Projet

Général

Profil

IPv6 » Historique » Version 318

Laurent GUERBY, 17/10/2017 17:02

1 56 Laurent GUERBY
{{>toc}}
2 56 Laurent GUERBY
3 1 Laurent GUERBY
h1. IPv6
4 1 Laurent GUERBY
5 103 Fabien ADAM
Déploiement a tetaneutral.net : #35
6 1 Laurent GUERBY
7 34 Laurent GUERBY
h2. Liens
8 2 Laurent GUERBY
9 312 Laurent GUERBY
h3. General
10 5 Laurent GUERBY
11 310 Laurent GUERBY
* http://www.ffdn.org/wiki/doku.php?id=travaux:ipv6-faq
12 2 Laurent GUERBY
* http://en.wikipedia.org/wiki/ICMPv6
13 3 Laurent GUERBY
* http://en.wikipedia.org/wiki/Neighbor_Discovery_Protocol
14 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/Radvd
15 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/DHCPv6
16 69 Laurent GUERBY
** https://wikispaces.psu.edu/display/ipv6/DHCPv6
17 1 Laurent GUERBY
* http://www.iana.org/assignments/icmpv6-parameters
18 43 Laurent GUERBY
* RFC7084 Basic Requirements for IPv6 Customer Edge Routers http://www.bortzmeyer.org/7084.html
19 318 Laurent GUERBY
* https://www.internetsociety.org/blog/2017/07/rfc-8200-ipv6-has-been-standardized/
20 45 Laurent GUERBY
21 312 Laurent GUERBY
h3. Statistics
22 45 Laurent GUERBY
23 314 Laurent GUERBY
* http://dragon.eecs.jacobs-university.de:5000/
24 44 Laurent GUERBY
* http://bgp.he.net/ipv6-progress-report.cgi
25 45 Laurent GUERBY
* https://labs.ripe.net/Members/mirjam/content-ipv6-measurement-compilation
26 46 Laurent GUERBY
* http://www.ripe.net/internet-coordination/ipv4-exhaustion/ipv4-available-pool-graph
27 1 Laurent GUERBY
* http://www.google.com/ipv6/statistics.html
28 76 Laurent GUERBY
* http://julien.vaubourg.com/files/lothaire-yarding_ipv6.pdf
29 1 Laurent GUERBY
* https://www.ams-ix.net/technical/statistics/sflow-stats/ipv6-traffic
30 77 Matthieu Herrb
* http://6lab.cisco.com/stats/cible.php?country=FR&option=all
31 312 Laurent GUERBY
* https://www.vyncke.org/ipv6status/compare.php?metric=p&countries=fr
32 313 Laurent GUERBY
* http://stats.labs.apnic.net/ipv6/FR
33 5 Laurent GUERBY
34 312 Laurent GUERBY
h3. Linux
35 5 Laurent GUERBY
36 5 Laurent GUERBY
* http://madduck.net/docs/ipv6/
37 5 Laurent GUERBY
* http://tldp.org/HOWTO/Linux+IPv6-HOWTO/
38 29 Laurent GUERBY
* http://linux.die.net/man/8/rdisc6
39 38 Laurent GUERBY
* bind IPv4+IPv6 /proc/sys/net/ipv6/bindv6only http://www.kernel.org/doc/man-pages/online/pages/man7/ipv6.7.html
40 1 Laurent GUERBY
* sileht : comme arpwatch mais en ipv6 http://ndpmon.sourceforge.net/
41 49 Laurent GUERBY
* sileht : proxy NDP auto http://www.priv.nu/projects/ndppd/  et https://github.com/Tuhox/ndppd
42 81 Laurent GUERBY
* dachary : hairpin_mode issue nova https://bugs.launchpad.net/nova/+bug/1011134
43 83 Laurent GUERBY
* https://wiki.archlinux.org/index.php/IPv6
44 20 Laurent GUERBY
45 312 Laurent GUERBY
h3. Tunnels
46 21 Laurent GUERBY
47 21 Laurent GUERBY
* http://en.wikipedia.org/wiki/List_of_IPv6_tunnel_brokers
48 21 Laurent GUERBY
* http://tunnelbroker.net
49 21 Laurent GUERBY
* http://sonic.net/features/ipv6/
50 21 Laurent GUERBY
51 312 Laurent GUERBY
h3. Misc
52 23 Laurent GUERBY
53 316 Laurent GUERBY
* https://blogs.gnome.org/lkundrak/2016/04/20/networkmanager-1-2-is-here/
54 315 Laurent GUERBY
* https://blogs.gnome.org/lkundrak/2015/12/03/networkmanager-and-privacy-in-the-ipv6-internet/
55 37 Laurent GUERBY
* Cool IPv6 stuff http://www.sixxs.net/misc/coolstuff/
56 23 Laurent GUERBY
* http://interviews.slashdot.org/story/11/10/25/1532213/vint-cerf-answers-your-questions-about-ipv6-and-more
57 24 Laurent GUERBY
* http://infosecblog.antonaylward.com/2010/08/05/re-opensuse-ipv6-nat-was-113-and-ssh-x-forwarding-not-working/
58 103 Fabien ADAM
* conférence JRES 2011 http://stream.ut-capitole.fr/jres2011/57.html
59 51 Laurent GUERBY
* http://vincent.riquer.fr/blog/archives/2010/04/11/openvpn__ipv6__bind__happiness/index.html
60 53 Laurent GUERBY
* http://blog.si6networks.com/2012/02/ipv6-nids-evasion-and-improvements-in.html
61 55 Laurent GUERBY
* https://vador.fdn.fr/wiki/support:faq:ipv6
62 1 Laurent GUERBY
* http://blog.si6networks.com/2012/02/ipv6-nids-evasion-and-improvements-in.html
63 60 Laurent GUERBY
* http://www.cisco.com/en/US/docs/ios/ipv6/configuration/guide/ip6-first_hop_security.html#wp1054246
64 60 Laurent GUERBY
* http://tools.ietf.org/html/draft-ietf-v6ops-ra-guard-implementation-01
65 84 Laurent GUERBY
* http://www.ripe.net/lir-services/training/material/IPv6-for-LIRs-Training-Course/IPv6_addr_plan4.pdf
66 97 Laurent GUERBY
* http://www.si6networks.com/tools/ipv6toolkit
67 98 Laurent GUERBY
* Using Only Link-Local Addressing Inside an IPv6 Network https://tools.ietf.org/html/draft-ietf-opsec-lla-only-03
68 23 Laurent GUERBY
69 312 Laurent GUERBY
h3. Opérateurs
70 103 Fabien ADAM
71 22 Laurent GUERBY
* DS-Lite chez FT http://www.ietf.org/mail-archive/web/v6ops/current/msg10652.html
72 22 Laurent GUERBY
* IPv6 chez comcast http://tech.slashdot.org/story/11/11/09/174217/comcast-begins-native-ipv6-deployment-to-end-users
73 27 Laurent GUERBY
* DHCP-PD http://ipv6.internode.on.net/
74 28 Laurent GUERBY
* Ninux [[AirOS]] vs [[OpenWRT]] retour d'experience http://blog.ninux.org/2012/06/06/the-ipv6-deployment-in-the-ninux-community-network/
75 67 Laurent GUERBY
* Facebook https://www.bidon.ca/files/tmp/WorldIPv6Congress-IPv6_LH_v2.pdf
76 104 Laurent GUERBY
* Facebook http://www.internetsociety.org/deploy360/wp-content/uploads/2014/04/WorldIPv6Congress-IPv6_LH-v2.pdf
77 312 Laurent GUERBY
* [[WorldIPv6Launch20120606]]
78 22 Laurent GUERBY
79 312 Laurent GUERBY
h3. Tests
80 68 Laurent GUERBY
81 68 Laurent GUERBY
* http://ip6.nl/
82 102 Laurent GUERBY
83 102 Laurent GUERBY
84 68 Laurent GUERBY
85 64 Laurent GUERBY
h2. RIPE
86 64 Laurent GUERBY
87 64 Laurent GUERBY
* IPv6 Address Allocation and Assignment Policy 
88 64 Laurent GUERBY
** http://www.ripe.net/ripe/docs/ripe-552
89 64 Laurent GUERBY
* RIPE Routing Working Group Recommendations on IPv6 Route Aggregation
90 64 Laurent GUERBY
** http://www.ripe.net/ripe/docs/ripe-532
91 64 Laurent GUERBY
92 103 Fabien ADAM
h2. Configuration d'un LAN « IPv6 only » sous debian
93 62 Laurent GUERBY
94 62 Laurent GUERBY
* [[NAT64DNS64]]
95 62 Laurent GUERBY
* [[THSF 2012]]
96 62 Laurent GUERBY
97 65 Laurent GUERBY
h2. Debian
98 65 Laurent GUERBY
99 65 Laurent GUERBY
* http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=643594
100 65 Laurent GUERBY
** ebtables: v2.0.10-1 wish for ipv6-icmp and security
101 103 Fabien ADAM
** fixé le 5 juin 2012
102 66 Laurent GUERBY
** voir aussi [[Spoofing]]
103 83 Laurent GUERBY
104 83 Laurent GUERBY
h2. Discovery
105 83 Laurent GUERBY
106 83 Laurent GUERBY
RFC4291 https://tools.ietf.org/html/rfc4291
107 83 Laurent GUERBY
108 83 Laurent GUERBY
Pinging the multicast address ff02::1 results in all hosts in link-local scope responding. An interface has to be specified. With a ping to the multicast address ff02::2 only routers will respond.
109 83 Laurent GUERBY
If you add an option -I <your-global-ipv6>, link-local hosts will respond with their link-global scope addresses. 
