Seminario de IPv6 con MikroTik RouterOS

Seminario de IPv6 conSeminario de IPv6 con
MikroTik RouterOSMikroTik RouterOS

2014 © Prozcenter 2
Contenidos
Objetivos
Modulo 1: Introducción a IPv6
Introducción
IPv6 vs IPv4
Formato de paquete
Direccionamiento
Ejemplo de una red simple
Habilitando IPv6
Modulo 2: Direccionamiento IPv6
Direcciones Link-local
Identificador EUI-64
Multicast
Subnetting
Modulo 3: Mecanismos IPv6
ICMPv6
Neighbor Discovery (ND)
Autoconfiguración
Autoconfiguración son servidor
Modulo 4: Routing v6
Ruteo estático
OSPFv3
BGP4
Module 5: Firewall v6
Filter
Mangle
Module 6: Resumen final

Objetivos
Conocer la arquitectura de IPv6
Estructura de paquete
Esquema de direccionamiento
Mecanismos de IPv6
Configuración y resolución de problemas de redes
RouterOS que utilizan este nuevo protocolo.

Modulo 1Modulo 1
Introducción a IPv6

Introducción
IPv6 es un protocolo capa 3 que se diseño para resolver algunas
limitaciones de IPv4 (se puede decir que IPv6 es un reemplazo
directo de IPv4).
Provee un espacio de direccionamiento mucho más amplio,
algo asi como trillones de direcciones por ser humano! (nunca
mas se acabarían las direcciones IP).
Provee conectividad real extremo a extremo (NAT ya no es
requerido).
Reduce la complejidad del encabezado IP (mayor performance).
"IPv6 es en muchos aspectos como IPv4,
pero estos protocolos no son iguales"

IPv6 vs. IPv4

IPv6 vs. IPv4 – Espacio de IPs
En IPv4 (232
) hay 4.294.967.296 direcciones disponibles.
En IPv6 (2128
) hay
340.282.366.920.938.463.463.374.607.431.768.211.456
direcciones disponibles (serían 340 sextillones).
"Todas las IPv4 'entrarian' en un
cuadrado de 4 x 4 cms. En cambio para
las IPv6 necesitaríamos un cuadrado del
tamaño del sistema solar!"

Recordando IPv4...

Formato de un paquete IPv6
TEM
A
C
LAVE

Campos excluidos de IPv6:
IHL
Identification
Flags
Fragment offset
Header checksum
Options (existen en IPv6 pero NO en el encabezado).

Campos de IPv4 que se mantienen en IPv6:
Version (mismo nombre)
Traffic Class (llamado ToS / DSCP)
Payload lenght (llamado Total Lenght)
Next Header (llamado Protocol)
Hop Limit (llamado Time to Live)
Src and Dst Address
Campo nuevo en IPv6:
Flow Label (20 bits)

En RouterOS, se puede leer estos campos en las reglas de IPv6 Firewall:

También se puede leer el campo Flow Label con reglas en la sección Switch:

Direccionamiento – Tipos
IPv6 soporta los siguientes tipos de direcciones:
- Unicast
- Global
- Link-local
- Anycast (es como unicast)
- Multicast
Broadcast ya no es soportado, todas las tareas son
resueltas usando diferentes direcciones Multicast.
TEM
A
C
LAVE

Cada equipo IPv6 tiene al menos los siguientes tipos
de direcciones:
Una dirección unicast para la interfaz loopback.
Una dirección unicast link-local por interfaz.
Cada interfaz debería estar "unida" a algunos grupos
multicast.
Opcionalmente una o más direcciones unicast
global. Estas pueden configurarse de tres formas (se
verán más adelante).

Direccionamiento – Estructura
Las direcciones IPv6 tienen 128 bits de longitud, de modo que los
diseñadores optaron por la notación hexadecimal y dividiendo la
dirección en grupos de 16 bits.
- Dirección IPv6 en "crudo", separada en 4 partes de 32 bits:
00100000000000000000000000000000
00000000000000000000000100100010
00001100001101000000000000111111
01010100110010100000000000001011
- Misma dirección IPv6, pero expresada en hexadecimal:
2000:0000:0000:0122:0C34:003F:54CA:000B
(Esta dirección se puede comprimir como se vera en breve.)

