Projet

Général

Profil

IPv6 » Historique » Version 50

Laurent GUERBY, 09/02/2012 14:55

1 1 Laurent GUERBY
h1. IPv6
2 1 Laurent GUERBY
3 34 Laurent GUERBY
Déploiement a tetaneutral.net : #35
4 1 Laurent GUERBY
5 34 Laurent GUERBY
h2. Liens
6 2 Laurent GUERBY
7 5 Laurent GUERBY
General
8 5 Laurent GUERBY
9 2 Laurent GUERBY
* http://en.wikipedia.org/wiki/ICMPv6
10 3 Laurent GUERBY
* http://en.wikipedia.org/wiki/Neighbor_Discovery_Protocol
11 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/Radvd
12 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/DHCPv6
13 43 Laurent GUERBY
* http://www.iana.org/assignments/icmpv6-parameters
14 45 Laurent GUERBY
15 45 Laurent GUERBY
Statistics
16 45 Laurent GUERBY
17 44 Laurent GUERBY
* http://bgp.he.net/ipv6-progress-report.cgi
18 45 Laurent GUERBY
* https://labs.ripe.net/Members/mirjam/content-ipv6-measurement-compilation
19 46 Laurent GUERBY
* http://www.ripe.net/internet-coordination/ipv4-exhaustion/ipv4-available-pool-graph
20 5 Laurent GUERBY
21 5 Laurent GUERBY
Linux
22 5 Laurent GUERBY
23 5 Laurent GUERBY
* http://madduck.net/docs/ipv6/
24 5 Laurent GUERBY
* http://tldp.org/HOWTO/Linux+IPv6-HOWTO/
25 29 Laurent GUERBY
* http://linux.die.net/man/8/rdisc6
26 38 Laurent GUERBY
* bind IPv4+IPv6 /proc/sys/net/ipv6/bindv6only http://www.kernel.org/doc/man-pages/online/pages/man7/ipv6.7.html
27 1 Laurent GUERBY
* sileht : comme arpwatch mais en ipv6 http://ndpmon.sourceforge.net/
28 49 Laurent GUERBY
* sileht : proxy NDP auto http://www.priv.nu/projects/ndppd/  et https://github.com/Tuhox/ndppd
29 20 Laurent GUERBY
30 21 Laurent GUERBY
Tunnels
31 21 Laurent GUERBY
32 21 Laurent GUERBY
* http://en.wikipedia.org/wiki/List_of_IPv6_tunnel_brokers
33 21 Laurent GUERBY
* http://tunnelbroker.net
34 21 Laurent GUERBY
* http://sonic.net/features/ipv6/
35 21 Laurent GUERBY
36 23 Laurent GUERBY
Misc
37 23 Laurent GUERBY
38 37 Laurent GUERBY
* Cool IPv6 stuff http://www.sixxs.net/misc/coolstuff/
39 23 Laurent GUERBY
* http://interviews.slashdot.org/story/11/10/25/1532213/vint-cerf-answers-your-questions-about-ipv6-and-more
40 24 Laurent GUERBY
* http://infosecblog.antonaylward.com/2010/08/05/re-opensuse-ipv6-nat-was-113-and-ssh-x-forwarding-not-working/
41 41 Laurent GUERBY
* conférence JRES 2011 http://stream.ut-capitole.fr/jres2011/57.html
42 23 Laurent GUERBY
43 22 Laurent GUERBY
Opérateurs
44 22 Laurent GUERBY
45 22 Laurent GUERBY
* DS-Lite chez FT http://www.ietf.org/mail-archive/web/v6ops/current/msg10652.html
46 27 Laurent GUERBY
* IPv6 chez comcast http://tech.slashdot.org/story/11/11/09/174217/comcast-begins-native-ipv6-deployment-to-end-users
47 28 Laurent GUERBY
* DHCP-PD http://ipv6.internode.on.net/
48 22 Laurent GUERBY
49 30 Laurent GUERBY
h2. Désactiver la configuration automatique
50 30 Laurent GUERBY
51 36 Laurent GUERBY
Un serveur aura typiquement une configuration entièrement statique assignée par l'hébergeur, laisser la configuration dynamique activée est un risque de voir un tiers prendre le controle du routage serveur ou l'empécher de fonctionner via l'envoi d'une configuration dynamique erronée. Il est donc préférable de désactiver la configuration dynamique IPv6 sur une VM ou serveur physique hébergé chez tetaneutral.net.
52 30 Laurent GUERBY
53 33 Laurent GUERBY
En version rapide executer sur sa VM ou machine en root la ligne suivante :
54 30 Laurent GUERBY
55 1 Laurent GUERBY
<pre>
56 33 Laurent GUERBY
wget -qO - http://tetaneutral.net/ipv6/ipv6noauto.sh | bash
57 33 Laurent GUERBY
</pre>
58 33 Laurent GUERBY
59 35 Laurent GUERBY
Le détail de ce que fait ce script ci-après.
60 33 Laurent GUERBY
61 33 Laurent GUERBY
h3. Désactiver autoconf et accept_ra pour la session en cours
62 33 Laurent GUERBY
63 33 Laurent GUERBY
Executer en root la ligne suivante :
64 33 Laurent GUERBY
65 33 Laurent GUERBY
<pre>
66 30 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do for j in autoconf accept_ra; do echo 0 > $i/$j; done;done
67 30 Laurent GUERBY
</pre>
68 1 Laurent GUERBY
69 33 Laurent GUERBY
h3. Le rendre permanent en cas de reboot
70 31 Laurent GUERBY
71 33 Laurent GUERBY
Editer la section inte6 de /etc/network/interfaces  pour ajouter deux "pre-up" entre la ligne "iface" et la ligne "address" :
72 30 Laurent GUERBY
73 30 Laurent GUERBY
<pre>
74 30 Laurent GUERBY
iface eth0 inet6 static
75 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
76 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
77 1 Laurent GUERBY
   address ...
