Projet

Général

Profil

IPv6 » Historique » Version 12

Bernard Urban, 29/09/2011 23:06

1 1 Laurent GUERBY
h1. IPv6
2 1 Laurent GUERBY
3 1 Laurent GUERBY
Information about IPv6
4 1 Laurent GUERBY
5 1 Laurent GUERBY
Issue #35
6 1 Laurent GUERBY
7 2 Laurent GUERBY
h2. Links
8 2 Laurent GUERBY
9 5 Laurent GUERBY
General
10 5 Laurent GUERBY
11 2 Laurent GUERBY
* http://en.wikipedia.org/wiki/ICMPv6
12 3 Laurent GUERBY
* http://en.wikipedia.org/wiki/Neighbor_Discovery_Protocol
13 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/Radvd
14 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/DHCPv6
15 5 Laurent GUERBY
16 5 Laurent GUERBY
Linux
17 5 Laurent GUERBY
18 5 Laurent GUERBY
* http://madduck.net/docs/ipv6/
19 5 Laurent GUERBY
* http://tldp.org/HOWTO/Linux+IPv6-HOWTO/
20 2 Laurent GUERBY
21 1 Laurent GUERBY
h2. How to enable routing for /56 ?
22 1 Laurent GUERBY
23 1 Laurent GUERBY
Currently each IPv4 delivered by tetaneutral.net is matched by a /56 IPv6 (mapping /24  = 256 IPv4 <=> /48 = 256 /56 IPv6).
24 7 Jérôme Nicolle
25 7 Jérôme Nicolle
As tetaneutral.net is a simple flat ethernet network, all machines are on the same broadcast domain. In order to route /56s we must :
26 7 Jérôme Nicolle
- Assign interconexion subnets. Current recommendation is to provide /112s matched to (but outside) of the corresponding /56
27 7 Jérôme Nicolle
- Add a local static route for this subnet to h3 and gw (admin required)
28 7 Jérôme Nicolle
29 8 Laurent GUERBY
h2. Discussions
30 1 Laurent GUERBY
31 8 Laurent GUERBY
> J'ai fait quelques essais: VM configuré en routeur, openvpn entre la VM
32 8 Laurent GUERBY
> et ma machine, histoire de simuler des interfaces. J'ai essayé radvd
33 8 Laurent GUERBY
> comme des définitions manuelles des adresses IPv6.
34 8 Laurent GUERBY
> 
35 8 Laurent GUERBY
> Bon, ça marche depuis la VM mais pas depuis chez moi (wget
36 8 Laurent GUERBY
> http://ipv6.google.com), même si les paquets IPv6 (vu avec tcpdump)
37 8 Laurent GUERBY
> partent bien de la VM vers l'internet. Mais il n'y a pas de retour.
38 8 Laurent GUERBY
> 
39 8 Laurent GUERBY
> Après quelques cogitations et la lecture de ceci:
40 8 Laurent GUERBY
> http://www.fdn.fr/IPv6-a-la-maison.html j'en arrive à ces
41 8 Laurent GUERBY
> réflexions:
42 8 Laurent GUERBY
> 
43 8 Laurent GUERBY
> 1) Dans le blog FDN ci-dessus l'adresse IPv6 affectée au ppp0 n'est pas
44 8 Laurent GUERBY
> dans son /48; ce qui voudrait dire qu'il n'y a pas de raison d'affecter
45 8 Laurent GUERBY
> une IPv6 du /56 au eth0 des VM tetaneutral.
46 8 Laurent GUERBY
> 
47 8 Laurent GUERBY
> 2) Pour faire marcher une telle config à FDN, le routeur FDN en amont du
48 8 Laurent GUERBY
> modem/routeur de l'abonné devrait avoir une route du type:
49 8 Laurent GUERBY
> ip -6 route add range/48 dev ppp-abonné via link-local-ppp-abonné
50 8 Laurent GUERBY
> soit chez nous:
51 8 Laurent GUERBY
> ip -6 route add range/56 dev eth0-vm via link-local-eth0-vm
52 8 Laurent GUERBY
> 
53 8 Laurent GUERBY
> > du /56 via une interconnection explicite entre le routeur de
54 8 Laurent GUERBY
> > tetaneutral.net et un routeur chez le membre ?
