Projet

Général

Profil

IPv6 » Historique » Version 62

Laurent GUERBY, 29/05/2012 11:35

1 56 Laurent GUERBY
{{>toc}}
2 56 Laurent GUERBY
3 1 Laurent GUERBY
h1. IPv6
4 1 Laurent GUERBY
5 34 Laurent GUERBY
Déploiement a tetaneutral.net : #35
6 1 Laurent GUERBY
7 34 Laurent GUERBY
h2. Liens
8 2 Laurent GUERBY
9 59 Laurent GUERBY
[[WorldIPv6Launch20120606]]
10 59 Laurent GUERBY
11 5 Laurent GUERBY
General
12 5 Laurent GUERBY
13 2 Laurent GUERBY
* http://en.wikipedia.org/wiki/ICMPv6
14 3 Laurent GUERBY
* http://en.wikipedia.org/wiki/Neighbor_Discovery_Protocol
15 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/Radvd
16 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/DHCPv6
17 43 Laurent GUERBY
* http://www.iana.org/assignments/icmpv6-parameters
18 45 Laurent GUERBY
19 45 Laurent GUERBY
Statistics
20 45 Laurent GUERBY
21 44 Laurent GUERBY
* http://bgp.he.net/ipv6-progress-report.cgi
22 45 Laurent GUERBY
* https://labs.ripe.net/Members/mirjam/content-ipv6-measurement-compilation
23 46 Laurent GUERBY
* http://www.ripe.net/internet-coordination/ipv4-exhaustion/ipv4-available-pool-graph
24 5 Laurent GUERBY
25 5 Laurent GUERBY
Linux
26 5 Laurent GUERBY
27 5 Laurent GUERBY
* http://madduck.net/docs/ipv6/
28 5 Laurent GUERBY
* http://tldp.org/HOWTO/Linux+IPv6-HOWTO/
29 29 Laurent GUERBY
* http://linux.die.net/man/8/rdisc6
30 38 Laurent GUERBY
* bind IPv4+IPv6 /proc/sys/net/ipv6/bindv6only http://www.kernel.org/doc/man-pages/online/pages/man7/ipv6.7.html
31 1 Laurent GUERBY
* sileht : comme arpwatch mais en ipv6 http://ndpmon.sourceforge.net/
32 49 Laurent GUERBY
* sileht : proxy NDP auto http://www.priv.nu/projects/ndppd/  et https://github.com/Tuhox/ndppd
33 20 Laurent GUERBY
34 21 Laurent GUERBY
Tunnels
35 21 Laurent GUERBY
36 21 Laurent GUERBY
* http://en.wikipedia.org/wiki/List_of_IPv6_tunnel_brokers
37 21 Laurent GUERBY
* http://tunnelbroker.net
38 21 Laurent GUERBY
* http://sonic.net/features/ipv6/
39 21 Laurent GUERBY
40 23 Laurent GUERBY
Misc
41 23 Laurent GUERBY
42 37 Laurent GUERBY
* Cool IPv6 stuff http://www.sixxs.net/misc/coolstuff/
43 23 Laurent GUERBY
* http://interviews.slashdot.org/story/11/10/25/1532213/vint-cerf-answers-your-questions-about-ipv6-and-more
44 24 Laurent GUERBY
* http://infosecblog.antonaylward.com/2010/08/05/re-opensuse-ipv6-nat-was-113-and-ssh-x-forwarding-not-working/
45 41 Laurent GUERBY
* conférence JRES 2011 http://stream.ut-capitole.fr/jres2011/57.html
46 51 Laurent GUERBY
* http://vincent.riquer.fr/blog/archives/2010/04/11/openvpn__ipv6__bind__happiness/index.html
47 53 Laurent GUERBY
* http://blog.si6networks.com/2012/02/ipv6-nids-evasion-and-improvements-in.html
48 55 Laurent GUERBY
* https://vador.fdn.fr/wiki/support:faq:ipv6
49 59 Laurent GUERBY
* http://blog.si6networks.com/2012/02/ipv6-nids-evasion-and-improvements-in.html
50 60 Laurent GUERBY
* http://www.cisco.com/en/US/docs/ios/ipv6/configuration/guide/ip6-first_hop_security.html#wp1054246
51 60 Laurent GUERBY
* http://tools.ietf.org/html/draft-ietf-v6ops-ra-guard-implementation-01
52 23 Laurent GUERBY
53 22 Laurent GUERBY
Opérateurs
54 22 Laurent GUERBY
55 22 Laurent GUERBY
* DS-Lite chez FT http://www.ietf.org/mail-archive/web/v6ops/current/msg10652.html
56 27 Laurent GUERBY
* IPv6 chez comcast http://tech.slashdot.org/story/11/11/09/174217/comcast-begins-native-ipv6-deployment-to-end-users
57 28 Laurent GUERBY
* DHCP-PD http://ipv6.internode.on.net/
58 22 Laurent GUERBY
59 62 Laurent GUERBY
h2. Configuration d'un LAN « IPv6 only » sous debian
60 62 Laurent GUERBY
61 62 Laurent GUERBY
* [[NAT64DNS64]]
62 62 Laurent GUERBY
* [[THSF 2012]]
63 62 Laurent GUERBY
64 30 Laurent GUERBY
h2. Désactiver la configuration automatique
65 30 Laurent GUERBY
66 57 Bernard Urban
Un serveur aura typiquement une configuration entièrement statique assignée par l'hébergeur, laisser la configuration dynamique activée est un risque de voir un tiers prendre le controle du routage serveur ou l'empécher de fonctionner via l'envoi d'une configuration dynamique erronée. Il est donc préférable de désactiver la configuration dynamique IPv6 sur une VM ou serveur physique hébergé chez tetaneutral.net. Si votre VM est en mode routeur (c'est à dire la commande "more /proc/sys/net/ipv6/conf/all/forwarding" renvoit 1), cette désactivation est implicite, voir dans le source du noyau Linux le fichier "Documentation/networking/ip-sysctl.txt")
67 30 Laurent GUERBY
68 33 Laurent GUERBY
En version rapide executer sur sa VM ou machine en root la ligne suivante :
69 30 Laurent GUERBY
70 1 Laurent GUERBY
<pre>
71 33 Laurent GUERBY
wget -qO - http://tetaneutral.net/ipv6/ipv6noauto.sh | bash
72 33 Laurent GUERBY
</pre>
73 33 Laurent GUERBY
74 35 Laurent GUERBY
Le détail de ce que fait ce script ci-après.
