Auteur Sujet: Free / Passage réseau local IPv6-only et NAT64 (6rd?)  (Lu 3266 fois)

0 Membres et 1 Invité sur ce sujet

patatorx

  • Abonné Free fibre
  • *
  • Messages: 3
  • Nanterre 92
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« le: 14 mars 2023 à 19:01:26 »
Bonjour,

Abonné chez Free depuis mon déménagement, j’utilise une Freebox Delta ainsi que le Free Player et j’ai décidé de passer tout le réseau à la maison en IPv6-only. J’ai auparavant écrit un post ([IPv6] Dépasser le premier /61 chez Free) pour voir comment récupérer le /60 de chez Free mais j’ai pour le moment abandonner l’idée, je pense entre autres rationnaliser mon réseau et utiliser quelques (peu je vous rassure) préfixes ULA. J’ai bien l’opportunité d’obtenir un /48 qu’un LIR veut bien m'octroyer cependant ce dernier n’a que de la connectivité 1Gbs à me proposer (par principe, cela m’embête de me brider et me priver de mon 10Gbs  :D)

Mais voilà, j’avoue que dans mon périple j’avais complètement oublié qu’il fallait quand même que je laisse mon réseau accéder à IPv4 sur Internet. Après de multiples lectures, j’ai fini par vouloir mettre en oeuvre du NAT64 à la maison. N’ayant pas d’équipement de libre sous la main disposant de 2 interfaces réseau, j’ai décidé de reconvertir un routeur Linksys sous OpenWRT, découvrant que celui-ci avait une implémentation de transition IPv4/IPv6 (IPv4/IPv6 transition technologies); OpenWRT propose plusieurs solution: 6rd, 6to4 et 6in4. A la lecture de l’article, et possédant une Full IP chez Free, il me semblerait naturel de me porter vers du 6rd, j’ai raison?

Ci-joint un rapide schéma de mon réseau cible

renaud07

  • Abonné Orange adsl
  • *
  • Messages: 3 371
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« Réponse #1 le: 14 mars 2023 à 20:09:58 »
Salut,

Pour tout passer en IPv6 only, fais déjà l'inventaire de tes applications, car certaines ne fonctionnent pas sans IPv4... exemple chez moi : le client lourd Spotify (capture ci-dessous). Avant de déployer pour rien, tu peux déjà tester avec un NAT64 public qu'avait linké simon : https://v6tools.kasperd.dk/nat64handoff/service

D'autre part, que vient faire le 6rd ici ? C'est pour récupérer le /48 du LIR ? Car si l'idée est abandonné tu n'en a pas besoin. Et d'ailleurs il doit falloir mettre en place le protocole qui leur convient, tu ne peux pas choisir celui que tu veux.

EDIT : ok j'ai compris où tu voulais en venir : ce n'est pas le 6rd, 6to4, ou 6in4 qui fait le NAT64 (dans ce cas ça sert juste à apporter une connectivité IPv6 tunnelisée dans IPv4, y'a toujours une dualstack), mais un programme à part entière. En l’occurrence, tayga ou jool  : https://github.com/cvmiller/nat64

vocograme

  • Abonné RED by SFR fibre FttH
  • *
  • Messages: 154
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« Réponse #2 le: 15 mars 2023 à 09:13:51 »
Comme le dit @renaud07 tu vas etre limité sur certaines applications. Le NAT64 (couplé à du DNS64) va te permettre d'accéder aux ressources IPv4 qui ont un nom de domaine :

- Le DNS64 "transforme" un enregistrement DNS qui ne donne qu'une IPv4 avec une IPv6 "fabriqué"
- Cette IPv6 sera utilisé par le NAT64 pour t'envoyer vers la bonne IPv4.

Tu comprends donc bien que si la cible est une IPv4 et non un NDD cela ne marche pas.

