Auteur Sujet: Le CG-NAT arrive chez Orange  (Lu 18351 fois)

0 Membres et 3 Invités sur ce sujet

basilix

  • Abonné Orange Fibre
  • *
  • Messages: 671
Le CG-NAT arrive chez Orange
« Réponse #48 le: 31 janvier 2025 à 09:24:30 »
@Mastah

On peut facilement faire des conversions hexadécimal en binaire. Un chiffre hexadécimal est équivalent à 4 chiffres binaires (1 quartet).

Créer des masques binaires puis convertir en notation CIDR ne me semble pas ardu. Le décalage correspond à une multiplication ou à une division par deux suivant le sens.
Cela forme des blocs d'adresses (ou plages) potentiellement imbriqués les uns dans les autres.

SLAAC décompose l'IP en deux. L'identifiant d'interface peut être fixé en choisissant parmis plusieurs techniques. Le préfixe réseau est annoncé par le routeur. On peut presque
obtenir l'équivalent d'une adresse statique avec un identifiant stable opaque (recommandé, car auparavant c'était EUI-64), lorsque le préfixe change peu souvent. Pouvoir utiliser
plusieurs adresses IP en parallèle est astucieux. DHCPv6, c'est selon les besoins. Je suis parti de zéro dans « ma formation » en réseautique sans rien connaître et je n'ai pas eu
l'impression que IPv6 soit plus difficile à assimiler que IPv4. Après avoir acquis des bases fondamentales, le MOOC « Objectif IPv6 » a fortement comblé ma méconnaissance sur
le sujet : avant de suivre le MOOC, je n'avais que des notions sur IP et ensuite cela m'a permis de percevoir comment configurer mon réseau. Ce n'est pas tellement réussi ou
vraiment satisfaisant dans l'ensemble pour moi (pénible), mais cela peut être gratifiant au final. Donc, je rejoins les autres : c'est la résistance au changement qui influe sur la
perception par rapport à IPv6.

simon

  • Abonné Orange Fibre
  • *
  • Messages: 1 553
Le CG-NAT arrive chez Orange
« Réponse #49 le: 31 janvier 2025 à 10:55:12 »
Le problème d'IPV6 c'est qu'ils auraient du faire un base 64 et non 128.

Jamais avant plusieurs millénaire on utilisera la plage complète. La preuve que c'est totalement oversize, une délégation c'est /64. C'est juste n'importe quoi ...
Je crois qu'ils ont été échaudés d'avoir pensé à peu près la même chose pour v4 et que du coup, ils ont un peu surcorrigé.

On aurait en effet pu avoir une taille standard de subnet sur 32 bits, mais du coup, on se retrouve avec seulement 32 bits de prefixe si on veut rester sur 64 bits, ce qui n'est pas si grand que cela.
Si on garde 64 bits de préfixe pour avoir de la marge et ne pas se retaper des NAT et un marché de transfert dans 20-30 ans, on se retrouve avec 96 bits d'adresse. C'est un peu étrange comme longueur, mais ca aurait probablement fait le job.

Mais est-ce que ca change réellement quelque chose à l'utilisation? Que tu copies/colle 128 bits, 32 ou 64 en configurant des équipements, c'est un peu pareil selon moi.

Idem la lecture ... Plutôt que de faire 0000 - ffff, ils auraient pu faire 0 - 65355, ça aurait été plus simple pour la compréhension, la lisibilité, la création des masque, etc... Oui ce n'est pas à terme un système design pour l'homme, ok. Mais c'est bien un humain qui doit lire, analyser, comprendre ...
Préférence personnelle, je pense. Personnellement, je préfère l'hexa car ca permet d'appliquer le masque visuellement dans la majorité des cas (i.e. si le masque s'arrête sur un nibble, ce qui est quasiment toujours le cas étant donné qu'on a un espace d'adressage énorme).

Avec une représentation décimale, les adresses seraient encore plus longues, d'ailleurs, donc probablement moins lisibles si on suit ton chemin de pensée.

Et SLAAC qu'elle mauvaise idée. Impossibilité dans le principe d'obtenir une IP connu à l'avance, c'est juste complètement con. C'est tellement con, qu'il y a une spec en parallèle pour faire du DHCPv6 classique.
Pour ma part, à chaque fois que je rencontre DHCPv6 sur un LAN (sans qu'il soit utilisé pour faire de la délégation de préfixe ou pour des cas spécifiques tels que netboot) c'est parce que l'admin essaye de raisonner comme si v6 était v4 avec plus de bits d'adresse.

J'apprécie SLAAC car je n'ai pas besoin de serveur DHCP. Tout se configure à un seul endroit (le routeur), pus besoin de relais DHCP, etc. Et pour corréler une machine avec une adresse IP, je dump les tables NDP sur les routeurs.

Puis tu as le local link, le global link... Ca complexifie la compréhension et l'usage pour pas grand chose en avantage.
On pourrait discuter des avantages que cela apporte, mais au dela de ca, si tu pars du principe que les adresses link-local ne sont utilisées que pour RA et ND, on avait la même chose en IPv4. C'est juste qu'ARP n'était pas visible sur la config de l'interface (car il ne nécessite pas de conf, ou très peu), que les router advertisements en IPv4 (sur ICMP, donc) n'ont jamais été déployés faute de vrai besoin, et que la majorité des utilisateurs ignorent IGMP. Mais la complexité est bien là en v4, à mon sens.

