Summary

  • 2 ноября IESG открыл последний сбор замечаний по draft-ietf-v6ops-nat64-wkp-1918-10. Ответы принимаются до 23 ноября.
  • Проект разрешает использовать 64:ff9b::/96 для частных и общих IPv4-адресов. В редакции 10 появился совет показывать исходный режим обработки таких адресов на управляемом трансляторе.

Когда решение принимал сам стандарт

RFC 6052 запрещает помещать неглобальный IPv4-адрес под общеизвестный префикс NAT64 64:ff9b::/96. Получив такой пакет, транслятор обязан его отбросить. Для сети, где узлы работают только с IPv6, а внутренний сервис остался на IPv4, это означает отдельную схему доступа.

Объявление IETF от 2 ноября предлагает обсудить другую схему. Редакция 10 допускает под тем же префиксом частные адреса RFC 1918 и общее адресное пространство RFC 6598. Неуправляемый клиентский CLAT должен транслировать их по умолчанию. Управляемый PLAT должен транслировать, если его конфигурация не предписывает иного, и обязан иметь возможность отключить эту обработку. Универсальный запрет превращается в локальное решение о маршруте и фильтре.

Авторы приводят техническую причину: распространенные механизмы обнаружения префикса NAT64 не сообщают клиенту, какую часть IPv4-адресов обслуживает каждый найденный префикс. При двух префиксах клиент может получить два варианта даже для публичного адреса. Проект также отмечает разное поведение действующих CLAT: одни отбрасывают пакеты, другие переводят их. Сколько устройств относится к каждой группе, опубликованный текст не сообщает.

Что изменилось между редакциями 09 и 10

Редакция 09 уже содержала разрешение и выключатель для PLAT. Новая редакция добавила раздел 4.3: управляемым трансляторам рекомендуется открывать свой исходный режим для неглобальных адресов. Оператору предлагается проверить соответствие фактической обработки задуманной политике через явную настройку или наблюдение. Для передачи трафика понадобятся и подходящие правила маршрутизации.

Раздел о безопасности одновременно защищает установленное оборудование от тихой смены поведения. Если действующий PLAT соблюдает RFC 6052 и по умолчанию отбрасывает пакеты, обновление не должно само менять этот режим. В одной сети могут оказаться старые и новые устройства, принимающие противоположные решения для одного адреса. Надпись «NAT64» на обоих корпусах этого различия не покажет.

Проверяемая запись должна содержать версию ПО, заводской режим, заданное исключение, маршрут к частному узлу, ACL и результат тестового пакета. Для конкретной сети таких конфигураций и результатов в доступных источниках нет; они определили бы реальный путь к ее внутренним сервисам.

Источники