Projet

Général

Profil

IPv6 » Historique » Version 100

Laurent GUERBY, 06/06/2013 22:32

1 56 Laurent GUERBY
{{>toc}}
2 56 Laurent GUERBY
3 1 Laurent GUERBY
h1. IPv6
4 1 Laurent GUERBY
5 34 Laurent GUERBY
Déploiement a tetaneutral.net : #35
6 1 Laurent GUERBY
7 34 Laurent GUERBY
h2. Liens
8 2 Laurent GUERBY
9 59 Laurent GUERBY
[[WorldIPv6Launch20120606]]
10 59 Laurent GUERBY
11 5 Laurent GUERBY
General
12 5 Laurent GUERBY
13 2 Laurent GUERBY
* http://en.wikipedia.org/wiki/ICMPv6
14 3 Laurent GUERBY
* http://en.wikipedia.org/wiki/Neighbor_Discovery_Protocol
15 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/Radvd
16 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/DHCPv6
17 69 Laurent GUERBY
** https://wikispaces.psu.edu/display/ipv6/DHCPv6
18 43 Laurent GUERBY
* http://www.iana.org/assignments/icmpv6-parameters
19 45 Laurent GUERBY
20 45 Laurent GUERBY
Statistics
21 45 Laurent GUERBY
22 44 Laurent GUERBY
* http://bgp.he.net/ipv6-progress-report.cgi
23 45 Laurent GUERBY
* https://labs.ripe.net/Members/mirjam/content-ipv6-measurement-compilation
24 46 Laurent GUERBY
* http://www.ripe.net/internet-coordination/ipv4-exhaustion/ipv4-available-pool-graph
25 76 Laurent GUERBY
* http://www.google.com/ipv6/statistics.html
26 76 Laurent GUERBY
* http://julien.vaubourg.com/files/lothaire-yarding_ipv6.pdf
27 77 Matthieu Herrb
* https://www.ams-ix.net/technical/statistics/sflow-stats/ipv6-traffic
28 5 Laurent GUERBY
29 5 Laurent GUERBY
Linux
30 5 Laurent GUERBY
31 5 Laurent GUERBY
* http://madduck.net/docs/ipv6/
32 5 Laurent GUERBY
* http://tldp.org/HOWTO/Linux+IPv6-HOWTO/
33 29 Laurent GUERBY
* http://linux.die.net/man/8/rdisc6
34 38 Laurent GUERBY
* bind IPv4+IPv6 /proc/sys/net/ipv6/bindv6only http://www.kernel.org/doc/man-pages/online/pages/man7/ipv6.7.html
35 1 Laurent GUERBY
* sileht : comme arpwatch mais en ipv6 http://ndpmon.sourceforge.net/
36 49 Laurent GUERBY
* sileht : proxy NDP auto http://www.priv.nu/projects/ndppd/  et https://github.com/Tuhox/ndppd
37 81 Laurent GUERBY
* dachary : hairpin_mode issue nova https://bugs.launchpad.net/nova/+bug/1011134
38 83 Laurent GUERBY
* https://wiki.archlinux.org/index.php/IPv6
39 20 Laurent GUERBY
40 21 Laurent GUERBY
Tunnels
41 21 Laurent GUERBY
42 21 Laurent GUERBY
* http://en.wikipedia.org/wiki/List_of_IPv6_tunnel_brokers
43 21 Laurent GUERBY
* http://tunnelbroker.net
44 21 Laurent GUERBY
* http://sonic.net/features/ipv6/
45 21 Laurent GUERBY
46 23 Laurent GUERBY
Misc
47 23 Laurent GUERBY
48 37 Laurent GUERBY
* Cool IPv6 stuff http://www.sixxs.net/misc/coolstuff/
49 23 Laurent GUERBY
* http://interviews.slashdot.org/story/11/10/25/1532213/vint-cerf-answers-your-questions-about-ipv6-and-more
50 24 Laurent GUERBY
* http://infosecblog.antonaylward.com/2010/08/05/re-opensuse-ipv6-nat-was-113-and-ssh-x-forwarding-not-working/
51 41 Laurent GUERBY
* conférence JRES 2011 http://stream.ut-capitole.fr/jres2011/57.html
52 51 Laurent GUERBY
* http://vincent.riquer.fr/blog/archives/2010/04/11/openvpn__ipv6__bind__happiness/index.html
53 53 Laurent GUERBY
* http://blog.si6networks.com/2012/02/ipv6-nids-evasion-and-improvements-in.html
54 55 Laurent GUERBY
* https://vador.fdn.fr/wiki/support:faq:ipv6
55 59 Laurent GUERBY
* http://blog.si6networks.com/2012/02/ipv6-nids-evasion-and-improvements-in.html
56 60 Laurent GUERBY
* http://www.cisco.com/en/US/docs/ios/ipv6/configuration/guide/ip6-first_hop_security.html#wp1054246
57 60 Laurent GUERBY
* http://tools.ietf.org/html/draft-ietf-v6ops-ra-guard-implementation-01
58 84 Laurent GUERBY
* http://www.ripe.net/lir-services/training/material/IPv6-for-LIRs-Training-Course/IPv6_addr_plan4.pdf
59 97 Laurent GUERBY
* http://www.si6networks.com/tools/ipv6toolkit
60 98 Laurent GUERBY
* Using Only Link-Local Addressing Inside an IPv6 Network https://tools.ietf.org/html/draft-ietf-opsec-lla-only-03
61 23 Laurent GUERBY
62 22 Laurent GUERBY
Opérateurs
63 22 Laurent GUERBY
64 22 Laurent GUERBY
* DS-Lite chez FT http://www.ietf.org/mail-archive/web/v6ops/current/msg10652.html
65 27 Laurent GUERBY
* IPv6 chez comcast http://tech.slashdot.org/story/11/11/09/174217/comcast-begins-native-ipv6-deployment-to-end-users
66 28 Laurent GUERBY
* DHCP-PD http://ipv6.internode.on.net/
67 67 Laurent GUERBY
* Ninux [[AirOS]] vs [[OpenWRT]] retour d'experience http://blog.ninux.org/2012/06/06/the-ipv6-deployment-in-the-ninux-community-network/
68 22 Laurent GUERBY
69 68 Laurent GUERBY
Tests
70 68 Laurent GUERBY
71 68 Laurent GUERBY
* http://ip6.nl/
72 68 Laurent GUERBY
73 64 Laurent GUERBY
h2. RIPE
74 64 Laurent GUERBY
75 64 Laurent GUERBY
* IPv6 Address Allocation and Assignment Policy 
76 64 Laurent GUERBY
** http://www.ripe.net/ripe/docs/ripe-552
77 64 Laurent GUERBY
* RIPE Routing Working Group Recommendations on IPv6 Route Aggregation
78 64 Laurent GUERBY
** http://www.ripe.net/ripe/docs/ripe-532
79 64 Laurent GUERBY
80 62 Laurent GUERBY
h2. Configuration d'un LAN « IPv6 only » sous debian
81 62 Laurent GUERBY
82 62 Laurent GUERBY
* [[NAT64DNS64]]
83 62 Laurent GUERBY
* [[THSF 2012]]
84 62 Laurent GUERBY
85 65 Laurent GUERBY
h2. Debian
86 65 Laurent GUERBY
87 65 Laurent GUERBY
* http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=643594
88 65 Laurent GUERBY
** ebtables: v2.0.10-1 wish for ipv6-icmp and security
89 66 Laurent GUERBY
** fixé le 5 juin 2012
90 66 Laurent GUERBY
** voir aussi [[Spoofing]]
91 83 Laurent GUERBY
92 83 Laurent GUERBY
h2. Discovery
93 83 Laurent GUERBY
94 83 Laurent GUERBY
RFC4291 https://tools.ietf.org/html/rfc4291
95 83 Laurent GUERBY
96 83 Laurent GUERBY
Pinging the multicast address ff02::1 results in all hosts in link-local scope responding. An interface has to be specified. With a ping to the multicast address ff02::2 only routers will respond.
97 83 Laurent GUERBY
If you add an option -I <your-global-ipv6>, link-local hosts will respond with their link-global scope addresses. 
98 65 Laurent GUERBY
99 30 Laurent GUERBY
h2. Désactiver la configuration automatique
100 30 Laurent GUERBY
101 79 Laurent GUERBY
http://lists.tetaneutral.net/pipermail/technique/2011-November/000086.html
102 79 Laurent GUERBY
103 57 Bernard Urban
Un serveur aura typiquement une configuration entièrement statique assignée par l'hébergeur, laisser la configuration dynamique activée est un risque de voir un tiers prendre le controle du routage serveur ou l'empécher de fonctionner via l'envoi d'une configuration dynamique erronée. Il est donc préférable de désactiver la configuration dynamique IPv6 sur une VM ou serveur physique hébergé chez tetaneutral.net. Si votre VM est en mode routeur (c'est à dire la commande "more /proc/sys/net/ipv6/conf/all/forwarding" renvoit 1), cette désactivation est implicite, voir dans le source du noyau Linux le fichier "Documentation/networking/ip-sysctl.txt")
104 30 Laurent GUERBY
105 33 Laurent GUERBY
En version rapide executer sur sa VM ou machine en root la ligne suivante :
106 30 Laurent GUERBY
107 1 Laurent GUERBY
<pre>
108 33 Laurent GUERBY
wget -qO - http://tetaneutral.net/ipv6/ipv6noauto.sh | bash
109 33 Laurent GUERBY
</pre>
110 33 Laurent GUERBY
111 35 Laurent GUERBY
Le détail de ce que fait ce script ci-après.
