Projet

Général

Profil

IPv6 » Historique » Version 30

Laurent GUERBY, 30/11/2011 19:49

1 1 Laurent GUERBY
h1. IPv6
2 1 Laurent GUERBY
3 1 Laurent GUERBY
Information about IPv6
4 1 Laurent GUERBY
5 1 Laurent GUERBY
Issue #35
6 1 Laurent GUERBY
7 2 Laurent GUERBY
h2. Links
8 2 Laurent GUERBY
9 5 Laurent GUERBY
General
10 5 Laurent GUERBY
11 2 Laurent GUERBY
* http://en.wikipedia.org/wiki/ICMPv6
12 3 Laurent GUERBY
* http://en.wikipedia.org/wiki/Neighbor_Discovery_Protocol
13 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/Radvd
14 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/DHCPv6
15 5 Laurent GUERBY
16 5 Laurent GUERBY
Linux
17 5 Laurent GUERBY
18 5 Laurent GUERBY
* http://madduck.net/docs/ipv6/
19 5 Laurent GUERBY
* http://tldp.org/HOWTO/Linux+IPv6-HOWTO/
20 29 Laurent GUERBY
* http://linux.die.net/man/8/rdisc6
21 2 Laurent GUERBY
22 20 Laurent GUERBY
* sileht : comme arpwatch mais en ipv6 http://ndpmon.sourceforge.net/
23 20 Laurent GUERBY
24 21 Laurent GUERBY
Tunnels
25 21 Laurent GUERBY
26 21 Laurent GUERBY
* http://en.wikipedia.org/wiki/List_of_IPv6_tunnel_brokers
27 21 Laurent GUERBY
* http://tunnelbroker.net
28 21 Laurent GUERBY
* http://sonic.net/features/ipv6/
29 21 Laurent GUERBY
30 23 Laurent GUERBY
Misc
31 23 Laurent GUERBY
32 23 Laurent GUERBY
* http://interviews.slashdot.org/story/11/10/25/1532213/vint-cerf-answers-your-questions-about-ipv6-and-more
33 24 Laurent GUERBY
* http://infosecblog.antonaylward.com/2010/08/05/re-opensuse-ipv6-nat-was-113-and-ssh-x-forwarding-not-working/
34 23 Laurent GUERBY
35 22 Laurent GUERBY
Opérateurs
36 22 Laurent GUERBY
37 22 Laurent GUERBY
* DS-Lite chez FT http://www.ietf.org/mail-archive/web/v6ops/current/msg10652.html
38 27 Laurent GUERBY
* IPv6 chez comcast http://tech.slashdot.org/story/11/11/09/174217/comcast-begins-native-ipv6-deployment-to-end-users
39 28 Laurent GUERBY
* DHCP-PD http://ipv6.internode.on.net/
40 22 Laurent GUERBY
41 30 Laurent GUERBY
h2. Désactiver la configuration automatique
42 30 Laurent GUERBY
43 30 Laurent GUERBY
Sur une VM ou un serveur la configuration automatique IPv6 est risquée, mieux vaut la désactiver.
44 30 Laurent GUERBY
45 30 Laurent GUERBY
D'abord le faire pour la session en cours comme suit en root sur sa VM :
46 30 Laurent GUERBY
47 30 Laurent GUERBY
<pre>
48 30 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do for j in autoconf accept_ra; do echo 0 > $i/$j; done;done
49 30 Laurent GUERBY
</pre>
50 30 Laurent GUERBY
51 30 Laurent GUERBY
52 30 Laurent GUERBY
Ensuite le rendre permanent au reboot en éditant la section inte6 de /etc/network/interfaces  pour ajouter deux "pre-up" :
53 30 Laurent GUERBY
54 30 Laurent GUERBY
<pre>
55 30 Laurent GUERBY
iface eth0 inet6 static
56 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
57 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
58 30 Laurent GUERBY
   address ...
