Projet

Général

Profil

IPv6 » Historique » Version 70

Laurent GUERBY, 19/06/2012 18:06

1 56 Laurent GUERBY
{{>toc}}
2 56 Laurent GUERBY
3 1 Laurent GUERBY
h1. IPv6
4 1 Laurent GUERBY
5 34 Laurent GUERBY
Déploiement a tetaneutral.net : #35
6 1 Laurent GUERBY
7 34 Laurent GUERBY
h2. Liens
8 2 Laurent GUERBY
9 59 Laurent GUERBY
[[WorldIPv6Launch20120606]]
10 59 Laurent GUERBY
11 5 Laurent GUERBY
General
12 5 Laurent GUERBY
13 2 Laurent GUERBY
* http://en.wikipedia.org/wiki/ICMPv6
14 3 Laurent GUERBY
* http://en.wikipedia.org/wiki/Neighbor_Discovery_Protocol
15 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/Radvd
16 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/DHCPv6
17 69 Laurent GUERBY
** https://wikispaces.psu.edu/display/ipv6/DHCPv6
18 43 Laurent GUERBY
* http://www.iana.org/assignments/icmpv6-parameters
19 45 Laurent GUERBY
20 45 Laurent GUERBY
Statistics
21 45 Laurent GUERBY
22 44 Laurent GUERBY
* http://bgp.he.net/ipv6-progress-report.cgi
23 45 Laurent GUERBY
* https://labs.ripe.net/Members/mirjam/content-ipv6-measurement-compilation
24 46 Laurent GUERBY
* http://www.ripe.net/internet-coordination/ipv4-exhaustion/ipv4-available-pool-graph
25 5 Laurent GUERBY
26 5 Laurent GUERBY
Linux
27 5 Laurent GUERBY
28 5 Laurent GUERBY
* http://madduck.net/docs/ipv6/
29 5 Laurent GUERBY
* http://tldp.org/HOWTO/Linux+IPv6-HOWTO/
30 29 Laurent GUERBY
* http://linux.die.net/man/8/rdisc6
31 38 Laurent GUERBY
* bind IPv4+IPv6 /proc/sys/net/ipv6/bindv6only http://www.kernel.org/doc/man-pages/online/pages/man7/ipv6.7.html
32 1 Laurent GUERBY
* sileht : comme arpwatch mais en ipv6 http://ndpmon.sourceforge.net/
33 49 Laurent GUERBY
* sileht : proxy NDP auto http://www.priv.nu/projects/ndppd/  et https://github.com/Tuhox/ndppd
34 20 Laurent GUERBY
35 21 Laurent GUERBY
Tunnels
36 21 Laurent GUERBY
37 21 Laurent GUERBY
* http://en.wikipedia.org/wiki/List_of_IPv6_tunnel_brokers
38 21 Laurent GUERBY
* http://tunnelbroker.net
39 21 Laurent GUERBY
* http://sonic.net/features/ipv6/
40 21 Laurent GUERBY
41 23 Laurent GUERBY
Misc
42 23 Laurent GUERBY
43 37 Laurent GUERBY
* Cool IPv6 stuff http://www.sixxs.net/misc/coolstuff/
44 23 Laurent GUERBY
* http://interviews.slashdot.org/story/11/10/25/1532213/vint-cerf-answers-your-questions-about-ipv6-and-more
45 24 Laurent GUERBY
* http://infosecblog.antonaylward.com/2010/08/05/re-opensuse-ipv6-nat-was-113-and-ssh-x-forwarding-not-working/
46 41 Laurent GUERBY
* conférence JRES 2011 http://stream.ut-capitole.fr/jres2011/57.html
47 51 Laurent GUERBY
* http://vincent.riquer.fr/blog/archives/2010/04/11/openvpn__ipv6__bind__happiness/index.html
48 53 Laurent GUERBY
* http://blog.si6networks.com/2012/02/ipv6-nids-evasion-and-improvements-in.html
49 55 Laurent GUERBY
* https://vador.fdn.fr/wiki/support:faq:ipv6
50 59 Laurent GUERBY
* http://blog.si6networks.com/2012/02/ipv6-nids-evasion-and-improvements-in.html
51 60 Laurent GUERBY
* http://www.cisco.com/en/US/docs/ios/ipv6/configuration/guide/ip6-first_hop_security.html#wp1054246
52 60 Laurent GUERBY
* http://tools.ietf.org/html/draft-ietf-v6ops-ra-guard-implementation-01
53 23 Laurent GUERBY
54 22 Laurent GUERBY
Opérateurs
55 22 Laurent GUERBY
56 22 Laurent GUERBY
* DS-Lite chez FT http://www.ietf.org/mail-archive/web/v6ops/current/msg10652.html
57 27 Laurent GUERBY
* IPv6 chez comcast http://tech.slashdot.org/story/11/11/09/174217/comcast-begins-native-ipv6-deployment-to-end-users
58 28 Laurent GUERBY
* DHCP-PD http://ipv6.internode.on.net/
59 67 Laurent GUERBY
* Ninux [[AirOS]] vs [[OpenWRT]] retour d'experience http://blog.ninux.org/2012/06/06/the-ipv6-deployment-in-the-ninux-community-network/
60 22 Laurent GUERBY
61 68 Laurent GUERBY
Tests
62 68 Laurent GUERBY
63 68 Laurent GUERBY
* http://ip6.nl/
64 68 Laurent GUERBY
65 64 Laurent GUERBY
h2. RIPE
66 64 Laurent GUERBY
67 64 Laurent GUERBY
* IPv6 Address Allocation and Assignment Policy 
68 64 Laurent GUERBY
** http://www.ripe.net/ripe/docs/ripe-552
69 64 Laurent GUERBY
* RIPE Routing Working Group Recommendations on IPv6 Route Aggregation
70 64 Laurent GUERBY
** http://www.ripe.net/ripe/docs/ripe-532
71 64 Laurent GUERBY
72 62 Laurent GUERBY
h2. Configuration d'un LAN « IPv6 only » sous debian
73 62 Laurent GUERBY
74 62 Laurent GUERBY
* [[NAT64DNS64]]
75 62 Laurent GUERBY
* [[THSF 2012]]
76 62 Laurent GUERBY
77 65 Laurent GUERBY
h2. Debian
78 65 Laurent GUERBY
79 65 Laurent GUERBY
* http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=643594
80 65 Laurent GUERBY
** ebtables: v2.0.10-1 wish for ipv6-icmp and security
81 66 Laurent GUERBY
** fixé le 5 juin 2012
82 66 Laurent GUERBY
** voir aussi [[Spoofing]]
83 65 Laurent GUERBY
84 30 Laurent GUERBY
h2. Désactiver la configuration automatique
85 30 Laurent GUERBY
86 57 Bernard Urban
Un serveur aura typiquement une configuration entièrement statique assignée par l'hébergeur, laisser la configuration dynamique activée est un risque de voir un tiers prendre le controle du routage serveur ou l'empécher de fonctionner via l'envoi d'une configuration dynamique erronée. Il est donc préférable de désactiver la configuration dynamique IPv6 sur une VM ou serveur physique hébergé chez tetaneutral.net. Si votre VM est en mode routeur (c'est à dire la commande "more /proc/sys/net/ipv6/conf/all/forwarding" renvoit 1), cette désactivation est implicite, voir dans le source du noyau Linux le fichier "Documentation/networking/ip-sysctl.txt")
87 30 Laurent GUERBY
88 33 Laurent GUERBY
En version rapide executer sur sa VM ou machine en root la ligne suivante :
89 30 Laurent GUERBY
90 1 Laurent GUERBY
<pre>
91 33 Laurent GUERBY
wget -qO - http://tetaneutral.net/ipv6/ipv6noauto.sh | bash
92 33 Laurent GUERBY
</pre>
93 33 Laurent GUERBY
94 35 Laurent GUERBY
Le détail de ce que fait ce script ci-après.