55 8 Laurent GUERBY
> 
56 8 Laurent GUERBY
> Un lien openvpn?
57 8 Laurent GUERBY
58 8 Laurent GUERBY
Bonsoir,
59 8 Laurent GUERBY
60 8 Laurent GUERBY
On peut rajouter une regle de routage comme tu le suggere,
61 8 Laurent GUERBY
reste a choisir les details pratiques.
62 8 Laurent GUERBY
63 8 Laurent GUERBY
Pour la link-local coté routeur on a choisi fe80::31 en statique il
64 8 Laurent GUERBY
reste a choisir une regle pour attribuer le link local coté client. 
65 8 Laurent GUERBY
66 8 Laurent GUERBY
Une regle automatique basée sur l'IPv4 est en place pour
67 8 Laurent GUERBY
l'attribution du subnet IPv6 :
68 8 Laurent GUERBY
69 8 Laurent GUERBY
http://wiki.tetaneutral.net/index.php/Architecture
70 8 Laurent GUERBY
71 8 Laurent GUERBY
Une regle similaire pour le routage donnerait par exemple fe80::81:XY
72 8 Laurent GUERBY
ou XY est le dernier octet de l'IPv4 ecrit en hexadecimal
73 8 Laurent GUERBY
pour la link local coté client.
74 8 Laurent GUERBY
75 8 Laurent GUERBY
L'avantage d'une regle statique vs le SLAAC c'est que c'est un peu plus
76 8 Laurent GUERBY
flexible coté client sur le choix de l'equipement routeur.
77 8 Laurent GUERBY
78 8 Laurent GUERBY
L'avantage du routé est bien sur la flexibilité et la sécurisation
79 8 Laurent GUERBY
potentielle, l'inconvenient est qu'avec nos equipements actuels peu
80 8 Laurent GUERBY
puissant on perdra un peu en debit mais ça se corrigera avec
81 8 Laurent GUERBY
de nouveaux equipements.
82 8 Laurent GUERBY
83 8 Laurent GUERBY
Je suis vraiment curieux de savoir comment font les autres hebergeurs
84 8 Laurent GUERBY
dans le monde IPv6, ceux auxquels j'ai acces ne proposent pas de
85 8 Laurent GUERBY
routage, simplement ce que propose tetaneutral.net actuellement.
86 8 Laurent GUERBY
87 8 Laurent GUERBY
Suggestions ?
88 8 Laurent GUERBY
89 9 Bernard Urban
h2. Connectivité IPv6 complète depuis chez vous en quelques étapes simples +(en cours d'édition)+
90 9 Bernard Urban
91 10 Bernard Urban
Connectivité complète signifie que toutes vos machines pouvant fonctionner en IPv6 peuvent accéder des sites IPv6 externes mais surtout être joignables de l'extérieur sur une adresse IPv6 propre. Pas de NAT ou autre bidouille de ce genre. Implications en terme d'autohébergement et sécurité laissées en exercice. 
92 9 Bernard Urban
93 11 Bernard Urban
Pour bien comprendre ce qui suit, il est recommandé d'avoir un peu potassé les hyperliens plus haut et mieux encore d'avoir joué avec l'IPv6 sur votre réseau local maison en utilisant par exemple des adresses ULA.
94 1 Laurent GUERBY
95 10 Bernard Urban
h3. Etape 1: obtenir une machine virtuelle Tetaneutral. 
96 10 Bernard Urban
97 10 Bernard Urban
Celle-ci (on l'appellera VM dans la suite) sera configurée par défaut comme suit dans /etc/network/interfaces du point de vue IPv6:
98 9 Bernard Urban
<pre>
99 9 Bernard Urban
iface eth0 inet6 static
100 9 Bernard Urban
   address 2a01:6600:80XX:YY00::1
101 1 Laurent GUERBY
   netmask 56
102 1 Laurent GUERBY
   gateway fe80::31
103 1 Laurent GUERBY
</pre>
104 1 Laurent GUERBY
105 1 Laurent GUERBY
où XX et YY sont les versions hexadécimales des xx et yy décimaux de votre (unique!) adresse IPv4 de la forme 91.224.xx.yy.
