La Fibre
Télécom => Réseau => 
IPv6 => Discussion démarrée par: sygmafibre le 09 décembre 2021 à 15:20:54
-
Bonjour,
J'ai une petite infra réseau derrière ma Freebox mini 4k (en FTTH avec IP dédiée) composée d'un routeur Mikrotik et d'un switch Cisco Layer 3 avec plusieurs VLAN.
La Freebox est en mode routeur et le Mikrotik est configuré en DMZ.
Je souhaiterais mettre en place l'IPv6 afin que des VM derrière le switch Cisco puissent communiquer sur Internet en IPv6.
Ma Freebox a pour IPv6 2a01:...:8170::1
Dans la configuration IPv6 de la Freebox, j'ai des délégations de préfixe de 2a01...:8170:: à 2a01:...8177::. Pour le second préfixe (8171::), j'ai paramétré en Next Hop l'adresse Link Local de l'interface LAN du Mikrotik. Pour le premier préfixe (8170::) j'ai paramétré l'adresse Link Local de l'interface WAN du Mikrotik (mais cela ne semble rien changer, est-ce utile ?).
Sur le Mikrotik, j'ai attribué l'adresse 2a01:...:8170::2/64 à l'nterface WAN et 2a01:...:8171::1/64 à l'interface LAN. La passerelle par défaut ipv6 est l'adresse Link Local de la Freebox.
Grâce à cette configuration, mon Mikrotik accède à Internet en ipv6 (pink OK vers ipv6.google.com).
Sur le switch Cisco, l'interface GigabitEthernet0/24 est branchée au port LAN du Mikrotik. J'ai attribué à cette interface l'IP 2a01:...8171::2. Je ping l'interface LAN et WAN du Mikrotik mais pas la Freebox ni Internet. Quelle configuration est manquante ? J'ai essayé de tout autoriser dans le Firewall mais cela ne change rien. La route par défaut ipv6 est le Link Local de la freebox et les 2 autres réseaux (2a01:...8170:: et 2a01:...8171) sont directement connectés.
Que faut-il faire pour que le Cisco puisse communiquer en ipv6 ?
Pour l'ipv6 sur les VLAN, j'ai dû utiliser un autre préfixe car je ne peux pas réattribuer le 8171:: à l'interface VLAN10. J'obtiens le message "2A01:...:8171::/64 is overlapping with 2A01:...:8171::/64 on GigabitEthernet0/24". Je dois donc utiliser le préfixe 8172:: pour l'adresse du VLAN.
Que se passe-t-il dans ce cas au niveau du Mikrotik et de la Freebox ? Faut-il préciser un nouveau Next Hop pour le préfixe 8172:: dans la config de la Freebox ?
Les VM sur le VLAN10 ont obtenu une adresse IPv6 (par quelle sorcellerie que j'ignore ?). J'arrive à ping le Link Local de l'interface VLAN10 du Cisco et également son IP 2a01:...8172::1 mais pas l'adresse 8171::2 du port GigabitEthernet0/24.
Quelle autre configuration je dois appliquer au Cisco pour que les VM puissent atteindre le Mikrotik ?
Autre question que je me pose, le fait que ma Freebox ne soit pas en Bridge peut-il poser problème ? Il est prévu que je la passe en Bridge mais pas maintenant :P
Voilà j'espère avoir été suffisamment clair :) Et merci pour ceux qui auront lu jusqu'ici et encore plus à ceux qui m'aideront :D
Si ça peut vous aider je vous partage le schéma simplifié de mon infra réseau avec résumé de ce qui communique/communique pas.
Les réponses du type "Pourquoi tu veux faire de l'IPv6", "Ca sert à rien l'IPv6", "Je comprends pas les gens qui se font chier pour un truc qui sert à rien" ou toute autre réponse qui ne concerne PAS le sujet, merci de vous abstenir. Je fais cela dans un but expérimental et formateur mais je crains que ces incultes qui apportent systématiquement ce genre de réponses sans faire avancer le topic ne sachent pas ce que c'est que d'apprendre et d'étudier...
Merci d'avance pour vos réponse
-
Que se passe-t-il dans ce cas au niveau du Mikrotik et de la Freebox ? Faut-il préciser un nouveau Next Hop pour le préfixe 8172:: dans la config de la Freebox ?
