Felipe Ernesto Jara Saba

felipejara@gmail.com
Agenda
 Reseña de IPv6
 Análisis Red UTFSM
 Implementación Red IPv6
 Soporte IPv6 en sistemas operativos
 Rendimiento
 Seguridad
 Conclusiones
Características IPv6
 Internet Protocol versión 6
 Evolución, no revolución

 Mayor número de direcciones

 Direcciones de 128[bit] (32[bit] en Ipv4)

 Direccionamiento jerárquico
 Disminuye tamaño tablas enrutamiento

 Nuevo formato cabecera

 Aumenta posibilidades de expansión

 Mejor interacción con capa 2

 Se reemplaza ARP por Protocolo descubrimiento vecinos.
Direcciones IPv6
 8 campos de 16 [bit].
 Representación hexadecimal
 Separados por “:”

 Notación CIDR (dirección /prefijo)

2800:270:0000:0000:0Cd3:00a3:34df:2132 /64

2800:270::cd3:a3:34df:2132 /64

 Todas las redes IPv6 son de tamaño fijo (/64)

 Modelo de direccionamiento IPv6
 Una interfaz puede tener varias direcciones asignadas

 Tipos de direcciones: Unicast, Multicast y Anycast

 Las direcciones Unicast tienen un ámbito asociado

 Locales al enlace
 Locales únicas Globales Locales únicas Locales al
 Globales enlace

 3 formas de configurar direcciones

 Manualmente
 DHCPv6
 Configuración automática
 Direcciones Unicast Globales
 ¿Como se obtiene un prefijo?

23 [bit] 9 [bit] 16 [bit] 16 [bit] 64 [bit]

RIR ISP Sitio Red ID dispositivo

≈65.000
IPv6 en Chile
 4 instituciones están conectadas directamente a Internet
mediante IPv6
 Reuna, NIC, Netup y GTD

 Método tradicional de implementación

 Redes de pruebas IPv6 basadas en túneles
 Uso de “routers” y “firewalls” basados en Linux, FreeBSD.

 Objetivo
 Implementación de una red IPv6 nativa @UTFSM
 Metodología “dual-stack”
 Conexión directa a Internet IPv6
 Verificar grado de avance en IPv6
 Análisis red UTFSM
Red Institucional UTFSM
Año 2008
Análisis red UTFSM
 ¿Qué significa “Soporte IPv6”?

Rutas Estáticas IPv6 MiB MPLS sobre IPv6

InterVlan Routing ICMPv6 DHCPv6
BGP4-MP SNMP sobre IPv6 IPSec sobre IPv6
EIGRP for IPv6 VPN IPv6 MIPv6

RIPng Multicast IPv6 OSPFv3

HSRP Ipv6 DNS sobre IPv6 CDP IPv6

Radius v6 IPv6 NDP ACL para IPv6
Análisis red UTFSM
 Evaluación de equipos
Equipo Modelo Cisco Juniper
Border-gw Cisco 7204VXR - -
Firewall-primary PIX 525 ASA 5520 SSG-550M
Campus-gw Catalyst 3550 Catalyst 3750G EX3200-48T
fibra-gw
sw-border Catalyst 2950T Cisco 2960G EX3200-24T
sw-inside

Aspecto Cisco Juniper

Sistema Operativo 0 1
IPv6 1 0
Soporte directo/indirecto 1 0
Total 2 1
Red IPv6 UTFSM

A
A. Enrutamiento Externo
• BGP4-MP (Multihoming)

B. Listas de acceso IPv6

B

C. Enrutamiento Interno
C • InterVLAN Routing

D D. Asignación de direcciones
• Servidores: Manualmente
• Usuarios: Configuración automática
Direccionamiento IPv6 UTFSM
 Espacio de direcciones USM
 2800:270::/32
 Delegado directamente por LACNIC
 Permite multihoming

 UTFSM actúa como “ISP” de sus unidades y

departamentos

 Nº IP USM
 Por m²: 2,09x1023
 Por persona: 5,25x1024
 Direccionamiento IPv6 UTFSM
/64
/48
/40
/32

32 [bit] 8[bit] 8[bit] 16[bit] 64[bit]

Prefijo UTFSM Campus Unidad Red Dispositivo

2800:270 : 00 01 : 0001 : FA23:34ED:2D4F:0001

Campus Identificador Unidad / Departamento Identificador
Casa Central 00 DCSC 00
Sede Viña del Mar 01 Electrónica 01
Sede Concepción 02 Informática 02