106 10 Bernard Urban
107 11 Bernard Urban
Voyons ce qu'implique la prise en compte par le système de ce fragment de /etc/network/interfaces. Il dit que:
108 10 Bernard Urban
# l'adresse 2a01:6600:80XX:YY00::1 est affectée à eth0, ce qui signifie que votre VM est accessible à cette adresse depuis l'intérieur de la VM comme depuis l'extérieur par toutes les machines du même segment réseau que eth0
109 10 Bernard Urban
# les paquets passant par votre VM peuvent atteindre les adresses de la plage 2a01:6600:80XX:YY00::/56 en étant envoyés en sortie de l'interface eth0
110 10 Bernard Urban
111 10 Bernard Urban
La plage 2a01:6600:80XX:YY00::/56 a été allouée par tetaneutral à votre VM. Notre problème est d'allouer une partie de ces adresses à des machines de notre domicile en utilisant l'accès que nous avons (en IPv4!) à la VM.
112 10 Bernard Urban
113 1 Laurent GUERBY
Avec cette configuration, vous pouvez héberger sur la VM des milliards de serveurs avec des adresses IPv6 différentes, il suffit de les ajouter à eth0 par une commande du type:
114 10 Bernard Urban
<pre>
115 10 Bernard Urban
ip -6 address add une-adresse-ipv6-de votre-plage/56 dev eth0
116 10 Bernard Urban
</pre>
117 11 Bernard Urban
Le /56 n'est pas absolument nécessaire, il évite juste de rajouter une route plus spécifique pour atteindre votre nouvelle adresse IPv6 depuis votre VM, route qui s'avère redondante.
118 10 Bernard Urban
119 1 Laurent GUERBY
Le lecteur attentif aura noté que cette configuration déclare que toutes les adresses de votre plage sont situées derrière eth0, en dehors de la partie contrôlée par votre VM, et il semble impossible alors d'en distraire une partie. Il y a au moins deux solutions à ce problème:
120 1 Laurent GUERBY
# S'arranger pour que les segments réseau de votre domicile fassent partie de celui partant de eth0 sur la VM. Celà revient techniquement à bridger ces segments réseaux. Cette solution a cependant des inconvénients en terme de configurabilité et de sécurité.
121 12 Bernard Urban
# Réduire la plage IPv6 allouée derrière l'eth0 de la VM et réallouer le solde à votre réseau local maison, par des techniques de routage. C'est ce qu'on va décrire dans la suite. Mais d'abord, on a besoin d'un peu de collaboration de Tetaneutral. 
122 1 Laurent GUERBY
123 11 Bernard Urban
h3. Etape 2: faire router votre plage /56 par Tetaneutral.
124 1 Laurent GUERBY
125 11 Bernard Urban
Dans la configuration par défaut des VM Tetaneutral, l'hôte des VM crée la route vers l'adresse 2a01:6600:80XX:YY00::1 (et des autres que vous rajoutez éventuellement à la main sur eth0) par l'utilisation de l'équivalent IPv6 d'ARP. Il est donc impossible de router vers une adresse qui n'existe pas sur cet eth0. 
126 11 Bernard Urban
127 11 Bernard Urban
Tetaneutral doit donc rajouter une route explicite:
128 11 Bernard Urban
<pre>
129 11 Bernard Urban
ip -6 route add 2a01:6600:80XX:YY00::/56 via fe80::XX:YY dev votre-eth0-côté-hôte
130 11 Bernard Urban
</pre>
131 11 Bernard Urban
132 1 Laurent GUERBY
Celà n'a de sens que si fe80::XX:YY une des adresses de l'eth0 côté VM. Il faut donc l'ajouter et le mieux est de le faire via une directive 'up' dans /etc/network/interfaces:
133 12 Bernard Urban
<pre>
134 11 Bernard Urban
iface eth0 inet6 static
135 11 Bernard Urban
   address 2a01:6600:80XX:YY00::1
136 11 Bernard Urban
   netmask 64
137 11 Bernard Urban
   gateway fe80::31   
138 11 Bernard Urban
   up ip -6 add add fe80::XX:YY dev eth0
139 1 Laurent GUERBY
</pre>
140 11 Bernard Urban
141 12 Bernard Urban
Mon lecteur toujours très attentif n'aura pas manqué de noter que netmask ci-dessus est passé de 56 à 64. Nous n'allouons donc maintenant plus toutes nos adresses IPv6 sur le segment réseau partant d'eth0. En particulier, nous allons voir maintenant comment récupérer 2a01:6600:80XX:YY01::/64 pour notre réseau à domicile. 