78 30 Laurent GUERBY
</pre>
79 30 Laurent GUERBY
80 33 Laurent GUERBY
Créaer un fichier pour sysctl :
81 30 Laurent GUERBY
82 30 Laurent GUERBY
<pre>
83 32 Laurent GUERBY
cat > /etc/sysctl.d/local-ipv6.conf <<EOF
84 30 Laurent GUERBY
85 30 Laurent GUERBY
# No IPV6 RA or autoconf
86 30 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
87 30 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
88 30 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
89 1 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
90 1 Laurent GUERBY
91 1 Laurent GUERBY
EOF
92 33 Laurent GUERBY
</pre>
93 33 Laurent GUERBY
94 33 Laurent GUERBY
95 35 Laurent GUERBY
h3. Référence : source du script ipv6noauto.sh
96 33 Laurent GUERBY
97 33 Laurent GUERBY
<pre>
98 33 Laurent GUERBY
echo deactivating autoconf and accept_ra
99 33 Laurent GUERBY
100 33 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do 
101 33 Laurent GUERBY
 for j in autoconf accept_ra; do 
102 33 Laurent GUERBY
  echo $i/$j
103 33 Laurent GUERBY
  echo 0 > $i/$j
104 33 Laurent GUERBY
 done
105 33 Laurent GUERBY
done
106 33 Laurent GUERBY
107 33 Laurent GUERBY
108 33 Laurent GUERBY
F=/etc/network/interfaces
109 33 Laurent GUERBY
if ! grep accept_ra $F >& /dev/null; then
110 33 Laurent GUERBY
 echo fixing /etc/network/interfaces
111 33 Laurent GUERBY
 cp -f $F $F.save
112 33 Laurent GUERBY
 sed -e 's,iface eth0 inet6 static,iface eth0 inet6 static\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf,g' < $F.save > $F
113 33 Laurent GUERBY
fi
114 33 Laurent GUERBY
115 33 Laurent GUERBY
if [ ! -f /etc/sysctl.d/local-ipv6.conf ]; then
116 33 Laurent GUERBY
 echo creating /etc/sysctl.d/local-ipv6.conf
117 33 Laurent GUERBY
118 33 Laurent GUERBY
 cat > /etc/sysctl.d/local-ipv6.conf <<EOF
119 33 Laurent GUERBY
120 33 Laurent GUERBY
# No IPV6 RA or autoconf
121 33 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
122 33 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
123 33 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
124 33 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
125 33 Laurent GUERBY
126 33 Laurent GUERBY
EOF
127 33 Laurent GUERBY
128 33 Laurent GUERBY
fi
129 33 Laurent GUERBY
130 33 Laurent GUERBY
echo done
131 30 Laurent GUERBY
</pre>
132 30 Laurent GUERBY
133 30 Laurent GUERBY
134 30 Laurent GUERBY
135 25 Laurent GUERBY
h2. Pièges
136 25 Laurent GUERBY
137 25 Laurent GUERBY
Attention a bien mettre les zéros en fin de mot :
138 1 Laurent GUERBY
139 25 Laurent GUERBY
Ne pas mettre 2a01:6600:8081:XX:: car c'est 2a01:6600:8081: *00* XX::
140 26 Laurent GUERBY
Utiliser 2a01:6600:8081: *XX00* ::
141 22 Laurent GUERBY
142 34 Laurent GUERBY
h2. Comment activer le routage sur son /56 IPv6 ?
143 7 Jérôme Nicolle
144 34 Laurent GUERBY
Chaque IPv4 livrée par tetaneutral.net est associé à un /56 IPv6, avec une équivalence /24  = 256 IPv4 <=> /48 = 256 /56 IPv6
145 7 Jérôme Nicolle
146 8 Laurent GUERBY
h2. Discussions
147 1 Laurent GUERBY
148 8 Laurent GUERBY
> J'ai fait quelques essais: VM configuré en routeur, openvpn entre la VM
149 8 Laurent GUERBY
> et ma machine, histoire de simuler des interfaces. J'ai essayé radvd
150 8 Laurent GUERBY
> comme des définitions manuelles des adresses IPv6.
151 8 Laurent GUERBY
> 
152 8 Laurent GUERBY
> Bon, ça marche depuis la VM mais pas depuis chez moi (wget
153 8 Laurent GUERBY
> http://ipv6.google.com), même si les paquets IPv6 (vu avec tcpdump)
154 8 Laurent GUERBY
> partent bien de la VM vers l'internet. Mais il n'y a pas de retour.
155 8 Laurent GUERBY
> 
156 8 Laurent GUERBY
> Après quelques cogitations et la lecture de ceci:
157 8 Laurent GUERBY
> http://www.fdn.fr/IPv6-a-la-maison.html j'en arrive à ces
158 8 Laurent GUERBY
> réflexions:
159 8 Laurent GUERBY
> 
160 8 Laurent GUERBY
> 1) Dans le blog FDN ci-dessus l'adresse IPv6 affectée au ppp0 n'est pas
161 8 Laurent GUERBY
> dans son /48; ce qui voudrait dire qu'il n'y a pas de raison d'affecter
162 8 Laurent GUERBY
> une IPv6 du /56 au eth0 des VM tetaneutral.