95 33 Laurent GUERBY
96 33 Laurent GUERBY
h3. Désactiver autoconf et accept_ra pour la session en cours
97 33 Laurent GUERBY
98 33 Laurent GUERBY
Executer en root la ligne suivante :
99 33 Laurent GUERBY
100 33 Laurent GUERBY
<pre>
101 30 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do for j in autoconf accept_ra; do echo 0 > $i/$j; done;done
102 30 Laurent GUERBY
</pre>
103 1 Laurent GUERBY
104 33 Laurent GUERBY
h3. Le rendre permanent en cas de reboot
105 31 Laurent GUERBY
106 33 Laurent GUERBY
Editer la section inte6 de /etc/network/interfaces  pour ajouter deux "pre-up" entre la ligne "iface" et la ligne "address" :
107 30 Laurent GUERBY
108 30 Laurent GUERBY
<pre>
109 30 Laurent GUERBY
iface eth0 inet6 static
110 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
111 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
112 1 Laurent GUERBY
   address ...
113 30 Laurent GUERBY
</pre>
114 30 Laurent GUERBY
115 57 Bernard Urban
Créer un fichier pour sysctl :
116 30 Laurent GUERBY
117 30 Laurent GUERBY
<pre>
118 32 Laurent GUERBY
cat > /etc/sysctl.d/local-ipv6.conf <<EOF
119 30 Laurent GUERBY
120 30 Laurent GUERBY
# No IPV6 RA or autoconf
121 30 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
122 30 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
123 30 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
124 1 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
125 1 Laurent GUERBY
126 1 Laurent GUERBY
EOF
127 33 Laurent GUERBY
</pre>
128 33 Laurent GUERBY
129 33 Laurent GUERBY
130 35 Laurent GUERBY
h3. Référence : source du script ipv6noauto.sh
131 33 Laurent GUERBY
132 33 Laurent GUERBY
<pre>
133 33 Laurent GUERBY
echo deactivating autoconf and accept_ra
134 33 Laurent GUERBY
135 33 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do 
136 33 Laurent GUERBY
 for j in autoconf accept_ra; do 
137 33 Laurent GUERBY
  echo $i/$j
138 33 Laurent GUERBY
  echo 0 > $i/$j
139 33 Laurent GUERBY
 done
140 33 Laurent GUERBY
done
141 33 Laurent GUERBY
142 33 Laurent GUERBY
143 33 Laurent GUERBY
F=/etc/network/interfaces
144 33 Laurent GUERBY
if ! grep accept_ra $F >& /dev/null; then
145 33 Laurent GUERBY
 echo fixing /etc/network/interfaces
146 33 Laurent GUERBY
 cp -f $F $F.save
147 33 Laurent GUERBY
 sed -e 's,iface eth0 inet6 static,iface eth0 inet6 static\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf,g' < $F.save > $F
148 33 Laurent GUERBY
fi
149 33 Laurent GUERBY
150 33 Laurent GUERBY
if [ ! -f /etc/sysctl.d/local-ipv6.conf ]; then
151 33 Laurent GUERBY
 echo creating /etc/sysctl.d/local-ipv6.conf
152 33 Laurent GUERBY
153 33 Laurent GUERBY
 cat > /etc/sysctl.d/local-ipv6.conf <<EOF
154 33 Laurent GUERBY
155 33 Laurent GUERBY
# No IPV6 RA or autoconf
156 33 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
157 33 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
158 33 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
159 33 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
160 33 Laurent GUERBY
161 33 Laurent GUERBY
EOF
162 33 Laurent GUERBY
163 33 Laurent GUERBY
fi
164 33 Laurent GUERBY
165 33 Laurent GUERBY
echo done
166 30 Laurent GUERBY
</pre>
167 30 Laurent GUERBY
168 56 Laurent GUERBY
h2. ARP cache limits
169 30 Laurent GUERBY
170 56 Laurent GUERBY
TODO via Cyril B.
171 56 Laurent GUERBY
172 56 Laurent GUERBY
<pre>
173 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh1 = 1024
174 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh2 = 2048
175 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh3 = 4096
176 56 Laurent GUERBY
</pre>
177 30 Laurent GUERBY
178 25 Laurent GUERBY
h2. Pièges
179 25 Laurent GUERBY
180 25 Laurent GUERBY
Attention a bien mettre les zéros en fin de mot :
181 1 Laurent GUERBY
182 25 Laurent GUERBY
Ne pas mettre 2a01:6600:8081:XX:: car c'est 2a01:6600:8081: *00* XX::
183 26 Laurent GUERBY
Utiliser 2a01:6600:8081: *XX00* ::
184 22 Laurent GUERBY
185 34 Laurent GUERBY
h2. Comment activer le routage sur son /56 IPv6 ?
186 7 Jérôme Nicolle
187 34 Laurent GUERBY
Chaque IPv4 livrée par tetaneutral.net est associé à un /56 IPv6, avec une équivalence /24  = 256 IPv4 <=> /48 = 256 /56 IPv6
188 7 Jérôme Nicolle
189 8 Laurent GUERBY
h2. Discussions
190 1 Laurent GUERBY
191 8 Laurent GUERBY
> J'ai fait quelques essais: VM configuré en routeur, openvpn entre la VM
192 8 Laurent GUERBY
> et ma machine, histoire de simuler des interfaces. J'ai essayé radvd
193 8 Laurent GUERBY
> comme des définitions manuelles des adresses IPv6.
194 8 Laurent GUERBY
> 
195 8 Laurent GUERBY
> Bon, ça marche depuis la VM mais pas depuis chez moi (wget
196 8 Laurent GUERBY
> http://ipv6.google.com), même si les paquets IPv6 (vu avec tcpdump)
197 8 Laurent GUERBY
> partent bien de la VM vers l'internet. Mais il n'y a pas de retour.
198 8 Laurent GUERBY
> 
199 8 Laurent GUERBY
> Après quelques cogitations et la lecture de ceci:
200 8 Laurent GUERBY
> http://www.fdn.fr/IPv6-a-la-maison.html j'en arrive à ces
201 8 Laurent GUERBY
> réflexions:
202 8 Laurent GUERBY
> 
203 8 Laurent GUERBY
> 1) Dans le blog FDN ci-dessus l'adresse IPv6 affectée au ppp0 n'est pas
204 8 Laurent GUERBY
> dans son /48; ce qui voudrait dire qu'il n'y a pas de raison d'affecter
205 8 Laurent GUERBY
> une IPv6 du /56 au eth0 des VM tetaneutral.
