Discussion :

[badack]

Je pense pour ma part que tous les équipements n'ont pas besoin d'une adresse IP publique, loin s'en faut.

Je suis très certainement de ton avis. Cette nouvelle mode de vouloir donner une ip officielle à tout les équipements me fait froid dans le dos tant pour le particulier que pour l'entreprise.
Je pense tout particulièrement à la sécurité. Aujourd'hui, en entreprise, nous controllons qui a le droit ou non de se connecter et d'accéder à quoi et dans quel sens (internet -> Lan, Lan -> Internet).
L'idée théorique (et un peu utopique) est excellente de s'affranchir des techniques de Nat et de permettre à tout composant de communiquer avec qui il veut, un genre de P2P chez les Bisounours Mais gare aux méchant hackeurs
Dans la vie de tout les jours, je ne voudrais pour rien au monde voir mon PC privé ou mes serveurs d'entreprise se voir attribuer une IP publique. Ce serait du non sens en terme de sécurité et de confidentialité.

Maintenant, je comprends très bien cette pénurié liée à IPV4 et dans ce contexte IPV6 à sa place (on remplace nos ip publique IPV4 en IPV6 et c'est tout).

[Marco46]

Dans la vie de tout les jours, je ne voudrais pour rien au monde voir mon PC privé ou mes serveurs d'entreprise se voir attribuer une IP publique. Ce serait du non sens en terme de sécurité et de confidentialité.

Il y a une différence énorme entre choisir de poser un NAT pour sécuriser son matériel et se le faire imposer sans rien pouvoir dire ni faire.

[Joker-eph]

Je suis très certainement de ton avis. Cette nouvelle mode de vouloir donner une ip officielle à tout les équipements me fait froid dans le dos tant pour le particulier que pour l'entreprise.

Ce n'est pas une nouvelle mode, c'est la base du fonctionnement d'internet. Le nat n'a connu qu'un développement très tardif par rapport à l'histoire d'internet et n'est qu'une sorte de gros "hack".
Le nat pose plein de problème pour pas mal d'usage d'internet, la voip par exemple. Dès qu'on sort un peu d'un modèle "simple" de client-serveur "à la" HTTP on se retrouve emmerder par le NAT.

Je pense tout particulièrement à la sécurité. Aujourd'hui, en entreprise, nous controllons qui a le droit ou non de se connecter et d'accéder à quoi et dans quel sens (internet -> Lan, Lan -> Internet).

Aucun rapport avec le nat...

L'idée théorique (et un peu utopique) est excellente de s'affranchir des techniques de Nat et de permettre à tout composant de communiquer avec qui il veut, un genre de P2P chez les Bisounours Mais gare aux méchant hackeurs

bof, n'importe quel routeur linux fera du firewalling sans nat tout aussi efficacement, (il le fait même en bridge très bien aussi...).

Dans la vie de tout les jours, je ne voudrais pour rien au monde voir mon PC privé ou mes serveurs d'entreprise se voir attribuer une IP publique. Ce serait du non sens en terme de sécurité et de confidentialité.

Revoir les bases de réseaux, plein de boites ou d'université ont leur machines en ip publique. J'administrais jusqu'à il y a peu une /24 d'adresse publique, même mon imprimante avait une ip publique...
Ce n'est pas pour autant que tu pouvais la joindre depuis internet !

(on remplace nos ip publique IPV4 en IPV6 et c'est tout).

Plus de nat en IPV6, et bien heureusement !

[Joker-eph]

et quand à la pénurie, je vais redire - au risque de me répéter - qu'il y a, je pense, un grand gaspillage d'adresses IPv4.

Ça ne veut pas dire qu'elles sont "utilisables". Il ne faut pas voir les adresses IP comme un pool dans lequel tu peux taper individuellement. Les adresses sont allouées par blocs. Chaque bloc = une route à retenir pour les routeurs BGP sur le net. L'espace d'adressage ipv4 est déjà très désagrégé, la table de routage contient plus de 200k routes différentes (c'est un autre intérêt d'ipv6 d'ailleurs), et les mémoires des routeurs sont saturées !

[Chauve souris]

ne manquerait-il pas une FAQ et/ou un tuto IPv6 sur developpez ?

Et de façon plus générale, effectivement !

Devant coller une adresse IPV6 à mon Windows Server 2008 R2 (sinon il boudait ) j'ai eu un mal de chien à trouver une doc explicative (et en français). Certes je ne suis pas un spécialiste réseau, mais j'arrive quand même à gérer un petit système LAN/WAN. Alors j'imagine la panique dans les petites boîtes où il y a juste un honnête bricoleur en informatique.