El espacio de direcciones esta dividido en prefijos,
uno para cada tipo de dirección.
Cada prefijo se indenfifica mirando los PRIMEROS
bits de una dirección IPv6.
El parámetro prefix-lenght, indica cuantos bits
pertenecen al prefijo, por ejemplo:
2000:0000:0000:0122:0C34:003F:54CA:000B/64
(los primeros 64 bits corresponden al prefijo)
TEM
A
C
LAVE

En resumen, una dirección v6 tiene dos partes, una es el
Prefijo, y el resto es la identificación de la interfaz en
particular, es decir el Interface ID.
A veces, vamos a disponer de unos bits extra conocidos
como Subnet ID.
Interface ID tienen que estar en un formato especial
conocido como EUI-64 (mas detalles en breve).

77% del espacio total de direcciones IPv6 esta aún reservado
para futuros usos.
Resumen de los prefijos más importantes:
0000::/8 - Sin especificar, Lookback (similar a 0.0.0.0/0 o 127.0.0.0/8)
2000::/3 - Global Unicast Addresses (similar a las públicas IPv4)
FC00::/7 - Unique Local Addresses (similar a las privadas IPv4)
FE80::/10 - Link-Local Unicast Addresses (similar al rango 169.254.0.0/16)
FF00::/8 - Multicast Adresses (similar al rango 224.0.0.0/4)
TEM
A
C
LAVE

Ejemplos con sus sinónimos IPv4
0.0.0.0/0 es ahora ::/0 (0000:0000:0000:0000:0000:0000:0000:0000/0)
127.0.0.1 es ahora ::1 (0000:0000:0000:0000:0000:0000:0000:0001)
Redes IPv4 / IPv6 (mismo concepto)
200.127.151.0/ 24... los primeros 24 bits
indican la red y no pueden cambiar.
2001:1291:02EB::/48... los primeros 48 bits
indican la red y no pueden cambiar.

Direccionamiento - Representación
Las direcciones IPv6 pueden comprimirse para una
fácil lectura y escritura mediante tres métodos.
(1) Grupos con todos "ceros", puede reemplazarse con
un sólo cero.
Ejemplo:
Antes -> 2001:1291:0200:8738:0000:0000:0000:0001
Después -> 2001:1291:0200:8738:0:0:0:0001

(2) Quitar los ceros de la izquierda en los grupos
que corresponda.
Ejemplo:
Antes -> 2001:1291:0200:8738:0:0:0:0001
Después -> 2001:1291:200:8738:0:0:0:1

(3) Multiples grupos de ceros, pueden ser
comprimidos utilizando los dos puntos (":").
Este método puede ser utilizado una vez,
preferentemente donde cause más efecto.
Ejemplo:
Antes -> 2001:1291:200:8738:0:0:0:1
Después -> 2001:1291:200:8738::1

Otro ejemplo con la siguiente IPv6:
2800:0000:0000:0456:0000:0000:0000:00AB
(1) 2800:0:0:0456:0:0:0:00AB
(2) 2800:0:0:456:0:0:0:AB
(3) 2800:0:0:456::AB

Habilitando IPv6
RourteOS soporta IPv4 por defecto.
IPv6 se puede activar en una forma sencilla y
sin costo!:
- Se puede tener ambas versiones de IP en el mismo
router, para hacer lo que se llama "router dual stack".
- Tambié se puede migrar completamente a IPv6.
Requerimientos:
Paso 1: Instalar o habilitar el paquete ipv6.npk.
Paso 2: Reiniciar el router.
(Si, eso es todo!)

Habilitando IPv6

Habilitando IPv6
La implementación de IPv6 sobre RouterOS nos brinda las
siguiente posibilidades:
IP estática, autoconfiguración, DHCP Client.
DHCP Server (sólo trabajando como DHCP-PD).
Firewall (Filter / Mangle)
Ruteo estática y dinámico (RIPng, OSPFv3 and BGP-4)
Soporte para protocolos PPP.
Cliente DNS, DNS Cache, herramientas de Ping, SSH, NTP.

Ejemplo de red simple

Ejemplo de red simple
PC
Router A

¿Dudas?