59 30 Laurent GUERBY
</pre>
60 30 Laurent GUERBY
61 30 Laurent GUERBY
Et en créant un fichier pour sysctl :
62 30 Laurent GUERBY
63 30 Laurent GUERBY
<pre>
64 30 Laurent GUERBY
cat >> /etc/sysctl.d/local-ipv6.conf <<EOF
65 30 Laurent GUERBY
66 30 Laurent GUERBY
# No IPV6 RA or autoconf
67 30 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
68 30 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
69 30 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
70 30 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
71 30 Laurent GUERBY
72 30 Laurent GUERBY
EOF
73 30 Laurent GUERBY
</pre>
74 30 Laurent GUERBY
75 30 Laurent GUERBY
76 30 Laurent GUERBY
77 25 Laurent GUERBY
h2. Pièges
78 25 Laurent GUERBY
79 25 Laurent GUERBY
Attention a bien mettre les zéros en fin de mot :
80 25 Laurent GUERBY
81 26 Laurent GUERBY
Ne pas mettre 2a01:6600:8081:XX:: car c'est 2a01:6600:8081: *00* XX::
82 26 Laurent GUERBY
Utiliser 2a01:6600:8081: *XX00* ::
83 22 Laurent GUERBY
84 1 Laurent GUERBY
h2. How to enable routing for /56 ?
85 1 Laurent GUERBY
86 1 Laurent GUERBY
Currently each IPv4 delivered by tetaneutral.net is matched by a /56 IPv6 (mapping /24  = 256 IPv4 <=> /48 = 256 /56 IPv6).
87 7 Jérôme Nicolle
88 7 Jérôme Nicolle
As tetaneutral.net is a simple flat ethernet network, all machines are on the same broadcast domain. In order to route /56s we must :
89 7 Jérôme Nicolle
- Assign interconexion subnets. Current recommendation is to provide /112s matched to (but outside) of the corresponding /56
90 7 Jérôme Nicolle
- Add a local static route for this subnet to h3 and gw (admin required)
91 7 Jérôme Nicolle
92 8 Laurent GUERBY
h2. Discussions
93 1 Laurent GUERBY
94 8 Laurent GUERBY
> J'ai fait quelques essais: VM configuré en routeur, openvpn entre la VM
95 8 Laurent GUERBY
> et ma machine, histoire de simuler des interfaces. J'ai essayé radvd
96 8 Laurent GUERBY
> comme des définitions manuelles des adresses IPv6.
97 8 Laurent GUERBY
> 
98 8 Laurent GUERBY
> Bon, ça marche depuis la VM mais pas depuis chez moi (wget
99 8 Laurent GUERBY
> http://ipv6.google.com), même si les paquets IPv6 (vu avec tcpdump)
100 8 Laurent GUERBY
> partent bien de la VM vers l'internet. Mais il n'y a pas de retour.
101 8 Laurent GUERBY
> 
102 8 Laurent GUERBY
> Après quelques cogitations et la lecture de ceci:
103 8 Laurent GUERBY
> http://www.fdn.fr/IPv6-a-la-maison.html j'en arrive à ces
104 8 Laurent GUERBY
> réflexions:
105 8 Laurent GUERBY
> 
106 8 Laurent GUERBY
> 1) Dans le blog FDN ci-dessus l'adresse IPv6 affectée au ppp0 n'est pas
107 8 Laurent GUERBY
> dans son /48; ce qui voudrait dire qu'il n'y a pas de raison d'affecter
108 8 Laurent GUERBY
> une IPv6 du /56 au eth0 des VM tetaneutral.
109 8 Laurent GUERBY
> 
110 8 Laurent GUERBY
> 2) Pour faire marcher une telle config à FDN, le routeur FDN en amont du
111 8 Laurent GUERBY
> modem/routeur de l'abonné devrait avoir une route du type:
112 8 Laurent GUERBY
> ip -6 route add range/48 dev ppp-abonné via link-local-ppp-abonné
113 8 Laurent GUERBY
> soit chez nous:
114 8 Laurent GUERBY
> ip -6 route add range/56 dev eth0-vm via link-local-eth0-vm
115 8 Laurent GUERBY
> 
116 8 Laurent GUERBY
> > du /56 via une interconnection explicite entre le routeur de
117 8 Laurent GUERBY
> > tetaneutral.net et un routeur chez le membre ?
118 8 Laurent GUERBY
> 
119 8 Laurent GUERBY
> Un lien openvpn?