75 33 Laurent GUERBY
76 33 Laurent GUERBY
h3. Désactiver autoconf et accept_ra pour la session en cours
77 33 Laurent GUERBY
78 33 Laurent GUERBY
Executer en root la ligne suivante :
79 33 Laurent GUERBY
80 33 Laurent GUERBY
<pre>
81 30 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do for j in autoconf accept_ra; do echo 0 > $i/$j; done;done
82 30 Laurent GUERBY
</pre>
83 1 Laurent GUERBY
84 33 Laurent GUERBY
h3. Le rendre permanent en cas de reboot
85 31 Laurent GUERBY
86 33 Laurent GUERBY
Editer la section inte6 de /etc/network/interfaces  pour ajouter deux "pre-up" entre la ligne "iface" et la ligne "address" :
87 30 Laurent GUERBY
88 30 Laurent GUERBY
<pre>
89 30 Laurent GUERBY
iface eth0 inet6 static
90 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
91 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
92 1 Laurent GUERBY
   address ...
93 30 Laurent GUERBY
</pre>
94 30 Laurent GUERBY
95 57 Bernard Urban
Créer un fichier pour sysctl :
96 30 Laurent GUERBY
97 30 Laurent GUERBY
<pre>
98 32 Laurent GUERBY
cat > /etc/sysctl.d/local-ipv6.conf <<EOF
99 30 Laurent GUERBY
100 30 Laurent GUERBY
# No IPV6 RA or autoconf
101 30 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
102 30 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
103 30 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
104 1 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
105 1 Laurent GUERBY
106 1 Laurent GUERBY
EOF
107 33 Laurent GUERBY
</pre>
108 33 Laurent GUERBY
109 33 Laurent GUERBY
110 35 Laurent GUERBY
h3. Référence : source du script ipv6noauto.sh
111 33 Laurent GUERBY
112 33 Laurent GUERBY
<pre>
113 33 Laurent GUERBY
echo deactivating autoconf and accept_ra
114 33 Laurent GUERBY
115 33 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do 
116 33 Laurent GUERBY
 for j in autoconf accept_ra; do 
117 33 Laurent GUERBY
  echo $i/$j
118 33 Laurent GUERBY
  echo 0 > $i/$j
119 33 Laurent GUERBY
 done
120 33 Laurent GUERBY
done
121 33 Laurent GUERBY
122 33 Laurent GUERBY
123 33 Laurent GUERBY
F=/etc/network/interfaces
124 33 Laurent GUERBY
if ! grep accept_ra $F >& /dev/null; then
125 33 Laurent GUERBY
 echo fixing /etc/network/interfaces
126 33 Laurent GUERBY
 cp -f $F $F.save
127 33 Laurent GUERBY
 sed -e 's,iface eth0 inet6 static,iface eth0 inet6 static\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf,g' < $F.save > $F
128 33 Laurent GUERBY
fi
129 33 Laurent GUERBY
130 33 Laurent GUERBY
if [ ! -f /etc/sysctl.d/local-ipv6.conf ]; then
131 33 Laurent GUERBY
 echo creating /etc/sysctl.d/local-ipv6.conf
132 33 Laurent GUERBY
133 33 Laurent GUERBY
 cat > /etc/sysctl.d/local-ipv6.conf <<EOF
134 33 Laurent GUERBY
135 33 Laurent GUERBY
# No IPV6 RA or autoconf
136 33 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
137 33 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
138 33 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
139 33 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
140 33 Laurent GUERBY
141 33 Laurent GUERBY
EOF
142 33 Laurent GUERBY
143 33 Laurent GUERBY
fi
144 33 Laurent GUERBY
145 33 Laurent GUERBY
echo done
146 30 Laurent GUERBY
</pre>
147 30 Laurent GUERBY
148 56 Laurent GUERBY
h2. ARP cache limits
149 30 Laurent GUERBY
150 56 Laurent GUERBY
TODO via Cyril B.
151 56 Laurent GUERBY
152 56 Laurent GUERBY
<pre>
153 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh1 = 1024
154 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh2 = 2048
155 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh3 = 4096
156 56 Laurent GUERBY
</pre>
157 30 Laurent GUERBY
158 25 Laurent GUERBY
h2. Pièges
159 25 Laurent GUERBY
160 25 Laurent GUERBY
Attention a bien mettre les zéros en fin de mot :
161 1 Laurent GUERBY
162 25 Laurent GUERBY
Ne pas mettre 2a01:6600:8081:XX:: car c'est 2a01:6600:8081: *00* XX::
163 26 Laurent GUERBY
Utiliser 2a01:6600:8081: *XX00* ::
164 22 Laurent GUERBY
165 34 Laurent GUERBY
h2. Comment activer le routage sur son /56 IPv6 ?
166 7 Jérôme Nicolle
167 34 Laurent GUERBY
Chaque IPv4 livrée par tetaneutral.net est associé à un /56 IPv6, avec une équivalence /24  = 256 IPv4 <=> /48 = 256 /56 IPv6
168 7 Jérôme Nicolle
169 8 Laurent GUERBY
h2. Discussions
170 1 Laurent GUERBY
171 8 Laurent GUERBY
> J'ai fait quelques essais: VM configuré en routeur, openvpn entre la VM
172 8 Laurent GUERBY
> et ma machine, histoire de simuler des interfaces. J'ai essayé radvd
173 8 Laurent GUERBY
> comme des définitions manuelles des adresses IPv6.
174 8 Laurent GUERBY
> 
175 8 Laurent GUERBY
> Bon, ça marche depuis la VM mais pas depuis chez moi (wget
176 8 Laurent GUERBY
> http://ipv6.google.com), même si les paquets IPv6 (vu avec tcpdump)
177 8 Laurent GUERBY
> partent bien de la VM vers l'internet. Mais il n'y a pas de retour.
178 8 Laurent GUERBY
> 
179 8 Laurent GUERBY
> Après quelques cogitations et la lecture de ceci:
180 8 Laurent GUERBY
> http://www.fdn.fr/IPv6-a-la-maison.html j'en arrive à ces
181 8 Laurent GUERBY
> réflexions:
182 8 Laurent GUERBY
> 
183 8 Laurent GUERBY
> 1) Dans le blog FDN ci-dessus l'adresse IPv6 affectée au ppp0 n'est pas
184 8 Laurent GUERBY
> dans son /48; ce qui voudrait dire qu'il n'y a pas de raison d'affecter
185 8 Laurent GUERBY
> une IPv6 du /56 au eth0 des VM tetaneutral.