Modulo 2Modulo 2
Direccionamiento IPv6

IPv6 fue diseñado para ser sencillo.
Por ende, no siempre vamos a tener que escribir
direcciones IPv6 en hexadecimal para cada
dispositivo.
Se utiliza un identificador que se obtiene de las
interfaces para construir la dirección completa.
TEM
A
C
LAVE

Los routers, cuando sea posible, utilizaran la
dirección MAC de las interfaces para construir una
dirección IPv6 completa.
La mayoría de los prefijos, desde 2000::/3 a
E000::/3 requieren que la porción Interface ID de la
IP, este en formato EUI-64.
TEM
A
C
LAVE

En caso de Ethernet, las direcciones MAC estan en
formato EUI-48, ergo se necesita una conversión.
Esta conversión se realiza agregando 16 bits
(0xFFFE) a la dirección MAC.
También se invierte el séptimo bit del primer byte de
una dirección MAC.
TEM
A
C
LAVE

TEM
A
C
LAVE

Por ejemplo, se puede agregar una dirección unicast solamente
especificando el prefijo, el resto se completa usando el EUI-64
obtenido desde la dirección MAC.

Se utiliza el prefijo FE80::/10.
Sólo una dirección link-local debería existir por interfaz.
Permite comunicación entre dispositivos ubicados en el
mismo enlace (link), es decir mismo dominio L2.
Se autoconfiguran a penas se habilita IPv6.
El Interface ID se toma de la dirección MAC.
TEM
A
C
LAVE

Que se puede hacer con una dirección link-local?
Supongamos que tenemos un dispositivo Mikrotik
conectado a una PC (todo con IPv6 habilitado):

Todas las direcciones link-local estan conectadas a la misma red, es decir la
FF80::/10.
De modo que hay que especificar un identificador de interfaz.
Por ejemplo, cuando se desea enviar tráfico a cualquier dispositivo
conectado directamente usando direcciones locales, o si desea comunicarse
con herramientas como ping (más ejemplos más adelante).

Multicast
Como no hay soporte para broadcast, se utiliza
como reemplazo el modo de comunicación
multicast.
Existen muchas direcciones multicast.
Un formato especial es utilizado:
TEM
A
C
LAVE

Multicast
Flags: 4 bits (00PT), sólolos últimos 2 son usados: el bit T
(Transient) y el bit P (Prefix).
- T = se pone en 1 para indicar direcciones multicast temporales,
de lo contrario se considera como una dirección permanente
(llamadas también "direcciones multicast conocidas").
- P = se pone en 1 para indiar que el resto de la dirección (112
bits) hace referencia a un prefijo en particular.
Scope: 4 bits (XXXX), que identifican el alcance del mensaje.
- 1 (0001) = node (nodo).
- 2 (0010) = link (enlace).
- 5 (0101) = site (sitio).
- 8 (1000) = organization (organización).
- E (1110) = global (global).

Multicast
Direcciones multicast conocidas:
FF01::1 – Todos los nodos (node-local)
FF01::2 – Todos los routers (node-local)
FF02::1 – Todos los nodos (link-local)
FF02::2 – All routers (link-local)
FF02::5 – OSPFv3 (Hellos, LSAs) (link-local)
FF02::6 – OSPFv3 (Designated Routers) (link-local)
FF02::C – Servidores DHCP (link-local)

Multicast
Pueden hacer ping a la
dirección multicast FF02::1
(todos los nodos del enlace)
para descubrir vecinos IPv6.
Se puede utilizar el
parámetro interface
para filtrar el resultado.

Subnetting
Recordando la estructura de una dirección v6, por cada
dirección tenemos un prefix y un interface ID.
Para las direcciones global unicast, el prefijo tienen 64 bits,
de los cuales 16 se usan como subnet ID, que se puede
utilizar para hacer subnetting. Con 16 bits tenemos
posibilidad de hacer 65536 subredes!

Subnetting
NOTA: aunque matematicamente es posible hacer
subnetting dentro del interface ID, no es
recomendable porque la mayoría de los rangos
estan pensados para respetar el formato EUI-64.

