Projet

Général

Profil

IPv6 » Historique » Version 56

Laurent GUERBY, 01/04/2012 23:08

1 56 Laurent GUERBY
{{>toc}}
2 56 Laurent GUERBY
3 1 Laurent GUERBY
h1. IPv6
4 1 Laurent GUERBY
5 34 Laurent GUERBY
Déploiement a tetaneutral.net : #35
6 1 Laurent GUERBY
7 34 Laurent GUERBY
h2. Liens
8 2 Laurent GUERBY
9 5 Laurent GUERBY
General
10 5 Laurent GUERBY
11 2 Laurent GUERBY
* http://en.wikipedia.org/wiki/ICMPv6
12 3 Laurent GUERBY
* http://en.wikipedia.org/wiki/Neighbor_Discovery_Protocol
13 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/Radvd
14 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/DHCPv6
15 43 Laurent GUERBY
* http://www.iana.org/assignments/icmpv6-parameters
16 45 Laurent GUERBY
17 45 Laurent GUERBY
Statistics
18 45 Laurent GUERBY
19 44 Laurent GUERBY
* http://bgp.he.net/ipv6-progress-report.cgi
20 45 Laurent GUERBY
* https://labs.ripe.net/Members/mirjam/content-ipv6-measurement-compilation
21 46 Laurent GUERBY
* http://www.ripe.net/internet-coordination/ipv4-exhaustion/ipv4-available-pool-graph
22 5 Laurent GUERBY
23 5 Laurent GUERBY
Linux
24 5 Laurent GUERBY
25 5 Laurent GUERBY
* http://madduck.net/docs/ipv6/
26 5 Laurent GUERBY
* http://tldp.org/HOWTO/Linux+IPv6-HOWTO/
27 29 Laurent GUERBY
* http://linux.die.net/man/8/rdisc6
28 38 Laurent GUERBY
* bind IPv4+IPv6 /proc/sys/net/ipv6/bindv6only http://www.kernel.org/doc/man-pages/online/pages/man7/ipv6.7.html
29 1 Laurent GUERBY
* sileht : comme arpwatch mais en ipv6 http://ndpmon.sourceforge.net/
30 49 Laurent GUERBY
* sileht : proxy NDP auto http://www.priv.nu/projects/ndppd/  et https://github.com/Tuhox/ndppd
31 20 Laurent GUERBY
32 21 Laurent GUERBY
Tunnels
33 21 Laurent GUERBY
34 21 Laurent GUERBY
* http://en.wikipedia.org/wiki/List_of_IPv6_tunnel_brokers
35 21 Laurent GUERBY
* http://tunnelbroker.net
36 21 Laurent GUERBY
* http://sonic.net/features/ipv6/
37 21 Laurent GUERBY
38 23 Laurent GUERBY
Misc
39 23 Laurent GUERBY
40 37 Laurent GUERBY
* Cool IPv6 stuff http://www.sixxs.net/misc/coolstuff/
41 23 Laurent GUERBY
* http://interviews.slashdot.org/story/11/10/25/1532213/vint-cerf-answers-your-questions-about-ipv6-and-more
42 24 Laurent GUERBY
* http://infosecblog.antonaylward.com/2010/08/05/re-opensuse-ipv6-nat-was-113-and-ssh-x-forwarding-not-working/
43 41 Laurent GUERBY
* conférence JRES 2011 http://stream.ut-capitole.fr/jres2011/57.html
44 51 Laurent GUERBY
* http://vincent.riquer.fr/blog/archives/2010/04/11/openvpn__ipv6__bind__happiness/index.html
45 53 Laurent GUERBY
* http://blog.si6networks.com/2012/02/ipv6-nids-evasion-and-improvements-in.html
46 55 Laurent GUERBY
* https://vador.fdn.fr/wiki/support:faq:ipv6
47 23 Laurent GUERBY
48 22 Laurent GUERBY
Opérateurs
49 22 Laurent GUERBY
50 22 Laurent GUERBY
* DS-Lite chez FT http://www.ietf.org/mail-archive/web/v6ops/current/msg10652.html
51 27 Laurent GUERBY
* IPv6 chez comcast http://tech.slashdot.org/story/11/11/09/174217/comcast-begins-native-ipv6-deployment-to-end-users
52 28 Laurent GUERBY
* DHCP-PD http://ipv6.internode.on.net/
53 22 Laurent GUERBY
54 30 Laurent GUERBY
h2. Désactiver la configuration automatique
55 30 Laurent GUERBY
56 36 Laurent GUERBY
Un serveur aura typiquement une configuration entièrement statique assignée par l'hébergeur, laisser la configuration dynamique activée est un risque de voir un tiers prendre le controle du routage serveur ou l'empécher de fonctionner via l'envoi d'une configuration dynamique erronée. Il est donc préférable de désactiver la configuration dynamique IPv6 sur une VM ou serveur physique hébergé chez tetaneutral.net.