186 8 Laurent GUERBY
> 
187 8 Laurent GUERBY
> 2) Pour faire marcher une telle config à FDN, le routeur FDN en amont du
188 8 Laurent GUERBY
> modem/routeur de l'abonné devrait avoir une route du type:
189 8 Laurent GUERBY
> ip -6 route add range/48 dev ppp-abonné via link-local-ppp-abonné
190 8 Laurent GUERBY
> soit chez nous:
191 8 Laurent GUERBY
> ip -6 route add range/56 dev eth0-vm via link-local-eth0-vm
192 8 Laurent GUERBY
> 
193 8 Laurent GUERBY
> > du /56 via une interconnection explicite entre le routeur de
194 8 Laurent GUERBY
> > tetaneutral.net et un routeur chez le membre ?
195 8 Laurent GUERBY
> 
196 8 Laurent GUERBY
> Un lien openvpn?
197 8 Laurent GUERBY
198 8 Laurent GUERBY
Bonsoir,
199 8 Laurent GUERBY
200 8 Laurent GUERBY
On peut rajouter une regle de routage comme tu le suggere,
201 8 Laurent GUERBY
reste a choisir les details pratiques.
202 8 Laurent GUERBY
203 8 Laurent GUERBY
Pour la link-local coté routeur on a choisi fe80::31 en statique il
204 8 Laurent GUERBY
reste a choisir une regle pour attribuer le link local coté client. 
205 8 Laurent GUERBY
206 8 Laurent GUERBY
Une regle automatique basée sur l'IPv4 est en place pour
207 8 Laurent GUERBY
l'attribution du subnet IPv6 :
208 8 Laurent GUERBY
209 8 Laurent GUERBY
http://wiki.tetaneutral.net/index.php/Architecture
210 8 Laurent GUERBY
211 8 Laurent GUERBY
Une regle similaire pour le routage donnerait par exemple fe80::81:XY
212 8 Laurent GUERBY
ou XY est le dernier octet de l'IPv4 ecrit en hexadecimal
213 8 Laurent GUERBY
pour la link local coté client.
214 8 Laurent GUERBY
215 8 Laurent GUERBY
L'avantage d'une regle statique vs le SLAAC c'est que c'est un peu plus
216 8 Laurent GUERBY
flexible coté client sur le choix de l'equipement routeur.
217 8 Laurent GUERBY
218 8 Laurent GUERBY
L'avantage du routé est bien sur la flexibilité et la sécurisation
219 8 Laurent GUERBY
potentielle, l'inconvenient est qu'avec nos equipements actuels peu
220 8 Laurent GUERBY
puissant on perdra un peu en debit mais ça se corrigera avec
221 8 Laurent GUERBY
de nouveaux equipements.
222 8 Laurent GUERBY
223 8 Laurent GUERBY
Je suis vraiment curieux de savoir comment font les autres hebergeurs
224 8 Laurent GUERBY
dans le monde IPv6, ceux auxquels j'ai acces ne proposent pas de
225 8 Laurent GUERBY
routage, simplement ce que propose tetaneutral.net actuellement.
226 8 Laurent GUERBY
227 8 Laurent GUERBY
Suggestions ?
228 8 Laurent GUERBY
229 15 Bernard Urban
h2. Connectivité IPv6 complète depuis chez vous en quelques étapes simples
230 9 Bernard Urban
231 10 Bernard Urban
Connectivité complète signifie que toutes vos machines pouvant fonctionner en IPv6 peuvent accéder des sites IPv6 externes mais surtout être joignables de l'extérieur sur une adresse IPv6 propre. Pas de NAT ou autre bidouille de ce genre. Implications en terme d'autohébergement et sécurité laissées en exercice. 
232 9 Bernard Urban
233 11 Bernard Urban
Pour bien comprendre ce qui suit, il est recommandé d'avoir un peu potassé les hyperliens plus haut et mieux encore d'avoir joué avec l'IPv6 sur votre réseau local maison en utilisant par exemple des adresses ULA.
234 1 Laurent GUERBY
235 10 Bernard Urban
h3. Etape 1: obtenir une machine virtuelle Tetaneutral. 
236 10 Bernard Urban
237 10 Bernard Urban
Celle-ci (on l'appellera VM dans la suite) sera configurée par défaut comme suit dans /etc/network/interfaces du point de vue IPv6:
238 1 Laurent GUERBY
<pre>
239 1 Laurent GUERBY
iface eth0 inet6 static
240 57 Bernard Urban
   # les 2 lignes qui suivent ne seront pas nécessaires lorsque 
241 57 Bernard Urban
   # plus loin nous passerons en mode routeur
242 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
243 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
244 9 Bernard Urban
   address 2a01:6600:80XX:YY00::1
245 1 Laurent GUERBY
   netmask 56
246 1 Laurent GUERBY
   gateway fe80::31
247 1 Laurent GUERBY
</pre>
248 1 Laurent GUERBY
249 1 Laurent GUERBY
où XX et YY sont les versions hexadécimales des xx et yy décimaux de votre (unique!) adresse IPv4 de la forme 91.224.xx.yy.
250 10 Bernard Urban
251 11 Bernard Urban
Voyons ce qu'implique la prise en compte par le système de ce fragment de /etc/network/interfaces. Il dit que:
252 10 Bernard Urban
# l'adresse 2a01:6600:80XX:YY00::1 est affectée à eth0, ce qui signifie que votre VM est accessible à cette adresse depuis l'intérieur de la VM comme depuis l'extérieur par toutes les machines du même segment réseau que eth0
253 10 Bernard Urban
# les paquets passant par votre VM peuvent atteindre les adresses de la plage 2a01:6600:80XX:YY00::/56 en étant envoyés en sortie de l'interface eth0
254 10 Bernard Urban
255 10 Bernard Urban
La plage 2a01:6600:80XX:YY00::/56 a été allouée par tetaneutral à votre VM. Notre problème est d'allouer une partie de ces adresses à des machines de notre domicile en utilisant l'accès que nous avons (en IPv4!) à la VM.