142 1 Laurent GUERBY
143 12 Bernard Urban
+Remarque:+ la sous-plage doit être /64 au minimum, sinon l'adressage automatique des interfaces réseau qu'on verra plus loin ne marchera pas.
144 12 Bernard Urban
145 1 Laurent GUERBY
h3. Etape 3: simuler un lien ethernet entre une machine à la maison et cette VM.
146 1 Laurent GUERBY
147 11 Bernard Urban
Les technologies VPN/tunnel sont le pendant réseau des machines virtuelles: elles permettent de créer des interfaces réseaux virtuelles (du point de vue hardware, mais bien réelles d'un point de vue logiciel) et de les connecter entre elles. 
148 1 Laurent GUERBY
149 12 Bernard Urban
Tout comme les machines virtuelles nécessitent quand même un minimum de support silicium, un VPN/tunnel va nécessiter de s'appuyer sur une vraie liaison entre deux vraies interfaces réseau, en l'occurence pour nous la liaison internet IPv4 entre autre utilisée pour l'administration de la VM depuis votre domicile. Plus précisément, nous allons utiliser l'outil openvpn.
150 11 Bernard Urban
151 11 Bernard Urban
La première étape va consister à installer openvpn en mode serveur sur la VM. Le fichier suivant est à créer dans /etc/openvpn/myris.conf:
152 11 Bernard Urban
<pre>
153 11 Bernard Urban
dev tap
154 11 Bernard Urban
proto udp
155 11 Bernard Urban
local 91.224.xx.yy
156 11 Bernard Urban
float
157 11 Bernard Urban
ca myris/ca.crt
158 11 Bernard Urban
cert myris/myris.crt
159 11 Bernard Urban
key myris/myris.key
160 11 Bernard Urban
dh myris/dh1024.pem
161 11 Bernard Urban
tls-server
162 11 Bernard Urban
port 1194
163 11 Bernard Urban
ping 15
164 11 Bernard Urban
ping-restart 45
165 11 Bernard Urban
# car serveur
166 11 Bernard Urban
ping-timer-rem
167 11 Bernard Urban
persist-tun
168 11 Bernard Urban
persist-key
169 11 Bernard Urban
verb 0
170 11 Bernard Urban
ifconfig 10.0.0.2 255.255.255.252
171 11 Bernard Urban
route ipv4-adresse-client-openvpn-domicile 255.255.255.255 10.0.0.1
172 11 Bernard Urban
script-security 3 system
173 11 Bernard Urban
route-up "/sbin/ip -6 addr add 2a01:6600:80XX:YY01::1/64 dev tap0"
174 11 Bernard Urban
</pre>
175 11 Bernard Urban
176 11 Bernard Urban
+Remarque:+ le paramètre route-up contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Cette commande est nécessaire pour créer sur la VM une route vers la bonne interface pour la plage 2a01:6600:80XX:YY01::/64. Pour que le serveur openvpn soit toujours présent, il faut ajouter
177 11 Bernard Urban
<pre>
178 11 Bernard Urban
AUTOSTART="myris"
179 11 Bernard Urban
</pre>
180 11 Bernard Urban
à /etc/default/openvpn.