57 30 Laurent GUERBY
58 33 Laurent GUERBY
En version rapide executer sur sa VM ou machine en root la ligne suivante :
59 30 Laurent GUERBY
60 1 Laurent GUERBY
<pre>
61 33 Laurent GUERBY
wget -qO - http://tetaneutral.net/ipv6/ipv6noauto.sh | bash
62 33 Laurent GUERBY
</pre>
63 33 Laurent GUERBY
64 35 Laurent GUERBY
Le détail de ce que fait ce script ci-après.
65 33 Laurent GUERBY
66 33 Laurent GUERBY
h3. Désactiver autoconf et accept_ra pour la session en cours
67 33 Laurent GUERBY
68 33 Laurent GUERBY
Executer en root la ligne suivante :
69 33 Laurent GUERBY
70 33 Laurent GUERBY
<pre>
71 30 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do for j in autoconf accept_ra; do echo 0 > $i/$j; done;done
72 30 Laurent GUERBY
</pre>
73 1 Laurent GUERBY
74 33 Laurent GUERBY
h3. Le rendre permanent en cas de reboot
75 31 Laurent GUERBY
76 33 Laurent GUERBY
Editer la section inte6 de /etc/network/interfaces  pour ajouter deux "pre-up" entre la ligne "iface" et la ligne "address" :
77 30 Laurent GUERBY
78 30 Laurent GUERBY
<pre>
79 30 Laurent GUERBY
iface eth0 inet6 static
80 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
81 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
82 1 Laurent GUERBY
   address ...
83 30 Laurent GUERBY
</pre>
84 30 Laurent GUERBY
85 33 Laurent GUERBY
Créaer un fichier pour sysctl :
86 30 Laurent GUERBY
87 30 Laurent GUERBY
<pre>
88 32 Laurent GUERBY
cat > /etc/sysctl.d/local-ipv6.conf <<EOF
89 30 Laurent GUERBY
90 30 Laurent GUERBY
# No IPV6 RA or autoconf
91 30 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
92 30 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
93 30 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
94 1 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
95 1 Laurent GUERBY
96 1 Laurent GUERBY
EOF
97 33 Laurent GUERBY
</pre>
98 33 Laurent GUERBY
99 33 Laurent GUERBY
100 35 Laurent GUERBY
h3. Référence : source du script ipv6noauto.sh
101 33 Laurent GUERBY
102 33 Laurent GUERBY
<pre>
103 33 Laurent GUERBY
echo deactivating autoconf and accept_ra
104 33 Laurent GUERBY
105 33 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do 
106 33 Laurent GUERBY
 for j in autoconf accept_ra; do 
107 33 Laurent GUERBY
  echo $i/$j
108 33 Laurent GUERBY
  echo 0 > $i/$j
109 33 Laurent GUERBY
 done
110 33 Laurent GUERBY
done
111 33 Laurent GUERBY
112 33 Laurent GUERBY
113 33 Laurent GUERBY
F=/etc/network/interfaces
114 33 Laurent GUERBY
if ! grep accept_ra $F >& /dev/null; then
115 33 Laurent GUERBY
 echo fixing /etc/network/interfaces
116 33 Laurent GUERBY
 cp -f $F $F.save
117 33 Laurent GUERBY
 sed -e 's,iface eth0 inet6 static,iface eth0 inet6 static\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf,g' < $F.save > $F
118 33 Laurent GUERBY
fi
119 33 Laurent GUERBY
120 33 Laurent GUERBY