206 8 Laurent GUERBY
> 
207 8 Laurent GUERBY
> 2) Pour faire marcher une telle config à FDN, le routeur FDN en amont du
208 8 Laurent GUERBY
> modem/routeur de l'abonné devrait avoir une route du type:
209 8 Laurent GUERBY
> ip -6 route add range/48 dev ppp-abonné via link-local-ppp-abonné
210 8 Laurent GUERBY
> soit chez nous:
211 8 Laurent GUERBY
> ip -6 route add range/56 dev eth0-vm via link-local-eth0-vm
212 8 Laurent GUERBY
> 
213 8 Laurent GUERBY
> > du /56 via une interconnection explicite entre le routeur de
214 8 Laurent GUERBY
> > tetaneutral.net et un routeur chez le membre ?
215 8 Laurent GUERBY
> 
216 8 Laurent GUERBY
> Un lien openvpn?
217 8 Laurent GUERBY
218 8 Laurent GUERBY
Bonsoir,
219 8 Laurent GUERBY
220 8 Laurent GUERBY
On peut rajouter une regle de routage comme tu le suggere,
221 8 Laurent GUERBY
reste a choisir les details pratiques.
222 8 Laurent GUERBY
223 8 Laurent GUERBY
Pour la link-local coté routeur on a choisi fe80::31 en statique il
224 8 Laurent GUERBY
reste a choisir une regle pour attribuer le link local coté client. 
225 8 Laurent GUERBY
226 8 Laurent GUERBY
Une regle automatique basée sur l'IPv4 est en place pour
227 8 Laurent GUERBY
l'attribution du subnet IPv6 :
228 8 Laurent GUERBY
229 8 Laurent GUERBY
http://wiki.tetaneutral.net/index.php/Architecture
230 8 Laurent GUERBY
231 8 Laurent GUERBY
Une regle similaire pour le routage donnerait par exemple fe80::81:XY
232 8 Laurent GUERBY
ou XY est le dernier octet de l'IPv4 ecrit en hexadecimal
233 8 Laurent GUERBY
pour la link local coté client.
234 8 Laurent GUERBY
235 8 Laurent GUERBY
L'avantage d'une regle statique vs le SLAAC c'est que c'est un peu plus
236 8 Laurent GUERBY
flexible coté client sur le choix de l'equipement routeur.
237 8 Laurent GUERBY
238 8 Laurent GUERBY
L'avantage du routé est bien sur la flexibilité et la sécurisation
239 8 Laurent GUERBY
potentielle, l'inconvenient est qu'avec nos equipements actuels peu
240 8 Laurent GUERBY
puissant on perdra un peu en debit mais ça se corrigera avec
241 8 Laurent GUERBY
de nouveaux equipements.
242 8 Laurent GUERBY
243 8 Laurent GUERBY
Je suis vraiment curieux de savoir comment font les autres hebergeurs
244 8 Laurent GUERBY
dans le monde IPv6, ceux auxquels j'ai acces ne proposent pas de
245 8 Laurent GUERBY
routage, simplement ce que propose tetaneutral.net actuellement.
246 8 Laurent GUERBY
247 8 Laurent GUERBY
Suggestions ?
248 8 Laurent GUERBY
249 15 Bernard Urban
h2. Connectivité IPv6 complète depuis chez vous en quelques étapes simples
250 9 Bernard Urban
251 10 Bernard Urban
Connectivité complète signifie que toutes vos machines pouvant fonctionner en IPv6 peuvent accéder des sites IPv6 externes mais surtout être joignables de l'extérieur sur une adresse IPv6 propre. Pas de NAT ou autre bidouille de ce genre. Implications en terme d'autohébergement et sécurité laissées en exercice. 
252 9 Bernard Urban
253 11 Bernard Urban
Pour bien comprendre ce qui suit, il est recommandé d'avoir un peu potassé les hyperliens plus haut et mieux encore d'avoir joué avec l'IPv6 sur votre réseau local maison en utilisant par exemple des adresses ULA.
254 1 Laurent GUERBY
255 10 Bernard Urban
h3. Etape 1: obtenir une machine virtuelle Tetaneutral. 
256 10 Bernard Urban
257 10 Bernard Urban
Celle-ci (on l'appellera VM dans la suite) sera configurée par défaut comme suit dans /etc/network/interfaces du point de vue IPv6:
258 1 Laurent GUERBY
<pre>
259 1 Laurent GUERBY
iface eth0 inet6 static
260 57 Bernard Urban
   # les 2 lignes qui suivent ne seront pas nécessaires lorsque 
261 57 Bernard Urban
   # plus loin nous passerons en mode routeur
262 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
263 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
264 9 Bernard Urban
   address 2a01:6600:80XX:YY00::1
265 1 Laurent GUERBY
   netmask 56
266 1 Laurent GUERBY
   gateway fe80::31
267 1 Laurent GUERBY
</pre>
268 1 Laurent GUERBY
269 1 Laurent GUERBY
où XX et YY sont les versions hexadécimales des xx et yy décimaux de votre (unique!) adresse IPv4 de la forme 91.224.xx.yy.
270 10 Bernard Urban
271 11 Bernard Urban
Voyons ce qu'implique la prise en compte par le système de ce fragment de /etc/network/interfaces. Il dit que:
272 10 Bernard Urban
# l'adresse 2a01:6600:80XX:YY00::1 est affectée à eth0, ce qui signifie que votre VM est accessible à cette adresse depuis l'intérieur de la VM comme depuis l'extérieur par toutes les machines du même segment réseau que eth0
273 10 Bernard Urban
# les paquets passant par votre VM peuvent atteindre les adresses de la plage 2a01:6600:80XX:YY00::/56 en étant envoyés en sortie de l'interface eth0
274 10 Bernard Urban
275 10 Bernard Urban
La plage 2a01:6600:80XX:YY00::/56 a été allouée par tetaneutral à votre VM. Notre problème est d'allouer une partie de ces adresses à des machines de notre domicile en utilisant l'accès que nous avons (en IPv4!) à la VM.
276 1 Laurent GUERBY
277 1 Laurent GUERBY
Avec cette configuration, vous pouvez héberger sur la VM des milliards de serveurs avec des adresses IPv6 différentes, il suffit de les ajouter à eth0 par une commande du type:
278 10 Bernard Urban
<pre>
279 57 Bernard Urban
ip -6 address add une-adresse-ipv6-de-votre-plage/56 dev eth0
280 10 Bernard Urban
</pre>
281 11 Bernard Urban
Le /56 n'est pas absolument nécessaire, il évite juste de rajouter une route plus spécifique pour atteindre votre nouvelle adresse IPv6 depuis votre VM, route qui s'avère redondante.
282 10 Bernard Urban
283 1 Laurent GUERBY
Le lecteur attentif aura noté que cette configuration déclare que toutes les adresses de votre plage sont situées derrière eth0, en dehors de la partie contrôlée par votre VM, et il semble impossible alors d'en distraire une partie. Il y a au moins deux solutions à ce problème:
284 1 Laurent GUERBY
# S'arranger pour que les segments réseau de votre domicile fassent partie de celui partant de eth0 sur la VM. Celà revient techniquement à bridger ces segments réseaux. Cette solution a cependant des inconvénients en terme de configurabilité et de sécurité.
