ipv6 - questions de debutant...

MaXX wrote:

Bonjour,

je travaille avec des machines freebsd et toutes les cartes réseaux ont
une
ipv6 attribuée j'ai donc décidé de tenter le coup...
j'aimerai savoir à quoi servent les adresses link-local fe80:... (entre
autres). Pour les site-local fec0:... je crois que ça correspond (pas
taper) aux ip privées (10.x.x.x; 192.168.x.x, la derniere je sais plus).

J'ai configuré mes machines en changeant simplement le fe80 en fec0 et en
laissant le reste tel quel, ça fonctionne mais c'est comme ça qu'il faut
faire??? Ca ne doit pas être "dangereux" vu que si j'ai bien compris ces
adresses ne sont pas routables...
Pourquoi << dangereux >> ?

(Je n'ai pas vraiment trouvé de documents qui expliquait tout ça de façon
simple, entre les RFC, les pubs et les tutoriaux qui se contente de dire
faire ça puis ça...)
Il y a un excellent ouvrage chez O'Reilly sur le sujet IPv6.

Ce qu'il faut savoir, en bref, c'est que IPv6 est routable (pourquoi ne le
serait-il pas ?).
Que pour arriver à te contacter en IPv6 il faudrait :
1. que tu disposes d'une adresse IPv6 extérieure ;
2. qu'elle soit sur un plan d'adresses public ;
3. qu'elle soit joignable (pas de filtrage).
Tant que tu n'as pas 1, tu ne risques pas d'avoir 2 et encore moins 3.

Pour avoir 1 et 2, 2 solutions :
soit ton fournisseur d'accès est IPv6, c'est le cas de Nérim depuis 2 ans ;
soit tu établis un tunnel IPv6/IPv4 avec un fournisseur IPv6 de la planète
comme freenet ou NGSoftware en France.

Ensuite, il existe 2 plans d'adressage public.
Le premier à avoir émergé est celui de la recherche, le fameux 3ffe::/16
du 6bone. Progressivement le 6bone migre vers un plan d'adressage commercial
dont le préfixe est 2001://16.
On se retrouve en IPv6 public comme au bon vieux temps de l'IPv4, il y a 11
ans et davantage : on a des IP gratos. Simplement là où on pouvait disposer
de 256 adresses IPv4 gratuitement on en dispose aujourd'hui de 2^72 fois
plus étant donné qu'on récupère un ::/48.
(ben oui il faut se faire à la notation, ça je ne peux pas t'aider dans le
cadre de ce ng).
Enauuurme non ?

db
--
email : usenet blas net

MaXX wrote:

Bonjour,

je travaille avec des machines freebsd et toutes les cartes réseaux ont
une
ipv6 attribuée j'ai donc décidé de tenter le coup...
j'aimerai savoir à quoi servent les adresses link-local fe80:... (entre
autres). Pour les site-local fec0:... je crois que ça correspond (pas
taper) aux ip privées (10.x.x.x; 192.168.x.x, la derniere je sais plus).

J'ai configuré mes machines en changeant simplement le fe80 en fec0 et en
laissant le reste tel quel, ça fonctionne mais c'est comme ça qu'il faut
faire??? Ca ne doit pas être "dangereux" vu que si j'ai bien compris ces
adresses ne sont pas routables...
Pourquoi << dangereux >> ?

(Je n'ai pas vraiment trouvé de documents qui expliquait tout ça de façon
simple, entre les RFC, les pubs et les tutoriaux qui se contente de dire
faire ça puis ça...)
Il y a un excellent ouvrage chez O'Reilly sur le sujet IPv6.

Ce qu'il faut savoir, en bref, c'est que IPv6 est routable (pourquoi ne le
serait-il pas ?).
Que pour arriver à te contacter en IPv6 il faudrait :
1. que tu disposes d'une adresse IPv6 extérieure ;
2. qu'elle soit sur un plan d'adresses public ;
3. qu'elle soit joignable (pas de filtrage).
Tant que tu n'as pas 1, tu ne risques pas d'avoir 2 et encore moins 3.