Salut !
Sauf erreur de ma part il faut que tu route 8171::/64 & 8172::/64 via 8170::2 (ou la local) sur ta Freebox. Tu arrives à joindre la WAN de ton MKTK car il est DC (Direct Connect) sur 8171::/64 donc il connaît le retour.
Tes routes default ::/0 sont pour la sortie vers Internet mais il faut que tu route de bout en bout dans l'autre sens.
:)
-
Hello
Merci pour ta réponse !
Comment est-ce que je fais cela sur la Freebox ? Il n'est pas possible de lui configurer une route statique comme sur un vrai routeur comme le Mikrotik. J'ai essayé de mettre l'adresse Link Local pour le Next Hop du 8172::/64 mais cela ne change rien.
Je pense aussi que c'est un problème de route mais comment faire cela :( Je ne peux pas faire de NAT Source car il s'agit d'IPv6.
-
Déjà je ne comprend pas la topologie, il y a donc 3 routeurs successifs pour arriver dans ton réseau ? :o Je ne vois pas à quoi ça peut servir à part compliquer la config.
Donc si c'est bien ça il faut:
- délégation de tous les préfixes que tu vas utiliser de la box vers le Tik
- Routage des préfixes utilisés du Tik vers le Cisco
- Sur le Cisco tu fais tes routages inter-vlan etc.
- et ensuite il faut gérer les chemins retours, donc default gateway du Cisco vers le Tik et du Tik vers la box.
-
Oui il y a 3 routeurs à traverser... Le cisco n'en est pas vraiment un mais il a quand-meme besoin d'une config adaptée pour fonctionner correctement.
Je n'ai pas passé la Freebox en bridge pour le moment car cela ne me posait pas de problème en IPv4 mais je compte le faire car ça enlèvera un routeur dans l'infra et cela résoudra peut-etre mon problème d'IPv6.
Tout ce que tu as dit a été fait cependant je pense que comme l'a dit draWveSly c'est un problème de route de la Freebox vers les réseaux 8171::/64 et 8172::/64 et je ne sais pas comment faire cela sur la Freebox car en mode routeur on ne peut pas ajouter de route.
-
Sur la freebox ce sont les délégations de préfixes qui sont les routes. C'est juste une autre façon de dire la même chose.
Le mode bridge ne changera rien du tout pour IPv6.
-
De quel façon je dois configurer mes préfixes pour donner accès à Internet au Cisco ?
Je mets un screen de la config IPv6 de la Freebox.
L'adresse fe80::a55:31ff:fe8c:48a6 est le link local de l'interface LAN du Mikrotik. Et je ne vois pas quelle autre adresse je peux mettre car rien d'autre n'est connecté à la Freebox...
Ou s'agit-il peut-etre d'une conf à faire sur le Mikrotik ?
La route par défaut du Mikrotik (::/0) pointe sur le Link Local de la Freebox. J'ai essayé d'ajouter une route vers 8172::/64 qui pointe sur le Link Local du Cisco mais cela ne fonctionne pas.
-
L'adresse Link Local du Mikrotik ne peut pas fonctionner dans la config de la freebox puisque par définition, une adresse Link Local, ça ne traverse pas les équipements de niveau 3, et donc n'est visible qu'en cas de connexion directe ou à travers un switch L2...
Donc en l'espèce, ce qu'il faut mettre dans la configuration de la Freebox pour le NextHop, c'est l'adresse Link-Local du port WAN du Mikrotik. Et en passant, pas la peine de gaspiller un /64 de portée globale entre la box et le routeur, il n'y en a pas besoin... Du coté du Mikrotik, la route par défaut devra être l'adresse Link-Local coté LAN de la freebox, en espérant qu'il soit possible de la connaitre (je n'ai pas de freebox donc...).
-
L'adresse fe80::a55:31ff:fe8c:48a6 est le link local de l'interface LAN du Mikrotik. Et je ne vois pas quelle autre adresse je peux
Alors il faudra réviser un peu les concepts de routage, de tronçons réseaux, d'adresses link-local. C'est pas bon.
Il faut mettre en adresse de routeur suivant, sur la box, l'IP du tik côté box, sinon impossible de le joindre autrement !