if [ ! -f /etc/sysctl.d/local-ipv6.conf ]; then
121 33 Laurent GUERBY
 echo creating /etc/sysctl.d/local-ipv6.conf
122 33 Laurent GUERBY
123 33 Laurent GUERBY
 cat > /etc/sysctl.d/local-ipv6.conf <<EOF
124 33 Laurent GUERBY
125 33 Laurent GUERBY
# No IPV6 RA or autoconf
126 33 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
127 33 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
128 33 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
129 33 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
130 33 Laurent GUERBY
131 33 Laurent GUERBY
EOF
132 33 Laurent GUERBY
133 33 Laurent GUERBY
fi
134 33 Laurent GUERBY
135 33 Laurent GUERBY
echo done
136 30 Laurent GUERBY
</pre>
137 30 Laurent GUERBY
138 56 Laurent GUERBY
h2. ARP cache limits
139 30 Laurent GUERBY
140 56 Laurent GUERBY
TODO via Cyril B.
141 56 Laurent GUERBY
142 56 Laurent GUERBY
<pre>
143 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh1 = 1024
144 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh2 = 2048
145 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh3 = 4096
146 56 Laurent GUERBY
</pre>
147 30 Laurent GUERBY
148 25 Laurent GUERBY
h2. Pièges
149 25 Laurent GUERBY
150 25 Laurent GUERBY
Attention a bien mettre les zéros en fin de mot :
151 1 Laurent GUERBY
152 25 Laurent GUERBY
Ne pas mettre 2a01:6600:8081:XX:: car c'est 2a01:6600:8081: *00* XX::
153 26 Laurent GUERBY
Utiliser 2a01:6600:8081: *XX00* ::
154 22 Laurent GUERBY
155 34 Laurent GUERBY
h2. Comment activer le routage sur son /56 IPv6 ?
156 7 Jérôme Nicolle
157 34 Laurent GUERBY
Chaque IPv4 livrée par tetaneutral.net est associé à un /56 IPv6, avec une équivalence /24  = 256 IPv4 <=> /48 = 256 /56 IPv6
158 7 Jérôme Nicolle
159 8 Laurent GUERBY
h2. Discussions
160 1 Laurent GUERBY
161 8 Laurent GUERBY
> J'ai fait quelques essais: VM configuré en routeur, openvpn entre la VM
162 8 Laurent GUERBY
> et ma machine, histoire de simuler des interfaces. J'ai essayé radvd
163 8 Laurent GUERBY
> comme des définitions manuelles des adresses IPv6.
164 8 Laurent GUERBY
> 
165 8 Laurent GUERBY
> Bon, ça marche depuis la VM mais pas depuis chez moi (wget
166 8 Laurent GUERBY
> http://ipv6.google.com), même si les paquets IPv6 (vu avec tcpdump)
167 8 Laurent GUERBY
> partent bien de la VM vers l'internet. Mais il n'y a pas de retour.
168 8 Laurent GUERBY
> 
169 8 Laurent GUERBY
> Après quelques cogitations et la lecture de ceci:
170 8 Laurent GUERBY
> http://www.fdn.fr/IPv6-a-la-maison.html j'en arrive à ces
171 8 Laurent GUERBY
> réflexions:
172 8 Laurent GUERBY
> 
173 8 Laurent GUERBY
> 1) Dans le blog FDN ci-dessus l'adresse IPv6 affectée au ppp0 n'est pas
174 8 Laurent GUERBY
> dans son /48; ce qui voudrait dire qu'il n'y a pas de raison d'affecter
175 8 Laurent GUERBY
> une IPv6 du /56 au eth0 des VM tetaneutral.
