Auteur Sujet: nouveau serveurs VPS OVH - pas d'IPv6 !? (Lu 32340 fois)

kgersen · « **Réponse #36 le:** 10 octobre 2016 à 22:53:00 »

Citation de: jack le 10 octobre 2016 à 22:48:39

Tu peux faire des l'allocation de ressources via SLAAC ?
Si tu as des docs, ça m'intéresse

C'est rigolo, je croyais que c'était pour ça que, finalement, dhcpv6 a été fait

on parlais pas d'allocation de ressources la mais de configurer la gateway.

je crois que ne se comprend plus ou qu'on parle plus des memes choses depuis quelques postes la...

Citation de: mikmak le 10 octobre 2016 à 22:47:42

oue enfin router sur une link local, d'un point de vue clareté , on a vu mieux ...

On parle d'automatisation complète donc que ce soit des link-local ou des global ca change rien en terme de clareté...ca reste des IPv6...

apres c'est sur qui s'il faut se taper des link-local a la main c'est autre chose.

jack · « **Réponse #37 le:** 10 octobre 2016 à 22:56:03 »

Citation de: kgersen le 10 octobre 2016 à 22:53:00

je crois que ne se comprend plus ou qu'on parle plus des memes choses depuis quelques postes la...

Peut-être en effet

Ce que j'ai besoin, c'est :
- attribuer le même subnet au même "client", de manière fiable, reproductible et connue
- router ce subnet via des IPv6 globalement addressables et globalement routables

Du coup, pour faire ça, le SLAAC ne me parait pas du tout adapté, d'où le dhcp

cali · « **Réponse #38 le:** 10 octobre 2016 à 23:11:30 »

Citation de: mikmak le 10 octobre 2016 à 22:47:42

oue enfin router sur une link local, d'un point de vue clareté , on a vu mieux ...

@jack: ISC depuis 1 ou 2 ans (dibbler avant mais plus trop maintenu de nos jours parce qu'on dev un truc pas plus maintenu/dev ... l'opensource, la joie

Mik

Utiliser du DHCPv6 avec le Prefix delegation comme vous le faites chez online.net c'est grave de la cheap crap. J'ai encore du mal à comprendre pourquoi il y en a autant qui utilise cette merde. OVH aussi fait ça maintenant alors qu'avant ils savaient faire du routage proprement.

mikmak · « **Réponse #39 le:** 10 octobre 2016 à 23:16:02 »

Citation de: cali le 10 octobre 2016 à 23:11:30

Utiliser du DHCPv6 avec le Prefix delegation comme vous le faites chez online.net c'est grave de la cheap crap. J'ai encore du mal à comprendre pourquoi il y en a autant qui utilise cette merde. OVH aussi fait ça maintenant alors qu'avant ils savaient faire du routage proprement.

avec des arguments aussi étoffés, on se doute bien que tu as raison

Mik

jack · « **Réponse #40 le:** 10 octobre 2016 à 23:18:50 »

Cali, quelle est la bonne méthode, selon toi ?

cali · « **Réponse #41 le:** 10 octobre 2016 à 23:21:21 »

Citation de: jack le 10 octobre 2016 à 23:18:50

Cali, quelle est la bonne méthode, selon toi ?

Bien tu rajoutes une route dans la table de routage ? Et si tu veux que le « client » puisse le faire lui-même je vois pas ce qui empêche de faire un panneau de contrôle...

jack · « **Réponse #42 le:** 10 octobre 2016 à 23:26:59 »

Ok, donc toi, tu as des routes machin/48 via interco
Et sur le routeur client récupère l'IP d'interco + le subnet par une méthode magique

Du coup, j'veux bien que tu me détailles la méthode magique, incluant les protections anti-spoofing / poisonning

mikmak · « **Réponse #43 le:** 10 octobre 2016 à 23:30:24 »

Citation de: jack le 10 octobre 2016 à 23:26:59

Ok, donc toi, tu as des routes machin/48 via interco
Et sur le routeur client récupère l'IP d'interco + le subnet par une méthode magique

Du coup, j'veux bien que tu me détailles la méthode magique, incluant les protections anti-spoofing / poisonning

tu te compliques la vie, laisse donc le telnet sur ton routeur ouvert, le client fera la conf et hop

Mik

cali · « **Réponse #44 le:** 10 octobre 2016 à 23:43:22 »

Citation de: jack le 10 octobre 2016 à 23:26:59

Ok, donc toi, tu as des routes machin/48 via interco
Et sur le routeur client récupère l'IP d'interco + le subnet par une méthode magique

Du coup, j'veux bien que tu me détailles la méthode magique, incluant les protections anti-spoofing / poisonning

Non, c'est juste statique... Le client a toutes les informations pour configurer sa machine.