285 12 Bernard Urban
# Réduire la plage IPv6 allouée derrière l'eth0 de la VM et réallouer le solde à votre réseau local maison, par des techniques de routage. C'est ce qu'on va décrire dans la suite. Mais d'abord, on a besoin d'un peu de collaboration de Tetaneutral. 
286 1 Laurent GUERBY
287 11 Bernard Urban
h3. Etape 2: faire router votre plage /56 par Tetaneutral.
288 1 Laurent GUERBY
289 11 Bernard Urban
Dans la configuration par défaut des VM Tetaneutral, l'hôte des VM crée la route vers l'adresse 2a01:6600:80XX:YY00::1 (et des autres que vous rajoutez éventuellement à la main sur eth0) par l'utilisation de l'équivalent IPv6 d'ARP. Il est donc impossible de router vers une adresse qui n'existe pas sur cet eth0. 
290 11 Bernard Urban
291 11 Bernard Urban
Tetaneutral doit donc rajouter une route explicite:
292 11 Bernard Urban
<pre>
293 11 Bernard Urban
ip -6 route add 2a01:6600:80XX:YY00::/56 via fe80::XX:YY dev votre-eth0-côté-hôte
294 11 Bernard Urban
</pre>
295 11 Bernard Urban
296 1 Laurent GUERBY
Celà n'a de sens que si fe80::XX:YY une des adresses de l'eth0 côté VM. Il faut donc l'ajouter et le mieux est de le faire via une directive 'up' dans /etc/network/interfaces:
297 1 Laurent GUERBY
<pre>
298 1 Laurent GUERBY
iface eth0 inet6 static
299 57 Bernard Urban
   # les 2 lignes qui suivent ne seront pas nécessaires lorsque 
300 57 Bernard Urban
   # plus loin nous passerons en mode routeur
301 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
302 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
303 11 Bernard Urban
   address 2a01:6600:80XX:YY00::1
304 11 Bernard Urban
   netmask 64
305 11 Bernard Urban
   gateway fe80::31   
306 11 Bernard Urban
   up ip -6 add add fe80::XX:YY dev eth0
307 1 Laurent GUERBY
</pre>
308 11 Bernard Urban
309 14 Bernard Urban
Mon lecteur toujours très attentif n'aura pas manqué de noter que netmask ci-dessus est passé de 56 à 64. Nous n'allouons donc maintenant plus toutes nos adresses IPv6 sur le segment réseau partant d'eth0. En particulier, nous allons voir maintenant comment récupérer la sous-plage 2a01:6600:80XX:YY01::/64 pour notre réseau à domicile. 
310 1 Laurent GUERBY
311 14 Bernard Urban
+Remarque:+ la sous-plage doit être /64, sinon l'adressage automatique des interfaces réseau qu'on verra plus loin ne marchera pas.
312 12 Bernard Urban
313 13 Bernard Urban
h3. Etape 3: simuler un lien ethernet entre une machine à domicile et cette VM.
314 1 Laurent GUERBY
315 11 Bernard Urban
Les technologies VPN/tunnel sont le pendant réseau des machines virtuelles: elles permettent de créer des interfaces réseaux virtuelles (du point de vue hardware, mais bien réelles d'un point de vue logiciel) et de les connecter entre elles. 
316 1 Laurent GUERBY
317 12 Bernard Urban
Tout comme les machines virtuelles nécessitent quand même un minimum de support silicium, un VPN/tunnel va nécessiter de s'appuyer sur une vraie liaison entre deux vraies interfaces réseau, en l'occurence pour nous la liaison internet IPv4 entre autre utilisée pour l'administration de la VM depuis votre domicile. Plus précisément, nous allons utiliser l'outil openvpn.
318 11 Bernard Urban
319 11 Bernard Urban
La première étape va consister à installer openvpn en mode serveur sur la VM. Le fichier suivant est à créer dans /etc/openvpn/myris.conf:
320 11 Bernard Urban
<pre>
321 11 Bernard Urban
dev tap
322 11 Bernard Urban
proto udp
323 11 Bernard Urban
local 91.224.xx.yy
324 11 Bernard Urban
float
325 11 Bernard Urban
ca myris/ca.crt
326 11 Bernard Urban
cert myris/myris.crt
327 11 Bernard Urban
key myris/myris.key
328 11 Bernard Urban
dh myris/dh1024.pem
329 11 Bernard Urban
tls-server
330 11 Bernard Urban
port 1194
331 11 Bernard Urban
ping 15
332 11 Bernard Urban
ping-restart 45
333 11 Bernard Urban
# car serveur
334 11 Bernard Urban
ping-timer-rem
335 11 Bernard Urban
persist-tun
336 11 Bernard Urban
persist-key
337 11 Bernard Urban
ifconfig 10.0.0.2 255.255.255.252
338 11 Bernard Urban
route ipv4-adresse-client-openvpn-domicile 255.255.255.255 10.0.0.1
339 11 Bernard Urban
script-security 3 system
340 11 Bernard Urban
route-up "/sbin/ip -6 addr add 2a01:6600:80XX:YY01::1/64 dev tap0"
341 11 Bernard Urban
</pre>
342 11 Bernard Urban
343 11 Bernard Urban
+Remarque:+ le paramètre route-up contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Cette commande est nécessaire pour créer sur la VM une route vers la bonne interface pour la plage 2a01:6600:80XX:YY01::/64. Pour que le serveur openvpn soit toujours présent, il faut ajouter
344 11 Bernard Urban
<pre>
345 11 Bernard Urban
AUTOSTART="myris"
346 11 Bernard Urban
</pre>
347 11 Bernard Urban
à /etc/default/openvpn.
348 11 Bernard Urban
349 11 Bernard Urban
Sur la machine à domicile, il faut une installation en mode client, pourquoi pas le même nom de fichier que le serveur, mais pas le même contenu:
350 11 Bernard Urban
<pre>
351 11 Bernard Urban
dev tap
352 11 Bernard Urban
proto udp
353 11 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
354 11 Bernard Urban
remote 91.224.xx.yy
355 11 Bernard Urban
ca myris/ca.crt
356 11 Bernard Urban
cert myris/client.crt
357 11 Bernard Urban
key myris/client.key
358 11 Bernard Urban
tls-client
359 11 Bernard Urban
port 1194
360 11 Bernard Urban
ping 15
361 11 Bernard Urban
ping-restart 45
362 11 Bernard Urban
persist-tun
363 11 Bernard Urban
persist-key
364 1 Laurent GUERBY
ifconfig 10.0.0.1 255.255.255.252
365 11 Bernard Urban
route 0.0.0.0 0.0.0.0 10.0.0.2
366 1 Laurent GUERBY
</pre>
367 1 Laurent GUERBY
368 15 Bernard Urban
L'adresse ipv4-adresse-client-openvpn-domicile est toute adresse qui permet d'accéder Internet depuis la machine accueillant l'openvpn client; en général, ce ne sera donc pas votre adresse IP externe allouée par votre FAI, elle sera plutôt du genre 192.168.*.*. ou 10.*.*.*. Il est supposé bien sûr dans l'exemple ci-dessus que vous n'utilisez pas 10.0.0.0/30 chez vous, elle a été réservée au lien openvpn. 