Pour avoir 1 et 2, 2 solutions :
soit ton fournisseur d'accès est IPv6, c'est le cas de Nérim depuis 2 ans ;
soit tu établis un tunnel IPv6/IPv4 avec un fournisseur IPv6 de la planète
comme freenet ou NGSoftware en France.

Ensuite, il existe 2 plans d'adressage publics.
Le premier à avoir émergé est celui de la recherche, le fameux 3ffe::/16
du 6bone. Progressivement les membre du 6bone s'en détachent et migrent vers
un plan d'adressage commercial dont le préfixe est 2001://16.
On se retrouve en IPv6 public comme au bon vieux temps de l'IPv4 (rock 'n
roll), il y a 11
ans et davantage : on a des IP gratos. Simplement là où on pouvait disposer
de 256 adresses IPv4 gratuitement on en dispose aujourd'hui de 2^72 fois
plus étant donné qu'on récupère un ::/48.
(ben oui il faut se faire à la notation, ça je ne peux pas t'aider dans le
cadre de ce ng).
Enauuurme non ?

db
--
email : usenet blas net

Salut,

je travaille avec des machines freebsd et toutes les cartes réseaux ont une
ipv6 attribuée j'ai donc décidé de tenter le coup...
j'aimerai savoir à quoi servent les adresses link-local fe80:... (entre
autres).

Comme leur nom l'indique, ces adresses n'ont de signification que sur un
lien donné, car la même adresse peut exister sur plusieurs liens. Ainsi,
pour lancer un ping IPv6 sur une adresse link-local, il est nécessaire
de spécifier l'interface de sortie.
Elle ne sont évidemment pas routables puisque cantonnées à un lien. On
s'en sert pour la communication directe entre machines sur un même lien,
entre autres pour l'autoconfiguration, la recherche de routeurs, et même
comme remplacement d'ARP il me semble...

Pour les site-local fec0:... je crois que ça correspond (pas
taper) aux ip privées (10.x.x.x; 192.168.x.x, la derniere je sais plus).

En effet. Ces adresses sont routables au sein du réseau d'une même
organisation mais pas à l'extérieur. Mais il me semble que les adresses
site-local ont été déclarées obsolètes et qu'il y a un projet pour les
remplacer par des blocs réservés pris sur les adresses globales,
toujours non routables. L'allocation de ces blocs peut être aléatoire ou
centralisée. Dans les deux cas le but est que deux organisations
n'utilisent pas le même bloc, afin de faciliter d'éventuelles liaisons
privées entre réseaux. Je ne sais plus où j'avais vu ça.

J'ai configuré mes machines en changeant simplement le fe80 en fec0 et en
laissant le reste tel quel, ça fonctionne mais c'est comme ça qu'il faut
faire???

Ce n'est pas une bonne idée de remplacer les adresses link-local par des
site-local, une interface IPv6 *doit* avoir une adresse link-local. On
peut par contre affecter plusieurs adresses IPv6 à une interface. Une
interface peut donc avoir une adresse link-local, une adresse site-local
et une (ou plusieurs) adresse globale.

Ca ne doit pas être "dangereux" vu que si j'ai bien compris ces
adresses ne sont pas routables...

Ça dépend. A quoi est relié ton réseau, et quels sont les services
accessibles en IPv6 sur tes machines ? Est-il isolé ou a-t-il une
connectivité IPv6 native ou par tunnel avec l'extérieur ? Cf. la réponse
de Dominique. Pour avoir une connectivité avec l'extérieur, il faut une
adresse globale.

bonjour,
Pascal@plouf wrote:

Salut,

Merci pour ta réponse,

J'ai configuré mes machines en changeant simplement le fe80 en fec0 et en
laissant le reste tel quel, ça fonctionne mais c'est comme ça qu'il faut
faire???

Ce n'est pas une bonne idée de remplacer les adresses link-local par des
site-local, une interface IPv6 *doit* avoir une adresse link-local. On
peut par contre affecter plusieurs adresses IPv6 à une interface. Une
interface peut donc avoir une adresse link-local, une adresse site-local
et une (ou plusieurs) adresse globale.
Je me suis mal exprimé: j'ai ajouté un alias et ça donne ça

inet6 fe80::240:f4ff:fe64:4da%vr0 prefixlen 64 scopeid 0x1
inet6 fec0::240:f4ff:fe64:4da prefixlen 64

idem sur un autre Pc et la comm passe

Ca ne doit pas être "dangereux" vu que si j'ai bien compris ces
adresses ne sont pas routables...