Aussi je me demande s'il ne faudrait pas

1. distribuer (en pdf sur le Net) une grosse brochure parfaitement claire <troll>donc on ne demandera pas aux linuxiens de la rédiger</troll> sur l'IPV6, sa vie, son oeuvre et comment y passer.

2. que TOUT le matériel réseau hors boîtes et particuliers soit prêt.

3. décider d'un jour J pour y passer (sûr que ça va saturer le réseau pendant un moment)

Parce que si ça continue comme actuellement en mode facultatif, il n'y a aucune raison pour s'embêter avec l'IPV6 chacun, moi le premier, restera avec ses vieilles habitudes.

Imaginez, et je crois que la comparaison n'est pas trop absurde, qu'on ait gardé à la fois le franc et l'euro. Croyez vous que beaucoup de gens s'embêteraient à passer à l'euro ?

[Joker-eph]

3. décider d'un jour J pour y passer (sûr que ça va saturer le réseau pendant un moment)

Irréaliste d'espérer convaincre (parceque aucun moyen de contraindre) tous les fournisseurs de toutes les boites privées du monde entier de se synchroniser sur un "jour J" à mon avis. Internet c'est juste l'interconnexion de plein de boites indépendantes. (Et pourquoi ça saturerai le réseau ? A cause du téléchargement des documentations ? ;-))

Parce que si ça continue comme actuellement en mode facultatif, il n'y a aucune raison pour s'embêter avec l'IPV6 chacun, moi le premier, restera avec ses vieilles habitudes.

La solution pourrait venir plutôt du service, si IPV6 commence à décoller un peu, on pourra te dire que tel ou tel service ne fonctionne qu'en IPV6, et du coup tu trouveras des raisons de t'embêter ;-)

[gangsoleil]

Bonjour,

Parce que si ça continue comme actuellement en mode facultatif, il n'y a aucune raison pour s'embêter avec l'IPV6 chacun, moi le premier, restera avec ses vieilles habitudes.

S'embeter ? Si tu installes n'importe quel OS recent, tu as toute la chaine IPv6 de base (pile IP, firewall, ...), de maniere tellement transparente que tu ne le sais meme pas.

Si tu as une box et que ton operateur le propose, passer a IPv6 sur la box consiste a aller cocher une case sur une page internet. La encore, pas trop de difficultes.

Par contre, les difficultes viennent plus des entreprises, dans lesquels il y a de nombreux equipements reseaux qui ne sont pas configures pour utiliser correctement IPv6, et c'est ca qui va poser probleme. En tant que particulier, il n'y a pas de soucis a passer a IPv6, ou tellement peu que c'est negligeable.

[atc666]

Dans l explication sur la non compatibilite et le fait qu il serait impossible a un soft de gerer l ipv4 sous ip v6 j ai rien pige du tout
si on decide que les ipv4 ont en ajout pour les 2 nombre inutilise 255 ca donnerai ceci : 255.255.X.X.X.X ce qui me semble t il serai simple , car une fois que le provider recois une commande depuis une adresse v4 il ajoute les 255 255 devant et au retour si il recoit une ip v6 commencant par 255 255 , il enleve ceux ci et redirige vers l ipV4.
si quelqu un peut m expliquer la raison pour laquelle ce systeme ne marcherai pas ca m interesserai

[gangsoleil]

Bonjour,

IPv6 ne correspond pas a rajouter deux champs aux structures de IPv4. C'est une evolution complete du protocole. Je pense que si tu lis cette page, tu auras deja une meilleure vision de la chose.

[Michaël]

S'embeter ? Si tu installes n'importe quel OS recent, tu as toute la chaine IPv6 de base (pile IP, firewall, ...), de maniere tellement transparente que tu ne le sais meme pas.

Exactement Windows 7 (et vista) sont natifs IPv6 et on leur a ajouté la compatibilité ipv4.

[Joker-eph]

Dans l explication sur la non compatibilite et le fait qu il serait impossible a un soft de gerer l ipv4 sous ip v6 j ai rien pige du tout
si on decide que les ipv4 ont en ajout pour les 2 nombre inutilise 255 ca donnerai ceci : 255.255.X.X.X.X ce qui me semble t il serai simple , car une fois que le provider recois une commande depuis une adresse v4 il ajoute les 255 255 devant et au retour si il recoit une ip v6 commencant par 255 255 , il enleve ceux ci et redirige vers l ipV4.
si quelqu un peut m expliquer la raison pour laquelle ce systeme ne marcherai pas ca m interesserai

Intéressant, mais comment fait un client IPV4 pour joindre un serveur IPV6 ? Il utilise quelle adresse ?

