Au CNF de N'Djamena, nous avons mis en place l'infrastructure nécessaire pour conduire des tests de fonctionnement de l'ensemble des services dont nous assurons l'opération dans le cadre de nos activités.
L'objet de cette page est de mettre à disposition de tous les informations sur nos objectifs, la démarche entreprise et les résultats obtenus, en espérant qu'ils serviront dans le cadre d'un déploiement à plus grande échelle à l'AUF.
But et objectifs
But: préparer la migration à IPv6 du réseau informatique du CNF de N'Djamena
Objectifs:
- Tester le bon fonctionnement des services classiques d'un CNF sous IPv6
- Identifier les configurations/changements/évolutions à apporter à nos services pour fonctionner correctement en dual stack (IPv4, v6)
- Etudier et discuter des implications en terme de sécurité (VPN multipoint, filtrage ip6tables, etc)
- Donner quelques indications sur le coût éventuel d'une telle migration
Etape 1: Bilan matériel
Type de matériel |
Support IPv6 |
Commentaires |
Routeur Cisco 1841 |
Oui |
Il a fallu changer de firmware |
PC (architecture i386) |
Oui |
Pas d'implication directe, tout dépend de l'OS installé |
Serveur Transtec (amd64) |
Oui |
Pas d'implication directe, tout dépend de l'OS installé |
Etape 2: Bilan des OS
OS |
Support IPv6 |
Commentaires |
Debian Squeeze (amd64) 2.6.32-5-686 |
Oui |
|
Ubuntu Lucid (i386) 2.6.32-35-generic |
Oui |
Support natif du noyau. IPv6 est activé par défaut, ce qui pose un problème de sécurité sur les réseaux IPv4 only ouvert au public |
Windows XP |
Oui |
Nécessite l'installation du pack SP1. |
Windows Vista/7 et plus |
Oui |
Support IPv6 activé par défaut |
N.B: les systèmes Windows ne sont pas recommandés à l'AUF et au CNF de N'Djamena nous ne les utilisons pas sur nos PC/Serveurs. Ils sont cités ici en car ce sont les OS utilisés par quasiment tous nos usagers munis de laptop.
Etape 3: Bilan logiciel
Logiciel/service |
Support IPv6 |
Commentaires |
auf-django-users |
|
|
auf-poste-client |
|
|
nfsv4 |
|
|
filtrage |
Support IPv6 |
Ici on veut étudier les contraintes particulières, les similitudes, les différences et les implications particulières liés à la mise en oeuvre d'ip6tables |
dns |
|
dns et dnssec en double pile. |
web |
|
|
|
|
|
dhcp(v6) |
|
Il s'agit surtout ici d'étudier les opportunités et les solutions de configuration stateful en IPv6 |
ipsec |
|
Etudier la mise en oeuvre d'ipsec dans un contexte de double pile, et notamment la construction d'un pki léger en couplant ipsec + dnssec? |
mysql |
|
|
- Pour les utilitaires classiques tcpdump, netstat, ssh, telnet, ping etc, fonctionnent bien en général avec ipv6.
Etape 4: Obtention d'une plage d'adresses IPv6
- Plage d'adresse: 2A02:6600:0100:1000::/52
- Plan d'adressage - Principe: chaque sous réseau en /64. Voir le schéma de réseau du CNF pour détails.
- Vizada Networks nous fournit ce service et cette plage d'adresse gratuitement mais sans SLA associé. Cela nous convient pour le moment vu que nous n'utilisons ceci que pour les tests pour le moment.
- Le service IPv6 nous est fournie via un tunnel manuel permanent entre le routeur cisco de sortie de réseau du CNF et un routeur cisco coté vizada. Voir les détails de la configuration plus bas.
Etape 5: Configurations
Configuration du tunnel
Sur le routeur Cisco:
cnf-ndjamena#config Configuring from terminal, memory, or network [terminal]? Enter configuration commands, one per line. End with CNTL/Z. cnf-ndjamena(config)#interface tunnel 0 cnf-ndjamena(config-if)#ipv6 enable cnf-ndjamena(config-if)#ipv6 address 2A02:6600:0100:1000::1/64 cnf-ndjamena(config-if)#tunnel source FastEthernet 0/1 cnf-ndjamena(config-if)#tunnel destination 193.219.192.28 cnf-ndjamena(config-if)#tunnel mode gre ip cnf-ndjamena(config-if)# exit cnf-ndjamena(config)#ipv6 unicast-routing cnf-ndjamena(config)#ipv6 route 2A02:6600:0100:1000::/52 2A02:6600:0100:1000::2 cnf-ndjamena(config)#ipv6 route ::/0 tunnel0
2A02:6600:0100:1000::2 est l'adresse IPv6 du parefeu 2 (dédié au réseau de test IPv6).