176 8 Laurent GUERBY
> 
177 8 Laurent GUERBY
> 2) Pour faire marcher une telle config à FDN, le routeur FDN en amont du
178 8 Laurent GUERBY
> modem/routeur de l'abonné devrait avoir une route du type:
179 8 Laurent GUERBY
> ip -6 route add range/48 dev ppp-abonné via link-local-ppp-abonné
180 8 Laurent GUERBY
> soit chez nous:
181 8 Laurent GUERBY
> ip -6 route add range/56 dev eth0-vm via link-local-eth0-vm
182 8 Laurent GUERBY
> 
183 8 Laurent GUERBY
> > du /56 via une interconnection explicite entre le routeur de
184 8 Laurent GUERBY
> > tetaneutral.net et un routeur chez le membre ?
185 8 Laurent GUERBY
> 
186 8 Laurent GUERBY
> Un lien openvpn?
187 8 Laurent GUERBY
188 8 Laurent GUERBY
Bonsoir,
189 8 Laurent GUERBY
190 8 Laurent GUERBY
On peut rajouter une regle de routage comme tu le suggere,
191 8 Laurent GUERBY
reste a choisir les details pratiques.
192 8 Laurent GUERBY
193 8 Laurent GUERBY
Pour la link-local coté routeur on a choisi fe80::31 en statique il
194 8 Laurent GUERBY
reste a choisir une regle pour attribuer le link local coté client. 
195 8 Laurent GUERBY
196 8 Laurent GUERBY
Une regle automatique basée sur l'IPv4 est en place pour
197 8 Laurent GUERBY
l'attribution du subnet IPv6 :
198 8 Laurent GUERBY
199 8 Laurent GUERBY
http://wiki.tetaneutral.net/index.php/Architecture
200 8 Laurent GUERBY
201 8 Laurent GUERBY
Une regle similaire pour le routage donnerait par exemple fe80::81:XY
202 8 Laurent GUERBY
ou XY est le dernier octet de l'IPv4 ecrit en hexadecimal
203 8 Laurent GUERBY
pour la link local coté client.
204 8 Laurent GUERBY
205 8 Laurent GUERBY
L'avantage d'une regle statique vs le SLAAC c'est que c'est un peu plus
206 8 Laurent GUERBY
flexible coté client sur le choix de l'equipement routeur.
207 8 Laurent GUERBY
208 8 Laurent GUERBY
L'avantage du routé est bien sur la flexibilité et la sécurisation
209 8 Laurent GUERBY
potentielle, l'inconvenient est qu'avec nos equipements actuels peu
210 8 Laurent GUERBY
puissant on perdra un peu en debit mais ça se corrigera avec
211 8 Laurent GUERBY
de nouveaux equipements.
212 8 Laurent GUERBY
213 8 Laurent GUERBY
Je suis vraiment curieux de savoir comment font les autres hebergeurs
214 8 Laurent GUERBY
dans le monde IPv6, ceux auxquels j'ai acces ne proposent pas de
215 8 Laurent GUERBY
routage, simplement ce que propose tetaneutral.net actuellement.
216 8 Laurent GUERBY
217 8 Laurent GUERBY
Suggestions ?
218 8 Laurent GUERBY
219 15 Bernard Urban
h2. Connectivité IPv6 complète depuis chez vous en quelques étapes simples
220 9 Bernard Urban
221 10 Bernard Urban
Connectivité complète signifie que toutes vos machines pouvant fonctionner en IPv6 peuvent accéder des sites IPv6 externes mais surtout être joignables de l'extérieur sur une adresse IPv6 propre. Pas de NAT ou autre bidouille de ce genre. Implications en terme d'autohébergement et sécurité laissées en exercice. 
222 9 Bernard Urban
223 11 Bernard Urban
Pour bien comprendre ce qui suit, il est recommandé d'avoir un peu potassé les hyperliens plus haut et mieux encore d'avoir joué avec l'IPv6 sur votre réseau local maison en utilisant par exemple des adresses ULA.