163 8 Laurent GUERBY
> 
164 8 Laurent GUERBY
> 2) Pour faire marcher une telle config à FDN, le routeur FDN en amont du
165 8 Laurent GUERBY
> modem/routeur de l'abonné devrait avoir une route du type:
166 8 Laurent GUERBY
> ip -6 route add range/48 dev ppp-abonné via link-local-ppp-abonné
167 8 Laurent GUERBY
> soit chez nous:
168 8 Laurent GUERBY
> ip -6 route add range/56 dev eth0-vm via link-local-eth0-vm
169 8 Laurent GUERBY
> 
170 8 Laurent GUERBY
> > du /56 via une interconnection explicite entre le routeur de
171 8 Laurent GUERBY
> > tetaneutral.net et un routeur chez le membre ?
172 8 Laurent GUERBY
> 
173 8 Laurent GUERBY
> Un lien openvpn?
174 8 Laurent GUERBY
175 8 Laurent GUERBY
Bonsoir,
176 8 Laurent GUERBY
177 8 Laurent GUERBY
On peut rajouter une regle de routage comme tu le suggere,
178 8 Laurent GUERBY
reste a choisir les details pratiques.
179 8 Laurent GUERBY
180 8 Laurent GUERBY
Pour la link-local coté routeur on a choisi fe80::31 en statique il
181 8 Laurent GUERBY
reste a choisir une regle pour attribuer le link local coté client. 
182 8 Laurent GUERBY
183 8 Laurent GUERBY
Une regle automatique basée sur l'IPv4 est en place pour
184 8 Laurent GUERBY
l'attribution du subnet IPv6 :
185 8 Laurent GUERBY
186 8 Laurent GUERBY
http://wiki.tetaneutral.net/index.php/Architecture
187 8 Laurent GUERBY
188 8 Laurent GUERBY
Une regle similaire pour le routage donnerait par exemple fe80::81:XY
189 8 Laurent GUERBY
ou XY est le dernier octet de l'IPv4 ecrit en hexadecimal
190 8 Laurent GUERBY
pour la link local coté client.
191 8 Laurent GUERBY
192 8 Laurent GUERBY
L'avantage d'une regle statique vs le SLAAC c'est que c'est un peu plus
193 8 Laurent GUERBY
flexible coté client sur le choix de l'equipement routeur.
194 8 Laurent GUERBY
195 8 Laurent GUERBY
L'avantage du routé est bien sur la flexibilité et la sécurisation
196 8 Laurent GUERBY
potentielle, l'inconvenient est qu'avec nos equipements actuels peu
197 8 Laurent GUERBY
puissant on perdra un peu en debit mais ça se corrigera avec
198 8 Laurent GUERBY
de nouveaux equipements.
199 8 Laurent GUERBY
200 8 Laurent GUERBY
Je suis vraiment curieux de savoir comment font les autres hebergeurs
201 8 Laurent GUERBY
dans le monde IPv6, ceux auxquels j'ai acces ne proposent pas de
202 8 Laurent GUERBY
routage, simplement ce que propose tetaneutral.net actuellement.
203 8 Laurent GUERBY
204 8 Laurent GUERBY
Suggestions ?
205 8 Laurent GUERBY
206 15 Bernard Urban
h2. Connectivité IPv6 complète depuis chez vous en quelques étapes simples
207 9 Bernard Urban
208 10 Bernard Urban
Connectivité complète signifie que toutes vos machines pouvant fonctionner en IPv6 peuvent accéder des sites IPv6 externes mais surtout être joignables de l'extérieur sur une adresse IPv6 propre. Pas de NAT ou autre bidouille de ce genre. Implications en terme d'autohébergement et sécurité laissées en exercice. 
209 9 Bernard Urban
210 11 Bernard Urban
Pour bien comprendre ce qui suit, il est recommandé d'avoir un peu potassé les hyperliens plus haut et mieux encore d'avoir joué avec l'IPv6 sur votre réseau local maison en utilisant par exemple des adresses ULA.
211 1 Laurent GUERBY
212 10 Bernard Urban
h3. Etape 1: obtenir une machine virtuelle Tetaneutral. 
213 10 Bernard Urban
214 10 Bernard Urban
Celle-ci (on l'appellera VM dans la suite) sera configurée par défaut comme suit dans /etc/network/interfaces du point de vue IPv6:
215 9 Bernard Urban
<pre>
216 9 Bernard Urban
iface eth0 inet6 static
217 9 Bernard Urban
   address 2a01:6600:80XX:YY00::1
218 1 Laurent GUERBY
   netmask 56
219 1 Laurent GUERBY
   gateway fe80::31
220 1 Laurent GUERBY
</pre>
221 1 Laurent GUERBY
222 1 Laurent GUERBY
où XX et YY sont les versions hexadécimales des xx et yy décimaux de votre (unique!) adresse IPv4 de la forme 91.224.xx.yy.
223 10 Bernard Urban
224 11 Bernard Urban
Voyons ce qu'implique la prise en compte par le système de ce fragment de /etc/network/interfaces. Il dit que:
225 10 Bernard Urban
# l'adresse 2a01:6600:80XX:YY00::1 est affectée à eth0, ce qui signifie que votre VM est accessible à cette adresse depuis l'intérieur de la VM comme depuis l'extérieur par toutes les machines du même segment réseau que eth0
226 10 Bernard Urban
# les paquets passant par votre VM peuvent atteindre les adresses de la plage 2a01:6600:80XX:YY00::/56 en étant envoyés en sortie de l'interface eth0
227 10 Bernard Urban
228 10 Bernard Urban
La plage 2a01:6600:80XX:YY00::/56 a été allouée par tetaneutral à votre VM. Notre problème est d'allouer une partie de ces adresses à des machines de notre domicile en utilisant l'accès que nous avons (en IPv4!) à la VM.