Il existe des mécanismes au niveau de l'appareil (le NAT64 étant géré par ton routeur) pour "transformer" une IPv4, par exemple le 464XLAT qui est pas mal implémenté sur les smartphones. Par contre je ne connais pas de PC l'utilisant.

vivien

  • Administrateur
  • *
  • Messages: 47 185
    • Twitter LaFibre.info
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« Réponse #3 le: 15 mars 2023 à 09:25:29 »
Il me semble que le 464XLAT est proposé par Windows 10 / 11, mais avec une limitation de taille : uniquement pour des connexions WAN IPv6 only et non pour des connexions LAN IPv6 only.

C'est dommage, car cela serait une solution pour des grandes entreprises qui retirent IPv4 de leur LAN.

ppn_sd

  • Abonné RED by SFR fibre FttH
  • *
  • Messages: 122
  • FLG (28190)
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« Réponse #4 le: 15 mars 2023 à 09:28:58 »
Je vois que tu as un vlan "Game". Aux dernières nouvelles, les Playstation par exemple ne supportent pas l'ipv6-only (mais peut-être y a-t-il une astuce quelque part ?).

simon

  • Abonné Orange Fibre
  • *
  • Messages: 935
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« Réponse #5 le: 15 mars 2023 à 10:36:13 »
Au lieu de tout migrer d'un coup, tu peux aussi procéder par étapes:
1) déploie le NAT64 + DNS64
2) observe le traffic (tcpdump, ou autre) sur chaque VLAN : y a-t-il encore du traffic IPv4 quelques jours après la migration, ou est-ce que tout le traffic v4 passe par le NAT64 ?
3) sur les VLAN dont tout le traffic est IPv6, tu peux désactiver IPv4 (DHCPv4, je suppose) sans problème
4) sur les VLAN où tu observes du traffic IPv4, tu peux soit :
    a) laisser IPv4 activé sans te poser plus de questions, quitte à revoir plus tard
    b) observer les adresses sources/destinations et protocoles qui utilisent toujours IPv4 pour identifier les équipements et services qui en ont toujours besoin.

Si tu choisis 4b), tu pourras ensuite mettre les équipements et applications à jour et revoir leur configuration (certains logiciels vont un peu à contre-courant en préférant IPv4 parce que "IPv6 pose des problèmes", comprendre: bien souvent les devs ne s'y intéressent pas), et voir si ca améliore la situation.

En fonction de ce que tu as dans les VLAN camera et IOT, je ne serai pas surpris que ces deux VLAN aient besoin de conserver IPv4.

C'est une méthode un peu plus chronophage certes, mais qui permet d'éviter les interruptions de service.

Perso, j'ai désactivé IPv4 sur tous mes VLAN d'un coup et n'ai pas eu de soucis, mais je comprends qu'on soit moins tête brulée que moi :-) Je n'ai rien trouvé qui pose problème à part le VPN d'entreprise d'un client dont la configuration utilisait des IPv4 codées en dur. En remplacant cette IPv4 par son équivalent IPv6 dans 64:ff9b::/96 (donc NAT64), ca a fonctionné sans souci.
Ceci dit, je n'ai ni caméra, ni IOT Chinois, ni console de jeu... ca aide beaucoup.

simon

  • Abonné Orange Fibre
  • *
  • Messages: 935
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« Réponse #6 le: 15 mars 2023 à 10:44:55 »
Il me semble que le 464XLAT est proposé par Windows 10 / 11, mais avec une limitation de taille : uniquement pour des connexions WAN IPv6 only et non pour des connexions LAN IPv6 only.

C'est dommage, car cela serait une solution pour des grandes entreprises qui retirent IPv4 de leur LAN.
Il doit bien avoir un moyen de l'activer de force (probablement en éditant le "registre" windows)... c'est sur ma todo list, mais je n'ai pas assez de soucis pour le faire monter en priorité :)

renaud07

  • Abonné Orange adsl
  • *
  • Messages: 3 371
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« Réponse #7 le: 15 mars 2023 à 15:24:51 »
Il faudrait tester en faisant croire au système qu'une interface filaire ou wifi est de type WWAN, mais reste à savoir ce qui détermine ça : identifiant PCI ? Une valeur dans le registre ? Autre ?