120 8 Laurent GUERBY
121 8 Laurent GUERBY
Bonsoir,
122 8 Laurent GUERBY
123 8 Laurent GUERBY
On peut rajouter une regle de routage comme tu le suggere,
124 8 Laurent GUERBY
reste a choisir les details pratiques.
125 8 Laurent GUERBY
126 8 Laurent GUERBY
Pour la link-local coté routeur on a choisi fe80::31 en statique il
127 8 Laurent GUERBY
reste a choisir une regle pour attribuer le link local coté client. 
128 8 Laurent GUERBY
129 8 Laurent GUERBY
Une regle automatique basée sur l'IPv4 est en place pour
130 8 Laurent GUERBY
l'attribution du subnet IPv6 :
131 8 Laurent GUERBY
132 8 Laurent GUERBY
http://wiki.tetaneutral.net/index.php/Architecture
133 8 Laurent GUERBY
134 8 Laurent GUERBY
Une regle similaire pour le routage donnerait par exemple fe80::81:XY
135 8 Laurent GUERBY
ou XY est le dernier octet de l'IPv4 ecrit en hexadecimal
136 8 Laurent GUERBY
pour la link local coté client.
137 8 Laurent GUERBY
138 8 Laurent GUERBY
L'avantage d'une regle statique vs le SLAAC c'est que c'est un peu plus
139 8 Laurent GUERBY
flexible coté client sur le choix de l'equipement routeur.
140 8 Laurent GUERBY
141 8 Laurent GUERBY
L'avantage du routé est bien sur la flexibilité et la sécurisation
142 8 Laurent GUERBY
potentielle, l'inconvenient est qu'avec nos equipements actuels peu
143 8 Laurent GUERBY
puissant on perdra un peu en debit mais ça se corrigera avec
144 8 Laurent GUERBY
de nouveaux equipements.
145 8 Laurent GUERBY
146 8 Laurent GUERBY
Je suis vraiment curieux de savoir comment font les autres hebergeurs
147 8 Laurent GUERBY
dans le monde IPv6, ceux auxquels j'ai acces ne proposent pas de
148 8 Laurent GUERBY
routage, simplement ce que propose tetaneutral.net actuellement.
149 8 Laurent GUERBY
150 8 Laurent GUERBY
Suggestions ?
151 8 Laurent GUERBY
152 15 Bernard Urban
h2. Connectivité IPv6 complète depuis chez vous en quelques étapes simples
153 9 Bernard Urban
154 10 Bernard Urban
Connectivité complète signifie que toutes vos machines pouvant fonctionner en IPv6 peuvent accéder des sites IPv6 externes mais surtout être joignables de l'extérieur sur une adresse IPv6 propre. Pas de NAT ou autre bidouille de ce genre. Implications en terme d'autohébergement et sécurité laissées en exercice. 
155 9 Bernard Urban
156 11 Bernard Urban
Pour bien comprendre ce qui suit, il est recommandé d'avoir un peu potassé les hyperliens plus haut et mieux encore d'avoir joué avec l'IPv6 sur votre réseau local maison en utilisant par exemple des adresses ULA.
157 1 Laurent GUERBY
158 10 Bernard Urban
h3. Etape 1: obtenir une machine virtuelle Tetaneutral. 
159 10 Bernard Urban
160 10 Bernard Urban
Celle-ci (on l'appellera VM dans la suite) sera configurée par défaut comme suit dans /etc/network/interfaces du point de vue IPv6:
161 9 Bernard Urban
<pre>
162 9 Bernard Urban
iface eth0 inet6 static
163 9 Bernard Urban
   address 2a01:6600:80XX:YY00::1
164 1 Laurent GUERBY
   netmask 56
165 1 Laurent GUERBY
   gateway fe80::31
166 1 Laurent GUERBY
</pre>
167 1 Laurent GUERBY
168 1 Laurent GUERBY
où XX et YY sont les versions hexadécimales des xx et yy décimaux de votre (unique!) adresse IPv4 de la forme 91.224.xx.yy.