229 10 Bernard Urban
230 1 Laurent GUERBY
Avec cette configuration, vous pouvez héberger sur la VM des milliards de serveurs avec des adresses IPv6 différentes, il suffit de les ajouter à eth0 par une commande du type:
231 10 Bernard Urban
<pre>
232 10 Bernard Urban
ip -6 address add une-adresse-ipv6-de votre-plage/56 dev eth0
233 10 Bernard Urban
</pre>
234 11 Bernard Urban
Le /56 n'est pas absolument nécessaire, il évite juste de rajouter une route plus spécifique pour atteindre votre nouvelle adresse IPv6 depuis votre VM, route qui s'avère redondante.
235 10 Bernard Urban
236 1 Laurent GUERBY
Le lecteur attentif aura noté que cette configuration déclare que toutes les adresses de votre plage sont situées derrière eth0, en dehors de la partie contrôlée par votre VM, et il semble impossible alors d'en distraire une partie. Il y a au moins deux solutions à ce problème:
237 1 Laurent GUERBY
# S'arranger pour que les segments réseau de votre domicile fassent partie de celui partant de eth0 sur la VM. Celà revient techniquement à bridger ces segments réseaux. Cette solution a cependant des inconvénients en terme de configurabilité et de sécurité.
238 12 Bernard Urban
# Réduire la plage IPv6 allouée derrière l'eth0 de la VM et réallouer le solde à votre réseau local maison, par des techniques de routage. C'est ce qu'on va décrire dans la suite. Mais d'abord, on a besoin d'un peu de collaboration de Tetaneutral. 
239 1 Laurent GUERBY
240 11 Bernard Urban
h3. Etape 2: faire router votre plage /56 par Tetaneutral.
241 1 Laurent GUERBY
242 11 Bernard Urban
Dans la configuration par défaut des VM Tetaneutral, l'hôte des VM crée la route vers l'adresse 2a01:6600:80XX:YY00::1 (et des autres que vous rajoutez éventuellement à la main sur eth0) par l'utilisation de l'équivalent IPv6 d'ARP. Il est donc impossible de router vers une adresse qui n'existe pas sur cet eth0. 
243 11 Bernard Urban
244 11 Bernard Urban
Tetaneutral doit donc rajouter une route explicite:
245 11 Bernard Urban
<pre>
246 11 Bernard Urban
ip -6 route add 2a01:6600:80XX:YY00::/56 via fe80::XX:YY dev votre-eth0-côté-hôte
247 11 Bernard Urban
</pre>
248 11 Bernard Urban
249 1 Laurent GUERBY
Celà n'a de sens que si fe80::XX:YY une des adresses de l'eth0 côté VM. Il faut donc l'ajouter et le mieux est de le faire via une directive 'up' dans /etc/network/interfaces:
250 12 Bernard Urban
<pre>
251 11 Bernard Urban
iface eth0 inet6 static
252 11 Bernard Urban
   address 2a01:6600:80XX:YY00::1
253 11 Bernard Urban
   netmask 64
254 11 Bernard Urban
   gateway fe80::31   
255 11 Bernard Urban
   up ip -6 add add fe80::XX:YY dev eth0
256 1 Laurent GUERBY
</pre>
257 11 Bernard Urban
258 14 Bernard Urban
Mon lecteur toujours très attentif n'aura pas manqué de noter que netmask ci-dessus est passé de 56 à 64. Nous n'allouons donc maintenant plus toutes nos adresses IPv6 sur le segment réseau partant d'eth0. En particulier, nous allons voir maintenant comment récupérer la sous-plage 2a01:6600:80XX:YY01::/64 pour notre réseau à domicile. 
259 1 Laurent GUERBY
260 14 Bernard Urban
+Remarque:+ la sous-plage doit être /64, sinon l'adressage automatique des interfaces réseau qu'on verra plus loin ne marchera pas.
261 12 Bernard Urban
262 13 Bernard Urban
h3. Etape 3: simuler un lien ethernet entre une machine à domicile et cette VM.
263 1 Laurent GUERBY
264 11 Bernard Urban
Les technologies VPN/tunnel sont le pendant réseau des machines virtuelles: elles permettent de créer des interfaces réseaux virtuelles (du point de vue hardware, mais bien réelles d'un point de vue logiciel) et de les connecter entre elles. 
265 1 Laurent GUERBY
266 12 Bernard Urban
Tout comme les machines virtuelles nécessitent quand même un minimum de support silicium, un VPN/tunnel va nécessiter de s'appuyer sur une vraie liaison entre deux vraies interfaces réseau, en l'occurence pour nous la liaison internet IPv4 entre autre utilisée pour l'administration de la VM depuis votre domicile. Plus précisément, nous allons utiliser l'outil openvpn.
