Modifications de « ZAC/Ndjaména/IPv6 »

Modifications entre les versions 2 et 13 (s'étendant sur 11 versions)

Sommaire

Usage d'IPv6
1. Répartition
2. Firewall
Auparavant

Usage d'IPv6

Préfixe assigné par le FAI , MARLINK: 2a02:6600:8001:200::/56 .
extrait fichier d'interfaces sur la passerelle

auto eth0.4
iface eth0.4 inet static
    address 77.70.182.226
    netmask 255.255.255.224
    gateway 77.70.182.225
    up ip addr add  77.70.182.227/32 dev eth0.4
    up ip -6 addr add 2a02:6600:8001:201::2/64 dev eth0.4
    up ip -6 route  add default via 2a02:6600:8001:201::1 dev eth0.4

éviter l'autoconf d'une interface ? Dans /etc/sysctl.d/local.conf par exemple

net.ipv6.conf.ethxx.autoconf=0
net.ipv6.conf.ethxx.accept_ra=0

Répartition

On prend notre /56 qu'on découpe en plusieurs /60; soit 16 réseaux.
- sipcalc -S 60 2a02:6600:8001:200::/56

Préfixe générique	Réseau	Usage
2a02:6600:8001:200::/56	2a02:6600:8001:200::/60	WAN
	2a02:6600:8001:210::/60	RPV_SVR , réseau d'administration
	2a02:6600:8001:220::/60	DMZ
	2a02:6600:8001:230::/60	(Usagers: personnel, prof,étudiants)
	2a02:6600:8001:240::/60	Nomade
	2a02:6600:8001:250::/60	...
	...	...

A l'exception du réseau des usagers et nomades, tous les autres ont ou auront des adresses attribuées statiquement.

WAN

Préfixe générique : 2a02:6600:8001:200::/60
- préfixe employé : 2a02:6600:8001:201::/64 ¹

DMZ

Préfixe générique : 2a02:6600:8001:220::/60
- préfixe employé : 2a02:6600:8001:220::/64

Réseau Usagers

L'adressage via SLAAC (radvd) partout .

Préfixe générique	Réseau	Usage
2a02:6600:8001:230::/60	2a02:6600:8001:230::/64	Personnel
	2a02:6600:8001:231::/64	infotech
	2a02:6600:8001:232::/64	salle réunion
	2a02:6600:8001:233::/64	formation
	2a02:6600:8001:234::/64	prof

Firewall

Le principe étant d'avoir des règles s'appliquant à l'ensemble des groupes de réseaux. Si besoin de régles précises pour un réseau particulier, le déclarer avant les régles plus globales
laisser passer ICMPv6 partout !!(ou du moins certaines options² ) C'est pour cela qu'on a ceci dans le script du parefeu

for t in 'echo-request' 'echo-reply' 'no-route' 'packet-too-big' 'time-exceeded' 'parameter-problem'
do
    $IPF -A INPUT -p icmpv6 --icmpv6-type $t -j ACCEPT
    $IPF -A FORWARD -p icmpv6 --icmpv6-type $t -j ACCEPT
done

Auparavant

Auparavant Marlink avait déjà offert un accès IPv6. Mais à cette époque c'était en test; le FAI ne garantissait aucune qualité de service. Une Archive de la page ici

MARLINK avait déjà utilisé une adresse dans cette plage pour son routeur (1)
Recommandations du RIPE NCC pour un équipement de bordure Voir «Advanced IPv6 - training course» . Avril 2016. p. 170 .
Lire les RFC 4890 et 7084 (2)