110 65 Laurent GUERBY
111 103 Fabien ADAM
h2. Désactiver la configuration automatique
112 30 Laurent GUERBY
113 79 Laurent GUERBY
http://lists.tetaneutral.net/pipermail/technique/2011-November/000086.html
114 79 Laurent GUERBY
115 103 Fabien ADAM
Un serveur aura typiquement une configuration entièrement statique assignée par l'hébergeur, laisser la configuration dynamique activée est un risque de voir un tiers prendre le controle du routage serveur ou l'empécher de fonctionner via l'envoi d'une configuration dynamique erronée. Il est donc préférable de désactiver la configuration dynamique IPv6 sur une VM ou serveur physique hébergé chez tetaneutral.net. Si votre VM est en mode routeur (c'est à dire la commande "more /proc/sys/net/ipv6/conf/all/forwarding" renvoit 1), cette désactivation est implicite, voir dans le source du noyau Linux le fichier "Documentation/networking/ip-sysctl.txt")
116 30 Laurent GUERBY
117 33 Laurent GUERBY
En version rapide executer sur sa VM ou machine en root la ligne suivante :
118 30 Laurent GUERBY
119 1 Laurent GUERBY
<pre>
120 33 Laurent GUERBY
wget -qO - http://tetaneutral.net/ipv6/ipv6noauto.sh | bash
121 33 Laurent GUERBY
</pre>
122 33 Laurent GUERBY
123 103 Fabien ADAM
Le détail de ce que fait ce script ci-après.
124 33 Laurent GUERBY
125 103 Fabien ADAM
h3. Désactiver autoconf et accept_ra pour la session en cours
126 33 Laurent GUERBY
127 99 Laurent GUERBY
https://github.com/NLNOG/ring-puppet/blob/master/files/etc/sysctl.d/30-disable-accepting-ipv6-ra.conf
128 99 Laurent GUERBY
129 33 Laurent GUERBY
Executer en root la ligne suivante :
130 33 Laurent GUERBY
131 33 Laurent GUERBY
<pre>
132 30 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do for j in autoconf accept_ra; do echo 0 > $i/$j; done;done
133 30 Laurent GUERBY
</pre>
134 1 Laurent GUERBY
135 33 Laurent GUERBY
h3. Le rendre permanent en cas de reboot
136 31 Laurent GUERBY
137 33 Laurent GUERBY
Editer la section inte6 de /etc/network/interfaces  pour ajouter deux "pre-up" entre la ligne "iface" et la ligne "address" :
138 30 Laurent GUERBY
139 30 Laurent GUERBY
<pre>
140 30 Laurent GUERBY
iface eth0 inet6 static
141 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
142 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
143 1 Laurent GUERBY
   address ...
144 30 Laurent GUERBY
</pre>
145 30 Laurent GUERBY
146 103 Fabien ADAM
Créer un fichier pour sysctl :
147 30 Laurent GUERBY
148 30 Laurent GUERBY
<pre>
149 32 Laurent GUERBY
cat > /etc/sysctl.d/local-ipv6.conf <<EOF
150 30 Laurent GUERBY
151 30 Laurent GUERBY
# No IPV6 RA or autoconf
152 30 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
153 30 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
154 30 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
155 1 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
156 1 Laurent GUERBY
157 1 Laurent GUERBY
EOF
158 33 Laurent GUERBY
</pre>
159 33 Laurent GUERBY
160 33 Laurent GUERBY
161 103 Fabien ADAM
h3. Référence : source du script ipv6noauto.sh
162 33 Laurent GUERBY
163 33 Laurent GUERBY
<pre>
164 33 Laurent GUERBY
echo deactivating autoconf and accept_ra
165 33 Laurent GUERBY
166 33 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do 
167 33 Laurent GUERBY
 for j in autoconf accept_ra; do 
168 33 Laurent GUERBY
  echo $i/$j
169 33 Laurent GUERBY
  echo 0 > $i/$j
170 33 Laurent GUERBY
 done
171 33 Laurent GUERBY
done
172 33 Laurent GUERBY
173 33 Laurent GUERBY
174 33 Laurent GUERBY
F=/etc/network/interfaces
175 33 Laurent GUERBY
if ! grep accept_ra $F >& /dev/null; then
176 33 Laurent GUERBY
 echo fixing /etc/network/interfaces
177 33 Laurent GUERBY
 cp -f $F $F.save
178 33 Laurent GUERBY
 sed -e 's,iface eth0 inet6 static,iface eth0 inet6 static\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf,g' < $F.save > $F
179 33 Laurent GUERBY
fi
180 33 Laurent GUERBY
181 33 Laurent GUERBY
if [ ! -f /etc/sysctl.d/local-ipv6.conf ]; then
182 33 Laurent GUERBY
 echo creating /etc/sysctl.d/local-ipv6.conf
183 33 Laurent GUERBY
184 33 Laurent GUERBY
 cat > /etc/sysctl.d/local-ipv6.conf <<EOF
185 33 Laurent GUERBY
186 33 Laurent GUERBY
# No IPV6 RA or autoconf
187 33 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
188 33 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
189 33 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
190 33 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
191 33 Laurent GUERBY
192 33 Laurent GUERBY
EOF
193 33 Laurent GUERBY
194 33 Laurent GUERBY
fi
195 33 Laurent GUERBY
196 33 Laurent GUERBY
echo done
197 30 Laurent GUERBY
</pre>
198 30 Laurent GUERBY
199 56 Laurent GUERBY
h2. ARP cache limits
200 30 Laurent GUERBY
201 56 Laurent GUERBY
TODO via Cyril B.
202 56 Laurent GUERBY
203 56 Laurent GUERBY
<pre>
204 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh1 = 1024
205 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh2 = 2048
206 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh3 = 4096
207 56 Laurent GUERBY
</pre>
208 30 Laurent GUERBY
209 103 Fabien ADAM
h2. Pièges
210 25 Laurent GUERBY
211 103 Fabien ADAM
Attention a bien mettre les zéros en fin de mot :
212 1 Laurent GUERBY
213 25 Laurent GUERBY
Ne pas mettre 2a01:6600:8081:XX:: car c'est 2a01:6600:8081: *00* XX::
214 26 Laurent GUERBY
Utiliser 2a01:6600:8081: *XX00* ::
215 22 Laurent GUERBY
216 34 Laurent GUERBY
h2. Comment activer le routage sur son /56 IPv6 ?
217 7 Jérôme Nicolle
218 103 Fabien ADAM
Chaque IPv4 livrée par tetaneutral.net est associé à un /56 IPv6, avec une équivalence /24  = 256 IPv4 <=> /48 = 256 /56 IPv6
219 7 Jérôme Nicolle
220 8 Laurent GUERBY
h2. Discussions
221 1 Laurent GUERBY
222 103 Fabien ADAM
> J'ai fait quelques essais: VM configuré en routeur, openvpn entre la VM
223 103 Fabien ADAM
> et ma machine, histoire de simuler des interfaces. J'ai essayé radvd
224 103 Fabien ADAM
> comme des définitions manuelles des adresses IPv6.
225 8 Laurent GUERBY
> 
226 103 Fabien ADAM
> Bon, ça marche depuis la VM mais pas depuis chez moi (wget
227 103 Fabien ADAM
> http://ipv6.google.com), même si les paquets IPv6 (vu avec tcpdump)
228 8 Laurent GUERBY
> partent bien de la VM vers l'internet. Mais il n'y a pas de retour.
229 8 Laurent GUERBY
> 
230 103 Fabien ADAM
> Après quelques cogitations et la lecture de ceci:
231 103 Fabien ADAM
> http://www.fdn.fr/IPv6-a-la-maison.html j'en arrive à ces
232 103 Fabien ADAM
> réflexions:
233 8 Laurent GUERBY
> 
234 103 Fabien ADAM
> 1) Dans le blog FDN ci-dessus l'adresse IPv6 affectée au ppp0 n'est pas
235 8 Laurent GUERBY
> dans son /48; ce qui voudrait dire qu'il n'y a pas de raison d'affecter
236 8 Laurent GUERBY
> une IPv6 du /56 au eth0 des VM tetaneutral.
237 8 Laurent GUERBY
> 
238 103 Fabien ADAM
> 2) Pour faire marcher une telle config à FDN, le routeur FDN en amont du
239 103 Fabien ADAM
> modem/routeur de l'abonné devrait avoir une route du type:
240 103 Fabien ADAM
> ip -6 route add range/48 dev ppp-abonné via link-local-ppp-abonné
241 8 Laurent GUERBY
> soit chez nous:
242 8 Laurent GUERBY
> ip -6 route add range/56 dev eth0-vm via link-local-eth0-vm
243 8 Laurent GUERBY
> 
244 8 Laurent GUERBY
> > du /56 via une interconnection explicite entre le routeur de
245 8 Laurent GUERBY
> > tetaneutral.net et un routeur chez le membre ?
246 8 Laurent GUERBY
> 
247 8 Laurent GUERBY
> Un lien openvpn?
248 8 Laurent GUERBY
249 8 Laurent GUERBY
Bonsoir,
250 8 Laurent GUERBY
251 8 Laurent GUERBY
On peut rajouter une regle de routage comme tu le suggere,
252 8 Laurent GUERBY
reste a choisir les details pratiques.
253 8 Laurent GUERBY
254 103 Fabien ADAM
Pour la link-local coté routeur on a choisi fe80::31 en statique il
255 103 Fabien ADAM
reste a choisir une regle pour attribuer le link local coté client. 