Ça dépend. A quoi est relié ton réseau, et quels sont les services
accessibles en IPv6 sur tes machines ? Est-il isolé ou a-t-il une
connectivité IPv6 native ou par tunnel avec l'extérieur ? Cf. la réponse
de Dominique. Pour avoir une connectivité avec l'extérieur, il faut une
adresse globale.
je me suis inscrit chez freenet6 pour tester, l'adresse qui m'a été donnée

est du genre : inet6 2001:5c0:... prefixlen 64
et je vois bien la 'tortue dansante' de www.kame.net
là ou j'ai un peu peur c'est d'activer les alias inet6 du reste du réseau...
je fais comment alors?
je garde le prefix et je met ce que je veux derrière??? (ça me semble
mauvais comme idée mais bon je préfère poser une ou deux questions débiles
putôt que de faire un grosse connerie)...

Encore merci,
MaXX

Bonjour,

Dominique Blas wrote:

MaXX wrote:

Ca ne doit pas être "dangereux" vu que si j'ai bien compris ces
adresses ne sont pas routables...
J'ai mal compris...

Pourquoi << dangereux >> ?
Si je ne m'abuse en ipv4 il faut un nat pour pouvoir 'sortir' du réseau

privé, sinon ce serait une sacrée pagaille... Mais il est possible de
router entre subnet...

(Je n'ai pas vraiment trouvé de documents qui expliquait tout ça de façon
simple, entre les RFC, les pubs et les tutoriaux qui se contente de dire
faire ça puis ça...)
Il y a un excellent ouvrage chez O'Reilly sur le sujet IPv6.

Vais aller faire un petit tour à la fnac...

<snip> soit tu établis un tunnel IPv6/IPv4 avec un fournisseur IPv6 de la
planète comme freenet ou NGSoftware en France.
j'ai fait le test avec freenet en ayant pris soin de désactiver mes adresses

de test sur mon lan...

Ensuite, il existe 2 plans d'adressage publics.
Le premier à avoir émergé est celui de la recherche, le fameux 3ffe::/16
du 6bone. Progressivement les membre du 6bone s'en détachent et migrent
vers un plan d'adressage commercial dont le préfixe est 2001://16.
On se retrouve en IPv6 public comme au bon vieux temps de l'IPv4 (rock 'n
roll), il y a 11
ans et davantage : on a des IP gratos. Simplement là où on pouvait
disposer de 256 adresses IPv4 gratuitement on en dispose aujourd'hui de
2^72 fois plus étant donné qu'on récupère un ::/48.
(ben oui il faut se faire à la notation, ça je ne peux pas t'aider dans le
cadre de ce ng).
Vais quand même essayer, c'est pas mal pour l'espace d'adressage, par contre

je crois qu'un dns s'impose! moins facile à mémoriser que 192.168.0.1-254
sur un réseau local.

Enauuurme non ?
gigantesque oui...

db
Un grand merci!

MaXX

MaXX wrote:

bonjour,
Pascal@plouf wrote:

Salut,

Merci pour ta réponse,

J'ai configuré mes machines en changeant simplement le fe80 en fec0 et
en laissant le reste tel quel, ça fonctionne mais c'est comme ça qu'il
faut faire???

Ce n'est pas une bonne idée de remplacer les adresses link-local par des
site-local, une interface IPv6 *doit* avoir une adresse link-local. On
peut par contre affecter plusieurs adresses IPv6 à une interface. Une
interface peut donc avoir une adresse link-local, une adresse site-local
et une (ou plusieurs) adresse globale.
Je me suis mal exprimé: j'ai ajouté un alias et ça donne ça

inet6 fe80::240:f4ff:fe64:4da%vr0 prefixlen 64 scopeid 0x1
inet6 fec0::240:f4ff:fe64:4da prefixlen 64

idem sur un autre Pc et la comm passe

Ca ne doit pas être "dangereux" vu que si j'ai bien compris ces
adresses ne sont pas routables...

