运营商改造为 IPoE 的优势与劣势以及 IPv6 的安全性问题

[oblivion]

很高兴能这么快看到三家运营商共同在 IPoE 改造方向上的进展，

相关贴
江苏电信： /t/875362
江苏联通： /t/875742
浙江移动： /t/875467

PPPoE 什么时候被淘汰： /t/859349
运营商架构改变： /t/802962

在各个回帖中，都对 IPoE 的优势劣势意见不一，
看下来大概的讨论方向

认为优势的
1.IPoE 性能更好，真正原生以太网性能，对运营商对用户都可以降低成本，不再需要为 PPPoE 的低性能买单，跑高带宽不再需要投入更好的硬件，软路由也不需要很高配置，任意硬件都可以双向满速传输。
2.IPoE 不存在 MTU 问题。
3.IPoE 目前三家都是静态分配地址和 prefix ，DDNS 需求或许可以降低？

认为劣势的：
1.运营商加料，让协议不通用。
2.都习惯了 PPPoE ，老设备改造很麻烦。
3.担心丢失公网 IP 。
4.担心运营商限制桥接。
5.影响自己跑 PCDN 。

另外改造 IPv6 的安全性问题，
目前看到电信和联通是光猫默认阻断入站连接，
移动是默认开放全部连接，直接裸奔
在这个默认配置上的争议也很大，有人需要放通，为此不惜折腾桥接，有人要阻断，要安全，
而且目前很多人都是直接关闭光猫的阻断或者桥接，并且没有配置任何终端防护措施。

相关贴：
/t/875719
/t/875489
/t/875570
/t/875608


问题：
1.运营商选择 IPoE 的路线正确吗，这个是未来趋势吗，以及为什么运营商会选择在这个时间改造呢？
2.仅仅是区域性改造，还是有计划全国都要改造呢？
3.IPoE 静态分配地址后是否会产生安全性相关的问题，比如内网设备全部裸奔的情况，是选择运营商在网关默认阻断呢还是选择用户自己为每个设备配置防火墙呢？

[Marionic0723]

@oblivion 不过我也挺好奇 IPoE 到底是怎么把 v4 带过来的，看前面貌似说的底层协议都是纯 v6.类似于 he.net 的那种隧道吗？我那阿里云就没有 v6 地址，还得在家开 VPN 服务，专门做一个纯 ipv6 接口，下发 ipv6.客户端使用 v4 单栈连上家里的服务器，然后远程拿 v6 过去用。
公网 IP 的分配和这个原理一样，只不过是运营商网关不做 NAT 了吧？
我在哪里看的说有些公司把公网地址当内网用，那这些内网设备需要连公网，是否可以关闭 v4 的 NAT ？

[oblivion]

@xxfye #60 是的，IPoE 首当其冲的优势就是对性能要求更低，仅仅是在 DHCP 过程中认证，认证通过后完全就是正常的三层性能，真正的原生以太网，不需要额外设计 PPPoE 硬件加速器，也不需要提升硬件配置加快 PPPoE 的性能，因为 PPPoE 大部分都是只吃单核性能的，也无法进行多核优化。而 IPoE 就简单了，完全可以节省出处理 PPPoE 的资源来处理其他任务，对硬件性能的需求也会降低。

[wwbfred]

@oblivion 歪了就歪了呗？比萨斜塔也没见给拆了啊。

[oblivion]

@Marionic0723 #61 IPoE 其实就是 DHCP+认证，电信是直接正常 DHCP 分配 IPv4 和 IPv6 的，只不过移动和联通选了抛弃 IPv4 的方案，接入网只保留 IPv6 ，在家庭网关通过 4in6 隧道连接到一个统一的机房网关 NAT 出去。也就是对用户是透明无感知的，v4v6 都正常使用正常访问互联网。

[NXzCH8fP20468ML5]

@oblivion 其实影响真的不大，也就部分软路由爱好者开心了，
实际上硬路由的 NPU 不仅包括 PPPoE ，还有一些 v4/v6 NAT ，wifi 加速，硬件加密等林林总总一大堆，多出一点点芯片面积做 PPPoE 加速成本也不大。

[cest]

@xxfye #65 在乎的人不会用 stock firmware
而各种加速没驱动没文档，跟没有一样
很多加速也没用，複杂点就 fallback to cpu 了

