Microsoft breidt 464XLAT-ondersteuning in Windows 11 uit naar vaste netwerken

Nieuwe fase in overgang van IPv4 naar IPv6 vraagt om specifieke transitiemechanismen

Het Microsoft-logo op het Franse hoofdkantoor van Microsoft in Issy-les-Moulineaux

Microsoft heeft aangekondigd de ondersteuning voor het 464XLAT-transitiemechanisme in Windows 11 uit te breiden. Waar Windows 11 nu alleen CLAT ondersteunt voor mobiele netwerken, komt deze mogelijkheid in een toekomstige versie ook voor andere netwerkinterfaces beschikbaar. Dat maakt het straks mogelijk om 464XLAT ook op vaste netwerken in te schakelen.

Generieke ondersteuning van 464XLAT is belangrijk nu we een cruciaal kantelpunt in de overgang van IPv4 naar IPv6 gepasseerd lijken te zijn. Na het passeren van Piek-IPv4 moeten we namelijk ook een ander type transitiemechanisme inzetten. Voorheen namen we IPv4 als startpunt en zetten we IPv6 daarop of daarnaast. Die eerste generatie transitiemechanismen moet je nu niet meer inzetten. Inmiddels kwalificeren we deze dan ook als legacy.

Transitiemechanismen inclusief legacy

Inmiddels moet IPv6 uitgangspunt zijn, waarbij de toegang tot IPv4-only hosts nu als dienst op die IPv6-basis wordt gezet (IPv4-as-a-Service). Nemen we daarbij ook de veiligheidsadviezen van de NSA mee, dan blijven voor accessnetwerken alleen de mechanismen NAT64, DNS64 en 464XLAT over.

Transitiemechanismen

NAT64, DNS64 en 464XLAT

NAT64 is een NAT-technologie waarmee IPv6-only clients achter een NAT64-gateway toch met IPv4-only systemen op internet kunnen communiceren. De clients achter de gateway gebruiken daarvoor een speciale IPv6-prefix die gecombineerd wordt met het IPv4 destination-adres. Deze pakketten worden intern naar de NAT64-gateway gerouteerd, die vervolgens voor de client een IPv4-verbinding naar de buitenwereld opzet.

DNS64 is een aanvulling op het NAT64-mechanisme. Ontvangt een cachende resolver voorzien van DNS64-ondersteuning een verzoek om AAAA-records voor een domeinnaam waarvoor alleen A-records beschikbaar zijn, dan creëert deze zelf een (synthetisch) AAAA-record (set) voor de NAT64-configuratie. Deze combinatie van NAT64 en DNS64 levert een compleet transitiemechanisme op waarvoor geen wijzigingen aan de individuele IPv6-only clients meer nodig zijn.

464XLAT tenslotte is een variatie hierop waarbij het samenstellen van het NAT64 destination-adres door de CLAT-functie in de netwerk-stack op de client wordt uitgevoerd. Applicaties zien daar dus zowel een IPv6- als een IPv4-interface (vergelijk dual-stack), waardoor 464XLAT ook werkt met protocollen die IPv4 literals bevatten.

Hoewel een DNS64-server voor 464XLAT niet per se nodig is, kan deze wel gebruikt blijven worden voor verkeer (dat wil zeggen: applicaties) dat gegarandeerd geen literals bevat.

Voordeel van 464XLAT is dat de client geen (routeerbaar) IPv4-adres meer nodig heeft, terwijl IPv4 literals gewoon blijven werken. Dat laatste is cruciaal voor applicaties die geen AAAA-queries doen [Signal desktop].

464XLAT op vaste netwerken

464XLAT wordt traditioneel toegepast in mobiele netwerken omdat deze techniek de aansluiting van grote aantallen eindgebruikers mogelijk maakt. Maar zoals hierboven uitgelegd moet dit transitiemechanisme inmiddels ook op vaste netwerken de standaard zijn. Richtlijnen voor de toepassing van NAT64, DNS64 en 464XLAT in operator- en enterprise-netwerken vind je in RFC 8683.

De aankondiging van Microsoft betreft de implementatie van de CLAT-functie in de netwerk-stack voor vaste aansluitingen, tezamen met de bijbehorende opties in de stub resolver en DHCP-client.

Apple's desktop-besturingssysteem macOS ondersteunt 464XLAT al langer [1]. En voor Linux is er de clatd daemon.

Uitgebreide informatie over NAT64, DNS64 en 464XLAT vind je in onze IPv6 FAQ.