Como se puede observar, un prefijo Global the Global
Prefix, esta dividido en:
Registry Prefix (ARIN, LACNIC, RIPE)
ISP Prefix, Site Prefix (Carriers, ISPs)
Subnet Prefix (donde los Carriers/ISP hacen subnetting)
Subnetting
TEM
A
C
LAVE

LACNIC tiene asignados
2001:1200::/23
2001:1200:: ~ 2001:13FF:FFFF:FFFF:FFFF:FFFF:FFFF:FFFF
Los primeros 23 bits permanecen fijos, recordar que cada cifra es
hexadecimal y cuenta como 4 bits.
2800::/12
2800:: ~ 280F:FFFF:FFFF:FFFF:FFFF:FFFF:FFFF:FFFF
Los primeros 12 bits permanecen fijos, recordar que cada cifra es
hexadecimal y cuenta como 4 bits.
Subnetting

Si LACNIC nos asigna la red 2001:1291:02EB::/48, donde
tenemos 16 bits extras para usar con Subnet ID.
Descomprimiendo: 2001:1291:02EB:XXXX::/48.
Esas 4 cifras hexadecimales (16 bits) nos da 65536 posibilidades
para definir subredes. Al igual que en IPv4, variando la mascara
se subnetea.
2001:1291:02EB:0000::/64 (primer subred)
2001:1291:02EB:0001::/64 (segunda subred)
2001:1291:02EB:0002::/64 (tercer subred)
2001:1291:02EB:0003::/64 (cuarto subred)
Subnetting

Otro ejemplo:
2001:1291:02EB:0000::/63 (primer subred)
2001:1291:02EB:0004::/63 (tercer subred)
2001:1291:02EB:0006::/63 (cuarto subred)
Más ejemplos:
2001:1291:02EB:0000::/62 (primer subred)
2001:1291:02EB:0008::/62 (tercer subred)
2001:1291:02EB:000C::/62 (cuarto subred)
Subnetting

¿Dudas?

Module 3Module 3
Mecanismos IPv6

ICMPv6
Es una nueva versión del ICMP que soporta IPv6.
Provee lo siguiente:
Diagnostico de red
- Echo Request / Echo Reply (ping y traceroute)
Mensajes de error
- Destination unreachable / Time exceeded
Descubrimiento de MTU (MTU Discovery)
- Lo hace a traves de unos mensaje de eror denominados
"Packet too big" (paquete muy grande).

ICMPv6
Tener en cuenta que al
Hacer ping a una dirección
link-local se deber
especificar la interfaz.
Esto se debe a que todas
las interfaces estan
conectadas a la red FE80::/10.

ICMPv6 – MTU Path Discovery
La fragmentación de un paquete IPv6 es sólo permitida en
los equipos, los routers ya no tienen esa función.
Entonces los host realizan lo que se conoce como MTU
Path Discovery, el cual funciona leyendo los mensajes de
error de ICMPv6, particularmente el mensaje "Packet too
big".
Básicamente los equipos intentan comunicarse y sólo
ajustan su MTU si reciben un mensaje de error ICMP.
El MTU elegido en principio, es el de la interfaz de red del
equipo que inicia la comunicación.

ICMPv6 – MTU Path Discovery

ND es el remplazo directo de ARP, aunque trae
nuevas funciones.
Provee:
1- Resolución de direcciónes de capa 2.
2- Detección de dirección duplicada.
3- Autoconfiguración de dirección IP.
4- Descubrimiento de routers.
TEM
A
C
LAVE

Mensajes ND:
NS - Neighbor Solicitation (solicitud de vecino)
NA - Neighbor Advertisement (publicación de vecino)
RS - Router Solicitation (solicitud de router)
RA - Router Advertisment (publicación de router)

1- Resolución de direcciónes de capa 2
Se hace con dos mensajes ICMPv6: NS (similar al ARP
Request) y NA (similar al ARP Reply).
En particular el mensaje NS se envia a una dirección
multicast especial, llamada "solicited-node" o "nodo
solicitado".
El formato de esta dirección especial es:
FF02::1:FFxx:xxxx, donde xx:xxxx son los últimos
24 bits de la dirección IP del nodo buscado.

Por ejemplo, si un equipo necesita la MAC de
otro equipo con IP 2800:1::500:1AB:CDEF, la IP
multicast resultante donde se enviaria el NS seria:
FF02::1:FFAB:CDEF
(Explicación: porque se toman sólo los últimos 24 bits,
en este ejemplo: 2800:1::500:1AB:CDEF).