• Cada unidad es un sitio (/48)con 65536 redes de 264

dispositivos
•≈ 3,33x1014 veces Internet IPv4
 Soporte IPv6 en sistemas operativos

Sistema Operativo ¿Soporta IPv6? Primera versión con soporte

Windows Vista / 7 Sí
Windows XP Parcialmente
Windows 95/98/NT No
Linux Sí Desde kernel 2.2
FreeBSD Sí Desde versión 4
Solaris Sí Desde Versión 8
MacOSX Sí Desde versión 10.2
Windows Mobile (CE) Sí Desde versión 2003
Iphone OS No
Symbian OS Sí Desde versión 8
Soporte IPv6 en servicios
 Servidor FreeBSD
 Apache, Bind, SSH ,Mysql, SendMail ✓
 Configuración trivial.

 Monitoreo de disponibilidad
 Nagios, MRTG y Net-SNMP ✓
 Monitoreo de tráfico IPv6 X
Rendimiento IPv6
 Aumento tamaño cabecera
 Menos espacio para información útil en un paquete
IPv4 IPv6
Tamaño Paquete 1500 1500
Cabecera 20 40
Datos 1480 1460
Overhead 1,3% 2,6%

 Direcciones más largas, cabeceras adicionales, falta

de optimización
 Mayor uso de CPU en equipos
Rendimiento IPv6
 Servidor FTP
 Transmisión archivo 734 [Mbyte]

IPv4 IPv6 Variación

Información TX 765.4 [Mbyte] 774.1 [Mbyte] +1.13%
Paquetes TX 511067 527809 +3.23 %
Rendimiento IPv6
 Servidor Web
 Atención de 100.000 solicitudes

IPv4 IPv6 Variación

Tiempo total [s] 23.3 28.9 +24%
Solicitudes/segundo atendidas 4278.3 3448.3 -19.4%

Tiempo medio por solicitud [ms] 2.337 2.9 +24%

Promedio uso CPU servidor [%] 84.9% 89.9% +5.8

Seguridad en IPv6
 Mejoras respecto a IPv4
 Facilita
implementación de IPSec
 Escaneo de direcciones
 Escanear una red /24 en IPv4: 10[s]
 Escanear una red /64 en IPv6: 500.000.000 años

 Nuevas amenazas
 Protocolo de Descubrimiento de Vecinos (NDP)
 Indispensable en redes IPv6
 No posee autenticación
 Mensajes son fáciles de falsificar
 Seguridad en IPv6
 Debilidades del protocolo NDP
Característica
Autoconfiguración /
Resolución de direcciones
Detección direcciones duplicadas
Redirección
Problema
Atacante puede funcionar como “router” de
alta prioridad en un enlace
Denegación de servicio IPv6.
Modificar tablas de rutas de nodos

 Se armó un escenario de pruebas de seguridad

 Ataques son posibles (y reales!)
 The Hacker´s Choice IPv6 Atack Toolkit.
 Afectan a la mayoría de los sistemas operativos.
 Detección direcciones duplicadas

Solicitud de Vecino (NS)

Origen: PC 1
Destino: ff02::1 Anuncio de Vecino (NA)
Dirección a consultar: 2800:270::1 Origen: 2800:270::1
Destino: PC 1
Contenido: Dir. MAC falsa
Seguridad en IPv6
 Soluciones Evaluadas
 Seguridad en switches y routers
 No disponible actualmente.
 Secure Neighbor Discovery (SeND)
 Escasaimplementación en sistemas operativos.
 Mayor carga ofrecida a CPU.

 Microsegmentación

 Sistemas de monitoreo
 NDPMON: Única alternativa para detectar ataques.
 Debe estar presente en cada VLAN.
Conclusiones
 UTFSM cuenta con una red IPv6 (/32) nativa
 Próxima etapa: Acceso de campus & red WIFI.

 IPv6 ya es un protocolo autosuficiente.

 Soporte IPv6 en equipos y software
 Acceso directo a Internet.

 Existen áreas que requieren atención

 Monitoreo de tráfico
 Rendimiento general de IPv6
Conclusiones
 La seguridad en IPv6 presenta desafíos
 Ya se cuenta con listas de acceso IPV6.
 Ataques protocolo NDP son un serio riesgo en redes de
acceso público.
 La red implementada abre las puertas a futuros
trabajos
 MovilidadIPv6
 Calidad de servicio IPv6