256 1 Laurent GUERBY
257 1 Laurent GUERBY
Avec cette configuration, vous pouvez héberger sur la VM des milliards de serveurs avec des adresses IPv6 différentes, il suffit de les ajouter à eth0 par une commande du type:
258 10 Bernard Urban
<pre>
259 57 Bernard Urban
ip -6 address add une-adresse-ipv6-de-votre-plage/56 dev eth0
260 10 Bernard Urban
</pre>
261 11 Bernard Urban
Le /56 n'est pas absolument nécessaire, il évite juste de rajouter une route plus spécifique pour atteindre votre nouvelle adresse IPv6 depuis votre VM, route qui s'avère redondante.
262 10 Bernard Urban
263 1 Laurent GUERBY
Le lecteur attentif aura noté que cette configuration déclare que toutes les adresses de votre plage sont situées derrière eth0, en dehors de la partie contrôlée par votre VM, et il semble impossible alors d'en distraire une partie. Il y a au moins deux solutions à ce problème:
264 1 Laurent GUERBY
# S'arranger pour que les segments réseau de votre domicile fassent partie de celui partant de eth0 sur la VM. Celà revient techniquement à bridger ces segments réseaux. Cette solution a cependant des inconvénients en terme de configurabilité et de sécurité.
265 12 Bernard Urban
# Réduire la plage IPv6 allouée derrière l'eth0 de la VM et réallouer le solde à votre réseau local maison, par des techniques de routage. C'est ce qu'on va décrire dans la suite. Mais d'abord, on a besoin d'un peu de collaboration de Tetaneutral. 
266 1 Laurent GUERBY
267 11 Bernard Urban
h3. Etape 2: faire router votre plage /56 par Tetaneutral.
268 1 Laurent GUERBY
269 11 Bernard Urban
Dans la configuration par défaut des VM Tetaneutral, l'hôte des VM crée la route vers l'adresse 2a01:6600:80XX:YY00::1 (et des autres que vous rajoutez éventuellement à la main sur eth0) par l'utilisation de l'équivalent IPv6 d'ARP. Il est donc impossible de router vers une adresse qui n'existe pas sur cet eth0. 
270 11 Bernard Urban
271 11 Bernard Urban
Tetaneutral doit donc rajouter une route explicite:
272 11 Bernard Urban
<pre>
273 11 Bernard Urban
ip -6 route add 2a01:6600:80XX:YY00::/56 via fe80::XX:YY dev votre-eth0-côté-hôte
274 11 Bernard Urban
</pre>
275 11 Bernard Urban
276 1 Laurent GUERBY
Celà n'a de sens que si fe80::XX:YY une des adresses de l'eth0 côté VM. Il faut donc l'ajouter et le mieux est de le faire via une directive 'up' dans /etc/network/interfaces:
277 1 Laurent GUERBY
<pre>
278 1 Laurent GUERBY
iface eth0 inet6 static
279 57 Bernard Urban
   # les 2 lignes qui suivent ne seront pas nécessaires lorsque 
280 57 Bernard Urban
   # plus loin nous passerons en mode routeur
281 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
282 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
283 11 Bernard Urban
   address 2a01:6600:80XX:YY00::1
284 11 Bernard Urban
   netmask 64
285 11 Bernard Urban
   gateway fe80::31   
286 11 Bernard Urban
   up ip -6 add add fe80::XX:YY dev eth0
287 1 Laurent GUERBY
</pre>
288 11 Bernard Urban
289 14 Bernard Urban
Mon lecteur toujours très attentif n'aura pas manqué de noter que netmask ci-dessus est passé de 56 à 64. Nous n'allouons donc maintenant plus toutes nos adresses IPv6 sur le segment réseau partant d'eth0. En particulier, nous allons voir maintenant comment récupérer la sous-plage 2a01:6600:80XX:YY01::/64 pour notre réseau à domicile. 
290 1 Laurent GUERBY
291 14 Bernard Urban
+Remarque:+ la sous-plage doit être /64, sinon l'adressage automatique des interfaces réseau qu'on verra plus loin ne marchera pas.
292 12 Bernard Urban
293 13 Bernard Urban
h3. Etape 3: simuler un lien ethernet entre une machine à domicile et cette VM.
294 1 Laurent GUERBY
295 11 Bernard Urban
Les technologies VPN/tunnel sont le pendant réseau des machines virtuelles: elles permettent de créer des interfaces réseaux virtuelles (du point de vue hardware, mais bien réelles d'un point de vue logiciel) et de les connecter entre elles. 
296 1 Laurent GUERBY
297 12 Bernard Urban
Tout comme les machines virtuelles nécessitent quand même un minimum de support silicium, un VPN/tunnel va nécessiter de s'appuyer sur une vraie liaison entre deux vraies interfaces réseau, en l'occurence pour nous la liaison internet IPv4 entre autre utilisée pour l'administration de la VM depuis votre domicile. Plus précisément, nous allons utiliser l'outil openvpn.
298 11 Bernard Urban
299 11 Bernard Urban
La première étape va consister à installer openvpn en mode serveur sur la VM. Le fichier suivant est à créer dans /etc/openvpn/myris.conf:
300 11 Bernard Urban
<pre>
301 11 Bernard Urban
dev tap
302 11 Bernard Urban
proto udp
303 11 Bernard Urban
local 91.224.xx.yy
304 11 Bernard Urban
float
305 11 Bernard Urban
ca myris/ca.crt
306 11 Bernard Urban
cert myris/myris.crt
307 11 Bernard Urban
key myris/myris.key
308 11 Bernard Urban
dh myris/dh1024.pem
309 11 Bernard Urban
tls-server
310 11 Bernard Urban
port 1194
311 11 Bernard Urban
ping 15
312 11 Bernard Urban
ping-restart 45
313 11 Bernard Urban
# car serveur
314 11 Bernard Urban
ping-timer-rem
315 11 Bernard Urban
persist-tun
316 11 Bernard Urban
persist-key
317 11 Bernard Urban
ifconfig 10.0.0.2 255.255.255.252
318 11 Bernard Urban
route ipv4-adresse-client-openvpn-domicile 255.255.255.255 10.0.0.1
319 11 Bernard Urban
script-security 3 system
320 11 Bernard Urban
route-up "/sbin/ip -6 addr add 2a01:6600:80XX:YY01::1/64 dev tap0"
321 11 Bernard Urban
</pre>
322 11 Bernard Urban
323 11 Bernard Urban
+Remarque:+ le paramètre route-up contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Cette commande est nécessaire pour créer sur la VM une route vers la bonne interface pour la plage 2a01:6600:80XX:YY01::/64. Pour que le serveur openvpn soit toujours présent, il faut ajouter
324 11 Bernard Urban
<pre>
325 11 Bernard Urban
AUTOSTART="myris"
326 11 Bernard Urban
</pre>
327 11 Bernard Urban
à /etc/default/openvpn.