Et même principe partout, un routeur suivant est toujours un routeur directement connecté, et on le désigne avec son adresse de tronçon commun au premier routeur.
-
L'adresse Link Local du Mikrotik ne peut pas fonctionner dans la config de la freebox puisque par définition, une adresse Link Local, ça ne traverse pas les équipements de niveau 3
C'est justement ce que j'ai du mal à comprendre dans le comportement du Mikrotik. J'avais mis l'IP Link Local du WAN à la base mais j'ai changé pour faire des tests et ça fonctionne toujours... (le mikrotik ping ipv6.google.com)
Et en passant, pas la peine de gaspiller un /64 de portée globale entre la box et le routeur, il n'y en a pas besoin... Du coté du Mikrotik, la route par défaut devra être l'adresse Link-Local coté LAN de la freebox, en espérant qu'il soit possible de la connaitre (je n'ai pas de freebox donc...).
Quelle adresse je devrais mettre alors pour l'interface WAN du Mikrotik ? Je lui ai mis 2a01...:8170::2 dans la continuité de l'IP de la Freebox en 2a01...:8170::1, je dois lui mettre une autre adresse ?
Pour ce qui concerne la route par défaut, c'est bien l'adresse Link Local de la Freebox qui est configurée et pas de problème pour atteindre Internet depuis le Mikrotik c'est le Switch Cisco derrière qui n'y arrive pas.
-
Alors il faudra réviser un peu les concepts de routage, de tronçons réseaux, d'adresses link-local. C'est pas bon.
Désolé mais je ne connais pas bien l'IPv6 d'où le but de ce que je fais et mon post. Si tu connais des bons tuto sur l'IPv6 je suis preneur. Tuto assez complexe qui explique les notions de routage et de sous réseaux, pas un tuto sur les bases d'ipv6 et de comment est fabriquée une adresse Link Local...
Il faut mettre en adresse de routeur suivant, sur la box, l'IP du tik côté box, sinon impossible de le joindre autrement !
Pour l'IP du Mikrotik dans le Next Hop du préfixe IPv6 c'est bon ça fonctionne mais là où je coince c'est pour le Cisco qu'il y a derriere. La communication entre le Mikrotik et le Cisco est OK, le Cisco ping bien l'IP WAN du Mikrotik (la 2a01...:8170::2) mais il n'arrive pas à atteindre la Freebox.
Et même principe partout, un routeur suivant est toujours un routeur directement connecté, et on le désigne avec son adresse de tronçon commun au premier routeur.
Pour toutes les liaisons directement connectés il n'y a aucun problème mais c'est pour passer du Cisco à la Freebox que ça pose problème.
"adresse de tronçon commun au premier routeur."
Tu parles de quelle adresse ? 2a01..:8170 ?
-
Comme dit par Zoc, inutile de mettre des IP globales aux interconnexions de routeurs.
Travaille juste avec les link-local entre les routeurs.
Il n'y a pas de "du Cisco à la box", ils ne sont pas connectés directement entre eux donc aucun lien entre eux ! Principe de base du routage. Le routage, c'est décider du routeur suivant, c'est tout, pas du routeur encore après ! IPv4 ou IPv6 n'y change rien, le concept de routage reste le même.
-
Par curiosité, à quoi sert le mikrotik ?
-
Donc le Mikrotik et le Cisco ne doivent utiliser que des adresse Link Local ? Comment se passe le routage au niveau du Mikrotik pour transférer le paquet venant du Cisco vers la Freebox et l'inverse ? En faisant un traceroute depuis le cisco (vers Internet), je vois que le paquet s'arrete au Mikrotik et ne va pas plus loin (il n'atteint jamais la Freebox). Je pense qu'il doit y avoir une config à faire sur le Mikrotik mais je ne sais pas quoi :(
-
Par curiosité, à quoi sert le mikrotik ?
Il sert à router tous mes VLAN derrière le Cisco. J'ai plusieurs VLAN avec des sous-réseaux différents et j'ai donc besoin d'une route statique vers ces réseaux ainsi que du NAT Source afin de pouvoir sortir sur Internet. Ce que ne sait pas faire la Freebox.