181 11 Bernard Urban
182 11 Bernard Urban
Sur la machine à domicile, il faut une installation en mode client, pourquoi pas le même nom de fichier que le serveur, mais pas le même contenu:
183 11 Bernard Urban
<pre>
184 11 Bernard Urban
dev tap
185 11 Bernard Urban
proto udp
186 11 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
187 11 Bernard Urban
remote 91.224.xx.yy
188 11 Bernard Urban
ca myris/ca.crt
189 11 Bernard Urban
cert myris/client.crt
190 11 Bernard Urban
key myris/client.key
191 11 Bernard Urban
tls-client
192 11 Bernard Urban
port 1194
193 11 Bernard Urban
ping 15
194 11 Bernard Urban
ping-restart 45
195 11 Bernard Urban
persist-tun
196 11 Bernard Urban
persist-key
197 11 Bernard Urban
verb 0
198 11 Bernard Urban
ifconfig 10.0.0.1 255.255.255.252
199 11 Bernard Urban
route 0.0.0.0 0.0.0.0 10.0.0.2
200 1 Laurent GUERBY
</pre>
201 11 Bernard Urban
202 11 Bernard Urban
Il est supposé bien sûr dans l'exemple ci-dessus que vous n'utilisez pas 10.0.0.0/30 chez vous. Les répertoires /etc/openvpn/myris sur VM et machine cliente contiendront les divers certificats et clés, qu'il faut générer.
203 11 Bernard Urban
204 12 Bernard Urban
h3. Etape 4: passer la VM en mode routeur et annoncer des routes pour votre réseau à domicile avec radvd.
205 11 Bernard Urban
206 1 Laurent GUERBY
Pour autoriser les paquets à être routés sur la VM entre eth0 et tap0, il faut passer en mode routeur:
207 11 Bernard Urban
<pre>
208 11 Bernard Urban
echo 1 >/proc/sys/net/ipv6/conf/default/forwarding
209 11 Bernard Urban
</pre>
210 1 Laurent GUERBY
211 12 Bernard Urban
Nous allons maintenant mettre en place une configuration automatique d'adresses IPv6 de toutes les machines du segment réseau partant du tap0 de la VM (soit le tap0 du client openvpn, mais après l'étape suivante toutes les interfaces de votre réseau local). Nous utiliserons pour celà l'outil radvd, avec le fichier de configuration /etc/radvd.conf:
212 11 Bernard Urban
<pre>
213 11 Bernard Urban
interface tap0
214 11 Bernard Urban
{
215 12 Bernard Urban
  IgnoreIfMissing on;
216 11 Bernard Urban
  AdvSendAdvert on;
217 11 Bernard Urban
  AdvLinkMTU 1280;
218 11 Bernard Urban
  prefix 2a01:6600:80XX:YY01::/64
219 11 Bernard Urban
  {
220 1 Laurent GUERBY
    AdvOnLink on;
221 11 Bernard Urban
    AdvAutonomous on;
222 11 Bernard Urban
  };
223 1 Laurent GUERBY
};
224 1 Laurent GUERBY
</pre>
225 11 Bernard Urban
226 12 Bernard Urban
+Remarque:+ le fichier contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Par ailleurs, il est possible d'interdire à une machine de s'autoconfigurer, mais ce n'est pas le défaut pour Linux et j'ai supposé que vous ne l'avez pas modifié. 
227 11 Bernard Urban
228 11 Bernard Urban
h3. Etape 5: bridger l'"ethernet" entre votre machine à la maison et la VM, avec celui de votre domicile
229 12 Bernard Urban
230 12 Bernard Urban
A ce stade, la machine openvpn cliente peut accéder l'internet IPv6, car radvd aura placé une route par défaut via son tap0. Si vous bridgez maintenant ce tap0 avec son eth0 (normalement relié au reste de votre réseau local), toutes les machines de ce réseau local vont s'assigner au bout de quelques minutes une adresse tirée de la plage 2a01:6600:80XX:YY01::/64, et une route par défaut via le tap0 du client openvpn: c'est ce qu'on voulait obtenir.
231 9 Bernard Urban
232 8 Laurent GUERBY
h2. FAQ
233 6 Laurent GUERBY
234 6 Laurent GUERBY
* How to ping the link-local gateway?
235 6 Laurent GUERBY
236 6 Laurent GUERBY
Using scoped addresses: 
237 6 Laurent GUERBY
<pre>
238 6 Laurent GUERBY
ping6 fe80::31%eth0
239 6 Laurent GUERBY
</pre>