224 1 Laurent GUERBY
225 10 Bernard Urban
h3. Etape 1: obtenir une machine virtuelle Tetaneutral. 
226 10 Bernard Urban
227 10 Bernard Urban
Celle-ci (on l'appellera VM dans la suite) sera configurée par défaut comme suit dans /etc/network/interfaces du point de vue IPv6:
228 9 Bernard Urban
<pre>
229 9 Bernard Urban
iface eth0 inet6 static
230 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
231 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
232 9 Bernard Urban
   address 2a01:6600:80XX:YY00::1
233 1 Laurent GUERBY
   netmask 56
234 1 Laurent GUERBY
   gateway fe80::31
235 1 Laurent GUERBY
</pre>
236 1 Laurent GUERBY
237 1 Laurent GUERBY
où XX et YY sont les versions hexadécimales des xx et yy décimaux de votre (unique!) adresse IPv4 de la forme 91.224.xx.yy.
238 10 Bernard Urban
239 11 Bernard Urban
Voyons ce qu'implique la prise en compte par le système de ce fragment de /etc/network/interfaces. Il dit que:
240 10 Bernard Urban
# l'adresse 2a01:6600:80XX:YY00::1 est affectée à eth0, ce qui signifie que votre VM est accessible à cette adresse depuis l'intérieur de la VM comme depuis l'extérieur par toutes les machines du même segment réseau que eth0
241 10 Bernard Urban
# les paquets passant par votre VM peuvent atteindre les adresses de la plage 2a01:6600:80XX:YY00::/56 en étant envoyés en sortie de l'interface eth0
242 10 Bernard Urban
243 10 Bernard Urban
La plage 2a01:6600:80XX:YY00::/56 a été allouée par tetaneutral à votre VM. Notre problème est d'allouer une partie de ces adresses à des machines de notre domicile en utilisant l'accès que nous avons (en IPv4!) à la VM.
244 10 Bernard Urban
245 1 Laurent GUERBY
Avec cette configuration, vous pouvez héberger sur la VM des milliards de serveurs avec des adresses IPv6 différentes, il suffit de les ajouter à eth0 par une commande du type:
246 10 Bernard Urban
<pre>
247 10 Bernard Urban
ip -6 address add une-adresse-ipv6-de votre-plage/56 dev eth0
248 10 Bernard Urban
</pre>
249 11 Bernard Urban
Le /56 n'est pas absolument nécessaire, il évite juste de rajouter une route plus spécifique pour atteindre votre nouvelle adresse IPv6 depuis votre VM, route qui s'avère redondante.
250 10 Bernard Urban
251 1 Laurent GUERBY
Le lecteur attentif aura noté que cette configuration déclare que toutes les adresses de votre plage sont situées derrière eth0, en dehors de la partie contrôlée par votre VM, et il semble impossible alors d'en distraire une partie. Il y a au moins deux solutions à ce problème:
252 1 Laurent GUERBY
# S'arranger pour que les segments réseau de votre domicile fassent partie de celui partant de eth0 sur la VM. Celà revient techniquement à bridger ces segments réseaux. Cette solution a cependant des inconvénients en terme de configurabilité et de sécurité.
253 12 Bernard Urban
# Réduire la plage IPv6 allouée derrière l'eth0 de la VM et réallouer le solde à votre réseau local maison, par des techniques de routage. C'est ce qu'on va décrire dans la suite. Mais d'abord, on a besoin d'un peu de collaboration de Tetaneutral. 
254 1 Laurent GUERBY
255 11 Bernard Urban
h3. Etape 2: faire router votre plage /56 par Tetaneutral.
256 1 Laurent GUERBY
257 11 Bernard Urban
Dans la configuration par défaut des VM Tetaneutral, l'hôte des VM crée la route vers l'adresse 2a01:6600:80XX:YY00::1 (et des autres que vous rajoutez éventuellement à la main sur eth0) par l'utilisation de l'équivalent IPv6 d'ARP. Il est donc impossible de router vers une adresse qui n'existe pas sur cet eth0. 