112 33 Laurent GUERBY
113 33 Laurent GUERBY
h3. Désactiver autoconf et accept_ra pour la session en cours
114 33 Laurent GUERBY
115 99 Laurent GUERBY
https://github.com/NLNOG/ring-puppet/blob/master/files/etc/sysctl.d/30-disable-accepting-ipv6-ra.conf
116 99 Laurent GUERBY
117 33 Laurent GUERBY
Executer en root la ligne suivante :
118 33 Laurent GUERBY
119 33 Laurent GUERBY
<pre>
120 30 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do for j in autoconf accept_ra; do echo 0 > $i/$j; done;done
121 30 Laurent GUERBY
</pre>
122 1 Laurent GUERBY
123 33 Laurent GUERBY
h3. Le rendre permanent en cas de reboot
124 31 Laurent GUERBY
125 33 Laurent GUERBY
Editer la section inte6 de /etc/network/interfaces  pour ajouter deux "pre-up" entre la ligne "iface" et la ligne "address" :
126 30 Laurent GUERBY
127 30 Laurent GUERBY
<pre>
128 30 Laurent GUERBY
iface eth0 inet6 static
129 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
130 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
131 1 Laurent GUERBY
   address ...
132 30 Laurent GUERBY
</pre>
133 30 Laurent GUERBY
134 57 Bernard Urban
Créer un fichier pour sysctl :
135 30 Laurent GUERBY
136 30 Laurent GUERBY
<pre>
137 32 Laurent GUERBY
cat > /etc/sysctl.d/local-ipv6.conf <<EOF
138 30 Laurent GUERBY
139 30 Laurent GUERBY
# No IPV6 RA or autoconf
140 30 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
141 30 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
142 30 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
143 1 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
144 1 Laurent GUERBY
145 1 Laurent GUERBY
EOF
146 33 Laurent GUERBY
</pre>
147 33 Laurent GUERBY
148 33 Laurent GUERBY
149 35 Laurent GUERBY
h3. Référence : source du script ipv6noauto.sh
150 33 Laurent GUERBY
151 33 Laurent GUERBY
<pre>
152 33 Laurent GUERBY
echo deactivating autoconf and accept_ra
153 33 Laurent GUERBY
154 33 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do 
155 33 Laurent GUERBY
 for j in autoconf accept_ra; do 
156 33 Laurent GUERBY
  echo $i/$j
157 33 Laurent GUERBY
  echo 0 > $i/$j
158 33 Laurent GUERBY
 done
159 33 Laurent GUERBY
done
160 33 Laurent GUERBY
161 33 Laurent GUERBY
162 33 Laurent GUERBY
F=/etc/network/interfaces
163 33 Laurent GUERBY
if ! grep accept_ra $F >& /dev/null; then
164 33 Laurent GUERBY
 echo fixing /etc/network/interfaces
165 33 Laurent GUERBY
 cp -f $F $F.save
166 33 Laurent GUERBY
 sed -e 's,iface eth0 inet6 static,iface eth0 inet6 static\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf,g' < $F.save > $F
167 33 Laurent GUERBY
fi
168 33 Laurent GUERBY
169 33 Laurent GUERBY
if [ ! -f /etc/sysctl.d/local-ipv6.conf ]; then
170 33 Laurent GUERBY
 echo creating /etc/sysctl.d/local-ipv6.conf
171 33 Laurent GUERBY
172 33 Laurent GUERBY
 cat > /etc/sysctl.d/local-ipv6.conf <<EOF
173 33 Laurent GUERBY
174 33 Laurent GUERBY
# No IPV6 RA or autoconf
175 33 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
176 33 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
177 33 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
178 33 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
179 33 Laurent GUERBY
180 33 Laurent GUERBY
EOF
181 33 Laurent GUERBY
182 33 Laurent GUERBY
fi
183 33 Laurent GUERBY
184 33 Laurent GUERBY
echo done
185 30 Laurent GUERBY
</pre>
186 30 Laurent GUERBY
187 56 Laurent GUERBY
h2. ARP cache limits
188 30 Laurent GUERBY
189 56 Laurent GUERBY
TODO via Cyril B.
190 56 Laurent GUERBY
191 56 Laurent GUERBY
<pre>
192 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh1 = 1024
193 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh2 = 2048
194 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh3 = 4096
195 56 Laurent GUERBY
</pre>
196 30 Laurent GUERBY
197 25 Laurent GUERBY
h2. Pièges
198 25 Laurent GUERBY
199 25 Laurent GUERBY
Attention a bien mettre les zéros en fin de mot :
200 1 Laurent GUERBY
201 25 Laurent GUERBY
Ne pas mettre 2a01:6600:8081:XX:: car c'est 2a01:6600:8081: *00* XX::
202 26 Laurent GUERBY
Utiliser 2a01:6600:8081: *XX00* ::
203 22 Laurent GUERBY
204 34 Laurent GUERBY
h2. Comment activer le routage sur son /56 IPv6 ?
205 7 Jérôme Nicolle
206 34 Laurent GUERBY
Chaque IPv4 livrée par tetaneutral.net est associé à un /56 IPv6, avec une équivalence /24  = 256 IPv4 <=> /48 = 256 /56 IPv6
207 7 Jérôme Nicolle
208 8 Laurent GUERBY
h2. Discussions
209 1 Laurent GUERBY
210 8 Laurent GUERBY
> J'ai fait quelques essais: VM configuré en routeur, openvpn entre la VM
211 8 Laurent GUERBY
> et ma machine, histoire de simuler des interfaces. J'ai essayé radvd
212 8 Laurent GUERBY
> comme des définitions manuelles des adresses IPv6.
213 8 Laurent GUERBY
> 
214 8 Laurent GUERBY
> Bon, ça marche depuis la VM mais pas depuis chez moi (wget
215 8 Laurent GUERBY
> http://ipv6.google.com), même si les paquets IPv6 (vu avec tcpdump)
216 8 Laurent GUERBY
> partent bien de la VM vers l'internet. Mais il n'y a pas de retour.
217 8 Laurent GUERBY
> 
218 8 Laurent GUERBY
> Après quelques cogitations et la lecture de ceci:
219 8 Laurent GUERBY
> http://www.fdn.fr/IPv6-a-la-maison.html j'en arrive à ces
220 8 Laurent GUERBY
> réflexions:
221 8 Laurent GUERBY
> 
222 8 Laurent GUERBY
> 1) Dans le blog FDN ci-dessus l'adresse IPv6 affectée au ppp0 n'est pas
223 8 Laurent GUERBY
> dans son /48; ce qui voudrait dire qu'il n'y a pas de raison d'affecter
224 8 Laurent GUERBY
> une IPv6 du /56 au eth0 des VM tetaneutral.
225 8 Laurent GUERBY
> 
226 8 Laurent GUERBY
> 2) Pour faire marcher une telle config à FDN, le routeur FDN en amont du
227 8 Laurent GUERBY
> modem/routeur de l'abonné devrait avoir une route du type:
228 8 Laurent GUERBY
> ip -6 route add range/48 dev ppp-abonné via link-local-ppp-abonné
229 8 Laurent GUERBY
> soit chez nous:
230 8 Laurent GUERBY
> ip -6 route add range/56 dev eth0-vm via link-local-eth0-vm
231 8 Laurent GUERBY
> 
232 8 Laurent GUERBY
> > du /56 via une interconnection explicite entre le routeur de
233 8 Laurent GUERBY
> > tetaneutral.net et un routeur chez le membre ?
234 8 Laurent GUERBY
> 
235 8 Laurent GUERBY
> Un lien openvpn?
236 8 Laurent GUERBY
237 8 Laurent GUERBY
Bonsoir,
238 8 Laurent GUERBY
239 8 Laurent GUERBY
On peut rajouter une regle de routage comme tu le suggere,
240 8 Laurent GUERBY
reste a choisir les details pratiques.
241 8 Laurent GUERBY
242 8 Laurent GUERBY
Pour la link-local coté routeur on a choisi fe80::31 en statique il
243 8 Laurent GUERBY
reste a choisir une regle pour attribuer le link local coté client. 
244 8 Laurent GUERBY
245 8 Laurent GUERBY
Une regle automatique basée sur l'IPv4 est en place pour
246 8 Laurent GUERBY
l'attribution du subnet IPv6 :
247 8 Laurent GUERBY
248 8 Laurent GUERBY
http://wiki.tetaneutral.net/index.php/Architecture
249 8 Laurent GUERBY
250 8 Laurent GUERBY
Une regle similaire pour le routage donnerait par exemple fe80::81:XY
251 8 Laurent GUERBY
ou XY est le dernier octet de l'IPv4 ecrit en hexadecimal
252 8 Laurent GUERBY
pour la link local coté client.