256 8 Laurent GUERBY
257 103 Fabien ADAM
Une regle automatique basée sur l'IPv4 est en place pour
258 8 Laurent GUERBY
l'attribution du subnet IPv6 :
259 8 Laurent GUERBY
260 8 Laurent GUERBY
http://wiki.tetaneutral.net/index.php/Architecture
261 8 Laurent GUERBY
262 8 Laurent GUERBY
Une regle similaire pour le routage donnerait par exemple fe80::81:XY
263 8 Laurent GUERBY
ou XY est le dernier octet de l'IPv4 ecrit en hexadecimal
264 103 Fabien ADAM
pour la link local coté client.
265 8 Laurent GUERBY
266 8 Laurent GUERBY
L'avantage d'une regle statique vs le SLAAC c'est que c'est un peu plus
267 103 Fabien ADAM
flexible coté client sur le choix de l'equipement routeur.
268 8 Laurent GUERBY
269 103 Fabien ADAM
L'avantage du routé est bien sur la flexibilité et la sécurisation
270 8 Laurent GUERBY
potentielle, l'inconvenient est qu'avec nos equipements actuels peu
271 103 Fabien ADAM
puissant on perdra un peu en debit mais ça se corrigera avec
272 8 Laurent GUERBY
de nouveaux equipements.
273 8 Laurent GUERBY
274 8 Laurent GUERBY
Je suis vraiment curieux de savoir comment font les autres hebergeurs
275 8 Laurent GUERBY
dans le monde IPv6, ceux auxquels j'ai acces ne proposent pas de
276 8 Laurent GUERBY
routage, simplement ce que propose tetaneutral.net actuellement.
277 8 Laurent GUERBY
278 8 Laurent GUERBY
Suggestions ?
279 8 Laurent GUERBY
280 103 Fabien ADAM
h2. Connectivité IPv6 complète depuis chez vous en quelques étapes simples
281 9 Bernard Urban
282 103 Fabien ADAM
Connectivité complète signifie que toutes vos machines pouvant fonctionner en IPv6 peuvent accéder des sites IPv6 externes mais surtout être joignables de l'extérieur sur une adresse IPv6 propre. Pas de NAT ou autre bidouille de ce genre. Implications en terme d'autohébergement et sécurité laissées en exercice. 
283 9 Bernard Urban
284 103 Fabien ADAM
Pour bien comprendre ce qui suit, il est recommandé d'avoir un peu potassé les hyperliens plus haut et mieux encore d'avoir joué avec l'IPv6 sur votre réseau local maison en utilisant par exemple des adresses ULA.
285 1 Laurent GUERBY
286 10 Bernard Urban
h3. Etape 1: obtenir une machine virtuelle Tetaneutral. 
287 10 Bernard Urban
288 103 Fabien ADAM
Celle-ci (on l'appellera VM dans la suite) sera configurée par défaut comme suit dans /etc/network/interfaces du point de vue IPv6:
289 1 Laurent GUERBY
<pre>
290 1 Laurent GUERBY
iface eth0 inet6 static
291 103 Fabien ADAM
   # les 2 lignes qui suivent ne seront pas nécessaires lorsque 
292 1 Laurent GUERBY
   # plus loin nous passerons en mode routeur
293 1 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
294 1 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
295 1 Laurent GUERBY
   address 2a01:6600:80XX:YY00::1
296 1 Laurent GUERBY
   netmask 56
297 1 Laurent GUERBY
   gateway fe80::31
298 1 Laurent GUERBY
</pre>
299 1 Laurent GUERBY
300 103 Fabien ADAM
où XX et YY vous sont donnés par les administrateurs de tetaneutral.net.
301 1 Laurent GUERBY
302 103 Fabien ADAM
Voyons ce qu'implique la prise en compte par le système de ce fragment de /etc/network/interfaces. Il dit que:
303 103 Fabien ADAM
# l'adresse 2a01:6600:80XX:YY00::1 est affectée à eth0, ce qui signifie que votre VM est accessible à cette adresse depuis l'intérieur de la VM comme depuis l'extérieur par toutes les machines du même segment réseau que eth0
304 103 Fabien ADAM
# les paquets passant par votre VM peuvent atteindre les adresses de la plage 2a01:6600:80XX:YY00::/56 en étant envoyés en sortie de l'interface eth0
305 1 Laurent GUERBY
306 103 Fabien ADAM
La plage 2a01:6600:80XX:YY00::/56 a été allouée par tetaneutral à votre VM. Notre problème est d'allouer une partie de ces adresses à des machines de notre domicile en utilisant l'accès que nous avons (en IPv4!) à la VM.
307 1 Laurent GUERBY
308 103 Fabien ADAM
Avec cette configuration, vous pouvez héberger sur la VM des milliards de serveurs avec des adresses IPv6 différentes, il suffit de les ajouter à eth0 par une commande du type:
309 1 Laurent GUERBY
<pre>
310 1 Laurent GUERBY
ip -6 address add une-adresse-ipv6-de-votre-plage/56 dev eth0
311 1 Laurent GUERBY
</pre>
312 103 Fabien ADAM
Le /56 n'est pas absolument nécessaire, il évite juste de rajouter une route plus spécifique pour atteindre votre nouvelle adresse IPv6 depuis votre VM, route qui s'avère redondante.
313 54 Laurent GUERBY
314 103 Fabien ADAM
Le lecteur attentif aura noté que cette configuration déclare que toutes les adresses de votre plage sont situées derrière eth0, en dehors de la partie contrôlée par votre VM, et il semble impossible alors d'en distraire une partie. Il y a au moins deux solutions à ce problème:
315 103 Fabien ADAM
# S'arranger pour que les segments réseau de votre domicile fassent partie de celui partant de eth0 sur la VM. Celà revient techniquement à bridger ces segments réseaux. Cette solution a cependant des inconvénients en terme de configurabilité et de sécurité.
316 103 Fabien ADAM
# Réduire la plage IPv6 allouée derrière l'eth0 de la VM et réallouer le solde à votre réseau local maison, par des techniques de routage. C'est ce qu'on va décrire dans la suite. Mais d'abord, on a besoin d'un peu de collaboration de Tetaneutral. 
317 1 Laurent GUERBY
318 1 Laurent GUERBY
h3. Etape 2: faire router votre plage /56 par Tetaneutral.
319 10 Bernard Urban
320 103 Fabien ADAM
Dans la configuration par défaut des VM Tetaneutral, l'hôte des VM crée la route vers l'adresse 2a01:6600:80XX:YY00::1 (et des autres que vous rajoutez éventuellement à la main sur eth0) par l'utilisation de l'équivalent IPv6 d'ARP. Il est donc impossible de router vers une adresse qui n'existe pas sur cet eth0. 
321 10 Bernard Urban
322 10 Bernard Urban
Tetaneutral doit donc rajouter une route explicite:
323 10 Bernard Urban
<pre>
324 103 Fabien ADAM
ip -6 route add 2a01:6600:80XX:YY00::/56 via fe80::XX:YY dev votre-eth0-côté-hôte
325 1 Laurent GUERBY
</pre>
326 10 Bernard Urban
327 103 Fabien ADAM
Celà n'a de sens que si fe80::XX:YY une des adresses de l'eth0 côté VM. Il faut donc l'ajouter et le mieux est de le faire via une directive 'up' dans /etc/network/interfaces:
328 10 Bernard Urban
<pre>
329 11 Bernard Urban
iface eth0 inet6 static
330 103 Fabien ADAM
   # les 2 lignes qui suivent ne seront pas nécessaires lorsque 
331 1 Laurent GUERBY
   # plus loin nous passerons en mode routeur
332 1 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
333 12 Bernard Urban
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
334 1 Laurent GUERBY
   address 2a01:6600:80XX:YY00::1
335 1 Laurent GUERBY
   netmask 64
336 11 Bernard Urban
   gateway fe80::31   
337 1 Laurent GUERBY
   up ip -6 add add fe80::XX:YY/64 dev eth0
338 1 Laurent GUERBY
</pre>
339 1 Laurent GUERBY
340 103 Fabien ADAM
Mon lecteur toujours très attentif n'aura pas manqué de noter que netmask ci-dessus est passé de 56 à 64. Nous n'allouons donc maintenant plus toutes nos adresses IPv6 sur le segment réseau partant d'eth0. En particulier, nous allons voir maintenant comment récupérer la sous-plage 2a01:6600:80XX:YY01::/64 pour notre réseau à domicile. 
341 11 Bernard Urban
342 103 Fabien ADAM
+Remarque:+ la sous-plage doit être /64, sinon l'adressage automatique des interfaces réseau qu'on verra plus loin ne marchera pas.
343 1 Laurent GUERBY
344 103 Fabien ADAM
h3. Etape 2 (alternative via proxy NDP) : faire router votre plage /56 par Tetaneutral.
345 1 Laurent GUERBY
346 103 Fabien ADAM
L'équivalent IPv6 d'ARP est NDP (Network Discovery Protocol). Il est utilisé pour déterminer quelles sont les adresses IPv6 effectivement joignables parmi toute la plage des adresses disponibles. Pour router vers une adresse qui n'existe pas sur cet eth0, soit on ajoute une route statique fixe (ce qui nécessite l'intervention d'un admin Tetaneutral), soit on faisant suivre les requêtes NDP au niveau de la VM, entre ses différentes interfaces.