NS además tiene un campo interno llamado
"target address" que contiene tiene la IP
buscada de forma completa.
NA es enviado en forma unicast al equipo que
realizo la consulta NS.

1- Resolución de direcciónes de capa 2 (ejemplo)

1- Resolución de direcciónes de capa 2 (ejemplo)
Nodo A quiere enviar datos a Nodo B, entonces envia un
NS a la dirección multicast FF02::1:FFAA:BBBB.
Este mensaje NS incluye el target address (dirección
completa de Nodo B) para evitar conflictos.
Nodo B y Nodo C escuchan y procesan el mensaje
enviado a FF02::1:FFAA:BBBB (porque los últimos 24
bits de su IP coincide).
Pero sólo Nodo B responde con un mensaje NA,
porque Nodo C lee el campo target address y se da
cuenta que el mensaje es para otro nodo.

Para ver la tabla de vecinos, que es similar a la tabla ARP,
se usa el comando ipv6 neighbor print. No confundir
esta tabla con ip neighbor, son dos cosas distintas!

2- Detección de dirección duplicada - DAD
Se realiza con mensajes NS.
Si un nodo quiere saber si cierta dirección se está
utilizando en el enlace, transmitirá un mensaje NS
pidiendo la dirección en cuestión.
Si no hay respuesta (mensaje NA), entonces la dirección
se puede utilizar.
Si hay una respuesta, esa dirección no será utilizada por
el dispositivo.

Configuración de direcciones IPv6
Existen tres métodos:
Asignación de dirección estática
Configuración manual.
Autonconfiguración sin estado (Stateless)
Usando mensajes ND y DAD (RS / RA / NS / NA).
Autonconfiguración con servidor (Stateful)
Usando DHCPv6.

Configuración de direcciones IPv6
/ipv6 address add address=prefix eui-64=yes
Con este comando se construye la dirección completa a partir de un prefijo y la
dirección MAC de la interfaz.
TEM
A
C
LAVE

Autoconfiguración sin estado
Se realiza utilizando mensajes ND, precisamente RS
y RA.
Los routers publican periodicamente o mediante
una solicitud el prefijo /64 de la interfaz
correspondiente. Esta publicación se hace con el
mensaje RA.
De modo que los dispositivos que se conecten con
ese router pueden configurarse sólo una IPv6 y
demás parámetros.
TEM
A
C
LAVE

/ipv6 address add address=prefix advertise=yes
Con este comando se habilita la autoconfiguración sin estado de los
dispositivos conectados a la interfaz. Sólo se puede utilizar con prefijos / 64.
TEM
A
C
LAVE

Ejemplo:
Un dispositivo envía un mensaje de RS, routers en el enlace
responden con un mensaje RA indicando el prefijo / 64.
Si hay más de un router, el dispositivo que solicita toma
todos los anuncios que recibe.
El dispositivo solicitante usa su identificador EUI-64 para
completar su dirección.
Antes de finalizar la configuración de la dirección, el
dispositivo solicitante llevará a cabo un DAD.
Si DAD indica que la dirección es única, entonces el
dispositivo se configura y utiliza esa dirección.
TEM
A
C
LAVE

Autoconfiguration con servidor
Puede usar DHCPv6 para asignar direcciones IP a los
hosts de forma "stateful".
Por ahora, RouterOS soporta servidor DHCP-PD.
DHCP-PD es un servidor que asigna prefijos a
clientes DHCPv6.
Estos clientes pueden utilizar el prefijo adquirido
desde el servidor DHCP-PD, usándolo como un Pool
vinculado a los servicios de PPP (como PPPoE).

¿Dudas?

Module 4Module 4
Routing v6

Ruteo estático
Usa las mismas reglas que IPv4.
Algoritmo de selección de ruta.
El prefijo más especifico es el utilizado primero.
Distancia administrativa.
Tipo de rutas: A, S, D, C, b, o, r.
La herramienta Check Gateway continua
existiendo pero sólo comprueba por ICMP.

Ruteo estático
Ejemplo de configuración de un default gateway:
Si el gateway de cualquier ruta
es una IP tipo link-local, hay que
usar el identificador %interface.