253 8 Laurent GUERBY
254 8 Laurent GUERBY
L'avantage d'une regle statique vs le SLAAC c'est que c'est un peu plus
255 8 Laurent GUERBY
flexible coté client sur le choix de l'equipement routeur.
256 8 Laurent GUERBY
257 8 Laurent GUERBY
L'avantage du routé est bien sur la flexibilité et la sécurisation
258 8 Laurent GUERBY
potentielle, l'inconvenient est qu'avec nos equipements actuels peu
259 8 Laurent GUERBY
puissant on perdra un peu en debit mais ça se corrigera avec
260 8 Laurent GUERBY
de nouveaux equipements.
261 8 Laurent GUERBY
262 8 Laurent GUERBY
Je suis vraiment curieux de savoir comment font les autres hebergeurs
263 8 Laurent GUERBY
dans le monde IPv6, ceux auxquels j'ai acces ne proposent pas de
264 8 Laurent GUERBY
routage, simplement ce que propose tetaneutral.net actuellement.
265 8 Laurent GUERBY
266 8 Laurent GUERBY
Suggestions ?
267 8 Laurent GUERBY
268 15 Bernard Urban
h2. Connectivité IPv6 complète depuis chez vous en quelques étapes simples
269 9 Bernard Urban
270 10 Bernard Urban
Connectivité complète signifie que toutes vos machines pouvant fonctionner en IPv6 peuvent accéder des sites IPv6 externes mais surtout être joignables de l'extérieur sur une adresse IPv6 propre. Pas de NAT ou autre bidouille de ce genre. Implications en terme d'autohébergement et sécurité laissées en exercice. 
271 9 Bernard Urban
272 11 Bernard Urban
Pour bien comprendre ce qui suit, il est recommandé d'avoir un peu potassé les hyperliens plus haut et mieux encore d'avoir joué avec l'IPv6 sur votre réseau local maison en utilisant par exemple des adresses ULA.
273 1 Laurent GUERBY
274 10 Bernard Urban
h3. Etape 1: obtenir une machine virtuelle Tetaneutral. 
275 10 Bernard Urban
276 10 Bernard Urban
Celle-ci (on l'appellera VM dans la suite) sera configurée par défaut comme suit dans /etc/network/interfaces du point de vue IPv6:
277 1 Laurent GUERBY
<pre>
278 1 Laurent GUERBY
iface eth0 inet6 static
279 57 Bernard Urban
   # les 2 lignes qui suivent ne seront pas nécessaires lorsque 
280 57 Bernard Urban
   # plus loin nous passerons en mode routeur
281 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
282 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
283 9 Bernard Urban
   address 2a01:6600:80XX:YY00::1
284 1 Laurent GUERBY
   netmask 56
285 1 Laurent GUERBY
   gateway fe80::31
286 1 Laurent GUERBY
</pre>
287 1 Laurent GUERBY
288 100 Laurent GUERBY
où XX et YY vous sont donnés par les administrateurs de tetaneutral.net.
289 10 Bernard Urban
290 11 Bernard Urban
Voyons ce qu'implique la prise en compte par le système de ce fragment de /etc/network/interfaces. Il dit que:
291 10 Bernard Urban
# l'adresse 2a01:6600:80XX:YY00::1 est affectée à eth0, ce qui signifie que votre VM est accessible à cette adresse depuis l'intérieur de la VM comme depuis l'extérieur par toutes les machines du même segment réseau que eth0
292 10 Bernard Urban
# les paquets passant par votre VM peuvent atteindre les adresses de la plage 2a01:6600:80XX:YY00::/56 en étant envoyés en sortie de l'interface eth0
293 10 Bernard Urban
294 10 Bernard Urban
La plage 2a01:6600:80XX:YY00::/56 a été allouée par tetaneutral à votre VM. Notre problème est d'allouer une partie de ces adresses à des machines de notre domicile en utilisant l'accès que nous avons (en IPv4!) à la VM.
295 1 Laurent GUERBY
296 1 Laurent GUERBY
Avec cette configuration, vous pouvez héberger sur la VM des milliards de serveurs avec des adresses IPv6 différentes, il suffit de les ajouter à eth0 par une commande du type:
297 10 Bernard Urban
<pre>
298 57 Bernard Urban
ip -6 address add une-adresse-ipv6-de-votre-plage/56 dev eth0
299 10 Bernard Urban
</pre>
300 11 Bernard Urban
Le /56 n'est pas absolument nécessaire, il évite juste de rajouter une route plus spécifique pour atteindre votre nouvelle adresse IPv6 depuis votre VM, route qui s'avère redondante.
301 10 Bernard Urban
302 1 Laurent GUERBY
Le lecteur attentif aura noté que cette configuration déclare que toutes les adresses de votre plage sont situées derrière eth0, en dehors de la partie contrôlée par votre VM, et il semble impossible alors d'en distraire une partie. Il y a au moins deux solutions à ce problème:
303 1 Laurent GUERBY
# S'arranger pour que les segments réseau de votre domicile fassent partie de celui partant de eth0 sur la VM. Celà revient techniquement à bridger ces segments réseaux. Cette solution a cependant des inconvénients en terme de configurabilité et de sécurité.
304 12 Bernard Urban
# Réduire la plage IPv6 allouée derrière l'eth0 de la VM et réallouer le solde à votre réseau local maison, par des techniques de routage. C'est ce qu'on va décrire dans la suite. Mais d'abord, on a besoin d'un peu de collaboration de Tetaneutral. 
305 1 Laurent GUERBY
306 11 Bernard Urban
h3. Etape 2: faire router votre plage /56 par Tetaneutral.
307 1 Laurent GUERBY
308 11 Bernard Urban
Dans la configuration par défaut des VM Tetaneutral, l'hôte des VM crée la route vers l'adresse 2a01:6600:80XX:YY00::1 (et des autres que vous rajoutez éventuellement à la main sur eth0) par l'utilisation de l'équivalent IPv6 d'ARP. Il est donc impossible de router vers une adresse qui n'existe pas sur cet eth0. 
309 11 Bernard Urban
310 11 Bernard Urban
Tetaneutral doit donc rajouter une route explicite:
311 11 Bernard Urban
<pre>
312 11 Bernard Urban
ip -6 route add 2a01:6600:80XX:YY00::/56 via fe80::XX:YY dev votre-eth0-côté-hôte
313 11 Bernard Urban
</pre>
314 11 Bernard Urban
315 1 Laurent GUERBY
Celà n'a de sens que si fe80::XX:YY une des adresses de l'eth0 côté VM. Il faut donc l'ajouter et le mieux est de le faire via une directive 'up' dans /etc/network/interfaces:
316 1 Laurent GUERBY
<pre>
317 1 Laurent GUERBY
iface eth0 inet6 static
318 57 Bernard Urban
   # les 2 lignes qui suivent ne seront pas nécessaires lorsque 
319 57 Bernard Urban
   # plus loin nous passerons en mode routeur
320 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
321 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
322 11 Bernard Urban
   address 2a01:6600:80XX:YY00::1
323 11 Bernard Urban
   netmask 64
324 11 Bernard Urban
   gateway fe80::31   
325 11 Bernard Urban
   up ip -6 add add fe80::XX:YY dev eth0
326 1 Laurent GUERBY
</pre>
327 11 Bernard Urban
328 14 Bernard Urban
Mon lecteur toujours très attentif n'aura pas manqué de noter que netmask ci-dessus est passé de 56 à 64. Nous n'allouons donc maintenant plus toutes nos adresses IPv6 sur le segment réseau partant d'eth0. En particulier, nous allons voir maintenant comment récupérer la sous-plage 2a01:6600:80XX:YY01::/64 pour notre réseau à domicile. 
329 1 Laurent GUERBY
330 14 Bernard Urban
+Remarque:+ la sous-plage doit être /64, sinon l'adressage automatique des interfaces réseau qu'on verra plus loin ne marchera pas.
331 12 Bernard Urban
332 13 Bernard Urban
h3. Etape 3: simuler un lien ethernet entre une machine à domicile et cette VM.
333 1 Laurent GUERBY
334 11 Bernard Urban
Les technologies VPN/tunnel sont le pendant réseau des machines virtuelles: elles permettent de créer des interfaces réseaux virtuelles (du point de vue hardware, mais bien réelles d'un point de vue logiciel) et de les connecter entre elles. 
335 1 Laurent GUERBY
336 12 Bernard Urban
Tout comme les machines virtuelles nécessitent quand même un minimum de support silicium, un VPN/tunnel va nécessiter de s'appuyer sur une vraie liaison entre deux vraies interfaces réseau, en l'occurence pour nous la liaison internet IPv4 entre autre utilisée pour l'administration de la VM depuis votre domicile. Plus précisément, nous allons utiliser l'outil openvpn.