Par exemple nous avons une installation qui fonctionne sur des sous-réseaux en /64 non-routés, le routeur utilise .1 et chaque machine sur le segment à une adresse dans le sous-réseau. Si un utilisateur souhaite un sous-réseau routé, à savoir un /56 ou /48 alors le routeur rajoute une route vers l'IPv6 du /64 de la machine. Les switchs connaissent les MACs des machines autorisées à transmettre et c'est la même chose du côté du routeur...

jack · « **Réponse #45 le:** 10 octobre 2016 à 23:53:46 »

Citation de: cali le 10 octobre 2016 à 23:43:22

Non, c'est juste statique... Le client a toutes les informations pour configurer sa machine.

Ok, ça ne me convient pas pour mon cas d'utilisation, mais ça peut-être une solution pour des serveurs

Citation de: cali le 10 octobre 2016 à 23:43:22

Par exemple nous avons une installation qui fonctionne sur des sous-réseaux en /64 non-routés, le routeur utilise .1 et chaque machine sur le segment à une adresse dans le sous-réseau. Si un utilisateur souhaite un sous-réseau routé, à savoir un /56 ou /48 alors le routeur rajoute une route vers l'IPv6 du /64 de la machine. Les switchs connaissent les MACs des machines autorisées à transmettre et c'est la même chose du côté du routeur...

Ça par contre ..

Actuellement, j'ai un domaine de broadcast avec environ 1000 nodes IPv6
Si j'ai bien compris, il est donc nécessaire, sur mon routeur, de faire des ACL comme ceci:
- autoriser le trafic from: mac to: ipv6
- autoriser le trafic from: mac to: subnet-v6

Et sur tout les switch, au plus prêt du client donc, je rajoute des ACL restreignant le NDP au seul couple IP-mac du client associé au port

Et tout ça .. via cron + ssh ?

Ça me parait viable pour 10 nodes, difficiles sinon, et surtout extrêmement contraignant

cali · « **Réponse #46 le:** 11 octobre 2016 à 00:16:46 »

Citation de: jack le 10 octobre 2016 à 23:53:46

Actuellement, j'ai un domaine de broadcast avec environ 1000 nodes IPv6
Si j'ai bien compris, il est donc nécessaire, sur mon routeur, de faire des ACL comme ceci:
- autoriser le trafic from: mac to: ipv6
- autoriser le trafic from: mac to: subnet-v6

Et sur tout les switch, au plus prêt du client donc, je rajoute des ACL restreignant le NDP au seul couple IP-mac du client associé au port

Et tout ça .. via cron + ssh ?

Ça me parait viable pour 10 nodes, difficiles sinon, et surtout extrêmement contraignant

C'est pas exactement comme ça qu'on fait mais ça fonctionne très bien pour bien plus que 1000 « nodes ». Personne ne se plaint vraiment, après c'est peut-être parce qu'on vise majoritairement un public avisé. Mais on fournit aussi des services à des gens qui n'ont pas les connaissances et ça fonctionne aussi très bien. Par contre je vois beaucoup de posts de gens qui rencontrent pas mal de problèmes avec l'IPv6 chez online.net.

Aussi aborder la securité quand on voit la gueule des implèmentations du DHCPv6 ça me fait un peu marrer... Elles sont toutes buggées et j'ose même pas imaginer le nombre de 0days qu'il doit y avoir...

jack · « **Réponse #47 le:** 11 octobre 2016 à 00:18:04 »

Citation de: cali le 11 octobre 2016 à 00:16:46

C'est pas exactement comme ça qu'on fait

Ben explique moi, ça m'intéresse vraiment tout ça