258 11 Bernard Urban
259 11 Bernard Urban
Tetaneutral doit donc rajouter une route explicite:
260 11 Bernard Urban
<pre>
261 11 Bernard Urban
ip -6 route add 2a01:6600:80XX:YY00::/56 via fe80::XX:YY dev votre-eth0-côté-hôte
262 11 Bernard Urban
</pre>
263 11 Bernard Urban
264 1 Laurent GUERBY
Celà n'a de sens que si fe80::XX:YY une des adresses de l'eth0 côté VM. Il faut donc l'ajouter et le mieux est de le faire via une directive 'up' dans /etc/network/interfaces:
265 12 Bernard Urban
<pre>
266 11 Bernard Urban
iface eth0 inet6 static
267 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
268 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
269 11 Bernard Urban
   address 2a01:6600:80XX:YY00::1
270 11 Bernard Urban
   netmask 64
271 11 Bernard Urban
   gateway fe80::31   
272 11 Bernard Urban
   up ip -6 add add fe80::XX:YY dev eth0
273 1 Laurent GUERBY
</pre>
274 11 Bernard Urban
275 14 Bernard Urban
Mon lecteur toujours très attentif n'aura pas manqué de noter que netmask ci-dessus est passé de 56 à 64. Nous n'allouons donc maintenant plus toutes nos adresses IPv6 sur le segment réseau partant d'eth0. En particulier, nous allons voir maintenant comment récupérer la sous-plage 2a01:6600:80XX:YY01::/64 pour notre réseau à domicile. 
276 1 Laurent GUERBY
277 14 Bernard Urban
+Remarque:+ la sous-plage doit être /64, sinon l'adressage automatique des interfaces réseau qu'on verra plus loin ne marchera pas.
278 12 Bernard Urban
279 13 Bernard Urban
h3. Etape 3: simuler un lien ethernet entre une machine à domicile et cette VM.
280 1 Laurent GUERBY
281 11 Bernard Urban
Les technologies VPN/tunnel sont le pendant réseau des machines virtuelles: elles permettent de créer des interfaces réseaux virtuelles (du point de vue hardware, mais bien réelles d'un point de vue logiciel) et de les connecter entre elles. 
282 1 Laurent GUERBY
283 12 Bernard Urban
Tout comme les machines virtuelles nécessitent quand même un minimum de support silicium, un VPN/tunnel va nécessiter de s'appuyer sur une vraie liaison entre deux vraies interfaces réseau, en l'occurence pour nous la liaison internet IPv4 entre autre utilisée pour l'administration de la VM depuis votre domicile. Plus précisément, nous allons utiliser l'outil openvpn.
284 11 Bernard Urban
285 11 Bernard Urban
La première étape va consister à installer openvpn en mode serveur sur la VM. Le fichier suivant est à créer dans /etc/openvpn/myris.conf:
286 11 Bernard Urban
<pre>
287 11 Bernard Urban
dev tap
288 11 Bernard Urban
proto udp
289 11 Bernard Urban
local 91.224.xx.yy
290 11 Bernard Urban
float
291 11 Bernard Urban
ca myris/ca.crt
292 11 Bernard Urban
cert myris/myris.crt
293 11 Bernard Urban
key myris/myris.key
294 11 Bernard Urban
dh myris/dh1024.pem
295 11 Bernard Urban
tls-server
296 11 Bernard Urban
port 1194
297 11 Bernard Urban
ping 15
298 11 Bernard Urban
ping-restart 45
299 11 Bernard Urban
# car serveur
300 11 Bernard Urban
ping-timer-rem
301 11 Bernard Urban
persist-tun
302 11 Bernard Urban
persist-key
303 11 Bernard Urban
ifconfig 10.0.0.2 255.255.255.252
304 11 Bernard Urban
route ipv4-adresse-client-openvpn-domicile 255.255.255.255 10.0.0.1
305 11 Bernard Urban
script-security 3 system
306 11 Bernard Urban
route-up "/sbin/ip -6 addr add 2a01:6600:80XX:YY01::1/64 dev tap0"
307 11 Bernard Urban
</pre>
308 11 Bernard Urban
309 11 Bernard Urban
+Remarque:+ le paramètre route-up contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Cette commande est nécessaire pour créer sur la VM une route vers la bonne interface pour la plage 2a01:6600:80XX:YY01::/64. Pour que le serveur openvpn soit toujours présent, il faut ajouter
310 11 Bernard Urban
<pre>
311 11 Bernard Urban
AUTOSTART="myris"
312 11 Bernard Urban
</pre>
313 11 Bernard Urban
à /etc/default/openvpn.