337 11 Bernard Urban
338 11 Bernard Urban
La première étape va consister à installer openvpn en mode serveur sur la VM. Le fichier suivant est à créer dans /etc/openvpn/myris.conf:
339 11 Bernard Urban
<pre>
340 11 Bernard Urban
dev tap
341 11 Bernard Urban
proto udp
342 11 Bernard Urban
local 91.224.xx.yy
343 11 Bernard Urban
float
344 11 Bernard Urban
ca myris/ca.crt
345 11 Bernard Urban
cert myris/myris.crt
346 11 Bernard Urban
key myris/myris.key
347 11 Bernard Urban
dh myris/dh1024.pem
348 11 Bernard Urban
tls-server
349 11 Bernard Urban
port 1194
350 11 Bernard Urban
ping 15
351 11 Bernard Urban
ping-restart 45
352 11 Bernard Urban
# car serveur
353 11 Bernard Urban
ping-timer-rem
354 11 Bernard Urban
persist-tun
355 11 Bernard Urban
persist-key
356 11 Bernard Urban
ifconfig 10.0.0.2 255.255.255.252
357 11 Bernard Urban
route ipv4-adresse-client-openvpn-domicile 255.255.255.255 10.0.0.1
358 11 Bernard Urban
script-security 3 system
359 11 Bernard Urban
route-up "/sbin/ip -6 addr add 2a01:6600:80XX:YY01::1/64 dev tap0"
360 11 Bernard Urban
</pre>
361 11 Bernard Urban
362 11 Bernard Urban
+Remarque:+ le paramètre route-up contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Cette commande est nécessaire pour créer sur la VM une route vers la bonne interface pour la plage 2a01:6600:80XX:YY01::/64. Pour que le serveur openvpn soit toujours présent, il faut ajouter
363 11 Bernard Urban
<pre>
364 11 Bernard Urban
AUTOSTART="myris"
365 11 Bernard Urban
</pre>
366 11 Bernard Urban
à /etc/default/openvpn.
367 11 Bernard Urban
368 11 Bernard Urban
Sur la machine à domicile, il faut une installation en mode client, pourquoi pas le même nom de fichier que le serveur, mais pas le même contenu:
369 11 Bernard Urban
<pre>
370 11 Bernard Urban
dev tap
371 11 Bernard Urban
proto udp
372 11 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
373 11 Bernard Urban
remote 91.224.xx.yy
374 11 Bernard Urban
ca myris/ca.crt
375 11 Bernard Urban
cert myris/client.crt
376 11 Bernard Urban
key myris/client.key
377 11 Bernard Urban
tls-client
378 11 Bernard Urban
port 1194
379 11 Bernard Urban
ping 15
380 11 Bernard Urban
ping-restart 45
381 11 Bernard Urban
persist-tun
382 11 Bernard Urban
persist-key
383 1 Laurent GUERBY
ifconfig 10.0.0.1 255.255.255.252
384 11 Bernard Urban
route 0.0.0.0 0.0.0.0 10.0.0.2
385 1 Laurent GUERBY
</pre>
386 1 Laurent GUERBY
387 15 Bernard Urban
L'adresse ipv4-adresse-client-openvpn-domicile est toute adresse qui permet d'accéder Internet depuis la machine accueillant l'openvpn client; en général, ce ne sera donc pas votre adresse IP externe allouée par votre FAI, elle sera plutôt du genre 192.168.*.*. ou 10.*.*.*. Il est supposé bien sûr dans l'exemple ci-dessus que vous n'utilisez pas 10.0.0.0/30 chez vous, elle a été réservée au lien openvpn. 
388 1 Laurent GUERBY
389 14 Bernard Urban
Les répertoires /etc/openvpn/myris sur VM et machine cliente contiendront les divers certificats et clés, qu'il faut générer. Voici comment faire:
390 14 Bernard Urban
<pre>
391 14 Bernard Urban
cd un-répertoire de travail
392 14 Bernard Urban
cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/ .
393 14 Bernard Urban
cd 2.0
394 14 Bernard Urban
# Editez à votre convenance les 5 dernières variables d'environnement de type KEY_* du fichier vars
395 14 Bernard Urban
source ./vars
396 14 Bernard Urban
./clean-all
397 14 Bernard Urban
./build-dh
398 14 Bernard Urban
./pkitool --initca
399 14 Bernard Urban
./pkitool --server myris
400 14 Bernard Urban
./pkitool client
401 14 Bernard Urban
</pre>
402 14 Bernard Urban
403 14 Bernard Urban
et les fichiers recherchés se trouvent dans le sous-répertoire keys. Le seul fichier commun aux 2 extrémités du lien openvpn est ca.crt.
404 14 Bernard Urban
405 12 Bernard Urban
h3. Etape 4: passer la VM en mode routeur et annoncer des routes pour votre réseau à domicile avec radvd.
406 11 Bernard Urban
407 1 Laurent GUERBY
Pour autoriser les paquets à être routés sur la VM entre eth0 et tap0, il faut passer en mode routeur:
408 1 Laurent GUERBY
<pre>
409 58 Bernard Urban
echo 1 >/proc/sys/net/ipv6/conf/all/forwarding
410 1 Laurent GUERBY
</pre>
411 57 Bernard Urban
412 57 Bernard Urban
Il est encore mieux de conserver ce mode au reboot en rajoutant la ligne:
413 57 Bernard Urban
<pre>
414 57 Bernard Urban
net.ipv6.conf.all.forwarding=1
415 1 Laurent GUERBY
</pre>
416 58 Bernard Urban
417 57 Bernard Urban
dans le fichier "/etc/sysctl.conf"
418 57 Bernard Urban
419 57 Bernard Urban
Cette option entraine aussi que votre VM ne s'autoconfigure plus en IPv6 (i.e. les lignes "pre-up" vues plus haut dans "/etc/network/interfaces" ne sont plus nécessaires).
420 1 Laurent GUERBY
421 12 Bernard Urban
Nous allons maintenant mettre en place une configuration automatique d'adresses IPv6 de toutes les machines du segment réseau partant du tap0 de la VM (soit le tap0 du client openvpn, mais après l'étape suivante toutes les interfaces de votre réseau local). Nous utiliserons pour celà l'outil radvd, avec le fichier de configuration /etc/radvd.conf:
422 11 Bernard Urban
<pre>
423 11 Bernard Urban
interface tap0
424 11 Bernard Urban
{
425 12 Bernard Urban
  IgnoreIfMissing on;
426 11 Bernard Urban
  AdvSendAdvert on;
427 11 Bernard Urban
  AdvLinkMTU 1280;
428 11 Bernard Urban
  prefix 2a01:6600:80XX:YY01::/64
429 11 Bernard Urban
  {
430 1 Laurent GUERBY
    AdvOnLink on;
431 11 Bernard Urban
    AdvAutonomous on;
432 11 Bernard Urban
  };
433 1 Laurent GUERBY
};
434 1 Laurent GUERBY
</pre>
435 11 Bernard Urban
436 12 Bernard Urban
+Remarque:+ le fichier contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Par ailleurs, il est possible d'interdire à une machine de s'autoconfigurer, mais ce n'est pas le défaut pour Linux et j'ai supposé que vous ne l'avez pas modifié. 
437 11 Bernard Urban
438 13 Bernard Urban
h3. Etape 5: bridger les interfaces réseau du client openvpn
439 1 Laurent GUERBY
440 1 Laurent GUERBY
A ce stade, la machine openvpn cliente peut accéder l'internet IPv6, car radvd aura placé une route par défaut via son tap0. Si vous bridgez maintenant ce tap0 avec son eth0 (normalement relié au reste de votre réseau local), toutes les machines de ce réseau local vont s'assigner au bout de quelques minutes une adresse tirée de la plage 2a01:6600:80XX:YY01::/64, et une route par défaut via le tap0 du client openvpn: c'est ce qu'on voulait obtenir.
441 13 Bernard Urban
442 13 Bernard Urban
Voici les incantations magiques nécessaires:
443 13 Bernard Urban
<pre>
444 13 Bernard Urban
# on suppose qu'eth0 a l'adresse 192.168.0.1/24
445 13 Bernard Urban
brctl addbr br0
446 13 Bernard Urban
brctl addif br0 eth0
447 1 Laurent GUERBY
brctl addif br0 tap0
448 1 Laurent GUERBY
# à ce stade, le machine hébergeant le client openvpn n'est plus adressable
449 1 Laurent GUERBY
# mais il est dans la plupart des cas utile de lui en redonner une, en général celle d'eth0  
450 1 Laurent GUERBY
ip addr add 192.168.0.1/24 dev br0
451 1 Laurent GUERBY
</pre>
452 14 Bernard Urban
453 16 Bernard Urban
Il peut être intéressant de bridger par défaut eth0 et un tap0 prédéfini sur br0 dès le boot par une section de ce type dans /etc/network/interfaces: 
454 14 Bernard Urban
<pre>
455 14 Bernard Urban
auto br0
456 14 Bernard Urban
iface br0 inet static
457 14 Bernard Urban
    address 192.168.1.10
458 14 Bernard Urban
    netmask 255.255.255.0
459 1 Laurent GUERBY
    broadcast 192.168.0.255
460 1 Laurent GUERBY
    gateway 192.168.1.1
461 16 Bernard Urban
    bridge_ports eth0 tap0
462 16 Bernard Urban
    pre-up tunctl -t tap0
463 15 Bernard Urban
</pre> 
464 16 Bernard Urban
où la section 'iface br0' remplace 'iface eth0'.
