Discussion :

[ram-0000]

Bonjour à tous !

La rubrique Réseaux vous propose un article concernant IP en version 6 par Christian Caleca : L'internet Rapide et Permanent - IP version 6.

Vous disposez d'une connexion permanente et rapide… et maintenant, vous êtes perdu dans la technique…

Cette série « L'internet Rapide et Permanent », que Christian Caleca nous a aimablement autorisés à reproduire, est là pour répondre à quelques-unes de ces questions. Cet article parlera de IP en version 6.

N'hésitez pas à faire part de vos remarques, commentaires ou propositions d'améliorations !

L'internet Rapide et Permanent - IP version 6

[sevyc64]

Bon article qui montre bien que de passer de IPv4 à IPv6, il ne suffit pas d'activer la pile IPv6. On pourrais presque dire qu'avec IPv6 on reprend la configuration from scratch

Le problème étant que IPv6 est activé et est une réalité sur tous les OS depuis 13-14 ans avec tous les problèmes de sécurité qu'il amène et que peu d'administrateurs et de SI ne se sont encore inquiétés de son existence, Il existe, ainsi, des réseaux parfaitement vulnérables bien que complètement blindés en IPv4 par le simple fait qu'IPv6 n'a jamais été pris en compte alors qu'il est actif et que le FAI fourni une connectivité IPv6 sans même que les admins SI en soient conscients.

[fredoche]

Bonjour

Pourrais tu développer ce que tu dis dans ta dernière phrase sevy ?

porter un adressage ipv6 par défaut, sans subnet routé correspondant, même si le FAI fournit une connectivité ip V6, je vois pas bien en quoi ça aboutit à ta conclusion ?

Je suis curieux de ces problèmes de sécurité que tu suggères ?

[gangsoleil]

Il existe, ainsi, des réseaux parfaitement vulnérables bien que complètement blindés en IPv4 par le simple fait qu'IPv6 n'a jamais été pris en compte alors qu'il est actif et que le FAI fourni une connectivité IPv6 sans même que les admins SI en soient conscients.

Heureusement, en France, seul free fournit du routage IPv6.

[sevyc64]

Heureusement, en France, seul free fournit du routage IPv6.

Oui et non, heureusement, ou pas.

Free est le seul opérateur en France (quoique OVH ???) à fournir une connectivité IPv6, native en plus (vu coté client), mais pour des contrats Grand Public (les autres opérateurs Grand Public ne devraient pas trop tarder à le faire aussi). C'est en natif, systématique, activé, par défaut sans option ou quoique ce soit à demander.

Concernant les contrats pro, d'autres fournisseurs l'offre aussi, souvent en payant, la plupart du temps en option, donc en le demandant explicitement, mais certains le font comme Free, systématiquement et activé par défaut.

Heureusement ? Pas sur, c'est sans compter nombres de SI qui prennent une connexion ADSL Free comme connexion de secours ou de délestage sans spécifiquement se poser la question de l'IPv6.

Bonjour

Pourrais tu développer ce que tu dis dans ta dernière phrase sevy ?

porter un adressage ipv6 par défaut, sans subnet routé correspondant, même si le FAI fournit une connectivité ip V6, je vois pas bien en quoi ça aboutit à ta conclusion ?

Je suis curieux de ces problèmes de sécurité que tu suggères ?

Je ne parle pas de gros réseaux de grosses entreprises, qui sont généralement très segmentés, très évolué très contrôlés, en temps réel, mais plutôt de la quantité des PMEs et autres petites entreprises qui n'ont, bien souvent, qu'un simple réseau derrière un routeur en mode NAT voire un simple modem/switch, parfois avec un firewall en tampon mais pas toujours.

