нужны, их вообще не стоит внедрять — NAT всегда был ужасным костылём. Он даёт пользователям ложное чувство безопасности. Это моё мнение.

– Пример IPv6-сети только с NAT64 на краю провайдера — http://www.freemesh.ie/. Mikrotik-оборудование там использовать было невозможно из-за отсутствия нужного функционала.

/M
02.01.2017 13:30:00, marlow.]]> http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392550 http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392550 Mon, 02 Jan 2017 13:30:00 -0500 RouterOS IPv6 и NAT — как я изменил своё мнение RouterOS в форуме RouterOS.
Поскольку все понимают, что IPv6 — не решение и даже создаёт новые проблемы, появилась идея использовать ad-hoc разрешение адресов и маршрутизацию. Такие проекты, как cjdns (только без “сломанных по дизайну” и “частично реализованных” вещей вроде IPv6), продолжают появляться, но, к сожалению, пока находятся в полумёртвом состоянии.
21.08.2016 20:28:00, Zorro.]]> http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392549 http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392549 Sun, 21 Aug 2016 20:28:00 -0400 RouterOS IPv6 и NAT — как я изменил своё мнение RouterOS в форуме RouterOS.
Недавно наткнулся на эту ветку: http://forum.mikrotik.com/t/nat64-and-dns64/38531/1 (Спросили, есть ли NAT64/DNS64 в планах развития ROSv5). Ну, спустя 6 лет, можно с уверенностью сказать — ответ на тот вопрос был категоричным «да ну его». За эти годы я в целом стал на сторону идеологов, которые чуть ли не религиозно против всякого NAT в мире IPv6. Я до сих пор считаю, что stateful NAT66 с возможностью many-to-one — это зло, которое не должно вторгаться в IPv6. Можно было бы избавиться от всей этой возни с обходом NAT, к которой мы так привыкли. Так ведь и задумывалось — всё должно было работать иначе. Раньше не было таких проблем, можно вернуться к нормальному состоянию!  

Но теперь я понимаю, что есть случаи, когда NAT в мире IPv6 оправдан:  
NAT64 и Stateless prefix translation  

NAT64 (и stateless, и stateful) — вот основная тема того форума, что я прикрепил выше. Многие (включая меня) поначалу скептически относились, считая, что двойной стек — это единственно правильный путь, и что NAT — это проблема. IPv6 с самого начала, по идее, должен быть свободен от NAT, и так будет всегда. Мне всё еще кажется, что двойной стек — лучший вариант, но теперь я понимаю, что это не валидный аргумент против NAT64.  

NAT64 — это функция межсетевого взаимодействия, которая даёт возможность напрямую общаться параллельным мирам internet4 и internet6. Когда-нибудь, в далёком будущем, последний IPv4-адрес отключат, и все будут рады. В тот день NAT64 уже не понадобится, так что нет смысла критиковать NAT64, мол, лучше двойной стек, чем межсетевое взаимодействие.  

Похоже, большинство (включая меня) не до конца поняли суть NAT64. Обычно его считают инструментом для ранних пользователей IPv6, которые выкидывают IPv4 из сети и используют NAT64+DNS64 для доступа к «старому» IPv4-интернету. Только кто-то, кто всерьёз идеализирует эту тему, станет сразу отказываться от IPv4 в своей сети, рискуя получить проблемы с NAT64.  

Так что хотя NAT64+DNS64 позволяет кому-то начать использовать IPv6 (а честно говоря, уже странно называть внедрение IPv6 сегодня «ранним» — посмотрите, Netflix уже можно смотреть только по IPv6), основное назначение NAT64 совсем в другом.  

NAT64 позволяет сетям конечных пользователей работать как острова двойного стека, переходящие через океан IPv6, чтобы добраться до IPv4-интернета. Настоящая польза NAT64 — в инфраструктуре провайдеров, где IPv4-адреса обязательно должны быть публичными, а их количество практически иссякло и действует жёсткий контроль.  

Stateless NAT64 в ROS позволил бы использовать роутеры Mikrotik как компонент CLAT в развертывании 464XLAT. 464XLAT гораздо удобнее для конечных пользователей, чем просто v6-only с NAT64.  

Почему? Из-за IPv4-адресов в явном виде! Если нужно общаться с хостом только по его IPv4-адресу, DNS64 тут не поможет, и IPv6-хост просто не сможет с ним связаться (если не поставить CLAT у каждого устройства, а это, по-моему, совсем нереально). Если в сети пользователя внутренне двойной стек, устройства могут спокойно работать без каких-либо дополнительных настроек и даже не подозревать, что их IPv4 — отдельный остров.  

По факту, даже сегодня IPv4 — это уже остров, только остров с RFC1918 (частными адресами), которые перед выходом в интернет переводятся на публичные IP. NAT64 просто меняет «океан» с пресной воды IPv4 на солёную воду IPv6, образно говоря.  

NAT64 не только освобождает провайдера от необходимости выдавать уникальный публичный IP каждому клиенту (как CGNat), но и избавляет клиента от двойного NAT. Провайдер может запустить централизованный (или распределённый) IPv4-шлюз (stateful NAT64) в роли PLAT в архитектуре 464XLAT, и NAT будет происходить прямо между внутренним частным IPv4 клиента и пулом публичных IPv4-серверов.  

Кстати, PLAT не обязательно должен запускать провайдер. Новые провайдеры могут с самого начала работать только на IPv6, а IPv4-соединение просто передавать через внешнего поставщика. Для клиентов это прозрачно — когда они решат, что IPv4 им больше не нужен, могут просто отключить его. Раз — и готово.  

Stateless Prefix Translation  

Это ещё одна NAT-технология в IPv6, которую я теперь принимаю, несмотря на прошлый категоричный запрет NAT. Многопровайдерные сети скорее всего потребуют такой функционал, чтобы не заводить BGP. Ещё это полезно для организаций, чьи провайдеры настойчиво меняют IPv6-префиксы. Представьте, что IP вашего принтера постоянно меняется по прихоти провайдера.  

Я не так сильно в восторге от префиксного транслятора, как от NAT64, но считаю его полезным инструментом. Хотелось бы, чтобы такие задачи решались более современными способами. Например, проблему с мульти-хомингом можно решить через протоколы вроде MPTCP и SCTP. Если у устройств будет по адресу от каждого провайдера, они смогут автоматически распределять нагрузку между всеми доступными каналами без сложных настроек в роутерах.  

А вопрос с динамическими префиксами у провайдеров — это остаток менталитета IPv4, когда ресурсы надо назначать динамически из-за ограниченности пулов, оверселлинга и для ограничения запуска серверов у домашних пользователей. При таком большом адресном пространстве не вижу причин, почему пользователям нельзя было бы выделять постоянные адреса, а провайдеры при помощи условий обслуживания просто блокировали бы входящие соединения для «бизнес-класса».  

Однако для этого нужно менять массовое мышление в сообществе интернет-провайдеров, и в ближайшем будущем к такой практике переходить не стоит ждать. Пока что префиксная трансляция — это способ обойти проблему, не дожидаясь, когда мир проснётся.  

Знаю, получилось целое эссе, но если вы дочитали, надеюсь, я помог немного прояснить, почему NAT не всегда зло в мире IPv6, при этом оставаясь приверженцем идеи прямой адресации от конца до конца как цели Интернета.
05.08.2016 17:24:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392548 http://mikrotik.moscow/forum/forum57/85034-ipv6-i-nat-_-kak-ya-izmenil-svoye-mnenie/message392548 Fri, 05 Aug 2016 17:24:00 -0400 RouterOS