314 11 Bernard Urban
315 11 Bernard Urban
Sur la machine à domicile, il faut une installation en mode client, pourquoi pas le même nom de fichier que le serveur, mais pas le même contenu:
316 11 Bernard Urban
<pre>
317 11 Bernard Urban
dev tap
318 11 Bernard Urban
proto udp
319 11 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
320 11 Bernard Urban
remote 91.224.xx.yy
321 11 Bernard Urban
ca myris/ca.crt
322 11 Bernard Urban
cert myris/client.crt
323 11 Bernard Urban
key myris/client.key
324 11 Bernard Urban
tls-client
325 11 Bernard Urban
port 1194
326 11 Bernard Urban
ping 15
327 11 Bernard Urban
ping-restart 45
328 11 Bernard Urban
persist-tun
329 11 Bernard Urban
persist-key
330 1 Laurent GUERBY
ifconfig 10.0.0.1 255.255.255.252
331 11 Bernard Urban
route 0.0.0.0 0.0.0.0 10.0.0.2
332 1 Laurent GUERBY
</pre>
333 1 Laurent GUERBY
334 15 Bernard Urban
L'adresse ipv4-adresse-client-openvpn-domicile est toute adresse qui permet d'accéder Internet depuis la machine accueillant l'openvpn client; en général, ce ne sera donc pas votre adresse IP externe allouée par votre FAI, elle sera plutôt du genre 192.168.*.*. ou 10.*.*.*. Il est supposé bien sûr dans l'exemple ci-dessus que vous n'utilisez pas 10.0.0.0/30 chez vous, elle a été réservée au lien openvpn. 
335 1 Laurent GUERBY
336 14 Bernard Urban
Les répertoires /etc/openvpn/myris sur VM et machine cliente contiendront les divers certificats et clés, qu'il faut générer. Voici comment faire:
337 14 Bernard Urban
<pre>
338 14 Bernard Urban
cd un-répertoire de travail
339 14 Bernard Urban
cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/ .
340 14 Bernard Urban
cd 2.0
341 14 Bernard Urban
# Editez à votre convenance les 5 dernières variables d'environnement de type KEY_* du fichier vars
342 14 Bernard Urban
source ./vars
343 14 Bernard Urban
./clean-all
344 14 Bernard Urban
./build-dh
345 14 Bernard Urban
./pkitool --initca
346 14 Bernard Urban
./pkitool --server myris
347 14 Bernard Urban
./pkitool client
348 14 Bernard Urban
</pre>
349 14 Bernard Urban
350 14 Bernard Urban
et les fichiers recherchés se trouvent dans le sous-répertoire keys. Le seul fichier commun aux 2 extrémités du lien openvpn est ca.crt.
351 14 Bernard Urban
352 12 Bernard Urban
h3. Etape 4: passer la VM en mode routeur et annoncer des routes pour votre réseau à domicile avec radvd.