Si les OS avaient caché les link-local, on ne les verrait pas, mais la fonctionnalité serait bien là... invisible, ce qui est pire à mon sens. Un peu comme en v4, quoi.

MoXxXoM

  • Expert
  • Abonné Starlink
  • *
  • Messages: 1 197
Le CG-NAT arrive chez Orange
« Réponse #50 le: 31 janvier 2025 à 11:01:19 »
Le choix du suffixe en SLAAC est possible coté client sinon... Ca permet d'avoir des IPv6 très raccourcies sur des réseaux simples, avec un préfixe ULA bien choisi ça permet d'avoir un adressage local, y compris en SLAAC, plus court qu'en IPv4 (fd00::42 par exemple...)

stanthewizzard

  • Abonné Orange Fibre
  • *
  • Messages: 64
  • Meudon 92190
Le CG-NAT arrive chez Orange
« Réponse #51 le: 31 janvier 2025 à 11:03:02 »
suis en ipv6 de mon coté
mais effectivement pas mal de chose en mode serveur ca va poser problème

Et je n'ai toujours pas l'option sur ma livebox en plus

MaxLebled

  • Abonné Free fibre
  • *
  • Messages: 777
  • Rennes (35)
    • Site web
Le CG-NAT arrive chez Orange
« Réponse #52 le: 31 janvier 2025 à 12:52:57 »
Idem la lecture ... Plutôt que de faire 0000 - ffff, ils auraient pu faire 0 - 65355, ça aurait été plus simple pour la compréhension, la lisibilité, la création des masque, etc... Oui ce n'est pas à terme un système design pour l'homme, ok. Mais c'est bien un humain qui doit lire, analyser, comprendre ...

(...)
- plutôt que d'utiliser hexa, utiliser décimal

En soi, est-ce qu'il y a quelque chose qui nous empêche d'utiliser ipv6 seulement en base 10 ? :)

Qui peut le plus peut le moins... mais en effet, ça pourrait être une option standardisée pour faciliter la lecture dans les réseaux locaux... pouvoir demander à son routeur de donner des ipv6 sans ABCDEF

basilix

  • Abonné Orange Fibre
  • *
  • Messages: 671
Le CG-NAT arrive chez Orange
« Réponse #53 le: 31 janvier 2025 à 13:22:25 »
@simon:

DHCPv6 sert à gérer dynamiquement la configuration des hôtes (c'est dans le nom  ;)) et déléguer des préfixes. SLAAC sert essentiellement à attribuer une adresse IP.

@MoXxXoM:

Cela augmente la probabilité que les hôtes soient ciblés lors d'un balayage automatique d'une liste contenant des IID prédéfinis. Ce n'est pas tellement préconisé à ce
qu'il me semble.

MoXxXoM

  • Expert
  • Abonné Starlink
  • *
  • Messages: 1 197
Le CG-NAT arrive chez Orange
« Réponse #54 le: 31 janvier 2025 à 14:38:33 »
@MoXxXoM:

Cela augmente la probabilité que les hôtes soient ciblés lors d'un balayage automatique d'une liste contenant des IID prédéfinis. Ce n'est pas tellement préconisé à ce
qu'il me semble.
Ça dépend des perspectives, pour un poste client c'est très dispensable en effet, en revanche pouvoir avoir un suffixe stable c'est quand même intéressant, et officiellement documenté par plusieurs RFC, dont la RFC7217 et la RFC8064.

Et le suffixe n'est donc pas nécessairement court ou facilement déterminable, il y a une petite discussion concernant linux ici https://lafibre.info/serveur-linux/fixer-une-ipv6-sur-un-serveur/ qui présente deux possibilités (suffixe choisi complètement à la mano, possiblement court mais pas forcément, avec ip token [...], et le fait d'avoir un suffixe stable dont le calcul dépend d'une valeur secrète mais qui reste donc déterministe avec stable_secret). Le fd00::42 c'était essentiellement pour illustrer le fait qu'à petite échelle on peut garder son NAS avec une IPv6 facile à retenir et donc que l'argument "une ipv6 c'est trop long" peut être mis en défaut ; après sur certaines choses comme les IP des DNS publics du genre Google, Quad9 ou Cloudflare le motif IPv6 ne sera jamais aussi simple qu'en IPv4.

simon

  • Abonné Orange Fibre
  • *
  • Messages: 1 553
Le CG-NAT arrive chez Orange
« Réponse #55 le: 31 janvier 2025 à 14:55:41 »
DHCPv6 sert à gérer dynamiquement la configuration des hôtes (c'est dans le nom  ;)) et déléguer des préfixes. SLAAC sert essentiellement à attribuer une adresse IP.