Ça dépend. A quoi est relié ton réseau, et quels sont les services
accessibles en IPv6 sur tes machines ? Est-il isolé ou a-t-il une
connectivité IPv6 native ou par tunnel avec l'extérieur ? Cf. la réponse
de Dominique. Pour avoir une connectivité avec l'extérieur, il faut une
adresse globale.
je me suis inscrit chez freenet6 pour tester, l'adresse qui m'a été donnée

est du genre : inet6 2001:5c0:... prefixlen 64
Ah génial ! freenet est passé en 2001://16 ? Faut que je retrouve mon

compte.

et je vois bien la 'tortue dansante' de www.kame.net
Ouaiiiiis ! Gagné !

là ou j'ai un peu peur c'est d'activer les alias inet6 du reste du
réseau... je fais comment alors?
je garde le prefix et je met ce que je veux derrière??? (ça me semble
mauvais comme idée mais bon je préfère poser une ou deux questions débiles
putôt que de faire un grosse connerie)...
Bah, c'est de l'info, c'est pas une bagnole alors les grosses conneries ...

Tu gardes tes adresses locales IPv6 et tu réalises une translation (enfin,
il faut avoir le soft pour le faire) ou tu passes tout en 2001:: machin
et là c'est du routage conventionnel et donc filtrage adéquat en entrée.
En effet, une fois connecté tu constateras que les tentatives d'attaques
sont, il est vrai moins nombreuses que sur le réseau IPv4, mais tout de
même non nulles.
Il ne te reste plus qu'à installer tes services (courriel, Apache, streaming
video, etc)car désormais tu disposes d'une adresse fixe ! (Note bien,
c'était peut-être déjà le cas en IPv4 ?).

Ah oui encore une chose qui pourrait poser malentendu.
Il faut distinguer l'expression << protocole routable >> qui indique un
protocole de niveau 3 et << adresses routables >> qui est une extension de
sens signifiant qu'il est déconseillé de posséder une entrée parlant de ces
adresses dans une table de routage d'un routeur public. A l'instar des
192.168/16, 172.16/2, 10/8 et 169.254/16.
fec0::/16 n'est pas un plan d'adressage routable publiquement mais tout à
fait routable dans l'absolu et donc de manière interne.

db


--
email : usenet blas net

Dominique Blas wrote:

Il ne te reste plus qu'à installer tes services (courriel, Apache,
streaming video, etc)car désormais tu disposes d'une adresse fixe ! (Note
bien, c'était peut-être déjà le cas en IPv4 ?).
Pas vraiment, j'utilise un dns dynamique... En tout cas j'ai déja migré mon

serveur apache, ça m'amuse ce truc... Et j'ai eu le plaisir de tomber là
dessus : inet6 2001:5c0:xxxx:xxxx:xxx:e6ff:fe6e:f2b prefixlen 64 autoconf;
ça propage tout seul sa config... Xcellent!
Ce qui l'est moins c'est l'augmentation de traffic internet (le paquet
devant être encapsulé en ipv4 pour quitter la maison) enfin c'est peut être
négligeable... je vais faire des essais...

re-merci en tout cas..

MaXX

Question subsidiaire:
Est-ce qu'un tunnel ipv6 pourrait me débarasser d'un problème de routage
ipv4 en encapsulant le paquet ipv4 et en le relachant là ou je veux?

MaXX wrote:

Dominique Blas wrote:

Il ne te reste plus qu'à installer tes services (courriel, Apache,
streaming video, etc)car désormais tu disposes d'une adresse fixe ! (Note
bien, c'était peut-être déjà le cas en IPv4 ?).
Pas vraiment, j'utilise un dns dynamique... En tout cas j'ai déja migré

mon serveur apache, ça m'amuse ce truc... Et j'ai eu le plaisir de tomber
là dessus : inet6 2001:5c0:xxxx:xxxx:xxx:e6ff:fe6e:f2b prefixlen 64
autoconf; ça propage tout seul sa config... Xcellent!
Oui, IPv6 a été équipé d'un autoconfigurateur d'adresse, genre de DHCP mais

au niveau de la pile elle-même.
C'est rigolo car parfois on apprend qu'une liaison est passée en IPv6 parce
que tout en étant officiellement en IPv4 on a laissé l'autoconf Ipv6 actif
et que tout à coup on se rend compte que l'on a une adresse. Ca m'est arrivé
en Belgique (opérateur Avidia) et je me suis vite empressé de placer des
filtres IPv6 !