169 10 Bernard Urban
170 11 Bernard Urban
Voyons ce qu'implique la prise en compte par le système de ce fragment de /etc/network/interfaces. Il dit que:
171 10 Bernard Urban
# l'adresse 2a01:6600:80XX:YY00::1 est affectée à eth0, ce qui signifie que votre VM est accessible à cette adresse depuis l'intérieur de la VM comme depuis l'extérieur par toutes les machines du même segment réseau que eth0
172 10 Bernard Urban
# les paquets passant par votre VM peuvent atteindre les adresses de la plage 2a01:6600:80XX:YY00::/56 en étant envoyés en sortie de l'interface eth0
173 10 Bernard Urban
174 10 Bernard Urban
La plage 2a01:6600:80XX:YY00::/56 a été allouée par tetaneutral à votre VM. Notre problème est d'allouer une partie de ces adresses à des machines de notre domicile en utilisant l'accès que nous avons (en IPv4!) à la VM.
175 10 Bernard Urban
176 1 Laurent GUERBY
Avec cette configuration, vous pouvez héberger sur la VM des milliards de serveurs avec des adresses IPv6 différentes, il suffit de les ajouter à eth0 par une commande du type:
177 10 Bernard Urban
<pre>
178 10 Bernard Urban
ip -6 address add une-adresse-ipv6-de votre-plage/56 dev eth0
179 10 Bernard Urban
</pre>
180 11 Bernard Urban
Le /56 n'est pas absolument nécessaire, il évite juste de rajouter une route plus spécifique pour atteindre votre nouvelle adresse IPv6 depuis votre VM, route qui s'avère redondante.
181 10 Bernard Urban
182 1 Laurent GUERBY
Le lecteur attentif aura noté que cette configuration déclare que toutes les adresses de votre plage sont situées derrière eth0, en dehors de la partie contrôlée par votre VM, et il semble impossible alors d'en distraire une partie. Il y a au moins deux solutions à ce problème:
183 1 Laurent GUERBY
# S'arranger pour que les segments réseau de votre domicile fassent partie de celui partant de eth0 sur la VM. Celà revient techniquement à bridger ces segments réseaux. Cette solution a cependant des inconvénients en terme de configurabilité et de sécurité.
184 12 Bernard Urban
# Réduire la plage IPv6 allouée derrière l'eth0 de la VM et réallouer le solde à votre réseau local maison, par des techniques de routage. C'est ce qu'on va décrire dans la suite. Mais d'abord, on a besoin d'un peu de collaboration de Tetaneutral. 
185 1 Laurent GUERBY
186 11 Bernard Urban
h3. Etape 2: faire router votre plage /56 par Tetaneutral.
187 1 Laurent GUERBY
188 11 Bernard Urban
Dans la configuration par défaut des VM Tetaneutral, l'hôte des VM crée la route vers l'adresse 2a01:6600:80XX:YY00::1 (et des autres que vous rajoutez éventuellement à la main sur eth0) par l'utilisation de l'équivalent IPv6 d'ARP. Il est donc impossible de router vers une adresse qui n'existe pas sur cet eth0. 
189 11 Bernard Urban
190 11 Bernard Urban
Tetaneutral doit donc rajouter une route explicite:
191 11 Bernard Urban
<pre>
192 11 Bernard Urban
ip -6 route add 2a01:6600:80XX:YY00::/56 via fe80::XX:YY dev votre-eth0-côté-hôte
193 11 Bernard Urban
</pre>
194 11 Bernard Urban
195 1 Laurent GUERBY
Celà n'a de sens que si fe80::XX:YY une des adresses de l'eth0 côté VM. Il faut donc l'ajouter et le mieux est de le faire via une directive 'up' dans /etc/network/interfaces:
196 12 Bernard Urban
<pre>
197 11 Bernard Urban
iface eth0 inet6 static
198 11 Bernard Urban
   address 2a01:6600:80XX:YY00::1
199 11 Bernard Urban
   netmask 64
200 11 Bernard Urban
   gateway fe80::31   
201 11 Bernard Urban
   up ip -6 add add fe80::XX:YY dev eth0
202 1 Laurent GUERBY
</pre>
203 11 Bernard Urban
204 14 Bernard Urban
Mon lecteur toujours très attentif n'aura pas manqué de noter que netmask ci-dessus est passé de 56 à 64. Nous n'allouons donc maintenant plus toutes nos adresses IPv6 sur le segment réseau partant d'eth0. En particulier, nous allons voir maintenant comment récupérer la sous-plage 2a01:6600:80XX:YY01::/64 pour notre réseau à domicile. 