369 1 Laurent GUERBY
370 14 Bernard Urban
Les répertoires /etc/openvpn/myris sur VM et machine cliente contiendront les divers certificats et clés, qu'il faut générer. Voici comment faire:
371 14 Bernard Urban
<pre>
372 14 Bernard Urban
cd un-répertoire de travail
373 14 Bernard Urban
cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/ .
374 14 Bernard Urban
cd 2.0
375 14 Bernard Urban
# Editez à votre convenance les 5 dernières variables d'environnement de type KEY_* du fichier vars
376 14 Bernard Urban
source ./vars
377 14 Bernard Urban
./clean-all
378 14 Bernard Urban
./build-dh
379 14 Bernard Urban
./pkitool --initca
380 14 Bernard Urban
./pkitool --server myris
381 14 Bernard Urban
./pkitool client
382 14 Bernard Urban
</pre>
383 14 Bernard Urban
384 14 Bernard Urban
et les fichiers recherchés se trouvent dans le sous-répertoire keys. Le seul fichier commun aux 2 extrémités du lien openvpn est ca.crt.
385 14 Bernard Urban
386 12 Bernard Urban
h3. Etape 4: passer la VM en mode routeur et annoncer des routes pour votre réseau à domicile avec radvd.
387 11 Bernard Urban
388 1 Laurent GUERBY
Pour autoriser les paquets à être routés sur la VM entre eth0 et tap0, il faut passer en mode routeur:
389 1 Laurent GUERBY
<pre>
390 58 Bernard Urban
echo 1 >/proc/sys/net/ipv6/conf/all/forwarding
391 1 Laurent GUERBY
</pre>
392 57 Bernard Urban
393 57 Bernard Urban
Il est encore mieux de conserver ce mode au reboot en rajoutant la ligne:
394 57 Bernard Urban
<pre>
395 57 Bernard Urban
net.ipv6.conf.all.forwarding=1
396 1 Laurent GUERBY
</pre>
397 58 Bernard Urban
398 57 Bernard Urban
dans le fichier "/etc/sysctl.conf"
399 57 Bernard Urban
400 57 Bernard Urban
Cette option entraine aussi que votre VM ne s'autoconfigure plus en IPv6 (i.e. les lignes "pre-up" vues plus haut dans "/etc/network/interfaces" ne sont plus nécessaires).
401 1 Laurent GUERBY
402 12 Bernard Urban
Nous allons maintenant mettre en place une configuration automatique d'adresses IPv6 de toutes les machines du segment réseau partant du tap0 de la VM (soit le tap0 du client openvpn, mais après l'étape suivante toutes les interfaces de votre réseau local). Nous utiliserons pour celà l'outil radvd, avec le fichier de configuration /etc/radvd.conf:
403 11 Bernard Urban
<pre>
404 11 Bernard Urban
interface tap0
405 11 Bernard Urban
{
406 12 Bernard Urban
  IgnoreIfMissing on;
407 11 Bernard Urban
  AdvSendAdvert on;
408 11 Bernard Urban
  AdvLinkMTU 1280;
409 11 Bernard Urban
  prefix 2a01:6600:80XX:YY01::/64
410 11 Bernard Urban
  {
411 1 Laurent GUERBY
    AdvOnLink on;
412 11 Bernard Urban
    AdvAutonomous on;
413 11 Bernard Urban
  };
414 1 Laurent GUERBY
};
415 1 Laurent GUERBY
</pre>
416 11 Bernard Urban
417 12 Bernard Urban
+Remarque:+ le fichier contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Par ailleurs, il est possible d'interdire à une machine de s'autoconfigurer, mais ce n'est pas le défaut pour Linux et j'ai supposé que vous ne l'avez pas modifié. 
418 11 Bernard Urban
419 13 Bernard Urban
h3. Etape 5: bridger les interfaces réseau du client openvpn
420 1 Laurent GUERBY
421 1 Laurent GUERBY
A ce stade, la machine openvpn cliente peut accéder l'internet IPv6, car radvd aura placé une route par défaut via son tap0. Si vous bridgez maintenant ce tap0 avec son eth0 (normalement relié au reste de votre réseau local), toutes les machines de ce réseau local vont s'assigner au bout de quelques minutes une adresse tirée de la plage 2a01:6600:80XX:YY01::/64, et une route par défaut via le tap0 du client openvpn: c'est ce qu'on voulait obtenir.
422 13 Bernard Urban
423 13 Bernard Urban
Voici les incantations magiques nécessaires:
424 13 Bernard Urban
<pre>
425 13 Bernard Urban
# on suppose qu'eth0 a l'adresse 192.168.0.1/24
426 13 Bernard Urban
brctl addbr br0
427 13 Bernard Urban
brctl addif br0 eth0
428 1 Laurent GUERBY
brctl addif br0 tap0
429 1 Laurent GUERBY
# à ce stade, le machine hébergeant le client openvpn n'est plus adressable
430 1 Laurent GUERBY
# mais il est dans la plupart des cas utile de lui en redonner une, en général celle d'eth0  
431 1 Laurent GUERBY
ip addr add 192.168.0.1/24 dev br0
432 1 Laurent GUERBY
</pre>
433 14 Bernard Urban
434 16 Bernard Urban
Il peut être intéressant de bridger par défaut eth0 et un tap0 prédéfini sur br0 dès le boot par une section de ce type dans /etc/network/interfaces: 
435 14 Bernard Urban
<pre>
436 14 Bernard Urban
auto br0
437 14 Bernard Urban
iface br0 inet static
438 14 Bernard Urban
    address 192.168.1.10
439 14 Bernard Urban
    netmask 255.255.255.0
440 1 Laurent GUERBY
    broadcast 192.168.0.255
441 1 Laurent GUERBY
    gateway 192.168.1.1
442 16 Bernard Urban
    bridge_ports eth0 tap0
443 16 Bernard Urban
    pre-up tunctl -t tap0
444 15 Bernard Urban
</pre> 
445 16 Bernard Urban
où la section 'iface br0' remplace 'iface eth0'.