328 11 Bernard Urban
329 11 Bernard Urban
Sur la machine à domicile, il faut une installation en mode client, pourquoi pas le même nom de fichier que le serveur, mais pas le même contenu:
330 11 Bernard Urban
<pre>
331 11 Bernard Urban
dev tap
332 11 Bernard Urban
proto udp
333 11 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
334 11 Bernard Urban
remote 91.224.xx.yy
335 11 Bernard Urban
ca myris/ca.crt
336 11 Bernard Urban
cert myris/client.crt
337 11 Bernard Urban
key myris/client.key
338 11 Bernard Urban
tls-client
339 11 Bernard Urban
port 1194
340 11 Bernard Urban
ping 15
341 11 Bernard Urban
ping-restart 45
342 11 Bernard Urban
persist-tun
343 11 Bernard Urban
persist-key
344 1 Laurent GUERBY
ifconfig 10.0.0.1 255.255.255.252
345 11 Bernard Urban
route 0.0.0.0 0.0.0.0 10.0.0.2
346 1 Laurent GUERBY
</pre>
347 1 Laurent GUERBY
348 15 Bernard Urban
L'adresse ipv4-adresse-client-openvpn-domicile est toute adresse qui permet d'accéder Internet depuis la machine accueillant l'openvpn client; en général, ce ne sera donc pas votre adresse IP externe allouée par votre FAI, elle sera plutôt du genre 192.168.*.*. ou 10.*.*.*. Il est supposé bien sûr dans l'exemple ci-dessus que vous n'utilisez pas 10.0.0.0/30 chez vous, elle a été réservée au lien openvpn. 
349 1 Laurent GUERBY
350 14 Bernard Urban
Les répertoires /etc/openvpn/myris sur VM et machine cliente contiendront les divers certificats et clés, qu'il faut générer. Voici comment faire:
351 14 Bernard Urban
<pre>
352 14 Bernard Urban
cd un-répertoire de travail
353 14 Bernard Urban
cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/ .
354 14 Bernard Urban
cd 2.0
355 14 Bernard Urban
# Editez à votre convenance les 5 dernières variables d'environnement de type KEY_* du fichier vars
356 14 Bernard Urban
source ./vars
357 14 Bernard Urban
./clean-all
358 14 Bernard Urban
./build-dh
359 14 Bernard Urban
./pkitool --initca
360 14 Bernard Urban
./pkitool --server myris
361 14 Bernard Urban
./pkitool client
362 14 Bernard Urban
</pre>
363 14 Bernard Urban
364 14 Bernard Urban
et les fichiers recherchés se trouvent dans le sous-répertoire keys. Le seul fichier commun aux 2 extrémités du lien openvpn est ca.crt.
365 14 Bernard Urban
366 12 Bernard Urban
h3. Etape 4: passer la VM en mode routeur et annoncer des routes pour votre réseau à domicile avec radvd.
367 11 Bernard Urban
368 1 Laurent GUERBY
Pour autoriser les paquets à être routés sur la VM entre eth0 et tap0, il faut passer en mode routeur:
369 1 Laurent GUERBY
<pre>
370 58 Bernard Urban
echo 1 >/proc/sys/net/ipv6/conf/all/forwarding
371 1 Laurent GUERBY
</pre>
372 57 Bernard Urban
373 57 Bernard Urban
Il est encore mieux de conserver ce mode au reboot en rajoutant la ligne:
374 57 Bernard Urban
<pre>
375 57 Bernard Urban
net.ipv6.conf.all.forwarding=1
376 1 Laurent GUERBY
</pre>
377 58 Bernard Urban
378 57 Bernard Urban
dans le fichier "/etc/sysctl.conf"
379 57 Bernard Urban
380 57 Bernard Urban
Cette option entraine aussi que votre VM ne s'autoconfigure plus en IPv6 (i.e. les lignes "pre-up" vues plus haut dans "/etc/network/interfaces" ne sont plus nécessaires).
381 1 Laurent GUERBY
382 12 Bernard Urban
Nous allons maintenant mettre en place une configuration automatique d'adresses IPv6 de toutes les machines du segment réseau partant du tap0 de la VM (soit le tap0 du client openvpn, mais après l'étape suivante toutes les interfaces de votre réseau local). Nous utiliserons pour celà l'outil radvd, avec le fichier de configuration /etc/radvd.conf:
383 11 Bernard Urban
<pre>
384 11 Bernard Urban
interface tap0
385 11 Bernard Urban
{
386 12 Bernard Urban
  IgnoreIfMissing on;
387 11 Bernard Urban
  AdvSendAdvert on;
388 11 Bernard Urban
  AdvLinkMTU 1280;
389 11 Bernard Urban
  prefix 2a01:6600:80XX:YY01::/64
390 11 Bernard Urban
  {
391 1 Laurent GUERBY
    AdvOnLink on;
392 11 Bernard Urban
    AdvAutonomous on;
393 11 Bernard Urban
  };
394 1 Laurent GUERBY
};
395 1 Laurent GUERBY
</pre>
396 11 Bernard Urban
397 12 Bernard Urban
+Remarque:+ le fichier contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Par ailleurs, il est possible d'interdire à une machine de s'autoconfigurer, mais ce n'est pas le défaut pour Linux et j'ai supposé que vous ne l'avez pas modifié. 
398 11 Bernard Urban
399 13 Bernard Urban
h3. Etape 5: bridger les interfaces réseau du client openvpn
400 1 Laurent GUERBY
401 1 Laurent GUERBY
A ce stade, la machine openvpn cliente peut accéder l'internet IPv6, car radvd aura placé une route par défaut via son tap0. Si vous bridgez maintenant ce tap0 avec son eth0 (normalement relié au reste de votre réseau local), toutes les machines de ce réseau local vont s'assigner au bout de quelques minutes une adresse tirée de la plage 2a01:6600:80XX:YY01::/64, et une route par défaut via le tap0 du client openvpn: c'est ce qu'on voulait obtenir.