205 1 Laurent GUERBY
206 14 Bernard Urban
+Remarque:+ la sous-plage doit être /64, sinon l'adressage automatique des interfaces réseau qu'on verra plus loin ne marchera pas.
207 12 Bernard Urban
208 13 Bernard Urban
h3. Etape 3: simuler un lien ethernet entre une machine à domicile et cette VM.
209 1 Laurent GUERBY
210 11 Bernard Urban
Les technologies VPN/tunnel sont le pendant réseau des machines virtuelles: elles permettent de créer des interfaces réseaux virtuelles (du point de vue hardware, mais bien réelles d'un point de vue logiciel) et de les connecter entre elles. 
211 1 Laurent GUERBY
212 12 Bernard Urban
Tout comme les machines virtuelles nécessitent quand même un minimum de support silicium, un VPN/tunnel va nécessiter de s'appuyer sur une vraie liaison entre deux vraies interfaces réseau, en l'occurence pour nous la liaison internet IPv4 entre autre utilisée pour l'administration de la VM depuis votre domicile. Plus précisément, nous allons utiliser l'outil openvpn.
213 11 Bernard Urban
214 11 Bernard Urban
La première étape va consister à installer openvpn en mode serveur sur la VM. Le fichier suivant est à créer dans /etc/openvpn/myris.conf:
215 11 Bernard Urban
<pre>
216 11 Bernard Urban
dev tap
217 11 Bernard Urban
proto udp
218 11 Bernard Urban
local 91.224.xx.yy
219 11 Bernard Urban
float
220 11 Bernard Urban
ca myris/ca.crt
221 11 Bernard Urban
cert myris/myris.crt
222 11 Bernard Urban
key myris/myris.key
223 11 Bernard Urban
dh myris/dh1024.pem
224 11 Bernard Urban
tls-server
225 11 Bernard Urban
port 1194
226 11 Bernard Urban
ping 15
227 11 Bernard Urban
ping-restart 45
228 11 Bernard Urban
# car serveur
229 11 Bernard Urban
ping-timer-rem
230 11 Bernard Urban
persist-tun
231 11 Bernard Urban
persist-key
232 11 Bernard Urban
ifconfig 10.0.0.2 255.255.255.252
233 11 Bernard Urban
route ipv4-adresse-client-openvpn-domicile 255.255.255.255 10.0.0.1
234 11 Bernard Urban
script-security 3 system
235 11 Bernard Urban
route-up "/sbin/ip -6 addr add 2a01:6600:80XX:YY01::1/64 dev tap0"
236 11 Bernard Urban
</pre>
237 11 Bernard Urban
238 11 Bernard Urban
+Remarque:+ le paramètre route-up contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Cette commande est nécessaire pour créer sur la VM une route vers la bonne interface pour la plage 2a01:6600:80XX:YY01::/64. Pour que le serveur openvpn soit toujours présent, il faut ajouter
239 11 Bernard Urban
<pre>
240 11 Bernard Urban
AUTOSTART="myris"
241 11 Bernard Urban
</pre>
242 11 Bernard Urban
à /etc/default/openvpn.
243 11 Bernard Urban
244 11 Bernard Urban
Sur la machine à domicile, il faut une installation en mode client, pourquoi pas le même nom de fichier que le serveur, mais pas le même contenu:
245 11 Bernard Urban
<pre>
246 11 Bernard Urban
dev tap
247 11 Bernard Urban
proto udp
248 11 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
249 11 Bernard Urban
remote 91.224.xx.yy
250 11 Bernard Urban
ca myris/ca.crt
251 11 Bernard Urban
cert myris/client.crt
252 11 Bernard Urban
key myris/client.key
253 11 Bernard Urban
tls-client
254 11 Bernard Urban
port 1194
255 11 Bernard Urban
ping 15
256 11 Bernard Urban
ping-restart 45
257 11 Bernard Urban
persist-tun
258 11 Bernard Urban
persist-key
259 1 Laurent GUERBY
ifconfig 10.0.0.1 255.255.255.252
260 11 Bernard Urban
route 0.0.0.0 0.0.0.0 10.0.0.2
261 1 Laurent GUERBY
</pre>
262 1 Laurent GUERBY
263 15 Bernard Urban
L'adresse ipv4-adresse-client-openvpn-domicile est toute adresse qui permet d'accéder Internet depuis la machine accueillant l'openvpn client; en général, ce ne sera donc pas votre adresse IP externe allouée par votre FAI, elle sera plutôt du genre 192.168.*.*. ou 10.*.*.*. Il est supposé bien sûr dans l'exemple ci-dessus que vous n'utilisez pas 10.0.0.0/30 chez vous, elle a été réservée au lien openvpn. 