446 1 Laurent GUERBY
447 16 Bernard Urban
Il faut ensuite modifier le configuration cliente /etc/openvpn/myris.conf comme suit:
448 1 Laurent GUERBY
<pre>
449 16 Bernard Urban
# on définit explicitement le tap0
450 16 Bernard Urban
dev tap0
451 16 Bernard Urban
proto udp
452 16 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
453 16 Bernard Urban
remote 91.224.xx.yy
454 16 Bernard Urban
ca myris/ca.crt
455 16 Bernard Urban
cert myris/client.crt
456 16 Bernard Urban
key myris/client.key
457 16 Bernard Urban
tls-client
458 16 Bernard Urban
port 1194
459 16 Bernard Urban
ping 15
460 16 Bernard Urban
ping-restart 45
461 16 Bernard Urban
persist-tun
462 16 Bernard Urban
persist-key
463 16 Bernard Urban
# ifconfig et route ont disparus et sont remplacés par ce qui suit, 
464 16 Bernard Urban
# qui fait la même chose appliqué à br0 et non pas tap0
465 1 Laurent GUERBY
script-security 3 system
466 16 Bernard Urban
up /etc/openvpn/myris-up.sh
467 16 Bernard Urban
down /etc/openvpn/myris-down.sh
468 1 Laurent GUERBY
</pre> 
469 16 Bernard Urban
470 16 Bernard Urban
où /etc/openvpn/myris-up.sh vaut:
471 16 Bernard Urban
<pre>
472 16 Bernard Urban
#! /bin/sh
473 16 Bernard Urban
/sbin/ip addr add 10.0.0.1/30 dev br0
474 16 Bernard Urban
</pre>
475 16 Bernard Urban
et /etc/openvpn/myris-down.sh vaut:
476 16 Bernard Urban
<pre>
477 16 Bernard Urban
#! /bin/sh
478 16 Bernard Urban
/sbin/ip addr del 10.0.0.1/30 dev br0
479 16 Bernard Urban
</pre>
480 16 Bernard Urban
481 16 Bernard Urban
+Remarque:+ ne pas oublier de lancer:
482 16 Bernard Urban
<pre>
483 16 Bernard Urban
chmod 755 /etc/openvpn/myris-down.sh /etc/openvpn/myris-down.sh
484 16 Bernard Urban
</pre>
485 16 Bernard Urban
486 16 Bernard Urban
Il est à noter que l'apparition des adresses et routes IPv6 peut prendre un dizaine de minutes après l'établissemnt du tunnel openvpn, et de même leur disparation n'est complète qu'au bout de 24h. Tout celà est réglable via /etc/radvd.conf sur la VM.
487 8 Laurent GUERBY
488 52 Laurent GUERBY
h2. ip6tables
489 52 Laurent GUERBY
490 52 Laurent GUERBY
Via Philippe Latu du projet http://www.inetdoc.net/
491 52 Laurent GUERBY
492 52 Laurent GUERBY
<pre>
493 52 Laurent GUERBY
*filter
494 52 Laurent GUERBY
:INPUT DROP [0:0]
495 52 Laurent GUERBY
:FORWARD DROP [0:0]
496 52 Laurent GUERBY
:OUTPUT ACCEPT [0:0]
497 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
498 52 Laurent GUERBY
# C H A I N E   I N P U T
499 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
500 52 Laurent GUERBY
# suivi de communication
501 52 Laurent GUERBY
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
502 52 Laurent GUERBY
# ICMPv6
503 52 Laurent GUERBY
-A INPUT -p icmpv6 -m state --state NEW -m limit --limit 5/sec -j ACCEPT
504 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-solicitation -j ACCEPT
505 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-advertisement -j 
506 52 Laurent GUERBY
ACCEPT
507 52 Laurent GUERBY
# Filtrage paquets avec en-tête de routage de type 0
508 52 Laurent GUERBY
-A INPUT -m rt --rt-type 0 -j DROP
509 52 Laurent GUERBY
# Autorisation trafic multicast
510 52 Laurent GUERBY
-A INPUT -d ff00::/8 -j ACCEPT
511 52 Laurent GUERBY
# communication loopback
512 52 Laurent GUERBY
-A INPUT -i lo -m state --state NEW -j ACCEPT
513 52 Laurent GUERBY
# communication instances virtuelles
514 52 Laurent GUERBY
-A INPUT -i tap+ -m state --state NEW -j ACCEPT
515 52 Laurent GUERBY
# communication interne
516 52 Laurent GUERBY
-A INPUT -i bond0.+ -m state --state NEW -j ACCEPT
517 52 Laurent GUERBY
# SSH port 2222
518 52 Laurent GUERBY
-A INPUT -p tcp --syn --dport 2222 -m state --state NEW -j ACCEPT
519 52 Laurent GUERBY
# poubelle
520 52 Laurent GUERBY
-A INPUT -j LOG --log-prefix "INPUT/rejected.ip6tables: "
521 52 Laurent GUERBY
-A INPUT -m state --state INVALID -m limit --limit 5/min -j LOG --log-prefix "INPUT/invalid.ip6tables: "
522 52 Laurent GUERBY
-A INPUT -m state --state INVALID -j DROP
523 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
524 52 Laurent GUERBY
# C H A I N E   F O R W A R D
525 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
526 52 Laurent GUERBY
# suivi de communication
527 52 Laurent GUERBY
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
528 52 Laurent GUERBY
# ICMPv6
529 52 Laurent GUERBY
-A FORWARD -p ipv6-icmp -m state --state NEW -m limit --limit 5/sec -j  ACCEPT
530 52 Laurent GUERBY
# Filtrage paquets avec en-tête de routage de type 0
531 52 Laurent GUERBY
-A FORWARD -m rt --rt-type 0 -j DROP
532 52 Laurent GUERBY
# Autorisation trafic multicast
533 52 Laurent GUERBY
-A FORWARD -d ff00::/8 -j ACCEPT
534 52 Laurent GUERBY
# communication loopback
535 52 Laurent GUERBY
-A FORWARD -i lo -m state --state NEW -j ACCEPT
536 52 Laurent GUERBY
# communication instances virtuelles
537 52 Laurent GUERBY
-A FORWARD -i tap+ -m state --state NEW -j ACCEPT
538 52 Laurent GUERBY
# communication réseaux de TP
539 52 Laurent GUERBY
-A FORWARD -i bond0.+ -m state --state NEW -j ACCEPT
540 52 Laurent GUERBY
# poubelle
541 52 Laurent GUERBY
-A FORWARD -m state --state INVALID -m limit --limit 5/min -j LOG  --log-prefix "INPUT/invalid.ip6tables: "
542 52 Laurent GUERBY
-A FORWARD -m state --state INVALID -j DROP
543 52 Laurent GUERBY
COMMIT
544 52 Laurent GUERBY
</pre>
545 52 Laurent GUERBY
546 52 Laurent GUERBY
547 52 Laurent GUERBY
548 6 Laurent GUERBY
h2. FAQ
549 6 Laurent GUERBY
550 18 Laurent GUERBY
h3. Reverse DNS
551 18 Laurent GUERBY
552 19 Laurent GUERBY
En IPv6 tetaneutral.net peut deleguer le reverse du /56. Il faut configurer bind sur une ou plusieurs de vos machines, nous donner son CNAME, par exemple ns1.chezmoi.net et ns2.chezmoi.net, et mettre les fichiers suivant dans /etc/bind/ :
553 19 Laurent GUERBY
554 18 Laurent GUERBY
named.conf.local
555 18 Laurent GUERBY
<pre>
556 18 Laurent GUERBY
zone "1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
557 18 Laurent GUERBY
	type master;
558 18 Laurent GUERBY
	file "/etc/bind/db.ip6-81";
559 18 Laurent GUERBY
};
560 18 Laurent GUERBY
</pre>
561 18 Laurent GUERBY
562 18 Laurent GUERBY
db.ip6-81
563 18 Laurent GUERBY
<pre>
564 18 Laurent GUERBY
; -*- mode: zone; -*-
565 18 Laurent GUERBY
;
566 18 Laurent GUERBY
; BIND reverse data file for broadcast zone
567 18 Laurent GUERBY
;
568 18 Laurent GUERBY
$TTL    3600
569 18 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
570 18 Laurent GUERBY
                        2011070301      ; serial
571 18 Laurent GUERBY
                         7200         ; Refresh
572 18 Laurent GUERBY
                          3600         ; Retry
573 18 Laurent GUERBY
                        1800000         ; Expire
574 18 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
575 18 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
576 18 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
577 18 Laurent GUERBY
578 1 Laurent GUERBY
; reverse
579 18 Laurent GUERBY
$ORIGIN 0.0.e.c.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
580 1 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     www6.tetaneutral.net.