Ce qui l'est moins c'est l'augmentation de traffic internet (le paquet
devant être encapsulé en ipv4 pour quitter la maison) enfin c'est peut
être négligeable... je vais faire des essais...
Non, ça c'est négligeable pour peu que tu ne fasses pas que de l'émulation

de terminal (parce que 60 octets d'entête pour un octet utile, oui, c'est
du gaspillage).
Non, ce qui est moins plaisant c'est la latence. En effet, tant qu'un nombre
satisfaisant d'opérateurs locaux ne proposeront pas d'IPv6 natif ou, au
moins, des tunnels, on sera obligé d'aller chercher l'IPv6 loin, très loin
(Freenet est aux US je crois). Comme tout le monde fait pareil, on peut
très vite se retrouver avec RTT de plusieurs secondes pour aller de chez
soi chez le voisin (alors qu'en IPv4 on ne mettra pas plus que de quelques
ms).
Ca c'est assez rageant en effet.

re-merci en tout cas..
De rien. Au fait, tu es en netBSD n'est-ce pas ?

MaXX

Question subsidiaire:
Est-ce qu'un tunnel ipv6 pourrait me débarasser d'un problème de routage
ipv4 en encapsulant le paquet ipv4 et en le relachant là ou je veux?
Euh, peux-tu donner un exemple concret car là je comprends plusieurs

choses ?

db

--
email : usenet blas net

MaXX wrote:

Dominique Blas wrote:

Il ne te reste plus qu'à installer tes services (courriel, Apache,
streaming video, etc)car désormais tu disposes d'une adresse fixe ! (Note
bien, c'était peut-être déjà le cas en IPv4 ?).
Pas vraiment, j'utilise un dns dynamique... En tout cas j'ai déja migré

mon serveur apache, ça m'amuse ce truc... Et j'ai eu le plaisir de tomber
là dessus : inet6 2001:5c0:xxxx:xxxx:xxx:e6ff:fe6e:f2b prefixlen 64
autoconf; ça propage tout seul sa config... Xcellent!
Oui, IPv6 a été équipé d'un autoconfigurateur d'adresse, genre de DHCP mais

au niveau de la pile elle-même.
C'est rigolo car parfois on apprend qu'une liaison est passée en IPv6 sans
prévenir parce
que tout en étant officiellement en IPv4 on a laissé l'autoconf Ipv6 actif
(sur une interface en fec0::/16)
et que tout à coup on se rend compte que l'on a une adresse IPv6
officielle ! Ca m'est arrivé en Belgique (opérateur UPC/Aorta) et je me
suis vite empressé de placer des filtres IPv6 ! Encore heureux que je
surveillais la machine de temps à autre.

Ce qui l'est moins c'est l'augmentation de traffic internet (le paquet
devant être encapsulé en ipv4 pour quitter la maison) enfin c'est peut
être négligeable... je vais faire des essais...
Non, ça c'est négligeable pour peu que tu ne fasses pas que de l'émulation

de terminal (parce que 60 octets d'entête pour un octet utile, oui, c'est
du gaspillage).
Non, ce qui est moins plaisant c'est la latence. En effet, tant qu'un nombre
satisfaisant d'opérateurs locaux ne proposeront pas d'IPv6 natif ou, au
moins, des tunnels, on sera obligé d'aller chercher l'IPv6 loin, très loin
(Freenet est aux US je crois). Comme tout le monde fait pareil, on peut
très vite se retrouver avec RTT de plusieurs secondes pour aller de chez
soi chez le voisin (alors qu'en IPv4 on ne mettra pas plus que de quelques
ms).
Ca c'est assez rageant en effet.

re-merci en tout cas..
De rien. Au fait, tu es en netBSD n'est-ce pas ?