347 57 Bernard Urban
348 103 Fabien ADAM
L'outil ndppd fait office de proxy pour les requêtes NDP entre les interfaces. Il est disponible en source et en paquet Debian sur le site officiel http://priv.nu/projects/ndppd/. Créer ensuite le fichier /etc/ndppd.conf:
349 103 Fabien ADAM
<pre>
350 103 Fabien ADAM
proxy eth0 {
351 103 Fabien ADAM
   router no
352 103 Fabien ADAM
   timeout 500   
353 103 Fabien ADAM
   ttl 30000
354 103 Fabien ADAM
   rule 2a01:6600:80XX:YY00::/56 {
355 103 Fabien ADAM
      static
356 103 Fabien ADAM
   }
357 103 Fabien ADAM
}
358 103 Fabien ADAM
</pre>
359 103 Fabien ADAM
Ici le logiciel écoute sur l'interface eth0 de la VM les requêtes NDP. Celles qui demande une IP de votre plage /56 seront transmisses (l'interface utilisée sera déduite de la table de routage de la VM) par ndppd qui répondra alors immédiatement au routeur s'il a lui même reçu une réponse.
360 103 Fabien ADAM
Le flag router est à no car on n'est pas un routeur (vers l'Internet) pour le réseau Tetaneutral.
361 1 Laurent GUERBY
362 103 Fabien ADAM
Il est bien sûr possible d'utiliser une sous-plage telle que 2a01:6600:80XX:YY01::/64 à la place du 2a01:6600:80XX:YY00::/56 complet.
363 103 Fabien ADAM
364 103 Fabien ADAM
h3. Etape 3: simuler un lien ethernet entre une machine à domicile et cette VM.
365 103 Fabien ADAM
366 103 Fabien ADAM
Les technologies VPN/tunnel sont le pendant réseau des machines virtuelles: elles permettent de créer des interfaces réseaux virtuelles (du point de vue hardware, mais bien réelles d'un point de vue logiciel) et de les connecter entre elles. 
367 103 Fabien ADAM
368 103 Fabien ADAM
Tout comme les machines virtuelles nécessitent quand même un minimum de support silicium, un VPN/tunnel va nécessiter de s'appuyer sur une vraie liaison entre deux vraies interfaces réseau, en l'occurence pour nous la liaison internet IPv4 entre autre utilisée pour l'administration de la VM depuis votre domicile. Plus précisément, nous allons utiliser l'outil openvpn.
369 103 Fabien ADAM
370 103 Fabien ADAM
La première étape va consister à installer openvpn en mode serveur sur la VM. Le fichier suivant est à créer dans /etc/openvpn/myris.conf:
371 1 Laurent GUERBY
<pre>
372 11 Bernard Urban
dev tap
373 11 Bernard Urban
proto udp
374 11 Bernard Urban
local 91.224.xx.yy
375 11 Bernard Urban
float
376 11 Bernard Urban
ca myris/ca.crt
377 11 Bernard Urban
cert myris/myris.crt
378 11 Bernard Urban
key myris/myris.key
379 11 Bernard Urban
dh myris/dh1024.pem
380 11 Bernard Urban
tls-server
381 11 Bernard Urban
port 1194
382 1 Laurent GUERBY
ping 15
383 1 Laurent GUERBY
ping-restart 45
384 11 Bernard Urban
# car serveur
385 11 Bernard Urban
ping-timer-rem
386 11 Bernard Urban
persist-tun
387 11 Bernard Urban
persist-key
388 11 Bernard Urban
ifconfig 10.0.0.2 255.255.255.252
389 11 Bernard Urban
route ipv4-adresse-client-openvpn-domicile 255.255.255.255 10.0.0.1
390 11 Bernard Urban
script-security 3 system
391 11 Bernard Urban
route-up "/sbin/ip -6 addr add 2a01:6600:80XX:YY01::1/64 dev tap0"
392 11 Bernard Urban
</pre>
393 11 Bernard Urban
394 103 Fabien ADAM
+Remarque:+ le paramètre route-up contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Cette commande est nécessaire pour créer sur la VM une route vers la bonne interface pour la plage 2a01:6600:80XX:YY01::/64. Pour que le serveur openvpn soit toujours présent, il faut ajouter
395 11 Bernard Urban
<pre>
396 11 Bernard Urban
AUTOSTART="myris"
397 1 Laurent GUERBY
</pre>
398 103 Fabien ADAM
à /etc/default/openvpn.
399 1 Laurent GUERBY
400 103 Fabien ADAM
Sur la machine à domicile, il faut une installation en mode client, pourquoi pas le même nom de fichier que le serveur, mais pas le même contenu:
401 11 Bernard Urban
<pre>
402 11 Bernard Urban
dev tap
403 11 Bernard Urban
proto udp
404 1 Laurent GUERBY
local ipv4-adresse-client-openvpn-domicile
405 1 Laurent GUERBY
remote 91.224.xx.yy
406 11 Bernard Urban
ca myris/ca.crt
407 11 Bernard Urban
cert myris/client.crt
408 1 Laurent GUERBY
key myris/client.key
409 11 Bernard Urban
tls-client
410 11 Bernard Urban
port 1194
411 11 Bernard Urban
ping 15
412 11 Bernard Urban
ping-restart 45
413 1 Laurent GUERBY
persist-tun
414 11 Bernard Urban
persist-key
415 15 Bernard Urban
ifconfig 10.0.0.1 255.255.255.252
416 1 Laurent GUERBY
route 0.0.0.0 0.0.0.0 10.0.0.2
417 14 Bernard Urban
</pre>
418 1 Laurent GUERBY
419 103 Fabien ADAM
L'adresse ipv4-adresse-client-openvpn-domicile est toute adresse qui permet d'accéder Internet depuis la machine accueillant l'openvpn client; en général, ce ne sera donc pas votre adresse IP externe allouée par votre FAI, elle sera plutôt du genre 192.168.*.*. ou 10.*.*.*. Il est supposé bien sûr dans l'exemple ci-dessus que vous n'utilisez pas 10.0.0.0/30 chez vous, elle a été réservée au lien openvpn. 
420 14 Bernard Urban
421 103 Fabien ADAM
Les répertoires /etc/openvpn/myris sur VM et machine cliente contiendront les divers certificats et clés, qu'il faut générer. Voici comment faire:
422 14 Bernard Urban
<pre>
423 103 Fabien ADAM
cd un-répertoire de travail
424 14 Bernard Urban
cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/ .
425 14 Bernard Urban
cd 2.0
426 103 Fabien ADAM
# Editez à votre convenance les 5 dernières variables d'environnement de type KEY_* du fichier vars
427 14 Bernard Urban
source ./vars
428 14 Bernard Urban
./clean-all
429 14 Bernard Urban
./build-dh
430 14 Bernard Urban
./pkitool --initca
431 14 Bernard Urban
./pkitool --server myris
432 14 Bernard Urban
./pkitool client
433 1 Laurent GUERBY
</pre>
434 1 Laurent GUERBY
435 103 Fabien ADAM
et les fichiers recherchés se trouvent dans le sous-répertoire keys. Le seul fichier commun aux 2 extrémités du lien openvpn est ca.crt.
436 1 Laurent GUERBY
437 103 Fabien ADAM
h3. Etape 4: passer la VM en mode routeur et annoncer des routes pour votre réseau à domicile avec radvd.
438 1 Laurent GUERBY
439 103 Fabien ADAM
Pour autoriser les paquets à être routés sur la VM entre eth0 et tap0, il faut passer en mode routeur:
440 57 Bernard Urban
<pre>
441 57 Bernard Urban
echo 1 >/proc/sys/net/ipv6/conf/all/forwarding
442 57 Bernard Urban
</pre>
443 58 Bernard Urban
444 57 Bernard Urban
Il est encore mieux de conserver ce mode au reboot en rajoutant la ligne:
445 57 Bernard Urban
<pre>
446 1 Laurent GUERBY
net.ipv6.conf.all.forwarding=1
447 12 Bernard Urban
</pre>
448 11 Bernard Urban
449 11 Bernard Urban
dans le fichier "/etc/sysctl.conf"
450 11 Bernard Urban
451 103 Fabien ADAM
Cette option entraine aussi que votre VM ne s'autoconfigure plus en IPv6 (i.e. les lignes "pre-up" vues plus haut dans "/etc/network/interfaces" ne sont plus nécessaires).
452 11 Bernard Urban
453 103 Fabien ADAM
Nous allons maintenant mettre en place une configuration automatique d'adresses IPv6 de toutes les machines du segment réseau partant du tap0 de la VM (soit le tap0 du client openvpn, mais après l'étape suivante toutes les interfaces de votre réseau local). Nous utiliserons pour celà l'outil radvd, avec le fichier de configuration /etc/radvd.conf:
454 1 Laurent GUERBY
<pre>
455 1 Laurent GUERBY
interface tap0
456 1 Laurent GUERBY
{
457 11 Bernard Urban
  IgnoreIfMissing on;
458 11 Bernard Urban
  AdvSendAdvert on;
459 1 Laurent GUERBY
  AdvLinkMTU 1280;
460 1 Laurent GUERBY
  prefix 2a01:6600:80XX:YY01::/64
461 11 Bernard Urban
  {
462 1 Laurent GUERBY
    AdvOnLink on;
463 1 Laurent GUERBY
    AdvAutonomous on;
464 11 Bernard Urban
  };
465 1 Laurent GUERBY
};
466 12 Bernard Urban
</pre>
467 11 Bernard Urban
468 103 Fabien ADAM
+Remarque:+ le fichier contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Par ailleurs, il est possible d'interdire à une machine de s'autoconfigurer, mais ce n'est pas le défaut pour Linux et j'ai supposé que vous ne l'avez pas modifié. 
469 1 Laurent GUERBY
470 103 Fabien ADAM
h3. Etape 5: bridger les interfaces réseau du client openvpn
471 13 Bernard Urban
472 103 Fabien ADAM
A ce stade, la machine openvpn cliente peut accéder l'internet IPv6, car radvd aura placé une route par défaut via son tap0. Si vous bridgez maintenant ce tap0 avec son eth0 (normalement relié au reste de votre réseau local), toutes les machines de ce réseau local vont s'assigner au bout de quelques minutes une adresse tirée de la plage 2a01:6600:80XX:YY01::/64, et une route par défaut via le tap0 du client openvpn: c'est ce qu'on voulait obtenir.