581 18 Laurent GUERBY
582 18 Laurent GUERBY
; delegations /56
583 47 Laurent GUERBY
$ORIGIN 1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
584 47 Laurent GUERBY
1.9 86400 IN NS   hoersch.kneissel.org.
585 47 Laurent GUERBY
1.9 86400 IN NS   serveur.kneissel.org.
586 47 Laurent GUERBY
e.8 86400 IN NS   dns.kafe-in.net.
587 18 Laurent GUERBY
</pre>
588 47 Laurent GUERBY
589 47 Laurent GUERBY
Merci a Matthieu Herrb pour la délégation de reverse /56.
590 1 Laurent GUERBY
591 70 Laurent GUERBY
Coté utilisateur dans son bind :
592 70 Laurent GUERBY
593 70 Laurent GUERBY
Dans /etc/bind/named.conf.local
594 70 Laurent GUERBY
595 70 Laurent GUERBY
<pre>
596 70 Laurent GUERBY
zone "X.Y.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
597 70 Laurent GUERBY
	type master;
598 70 Laurent GUERBY
	file "/etc/bind/db.ip6-XY";
599 70 Laurent GUERBY
};
600 70 Laurent GUERBY
601 70 Laurent GUERBY
</pre>
602 70 Laurent GUERBY
603 70 Laurent GUERBY
/etc/bind/db.ip6-XY
604 70 Laurent GUERBY
<pre>
605 70 Laurent GUERBY
; -*- mode: zone; -*-
606 70 Laurent GUERBY
;
607 70 Laurent GUERBY
; BIND reverse data file for broadcast zone
608 70 Laurent GUERBY
;
609 70 Laurent GUERBY
$TTL    3600
610 70 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
611 70 Laurent GUERBY
                        2011120700      ; serial
612 70 Laurent GUERBY
                         7200         ; Refresh
613 70 Laurent GUERBY
                          3600         ; Retry
614 70 Laurent GUERBY
                        1800000         ; Expire
615 70 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
616 70 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
617 70 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
618 70 Laurent GUERBY
619 70 Laurent GUERBY
$ORIGIN 0.0.X.Y.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
620 70 Laurent GUERBY
621 70 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a1.tetaneutral.net.
622 70 Laurent GUERBY
2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a2.tetaneutral.net.
623 70 Laurent GUERBY
3.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a3.tetaneutral.net.
624 70 Laurent GUERBY
</pre>
625 70 Laurent GUERBY
626 34 Laurent GUERBY
h3. CCNA et link-local
627 18 Laurent GUERBY
628 34 Laurent GUERBY
Merci à Jérôme Nicolle:
629 17 Laurent GUERBY
630 17 Laurent GUERBY
http://www.freeccnaworkbook.com/labs/section-12-configuring-ipv6/lab-12-3-configuring-ipv6-static-routing/
631 17 Laurent GUERBY
632 17 Laurent GUERBY
> Unlike IPv4 static routing, with IPv6 you have the ability to use either the global unicast address or link-local address as the next hop in the static route statement. When working with IPv6 dynamic routing protocols which will be discussed in the next 2 labs, the next hop will be the neighbors link-local IPv6 address and not their global unique assigned ipv6 address. However when configuring a static route with a link-local IPv6 address as the next hop you must specify the egress interface. For all intensive purposes, using either/or will achieve the same desired effect.
633 17 Laurent GUERBY
634 50 Laurent GUERBY
h3. Comment éviter d'utiliser une IPv6 non routée ?
635 17 Laurent GUERBY
636 50 Laurent GUERBY
Sur un IX en général les adresses sont non routées donc il faut éviter de les utiliser, pour cela on utilise "preferred_lft 0" :
637 50 Laurent GUERBY
638 50 Laurent GUERBY
http://www.davidc.net/networking/ipv6-source-address-selection-linux
639 50 Laurent GUERBY
640 50 Laurent GUERBY
<pre>
641 50 Laurent GUERBY
ip -6 a add 2001:7f8:59:0:75::15/96 dev eth0.502 preferred_lft 0
642 50 Laurent GUERBY
</pre>
643 34 Laurent GUERBY
h3. Comment pinguer une addresse link local ?
644 6 Laurent GUERBY
645 34 Laurent GUERBY
 
646 6 Laurent GUERBY
<pre>
647 6 Laurent GUERBY
ping6 fe80::31%eth0
648 1 Laurent GUERBY
</pre>
649 40 Mehdi Abaakouk
650 40 Mehdi Abaakouk
h3. zones reverses ipv6 manquante dans bind (ie: ::1)
651 40 Mehdi Abaakouk
652 40 Mehdi Abaakouk
Dans bind par défaut les zones pour ::1 sont vide pour les ajouter:
653 40 Mehdi Abaakouk
654 40 Mehdi Abaakouk
<pre>
655 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::.arpa
656 40 Mehdi Abaakouk
;
657 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
658 40 Mehdi Abaakouk
;
659 40 Mehdi Abaakouk
$TTL    604800
660 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
661 40 Mehdi Abaakouk
                              8         ; Serial
662 40 Mehdi Abaakouk
                         604800         ; Refresh
663 40 Mehdi Abaakouk
                          86400         ; Retry
664 40 Mehdi Abaakouk
                        2419200         ; Expire
665 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
666 40 Mehdi Abaakouk
;
667 40 Mehdi Abaakouk
@       IN      NS      localhost.
668 40 Mehdi Abaakouk
1       IN      PTR     localhost.
669 40 Mehdi Abaakouk
</pre>
670 40 Mehdi Abaakouk
671 40 Mehdi Abaakouk
<pre>
672 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::1.arpa
673 40 Mehdi Abaakouk
;
674 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
675 40 Mehdi Abaakouk
;
676 40 Mehdi Abaakouk
$TTL    604800
677 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
678 40 Mehdi Abaakouk
                              8         ; Serial
679 40 Mehdi Abaakouk
                         604800         ; Refresh
680 40 Mehdi Abaakouk
                          86400         ; Retry
681 40 Mehdi Abaakouk
                        2419200         ; Expire
682 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
683 40 Mehdi Abaakouk
;
684 40 Mehdi Abaakouk
@       IN      NS      localhost.
685 40 Mehdi Abaakouk
@       IN      PTR     localhost.