267 11 Bernard Urban
268 11 Bernard Urban
La première étape va consister à installer openvpn en mode serveur sur la VM. Le fichier suivant est à créer dans /etc/openvpn/myris.conf:
269 11 Bernard Urban
<pre>
270 11 Bernard Urban
dev tap
271 11 Bernard Urban
proto udp
272 11 Bernard Urban
local 91.224.xx.yy
273 11 Bernard Urban
float
274 11 Bernard Urban
ca myris/ca.crt
275 11 Bernard Urban
cert myris/myris.crt
276 11 Bernard Urban
key myris/myris.key
277 11 Bernard Urban
dh myris/dh1024.pem
278 11 Bernard Urban
tls-server
279 11 Bernard Urban
port 1194
280 11 Bernard Urban
ping 15
281 11 Bernard Urban
ping-restart 45
282 11 Bernard Urban
# car serveur
283 11 Bernard Urban
ping-timer-rem
284 11 Bernard Urban
persist-tun
285 11 Bernard Urban
persist-key
286 11 Bernard Urban
ifconfig 10.0.0.2 255.255.255.252
287 11 Bernard Urban
route ipv4-adresse-client-openvpn-domicile 255.255.255.255 10.0.0.1
288 11 Bernard Urban
script-security 3 system
289 11 Bernard Urban
route-up "/sbin/ip -6 addr add 2a01:6600:80XX:YY01::1/64 dev tap0"
290 11 Bernard Urban
</pre>
291 11 Bernard Urban
292 11 Bernard Urban
+Remarque:+ le paramètre route-up contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Cette commande est nécessaire pour créer sur la VM une route vers la bonne interface pour la plage 2a01:6600:80XX:YY01::/64. Pour que le serveur openvpn soit toujours présent, il faut ajouter
293 11 Bernard Urban
<pre>
294 11 Bernard Urban
AUTOSTART="myris"
295 11 Bernard Urban
</pre>
296 11 Bernard Urban
à /etc/default/openvpn.
297 11 Bernard Urban
298 11 Bernard Urban
Sur la machine à domicile, il faut une installation en mode client, pourquoi pas le même nom de fichier que le serveur, mais pas le même contenu:
299 11 Bernard Urban
<pre>
300 11 Bernard Urban
dev tap
301 11 Bernard Urban
proto udp
302 11 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
303 11 Bernard Urban
remote 91.224.xx.yy
304 11 Bernard Urban
ca myris/ca.crt
305 11 Bernard Urban
cert myris/client.crt
306 11 Bernard Urban
key myris/client.key
307 11 Bernard Urban
tls-client
308 11 Bernard Urban
port 1194
309 11 Bernard Urban
ping 15
310 11 Bernard Urban
ping-restart 45
311 11 Bernard Urban
persist-tun
312 11 Bernard Urban
persist-key
313 1 Laurent GUERBY
ifconfig 10.0.0.1 255.255.255.252
314 11 Bernard Urban
route 0.0.0.0 0.0.0.0 10.0.0.2
315 1 Laurent GUERBY
</pre>
316 1 Laurent GUERBY
317 15 Bernard Urban
L'adresse ipv4-adresse-client-openvpn-domicile est toute adresse qui permet d'accéder Internet depuis la machine accueillant l'openvpn client; en général, ce ne sera donc pas votre adresse IP externe allouée par votre FAI, elle sera plutôt du genre 192.168.*.*. ou 10.*.*.*. Il est supposé bien sûr dans l'exemple ci-dessus que vous n'utilisez pas 10.0.0.0/30 chez vous, elle a été réservée au lien openvpn. 
318 1 Laurent GUERBY
319 14 Bernard Urban
Les répertoires /etc/openvpn/myris sur VM et machine cliente contiendront les divers certificats et clés, qu'il faut générer. Voici comment faire:
320 14 Bernard Urban
<pre>
321 14 Bernard Urban
cd un-répertoire de travail
322 14 Bernard Urban
cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/ .
323 14 Bernard Urban
cd 2.0
324 14 Bernard Urban
# Editez à votre convenance les 5 dernières variables d'environnement de type KEY_* du fichier vars
325 14 Bernard Urban
source ./vars
326 14 Bernard Urban
./clean-all
327 14 Bernard Urban
./build-dh
328 14 Bernard Urban
./pkitool --initca
329 14 Bernard Urban
./pkitool --server myris
330 14 Bernard Urban
./pkitool client
331 14 Bernard Urban
</pre>
332 14 Bernard Urban
333 14 Bernard Urban
et les fichiers recherchés se trouvent dans le sous-répertoire keys. Le seul fichier commun aux 2 extrémités du lien openvpn est ca.crt.
334 14 Bernard Urban
335 12 Bernard Urban
h3. Etape 4: passer la VM en mode routeur et annoncer des routes pour votre réseau à domicile avec radvd.
336 11 Bernard Urban
337 1 Laurent GUERBY
Pour autoriser les paquets à être routés sur la VM entre eth0 et tap0, il faut passer en mode routeur:
338 11 Bernard Urban
<pre>
339 11 Bernard Urban
echo 1 >/proc/sys/net/ipv6/conf/default/forwarding
340 11 Bernard Urban
</pre>
341 1 Laurent GUERBY
342 12 Bernard Urban
Nous allons maintenant mettre en place une configuration automatique d'adresses IPv6 de toutes les machines du segment réseau partant du tap0 de la VM (soit le tap0 du client openvpn, mais après l'étape suivante toutes les interfaces de votre réseau local). Nous utiliserons pour celà l'outil radvd, avec le fichier de configuration /etc/radvd.conf:
343 11 Bernard Urban
<pre>
344 11 Bernard Urban
interface tap0
345 11 Bernard Urban
{
346 12 Bernard Urban
  IgnoreIfMissing on;
347 11 Bernard Urban
  AdvSendAdvert on;
348 11 Bernard Urban
  AdvLinkMTU 1280;
349 11 Bernard Urban
  prefix 2a01:6600:80XX:YY01::/64
350 11 Bernard Urban
  {
351 1 Laurent GUERBY
    AdvOnLink on;
352 11 Bernard Urban
    AdvAutonomous on;
353 11 Bernard Urban
  };
354 1 Laurent GUERBY
};
355 1 Laurent GUERBY
</pre>
356 11 Bernard Urban
357 12 Bernard Urban
+Remarque:+ le fichier contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Par ailleurs, il est possible d'interdire à une machine de s'autoconfigurer, mais ce n'est pas le défaut pour Linux et j'ai supposé que vous ne l'avez pas modifié. 