[gangsoleil]

Bonjour,

Intéressant, mais comment fait un client IPV4 pour joindre un serveur IPV6 ? Il utilise quelle adresse ?

Encore une fois, passer de IPv4 a IPv6 ne consiste pas a ajouter 2 champs !!! Un peu de lecture s'impose donc.

[Joker-eph]

gansoleil : ce qui n'empêche pas d'aider notre ami atc666 de trouver par lui même les limites de sa proposition un peu mieux qu'un RTFM :-)

[Michaël]

Pour ceux qui souhaitent se former sur ipv6, 6diss propose des cours (gratuits) dispos sur leur site : http://www.6diss.org/e-learning/index.html et http://www.6diss.org/tutorials/index.html

C'est vraiment bien fait (surtout la partie e-learning) alors profitez en

[JML19]

Bonjour

La saturation d'IPV4 correspond au traçage de l'utilisateur par le fait que chaque Box même non utilisée garde son IP WAN.

Il suffirait de libérer l'IP WAN de la Box lors de la non utilisation de celle-ci pour rendre l'internet moins saturé.

Comme dans le temps de l'utilisation d'un modem RTC qui lorsque le PC est éteint libère l'IP WAN.

Mais le traçage et le flicage des clients d'internet seraient plus difficiles à faire.

[sevyc64]

Bonjour

La saturation d'IPV4 correspond au traçage de l'utilisateur par le fait que chaque Box même non utilisée garde son IP WAN.

Il suffirait de libérer l'IP WAN de la Box lors de la non utilisation de celle-ci pour rendre l'internet moins saturé.

La saturation IPv4 et plus généralement l'internet ne se limite pas à une spécificité purrement franco-française (la box).

De toute façon, même si l'ip était "libérée" lorsque la box n'est pas connectée, elle ne serait pas pour autant libre sur internet, car cette IP appartient au FAI.

Par contre que les milliers (millions ?) d'IP qui ont été attribuées en masse aux grosses firmes et universités américaines au tout début d'internet et qui ne sont probablement pour beaucoup d'entre-elles pas/plus utiliser maintenant avec la gestion des réseaux par NAT, que ces IP soient remises sur le marché donnerait certainement un peu d'air pendant quelque temps.
Mais cela n'empêchera pas de toute façon qu'il faut bien passer très rapidement à l'IPv6

[JML19]

Bonjour

C’est pareil pour tous les Pays.

La traçabilité de l’internaute compte plus que la plage IP.

Il est bien évident que lorsqu’on attribuera une adresse IP à la naissance d’un Humain, il sera plus facile de le suivre que sa voiture.

[Bashy]

Afin de mettre fin à quelques idées reçus, je lance une petite FAQ, si vous avez des questions complémentaires, posez-les, je tenterai d'y répondre.

Q. À quoi ressemblent les adresses IPv6
Les adresses IPv6 sont codées sur 128 bits (16 octets), pour faciliter la lecture de celles-ci, elles s'écrivent en hexadécimal :
abcd:ef01:2345:6789:abcd:ef01:2345:6789
Une même IPv6 peut s'écrire sous plusieurs formes :
2001:0db8:0000:85a3:0000:0000:ac1f:8001 (forme la plus longue)
On peut supprimer les 0 en début de série :
2001:db8:0:85a3:0:0:ac1f:8001
On peut enfin réduire une série de 0 consécutif par ::, une seule et unique fois. :
2001:db8:0:85a3::ac1f:8001 ou encore 2001:db8::85a3:0:0:ac1f:8001
Une seule et unique fois car avec :
2001:db8::85a3::ac1f:8001 vous ne sauriez pas si elle représente 2001:db8:0:85a3:0:0:ac1f:8001 ou 2001:db8:0:0:85a3:0:ac1f:8001

Les adresses IPv6 de type unicast global (comprenez une seule source vers une seule destination, le fonctionnement est le même qu'avec une IPv4 (exception faite de la classe multicast) actuellement attribuées par l'IANA vont de 2000:0:0:0:0:0:0:0 à 3fff:ffff:ffff:ffff:ffff:ffff:ffff:ffff.

Il sera courant de rencontrer des adresses débutant par fe80::, je reviendrai dessus :).