-
Partages nous les retour des commandes sur le MKTK :
/interface/print detail
/ipv6/address/print detail
/ipv6/route/print detail
/ipv6/firewall/filter/print detail
/ipv6/export compact hide-sensitive (optionnel)
Inutile de préciser qu'il faut : /ipv6/settings/set forward=yes pour activer le routage même si par défaut c'est le cas et ça à l'air de fonctionner vu que du LAN tu peux joindre la WAN du MKTK.
Aussi utilise Winbox plutôt que le web access, ce n'est que mon avis si tu veux vraiment du graphique.
Merci.
-
Voici les 2 captures des commandes demandées.
Le forward ipv6 est bien activée (même s'il ne l'affiche pas dans le export)
Je travaille essentiellement sous Linux et il me semble qu'il n'y a pas de version Linux pour Winbox. Manque-t-il des fonctionnalités via le Web ? Sinon le mieux reste le CLI ;D
-
Je n'ai toujours pas compris à quoi sert le Tik. Y'a écrit Cisco L3 donc il fait le routage inter vlan non ?
Et bien sûr qu'il manque une route par défaut sur le Tik vers la box. Je l'ai déjà écrit ça.
-
Je n'ai toujours pas compris à quoi sert le Tik. Y'a écrit Cisco L3 donc il fait le routage inter vlan non ?
Et bien sûr qu'il manque une route par défaut sur le Tik vers la box. Je l'ai déjà écrit ça.
J'ai déjà répondu à cette question :
"Il sert à router tous mes VLAN derrière le Cisco. J'ai plusieurs VLAN avec des sous-réseaux différents et j'ai donc besoin d'une route statique vers ces réseaux ainsi que du NAT Source afin de pouvoir sortir sur Internet. Ce que ne sait pas faire la Freebox."
-
Merci,
Je suis en v7 et c'est fonctionnel.
Routing :
/ipv6/route disable=no dst-address=8172::/64 gateway=8171::2
--- personnellement j'arrive à mettre des routes comme ça et c'est ok
Firewall:
Disable ton ipv6 passthrough.
Pas de règle en output.
--- ça sera plus simple déjà.
C'est quoi ton bridge ? C'est pour mettre en switch tes ports 2 à 5 ?
Aussi sur ta box tu délègue vers 48a6 qui porte 8171::/64. Mets 48a5.
-
J'ai déjà répondu à cette question :
"Il sert à router tous mes VLAN derrière le Cisco. J'ai plusieurs VLAN avec des sous-réseaux différents et j'ai donc besoin d'une route statique vers ces réseaux ainsi que du NAT Source afin de pouvoir sortir sur Internet. Ce que ne sait pas faire la Freebox."
wtf... va falloir vraiment apprendre un peu la théorie à mon avis, et pratiquer sur plus simple avant de passer à une pratique comme ça.
Si les vlan sont sur le Cisco, et que c'est un routeur, alors c'est à lui de router !
La Freebox ne sait pas faire de nat ? Mais what ?! y'a juste des millions de freebox en prod elles font toutes du nat c'est fou ça ! pour rappel, le nat c'est en v4, car en v6 complètement inutile et déprécié.
-
Je sais que ce n'est pas la réponse que tu attends, mais il y a une couche en trop. Le tik fait seulement le lien entre la box et le L3 qui est capable de gérer les VLAN justement. A moins que le tik n'ait d'autres rôles ?
Edit : Ton installation devrait pouvoir être simplement freebox + L3. C'est ton L3 qui est certainement mal configuré. Regarde de ce côté : https://www.cisco.com/c/fr_ca/support/docs/lan-switching/inter-vlan-routing/41860-howto-L3-intervlanrouting.html
-
wtf... va falloir vraiment apprendre un peu la théorie à mon avis, et pratiquer sur plus simple avant de passer à une pratique comme ça.
Si les vlan sont sur le Cisco, et que c'est un routeur, alors c'est à lui de router !
La Freebox ne sait pas faire de nat ? Mais what ?! y'a juste des millions de freebox en prod elles font toutes du nat c'est fou ça ! pour rappel, le nat c'est en v4, car en v6 complètement inutile et déprécié.