358 11 Bernard Urban
359 13 Bernard Urban
h3. Etape 5: bridger les interfaces réseau du client openvpn
360 1 Laurent GUERBY
361 1 Laurent GUERBY
A ce stade, la machine openvpn cliente peut accéder l'internet IPv6, car radvd aura placé une route par défaut via son tap0. Si vous bridgez maintenant ce tap0 avec son eth0 (normalement relié au reste de votre réseau local), toutes les machines de ce réseau local vont s'assigner au bout de quelques minutes une adresse tirée de la plage 2a01:6600:80XX:YY01::/64, et une route par défaut via le tap0 du client openvpn: c'est ce qu'on voulait obtenir.
362 13 Bernard Urban
363 13 Bernard Urban
Voici les incantations magiques nécessaires:
364 13 Bernard Urban
<pre>
365 13 Bernard Urban
# on suppose qu'eth0 a l'adresse 192.168.0.1/24
366 13 Bernard Urban
brctl addbr br0
367 13 Bernard Urban
brctl addif br0 eth0
368 1 Laurent GUERBY
brctl addif br0 tap0
369 1 Laurent GUERBY
# à ce stade, le machine hébergeant le client openvpn n'est plus adressable
370 1 Laurent GUERBY
# mais il est dans la plupart des cas utile de lui en redonner une, en général celle d'eth0  
371 1 Laurent GUERBY
ip addr add 192.168.0.1/24 dev br0
372 1 Laurent GUERBY
</pre>
373 14 Bernard Urban
374 16 Bernard Urban
Il peut être intéressant de bridger par défaut eth0 et un tap0 prédéfini sur br0 dès le boot par une section de ce type dans /etc/network/interfaces: 
375 14 Bernard Urban
<pre>
376 14 Bernard Urban
auto br0
377 14 Bernard Urban
iface br0 inet static
378 14 Bernard Urban
    address 192.168.1.10
379 14 Bernard Urban
    netmask 255.255.255.0
380 1 Laurent GUERBY
    broadcast 192.168.0.255
381 1 Laurent GUERBY
    gateway 192.168.1.1
382 16 Bernard Urban
    bridge_ports eth0 tap0
383 16 Bernard Urban
    pre-up tunctl -t tap0
384 15 Bernard Urban
</pre> 
385 16 Bernard Urban
où la section 'iface br0' remplace 'iface eth0'.
386 1 Laurent GUERBY
387 16 Bernard Urban
Il faut ensuite modifier le configuration cliente /etc/openvpn/myris.conf comme suit:
388 1 Laurent GUERBY
<pre>
389 16 Bernard Urban
# on définit explicitement le tap0
390 16 Bernard Urban
dev tap0
391 16 Bernard Urban
proto udp
392 16 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
393 16 Bernard Urban
remote 91.224.xx.yy
394 16 Bernard Urban
ca myris/ca.crt
395 16 Bernard Urban
cert myris/client.crt
396 16 Bernard Urban
key myris/client.key
397 16 Bernard Urban
tls-client
398 16 Bernard Urban
port 1194
399 16 Bernard Urban
ping 15
400 16 Bernard Urban
ping-restart 45
401 16 Bernard Urban
persist-tun
402 16 Bernard Urban
persist-key
403 16 Bernard Urban
# ifconfig et route ont disparus et sont remplacés par ce qui suit, 
404 16 Bernard Urban
# qui fait la même chose appliqué à br0 et non pas tap0
405 1 Laurent GUERBY
script-security 3 system
406 16 Bernard Urban
up /etc/openvpn/myris-up.sh
407 16 Bernard Urban
down /etc/openvpn/myris-down.sh
408 1 Laurent GUERBY
</pre> 
409 16 Bernard Urban
410 16 Bernard Urban
où /etc/openvpn/myris-up.sh vaut:
411 16 Bernard Urban
<pre>
412 16 Bernard Urban
#! /bin/sh
413 16 Bernard Urban
/sbin/ip addr add 10.0.0.1/30 dev br0
414 16 Bernard Urban
</pre>
415 16 Bernard Urban
et /etc/openvpn/myris-down.sh vaut:
416 16 Bernard Urban
<pre>
417 16 Bernard Urban
#! /bin/sh
418 16 Bernard Urban
/sbin/ip addr del 10.0.0.1/30 dev br0
419 16 Bernard Urban
</pre>
420 16 Bernard Urban
421 16 Bernard Urban
+Remarque:+ ne pas oublier de lancer:
422 16 Bernard Urban
<pre>
423 16 Bernard Urban
chmod 755 /etc/openvpn/myris-down.sh /etc/openvpn/myris-down.sh
424 16 Bernard Urban
</pre>
425 16 Bernard Urban
426 16 Bernard Urban
Il est à noter que l'apparition des adresses et routes IPv6 peut prendre un dizaine de minutes après l'établissemnt du tunnel openvpn, et de même leur disparation n'est complète qu'au bout de 24h. Tout celà est réglable via /etc/radvd.conf sur la VM.