473 13 Bernard Urban
474 103 Fabien ADAM
Voici les incantations magiques nécessaires:
475 13 Bernard Urban
<pre>
476 1 Laurent GUERBY
# on suppose qu'eth0 a l'adresse 192.168.0.1/24
477 1 Laurent GUERBY
brctl addbr br0
478 1 Laurent GUERBY
brctl addif br0 eth0
479 1 Laurent GUERBY
brctl addif br0 tap0
480 103 Fabien ADAM
# à ce stade, le machine hébergeant le client openvpn n'est plus adressable
481 103 Fabien ADAM
# mais il est dans la plupart des cas utile de lui en redonner une, en général celle d'eth0  
482 14 Bernard Urban
ip addr add 192.168.0.1/24 dev br0
483 14 Bernard Urban
</pre>
484 14 Bernard Urban
485 103 Fabien ADAM
Il peut être intéressant de bridger par défaut eth0 et un tap0 prédéfini sur br0 dès le boot par une section de ce type dans /etc/network/interfaces: 
486 14 Bernard Urban
<pre>
487 1 Laurent GUERBY
auto br0
488 1 Laurent GUERBY
iface br0 inet static
489 1 Laurent GUERBY
    address 192.168.1.10
490 16 Bernard Urban
    netmask 255.255.255.0
491 16 Bernard Urban
    broadcast 192.168.0.255
492 15 Bernard Urban
    gateway 192.168.1.1
493 16 Bernard Urban
    bridge_ports eth0 tap0
494 1 Laurent GUERBY
    pre-up tunctl -t tap0
495 1 Laurent GUERBY
</pre> 
496 103 Fabien ADAM
où la section 'iface br0' remplace 'iface eth0'.
497 16 Bernard Urban
498 1 Laurent GUERBY
Il faut ensuite modifier le configuration cliente /etc/openvpn/myris.conf comme suit:
499 1 Laurent GUERBY
<pre>
500 103 Fabien ADAM
# on définit explicitement le tap0
501 16 Bernard Urban
dev tap0
502 16 Bernard Urban
proto udp
503 16 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
504 16 Bernard Urban
remote 91.224.xx.yy
505 16 Bernard Urban
ca myris/ca.crt
506 16 Bernard Urban
cert myris/client.crt
507 16 Bernard Urban
key myris/client.key
508 16 Bernard Urban
tls-client
509 16 Bernard Urban
port 1194
510 16 Bernard Urban
ping 15
511 16 Bernard Urban
ping-restart 45
512 16 Bernard Urban
persist-tun
513 16 Bernard Urban
persist-key
514 103 Fabien ADAM
# ifconfig et route ont disparus et sont remplacés par ce qui suit, 
515 103 Fabien ADAM
# qui fait la même chose appliqué à br0 et non pas tap0
516 1 Laurent GUERBY
script-security 3 system
517 16 Bernard Urban
up /etc/openvpn/myris-up.sh
518 1 Laurent GUERBY
down /etc/openvpn/myris-down.sh
519 16 Bernard Urban
</pre> 
520 16 Bernard Urban
521 103 Fabien ADAM
où /etc/openvpn/myris-up.sh vaut:
522 16 Bernard Urban
<pre>
523 16 Bernard Urban
#! /bin/sh
524 16 Bernard Urban
/sbin/ip addr add 10.0.0.1/30 dev br0
525 16 Bernard Urban
</pre>
526 16 Bernard Urban
et /etc/openvpn/myris-down.sh vaut:
527 16 Bernard Urban
<pre>
528 16 Bernard Urban
#! /bin/sh
529 16 Bernard Urban
/sbin/ip addr del 10.0.0.1/30 dev br0
530 16 Bernard Urban
</pre>
531 16 Bernard Urban
532 16 Bernard Urban
+Remarque:+ ne pas oublier de lancer:
533 75 Kévin Beaubestre
<pre>
534 16 Bernard Urban
chmod 755 /etc/openvpn/myris-up.sh /etc/openvpn/myris-down.sh
535 16 Bernard Urban
</pre>
536 16 Bernard Urban
537 103 Fabien ADAM
Il est à noter que l'apparition des adresses et routes IPv6 peut prendre un dizaine de minutes après l'établissemnt du tunnel openvpn, et de même leur disparation n'est complète qu'au bout de 24h. Tout celà est réglable via /etc/radvd.conf sur la VM.
538 8 Laurent GUERBY
539 103 Fabien ADAM
h3. Etape 6: vie privée
540 90 Bernard Urban
541 103 Fabien ADAM
Voir la section à ce sujet: [[IPv6#Protection-de-la-vie-privée]] 
542 71 Julien Aubé
543 71 Julien Aubé
h2. IPv6 sous OpenWRT
544 71 Julien Aubé
545 103 Fabien ADAM
Exemple pour un routeur OpenWRT connecté au réseau L2 de Tetaneutral (radio ou autre)
546 71 Julien Aubé
547 71 Julien Aubé
h3. Demander le routage du /56.
548 71 Julien Aubé
549 103 Fabien ADAM
Il vous sera donné une IP link-locale sous la forme fe80::xx:yy .
550 71 Julien Aubé
551 71 Julien Aubé
h3. /etc/config/network
552 71 Julien Aubé
553 103 Fabien ADAM
La définition du fichier network d'OpenWRT
554 71 Julien Aubé
555 71 Julien Aubé
<pre>
556 71 Julien Aubé
config 'interface' 'loopback'
557 71 Julien Aubé
        option 'ifname' 'lo'
558 71 Julien Aubé
        option 'proto' 'static'
559 1 Laurent GUERBY
        option 'ipaddr' '127.0.0.1'
560 71 Julien Aubé
        option 'netmask' '255.0.0.0'
561 71 Julien Aubé
562 71 Julien Aubé
config 'interface' 'wan_ttn'
563 71 Julien Aubé
        option 'ifname'    'eth0.10'
564 72 Laurent GUERBY
        option 'proto'     'static'
565 71 Julien Aubé
        option 'ipaddr'    '91.224.149.ZZ'    # IPv4 publique
566 1 Laurent GUERBY
        option 'netmask'   '255.255.255.0'
567 71 Julien Aubé
        option 'gateway'   '91.224.149.254'
568 71 Julien Aubé
        option 'dns'       '91.224.149.254'   # Le DNS ipv4 de TTN
569 71 Julien Aubé
570 103 Fabien ADAM
        option 'send_rs'   '0'                # Evite d'envoyer des annonces sur le réseau TTN
571 103 Fabien ADAM
        option 'accept_ra  ' '0'              # Refuse les routes diffusées par le réseau TTN
572 72 Laurent GUERBY
        option 'ip6addr'   'fe80::XX:YY/64'   # L'IP link-locale pour le routage
573 71 Julien Aubé
        option 'ip6gw'     'fe80::31'         # La gw IPv6 de TTN
574 71 Julien Aubé
575 71 Julien Aubé
config 'alias'                                # Alias pour l'IPv6 publique du routeur
576 71 Julien Aubé
        option 'interface' 'wan_ttn'
577 71 Julien Aubé
        option 'proto'     'static'
578 72 Laurent GUERBY
        option 'ip6addr'   '2a01:6600:8081:YY00::1/64'
579 71 Julien Aubé
580 103 Fabien ADAM
config 'interface' 'lan'                      # Interface coté LAN
581 71 Julien Aubé
        option 'proto'     'static'
582 71 Julien Aubé
        option 'ifname'    'eth0.2'
583 71 Julien Aubé
        option 'ipaddr'    '192.168.1.254'
584 71 Julien Aubé
        option 'netmask'   '255.255.255.0'
585 71 Julien Aubé
        option 'broadcast' '192.168.1.255'
586 71 Julien Aubé
        option 'send_rs'   '0'
587 103 Fabien ADAM
        option 'ip6addr'   '2a01:6600:8081:YY02::1/64' # IP publique coté LAN
588 71 Julien Aubé
</pre>
589 71 Julien Aubé
590 71 Julien Aubé
h3. /etc/config/radvd
591 71 Julien Aubé
592 103 Fabien ADAM
Ce fichier est très simple car OpenWRT calcule automatiquement les bonnes valeurs
593 103 Fabien ADAM
à partir de la section "network" ci-dessus.
594 71 Julien Aubé
595 71 Julien Aubé
<pre>
596 71 Julien Aubé
config 'interface'
597 71 Julien Aubé
        option 'AdvSendAdvert' '1'
598 71 Julien Aubé
        option 'ignore' '0'
599 71 Julien Aubé
        option 'interface' 'lan'
600 71 Julien Aubé
601 71 Julien Aubé
config 'prefix'
602 71 Julien Aubé
        option 'ignore' '0'
603 71 Julien Aubé
        option 'interface' 'lan'
604 71 Julien Aubé
605 71 Julien Aubé
config 'rdnss'
606 71 Julien Aubé
        option 'interface' 'lan'
607 71 Julien Aubé
</pre>
608 75 Kévin Beaubestre
609 71 Julien Aubé
610 103 Fabien ADAM
À partir de là, le routeur diffuse des "Router Advertisement" sur son interface LAN et effectuera le routage.
611 103 Fabien ADAM
Toute machine sur le réseau interne récupère ainsi une IP publique, addressable en direct.
