运营商改造为 IPoE 的优势与劣势以及 IPv6 的安全性问题

[oblivion]

很高兴能这么快看到三家运营商共同在 IPoE 改造方向上的进展，

相关贴
江苏电信： /t/875362
江苏联通： /t/875742
浙江移动： /t/875467

PPPoE 什么时候被淘汰： /t/859349
运营商架构改变： /t/802962

在各个回帖中，都对 IPoE 的优势劣势意见不一，
看下来大概的讨论方向

认为优势的
1.IPoE 性能更好，真正原生以太网性能，对运营商对用户都可以降低成本，不再需要为 PPPoE 的低性能买单，跑高带宽不再需要投入更好的硬件，软路由也不需要很高配置，任意硬件都可以双向满速传输。
2.IPoE 不存在 MTU 问题。
3.IPoE 目前三家都是静态分配地址和 prefix ，DDNS 需求或许可以降低？

认为劣势的：
1.运营商加料，让协议不通用。
2.都习惯了 PPPoE ，老设备改造很麻烦。
3.担心丢失公网 IP 。
4.担心运营商限制桥接。
5.影响自己跑 PCDN 。

另外改造 IPv6 的安全性问题，
目前看到电信和联通是光猫默认阻断入站连接，
移动是默认开放全部连接，直接裸奔
在这个默认配置上的争议也很大，有人需要放通，为此不惜折腾桥接，有人要阻断，要安全，
而且目前很多人都是直接关闭光猫的阻断或者桥接，并且没有配置任何终端防护措施。

相关贴：
/t/875719
/t/875489
/t/875570
/t/875608


问题：
1.运营商选择 IPoE 的路线正确吗，这个是未来趋势吗，以及为什么运营商会选择在这个时间改造呢？
2.仅仅是区域性改造，还是有计划全国都要改造呢？
3.IPoE 静态分配地址后是否会产生安全性相关的问题，比如内网设备全部裸奔的情况，是选择运营商在网关默认阻断呢还是选择用户自己为每个设备配置防火墙呢？

[acbot]

@lns103
@cloudsigma2022

看来我们都有着同样的疑问。 在操作系统层面多个服务其实可以共享端口就是不知道这个技术是如何共享端口的！

[wuosuper]

@acbot @cloudsigma2022 @lns103 这套架构在浙江已经上线了两年之久了，如果不是有人把这张图发出来，不会有人感觉的到自己是假的 IP ，入向连接也可以正常共享没有问题这是某厂的专利，文档中提到了你们所疑惑的情况，比如 10 个用户在共享 1.2.3.4 ，你访问 1.2.3.4:1688 ，实际网关是会在这 10 个用户中广播*:1688 的端口请求包，以 10 个用户中第一个响应的用户作为目标建立 DSTNAT ，两个以上用户同时开放端口文档中也提到了会有问题，另外用户也可以在光猫中配置端口映射，光猫会采用 PCP 协议通知网关预占端口。况且有公网 IP 的用户开端口袋需求是少之又少，开到同一个端口的情况更是少之又少，即便冲突了重新拨号换另一个共享 IP 再次冲突的可能性更是少之又少。所以既然运营商选了这套模式，厂商也可以去申请专利，就不要质疑它的合理性以及合不合逻辑了，更大的概率是你没想通，非标架构一定会在某些地方投机取巧，只是自己完全想不通而已。

[wuosuper]

另外这贴是讨论 IPoE 的，我作为发联通贴的也很想在这里讨论，希望还是不要讨论假公网 IP 了，完全可以作为新话题新开一贴讨论。

[terrancesiu]

上面说十几个家庭共享一个 v4 舒服，我们湖南联通，每户 1024 个连接数，64 个家庭共享一个公网 v4 。

[cloudsigma2022]

@wuosuper #42 整天瞎 jb 自己乱搞，搞小聪明，就这还专利？还想重塑互联网体系，还想搞国际标准？

[cloudsigma2022]

@acbot 问题是网络架构是三层的，不存在 7 层应用层，到了应用层，有 n 种解决办法。除非他是软件定义网络。

[acbot]

@cloudsigma2022 对嘛，所以我也有同样的疑问！

[lovelylain]

@onion83 666 ，这个假公网相比没有公网 ip
的有缺点吗？

[zayia]

@icegaze 这样以来，家里搭建的云服务就彻底 g 了啊

[jujusama]

不能桥接就不能多拨咯！

[wuosuper]

@zayia @acbot @cloudsigma2022 @icegaze
不论原理如何，但事实上就是浙江现在已有的假公网用户，开放的服务 https/anyconnect/ssh/rdp 都可以正常被访问，bt/pt 公网连接不受影响，nat 类型也不受影响，都与真正的公网一致，唯一能发现是假公网的破绽是自己拨号已经掉了，但是 ping 上一个公网 IP 依然是通的，但后期其他地区运营商在部署时已经默认禁止 ping 了

[acbot]

@wuosuper 破绽多，端口开放就是一个最大的破绽。 你说的禁止 ping 又是一个。

[cloudsigma2022]

@wuosuper 用 工具扫下，就知道开了多少个端口。比对下，哪些不是自己的。就能发现是不是 fake public ip

[abuabu]

我觉得这个技术有意思呀。不要执着于假这个词，回源本真，需要公网 ip 的作用不就是为了外网能够访问吗。

一个公网 ip 可以复用多个端口，免得一个人只需要一个 8080 却导致六万多个端口浪费的情况。有些云主机限定你只能使用某个范围的端口是不是也用的这个技术呀？

[xxfye]

我觉得想出 NAT4444 这个技术的人真牛逼！
不过话说回来，不如大力推广 IPv6 ，争取 IPv4 退网。

[Marionic0723]

@wuosuper
@terrancesiu
@cloudsigma2022
@acbot
@jobmailcn
@abuabu
@lns103
@fhbyljj

假公网 IP 的话题移步这里吧 https://www.v2ex.com/t/875867 楼主的贴子一开始是说 IPoE 的，咱们好像都偏题了。

[oblivion]

@Marionic0723 #56 感谢，我也不知道怎么就歪楼了，正经的 IPoE 贴被歪成假公网，而且现在到处群里谣言满天飞，我也 Append 了一些说明。

[wwbfred]

NAT444 这样的公网 IP 是有安全隐患的。
而且 UDP 怎么办？ UDP 无连接，先别说开服务了，两个人打一个游戏，恰好用到同一个客户端口，直接凉凉。

[oblivion]

@wwbfred
@xxfye
@abuabu
@cloudsigma2022
实际上本贴的 IPoE 与假公网无任何关联，
莫名其妙就歪楼了，辛苦大家去另一帖讨论，谢谢 /t/875867 。

[xxfye]

回归正题，IPoE 一个好处可能是一些软路由的 WAN 流量更快了吧。
之前看见 LEAN 大在群里抱怨 PPPOE 包是加密的，无法利用 zero-copy 技术加快转发性能，导致 R68S WAN 和 LAN 难以跑满 2.5G 带宽，不知道后面解决了没有。