Ce genre de réseau est bien souvent configuré en sécurité sur de l'IPv4 comme on fait depuis des décennies. Mais quelque fois on s’aperçoit que ces réseaux ont aussi une connectivité IPv6 qui n'est pas prise en compte.
De ce que j'ai pu entendre autour de moi, les cas les plus fréquents sont :
- soit le responsable réseau ne sait pas qu'il l'a (Le cas de Free en connexion de secours par exemple)
- soit le responsable réseau n'a pas pris conscience qu'il l'avait
- soit il pense que du fait que l'IPv6 n'est encore généralisé, cette connectivité n'est pas utilisée
- soit il pense (et c'est un cas très courant de ce que j'ai pu entendre autour de moi) que toute la sécurité mise en place avec IPv4 est aussi automatiquement active pour IPv6

Le problème est que
- depuis une bonne 10ène d'années, tous les OS ont la couche IPv6 automatiquement activé et configurée comme prioritaire
- nombre de matériels sur ces petits réseaux, routeurs, firewall, etc sont transparent au trafic IPv6
- certains de ces matériels, ne supportant pas forcément initialement l'IPv6, peuvent désormais le supporter suite à une mise à jour du firewall
- Les OS derrière ces matériels utilisent donc automatiquement et en premier l'IPv6, surtout si celui-ci est fourni en natif, et sont, bien souvent, directement connectés à internet au lieu de se trouver derrière la grosse barrière de sécurité comme en IPv4
- ....

Je peux citer le cas concret que j'ai pu voir d'une entreprise avec un réseau interne connecté et accessible sur internet ainsi que 2 serveurs web, un modem avec contrat pro pour 2 IP publiques, une pour le réseau interne, l'autre pour les serveurs web + un second contrat chez Free justement en secours pour le réseau interne. Le tout géré par un routeur central cloisonnant les différents réseaux et gérant la bascule sur la connexion de secours, le tout parfaitement configuré (en IPv4 !). Au moment ou le contrat Free avait été pris, le NRA n'était pas encore dégroupé, donc pas d'IPv6. Par contre le responsable du réseau ignorait que, avec le dégroupage du NRA par Free, ils avaient automatiquement obtenu une connectivité IPv6. Le tout, combiné à un routeur qui, par configuration d'usine, était transparent au trafic IPv6, la freebox, bien que normalement connexion de secours, se retrouvait à fournir la connexion IPv6 à l'ensemble des 3 réseaux (interne, serveurs web, et secours) qui, s'ils étaient bien séparé en IPv4, ne l'étaient plus en IPv6. L'ensemble des machines de la boite étaient très bien protégées en IPv4, mais totalement accessible en IPv6 depuis l'internet.

[fredoche]

pourquoi heureusement ?
IPv4 on en est vraiment au bout, c'est un vrai problème et on va bientôt payer cher la pénurie. Ce qui est rare est cher n'est ce pas.

Je gère un petit réseau en zone blanche, et pour ne pas avoir à faire du NAT pour une douzaine de maison, je paie des IPs publiques à mon FAI pour qu'on soit tous en publique sur les CPE. En 2010 mon /27 routé me coutait 30€ HT, désormais c'est 60€. Je paie toujours 30, contrat oblige. La BP baisse, les IP v4 flambent.
Je peux me débrouiller avec un /28 mais bon. 100% d'augmentation en un an pour des trucs qu'ils paient pas Merci le 2^32

IP v6 les recos du ripe c'est distribuer un /48 à chaque abonné typé pro. Auant dire un nombre infini d''adresses publiques.

Vivement IPv6, j'ai pas envie de payer mes IPs le double chaque année.

Et le NAT ça pue.

Merci Sevy. Je vois mieux. Il faut avoir un réseau routé et des adresses distribués via un système quelconque.
Après j'aurai envie de te dire que tout le monde sait que free distribue de l'ip v6. C'est quasi les seuls au monde. Donc si le gars est "responsable"...