[dreamage]

NAT4444 牛，居然还能这样实现

[Damn]

@wuosuper #42 “况且有公网 IP 的用户开端口袋需求是少之又少，开到同一个端口的情况更是少之又少，即便冲突了重新拨号换另一个共享 IP 再次冲突的可能性更是少之又少。”
感觉网络灵异事件突然间全都有解了。。。
还带来了连接数骤降的 debuff 。。
我好想说，想出这玩意的人烂腚眼啊。。

[jousca]

V 站一直以来流传的观点就是一定要路由器拨号，瞧不起光猫拨号……
哈哈哈哈。

认为光猫 NAT 效率低。 好的，运营商现在 NAT4444…… 你连提高效率的机会都没有了。

[Kowloon]

@fhbyljj
还有把教人光猫扔垃圾桶的，都是些什么乱七八糟的？

[BloodBlade]

有个问题想问下，担心 IPoE 丢失公网 IP 这一条，是因为 4in6 隧道技术所限无法分配公网 IP ，还是因为担心运营商会趁机收回？

[wuosuper]

@BloodBlade #71 两者都有，因为 4in6 限制接口地址只能是 192.0.0.2-192.0.0.6 ，所以不能直观的看到自己有没有公网 IP ，运营商具体要看配置方式。可以看下 op 的补充里面，有总结的三家运营商目前的情况。

[datou]

@jousca 我是单纯因为 IPv6 防火墙的问题推荐用路由器拨号，还得是能够设置 IPv6 防火墙的路由器

[buddha]

@oblivion 请问一下 现在我的联通是光猫桥接 软路由 Openwrt pppoe 拨号 拿到的公网 ip 然后软路由上开 vpn 那软路由下面的设备都无需配置访问 google.
如果以后改成了 IPoE 光猫无法桥接的话, 那上述这套还有效吗?

[Damn]

@jousca 自己控制网关可以做很多操作，比如 VPN ，跑一些脚本，自定义 DHCPv4/v6 ，屏蔽广告什么的，哪家的光猫也没可能开发 /开放这些功能。。我一直用的小水管，哪家的光猫性能都够用，但就是功能无法满足。。

[jousca]

@datou 我一直是光猫拨号（中移动家宽），路由器是 NETGEAR WNDR4700 ，也算老古董了。路由器支持 V6 透传。所以我客户机能拿到光猫分配的 V6 地址。 IPV4 NAT 是 FullCone 。所以移动最近给我换了最新的带审计的光猫之后，还是和以前一样，P2P 下载速度正常，IPV6 使用正常。

@Damn 光猫可以自定义 DHCP V6 ，我目前就是光猫上设置的 V6 DHCP 范围。我 PC 能长期固定分配使用一个 V6 地址。

[Damn]

@jousca 并不能实现个性化的配置，比如只给某(几)个设备分配 v6 ，或者根据 mac 地址或者 arch 分配不同的 dhcp option ，也就无法实现不同的设备不同的 dns 或网关，和网络启动。。
我目前的路由器上就跑了 VPN ，自己写的签到脚本，自己的设备通过 dhcp option 指向不同的 dns 屏蔽广告，手机同时指向不同网关实现富强，与家人的分开，家人的设备稳定优先。还有一个设备通过网络启动，这些都不是光猫能实现的。。

[Damn]

@jousca 光猫做路由，只能说是勉强实现了部分功能，远远达不到可用的地步。。

[jousca]

@Damn 我主路由 NETGEAR WNDR4700 ，光猫主要是配合运营商上端 BRAS 功能，比如话音功能，IPTV 功能。除非你弄个家宽只是上网，而且还是低速率的。

现在很多地方运营商 1000M 和 2000M 的家宽都必须光猫拨号才能达到速率。自己拨号会限制在 300M 。 未来会逐步收紧接入方式。建议你早点做打算。

[baobao1270]

新技术应用固然是好的，但是要看对谁有利、对谁有害。

感觉这东西其实有点像 AT&T 的 802.11x 认证，无论使用标准 IPoE 还是私有的，大方向是运营商收紧对设备控制，即“设备的控制权在运营商（光猫）”而不是“用户处”了。