Q. Quels sont les grands changements ?
Par rapport à IPv4, sans trop rentrer dans les détails de la structure du Paquet en lui-même, on va rester dans les bases...
Le broadcast disparaît, et seul le multicast est présent pour prendre la relève, le multicast, en gros, c'est une source vers plusieurs destinations mais avec un unique paquet envoyé sur le réseau,
les adresses multicast IPv6 commencent par ffxx, elles sont énormément utilisées (remplacement du broadcast oblige), une adresse multicast désigne plusieurs hôtes sur le réseau.
Au niveau de l'adressage, il n'y a plus d'adresses réseaux ni d'adresses de broadcast.
On utilise uniquement les préfixes (en quelque sorte le remplaçant de l'adresse réseau en IPv4) et le masque CIDR (sa valeur désigne le nombre de bit de poids fort qui seront utilisés pour désigner l'adresse de réseau, en fait, la première adresse du réseau sera elle-même attribuable à un hôte.
en IPv4 on utilise 192.168.0.0/24 (/24 est d'ailleurs un masque CIDR correspondant au masque de sous réseau décimal 255.255.255.0) pour désigner la plage d'adresse 192.168.0.1 à 192.168.0.254.
En IPv6 2001:db8:dead:bed::/64 désigne un réseau, dont la plage IP s'étend de 2001:db8:dead:bed:: à 2001:db8:dead:bed:ffff:ffff:ffff:ffff
Par conformité, un réseau doit réserver au minimum 64 bits pour désigner les hôtes, (pour permettre l'auto-configuration sous windows par exemple :D , ce n'est pas obligatoire mais beaucoup d'avantages IPv6 seront perdus)

Sachez qu'en IPv6, il existe un type d'adresse link-local, les fameuses fe80::, qui servent à la communication sur un même réseau physique (niveau OSI 2), elles restent (normalement) inchangés pour une interface, elles ne traversent pas les routeurs (j'ai dit niveau OSI 2, en gros si vous êtes en IPv4 sur du 192.168.0.0/24 et PC B 192.168.1.0/24, vous ne pourrez pas contacter PC B avec une adresse fe80::/64, pour cela il faudra une adresse global unicast), si votre PC possède la pile IPv6, vous devriez d'ailleurs en avoir une.
Les adresses Link-local sont équivalentes aux adresses APIPA IPv4, 169.254.0.0/16, elles sont la base pour le reste d'IPv6...
NB : Sous windows (7, pas testé sur les autres) même les adresses link-local ne dérivent PAS de l'adresse MAC, elles sont générées une fois pour toute.

Disparition d'ARP, en effet c'est NDP (neighbor discovery protocol) qui viendra faire le lien entre la couche OSI 2 et 3, le fonctionnement est globalement le même si ce n'est qu'au lieu d'utiliser le broadcast, on utilisera cette-fois ci du multicast.

L'autoconfiguration est également une nouveauté, vous pourrez vous passer d'un serveur DHCP sur votre réseau, puisque désormais il suffit que le routeur diffuse un paquet appelé router-advertisment, il contient votre préfixe global unicast [2a01:e3x:xxxx:xxx0::/64 chez free], qui permettera à votre PC de s'auto-attribuer une adresse permettant de naviguer sur internet, tout ça sans NAT, sans besoin de redirection de port et tous ces machins, prévoyez tout de même un pare-feu :P , et pour les plus paranos, sachez que cette adresse n'est pas fixe (par défaut) sous windows, et ne dérive pas de votre adresse MAC.

À savoir qu'il est toujours possible d'utiliser un serveur DHCPv6, pour pouvoir s'y retrouver dans l'adressage :) (surtout utile pour le monde professionnel), et pour finir, la configuration en dur est bien sûr toujours possible.

En IPv6, un hôte peut avoir plusieurs adresses IP!

Q. Quand se fera le passage à IPv6
Ce n'est pas quelque chose qui sera fera un jour J, mais progressivement !
Actuellement il y a beaucoup d'OS dit dual-stack (double-pile), qui gèrent à la fois IPv4 et IPv6, malheureusement ce n'est pas le cas pour les routeurs/switchs sur le marché (que ce soit particulier ou professionnel).
Parfois on a recours à l'encapsulation (IPv6 dans IPv4).
Lorsqu'IPv6 sera plus déployé et utilisé qu'IPv4, IPv4 ne sera sans doute jamais abandonné, il y a pas mal d'applications dans le monde pro/industriel qui ne seront sans-doute jamais mises à jour, on fera alors de l'encapsulation, mais cette fois-ci, IPv4 dans IPv6.

