Passer son réseau local en IPV6

[Kramlech]

Bonjour à tous

Il existe dans ce forum un tuto qui fait référence et que l'on conseille à toute nouvelle personne qui veut ouvrir son Nas sur l'extérieur : [TUTO] Sécuriser les accès à son nas

Dans cet excellent tuto, mais qui maintenant commence à dater (6 ans en informatique ça vaut bien 60 ans dans le vie courante 😁), @Fenrirnous déconseille de passer notre réseau local en IPV6, en raison de la faiblesse des box. Je pense que ces faiblesses commencent à se résorber, et qu'il peut devenir intéressant de basculer tous les appareils de notre réseau interne en IPV6 (plutôt que de désactiver l'IPV6 sur tous ces appareils).

Personnellement, j'ai un peu de mal à synthétiser toutes les nouvelles notions liées à l'IPV6 (plusieurs IP pour un appareil, adresses stateless, préfixe local, etc ...) et à vraiment comprendre tous les pièges qui peuvent se cacher la derrière ! Que tous mes appareils puissent être accéder depuis le Net, pourquoi pas, qu'ils soient en libre service, surement pas !!!

Et quand je vais dans la configuration IPV6 de ma box (une freebox POP pour ne pas la nommer), et que ça commence comme cela :

j'avoue que ça me donne plutôt envie de partir en courant 🏃‍♂️....

Bref, ceci se veut une bouteille à la mer pour inciter un des bons samaritains hyper compétant dans le domaine à nous concocter un petit tutoriel qui nous expliquerait toutes ces nouvelles notions, et qui nous guiderait pour la bonne gestion de notre réseau local en IPV6 (ou alors qui nous orienterait vers un tel tuto).

Voila, merci d'avance à celui qui voudra bien s'y lancer.

[PiwiLAbruti]

Le tutoriel sur la sécurité mériterait effectivement un rafraîchissement car, comme tu le dis, il y a eu des évolutions :

• La majorité des connexions des abonnés sont aujourd'hui en IPv6 natif. C'est à dire que le trafic IPv4 est encapsulé dans IPv6.
• Les opérateurs bloquant le trafic IPv6 entrant par défaut au niveau des box (à confirmer chez certains, je ne les connais pas toutes), l'utilisation d'IPv6 par défaut n'est plus un souci.
• La plupart des box ont un pare-feu IPv6 paramétrable (sauf chez Free qui ne propose qu'un gros interrupteur pour autoriser/interdire tout le trafic entrant).

Tu n'as rien à configurer sur ta box pour utiliser IPv6. À moins qu'il soit désactivé sur les clients, IPv6 est configuré par chacun de tes appareils.

[MilesTEG1]

@PiwiLAbruti
Il faut aussi considérer le cas où on a un routeur entre notre LAN et la box ^^ 
Que ce routeur soit en DMZ de la box, ou que la box soit mise en bridge.

[Kramlech]

Il y a 6 heures, PiwiLAbruti a dit :

(sauf chez Free qui ne propose qu'un gros interrupteur pour autoriser/interdire tout le trafic entrant)

Justement, je suis chez Free ...

[.Shad.]

IPv6 en local ça marche plutôt bien, j'ai quand même eu l'occasion de me rendre compte que beaucoup d'applications ne s'exposent pas forcément aux IPv6 mais seulement aux IPv4, ce qui a certaines conséquences fâcheuses sur la transmission d'IP source (X-Forward et X-Real-IP sur Nginx par exemple).

Du coup je garde toujours l'IPv6 sur mes périphériques, ils utilisent cette même connectivité en priorité pour la navigation externe, en interne pour accéder à mes services je reste sur de l'IPv4.

Comme l'a dit @PiwiLAbruti, c'est de plus en plus banalisé, cela dit il faut noter certaines variations d'un FAI à l'autre et certains comportements propres à l'IPv6 :

• Chez certains le préfixe ne varie pas, ce qui est plus commode pour les enregistrements dans une zone DNS.
• Chez d'autres il varie comme varie une IPv4 dynamique, et ce n'est pas parce que votre IPv4 est fixe que votre préfixe le sera également.
• Normalement, un périphérique a une adresse IPv6 fixe, elle est basée sur le préfixe du FAI et le mode d'adressage (SLAAC ou DHCPv6). Ils ont également des IPv6 temporaires, utilisés pour ne pas naviguer avec son IPv6 fixe, celle-ci est renouvelée au bout d'un certain temps.
• En IPv6, on a ce qu'on appelle le Router Advertisement (RA) qui n'existe pas en IPv4, il peut fonctionner indépendamment, en conjonction, ou en soumission au serveur DHCPv6.
• Android ne permet pas d'utiliser IPv6 si on utilise un adressage stateful (donc DHCPv6), il faut obligatoirement un adressage SLAAC (basé sur l'adresse MAC du périphérique)
• Dernière notion importante, et qui peut poser des problèmes de connectivité si mal appréhender, c'est le trafic ICMP. En IPv4 on peut s'en passer, car ce sont les routeurs qui gère la fragmentation des paquets. En IPv6, pour des raisons écologiques entre autres, ce sont les machines source et de destination qui s'en chargent. Et pour se faire, il faut jouer sur deux paramètres : l'ouverture au trafic ICMP (ping) et le réglage de la MTU.

Ca peut faire peur, mais ça demande surtout un peu de pratique et pas mal de lecture, pour ma part je ne me sens pas capable d'écrire un tutoriel à ce sujet, car je n'écris de tutoriel que sur ce que je considère maîtriser suffisamment, et ici ce n'est clairement pas le cas.

Pédagogiquement, je n'ai jamais trouvé un tutoriel reprenant tous les points fondamentaux, il faut prendre par-ci par-là ce qui nous semble utile.

Il m'arrive fréquemment de rouvrir ce livre, qui ne rentre pas énormément dans les détails mais qui a l'avantage d'être plutôt bien pensé et de donner des bases solides, notamment sur l'IPv6 :

https://www.amazon.fr/Réseaux-informatiques-fondamentales-Architectures-Virtualisation/dp/2409035175/

[PiwiLAbruti]

Il y a 2 heures, .Shad. a dit :

Chez d'autres il varie comme varie une IPv4 dynamique, et ce n'est pas parce que votre IPv4 est fixe que votre préfixe le sera également.

Intéressant. Chez Free et Orange le préfixe IPv6 ne varie pas.

Tu sais chez quels opérateurs il varie ?

[.Shad.]

En Belgique j'ai eu le cas chez Proximus, mais il a changé au bout de 8 mois, donc ce n'est pas handicapant non plus.
En France je ne sais pas, possible qu'il ne change jamais. 🙂 

[PiwiLAbruti]

Chez Free, par exemple, elle change lors du passage à la xDSL > fibre. Mais sinon, elle ne change pas.

Chez Proximus, il est possible que ça vienne d'une migration d'infrastructure. Auquel ça ne devrait se produire qu'une seule fois.

[.Shad.]

C'est bien possible, car j'ai eu des grosses coupures à cette période (alors que ça n'arrive jamais), et il y a eu ensuite des pertes conséquentes de débit que la venue d'un technicien a résolu. Depuis, plus de changement de préfixe.