402 13 Bernard Urban
403 13 Bernard Urban
Voici les incantations magiques nécessaires:
404 13 Bernard Urban
<pre>
405 13 Bernard Urban
# on suppose qu'eth0 a l'adresse 192.168.0.1/24
406 13 Bernard Urban
brctl addbr br0
407 13 Bernard Urban
brctl addif br0 eth0
408 1 Laurent GUERBY
brctl addif br0 tap0
409 1 Laurent GUERBY
# à ce stade, le machine hébergeant le client openvpn n'est plus adressable
410 1 Laurent GUERBY
# mais il est dans la plupart des cas utile de lui en redonner une, en général celle d'eth0  
411 1 Laurent GUERBY
ip addr add 192.168.0.1/24 dev br0
412 1 Laurent GUERBY
</pre>
413 14 Bernard Urban
414 16 Bernard Urban
Il peut être intéressant de bridger par défaut eth0 et un tap0 prédéfini sur br0 dès le boot par une section de ce type dans /etc/network/interfaces: 
415 14 Bernard Urban
<pre>
416 14 Bernard Urban
auto br0
417 14 Bernard Urban
iface br0 inet static
418 14 Bernard Urban
    address 192.168.1.10
419 14 Bernard Urban
    netmask 255.255.255.0
420 1 Laurent GUERBY
    broadcast 192.168.0.255
421 1 Laurent GUERBY
    gateway 192.168.1.1
422 16 Bernard Urban
    bridge_ports eth0 tap0
423 16 Bernard Urban
    pre-up tunctl -t tap0
424 15 Bernard Urban
</pre> 
425 16 Bernard Urban
où la section 'iface br0' remplace 'iface eth0'.
426 1 Laurent GUERBY
427 16 Bernard Urban
Il faut ensuite modifier le configuration cliente /etc/openvpn/myris.conf comme suit:
428 1 Laurent GUERBY
<pre>
429 16 Bernard Urban
# on définit explicitement le tap0
430 16 Bernard Urban
dev tap0
431 16 Bernard Urban
proto udp
432 16 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
433 16 Bernard Urban
remote 91.224.xx.yy
434 16 Bernard Urban
ca myris/ca.crt
435 16 Bernard Urban
cert myris/client.crt
436 16 Bernard Urban
key myris/client.key
437 16 Bernard Urban
tls-client
438 16 Bernard Urban
port 1194
439 16 Bernard Urban
ping 15
440 16 Bernard Urban
ping-restart 45
441 16 Bernard Urban
persist-tun
442 16 Bernard Urban
persist-key
443 16 Bernard Urban
# ifconfig et route ont disparus et sont remplacés par ce qui suit, 
444 16 Bernard Urban
# qui fait la même chose appliqué à br0 et non pas tap0
445 1 Laurent GUERBY
script-security 3 system
446 16 Bernard Urban
up /etc/openvpn/myris-up.sh
447 16 Bernard Urban
down /etc/openvpn/myris-down.sh
448 1 Laurent GUERBY
</pre> 
449 16 Bernard Urban
450 16 Bernard Urban
où /etc/openvpn/myris-up.sh vaut:
451 16 Bernard Urban
<pre>
452 16 Bernard Urban
#! /bin/sh
453 16 Bernard Urban
/sbin/ip addr add 10.0.0.1/30 dev br0
454 16 Bernard Urban
</pre>
455 16 Bernard Urban
et /etc/openvpn/myris-down.sh vaut:
456 16 Bernard Urban
<pre>
457 16 Bernard Urban
#! /bin/sh
458 16 Bernard Urban
/sbin/ip addr del 10.0.0.1/30 dev br0
459 16 Bernard Urban
</pre>
460 16 Bernard Urban
461 16 Bernard Urban
+Remarque:+ ne pas oublier de lancer:
462 16 Bernard Urban
<pre>
463 16 Bernard Urban
chmod 755 /etc/openvpn/myris-down.sh /etc/openvpn/myris-down.sh
464 16 Bernard Urban
</pre>
465 16 Bernard Urban
466 16 Bernard Urban
Il est à noter que l'apparition des adresses et routes IPv6 peut prendre un dizaine de minutes après l'établissemnt du tunnel openvpn, et de même leur disparation n'est complète qu'au bout de 24h. Tout celà est réglable via /etc/radvd.conf sur la VM.
467 8 Laurent GUERBY
468 52 Laurent GUERBY
h2. ip6tables
469 52 Laurent GUERBY
470 52 Laurent GUERBY
Via Philippe Latu du projet http://www.inetdoc.net/
471 52 Laurent GUERBY
472 52 Laurent GUERBY
<pre>
473 52 Laurent GUERBY
*filter
474 52 Laurent GUERBY
:INPUT DROP [0:0]
475 52 Laurent GUERBY
:FORWARD DROP [0:0]
476 52 Laurent GUERBY
:OUTPUT ACCEPT [0:0]
477 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
478 52 Laurent GUERBY
# C H A I N E   I N P U T
479 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
480 52 Laurent GUERBY
# suivi de communication
481 52 Laurent GUERBY
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
482 52 Laurent GUERBY
# ICMPv6
483 52 Laurent GUERBY
-A INPUT -p icmpv6 -m state --state NEW -m limit --limit 5/sec -j ACCEPT
484 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-solicitation -j ACCEPT
485 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-advertisement -j 
486 52 Laurent GUERBY
ACCEPT
487 52 Laurent GUERBY
# Filtrage paquets avec en-tête de routage de type 0
488 52 Laurent GUERBY
-A INPUT -m rt --rt-type 0 -j DROP
489 52 Laurent GUERBY
# Autorisation trafic multicast
490 52 Laurent GUERBY
-A INPUT -d ff00::/8 -j ACCEPT
491 52 Laurent GUERBY
# communication loopback
492 52 Laurent GUERBY
-A INPUT -i lo -m state --state NEW -j ACCEPT
493 52 Laurent GUERBY
# communication instances virtuelles
494 52 Laurent GUERBY
-A INPUT -i tap+ -m state --state NEW -j ACCEPT
495 52 Laurent GUERBY
# communication interne
496 52 Laurent GUERBY
-A INPUT -i bond0.+ -m state --state NEW -j ACCEPT
497 52 Laurent GUERBY
# SSH port 2222
498 52 Laurent GUERBY
-A INPUT -p tcp --syn --dport 2222 -m state --state NEW -j ACCEPT
499 52 Laurent GUERBY
# poubelle
500 52 Laurent GUERBY
-A INPUT -j LOG --log-prefix "INPUT/rejected.ip6tables: "
501 52 Laurent GUERBY
-A INPUT -m state --state INVALID -m limit --limit 5/min -j LOG --log-prefix "INPUT/invalid.ip6tables: "