En fouillant le registre dans la clé HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E972-E325-11CE- BFC1-08002bE10318} Je vois qu'il y a une valeur DWORD MediaType ce qui pourrait correspondre. J'ai essayé de mettre une autre valeur, mais ça n'a pas d'effet.

EDIT : Apparemment ça agit bien dessus mais pas comme on peut s'y attendre. En plus de MediaType, il y a aussi IfType et PhysicalMediaType. J'ai connecté mon smartphone en diag qui permet un accès au modem et d'avoir une connexion WWAN créée. Et si je change ces 3 valeurs sur l'interface LAN pour la faire passer en WWAN elle disparaît de la liste des interfaces dispo...

En filaire :
IfType : 6
MediaType : 0
PhysicalMediaType : 14

En WWAN :
IfType : 244
MediaType : 9
PhysicalMediaType : 8

Je crois qu'on ne peut qu'attendre la prise en charge officielle sur n'importe quelle interface malheureusement...
« Modifié: 15 mars 2023 à 16:08:38 par renaud07 »

JCLB

  • Abonné Orange Fibre
  • *
  • Messages: 53
  • Orléans (45)
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« Réponse #8 le: 15 mars 2023 à 20:31:49 »
Belle épreuve, bravo  :D

Seul NAT64 et DNS64 sont conçus pour cet usage, les autres cités sont pour du pur ISP.
Maintenant rien empêche de se monter un lab pour encapsuler du V4 via 6rd ou Map pour le fun, mais c'est une usine à gaz.


Pour info, tayga est remplacé par Tundra nat64. Jool est toujours maintenu.

Attention aux performances, s'assurer que l'implémentation de nat64 exploite bien dpdk, ou le faire avec un petit fortigate ou autre. L'air de rien l'effet peut vite se ressentir sur une visio typiquement.

renaud07

  • Abonné Orange adsl
  • *
  • Messages: 3 371
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« Réponse #9 le: 15 mars 2023 à 20:44:48 »
Pour info, tayga est remplacé par Tundra nat64. Jool est toujours maintenu.

Ah je savais pas. Pourtant il est toujours dispo chez debian. J'allais justement poster un petit tuto rapide debian/tayga que je teste depuis tout à l'heure.

simon

  • Abonné Orange Fibre
  • *
  • Messages: 935
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« Réponse #10 le: 16 mars 2023 à 10:18:23 »
Tundra n'est pas une évolution de Tayga, c'est une implémentation différente basée sur les mêmes principes (userspace avec tun).

Tayga fonctionne à merveille même si il n'y a pas eu de release depuis des années. Il n'est pas multithread et n'est pas adapté pour faire du Gbit/s, certes, mais pour permettre à un LAN d'accéder à IPv4, c'est parfait. Config simple, rock solid, fait une chose et la fait bien.

renaud07

  • Abonné Orange adsl
  • *
  • Messages: 3 371
Free / Passage réseau local IPv6-only et NAT64 (6rd?)
« Réponse #11 le: 16 mars 2023 à 13:28:06 »
Par rapport au débit,  j'ai effectivement remarqué que c'était pas fameux... j'ai voulu copier un gros fichier et le transfert plafonnait à 200Mb/s. Du coup, la mention Fast — can saturate gigabit Ethernet on modest PC hardware est à revoir...

Un truc que je n'ai pas compris cependant, je suis obligé de mettre du NAT pour que ça fonctionne, alors que sur la page du projet il n'en est pas fait mention. C'est peut-être pour ça que le débit est pas très élevé ?

D'autre part, je ne comprend pas à quoi servent ces deux lignes :
# ip addr add 192.168.0.1 dev nat64      (replace with your router's IPv4 address)
# ip addr add 2001:db8:1::1 dev nat64    (replace with your router's IPv6 address)

C'est si tayga est sur le routeur ? Car dans mon cas c'est une machine séparée avec une seule interface (d'où le NAT nécessaire je suppose) Les ajouter ou non ne change rien.