Moi sur le sujet, qui me tient vraiment à coeur, j'ai sollicité mon hébergeur pour servir mes applications en dual stack ip v4 / ip v6. Je vais au moins tenter sur mon serveur de dev qui est hébergé sur la même infra.
La réponse ça a été que c"était encore expérimental chez eux, au bout d'une semaine de silence. Je tairais le nom, mais c'est pas du low cost type OVH/online, et c'est de l'infogéré

Mais on va le faire, juste parce que je me sens concerné en tant que usager devant me fournir moi même ma connexion internet

Et il y a des fois ou j'aimerai bien porter le sujet sur des forums comme celui-ci.
Nous sommes souvent décideurs, fournisseurs et éditeurs de services internet, et si le mouvement était porté du coté des services et contenus, le développement de l'ip V6 se ferait surement beaucoup plus vite.
Si les développeurs choisissent l'IP v6, le réseau suivra. On a tout pour le faire, tous les outils.

[gangsoleil]

pourquoi heureusement ?

Boutade...

IPv6 devrait etre implemente et utilise par tout le monde au quotidien, mais nos super operateurs grands public, a commencer par Orange, refuse de s'y mettre !!

Si les développeurs choisissent l'IP v6, le réseau suivra. On a tout pour le faire, tous les outils.

C'est un cercle vicieux : les developpeurs ne gerent pas l'IPv6 car en France, aujourd'hui, tu n'as que tres peu de providers qui le fournissent.
Et les providers ne sont pas pres de s'y mettre, certains arguant que les logiciels ne sont meme pas prets...

A titre d'exemple, a chaque fois que j'ai developpe un logiciel reseau, j'ai demande si je devais implementer IPv6. Et la reponse est tres souvent : "Oui, si ca ne coute pas plus cher".
Or c'est bien connu : si je supporte 2 normes, c'est le meme temps de developpement qu'une seule....

[sevyc64]

Le problème d'adoption de l'IPv6 est que, de part la structure même du réseau il est impossible (enfin on veut pas) de faire une bascule nette et franche de IPv4 à IPv6. Le résultat est que l'on doit se taper une double stack IPv4 + IPv6 et tout le monde sait que se sera pour une longue période. La réaction en conséquence à cela est que ben tant que IPv4 marche quel intérêt de basculer sur IPv6.

Perso, j'utilise IPv6 depuis plusieurs années. C'était très marginal au début, c'est monter progressivement quand a parlé de l'organisation d'une journée de l'IPv6 et à l'approche de celle-ci. J'avais fait des stats sur mon utilisation dans les semaines qui avaient suivies cette journée, mon trafic IPv6 représentait quasiment 15% de mon trafic total.

J'ai pas refait de vrais stats récemment, mais en regardant quand même de temps en temps, il me semble constater que depuis quelques mois, et plus particulièrement depuis le début de l'année le trafic IPv6 semble baisser et tendre vers 0. Mais bon, c'est pas significatif, je ne regarde que quelques minutes de temps en temps, il faudrait que je refasse des stats sur plusieurs jours (faudrait que je retrouve mes notes pour savoir comment les faire, avant, aussi )

[fredoche]

Oui bien connu

Mais faudrait un peu aussi que les développeurs deviennent conseiller (consultant pour ceux que ça caresse) et militant

Là tu vois en ce moment nous, la grande communauté de l'internet technique, sommes en train de développer le prochain centre de profit des opérateurs réseaux.

https://www.ripe.net/internet-coordi...ble-pool-graph

16 millions d'adresses restant à distribuer, à l'échelle de la planète et des 2^32 ip v4 théoriques, c'est une goutte, 0,4%.

[fredoche]

15 % sevyc64 c'est pas mal...

J'admire, et j'ai hate
Dès que mon FAI me le sert, je le distribue, ça c'est sur.

Ici les stats Google : http://www.google.fr/ipv6/statistics...-ipv6-adoption

La France ne s'en sort pas si mal

Dual stack, je vais bientôt expérimenter, puisque c'est expérimental chez mon hébergeur.
C'est un sujet que j'ai envie de travailler en tout cas, c'est toujours une nouvelle expérience, et sans ça on s'ennuierait dans ce boulot.