612 85 Raphaël Durand
613 309 Baptiste Jonglez
h2. [[IPv6-ADSL|IPv6 sur ADSL et OpenWRT]]
614 52 Laurent GUERBY
615 52 Laurent GUERBY
h2. ip6tables
616 52 Laurent GUERBY
617 52 Laurent GUERBY
Via Philippe Latu du projet http://www.inetdoc.net/
618 52 Laurent GUERBY
619 52 Laurent GUERBY
<pre>
620 52 Laurent GUERBY
*filter
621 52 Laurent GUERBY
:INPUT DROP [0:0]
622 52 Laurent GUERBY
:FORWARD DROP [0:0]
623 52 Laurent GUERBY
:OUTPUT ACCEPT [0:0]
624 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
625 1 Laurent GUERBY
# C H A I N E   I N P U T
626 1 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
627 52 Laurent GUERBY
# suivi de communication
628 52 Laurent GUERBY
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
629 52 Laurent GUERBY
# ICMPv6
630 52 Laurent GUERBY
-A INPUT -p icmpv6 -m state --state NEW -m limit --limit 5/sec -j ACCEPT
631 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-solicitation -j ACCEPT
632 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-advertisement -j 
633 52 Laurent GUERBY
ACCEPT
634 103 Fabien ADAM
# Filtrage paquets avec en-tête de routage de type 0
635 52 Laurent GUERBY
-A INPUT -m rt --rt-type 0 -j DROP
636 52 Laurent GUERBY
# Autorisation trafic multicast
637 52 Laurent GUERBY
-A INPUT -d ff00::/8 -j ACCEPT
638 52 Laurent GUERBY
# communication loopback
639 52 Laurent GUERBY
-A INPUT -i lo -m state --state NEW -j ACCEPT
640 52 Laurent GUERBY
# communication instances virtuelles
641 52 Laurent GUERBY
-A INPUT -i tap+ -m state --state NEW -j ACCEPT
642 52 Laurent GUERBY
# communication interne
643 52 Laurent GUERBY
-A INPUT -i bond0.+ -m state --state NEW -j ACCEPT
644 52 Laurent GUERBY
# SSH port 2222
645 52 Laurent GUERBY
-A INPUT -p tcp --syn --dport 2222 -m state --state NEW -j ACCEPT
646 52 Laurent GUERBY
# poubelle
647 52 Laurent GUERBY
-A INPUT -j LOG --log-prefix "INPUT/rejected.ip6tables: "
648 52 Laurent GUERBY
-A INPUT -m state --state INVALID -m limit --limit 5/min -j LOG --log-prefix "INPUT/invalid.ip6tables: "
649 52 Laurent GUERBY
-A INPUT -m state --state INVALID -j DROP
650 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
651 52 Laurent GUERBY
# C H A I N E   F O R W A R D
652 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
653 52 Laurent GUERBY
# suivi de communication
654 52 Laurent GUERBY
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
655 52 Laurent GUERBY
# ICMPv6
656 52 Laurent GUERBY
-A FORWARD -p ipv6-icmp -m state --state NEW -m limit --limit 5/sec -j  ACCEPT
657 103 Fabien ADAM
# Filtrage paquets avec en-tête de routage de type 0
658 52 Laurent GUERBY
-A FORWARD -m rt --rt-type 0 -j DROP
659 52 Laurent GUERBY
# Autorisation trafic multicast
660 52 Laurent GUERBY
-A FORWARD -d ff00::/8 -j ACCEPT
661 52 Laurent GUERBY
# communication loopback
662 1 Laurent GUERBY
-A FORWARD -i lo -m state --state NEW -j ACCEPT
663 52 Laurent GUERBY
# communication instances virtuelles
664 52 Laurent GUERBY
-A FORWARD -i tap+ -m state --state NEW -j ACCEPT
665 103 Fabien ADAM
# communication réseaux de TP
666 52 Laurent GUERBY
-A FORWARD -i bond0.+ -m state --state NEW -j ACCEPT
667 1 Laurent GUERBY
# poubelle
668 1 Laurent GUERBY
-A FORWARD -m state --state INVALID -m limit --limit 5/min -j LOG  --log-prefix "INPUT/invalid.ip6tables: "
669 52 Laurent GUERBY
-A FORWARD -m state --state INVALID -j DROP
670 52 Laurent GUERBY
COMMIT
671 52 Laurent GUERBY
</pre>
672 52 Laurent GUERBY
673 52 Laurent GUERBY
674 6 Laurent GUERBY
675 6 Laurent GUERBY
h2. FAQ
676 80 Laurent GUERBY
677 80 Laurent GUERBY
h3. ipv6calc
678 80 Laurent GUERBY
679 80 Laurent GUERBY
<pre>
680 80 Laurent GUERBY
$ ipv6calc --in ipv6addr --out revnibbles.arpa 2a01:6600:8081:cf00::1    
681 82 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.f.c.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
682 82 Laurent GUERBY
$ ipv6calc --action geneui64 --in mac 00:22:4d:56:43:4e --out eui64
683 80 Laurent GUERBY
222:4dff:fe56:434e
684 80 Laurent GUERBY
</pre>
685 18 Laurent GUERBY
686 1 Laurent GUERBY
h3. Reverse DNS
687 18 Laurent GUERBY
688 19 Laurent GUERBY
En IPv6 tetaneutral.net peut deleguer le reverse du /56. Il faut configurer bind sur une ou plusieurs de vos machines, nous donner son CNAME, par exemple ns1.chezmoi.net et ns2.chezmoi.net, et mettre les fichiers suivant dans /etc/bind/ :
689 19 Laurent GUERBY
690 18 Laurent GUERBY
named.conf.local
691 18 Laurent GUERBY
<pre>
692 18 Laurent GUERBY
zone "1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
693 18 Laurent GUERBY
	type master;
694 18 Laurent GUERBY
	file "/etc/bind/db.ip6-81";
695 18 Laurent GUERBY
};
696 18 Laurent GUERBY
</pre>
697 18 Laurent GUERBY
698 18 Laurent GUERBY
db.ip6-81
699 18 Laurent GUERBY
<pre>
700 18 Laurent GUERBY
; -*- mode: zone; -*-
701 18 Laurent GUERBY
;
702 18 Laurent GUERBY
; BIND reverse data file for broadcast zone
703 18 Laurent GUERBY
;
704 18 Laurent GUERBY
$TTL    3600
705 18 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
706 18 Laurent GUERBY
                        2011070301      ; serial
707 18 Laurent GUERBY
                         7200         ; Refresh
708 18 Laurent GUERBY
                          3600         ; Retry
709 18 Laurent GUERBY
                        1800000         ; Expire
710 18 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
711 18 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
712 18 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
713 18 Laurent GUERBY
714 1 Laurent GUERBY
; reverse
715 18 Laurent GUERBY
$ORIGIN 0.0.e.c.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
716 1 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     www6.tetaneutral.net.
717 18 Laurent GUERBY
718 18 Laurent GUERBY
; delegations /56
719 47 Laurent GUERBY
$ORIGIN 1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
720 47 Laurent GUERBY
1.9 86400 IN NS   hoersch.kneissel.org.
721 47 Laurent GUERBY
1.9 86400 IN NS   serveur.kneissel.org.
722 47 Laurent GUERBY
e.8 86400 IN NS   dns.kafe-in.net.
723 47 Laurent GUERBY
</pre>
724 1 Laurent GUERBY
725 103 Fabien ADAM
Merci a Matthieu Herrb pour la délégation de reverse /56.
726 70 Laurent GUERBY
727 103 Fabien ADAM
Coté utilisateur dans son bind :
728 70 Laurent GUERBY
729 70 Laurent GUERBY
Dans /etc/bind/named.conf.local
730 70 Laurent GUERBY
731 70 Laurent GUERBY
<pre>
732 70 Laurent GUERBY
zone "X.Y.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
733 70 Laurent GUERBY
	type master;
734 70 Laurent GUERBY
	file "/etc/bind/db.ip6-XY";
735 70 Laurent GUERBY
};
736 70 Laurent GUERBY
737 70 Laurent GUERBY
</pre>
738 70 Laurent GUERBY
739 70 Laurent GUERBY
/etc/bind/db.ip6-XY
740 1 Laurent GUERBY
<pre>
741 1 Laurent GUERBY
; -*- mode: zone; -*-
742 70 Laurent GUERBY
;
743 70 Laurent GUERBY
; BIND reverse data file for broadcast zone
744 70 Laurent GUERBY
;
745 70 Laurent GUERBY
$TTL    3600
746 70 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
747 70 Laurent GUERBY
                        2011120700      ; serial
748 70 Laurent GUERBY
                         7200         ; Refresh
749 70 Laurent GUERBY
                          3600         ; Retry
750 70 Laurent GUERBY
                        1800000         ; Expire
751 70 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
752 70 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
753 70 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
754 70 Laurent GUERBY
755 70 Laurent GUERBY
$ORIGIN 0.0.X.Y.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
756 1 Laurent GUERBY
757 70 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a1.tetaneutral.net.
758 70 Laurent GUERBY
2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a2.tetaneutral.net.
759 70 Laurent GUERBY
3.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a3.tetaneutral.net.
760 34 Laurent GUERBY
</pre>
761 1 Laurent GUERBY
762 1 Laurent GUERBY
h3. CCNA et link-local
763 18 Laurent GUERBY
764 103 Fabien ADAM
Merci à Jérôme Nicolle:
765 17 Laurent GUERBY
766 17 Laurent GUERBY
http://www.freeccnaworkbook.com/labs/section-12-configuring-ipv6/lab-12-3-configuring-ipv6-static-routing/
767 17 Laurent GUERBY
768 17 Laurent GUERBY
> Unlike IPv4 static routing, with IPv6 you have the ability to use either the global unicast address or link-local address as the next hop in the static route statement. When working with IPv6 dynamic routing protocols which will be discussed in the next 2 labs, the next hop will be the neighbors link-local IPv6 address and not their global unique assigned ipv6 address. However when configuring a static route with a link-local IPv6 address as the next hop you must specify the egress interface. For all intensive purposes, using either/or will achieve the same desired effect.