MaXX

Question subsidiaire:
Est-ce qu'un tunnel ipv6 pourrait me débarasser d'un problème de routage
ipv4 en encapsulant le paquet ipv4 et en le relachant là ou je veux?
Euh, peux-tu donner un exemple concret car là je comprends plusieurs

choses ?

db

--
email : usenet blas net

Bonjour,

Dominique Blas wrote:

C'est rigolo car parfois on apprend qu'une liaison est passée en IPv6 sans
prévenir parce
que tout en étant officiellement en IPv4 on a laissé l'autoconf Ipv6 actif
(sur une interface en fec0::/16)
et que tout à coup on se rend compte que l'on a une adresse IPv6
officielle ! Ca m'est arrivé en Belgique (opérateur UPC/Aorta) et je me
suis vite empressé de placer des filtres IPv6 ! Encore heureux que je
surveillais la machine de temps à autre.
je vais t'imiter de suite....

j'espère juste que je ne vais pas tout foutre en l'air comme la première
fois que j'ai essayé de configurer un firewall en v4 (depuis j'ai fait des
progrès)...

Ce qui l'est moins c'est l'augmentation de traffic internet (le paquet
devant être encapsulé en ipv4 pour quitter la maison) enfin c'est peut
être négligeable... je vais faire des essais...
Non, ça c'est négligeable pour peu que tu ne fasses pas que de l'émulation

de terminal (parce que 60 octets d'entête pour un octet utile, oui, c'est
du gaspillage).
60 octets pour la partie v6 ou v4+v6? C'est pas vraiement grave, j'ai à

peine 1Mb de trafic ssh par mois...

Non, ce qui est moins plaisant c'est la latence. En effet, tant qu'un
nombre satisfaisant d'opérateurs locaux ne proposeront pas d'IPv6 natif
ou, au moins, des tunnels, on sera obligé d'aller chercher l'IPv6 loin,
très loin (Freenet est aux US je crois). Comme tout le monde fait pareil,
on peut très vite se retrouver avec RTT de plusieurs secondes pour aller
de chez soi chez le voisin (alors qu'en IPv4 on ne mettra pas plus que de
quelques ms).
Ca c'est assez rageant en effet.
j'ai 100ms pour le premier hop (atteindre Freenet) c'est vrai que c'est pas

très drôle; entre 18 et 35ms en v4 pour joindre le dns de mon ISP (belgacom
Belgique)

re-merci en tout cas..
De rien. Au fait, tu es en netBSD n'est-ce pas ?

c'est du FreeBSD 5.3-stable sur le pc serveur et 5.3-current sur les clients

Question subsidiaire:
Est-ce qu'un tunnel ipv6 pourrait me débarasser d'un problème de routage
ipv4 en encapsulant le paquet ipv4 et en le relachant là ou je veux?
Euh, peux-tu donner un exemple concret car là je comprends plusieurs

choses ?
En fait mon modem adsl est connecté au pc serveur sur une carte ethernet

dédiée, pour m'assurer que tout le trafic passe par ipfw. j'aimerais faire
passer ce trafic dans un tunel sur wifi, pour mettre dans le serveur dans
le bureau sans devoir changer toutes les config. Pour l'instant tout
fonctionne impec, firewall, proxy, serveur web, dhcp, cache dns,... le
"hic" c'est que tout le monde me demande qu'est-ce que c'est que cette
armoire dans le hall qui fait un bruit pas possible...

modem----eth----pc relais-----wifi--------AP------eth----serveur
10.0.0.x ???? nic0 : 10.0.0.y
(-------------------------tunel----------------)
j'aimerais que le trafic qui passe entre la carte dédiée du serveur ne soit
pas visible (crypté au min) sur le reseau sans fil et si possible que le pc
relais ne sois pas visible du tout. si il y a un moyen de ne pas lui donner
d'ip du tout tant mieux, il y a une 3c905 dedans, si je dois accéder à qqch
sur la machine je sors mon cable.
J'ai déjà fait pas mal de tests, bridge (mode promiscuous mal supporté par
la carte wifi du relais), tunel (probème de routage ou de de NAT suivant
les paramètres), bref ça m'a tellement énervé que j'ai tout remis comme
avant en attendant d'être plus inspiré...

Merci

MaXX