465 1 Laurent GUERBY
466 16 Bernard Urban
Il faut ensuite modifier le configuration cliente /etc/openvpn/myris.conf comme suit:
467 1 Laurent GUERBY
<pre>
468 16 Bernard Urban
# on définit explicitement le tap0
469 16 Bernard Urban
dev tap0
470 16 Bernard Urban
proto udp
471 16 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
472 16 Bernard Urban
remote 91.224.xx.yy
473 16 Bernard Urban
ca myris/ca.crt
474 16 Bernard Urban
cert myris/client.crt
475 16 Bernard Urban
key myris/client.key
476 16 Bernard Urban
tls-client
477 16 Bernard Urban
port 1194
478 16 Bernard Urban
ping 15
479 16 Bernard Urban
ping-restart 45
480 16 Bernard Urban
persist-tun
481 16 Bernard Urban
persist-key
482 16 Bernard Urban
# ifconfig et route ont disparus et sont remplacés par ce qui suit, 
483 16 Bernard Urban
# qui fait la même chose appliqué à br0 et non pas tap0
484 1 Laurent GUERBY
script-security 3 system
485 16 Bernard Urban
up /etc/openvpn/myris-up.sh
486 16 Bernard Urban
down /etc/openvpn/myris-down.sh
487 1 Laurent GUERBY
</pre> 
488 16 Bernard Urban
489 16 Bernard Urban
où /etc/openvpn/myris-up.sh vaut:
490 16 Bernard Urban
<pre>
491 16 Bernard Urban
#! /bin/sh
492 16 Bernard Urban
/sbin/ip addr add 10.0.0.1/30 dev br0
493 16 Bernard Urban
</pre>
494 16 Bernard Urban
et /etc/openvpn/myris-down.sh vaut:
495 16 Bernard Urban
<pre>
496 16 Bernard Urban
#! /bin/sh
497 16 Bernard Urban
/sbin/ip addr del 10.0.0.1/30 dev br0
498 16 Bernard Urban
</pre>
499 16 Bernard Urban
500 16 Bernard Urban
+Remarque:+ ne pas oublier de lancer:
501 16 Bernard Urban
<pre>
502 75 Kévin Beaubestre
chmod 755 /etc/openvpn/myris-up.sh /etc/openvpn/myris-down.sh
503 16 Bernard Urban
</pre>
504 16 Bernard Urban
505 16 Bernard Urban
Il est à noter que l'apparition des adresses et routes IPv6 peut prendre un dizaine de minutes après l'établissemnt du tunnel openvpn, et de même leur disparation n'est complète qu'au bout de 24h. Tout celà est réglable via /etc/radvd.conf sur la VM.
506 8 Laurent GUERBY
507 89 Bernard Urban
h3. Etape 6: vie privée
508 89 Bernard Urban
509 90 Bernard Urban
Voir la section à ce sujet: [[IPv6#Protection-de-la-vie-privée]] 
510 89 Bernard Urban
511 71 Julien Aubé
h2. IPv6 sous OpenWRT
512 71 Julien Aubé
513 71 Julien Aubé
Exemple pour un routeur OpenWRT connecté au réseau L2 de Tetaneutral (radio ou autre)
514 71 Julien Aubé
515 71 Julien Aubé
h3. Demander le routage du /56.
516 71 Julien Aubé
517 71 Julien Aubé
Il vous sera donné une IP link-locale sous la forme fe80::xx:yy .
518 71 Julien Aubé
519 71 Julien Aubé
h3. /etc/config/network
520 71 Julien Aubé
521 71 Julien Aubé
La définition du fichier network d'OpenWRT
522 71 Julien Aubé
523 71 Julien Aubé
<pre>
524 71 Julien Aubé
config 'interface' 'loopback'
525 71 Julien Aubé
        option 'ifname' 'lo'
526 71 Julien Aubé
        option 'proto' 'static'
527 71 Julien Aubé
        option 'ipaddr' '127.0.0.1'
528 71 Julien Aubé
        option 'netmask' '255.0.0.0'
529 71 Julien Aubé
530 71 Julien Aubé
config 'interface' 'wan_ttn'
531 71 Julien Aubé
        option 'ifname'    'eth0.10'
532 71 Julien Aubé
        option 'proto'     'static'
533 72 Laurent GUERBY
        option 'ipaddr'    '91.224.149.ZZ'    # IPv4 publique
534 71 Julien Aubé
        option 'netmask'   '255.255.255.0'
535 71 Julien Aubé
        option 'gateway'   '91.224.149.254'
536 71 Julien Aubé
        option 'dns'       '91.224.149.254'   # Le DNS ipv4 de TTN
537 71 Julien Aubé
538 71 Julien Aubé
        option 'send_rs'   '0'                # Evite d'envoyer des annonces sur le réseau TTN
539 72 Laurent GUERBY
        option 'accept_ra  ' '0'              # Refuse les routes diffusées par le réseau TTN
540 72 Laurent GUERBY
        option 'ip6addr'   'fe80::XX:YY/64'   # L'IP link-locale pour le routage
541 71 Julien Aubé
        option 'ip6gw'     'fe80::31'         # La gw IPv6 de TTN
542 71 Julien Aubé
543 71 Julien Aubé
config 'alias'                                # Alias pour l'IPv6 publique du routeur
544 71 Julien Aubé
        option 'interface' 'wan_ttn'
545 71 Julien Aubé
        option 'proto'     'static'
546 72 Laurent GUERBY
        option 'ip6addr'   '2a01:6600:8081:YY00::1/64'
547 71 Julien Aubé
548 71 Julien Aubé
config 'interface' 'lan'                      # Interface coté LAN
549 71 Julien Aubé
        option 'proto'     'static'
550 71 Julien Aubé
        option 'ifname'    'eth0.2'
551 71 Julien Aubé
        option 'ipaddr'    '192.168.1.254'
552 71 Julien Aubé
        option 'netmask'   '255.255.255.0'
553 71 Julien Aubé
        option 'broadcast' '192.168.1.255'
554 71 Julien Aubé
        option 'send_rs'   '0'
555 72 Laurent GUERBY
        option 'ip6addr'   '2a01:6600:8081:YY02::1/64' # IP publique coté LAN
556 71 Julien Aubé
</pre>
557 71 Julien Aubé
558 71 Julien Aubé
h3. /etc/config/radvd
559 71 Julien Aubé
560 71 Julien Aubé
Ce fichier est très simple car OpenWRT calcule automatiquement les bonnes valeurs
561 71 Julien Aubé
à partir de la section "network" ci-dessus.
562 71 Julien Aubé
563 71 Julien Aubé
<pre>
564 71 Julien Aubé
config 'interface'
565 71 Julien Aubé
        option 'AdvSendAdvert' '1'
566 71 Julien Aubé
        option 'ignore' '0'
567 71 Julien Aubé
        option 'interface' 'lan'
568 71 Julien Aubé
569 71 Julien Aubé
config 'prefix'
570 71 Julien Aubé
        option 'ignore' '0'
571 71 Julien Aubé
        option 'interface' 'lan'
572 71 Julien Aubé
573 71 Julien Aubé
config 'rdnss'
574 71 Julien Aubé
        option 'interface' 'lan'
575 71 Julien Aubé
</pre>
576 71 Julien Aubé
577 71 Julien Aubé
578 75 Kévin Beaubestre
À partir de là, le routeur diffuse des "Router Advertisement" sur son interface LAN et effectuera le routage.
579 71 Julien Aubé
Toute machine sur le réseau interne récupère ainsi une IP publique, addressable en direct.