686 40 Mehdi Abaakouk
</pre>
687 40 Mehdi Abaakouk
688 40 Mehdi Abaakouk
<pre>
689 40 Mehdi Abaakouk
# cat /etc/bind/named.conf.default-zones.v6
690 40 Mehdi Abaakouk
691 40 Mehdi Abaakouk
zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
692 40 Mehdi Abaakouk
        type master;
693 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::.arpa";
694 40 Mehdi Abaakouk
};
695 40 Mehdi Abaakouk
696 40 Mehdi Abaakouk
zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
697 40 Mehdi Abaakouk
        type master;
698 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::1.arpa";
699 40 Mehdi Abaakouk
};
700 40 Mehdi Abaakouk
</pre>
701 40 Mehdi Abaakouk
702 40 Mehdi Abaakouk
Et on ajoute ca dans /etc/bind/named.conf: 
703 40 Mehdi Abaakouk
<pre>
704 40 Mehdi Abaakouk
include "/etc/bind/named.conf.default-zones.v6";
705 40 Mehdi Abaakouk
</pre>
706 42 Mehdi Abaakouk
707 42 Mehdi Abaakouk
h3. Envoie d'un Router Advertissement avec scapy pour virer une route auto apprise (Attention à n'utiliser que si on sait ce qu'on fait ! )
708 42 Mehdi Abaakouk
709 42 Mehdi Abaakouk
Création de trame ipv6, ipv6 src est celle du router à spoffer
710 42 Mehdi Abaakouk
711 42 Mehdi Abaakouk
<pre>
712 42 Mehdi Abaakouk
a = IPv6()
713 42 Mehdi Abaakouk
a.src = "fe80::dcad:4dff:fe0b:8a5"
714 42 Mehdi Abaakouk
a.dst = "ff02::1"
715 42 Mehdi Abaakouk
</pre>
716 42 Mehdi Abaakouk
717 42 Mehdi Abaakouk
La trame sera un RA avec un lifetime de 0, comme indiquer dans la rfc2461:
718 42 Mehdi Abaakouk
"Lifetime of 0 indicates that the router is not a default router and SHOULD NOT appear on the default router list."
719 42 Mehdi Abaakouk
720 42 Mehdi Abaakouk
<pre>
721 42 Mehdi Abaakouk
b = ICMPv6ND_RA() 
722 42 Mehdi Abaakouk
b.routerlifetime = 0
723 42 Mehdi Abaakouk
</pre>
724 42 Mehdi Abaakouk
725 42 Mehdi Abaakouk
Ensuite on fixe la adresse MAC à spoofer, celle du router original qui a envoyer le RA.
726 42 Mehdi Abaakouk
727 42 Mehdi Abaakouk
<pre>
728 42 Mehdi Abaakouk
c = ICMPv6NDOptSrcLLAddr() 
729 42 Mehdi Abaakouk
c.lladdr = "00:50:56:24:3b:c0"
730 42 Mehdi Abaakouk
</pre>
731 42 Mehdi Abaakouk
732 42 Mehdi Abaakouk
Ensuite on construire le contenu du RA, avec le prefix à annoncer (toujours celui à spoofer)
733 42 Mehdi Abaakouk
Avec le validlifetime et preferredlifetime à l'infinie, comme indiquer dans la rfc2461:
734 42 Mehdi Abaakouk
"A value of all one bits (0xffffffff) represents infinity"
735 42 Mehdi Abaakouk
736 42 Mehdi Abaakouk
<pre>
737 42 Mehdi Abaakouk
d = ICMPv6NDOptMTU() 
738 42 Mehdi Abaakouk
e = ICMPv6NDOptPrefixInfo() 
739 42 Mehdi Abaakouk
e.prefixlen = 64
740 42 Mehdi Abaakouk
e.prefix = "2a01:6600:8081:4300::"
741 42 Mehdi Abaakouk
e.validlifetime = 0xffffffff
742 42 Mehdi Abaakouk
e.preferredlifetime = 0xffffffff
743 42 Mehdi Abaakouk
</pre>
744 42 Mehdi Abaakouk
745 42 Mehdi Abaakouk
On envoie le tout:
746 42 Mehdi Abaakouk
747 42 Mehdi Abaakouk
<pre>
748 42 Mehdi Abaakouk
send(a/b/c/d/e)
749 42 Mehdi Abaakouk
</pre>
750 61 Laurent GUERBY
751 61 Laurent GUERBY
h3. PMTU
752 61 Laurent GUERBY
753 61 Laurent GUERBY
Try 'tracepath6' it will show you which hop is not returning a packet
754 61 Laurent GUERBY
too big for that path if needed. Also one can use a series of "ping6 -s
755 61 Laurent GUERBY
<size> -M do" to check if packets pass or not (if the destination allows
756 61 Laurent GUERBY
pings of course).
757 63 Laurent GUERBY
758 63 Laurent GUERBY
h2. IETF IPv6 security
759 63 Laurent GUERBY
760 63 Laurent GUERBY
From: Fernando Gont <fernando@gont.com.ar>
761 63 Laurent GUERBY
To: NANOG <nanog@nanog.org>
762 63 Laurent GUERBY
Subject: IPv6 security: New IETF I-Ds, slideware and videos of recent presentations, trainings, etc...
763 63 Laurent GUERBY
Date: Mon, 28 May 2012 22:17:33 -0300
764 63 Laurent GUERBY
765 63 Laurent GUERBY
Folks,
766 63 Laurent GUERBY
767 63 Laurent GUERBY
* We've published a new IETF I-D entitled "DHCPv6-Shield: Protecting
768 63 Laurent GUERBY
Against Rogue DHCPv6 Servers", which is meant to provide RA-Guard-like
769 63 Laurent GUERBY
protection against rogue DHCPv6 servers. The I-D is available at:
770 63 Laurent GUERBY
<http://tools.ietf.org/id/draft-gont-opsec-dhcpv6-shield-00.txt>
771 63 Laurent GUERBY
Other IPv6 security I-Ds (such as,
772 63 Laurent GUERBY
draft-ietf-v6ops-ra-guard-implementation) have been revised. Please
773 63 Laurent GUERBY
check them out at:
774 63 Laurent GUERBY
<http://www.si6networks.com/publications/ietf.html>
775 63 Laurent GUERBY
776 63 Laurent GUERBY
* The slideware (and some videos!) of some of our recent presentations
777 63 Laurent GUERBY
about IPv6 security are now available online. You can find them at:
778 63 Laurent GUERBY
<http://www.si6networks.com/presentations/index.html>
779 63 Laurent GUERBY
780 63 Laurent GUERBY
* We have also scheduled IPv6 hacking trainings in Paris (France) and
781 63 Laurent GUERBY
Ghent (Belgium). You can find more details at:
782 63 Laurent GUERBY
<http://www.si6networks.com/index.html#conferences>
783 63 Laurent GUERBY
784 63 Laurent GUERBY
Our Twitter: @SI6Networks
785 63 Laurent GUERBY
ipv6hackers mailing-list:
786 63 Laurent GUERBY
<http://lists.si6networks.com/listinfo/ipv6hackers/>
787 63 Laurent GUERBY
788 63 Laurent GUERBY
Thanks!
789 63 Laurent GUERBY
790 63 Laurent GUERBY
Best regards,
791 63 Laurent GUERBY
-- 
792 63 Laurent GUERBY
Fernando Gont
793 63 Laurent GUERBY
SI6 Networks
794 63 Laurent GUERBY
e-mail: fgont@si6networks.com
795 63 Laurent GUERBY
PGP Fingerprint: 6666 31C6 D484 63B2 8FB1 E3C4 AE25 0D55 1D4E 7492