Ruteo dinámico
El ruteo dinámico IPv6 se puede realizar con los
siguiente protocolos:
RIPng
OSPFv3
BGP4
Si bien no hay grandes cambios, es conveniente
considerar algunas modificaciones hechas en estos
protocolos.

OSPFv3
OSPFv3 utiliza casi los mismos mecanismos que
OSPFv2, pero se debe considerar como un nuevo
protocolo.
Mejoras importantes de OSPFv3:
Cabecera de protocolo es más simple.
Retira la autenticación, delegando esa responsabilidad a
la capa 3 (IPv6 con IPSec).
El procesamiento interno del protocolo se realiza por
enlace (interfaz) en vez de por subred.

Una configuración sencilla de un sólo area requiere:
1) Configurar router-id.
2) Agregar interfaces indicando el area .
3) Opciones de distribución (opcional).
OSPFv3

BGP4
Para configurar un par de peers BGP se requiere:
1) Configurar router-id.
2) Agregar al menos un peer, especificando IPv6 como
"address family".
3) Prefijos de red a distribuir (opcional).

¿Dudas?

Module 5Module 5
Firewall v6

Firewall v6
No hay más NAT!, ergo la solapa NAT y Service Ports
desaparece.
Filter y Mangle se conservan con sus mismos
principios de funcionamiento.
Hay soporte para listas de direcciones (Address List).
Connection Traking se mantiene sin cambios.
Por ahora no hay soporte para Layer 7.

Firewall v6 - Filter
Protejer el router o los dispositivos asociados de
accesos no autorizados.
Ejemplo a continuación:
Permitir sólo acceso WinBOX, ICMP y conexiones
establecidas al router desde la WAN.
Permitir conectividad TCP 443 a servidor con IP
2001:1291:200:8738:5054:ff:fe90:a5d1, denegar el
resto.

Firewall v6 - Filter
/ipv6 firewall filter
add action=accept chain=input protocol=icmpv6
add action=accept chain=input dst-port=8291 protocol=tcp
add action=accept chain=input connection-state=established
add action=drop chain=input
/ipv6 firewall filter
add action=accept chain=forward dst-port=443 protocol=tcp
dst-address=2001:1291:200:8738:5054:ff:fe90:a5d1/128
add action=drop chain=forward

Firewall v6 - Mangle
Permite identificar y marcar conexiones o paquetes
para su posterior procesamiento en Filter o en
Queues (Qos).
Ejemplo a continuación:
Marcar cualquier paquete originado en el servidor
2001:1291:200:8738:5054:ff:fe90:a5d1.

Firewall v6 - Mangle IPv6
/ipv6 firewall mangle
add action=mark-connection chain=forward
connection-mark=no-mark
new-connection-mark=conn_servidorv6 passthrough=no
src-address=2001:1291:200:8738:5054:ff:fe90:a5d1/128
add action=mark-packet chain=forward
connection-mark=conn_servidorv6
new-packet-mark=mp_servidorv6 passthrough=no

¿Dudas?

Module 6Module 6
Resumen final

IPv6 hoy

Para arrancar con IPv6
Tres opciones:
Contratar conexión a un ISP IPv6
Configurar un tunel IPv6
(con un "tunnel broker")
Hacer tu propia red privada IPv6
(con IPs "Unique Local" o "Link Local")

Para arrancar con IPv6
Mas sitios:
http://wiki.mikrotik.com/wiki/Manual:IPv6 (manual)
https://www.sixxs.net (tunnel broker)
https://tunnelbroker.net (tunnel broker)
http://portalipv6.lacnic.net (portal IPv6 de LACNIC)
http://www.subnetonline.com/pages/ipv6-network-tools.php
(herramientas IPv6)
http://www.worldipv6launch.org
(portal del día de lanzamiento de IPv6, que fue el 06/06/2012)

¡Muchas gracias!
/prozcenter/company/prozcenter /prozcenter

Seminario de IPv6 con MikroTik RouterOS

Más contenido relacionado

La actualidad más candente (20)

Destacado (20)

Similar a Seminario de IPv6 con MikroTik RouterOS (20)

Último (20)

Seminario de IPv6 con MikroTik RouterOS