264 1 Laurent GUERBY
265 14 Bernard Urban
Les répertoires /etc/openvpn/myris sur VM et machine cliente contiendront les divers certificats et clés, qu'il faut générer. Voici comment faire:
266 14 Bernard Urban
<pre>
267 14 Bernard Urban
cd un-répertoire de travail
268 14 Bernard Urban
cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/ .
269 14 Bernard Urban
cd 2.0
270 14 Bernard Urban
# Editez à votre convenance les 5 dernières variables d'environnement de type KEY_* du fichier vars
271 14 Bernard Urban
source ./vars
272 14 Bernard Urban
./clean-all
273 14 Bernard Urban
./build-dh
274 14 Bernard Urban
./pkitool --initca
275 14 Bernard Urban
./pkitool --server myris
276 14 Bernard Urban
./pkitool client
277 14 Bernard Urban
</pre>
278 14 Bernard Urban
279 14 Bernard Urban
et les fichiers recherchés se trouvent dans le sous-répertoire keys. Le seul fichier commun aux 2 extrémités du lien openvpn est ca.crt.
280 14 Bernard Urban
281 12 Bernard Urban
h3. Etape 4: passer la VM en mode routeur et annoncer des routes pour votre réseau à domicile avec radvd.
282 11 Bernard Urban
283 1 Laurent GUERBY
Pour autoriser les paquets à être routés sur la VM entre eth0 et tap0, il faut passer en mode routeur:
284 11 Bernard Urban
<pre>
285 11 Bernard Urban
echo 1 >/proc/sys/net/ipv6/conf/default/forwarding
286 11 Bernard Urban
</pre>
287 1 Laurent GUERBY
288 12 Bernard Urban
Nous allons maintenant mettre en place une configuration automatique d'adresses IPv6 de toutes les machines du segment réseau partant du tap0 de la VM (soit le tap0 du client openvpn, mais après l'étape suivante toutes les interfaces de votre réseau local). Nous utiliserons pour celà l'outil radvd, avec le fichier de configuration /etc/radvd.conf:
289 11 Bernard Urban
<pre>
290 11 Bernard Urban
interface tap0
291 11 Bernard Urban
{
292 12 Bernard Urban
  IgnoreIfMissing on;
293 11 Bernard Urban
  AdvSendAdvert on;
294 11 Bernard Urban
  AdvLinkMTU 1280;
295 11 Bernard Urban
  prefix 2a01:6600:80XX:YY01::/64
296 11 Bernard Urban
  {
297 1 Laurent GUERBY
    AdvOnLink on;
298 11 Bernard Urban
    AdvAutonomous on;
299 11 Bernard Urban
  };
300 1 Laurent GUERBY
};
301 1 Laurent GUERBY
</pre>
302 11 Bernard Urban
303 12 Bernard Urban
+Remarque:+ le fichier contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Par ailleurs, il est possible d'interdire à une machine de s'autoconfigurer, mais ce n'est pas le défaut pour Linux et j'ai supposé que vous ne l'avez pas modifié. 
304 11 Bernard Urban
305 13 Bernard Urban
h3. Etape 5: bridger les interfaces réseau du client openvpn
306 1 Laurent GUERBY
307 1 Laurent GUERBY
A ce stade, la machine openvpn cliente peut accéder l'internet IPv6, car radvd aura placé une route par défaut via son tap0. Si vous bridgez maintenant ce tap0 avec son eth0 (normalement relié au reste de votre réseau local), toutes les machines de ce réseau local vont s'assigner au bout de quelques minutes une adresse tirée de la plage 2a01:6600:80XX:YY01::/64, et une route par défaut via le tap0 du client openvpn: c'est ce qu'on voulait obtenir.