580 71 Julien Aubé
581 86 Raphaël Durand
h2. [[IPv6-ADSL | IPv6 sur ADSL et OpenWRT]]
582 85 Raphaël Durand
583 52 Laurent GUERBY
h2. ip6tables
584 52 Laurent GUERBY
585 52 Laurent GUERBY
Via Philippe Latu du projet http://www.inetdoc.net/
586 52 Laurent GUERBY
587 52 Laurent GUERBY
<pre>
588 52 Laurent GUERBY
*filter
589 52 Laurent GUERBY
:INPUT DROP [0:0]
590 52 Laurent GUERBY
:FORWARD DROP [0:0]
591 52 Laurent GUERBY
:OUTPUT ACCEPT [0:0]
592 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
593 52 Laurent GUERBY
# C H A I N E   I N P U T
594 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
595 52 Laurent GUERBY
# suivi de communication
596 52 Laurent GUERBY
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
597 52 Laurent GUERBY
# ICMPv6
598 52 Laurent GUERBY
-A INPUT -p icmpv6 -m state --state NEW -m limit --limit 5/sec -j ACCEPT
599 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-solicitation -j ACCEPT
600 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-advertisement -j 
601 52 Laurent GUERBY
ACCEPT
602 52 Laurent GUERBY
# Filtrage paquets avec en-tête de routage de type 0
603 52 Laurent GUERBY
-A INPUT -m rt --rt-type 0 -j DROP
604 52 Laurent GUERBY
# Autorisation trafic multicast
605 52 Laurent GUERBY
-A INPUT -d ff00::/8 -j ACCEPT
606 52 Laurent GUERBY
# communication loopback
607 52 Laurent GUERBY
-A INPUT -i lo -m state --state NEW -j ACCEPT
608 52 Laurent GUERBY
# communication instances virtuelles
609 52 Laurent GUERBY
-A INPUT -i tap+ -m state --state NEW -j ACCEPT
610 52 Laurent GUERBY
# communication interne
611 52 Laurent GUERBY
-A INPUT -i bond0.+ -m state --state NEW -j ACCEPT
612 52 Laurent GUERBY
# SSH port 2222
613 52 Laurent GUERBY
-A INPUT -p tcp --syn --dport 2222 -m state --state NEW -j ACCEPT
614 52 Laurent GUERBY
# poubelle
615 52 Laurent GUERBY
-A INPUT -j LOG --log-prefix "INPUT/rejected.ip6tables: "
616 52 Laurent GUERBY
-A INPUT -m state --state INVALID -m limit --limit 5/min -j LOG --log-prefix "INPUT/invalid.ip6tables: "
617 52 Laurent GUERBY
-A INPUT -m state --state INVALID -j DROP
618 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
619 52 Laurent GUERBY
# C H A I N E   F O R W A R D
620 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
621 52 Laurent GUERBY
# suivi de communication
622 52 Laurent GUERBY
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
623 52 Laurent GUERBY
# ICMPv6
624 52 Laurent GUERBY
-A FORWARD -p ipv6-icmp -m state --state NEW -m limit --limit 5/sec -j  ACCEPT
625 52 Laurent GUERBY
# Filtrage paquets avec en-tête de routage de type 0
626 52 Laurent GUERBY
-A FORWARD -m rt --rt-type 0 -j DROP
627 52 Laurent GUERBY
# Autorisation trafic multicast
628 52 Laurent GUERBY
-A FORWARD -d ff00::/8 -j ACCEPT
629 52 Laurent GUERBY
# communication loopback
630 52 Laurent GUERBY
-A FORWARD -i lo -m state --state NEW -j ACCEPT
631 52 Laurent GUERBY
# communication instances virtuelles
632 52 Laurent GUERBY
-A FORWARD -i tap+ -m state --state NEW -j ACCEPT
633 52 Laurent GUERBY
# communication réseaux de TP
634 52 Laurent GUERBY
-A FORWARD -i bond0.+ -m state --state NEW -j ACCEPT
635 52 Laurent GUERBY
# poubelle
636 52 Laurent GUERBY
-A FORWARD -m state --state INVALID -m limit --limit 5/min -j LOG  --log-prefix "INPUT/invalid.ip6tables: "
637 52 Laurent GUERBY
-A FORWARD -m state --state INVALID -j DROP
638 52 Laurent GUERBY
COMMIT
639 52 Laurent GUERBY
</pre>
640 52 Laurent GUERBY
641 52 Laurent GUERBY
642 52 Laurent GUERBY
643 6 Laurent GUERBY
h2. FAQ
644 6 Laurent GUERBY
645 80 Laurent GUERBY
h3. ipv6calc
646 80 Laurent GUERBY
647 80 Laurent GUERBY
<pre>
648 80 Laurent GUERBY
$ ipv6calc --in ipv6addr --out revnibbles.arpa 2a01:6600:8081:cf00::1    
649 80 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.f.c.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
650 82 Laurent GUERBY
$ ipv6calc --action geneui64 --in mac 00:22:4d:56:43:4e --out eui64
651 82 Laurent GUERBY
222:4dff:fe56:434e
652 80 Laurent GUERBY
</pre>
653 80 Laurent GUERBY
654 18 Laurent GUERBY
h3. Reverse DNS
655 18 Laurent GUERBY
656 19 Laurent GUERBY
En IPv6 tetaneutral.net peut deleguer le reverse du /56. Il faut configurer bind sur une ou plusieurs de vos machines, nous donner son CNAME, par exemple ns1.chezmoi.net et ns2.chezmoi.net, et mettre les fichiers suivant dans /etc/bind/ :
657 19 Laurent GUERBY
658 18 Laurent GUERBY
named.conf.local
659 18 Laurent GUERBY
<pre>
660 18 Laurent GUERBY
zone "1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
661 18 Laurent GUERBY
	type master;
662 18 Laurent GUERBY
	file "/etc/bind/db.ip6-81";
663 18 Laurent GUERBY
};
664 18 Laurent GUERBY
</pre>
665 18 Laurent GUERBY
666 18 Laurent GUERBY
db.ip6-81
667 18 Laurent GUERBY
<pre>
668 18 Laurent GUERBY
; -*- mode: zone; -*-
669 18 Laurent GUERBY
;
670 18 Laurent GUERBY
; BIND reverse data file for broadcast zone
671 18 Laurent GUERBY
;
672 18 Laurent GUERBY
$TTL    3600
673 18 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
674 18 Laurent GUERBY
                        2011070301      ; serial
675 18 Laurent GUERBY
                         7200         ; Refresh
676 18 Laurent GUERBY
                          3600         ; Retry
677 18 Laurent GUERBY
                        1800000         ; Expire
678 18 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
679 18 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
680 18 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
681 18 Laurent GUERBY
682 1 Laurent GUERBY
; reverse
683 18 Laurent GUERBY
$ORIGIN 0.0.e.c.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
684 1 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     www6.tetaneutral.net.
685 18 Laurent GUERBY
686 18 Laurent GUERBY
; delegations /56
687 47 Laurent GUERBY
$ORIGIN 1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
688 47 Laurent GUERBY
1.9 86400 IN NS   hoersch.kneissel.org.
689 47 Laurent GUERBY
1.9 86400 IN NS   serveur.kneissel.org.
690 47 Laurent GUERBY
e.8 86400 IN NS   dns.kafe-in.net.
691 18 Laurent GUERBY
</pre>
692 47 Laurent GUERBY
693 47 Laurent GUERBY
Merci a Matthieu Herrb pour la délégation de reverse /56.
694 1 Laurent GUERBY
695 70 Laurent GUERBY
Coté utilisateur dans son bind :
696 70 Laurent GUERBY
697 70 Laurent GUERBY
Dans /etc/bind/named.conf.local
698 70 Laurent GUERBY
699 70 Laurent GUERBY
<pre>
700 70 Laurent GUERBY
zone "X.Y.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
701 70 Laurent GUERBY
	type master;
702 70 Laurent GUERBY
	file "/etc/bind/db.ip6-XY";
703 70 Laurent GUERBY
};
704 70 Laurent GUERBY
705 70 Laurent GUERBY
</pre>
706 70 Laurent GUERBY
707 70 Laurent GUERBY
/etc/bind/db.ip6-XY
708 70 Laurent GUERBY
<pre>
709 70 Laurent GUERBY
; -*- mode: zone; -*-
710 70 Laurent GUERBY
;
711 70 Laurent GUERBY
; BIND reverse data file for broadcast zone
712 70 Laurent GUERBY
;
713 70 Laurent GUERBY
$TTL    3600
714 70 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
715 70 Laurent GUERBY
                        2011120700      ; serial
716 70 Laurent GUERBY
                         7200         ; Refresh
717 70 Laurent GUERBY
                          3600         ; Retry
718 70 Laurent GUERBY
                        1800000         ; Expire
719 70 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
720 70 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
721 70 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
722 70 Laurent GUERBY
723 70 Laurent GUERBY
$ORIGIN 0.0.X.Y.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
724 70 Laurent GUERBY
725 70 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a1.tetaneutral.net.
726 70 Laurent GUERBY
2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a2.tetaneutral.net.
727 70 Laurent GUERBY
3.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a3.tetaneutral.net.
728 70 Laurent GUERBY
</pre>
729 70 Laurent GUERBY
730 34 Laurent GUERBY
h3. CCNA et link-local
731 18 Laurent GUERBY
732 34 Laurent GUERBY
Merci à Jérôme Nicolle:
733 17 Laurent GUERBY
734 17 Laurent GUERBY
http://www.freeccnaworkbook.com/labs/section-12-configuring-ipv6/lab-12-3-configuring-ipv6-static-routing/
735 17 Laurent GUERBY
736 17 Laurent GUERBY
> Unlike IPv4 static routing, with IPv6 you have the ability to use either the global unicast address or link-local address as the next hop in the static route statement. When working with IPv6 dynamic routing protocols which will be discussed in the next 2 labs, the next hop will be the neighbors link-local IPv6 address and not their global unique assigned ipv6 address. However when configuring a static route with a link-local IPv6 address as the next hop you must specify the egress interface. For all intensive purposes, using either/or will achieve the same desired effect.
737 17 Laurent GUERBY
738 50 Laurent GUERBY
h3. Comment éviter d'utiliser une IPv6 non routée ?
739 17 Laurent GUERBY
740 50 Laurent GUERBY
Sur un IX en général les adresses sont non routées donc il faut éviter de les utiliser, pour cela on utilise "preferred_lft 0" :
741 50 Laurent GUERBY
742 50 Laurent GUERBY
http://www.davidc.net/networking/ipv6-source-address-selection-linux
743 50 Laurent GUERBY
744 50 Laurent GUERBY
<pre>
745 50 Laurent GUERBY
ip -6 a add 2001:7f8:59:0:75::15/96 dev eth0.502 preferred_lft 0
746 50 Laurent GUERBY
</pre>
747 74 Laurent GUERBY
748 74 Laurent GUERBY
Comment linux choisi une adresse IPv6 source https://www.kafe-in.net/articles/IPv6Source/
749 74 Laurent GUERBY
750 34 Laurent GUERBY
h3. Comment pinguer une addresse link local ?
