@Leon :

Tu n'as pas fait d'approximation.

J'essaye d'exposer mon point de vue avec des analogies. Mais ce n'est pas une réussite car on ne voit pas le lien avec le propos.

Ma gêne provient plus de la tournure du propos, de la mise en avant de l'usage fautif des VPN commerciaux. Je pense qu'une démarche
proactive avec des scénarios concrets permet de mieux appréhender les enjeux. Faire une démonstration technique des attaques pour
sensibiliser. Relever ce qui ne fonctionne pas ne me paraît pas très productif même si on évite des écueils.

Je ne demande pas de faire une démonstration technique sur le forum. Ce serait plus le rôle des activistes, passionnés en cybersécurité
pour le grand public.

@polux :

Il semblerait qu'il s'agisse d'une configuration avancée, pas configurable dans l'interface usuelle.

Passthrough: This mode is applicable when IPv6 packets need to be directly passed through without any processing or conversion.
For example, some specific network applications or services may require the complete preservation of the content of IPv6 packets
for further processing or analysis, which is used by technical personnel for network debugging or security analysis.

source : https://docs.gl-inet.com/router/en/4/interface_guide/ipv6/

Lire aussi « OpenWRT 25.12 derrière une Freebox: IPv6, DMZ et Bridge ».

J'ai un peu parcouru l'article et j'ai un doute sur la façon de procéder, certaines choses me chiffonnent.

On fait comme si la Freebox déléguait véritablement un préfixe /61 au routeur branché derrière. Les 8 préfixes /64 combinés forment un préfixe /61.
En réalité, on assigne les préfixes de façon statique dans le routeur. Cela reste du bricolage si la Freebox annonce ses différents préfixes IPv6 par RA.

Non la Freebox n'annonce pas les différents préfixes du /61 par RA, seul le premier /64 l'est par défaut.
Il est possible de rajouter un nexthop statique sur ce premier /64, ce que désactive les RA de la Freebox étant donné qu'il est désormais routé.
Il n'y a pas de bricolage, c'est la façon de faire faire fonctionner IPv6 sur un routeur derrière une Freebox en mode bridge.

Le mode passthrough permet de laisser passer les annonces RA d'un routeur en amont (donc la Freebox), c'est vrai, c'est absent de certains routeurs donc j'ai tendance à oublier son existence. Mais comme le routeur est transparent, j'imagine qu'on ne peut pas utiliser de règles de pare-feu ni avoir plus d'un sous-réseau, donc ce n'est pas très flexible ni sécuritaire.

L'IPv6 n'a pas pour but de plus sécuriser le trafic qu'IPv4, ce n'est d'ailleurs pas le rôle de la couche réseau, sauf utilisation d'IPsec mais ce n'est pas un comportement par défaut.

mais alors ?...ou est l'intérêt d'une ipv6 si l'ipv4 est toujours affiché ?

Affichée où ? Si tu parles d'un site pour afficher ses adresses IP, ils sont une exception et utilisent tes connectivités IPv4 et IPv6 pour t'afficher les 2 adresses. Tous les autres sites compatibles IPv6 n'utilisent que ta connectivité IPv6 (sauf connexions supplémentaires vers d'autres CDN encore en IPv4) et le "bénéfice" est que grâce aux extensions de confidentialité, ton adresse IPv6 change régulièrement et le serveur ne peut pas t'associer à une adresse long terme. Cependant, le préfixe /64 reste le même et les sites ont des dizaines d'autres moyens de suivi à base de pixels de suivi, cookies, JS dans la page etc. L'adresse IP joue aujourd'hui un bien maigre rôle dans le combat contre le traçage en ligne.

je voulais utiliser WireGuard (vpn semble t'il utilisé gratuitement sur ce routeur)
pour protéger l'ensemble de l'installation qui se trouve derrière le flint2
mais comme il est derrière la freebox et que le port 51820 semble être utilisé pour cela
ça va être "chaud" de faire une redirection de port sur la freebox pour "atteindre" le flint2 non ?
ou alors je n'ai pas tout compris ?

Tu n'as plus de redirection de port à faire dans la Freebox, elle est complètement transparente comme c'est le Flint 2 qui porte l'adresse IPv4. Donc tu as juste à l'ouvrir dans son pare-feu, si ce n'est pas fait automatiquement par l'activation du service VPN. En revanche il faut bien comprendre qu'ouvrir le port ne sert qu'à se connecter à ton LAN depuis l'extérieur, si tu as des ressources auxquelles accéder.

Si tu veux utiliser un VPN pour joindre tout Internet depuis l'intérieur, c'est avec un client soit sur ton PC soit sur le routeur s'il le supporte, mais pas besoin d'ouvrir de port. Mais l'utilité est aujourd'hui nulle, je rejoins le consensus de tout le monde sur ce point.