308 13 Bernard Urban
309 13 Bernard Urban
Voici les incantations magiques nécessaires:
310 13 Bernard Urban
<pre>
311 13 Bernard Urban
# on suppose qu'eth0 a l'adresse 192.168.0.1/24
312 13 Bernard Urban
brctl addbr br0
313 13 Bernard Urban
brctl addif br0 eth0
314 1 Laurent GUERBY
brctl addif br0 tap0
315 1 Laurent GUERBY
# à ce stade, le machine hébergeant le client openvpn n'est plus adressable
316 1 Laurent GUERBY
# mais il est dans la plupart des cas utile de lui en redonner une, en général celle d'eth0  
317 1 Laurent GUERBY
ip addr add 192.168.0.1/24 dev br0
318 1 Laurent GUERBY
</pre>
319 14 Bernard Urban
320 16 Bernard Urban
Il peut être intéressant de bridger par défaut eth0 et un tap0 prédéfini sur br0 dès le boot par une section de ce type dans /etc/network/interfaces: 
321 14 Bernard Urban
<pre>
322 14 Bernard Urban
auto br0
323 14 Bernard Urban
iface br0 inet static
324 14 Bernard Urban
    address 192.168.1.10
325 14 Bernard Urban
    netmask 255.255.255.0
326 1 Laurent GUERBY
    broadcast 192.168.0.255
327 1 Laurent GUERBY
    gateway 192.168.1.1
328 16 Bernard Urban
    bridge_ports eth0 tap0
329 16 Bernard Urban
    pre-up tunctl -t tap0
330 15 Bernard Urban
</pre> 
331 16 Bernard Urban
où la section 'iface br0' remplace 'iface eth0'.
332 1 Laurent GUERBY
333 16 Bernard Urban
Il faut ensuite modifier le configuration cliente /etc/openvpn/myris.conf comme suit:
334 1 Laurent GUERBY
<pre>
335 16 Bernard Urban
# on définit explicitement le tap0
336 16 Bernard Urban
dev tap0
337 16 Bernard Urban
proto udp
338 16 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
339 16 Bernard Urban
remote 91.224.xx.yy
340 16 Bernard Urban
ca myris/ca.crt
341 16 Bernard Urban
cert myris/client.crt
342 16 Bernard Urban
key myris/client.key
343 16 Bernard Urban
tls-client
344 16 Bernard Urban
port 1194
345 16 Bernard Urban
ping 15
346 16 Bernard Urban
ping-restart 45
347 16 Bernard Urban
persist-tun
348 16 Bernard Urban
persist-key
349 16 Bernard Urban
# ifconfig et route ont disparus et sont remplacés par ce qui suit, 
350 16 Bernard Urban
# qui fait la même chose appliqué à br0 et non pas tap0
351 1 Laurent GUERBY
script-security 3 system
352 16 Bernard Urban
up /etc/openvpn/myris-up.sh
353 16 Bernard Urban
down /etc/openvpn/myris-down.sh
354 1 Laurent GUERBY
</pre> 
355 16 Bernard Urban
356 16 Bernard Urban
où /etc/openvpn/myris-up.sh vaut:
357 16 Bernard Urban
<pre>
358 16 Bernard Urban
#! /bin/sh
359 16 Bernard Urban
/sbin/ip addr add 10.0.0.1/30 dev br0
360 16 Bernard Urban
</pre>
361 16 Bernard Urban
et /etc/openvpn/myris-down.sh vaut:
362 16 Bernard Urban
<pre>
363 16 Bernard Urban
#! /bin/sh
364 16 Bernard Urban
/sbin/ip addr del 10.0.0.1/30 dev br0
365 16 Bernard Urban
</pre>
366 16 Bernard Urban
367 16 Bernard Urban
+Remarque:+ ne pas oublier de lancer:
368 16 Bernard Urban
<pre>
369 16 Bernard Urban
chmod 755 /etc/openvpn/myris-down.sh /etc/openvpn/myris-down.sh
370 16 Bernard Urban
</pre>
371 16 Bernard Urban
372 16 Bernard Urban
Il est à noter que l'apparition des adresses et routes IPv6 peut prendre un dizaine de minutes après l'établissemnt du tunnel openvpn, et de même leur disparation n'est complète qu'au bout de 24h. Tout celà est réglable via /etc/radvd.conf sur la VM.