502 52 Laurent GUERBY
-A INPUT -m state --state INVALID -j DROP
503 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
504 52 Laurent GUERBY
# C H A I N E   F O R W A R D
505 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
506 52 Laurent GUERBY
# suivi de communication
507 52 Laurent GUERBY
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
508 52 Laurent GUERBY
# ICMPv6
509 52 Laurent GUERBY
-A FORWARD -p ipv6-icmp -m state --state NEW -m limit --limit 5/sec -j  ACCEPT
510 52 Laurent GUERBY
# Filtrage paquets avec en-tête de routage de type 0
511 52 Laurent GUERBY
-A FORWARD -m rt --rt-type 0 -j DROP
512 52 Laurent GUERBY
# Autorisation trafic multicast
513 52 Laurent GUERBY
-A FORWARD -d ff00::/8 -j ACCEPT
514 52 Laurent GUERBY
# communication loopback
515 52 Laurent GUERBY
-A FORWARD -i lo -m state --state NEW -j ACCEPT
516 52 Laurent GUERBY
# communication instances virtuelles
517 52 Laurent GUERBY
-A FORWARD -i tap+ -m state --state NEW -j ACCEPT
518 52 Laurent GUERBY
# communication réseaux de TP
519 52 Laurent GUERBY
-A FORWARD -i bond0.+ -m state --state NEW -j ACCEPT
520 52 Laurent GUERBY
# poubelle
521 52 Laurent GUERBY
-A FORWARD -m state --state INVALID -m limit --limit 5/min -j LOG  --log-prefix "INPUT/invalid.ip6tables: "
522 52 Laurent GUERBY
-A FORWARD -m state --state INVALID -j DROP
523 52 Laurent GUERBY
COMMIT
524 52 Laurent GUERBY
</pre>
525 52 Laurent GUERBY
526 52 Laurent GUERBY
527 52 Laurent GUERBY
528 6 Laurent GUERBY
h2. FAQ
529 6 Laurent GUERBY
530 18 Laurent GUERBY
h3. Reverse DNS
531 18 Laurent GUERBY
532 19 Laurent GUERBY
En IPv6 tetaneutral.net peut deleguer le reverse du /56. Il faut configurer bind sur une ou plusieurs de vos machines, nous donner son CNAME, par exemple ns1.chezmoi.net et ns2.chezmoi.net, et mettre les fichiers suivant dans /etc/bind/ :
533 19 Laurent GUERBY
534 18 Laurent GUERBY
named.conf.local
535 18 Laurent GUERBY
<pre>
536 18 Laurent GUERBY
zone "1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
537 18 Laurent GUERBY
	type master;
538 18 Laurent GUERBY
	file "/etc/bind/db.ip6-81";
539 18 Laurent GUERBY
};
540 18 Laurent GUERBY
</pre>
541 18 Laurent GUERBY
542 18 Laurent GUERBY
db.ip6-81
543 18 Laurent GUERBY
<pre>
544 18 Laurent GUERBY
; -*- mode: zone; -*-
545 18 Laurent GUERBY
;
546 18 Laurent GUERBY
; BIND reverse data file for broadcast zone
547 18 Laurent GUERBY
;
548 18 Laurent GUERBY
$TTL    3600
549 18 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
550 18 Laurent GUERBY
                        2011070301      ; serial
551 18 Laurent GUERBY
                         7200         ; Refresh
552 18 Laurent GUERBY
                          3600         ; Retry
553 18 Laurent GUERBY
                        1800000         ; Expire
554 18 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
555 18 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
556 18 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
557 18 Laurent GUERBY
558 1 Laurent GUERBY
; reverse
559 18 Laurent GUERBY
$ORIGIN 0.0.e.c.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
560 1 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     www6.tetaneutral.net.
561 18 Laurent GUERBY
562 18 Laurent GUERBY
; delegations /56
563 47 Laurent GUERBY
$ORIGIN 1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
564 47 Laurent GUERBY
1.9 86400 IN NS   hoersch.kneissel.org.
565 47 Laurent GUERBY
1.9 86400 IN NS   serveur.kneissel.org.
566 47 Laurent GUERBY
e.8 86400 IN NS   dns.kafe-in.net.
567 18 Laurent GUERBY
</pre>
568 47 Laurent GUERBY
569 47 Laurent GUERBY
Merci a Matthieu Herrb pour la délégation de reverse /56.
570 1 Laurent GUERBY
571 34 Laurent GUERBY
h3. CCNA et link-local
572 18 Laurent GUERBY
573 34 Laurent GUERBY
Merci à Jérôme Nicolle:
574 17 Laurent GUERBY
575 17 Laurent GUERBY
http://www.freeccnaworkbook.com/labs/section-12-configuring-ipv6/lab-12-3-configuring-ipv6-static-routing/
576 17 Laurent GUERBY
577 17 Laurent GUERBY
> Unlike IPv4 static routing, with IPv6 you have the ability to use either the global unicast address or link-local address as the next hop in the static route statement. When working with IPv6 dynamic routing protocols which will be discussed in the next 2 labs, the next hop will be the neighbors link-local IPv6 address and not their global unique assigned ipv6 address. However when configuring a static route with a link-local IPv6 address as the next hop you must specify the egress interface. For all intensive purposes, using either/or will achieve the same desired effect.
578 17 Laurent GUERBY
579 50 Laurent GUERBY
h3. Comment éviter d'utiliser une IPv6 non routée ?
580 17 Laurent GUERBY
581 50 Laurent GUERBY
Sur un IX en général les adresses sont non routées donc il faut éviter de les utiliser, pour cela on utilise "preferred_lft 0" :
582 50 Laurent GUERBY
583 50 Laurent GUERBY
http://www.davidc.net/networking/ipv6-source-address-selection-linux
584 50 Laurent GUERBY
585 50 Laurent GUERBY
<pre>
586 50 Laurent GUERBY
ip -6 a add 2001:7f8:59:0:75::15/96 dev eth0.502 preferred_lft 0
587 50 Laurent GUERBY
</pre>
588 34 Laurent GUERBY
h3. Comment pinguer une addresse link local ?