769 17 Laurent GUERBY
770 103 Fabien ADAM
h3. Comment éviter d'utiliser une IPv6 non routée ?
771 17 Laurent GUERBY
772 103 Fabien ADAM
Sur un IX en général les adresses sont non routées donc il faut éviter de les utiliser, pour cela on utilise "preferred_lft 0" :
773 50 Laurent GUERBY
774 50 Laurent GUERBY
http://www.davidc.net/networking/ipv6-source-address-selection-linux
775 50 Laurent GUERBY
776 50 Laurent GUERBY
<pre>
777 50 Laurent GUERBY
ip -6 a add 2001:7f8:59:0:75::15/96 dev eth0.502 preferred_lft 0
778 50 Laurent GUERBY
</pre>
779 74 Laurent GUERBY
780 74 Laurent GUERBY
Comment linux choisi une adresse IPv6 source https://www.kafe-in.net/articles/IPv6Source/
781 74 Laurent GUERBY
782 34 Laurent GUERBY
h3. Comment pinguer une addresse link local ?
783 6 Laurent GUERBY
784 34 Laurent GUERBY
 
785 6 Laurent GUERBY
<pre>
786 6 Laurent GUERBY
ping6 fe80::31%eth0
787 1 Laurent GUERBY
</pre>
788 40 Mehdi Abaakouk
789 40 Mehdi Abaakouk
h3. zones reverses ipv6 manquante dans bind (ie: ::1)
790 40 Mehdi Abaakouk
791 103 Fabien ADAM
Dans bind par défaut les zones pour ::1 sont vide pour les ajouter:
792 40 Mehdi Abaakouk
793 40 Mehdi Abaakouk
<pre>
794 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::.arpa
795 40 Mehdi Abaakouk
;
796 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
797 40 Mehdi Abaakouk
;
798 40 Mehdi Abaakouk
$TTL    604800
799 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
800 40 Mehdi Abaakouk
                              8         ; Serial
801 40 Mehdi Abaakouk
                         604800         ; Refresh
802 40 Mehdi Abaakouk
                          86400         ; Retry
803 40 Mehdi Abaakouk
                        2419200         ; Expire
804 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
805 40 Mehdi Abaakouk
;
806 40 Mehdi Abaakouk
@       IN      NS      localhost.
807 40 Mehdi Abaakouk
1       IN      PTR     localhost.
808 40 Mehdi Abaakouk
</pre>
809 40 Mehdi Abaakouk
810 40 Mehdi Abaakouk
<pre>
811 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::1.arpa
812 40 Mehdi Abaakouk
;
813 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
814 40 Mehdi Abaakouk
;
815 40 Mehdi Abaakouk
$TTL    604800
816 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
817 40 Mehdi Abaakouk
                              8         ; Serial
818 40 Mehdi Abaakouk
                         604800         ; Refresh
819 40 Mehdi Abaakouk
                          86400         ; Retry
820 40 Mehdi Abaakouk
                        2419200         ; Expire
821 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
822 40 Mehdi Abaakouk
;
823 40 Mehdi Abaakouk
@       IN      NS      localhost.
824 40 Mehdi Abaakouk
@       IN      PTR     localhost.
825 1 Laurent GUERBY
</pre>
826 1 Laurent GUERBY
827 40 Mehdi Abaakouk
<pre>
828 1 Laurent GUERBY
# cat /etc/bind/named.conf.default-zones.v6
829 1 Laurent GUERBY
830 40 Mehdi Abaakouk
zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
831 40 Mehdi Abaakouk
        type master;
832 1 Laurent GUERBY
        file "/etc/bind/db.local-::.arpa";
833 1 Laurent GUERBY
};
834 1 Laurent GUERBY
835 1 Laurent GUERBY
zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
836 1 Laurent GUERBY
        type master;
837 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::1.arpa";
838 40 Mehdi Abaakouk
};
839 42 Mehdi Abaakouk
</pre>
840 1 Laurent GUERBY
841 1 Laurent GUERBY
Et on ajoute ca dans /etc/bind/named.conf: 
842 1 Laurent GUERBY
<pre>
843 42 Mehdi Abaakouk
include "/etc/bind/named.conf.default-zones.v6";
844 42 Mehdi Abaakouk
</pre>
845 42 Mehdi Abaakouk
846 103 Fabien ADAM
h3. Envoie d'un Router Advertissement avec scapy pour virer une route auto apprise (Attention à n'utiliser que si on sait ce qu'on fait ! )
847 42 Mehdi Abaakouk
848 103 Fabien ADAM
Création de trame ipv6, ipv6 src est celle du router à spoffer
849 1 Laurent GUERBY
850 1 Laurent GUERBY
<pre>
851 42 Mehdi Abaakouk
a = IPv6()
852 42 Mehdi Abaakouk
a.src = "fe80::dcad:4dff:fe0b:8a5"
853 42 Mehdi Abaakouk
a.dst = "ff02::1"
854 42 Mehdi Abaakouk
</pre>
855 42 Mehdi Abaakouk
856 42 Mehdi Abaakouk
La trame sera un RA avec un lifetime de 0, comme indiquer dans la rfc2461:
857 42 Mehdi Abaakouk
"Lifetime of 0 indicates that the router is not a default router and SHOULD NOT appear on the default router list."
858 42 Mehdi Abaakouk
859 1 Laurent GUERBY
<pre>
860 42 Mehdi Abaakouk
b = ICMPv6ND_RA() 
861 42 Mehdi Abaakouk
b.routerlifetime = 0
862 42 Mehdi Abaakouk
</pre>
863 42 Mehdi Abaakouk
864 103 Fabien ADAM
Ensuite on fixe la adresse MAC à spoofer, celle du router original qui a envoyer le RA.
865 42 Mehdi Abaakouk
866 42 Mehdi Abaakouk
<pre>
867 1 Laurent GUERBY
c = ICMPv6NDOptSrcLLAddr() 
868 1 Laurent GUERBY
c.lladdr = "00:50:56:24:3b:c0"
869 1 Laurent GUERBY
</pre>
870 1 Laurent GUERBY
871 103 Fabien ADAM
Ensuite on construire le contenu du RA, avec le prefix à annoncer (toujours celui à spoofer)
872 103 Fabien ADAM
Avec le validlifetime et preferredlifetime à l'infinie, comme indiquer dans la rfc2461:
873 42 Mehdi Abaakouk
"A value of all one bits (0xffffffff) represents infinity"
874 42 Mehdi Abaakouk
875 42 Mehdi Abaakouk
<pre>
876 42 Mehdi Abaakouk
d = ICMPv6NDOptMTU() 
877 42 Mehdi Abaakouk
e = ICMPv6NDOptPrefixInfo() 
878 1 Laurent GUERBY
e.prefixlen = 64
879 1 Laurent GUERBY
e.prefix = "2a01:6600:8081:4300::"
880 42 Mehdi Abaakouk
e.validlifetime = 0xffffffff
881 42 Mehdi Abaakouk
e.preferredlifetime = 0xffffffff
882 42 Mehdi Abaakouk
</pre>
883 42 Mehdi Abaakouk
884 42 Mehdi Abaakouk
On envoie le tout:
885 42 Mehdi Abaakouk
886 61 Laurent GUERBY
<pre>
887 61 Laurent GUERBY
send(a/b/c/d/e)
888 61 Laurent GUERBY
</pre>
889 61 Laurent GUERBY
890 61 Laurent GUERBY
h3. PMTU
891 1 Laurent GUERBY
892 61 Laurent GUERBY
Try 'tracepath6' it will show you which hop is not returning a packet
893 1 Laurent GUERBY
too big for that path if needed. Also one can use a series of "ping6 -s
894 61 Laurent GUERBY
<size> -M do" to check if packets pass or not (if the destination allows
895 63 Laurent GUERBY
pings of course).
896 63 Laurent GUERBY
897 63 Laurent GUERBY
h2. IETF IPv6 security
898 63 Laurent GUERBY
899 63 Laurent GUERBY
From: Fernando Gont <fernando@gont.com.ar>
900 63 Laurent GUERBY
To: NANOG <nanog@nanog.org>
901 63 Laurent GUERBY
Subject: IPv6 security: New IETF I-Ds, slideware and videos of recent presentations, trainings, etc...
902 63 Laurent GUERBY
Date: Mon, 28 May 2012 22:17:33 -0300
903 63 Laurent GUERBY
904 63 Laurent GUERBY
Folks,
905 63 Laurent GUERBY
906 63 Laurent GUERBY
* We've published a new IETF I-D entitled "DHCPv6-Shield: Protecting
907 63 Laurent GUERBY
Against Rogue DHCPv6 Servers", which is meant to provide RA-Guard-like
908 63 Laurent GUERBY
protection against rogue DHCPv6 servers. The I-D is available at:
909 63 Laurent GUERBY
<http://tools.ietf.org/id/draft-gont-opsec-dhcpv6-shield-00.txt>
910 63 Laurent GUERBY
Other IPv6 security I-Ds (such as,
911 63 Laurent GUERBY
draft-ietf-v6ops-ra-guard-implementation) have been revised. Please
912 63 Laurent GUERBY
check them out at:
913 63 Laurent GUERBY
<http://www.si6networks.com/publications/ietf.html>
914 63 Laurent GUERBY
915 63 Laurent GUERBY
* The slideware (and some videos!) of some of our recent presentations
916 63 Laurent GUERBY
about IPv6 security are now available online. You can find them at:
917 63 Laurent GUERBY
<http://www.si6networks.com/presentations/index.html>
918 63 Laurent GUERBY
919 63 Laurent GUERBY
* We have also scheduled IPv6 hacking trainings in Paris (France) and
920 63 Laurent GUERBY
Ghent (Belgium). You can find more details at:
921 63 Laurent GUERBY
<http://www.si6networks.com/index.html#conferences>
922 63 Laurent GUERBY
923 63 Laurent GUERBY
Our Twitter: @SI6Networks
924 63 Laurent GUERBY
ipv6hackers mailing-list:
925 63 Laurent GUERBY
<http://lists.si6networks.com/listinfo/ipv6hackers/>
926 63 Laurent GUERBY
927 63 Laurent GUERBY
Thanks!