Si vous activez IPv6, votre ordinateur continuera - heureusement :lol: - à gérer IPv4 :P

Q. Le NAT (IPv4) me protège des attaques venant d'internet !
Alors d'abord sachez qu'une petite explication s'impose, le NAT, traduction d'adresse réseau est venu à cause de la pénurie d'adresse IP, en effet, les réseaux 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16 sont destinées à un usage sur réseau privé, autrement dit qui est isolé d'internet.
Le NAT permet à une adresse appartenant à un réseau de ce type, d'être routé sur internet en utilisant une seule adresse IP, qui elle, est routable sur internet (souvent appelé IP public ou IP routable sur internet).
Une petite image :

Si le NAT a lui seul semble vous protéger, sans pare-feu il ne sert à rien, la seule chose qui vous protège en réalité, c'est que si vous vous amusez à envoyer des choses avec une IP comme celle-ci sur internet, votre paquet (vos données) iront directement à la poubelle, or, si votre routeur NAT ne dispose pas de pare-feu, il est aisé de forger un paquet que votre routeur transmettra dans votre réseau interne, le pare-feu et uniquement celui-ci permet d'éviter ce genre de choses.

En imaginant que les adresses IP soient une ressource infinie, voilà d'ailleurs - pour les plus curieux - à quoi ressembleraient nos réseaux :


NB: Ce dont je parle est évidemment le type de NAT le plus répendu (dynamique), il existe du NAT statique mais cela est très peu utilisé.

Q. Que faut-il faire au niveau sécurité ?
Il est indispensable de se munir d'un pare-feu par poste, en complément si possible (plus pour les professionnels ou geek, je donne à titre indicatif), d'un pare-feu au niveau de la passerelle par défaut (routeur), sous linux, on peut facilement retrouver une configuration similaire à ce qu'on faisait en IPv4 juste avec 2 lignes (avec une policy à DROP par défaut) :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
ip6tables -A FORWARD -i IF_LAN -o IF_WAN -m state --state NEW,RELATED,ESTABLISHED,UNTRACKED -j ACCEPT
ip6tables -A FORWARD -i IF_WAN -o IF_LAN -m state --state RELATED,ESTABLISHED -j ACCEPT

Dans ce cas, les connexions initialisées vers un hôte local seront autorisées seulement si cet hôte a initialisé lui-même la connexion, à vous après d'affiner selon vos geekeries :) (serveurs, P2P, VoIP, etc...) :P



Q. Comment accéder à l'IPv6 si mon FAI ne le permet pas ?
C'est là que 6in4 (ou protocole 41) est utile, il encapsule les paquets IPv6 dans des paquets IPv4, permettant l'acheminement de paquets IPv6 vers internet via ce qu'on appelle communément un tunnelbroker (un routeur appartenant à un prestataire qui va lire votre paquet IPv6, et le retransmettre nativement vers internet), ils sont généralement gratuit et fiable.
Afin de comprendre comment fonctionnent les tunnelbrokers, le 6in4, (http://www.tunnelbroker.net/, ou encore http://www.sixxs.net/ pour les plus connus) voici un petit schéma :

Pour le bon fonctionnement de ce système, le protocole 41 ethernet doit être redirigé vers le PC ayant la terminaison du tunnel.
Le protocole 41 est niveau OSI 2, c'est à dire ETHERNET, il est inutile de rediriger quelconque port udp/tcp (OSI 4), la dmz est l'unique solution à moins que vous possédiez un pc ou un routeur avec iptables ou autre firewall assez flexible au niveau de la configuration :D )

[shenron666]

Merci Bashy pour ce post
perso ça m'a permis de comprendre pas mal de choses concernant ipv6

des questions me viennent concernant le passage en ipv6 avec un réseau local :

• je suis chez free et j'ai la possibilité de demander à passer en ipv6 mon adresse internet, qu'est-ce que cela implique de le faire sachant que j'ai un réseau local chez moi avec la freebox en dhcp ?
• est-ce que je peux passer en ipv6 et ne rien changer à mon réseau local ?

si tu as réponse à ces quelques questions, ça m'intéresse

[Marco46]

Bonjour

C’est pareil pour tous les Pays.

La traçabilité de l’internaute compte plus que la plage IP.

Il est bien évident que lorsqu’on attribuera une adresse IP à la naissance d’un Humain, il sera plus facile de le suivre que sa voiture.

Ça sera surtout plus facile d'héberger des données. Mais une adresse correspondant à une connexion et non à une personne je vois mal comment on va attribuer une IP à la naissance.

Stop la parano.