589 6 Laurent GUERBY
590 34 Laurent GUERBY
 
591 6 Laurent GUERBY
<pre>
592 6 Laurent GUERBY
ping6 fe80::31%eth0
593 1 Laurent GUERBY
</pre>
594 40 Mehdi Abaakouk
595 40 Mehdi Abaakouk
h3. zones reverses ipv6 manquante dans bind (ie: ::1)
596 40 Mehdi Abaakouk
597 40 Mehdi Abaakouk
Dans bind par défaut les zones pour ::1 sont vide pour les ajouter:
598 40 Mehdi Abaakouk
599 40 Mehdi Abaakouk
<pre>
600 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::.arpa
601 40 Mehdi Abaakouk
;
602 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
603 40 Mehdi Abaakouk
;
604 40 Mehdi Abaakouk
$TTL    604800
605 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
606 40 Mehdi Abaakouk
                              8         ; Serial
607 40 Mehdi Abaakouk
                         604800         ; Refresh
608 40 Mehdi Abaakouk
                          86400         ; Retry
609 40 Mehdi Abaakouk
                        2419200         ; Expire
610 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
611 40 Mehdi Abaakouk
;
612 40 Mehdi Abaakouk
@       IN      NS      localhost.
613 40 Mehdi Abaakouk
1       IN      PTR     localhost.
614 40 Mehdi Abaakouk
</pre>
615 40 Mehdi Abaakouk
616 40 Mehdi Abaakouk
<pre>
617 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::1.arpa
618 40 Mehdi Abaakouk
;
619 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
620 40 Mehdi Abaakouk
;
621 40 Mehdi Abaakouk
$TTL    604800
622 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
623 40 Mehdi Abaakouk
                              8         ; Serial
624 40 Mehdi Abaakouk
                         604800         ; Refresh
625 40 Mehdi Abaakouk
                          86400         ; Retry
626 40 Mehdi Abaakouk
                        2419200         ; Expire
627 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
628 40 Mehdi Abaakouk
;
629 40 Mehdi Abaakouk
@       IN      NS      localhost.
630 40 Mehdi Abaakouk
@       IN      PTR     localhost.
631 40 Mehdi Abaakouk
</pre>
632 40 Mehdi Abaakouk
633 40 Mehdi Abaakouk
<pre>
634 40 Mehdi Abaakouk
# cat /etc/bind/named.conf.default-zones.v6
635 40 Mehdi Abaakouk
636 40 Mehdi Abaakouk
zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
637 40 Mehdi Abaakouk
        type master;
638 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::.arpa";
639 40 Mehdi Abaakouk
};
640 40 Mehdi Abaakouk
641 40 Mehdi Abaakouk
zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
642 40 Mehdi Abaakouk
        type master;
643 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::1.arpa";
644 40 Mehdi Abaakouk
};
645 40 Mehdi Abaakouk
</pre>
646 40 Mehdi Abaakouk
647 40 Mehdi Abaakouk
Et on ajoute ca dans /etc/bind/named.conf: 
648 40 Mehdi Abaakouk
<pre>
649 40 Mehdi Abaakouk
include "/etc/bind/named.conf.default-zones.v6";
650 40 Mehdi Abaakouk
</pre>
651 42 Mehdi Abaakouk
652 42 Mehdi Abaakouk
h3. Envoie d'un Router Advertissement avec scapy pour virer une route auto apprise (Attention à n'utiliser que si on sait ce qu'on fait ! )
653 42 Mehdi Abaakouk
654 42 Mehdi Abaakouk
Création de trame ipv6, ipv6 src est celle du router à spoffer
655 42 Mehdi Abaakouk
656 42 Mehdi Abaakouk
<pre>
657 42 Mehdi Abaakouk
a = IPv6()
658 42 Mehdi Abaakouk
a.src = "fe80::dcad:4dff:fe0b:8a5"
659 42 Mehdi Abaakouk
a.dst = "ff02::1"
660 42 Mehdi Abaakouk
</pre>
661 42 Mehdi Abaakouk
662 42 Mehdi Abaakouk
La trame sera un RA avec un lifetime de 0, comme indiquer dans la rfc2461:
663 42 Mehdi Abaakouk
"Lifetime of 0 indicates that the router is not a default router and SHOULD NOT appear on the default router list."
664 42 Mehdi Abaakouk
665 42 Mehdi Abaakouk
<pre>
666 42 Mehdi Abaakouk
b = ICMPv6ND_RA() 
667 42 Mehdi Abaakouk
b.routerlifetime = 0
668 42 Mehdi Abaakouk
</pre>
669 42 Mehdi Abaakouk
670 42 Mehdi Abaakouk
Ensuite on fixe la adresse MAC à spoofer, celle du router original qui a envoyer le RA.
671 42 Mehdi Abaakouk
672 42 Mehdi Abaakouk
<pre>
673 42 Mehdi Abaakouk
c = ICMPv6NDOptSrcLLAddr() 
674 42 Mehdi Abaakouk
c.lladdr = "00:50:56:24:3b:c0"
675 42 Mehdi Abaakouk
</pre>
676 42 Mehdi Abaakouk
677 42 Mehdi Abaakouk
Ensuite on construire le contenu du RA, avec le prefix à annoncer (toujours celui à spoofer)
678 42 Mehdi Abaakouk
Avec le validlifetime et preferredlifetime à l'infinie, comme indiquer dans la rfc2461:
679 42 Mehdi Abaakouk
"A value of all one bits (0xffffffff) represents infinity"
680 42 Mehdi Abaakouk
681 42 Mehdi Abaakouk
<pre>
682 42 Mehdi Abaakouk
d = ICMPv6NDOptMTU() 
683 42 Mehdi Abaakouk
e = ICMPv6NDOptPrefixInfo() 
684 42 Mehdi Abaakouk
e.prefixlen = 64
685 42 Mehdi Abaakouk
e.prefix = "2a01:6600:8081:4300::"
686 42 Mehdi Abaakouk
e.validlifetime = 0xffffffff
687 42 Mehdi Abaakouk
e.preferredlifetime = 0xffffffff
688 42 Mehdi Abaakouk
</pre>
689 42 Mehdi Abaakouk
690 42 Mehdi Abaakouk
On envoie le tout:
691 42 Mehdi Abaakouk
692 42 Mehdi Abaakouk
<pre>
693 42 Mehdi Abaakouk
send(a/b/c/d/e)
694 42 Mehdi Abaakouk
</pre>
695 61 Laurent GUERBY
696 61 Laurent GUERBY
h3. PMTU
697 61 Laurent GUERBY
698 61 Laurent GUERBY
Try 'tracepath6' it will show you which hop is not returning a packet
699 61 Laurent GUERBY
too big for that path if needed. Also one can use a series of "ping6 -s
700 61 Laurent GUERBY
<size> -M do" to check if packets pass or not (if the destination allows
701 61 Laurent GUERBY
pings of course).