751 6 Laurent GUERBY
752 34 Laurent GUERBY
 
753 6 Laurent GUERBY
<pre>
754 6 Laurent GUERBY
ping6 fe80::31%eth0
755 1 Laurent GUERBY
</pre>
756 40 Mehdi Abaakouk
757 40 Mehdi Abaakouk
h3. zones reverses ipv6 manquante dans bind (ie: ::1)
758 40 Mehdi Abaakouk
759 40 Mehdi Abaakouk
Dans bind par défaut les zones pour ::1 sont vide pour les ajouter:
760 40 Mehdi Abaakouk
761 40 Mehdi Abaakouk
<pre>
762 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::.arpa
763 40 Mehdi Abaakouk
;
764 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
765 40 Mehdi Abaakouk
;
766 40 Mehdi Abaakouk
$TTL    604800
767 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
768 40 Mehdi Abaakouk
                              8         ; Serial
769 40 Mehdi Abaakouk
                         604800         ; Refresh
770 40 Mehdi Abaakouk
                          86400         ; Retry
771 40 Mehdi Abaakouk
                        2419200         ; Expire
772 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
773 40 Mehdi Abaakouk
;
774 40 Mehdi Abaakouk
@       IN      NS      localhost.
775 40 Mehdi Abaakouk
1       IN      PTR     localhost.
776 40 Mehdi Abaakouk
</pre>
777 40 Mehdi Abaakouk
778 40 Mehdi Abaakouk
<pre>
779 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::1.arpa
780 40 Mehdi Abaakouk
;
781 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
782 40 Mehdi Abaakouk
;
783 40 Mehdi Abaakouk
$TTL    604800
784 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
785 40 Mehdi Abaakouk
                              8         ; Serial
786 40 Mehdi Abaakouk
                         604800         ; Refresh
787 40 Mehdi Abaakouk
                          86400         ; Retry
788 40 Mehdi Abaakouk
                        2419200         ; Expire
789 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
790 40 Mehdi Abaakouk
;
791 40 Mehdi Abaakouk
@       IN      NS      localhost.
792 40 Mehdi Abaakouk
@       IN      PTR     localhost.
793 40 Mehdi Abaakouk
</pre>
794 40 Mehdi Abaakouk
795 40 Mehdi Abaakouk
<pre>
796 40 Mehdi Abaakouk
# cat /etc/bind/named.conf.default-zones.v6
797 40 Mehdi Abaakouk
798 40 Mehdi Abaakouk
zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
799 40 Mehdi Abaakouk
        type master;
800 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::.arpa";
801 40 Mehdi Abaakouk
};
802 40 Mehdi Abaakouk
803 40 Mehdi Abaakouk
zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
804 40 Mehdi Abaakouk
        type master;
805 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::1.arpa";
806 40 Mehdi Abaakouk
};
807 40 Mehdi Abaakouk
</pre>
808 40 Mehdi Abaakouk
809 40 Mehdi Abaakouk
Et on ajoute ca dans /etc/bind/named.conf: 
810 40 Mehdi Abaakouk
<pre>
811 40 Mehdi Abaakouk
include "/etc/bind/named.conf.default-zones.v6";
812 40 Mehdi Abaakouk
</pre>
813 42 Mehdi Abaakouk
814 42 Mehdi Abaakouk
h3. Envoie d'un Router Advertissement avec scapy pour virer une route auto apprise (Attention à n'utiliser que si on sait ce qu'on fait ! )
815 42 Mehdi Abaakouk
816 42 Mehdi Abaakouk
Création de trame ipv6, ipv6 src est celle du router à spoffer
817 42 Mehdi Abaakouk
818 42 Mehdi Abaakouk
<pre>
819 42 Mehdi Abaakouk
a = IPv6()
820 42 Mehdi Abaakouk
a.src = "fe80::dcad:4dff:fe0b:8a5"
821 42 Mehdi Abaakouk
a.dst = "ff02::1"
822 42 Mehdi Abaakouk
</pre>
823 42 Mehdi Abaakouk
824 42 Mehdi Abaakouk
La trame sera un RA avec un lifetime de 0, comme indiquer dans la rfc2461:
825 42 Mehdi Abaakouk
"Lifetime of 0 indicates that the router is not a default router and SHOULD NOT appear on the default router list."
826 42 Mehdi Abaakouk
827 42 Mehdi Abaakouk
<pre>
828 42 Mehdi Abaakouk
b = ICMPv6ND_RA() 
829 42 Mehdi Abaakouk
b.routerlifetime = 0
830 42 Mehdi Abaakouk
</pre>
831 42 Mehdi Abaakouk
832 42 Mehdi Abaakouk
Ensuite on fixe la adresse MAC à spoofer, celle du router original qui a envoyer le RA.
833 42 Mehdi Abaakouk
834 42 Mehdi Abaakouk
<pre>
835 42 Mehdi Abaakouk
c = ICMPv6NDOptSrcLLAddr() 
836 42 Mehdi Abaakouk
c.lladdr = "00:50:56:24:3b:c0"
837 42 Mehdi Abaakouk
</pre>
838 42 Mehdi Abaakouk
839 42 Mehdi Abaakouk
Ensuite on construire le contenu du RA, avec le prefix à annoncer (toujours celui à spoofer)
840 42 Mehdi Abaakouk
Avec le validlifetime et preferredlifetime à l'infinie, comme indiquer dans la rfc2461:
841 42 Mehdi Abaakouk
"A value of all one bits (0xffffffff) represents infinity"
842 42 Mehdi Abaakouk
843 42 Mehdi Abaakouk
<pre>
844 42 Mehdi Abaakouk
d = ICMPv6NDOptMTU() 
845 42 Mehdi Abaakouk
e = ICMPv6NDOptPrefixInfo() 
846 42 Mehdi Abaakouk
e.prefixlen = 64
847 42 Mehdi Abaakouk
e.prefix = "2a01:6600:8081:4300::"
848 42 Mehdi Abaakouk
e.validlifetime = 0xffffffff
849 42 Mehdi Abaakouk
e.preferredlifetime = 0xffffffff
850 42 Mehdi Abaakouk
</pre>
851 42 Mehdi Abaakouk
852 42 Mehdi Abaakouk
On envoie le tout:
853 42 Mehdi Abaakouk
854 42 Mehdi Abaakouk
<pre>
855 42 Mehdi Abaakouk
send(a/b/c/d/e)
856 42 Mehdi Abaakouk
</pre>
857 61 Laurent GUERBY
858 61 Laurent GUERBY
h3. PMTU
859 61 Laurent GUERBY
860 61 Laurent GUERBY
Try 'tracepath6' it will show you which hop is not returning a packet
861 61 Laurent GUERBY
too big for that path if needed. Also one can use a series of "ping6 -s
862 61 Laurent GUERBY
<size> -M do" to check if packets pass or not (if the destination allows
863 61 Laurent GUERBY
pings of course).
864 63 Laurent GUERBY
865 63 Laurent GUERBY
h2. IETF IPv6 security
866 63 Laurent GUERBY
867 63 Laurent GUERBY
From: Fernando Gont <fernando@gont.com.ar>
868 63 Laurent GUERBY
To: NANOG <nanog@nanog.org>
869 63 Laurent GUERBY
Subject: IPv6 security: New IETF I-Ds, slideware and videos of recent presentations, trainings, etc...
870 63 Laurent GUERBY
Date: Mon, 28 May 2012 22:17:33 -0300
871 63 Laurent GUERBY
872 63 Laurent GUERBY
Folks,
873 63 Laurent GUERBY
874 63 Laurent GUERBY
* We've published a new IETF I-D entitled "DHCPv6-Shield: Protecting
875 63 Laurent GUERBY
Against Rogue DHCPv6 Servers", which is meant to provide RA-Guard-like
876 63 Laurent GUERBY
protection against rogue DHCPv6 servers. The I-D is available at:
877 63 Laurent GUERBY
<http://tools.ietf.org/id/draft-gont-opsec-dhcpv6-shield-00.txt>
878 63 Laurent GUERBY
Other IPv6 security I-Ds (such as,
879 63 Laurent GUERBY
draft-ietf-v6ops-ra-guard-implementation) have been revised. Please
880 63 Laurent GUERBY
check them out at:
881 63 Laurent GUERBY
<http://www.si6networks.com/publications/ietf.html>
882 63 Laurent GUERBY
883 63 Laurent GUERBY
* The slideware (and some videos!) of some of our recent presentations
884 63 Laurent GUERBY
about IPv6 security are now available online. You can find them at:
885 63 Laurent GUERBY
<http://www.si6networks.com/presentations/index.html>
886 63 Laurent GUERBY
887 63 Laurent GUERBY
* We have also scheduled IPv6 hacking trainings in Paris (France) and
888 63 Laurent GUERBY
Ghent (Belgium). You can find more details at:
889 63 Laurent GUERBY
<http://www.si6networks.com/index.html#conferences>
890 63 Laurent GUERBY
891 63 Laurent GUERBY
Our Twitter: @SI6Networks
892 63 Laurent GUERBY
ipv6hackers mailing-list:
893 63 Laurent GUERBY
<http://lists.si6networks.com/listinfo/ipv6hackers/>
894 63 Laurent GUERBY
895 63 Laurent GUERBY
Thanks!
