Netzwerk

In den vergangenen Wochen habe ich mich intensivst in das Thema IPv6 eingearbeitet. Schließlich gilt es jetzt, Strategien für unterschiedlichste Szenarien auszuarbeiten, Antworten auf die drängendsten Fragen zu finden:

• Lässt sich mit IPv6 wirklich schon arbeiten?
• Wie bedient man xDSL-Kunden? Wie weit sind entsprechende CPEs?
• Welche Probleme entstehen für Dualstack-Rechner?
• Wie sieht die Welt aus, wenn man ausschließlich IPv6 nutzen will?
• Worauf muss man sonst noch Acht geben?

Deshalb habe ich beschlossen, mir mal ein Wochenende Zeit zu nehmen und IPv6-User zu spielen. Und genau darum geht es in der heutigen (habe bereits gestern losgelegt) kurzen Artikel-Serie.

Eines sei noch vorausgeschickt: Jedem, den das Thema interessiert, kann ich kann nur empfehlen sich richtig viel Zeit zu nehmen und sehr, sehr gut in das Thema einzulesen. Denn IPv6 ist nicht bloß eine neue Versionsnummer - wir haben es mit einem komplett neuen Protokoll zu tun. Es gilt, sich frühzeitig mit dem Thema zu beschäftigen - aber dann doch nichts zu überstürzen. Denn bereits der Weg zu den ersten kleinen Erfolgen mit IPv6 ist mit vielen, vielen Fallstricken gepflastert!

Im Februar hatte sich Dennis aus Bingen am Rhein bei mir gemeldet, er absolvierte da gerade sein Abschlussprojekt für die Fachhochschulreife (Informatik). Da er im Internet auf eine Präsentation von mir gestoßen war, und es sowohl im Projekt als auch in meinem Vortrag um VoIP und NAT-Probleme ging, wollte er mir diesbezüglich noch ein paar Fragen stellen.

Zwar ging es in seinem Projekt, welches er bei einem größeren pharmazeutischen Unternehmen dort in der Nähe durchführte, in erster Linie um Cisco und Skinny/SCCP - was nicht gerade mein Fachgebiet ist. Dennoch konnten wir im Laufe des gemeinsamen Debuggings sogar einen Cisco-Bug nachweisen, der scheinbar bereits mindestens einen CCIE zur Verzweiflung gebracht hatte :-p

Am Ende war jedenfalls für Dennis eine verdiente eins drin (die einzige!), und für mich ein Karton Wein aus Bingen. Bei dieser Gelegenheit: nochmals vielen lieben Dank, er hat gemundet!!

Marc Blanchet announced the availability of two NAT64-DNS64 open-source implementations named Ecdysis (provided by Viagénie). You can use them to extend either Bind9 or Unbound for DNS64 and Netfilter or PF (BSD) for NAT64.

During the last years the IETF behave working group did a very good and hard job, NAT64 and DNS64 will hopefully be RFCs very soon. Many other behave related RFCs and very helpful drafts have already been published. Unfortunately there does not yet seem to be much interest in the OpenSource world, neither Bind nor Netfilter have published any related plans.

That's why I find Marc's announcement so exciting! Sure, I found their OSS implementation mentioned in the Viagénie DNS64 and NAT64 slides some time ago. But right now it really seems to be ready to start playing with! I hope to find some spare time to do so pretty soon...

In the meantime: Marc, thank you for all your effort and the great work!

Your new SIP proxy is up and running. You are successfully handling most NAT issues. You have read about many new interesting things, nonetheless you are happy to close this chapter for a while. Keepalives, STUN, Mediaproxy: you suffered a lot. You learned a lot. But right now, finally everything seems to run fine.

Time to sit back and relax? Probably not. Sooner or later you'll stumble over the next fustrating issue: fragmented UDP packets. While one might argue that SIP packets are allowed to be 64 kBytes large and fragmentation has been part of IP since it's very early days, daily practice teaches us that we are definitively not living in the same perfect world as RFC3261 authors seem to have lived in.

"Smaller SIP packets to avoid fragmentation" vollständig lesen »

Vorgeschichte: wenn man plötzlich stolzer Blog-Besitzer ist, dann googelt man sich erst Recht - und stolpert immer wieder über irgend etwas, das man komplett vergessen hatte. Bei mir war das heute einer meiner Beiträge vom Mai auf der deutschen Postfixbuch-Mailingliste zur Frage was denn passieren würde, wenn ein Spammer eine lokale IP vorgaukeln würde.

Nachdem ich meinen Text in voller Länge auf 'nem fremden Blog ergoogelt habe, dachte ich dass es wohl nicht ganz abwegig sein könnte, ihn auch hier zu publizieren ;-) Habe ihn bei dieser Gelegenheit noch ein paar kleinere Korrekturen und Änderungen vorgenommen.

Also, die Frage lautet: ist IP-Spoofing heute noch ein Thema? Kann man damit Mailserver angreifen?

"Ist IP-Spoofing heute noch ein Thema?" vollständig lesen »

STUN ist ein Protokoll, welches es SIP-Geräten erlaubt auch hinter einem NAT-Gerät (Router, Firewall) zu funktionieren – vorausgesetzt man befindet sich nicht hinter einem symmetrischen NAT. Gerade letzteres findet sich aber häufig in Firewalls größerer Unternehmen.

Nachfolgend möchte ich Euch ein klein wenig hinter die Kulissen führen und zeigen, was es denn mit diesem geheimnisvollen STUN eigentlich auf sich hat.

"NAT-Erkennung dank STUN" vollständig lesen »