373 8 Laurent GUERBY
374 6 Laurent GUERBY
h2. FAQ
375 6 Laurent GUERBY
376 18 Laurent GUERBY
h3. Reverse DNS
377 18 Laurent GUERBY
378 19 Laurent GUERBY
En IPv6 tetaneutral.net peut deleguer le reverse du /56. Il faut configurer bind sur une ou plusieurs de vos machines, nous donner son CNAME, par exemple ns1.chezmoi.net et ns2.chezmoi.net, et mettre les fichiers suivant dans /etc/bind/ :
379 19 Laurent GUERBY
380 18 Laurent GUERBY
named.conf.local
381 18 Laurent GUERBY
<pre>
382 18 Laurent GUERBY
zone "1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
383 18 Laurent GUERBY
	type master;
384 18 Laurent GUERBY
	file "/etc/bind/db.ip6-81";
385 18 Laurent GUERBY
};
386 18 Laurent GUERBY
</pre>
387 18 Laurent GUERBY
388 18 Laurent GUERBY
db.ip6-81
389 18 Laurent GUERBY
<pre>
390 18 Laurent GUERBY
; -*- mode: zone; -*-
391 18 Laurent GUERBY
;
392 18 Laurent GUERBY
; BIND reverse data file for broadcast zone
393 18 Laurent GUERBY
;
394 18 Laurent GUERBY
$TTL    3600
395 18 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
396 18 Laurent GUERBY
                        2011070301      ; serial
397 18 Laurent GUERBY
                         7200         ; Refresh
398 18 Laurent GUERBY
                          3600         ; Retry
399 18 Laurent GUERBY
                        1800000         ; Expire
400 18 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
401 18 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
402 18 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
403 18 Laurent GUERBY
404 18 Laurent GUERBY
; reverse
405 18 Laurent GUERBY
$ORIGIN 0.0.e.c.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
406 18 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     www6.tetaneutral.net.
407 18 Laurent GUERBY
408 18 Laurent GUERBY
; delegations /56
409 18 Laurent GUERBY
1.9.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa. 86400 IN NS   hoersch.kneissel.org.
410 18 Laurent GUERBY
1.9.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa. 86400 IN NS   serveur.kneissel.org.
411 18 Laurent GUERBY
e.8.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa. 86400 IN NS   dns.kafe-in.net.
412 18 Laurent GUERBY
</pre>
413 18 Laurent GUERBY
414 17 Laurent GUERBY
h3. CCNA reference
415 17 Laurent GUERBY
416 17 Laurent GUERBY
Thanks to Jérôme Nicolle:
417 17 Laurent GUERBY
418 17 Laurent GUERBY
http://www.freeccnaworkbook.com/labs/section-12-configuring-ipv6/lab-12-3-configuring-ipv6-static-routing/
419 17 Laurent GUERBY
420 17 Laurent GUERBY
> Unlike IPv4 static routing, with IPv6 you have the ability to use either the global unicast address or link-local address as the next hop in the static route statement. When working with IPv6 dynamic routing protocols which will be discussed in the next 2 labs, the next hop will be the neighbors link-local IPv6 address and not their global unique assigned ipv6 address. However when configuring a static route with a link-local IPv6 address as the next hop you must specify the egress interface. For all intensive purposes, using either/or will achieve the same desired effect.
421 17 Laurent GUERBY
422 17 Laurent GUERBY
423 17 Laurent GUERBY
h3. How to ping the link-local gateway?
424 6 Laurent GUERBY
425 6 Laurent GUERBY
Using scoped addresses: 
426 6 Laurent GUERBY
<pre>
427 6 Laurent GUERBY
ping6 fe80::31%eth0
428 1 Laurent GUERBY
</pre>