Merci de quitter la conversation et de ne plus répondre sur mon post, j'avais prévenu dès mon premier message que les individus comme toi devaient s'abstenir !
Si tu savais lire (ou que tu avais les connaissances suffisantes pour prétendre savoir faire du réseau), tu saurais que je parle de NAT "Source". Source ! Du NAT Source !!! Sais-tu au moins ce que c'est ?
Ainsi que des routes statiques et si tu sais en faire vu que tu as l'air d'être un génie sur le sujet je te laisse nous faire un tuto, cela permettra à un grand nombre de personnes d'arrêter d'acheter des routeurs tierces derrière une simple Freebox grand public.
-
Merci,
Je suis en v7 et c'est fonctionnel.
Routing :
/ipv6/route disable=no dst-address=8172::/64 gateway=8171::2
--- personnellement j'arrive à mettre des routes comme ça et c'est ok
Firewall:
Disable ton ipv6 passthrough.
Pas de règle en output.
--- ça sera plus simple déjà.
C'est quoi ton bridge ? C'est pour mettre en switch tes ports 2 à 5 ?
Aussi sur ta box tu délègue vers 48a6 qui porte 8171::/64. Mets 48a5.
Pour le Firewall c'est moi qui ai essayé d'ajouter des règles pour tout autoriser, de base il n'y avait rien du tout (même pas des règles par défaut qu'on ne peut pas supprimer comme en IPv4)
J'essayerai en mettant d'autres routes.
Pour le bridge j'ai laissé la conf par défaut du Mikrotik mais celui-ci n'est pas utile car je n'ai qu'un seul port du Mikrotik connecté au LAN.
J'ai déjà essayé en déléguant tous mes préfixes vers 48a5 mais je rencontre le même problème.
-
Je sais que ce n'est pas la réponse que tu attends, mais il y a une couche en trop. Le tik fait seulement le lien entre la box et le L3 qui est capable de gérer les VLAN justement. A moins que le tik n'ait d'autres rôles ?
Edit : Ton installation devrait pouvoir être simplement freebox + L3. C'est ton L3 qui est certainement mal configuré. Regarde de ce côté : https://www.cisco.com/c/fr_ca/support/docs/lan-switching/inter-vlan-routing/41860-howto-L3-intervlanrouting.html
J'ai ajouté le Mikrotik afin de pouvoir configurer une route statique vers le L3. La Freebox ne peut gérer qu'un seul réseau et ne peut donc pas contacter mes différents VLAN. A moins qu'il y ait une conf à faire sur le L3 ?
J'ai besoin de faire du NAT (en IPv4) pour exposer des VM derrière le L3 et au niveau de la Freebox je ne peux créer des règles de NAT que pour un seul réseau (celui de la Freebox) et le L3 ne peut pas faire de NAT.
Mon infra est un peu complexe et pas optimisée mais je compte passer la Freebox en Bridge, ce qui permettra de n'avoir que le Mikrotik comme routeur/firewall. Je ne sais cependant pas comment cela se passera avec les délégations de préfixe et pour l'IPv6 publique qui sera alors portée par le Mikrotik.
-
Merci de quitter la conversation et de ne plus répondre sur mon post, j'avais prévenu dès mon premier message que les individus comme toi devaient s'abstenir !
Si tu savais lire (ou que tu avais les connaissances suffisantes pour prétendre savoir faire du réseau), tu saurais que je parle de NAT "Source". Source ! Du NAT Source !!! Sais-tu au moins ce que c'est ?
Ainsi que des routes statiques et si tu sais en faire vu que tu as l'air d'être un génie sur le sujet je te laisse nous faire un tuto, cela permettra à un grand nombre de personnes d'arrêter d'acheter des routeurs tierces derrière une simple Freebox grand public.
A mon avis tout le monde va s'abstenir.
-
Que chacun fasse ce qu'il veut alors. J'ai juste répondu que je ne voulais pas de message hors sujet et même agressif.
Je cherche juste à apprendre sans prise de tête et surtout sans se faire agresser et faire sous-entendre qu'on est incompétent car oui si je poste sur ce forum c'est que je ne sais pas faire ce que je demande, sinon je n'aurais jamais créé ce post.
Mais bref si on ne peut pas m'aider sur ce forum j'irai poser ma question ailleurs.