896 63 Laurent GUERBY
897 63 Laurent GUERBY
Best regards,
898 63 Laurent GUERBY
-- 
899 63 Laurent GUERBY
Fernando Gont
900 63 Laurent GUERBY
SI6 Networks
901 63 Laurent GUERBY
e-mail: fgont@si6networks.com
902 63 Laurent GUERBY
PGP Fingerprint: 6666 31C6 D484 63B2 8FB1 E3C4 AE25 0D55 1D4E 7492
903 78 Matthieu Herrb
904 78 Matthieu Herrb
h2. Protection de la vie privée
905 78 Matthieu Herrb
906 78 Matthieu Herrb
h3. Le problème
907 78 Matthieu Herrb
908 87 Bernard Urban
En IPv6 en mode "autoconfiguration" (SLAAC) les derniers 64 bits de
909 87 Bernard Urban
l'adresse sont dérivés de manière réversible de la MAC de votre
910 87 Bernard Urban
interface. Si celle-ci est par exemple 00:0c:29:0c:47:d5, elle est
911 96 Bernard Urban
modifiée comme sur ce schéma:
912 1 Laurent GUERBY
913 96 Bernard Urban
!http://upload.wikimedia.org/wikipedia/commons/thumb/4/41/Modified-EUI-64.svg/220px-Modified-EUI-64.svg.png!
914 87 Bernard Urban
915 87 Bernard Urban
Si vous êtes chez vous derrière une freebox vous allez apparaître avec
916 87 Bernard Urban
2a01:e34:...:02:0c:29:ff:fe:0c:47:d5 dans les logs des serveurs auxquels
917 87 Bernard Urban
vous vous connectez et si vous allez ensuite à Myrys vous serez en
918 87 Bernard Urban
2a01:6600:8080:505:...::02:0c:29:ff:fe:0c:47:d5.
919 87 Bernard Urban
920 87 Bernard Urban
Donc tous ces serveurs, en regardant la fin de l'adresse IPv6, peuvent
921 87 Bernard Urban
déduire que vous êtes un freenaute qui va à Myrys, avec les heures et
922 87 Bernard Urban
tout, vos visites chez vos amis, hotspot, hôtels, et ce même si vous
923 87 Bernard Urban
avez desactivé les cookies pour la partie web, si vous utilisez https,
924 87 Bernard Urban
etc... C'est un danger pour la vie privée non présent en IPv4.
925 87 Bernard Urban
926 1 Laurent GUERBY
h3. Solutions
927 1 Laurent GUERBY
928 87 Bernard Urban
h4. Au niveau du routeur
929 1 Laurent GUERBY
930 88 Bernard Urban
* On peut bloquer l'émission des RA pour ne pas avoir d'adresse SLAAC 
931 88 Bernard Urban
sur les machines du réseau concerné (c'est ce qui est fait à Tetaneutral 
932 88 Bernard Urban
il me semble...). Et mettre en place un serveur DHCPv6 qui affecte les 
933 88 Bernard Urban
adresses IPv6 soit dynamiquement à partir d'un pool soit de manière 
934 88 Bernard Urban
statique (mais sans correspondance connue avec une adresse MAC).
935 1 Laurent GUERBY
936 88 Bernard Urban
* Selon la puissance d'expression du pare-feu on peut bloquer les
937 88 Bernard Urban
adresses SLAAC. Elles ont les 2 octets 'ff fe' aux positions 11 et 12
938 88 Bernard Urban
dans l'adresse IPv6.
939 1 Laurent GUERBY
940 87 Bernard Urban
h4. Au niveau du client
941 1 Laurent GUERBY
942 88 Bernard Urban
* Activer l'extension privacy si ce n'est pas le cas par défaut,
943 88 Bernard Urban
(RFC3041 remplacé par RFC4941). Une manière de faire sous Linux
944 88 Bernard Urban
Debian est d'avoir un script /etc/network/if-pre-up.d/ipv6 contenant:
945 87 Bernard Urban
<pre>
946 87 Bernard Urban
#! /bin/sh
947 87 Bernard Urban
echo 2 > /proc/sys/net/ipv6/conf/$IFACE/use_tempaddr
948 87 Bernard Urban
</pre>
949 87 Bernard Urban
Ne pas oublier de rendre executable: 
950 87 Bernard Urban
<pre>
951 87 Bernard Urban
chmod 755 /etc/network/if-pre-up.d/ipv6
952 87 Bernard Urban
</pre> 
953 87 Bernard Urban
La commande 'ip -6 a' donnera alors après quelques heures une sortie telle que:
954 87 Bernard Urban
<pre>
955 87 Bernard Urban
6: br0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 
956 87 Bernard Urban
    inet6 2a01:6600:1122:3344:bc01:d69e:cb4d:f3f0/64 scope global temporary dynamic 
957 87 Bernard Urban
       valid_lft 73784sec preferred_lft 1784sec
958 87 Bernard Urban
    inet6 2a01:6600:1122:3344:40d7:48ee:af65:47f1/64 scope global temporary deprecated dynamic 
959 87 Bernard Urban
       valid_lft 59792sec preferred_lft 0sec
960 87 Bernard Urban
    inet6 2a01:6600:1122:3344:d59d:1447:62ab:1f29/64 scope global temporary deprecated dynamic 
961 87 Bernard Urban
       valid_lft 45515sec preferred_lft 0sec
962 1 Laurent GUERBY
    inet6 2a01:6600:1122:3344:2xx:yyff:fezz:ttww/64 scope global dynamic 
963 87 Bernard Urban
       valid_lft 86313sec preferred_lft 14313sec
964 87 Bernard Urban
    inet6 fe80::2xx:yyff:fezz:ttww/64 scope link 
965 87 Bernard Urban
       valid_lft forever preferred_lft forever
966 87 Bernard Urban
</pre>
967 87 Bernard Urban
où 00:xx:yy:zz:tt:ww est l'adresse MAC de l'interface (ici un bridge
968 87 Bernard Urban
qui prend l'adresse MAC de la première interface physique qui lui est
969 87 Bernard Urban
connectée). Les adresses 'deprecated' ne sont là que pour permettre
970 87 Bernard Urban
aux connexions démarrées durant leur durée de validité de
971 87 Bernard Urban
s'achever. Les nouvelles connexions utilisent la première adresse qui
972 87 Bernard Urban
a encore 1784 secondes de durée de vie restante.
973 87 Bernard Urban
974 88 Bernard Urban
* Modifier l'adresse MAC a chaque connexion
975 88 Bernard Urban
(OpenBSD propose 'ifconfig <if> lladdr random' pour cela :-) 
976 88 Bernard Urban
977 88 Bernard Urban
* Bloquer avec le pare-feu local les paquets contenant l'adresse
978 88 Bernard Urban
SLAAC si possible.
979 78 Matthieu Herrb
980 78 Matthieu Herrb
Si les adresses IPv6 sont affectéees par un serveur DHCPv6 elles ne
981 78 Matthieu Herrb
sont normalement pas liées à l'adresse MAC.
982 78 Matthieu Herrb
983 87 Bernard Urban
h4. Liens
984 78 Matthieu Herrb
985 78 Matthieu Herrb
 * http://www.rfc-editor.org/rfc/rfc4941.txt Le RFC sur les privacy extensions
986 78 Matthieu Herrb
 * http://superuser.com/questions/243669/how-to-avoid-exposing-my-mac-address-when using-ipv6
987 78 Matthieu Herrb
 * https://home.regit.org/2011/04/ipv6-privacy/ IPv6 privacy extensions on Linux
988 78 Matthieu Herrb
 * http://www.queret.net/blog/2012/04/357/ IPv6: Ubuntu 12.04 active la RFC4941 (Privacy Extensions) par default
989 78 Matthieu Herrb
 * http://support.menandmice.com/jforum/posts/list/219.page Enable Privacy extensions on Mac OS X 10.5 and 10.6
990 78 Matthieu Herrb
 * http://tools.ietf.org/html/draft-ietf-6man-stable-privacy-addresses-01
991 78 Matthieu Herrb
992 78 Matthieu Herrb
h3. Mais...
993 78 Matthieu Herrb
994 78 Matthieu Herrb
Cela dit, il a été montré qu'il y a plein d'autres moyens pour les
995 78 Matthieu Herrb
sites web qui veulent traquer leurs utilisateurs de collecter des
996 78 Matthieu Herrb
informations discriminantes sur ceux-ci (type de navigateur,
997 78 Matthieu Herrb
extensions installées,...):
998 1 Laurent GUERBY
http://news.cnet.com/8301-1009_3-20005185-83.html
999 1 Laurent GUERBY
http://www.scatmania.org/2012/04/24/visitor-tracking-without-cookies/