-  ⇤ ← Version 2 à la date du 2012-02-24 08:30:57 → 
  Taille: 1906
  Éditeur: NacerAdamouSaidou
  Commentaire:
+   ← Version 13 à la date du 2018-02-25 16:27:58 → ⇥
  Taille: 3151
  Éditeur: WillyManga
  Commentaire: liaison IPv6 native
-Texte supprimé.
+Texte ajouté.
 Ligne 1:
-Au CNF de N'Djamena, nous avons mis en place l'infrastructure nécessaire pour conduire des tests de fonctionnement de l'ensemble des services dont nous assurons l'opération dans le cadre de nos activités.
+<<TableOfContents()>>
== Usage d'IPv6 ==
-Ligne 3:
+Ligne 4:
-L'objet de cette page est de mettre à disposition de tous les informations sur nos objectifs, la démarche entreprise et les résultats obtenus, en espérant qu'ils serviront dans le cadre d'un déploiement à plus grande échelle à l'AUF.
 Ligne 5:
-== But et objectifs ==
 * '''But''': préparer la migration à IPv6 du réseau informatique du CNF de N'Djamena
 * '''Objectifs''': 
  * Tester le bon fonctionnement des services classiques d'un CNF sous IPv6
  * Identifier les configurations/changements/évolutions à apporter à nos services pour fonctionner correctement en dual stack (IPv4, v6)
  * Etudier et discuter des implications en terme de sécurité (VPN multipoint, filtrage ip6tables, etc)
  * Donner quelques indications sur le coût éventuel d'une telle migration
+ * Préfixe assigné par le FAI , MARLINK: 2a02:6600:8001:200::/56 .
-Ligne 13:
+Ligne 7:
-== Etape 1: Bilan matériel ==
|| Type de matériel || Support IPv6 || Commentaires ||
|| Routeur Cisco 1841 || Oui || Il a fallu changer de firmware ||
|| PC (architecture i386) || Oui || Pas d'implication directe, tout dépend de l'OS installé ||
|| Serveur Transtec (amd64) || Oui || Pas d'implication directe, tout dépend de l'OS installé ||
-Ligne 19:
+Ligne 8:
-== Etape 2: Bilan des OS ==
|| OS|| Support IPv6 || Commentaires ||
|| Debian Squeeze (amd64) 2.6.32-5-686 || Oui ||  ||
|| Ubuntu Lucid (i386) 2.6.32-35-generic || Oui || Support natif du noyau. IPv6 est activé par défaut, ce qui pose un problème de sécurité sur les réseaux IPv4 only ouvert au public ||
|| Windows XP || ? ||  ||
|| Windows Vista || ? ||  ||
|| Windows 7 et plus || ?||  ||
+ * extrait fichier d'interfaces sur la passerelle
{{{
auto eth0.4
iface eth0.4 inet static
    address 77.70.182.226
    netmask 255.255.255.224
    gateway 77.70.182.225
    up ip addr add  77.70.182.227/32 dev eth0.4
    up ip -6 addr add 2a02:6600:8001:201::2/64 dev eth0.4
    up ip -6 route  add default via 2a02:6600:8001:201::1 dev eth0.4
-Ligne 27:
+Ligne 19:
-== Etape 3: Bilan logiciel ==
+}}}
-Ligne 29:
+Ligne 21:
-== Etape 4: Obtention d'une plage d'adresses IPv6 ==
-Ligne 31:
+Ligne 22:
-== Etape 5: Configurations ==
+ * éviter l'autoconf d'une interface ? Dans `/etc/sysctl.d/local.conf` par exemple
{{{
net.ipv6.conf.ethxx.autoconf=0
net.ipv6.conf.ethxx.accept_ra=0
}}}
-Ligne 33:
+Ligne 28:
-== Conclusions ==
+=== Répartition ===

 * On prend notre /56 qu'on découpe en plusieurs /60; soit 16 réseaux.
  * `sipcalc -S 60 2a02:6600:8001:200::/56`

||Préfixe générique || Réseau || Usage ||
||<|7> 2a02:6600:8001:200::/56 ||2a02:6600:8001:200::/60 || WAN ||
|| 2a02:6600:8001:210::/60 ||RPV_SVR , réseau d'administration ||
|| 2a02:6600:8001:220::/60  || DMZ ||
|| 2a02:6600:8001:230::/60  ||(Usagers: personnel, prof,étudiants) ||
|| 2a02:6600:8001:240::/60 || Nomade ||
|| 2a02:6600:8001:250::/60 || ... ||
|| ... || ... ||

 * {i} A l'exception du réseau des usagers et nomades, tous les autres ont ou auront des adresses attribuées statiquement.


==== WAN ====
 * Préfixe générique : 2a02:6600:8001:200::/60
  * préfixe employé : 2a02:6600:8001:201::/64 <<FootNote(MARLINK avait déjà utilisé une adresse dans cette plage pour son routeur)>>


==== DMZ ====
 * Préfixe générique : 2a02:6600:8001:220::/60
  * préfixe employé : 2a02:6600:8001:220::/64

==== Réseau Usagers ====


 * L'adressage via SLAAC (''radvd'') partout .

||Préfixe générique || Réseau || Usage ||
||<|6> 2a02:6600:8001:230::/60 ||2a02:6600:8001:230::/64 || Personnel ||
|| 2a02:6600:8001:231::/64 || infotech ||
|| 2a02:6600:8001:232::/64 || salle réunion ||
|| 2a02:6600:8001:233::/64 || formation ||
|| 2a02:6600:8001:234::/64 || prof ||


=== Firewall ===


 * Le principe étant d'avoir des règles s'appliquant à l'ensemble des groupes de réseaux. Si besoin de régles précises pour un réseau particulier, le déclarer avant les régles plus globales
 * laisser passer ICMPv6 partout !!(''ou du moins certaines options''<<FootNote(Recommandations du RIPE NCC pour un équipement de bordure Voir «Advanced IPv6 - training course» . Avril 2016. p. 170 . <<BR>>Lire les RFC [[https://tools.ietf.org/html/rfc4890|4890]] et [[https://tools.ietf.org/html/rfc7084 | 7084]] )>> ) C'est pour cela qu'on a ceci dans le script du parefeu
{{{
for t in 'echo-request' 'echo-reply' 'no-route' 'packet-too-big' 'time-exceeded' 'parameter-problem'
do
    $IPF -A INPUT -p icmpv6 --icmpv6-type $t -j ACCEPT
    $IPF -A FORWARD -p icmpv6 --icmpv6-type $t -j ACCEPT
done
}}}

== Auparavant ==

Auparavant Marlink avait déjà offert un accès IPv6. Mais à cette époque c'était en ''test''; le FAI ne garantissait aucune qualité de service. Une Archive de la page [[https://wiki.auf.org/wikiteki/ZAC/Ndjam%C3%A9na/IPv6?action=recall&rev=11| ici ]]

----

WikiTeki / Modifications de « ZAC/Ndjaména/IPv6 »

Usage d'IPv6

Répartition

WAN

DMZ

Réseau Usagers

Firewall

Auparavant