427 8 Laurent GUERBY
428 6 Laurent GUERBY
h2. FAQ
429 6 Laurent GUERBY
430 18 Laurent GUERBY
h3. Reverse DNS
431 18 Laurent GUERBY
432 19 Laurent GUERBY
En IPv6 tetaneutral.net peut deleguer le reverse du /56. Il faut configurer bind sur une ou plusieurs de vos machines, nous donner son CNAME, par exemple ns1.chezmoi.net et ns2.chezmoi.net, et mettre les fichiers suivant dans /etc/bind/ :
433 19 Laurent GUERBY
434 18 Laurent GUERBY
named.conf.local
435 18 Laurent GUERBY
<pre>
436 18 Laurent GUERBY
zone "1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
437 18 Laurent GUERBY
	type master;
438 18 Laurent GUERBY
	file "/etc/bind/db.ip6-81";
439 18 Laurent GUERBY
};
440 18 Laurent GUERBY
</pre>
441 18 Laurent GUERBY
442 18 Laurent GUERBY
db.ip6-81
443 18 Laurent GUERBY
<pre>
444 18 Laurent GUERBY
; -*- mode: zone; -*-
445 18 Laurent GUERBY
;
446 18 Laurent GUERBY
; BIND reverse data file for broadcast zone
447 18 Laurent GUERBY
;
448 18 Laurent GUERBY
$TTL    3600
449 18 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
450 18 Laurent GUERBY
                        2011070301      ; serial
451 18 Laurent GUERBY
                         7200         ; Refresh
452 18 Laurent GUERBY
                          3600         ; Retry
453 18 Laurent GUERBY
                        1800000         ; Expire
454 18 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
455 18 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
456 18 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
457 18 Laurent GUERBY
458 1 Laurent GUERBY
; reverse
459 18 Laurent GUERBY
$ORIGIN 0.0.e.c.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
460 1 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     www6.tetaneutral.net.
461 18 Laurent GUERBY
462 18 Laurent GUERBY
; delegations /56
463 47 Laurent GUERBY
$ORIGIN 1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
464 47 Laurent GUERBY
1.9 86400 IN NS   hoersch.kneissel.org.
465 47 Laurent GUERBY
1.9 86400 IN NS   serveur.kneissel.org.
466 47 Laurent GUERBY
e.8 86400 IN NS   dns.kafe-in.net.
467 18 Laurent GUERBY
</pre>
468 47 Laurent GUERBY
469 47 Laurent GUERBY
Merci a Matthieu Herrb pour la délégation de reverse /56.
470 1 Laurent GUERBY
471 34 Laurent GUERBY
h3. CCNA et link-local
472 18 Laurent GUERBY
473 34 Laurent GUERBY
Merci à Jérôme Nicolle:
474 17 Laurent GUERBY
475 17 Laurent GUERBY
http://www.freeccnaworkbook.com/labs/section-12-configuring-ipv6/lab-12-3-configuring-ipv6-static-routing/
476 17 Laurent GUERBY
477 17 Laurent GUERBY
> Unlike IPv4 static routing, with IPv6 you have the ability to use either the global unicast address or link-local address as the next hop in the static route statement. When working with IPv6 dynamic routing protocols which will be discussed in the next 2 labs, the next hop will be the neighbors link-local IPv6 address and not their global unique assigned ipv6 address. However when configuring a static route with a link-local IPv6 address as the next hop you must specify the egress interface. For all intensive purposes, using either/or will achieve the same desired effect.
478 17 Laurent GUERBY
479 50 Laurent GUERBY
h3. Comment éviter d'utiliser une IPv6 non routée ?
480 17 Laurent GUERBY
481 50 Laurent GUERBY
Sur un IX en général les adresses sont non routées donc il faut éviter de les utiliser, pour cela on utilise "preferred_lft 0" :
482 50 Laurent GUERBY
483 50 Laurent GUERBY
http://www.davidc.net/networking/ipv6-source-address-selection-linux
484 50 Laurent GUERBY
485 50 Laurent GUERBY
<pre>
486 50 Laurent GUERBY
ip -6 a add 2001:7f8:59:0:75::15/96 dev eth0.502 preferred_lft 0
487 50 Laurent GUERBY
</pre>
488 34 Laurent GUERBY
h3. Comment pinguer une addresse link local ?
489 6 Laurent GUERBY
490 34 Laurent GUERBY
 
491 6 Laurent GUERBY
<pre>
492 6 Laurent GUERBY
ping6 fe80::31%eth0
493 1 Laurent GUERBY
</pre>
494 40 Mehdi Abaakouk
495 40 Mehdi Abaakouk
h3. zones reverses ipv6 manquante dans bind (ie: ::1)
496 40 Mehdi Abaakouk
497 40 Mehdi Abaakouk
Dans bind par défaut les zones pour ::1 sont vide pour les ajouter:
498 40 Mehdi Abaakouk
499 40 Mehdi Abaakouk
<pre>
500 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::.arpa
501 40 Mehdi Abaakouk
;
502 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
503 40 Mehdi Abaakouk
;
504 40 Mehdi Abaakouk
$TTL    604800
505 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
506 40 Mehdi Abaakouk
                              8         ; Serial
507 40 Mehdi Abaakouk
                         604800         ; Refresh
508 40 Mehdi Abaakouk
                          86400         ; Retry
509 40 Mehdi Abaakouk
                        2419200         ; Expire
510 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
511 40 Mehdi Abaakouk
;
512 40 Mehdi Abaakouk
@       IN      NS      localhost.