928 63 Laurent GUERBY
929 63 Laurent GUERBY
Best regards,
930 63 Laurent GUERBY
-- 
931 63 Laurent GUERBY
Fernando Gont
932 63 Laurent GUERBY
SI6 Networks
933 63 Laurent GUERBY
e-mail: fgont@si6networks.com
934 78 Matthieu Herrb
PGP Fingerprint: 6666 31C6 D484 63B2 8FB1 E3C4 AE25 0D55 1D4E 7492
935 78 Matthieu Herrb
936 103 Fabien ADAM
h2. Protection de la vie privée
937 78 Matthieu Herrb
938 103 Fabien ADAM
h3. Le problème
939 87 Bernard Urban
940 87 Bernard Urban
En IPv6 en mode "autoconfiguration" (SLAAC) les derniers 64 bits de
941 103 Fabien ADAM
l'adresse sont dérivés de manière réversible de la MAC de votre
942 96 Bernard Urban
interface. Si celle-ci est par exemple 00:0c:29:0c:47:d5, elle est
943 103 Fabien ADAM
modifiée comme sur ce schéma:
944 96 Bernard Urban
945 87 Bernard Urban
!http://upload.wikimedia.org/wikipedia/commons/thumb/4/41/Modified-EUI-64.svg/220px-Modified-EUI-64.svg.png!
946 87 Bernard Urban
947 103 Fabien ADAM
Si vous êtes chez vous derrière une freebox vous allez apparaître avec
948 87 Bernard Urban
2a01:e34:...:02:0c:29:ff:fe:0c:47:d5 dans les logs des serveurs auxquels
949 103 Fabien ADAM
vous vous connectez et si vous allez ensuite à Myrys vous serez en
950 87 Bernard Urban
2a01:6600:8080:505:...::02:0c:29:ff:fe:0c:47:d5.
951 87 Bernard Urban
952 87 Bernard Urban
Donc tous ces serveurs, en regardant la fin de l'adresse IPv6, peuvent
953 103 Fabien ADAM
déduire que vous êtes un freenaute qui va à Myrys, avec les heures et
954 103 Fabien ADAM
tout, vos visites chez vos amis, hotspot, hôtels, et ce même si vous
955 103 Fabien ADAM
avez desactivé les cookies pour la partie web, si vous utilisez https,
956 103 Fabien ADAM
etc... C'est un danger pour la vie privée non présent en IPv4.
957 1 Laurent GUERBY
958 1 Laurent GUERBY
h3. Solutions
959 87 Bernard Urban
960 1 Laurent GUERBY
h4. Au niveau du routeur
961 88 Bernard Urban
962 103 Fabien ADAM
* On peut bloquer l'émission des RA pour ne pas avoir d'adresse SLAAC 
963 103 Fabien ADAM
sur les machines du réseau concerné (c'est ce qui est fait à Tetaneutral 
964 88 Bernard Urban
il me semble...). Et mettre en place un serveur DHCPv6 qui affecte les 
965 103 Fabien ADAM
adresses IPv6 soit dynamiquement à partir d'un pool soit de manière 
966 1 Laurent GUERBY
statique (mais sans correspondance connue avec une adresse MAC).
967 88 Bernard Urban
968 88 Bernard Urban
* Selon la puissance d'expression du pare-feu on peut bloquer les
969 88 Bernard Urban
adresses SLAAC. Elles ont les 2 octets 'ff fe' aux positions 11 et 12
970 1 Laurent GUERBY
dans l'adresse IPv6.
971 87 Bernard Urban
972 1 Laurent GUERBY
h4. Au niveau du client
973 88 Bernard Urban
974 103 Fabien ADAM
* Activer l'extension privacy si ce n'est pas le cas par défaut,
975 103 Fabien ADAM
(RFC3041 remplacé par RFC4941). Une manière de faire sous Linux
976 87 Bernard Urban
Debian est d'avoir un script /etc/network/if-pre-up.d/ipv6 contenant:
977 87 Bernard Urban
<pre>
978 87 Bernard Urban
#! /bin/sh
979 87 Bernard Urban
echo 2 > /proc/sys/net/ipv6/conf/$IFACE/use_tempaddr
980 87 Bernard Urban
</pre>
981 87 Bernard Urban
Ne pas oublier de rendre executable: 
982 87 Bernard Urban
<pre>
983 87 Bernard Urban
chmod 755 /etc/network/if-pre-up.d/ipv6
984 87 Bernard Urban
</pre> 
985 103 Fabien ADAM
La commande 'ip -6 a' donnera alors après quelques heures une sortie telle que:
986 87 Bernard Urban
<pre>
987 87 Bernard Urban
6: br0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 
988 87 Bernard Urban
    inet6 2a01:6600:1122:3344:bc01:d69e:cb4d:f3f0/64 scope global temporary dynamic 
989 87 Bernard Urban
       valid_lft 73784sec preferred_lft 1784sec
990 87 Bernard Urban
    inet6 2a01:6600:1122:3344:40d7:48ee:af65:47f1/64 scope global temporary deprecated dynamic 
991 87 Bernard Urban
       valid_lft 59792sec preferred_lft 0sec
992 87 Bernard Urban
    inet6 2a01:6600:1122:3344:d59d:1447:62ab:1f29/64 scope global temporary deprecated dynamic 
993 1 Laurent GUERBY
       valid_lft 45515sec preferred_lft 0sec
994 87 Bernard Urban
    inet6 2a01:6600:1122:3344:2xx:yyff:fezz:ttww/64 scope global dynamic 
995 87 Bernard Urban
       valid_lft 86313sec preferred_lft 14313sec
996 87 Bernard Urban
    inet6 fe80::2xx:yyff:fezz:ttww/64 scope link 
997 87 Bernard Urban
       valid_lft forever preferred_lft forever
998 87 Bernard Urban
</pre>
999 103 Fabien ADAM
où 00:xx:yy:zz:tt:ww est l'adresse MAC de l'interface (ici un bridge
1000 103 Fabien ADAM
qui prend l'adresse MAC de la première interface physique qui lui est
1001 103 Fabien ADAM
connectée). Les adresses 'deprecated' ne sont là que pour permettre
1002 103 Fabien ADAM
aux connexions démarrées durant leur durée de validité de
1003 103 Fabien ADAM
s'achever. Les nouvelles connexions utilisent la première adresse qui
1004 103 Fabien ADAM
a encore 1784 secondes de durée de vie restante.
1005 88 Bernard Urban
1006 88 Bernard Urban
* Modifier l'adresse MAC a chaque connexion
1007 88 Bernard Urban
(OpenBSD propose 'ifconfig <if> lladdr random' pour cela :-) 
1008 88 Bernard Urban
1009 88 Bernard Urban
* Bloquer avec le pare-feu local les paquets contenant l'adresse
1010 78 Matthieu Herrb
SLAAC si possible.
1011 78 Matthieu Herrb
1012 103 Fabien ADAM
Si les adresses IPv6 sont affectéees par un serveur DHCPv6 elles ne
1013 103 Fabien ADAM
sont normalement pas liées à l'adresse MAC.
1014 87 Bernard Urban
1015 78 Matthieu Herrb
h4. Liens
1016 78 Matthieu Herrb
1017 78 Matthieu Herrb
 * http://www.rfc-editor.org/rfc/rfc4941.txt Le RFC sur les privacy extensions
1018 78 Matthieu Herrb
 * http://superuser.com/questions/243669/how-to-avoid-exposing-my-mac-address-when using-ipv6
1019 78 Matthieu Herrb
 * https://home.regit.org/2011/04/ipv6-privacy/ IPv6 privacy extensions on Linux
1020 78 Matthieu Herrb
 * http://www.queret.net/blog/2012/04/357/ IPv6: Ubuntu 12.04 active la RFC4941 (Privacy Extensions) par default
1021 78 Matthieu Herrb
 * http://support.menandmice.com/jforum/posts/list/219.page Enable Privacy extensions on Mac OS X 10.5 and 10.6
1022 78 Matthieu Herrb
 * http://tools.ietf.org/html/draft-ietf-6man-stable-privacy-addresses-01
1023 78 Matthieu Herrb
1024 78 Matthieu Herrb
h3. Mais...
1025 78 Matthieu Herrb
1026 103 Fabien ADAM
Cela dit, il a été montré qu'il y a plein d'autres moyens pour les
1027 78 Matthieu Herrb
sites web qui veulent traquer leurs utilisateurs de collecter des
1028 78 Matthieu Herrb
informations discriminantes sur ceux-ci (type de navigateur,
1029 103 Fabien ADAM
extensions installées,...):
1030 1 Laurent GUERBY
http://news.cnet.com/8301-1009_3-20005185-83.html
1031 1 Laurent GUERBY
http://www.scatmania.org/2012/04/24/visitor-tracking-without-cookies/