SLAAC permet effectivement de configurer des adresses et une route par défaut. En plus de cela, il courament utilisé pour annoncer des serveurs DNS + une "search list" et, de plus en plus, annoncer un préfixe de NAT64 (option PREF64).
Il peut aussi distribuer des routes plus spécifiques, annoncer/retirer des préfixes, etc.
C'est beaucoup plus évolué qu'une simple configuration d'adresse, et donc il y a doublon sur pas mal de fonctionnalités avec DHCPv6. D'où le fait que DHCPv6 n'est que très peu utilisé sur les LAN.

simon

  • Abonné Orange Fibre
  • *
  • Messages: 1 553
Le CG-NAT arrive chez Orange
« Réponse #56 le: 31 janvier 2025 à 15:02:53 »
Cela augmente la probabilité que les hôtes soient ciblés lors d'un balayage automatique d'une liste contenant des IID prédéfinis. Ce n'est pas tellement préconisé à ce
qu'il me semble.

Si il y a crainte d'une attaque sur les machines, les bonnes pratiques suggestent la configuration d'ACL, de règles de filtrage ou firewalling au niveau du routeur ou plus en amont dans le réseau.

Personnellement, je ne filtre pas grand chose sur les routeurs. J'ai tendance à gerder le réseau neutre et sans filtrage, y compris pour ce qui vient d'internet, et laisse les stations se protéger d'elles-même.
Cela fait plusieurs années que les PC clients se protègent relativement bien de ce qui vient d'internet, même Windows. Ils ont tous un firewall activé par défaut, ou activable très facilement.

Il peut y avoir des problèmes de sécurité sur des clients IOT qui sont mal ou pas protégés, mais 1) je n'en déploie pas et n'en conseille pas et 2) si de tels clients il y a, je recommande de les placer sur un VLAN à part, qui lui, va filtrer.

Pour tous les réseaux de gestion de bâtiment ou industriels, ma recommendation est de les isoler d'internet, et à priori l'ANSSI va dans ce sens.

Après, chacun a sa politique de sécurité, bien sûr.

levieuxatorange

  • Expert Orange
  • Expert
  • *
  • Messages: 244
Le CG-NAT arrive chez Orange
« Réponse #57 le: 31 janvier 2025 à 16:54:39 »
En soi, est-ce qu'il y a quelque chose qui nous empêche d'utiliser ipv6 seulement en base 10 ? :)

Qui peut le plus peut le moins... mais en effet, ça pourrait être une option standardisée pour faciliter la lecture dans les réseaux locaux... pouvoir demander à son routeur de donner des ipv6 sans ABCDEF

Dans les truc drole j'avais vu cela : IPv6 en mots anglais.

https://s.sami-lehtinen.net/say-ipv6/

On peut même faire de l'IPv6 en pure anglais.

LeVieux

renaud07

  • Abonné Orange adsl
  • *
  • Messages: 4 274
Le CG-NAT arrive chez Orange
« Réponse #58 le: 31 janvier 2025 à 17:42:23 »
SLAAC permet effectivement de configurer des adresses et une route par défaut. En plus de cela, il courament utilisé pour annoncer des serveurs DNS + une "search list" et, de plus en plus, annoncer un préfixe de NAT64 (option PREF64).
Il peut aussi distribuer des routes plus spécifiques, annoncer/retirer des préfixes, etc.
C'est beaucoup plus évolué qu'une simple configuration d'adresse, et donc il y a doublon sur pas mal de fonctionnalités avec DHCPv6. D'où le fait que DHCPv6 n'est que très peu utilisé sur les LAN.

En parlant des routes, ce que je trouve dommage c'est qu'on soit obligé de passer par SLAAC et donc avoir un radvd par ex qui tourne (et ne pas se tromper dans la config au risque de se faire router les paquets au mauvais endroit). J'aurais préféré  les annoncer par DHCPv6. Dommage que ça ne soit resté qu'à l'état de draft, même s'il semble que dhclient le prend toujours en charge : https://www.isc.org/blogs/routing-configuration-over-dhcpv6-2/

simon

  • Abonné Orange Fibre
  • *
  • Messages: 1 553
Le CG-NAT arrive chez Orange
« Réponse #59 le: 31 janvier 2025 à 19:27:44 »
Oui, on aurait pu penser que DHCP offre la même possibilité.

À mon sens, la raison pour laquelle ils ne l'ont pas fait est simple: seuls les routeurs en capacité de router s'annoncent par émission de RA. Si le routeur tombe, le RA n'est plus annoncé, la/les routes non plus, et elles finissent par expirer automatiquement. On a un réseau beaucoup plus dynamique, où l'on peut ajouter/retirer des routeurs aisément.

C'est aussi la raison pour laquelle on ne peut pas spécifier un next hop dans les annonces de routes du RA : c'est forcément l'émetteur du RA qui est le routeur. Ce n'est pas le cas pour l'option RDNSS, par exemple.

Et dans tous les cas, comme il te faut un RA avec le flag M pour qu'une station fasse une requete DHCPv6, autant que les routes soient annoncées par le RA. Ca te permet d'avoir plusieurs routeurs sur le lien et qu'ils aillent et viennent sans avoir besoin d'en informer le serveur DHCP.