513 40 Mehdi Abaakouk
1       IN      PTR     localhost.
514 40 Mehdi Abaakouk
</pre>
515 40 Mehdi Abaakouk
516 40 Mehdi Abaakouk
<pre>
517 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::1.arpa
518 40 Mehdi Abaakouk
;
519 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
520 40 Mehdi Abaakouk
;
521 40 Mehdi Abaakouk
$TTL    604800
522 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
523 40 Mehdi Abaakouk
                              8         ; Serial
524 40 Mehdi Abaakouk
                         604800         ; Refresh
525 40 Mehdi Abaakouk
                          86400         ; Retry
526 40 Mehdi Abaakouk
                        2419200         ; Expire
527 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
528 40 Mehdi Abaakouk
;
529 40 Mehdi Abaakouk
@       IN      NS      localhost.
530 40 Mehdi Abaakouk
@       IN      PTR     localhost.
531 40 Mehdi Abaakouk
</pre>
532 40 Mehdi Abaakouk
533 40 Mehdi Abaakouk
<pre>
534 40 Mehdi Abaakouk
# cat /etc/bind/named.conf.default-zones.v6
535 40 Mehdi Abaakouk
536 40 Mehdi Abaakouk
zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
537 40 Mehdi Abaakouk
        type master;
538 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::.arpa";
539 40 Mehdi Abaakouk
};
540 40 Mehdi Abaakouk
541 40 Mehdi Abaakouk
zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
542 40 Mehdi Abaakouk
        type master;
543 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::1.arpa";
544 40 Mehdi Abaakouk
};
545 40 Mehdi Abaakouk
</pre>
546 40 Mehdi Abaakouk
547 40 Mehdi Abaakouk
Et on ajoute ca dans /etc/bind/named.conf: 
548 40 Mehdi Abaakouk
<pre>
549 40 Mehdi Abaakouk
include "/etc/bind/named.conf.default-zones.v6";
550 40 Mehdi Abaakouk
</pre>
551 42 Mehdi Abaakouk
552 42 Mehdi Abaakouk
h3. Envoie d'un Router Advertissement avec scapy pour virer une route auto apprise (Attention à n'utiliser que si on sait ce qu'on fait ! )
553 42 Mehdi Abaakouk
554 42 Mehdi Abaakouk
Création de trame ipv6, ipv6 src est celle du router à spoffer
555 42 Mehdi Abaakouk
556 42 Mehdi Abaakouk
<pre>
557 42 Mehdi Abaakouk
a = IPv6()
558 42 Mehdi Abaakouk
a.src = "fe80::dcad:4dff:fe0b:8a5"
559 42 Mehdi Abaakouk
a.dst = "ff02::1"
560 42 Mehdi Abaakouk
</pre>
561 42 Mehdi Abaakouk
562 42 Mehdi Abaakouk
La trame sera un RA avec un lifetime de 0, comme indiquer dans la rfc2461:
563 42 Mehdi Abaakouk
"Lifetime of 0 indicates that the router is not a default router and SHOULD NOT appear on the default router list."
564 42 Mehdi Abaakouk
565 42 Mehdi Abaakouk
<pre>
566 42 Mehdi Abaakouk
b = ICMPv6ND_RA() 
567 42 Mehdi Abaakouk
b.routerlifetime = 0
568 42 Mehdi Abaakouk
</pre>
569 42 Mehdi Abaakouk
570 42 Mehdi Abaakouk
Ensuite on fixe la adresse MAC à spoofer, celle du router original qui a envoyer le RA.
571 42 Mehdi Abaakouk
572 42 Mehdi Abaakouk
<pre>
573 42 Mehdi Abaakouk
c = ICMPv6NDOptSrcLLAddr() 
574 42 Mehdi Abaakouk
c.lladdr = "00:50:56:24:3b:c0"
575 42 Mehdi Abaakouk
</pre>
576 42 Mehdi Abaakouk
577 42 Mehdi Abaakouk
Ensuite on construire le contenu du RA, avec le prefix à annoncer (toujours celui à spoofer)
578 42 Mehdi Abaakouk
Avec le validlifetime et preferredlifetime à l'infinie, comme indiquer dans la rfc2461:
579 42 Mehdi Abaakouk
"A value of all one bits (0xffffffff) represents infinity"
580 42 Mehdi Abaakouk
581 42 Mehdi Abaakouk
<pre>
582 42 Mehdi Abaakouk
d = ICMPv6NDOptMTU() 
583 42 Mehdi Abaakouk
e = ICMPv6NDOptPrefixInfo() 
584 42 Mehdi Abaakouk
e.prefixlen = 64
585 42 Mehdi Abaakouk
e.prefix = "2a01:6600:8081:4300::"
586 42 Mehdi Abaakouk
e.validlifetime = 0xffffffff
587 42 Mehdi Abaakouk
e.preferredlifetime = 0xffffffff
588 42 Mehdi Abaakouk
</pre>
589 42 Mehdi Abaakouk
590 42 Mehdi Abaakouk
On envoie le tout:
591 42 Mehdi Abaakouk
592 42 Mehdi Abaakouk
<pre>
593 42 Mehdi Abaakouk
send(a/b/c/d/e)
594 42 Mehdi Abaakouk
</pre>