Merci beaucoup à ceux qui m'ont aidé en m'apportant des réponses constructives et formatrices.
-
J'ai juste répondu que je ne voulais pas de message hors sujet et même agressif.
C'est une plaisanterie ?
Oui, on remercie toutes les personnes ayant répondu, même celles qui 'ont pas résolu TON problème.
Que tu ne saches pas résoudre TON problème, on s'en serait douté.
Les personnes ayant répondu, ne vont pas t'apporter une solution toute cuite, et si tu veux apprendre ce travail c'est à toi de le faire, tu sais ce que l'on dit ? RTFM
Tu arrives avec moins d'une dizaine de postes, avec ton problème à résoudre, le moins que tu puisses faire, c'est de respecter les anciens qui essayent aimablement de t'aider.
Parce que de deux choses l'une, soit les personnes qui essayent de t'aider en savent autant que toi, soit elles n'y connaissent vraiment rien et ne viendront pas t'aider.
-
Dans plusieurs de mes messages, je remercie les personnes qui ont apporté une réponse, constructive et respectueuse, et je leur réponds également de manière respectueuse. Mais s'il on ne me respecte pas dans un message je ne vois pas pourquoi je devrais y répondre de manière respectueuse. Ça fonctionne dans les 2 sens.
Je ne demande pas à ce qu'on me donne une "solution toute cuite" mais juste m'aider à comprendre le fonctionnement et la théorie. Je travaille beaucoup sur le sujet pour essayer d'y acquérir les compétences. Comme j'ai dit dès mon premier message, je cherche à m'instruire en complément de ce que je peux trouver sur Internet qui n'est pas toujours très clair et adapté à certains cas.
Je ne suis pas venu ici pour recevoir des leçons de moral, sinon je serais allé dans une autre catégorie et comme évoqué dans mon précédent message si l'on ne veut plus m'aider ce n'est pas grave, Internet est une source incroyable de connaissances et je suis persuadé que je finirai par trouver les réponses à mes questions.
Parce que de deux choses l'une, soit les personnes qui essayent de t'aider en savent autant que toi, soit elles n'y connaissent vraiment rien et ne viendront pas t'aider.
Nous sommes malheureusement très souvent confrontés sur Internet (et meme IRL) à des gens qui pensent toujours tout savoir sur tout alors qu'en réalité ne maîtrisent absolument pas le sujet. Et ces personnes viennent souvent pourrir les conversations. Je ne dis pas que quelqu'un l'a été et toutes les personnes qui m'ont répondu ont certainement bien plus de connaissances que moi mais ne pas répondre au sujet et dériver sur d'autres problèmes n'aident en rien la résolution du problème initial.
-
Délégation de prefixe
Attention si vous configurez un Next Hop pour le premier subnet, il ne sera plus annoncé par la Freebox sur votre réseau. Cela empêchera les appareils dépendant d’IPv6 de fonctionner sans un routeur tiers qui gère ce subnet.
Et bien relis bien les messages, on t'a déjà donné la solution.
-
Nous sommes malheureusement très souvent confrontés sur Internet (et meme IRL) à des gens qui pensent toujours tout savoir sur tout alors qu'en réalité ne maîtrisent absolument pas le sujet.
Je n'aurais pas dit mieux :) Bonnes recherches, je ne vais certainement pas insister.
-
Délégation de prefixe
Attention si vous configurez un Next Hop pour le premier subnet, il ne sera plus annoncé par la Freebox sur votre réseau. Cela empêchera les appareils dépendant d’IPv6 de fonctionner sans un routeur tiers qui gère ce subnet.
Et bien relis bien les messages, on t'a déjà donné la solution.
Cela je le sais depuis longtemps, c'est ce qu'il y a écrit dans la config IPv6 de la Freebox mais ce que je demande c'est une explication de cette phrase et surtout quel subnet je dois utiliser sur quel équipement.
Ce que je souhaite c'est que les VM disposent d'une IPv6 publique, quel subnet auront-elles ? 8170::, 8171:: ou encore un autre ? Et si j'ai bien compris le Mikrotik et le switch Cisco n'ont besoin que d'une IP Link Local pour communiquer et router les requêtes IPv6.