353 11 Bernard Urban
354 1 Laurent GUERBY
Pour autoriser les paquets à être routés sur la VM entre eth0 et tap0, il faut passer en mode routeur:
355 11 Bernard Urban
<pre>
356 11 Bernard Urban
echo 1 >/proc/sys/net/ipv6/conf/default/forwarding
357 11 Bernard Urban
</pre>
358 1 Laurent GUERBY
359 12 Bernard Urban
Nous allons maintenant mettre en place une configuration automatique d'adresses IPv6 de toutes les machines du segment réseau partant du tap0 de la VM (soit le tap0 du client openvpn, mais après l'étape suivante toutes les interfaces de votre réseau local). Nous utiliserons pour celà l'outil radvd, avec le fichier de configuration /etc/radvd.conf:
360 11 Bernard Urban
<pre>
361 11 Bernard Urban
interface tap0
362 11 Bernard Urban
{
363 12 Bernard Urban
  IgnoreIfMissing on;
364 11 Bernard Urban
  AdvSendAdvert on;
365 11 Bernard Urban
  AdvLinkMTU 1280;
366 11 Bernard Urban
  prefix 2a01:6600:80XX:YY01::/64
367 11 Bernard Urban
  {
368 1 Laurent GUERBY
    AdvOnLink on;
369 11 Bernard Urban
    AdvAutonomous on;
370 11 Bernard Urban
  };
371 1 Laurent GUERBY
};
372 1 Laurent GUERBY
</pre>
373 11 Bernard Urban
374 12 Bernard Urban
+Remarque:+ le fichier contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Par ailleurs, il est possible d'interdire à une machine de s'autoconfigurer, mais ce n'est pas le défaut pour Linux et j'ai supposé que vous ne l'avez pas modifié. 
375 11 Bernard Urban
376 13 Bernard Urban
h3. Etape 5: bridger les interfaces réseau du client openvpn
377 1 Laurent GUERBY
378 1 Laurent GUERBY
A ce stade, la machine openvpn cliente peut accéder l'internet IPv6, car radvd aura placé une route par défaut via son tap0. Si vous bridgez maintenant ce tap0 avec son eth0 (normalement relié au reste de votre réseau local), toutes les machines de ce réseau local vont s'assigner au bout de quelques minutes une adresse tirée de la plage 2a01:6600:80XX:YY01::/64, et une route par défaut via le tap0 du client openvpn: c'est ce qu'on voulait obtenir.
379 13 Bernard Urban
380 13 Bernard Urban
Voici les incantations magiques nécessaires:
381 13 Bernard Urban
<pre>
382 13 Bernard Urban
# on suppose qu'eth0 a l'adresse 192.168.0.1/24
383 13 Bernard Urban
brctl addbr br0
384 13 Bernard Urban
brctl addif br0 eth0
385 1 Laurent GUERBY
brctl addif br0 tap0
386 1 Laurent GUERBY
# à ce stade, le machine hébergeant le client openvpn n'est plus adressable
387 1 Laurent GUERBY
# mais il est dans la plupart des cas utile de lui en redonner une, en général celle d'eth0  
388 1 Laurent GUERBY
ip addr add 192.168.0.1/24 dev br0
389 1 Laurent GUERBY
</pre>
390 14 Bernard Urban
391 16 Bernard Urban
Il peut être intéressant de bridger par défaut eth0 et un tap0 prédéfini sur br0 dès le boot par une section de ce type dans /etc/network/interfaces: 
392 14 Bernard Urban
<pre>
393 14 Bernard Urban
auto br0
394 14 Bernard Urban
iface br0 inet static
395 14 Bernard Urban
    address 192.168.1.10
396 14 Bernard Urban
    netmask 255.255.255.0
397 1 Laurent GUERBY
    broadcast 192.168.0.255
398 1 Laurent GUERBY
    gateway 192.168.1.1
399 16 Bernard Urban
    bridge_ports eth0 tap0
400 16 Bernard Urban
    pre-up tunctl -t tap0
401 15 Bernard Urban
</pre> 
402 16 Bernard Urban
où la section 'iface br0' remplace 'iface eth0'.
403 1 Laurent GUERBY
404 16 Bernard Urban
Il faut ensuite modifier le configuration cliente /etc/openvpn/myris.conf comme suit:
405 1 Laurent GUERBY
<pre>
406 16 Bernard Urban
# on définit explicitement le tap0
407 16 Bernard Urban
dev tap0
408 16 Bernard Urban
proto udp
409 16 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
410 16 Bernard Urban
remote 91.224.xx.yy
411 16 Bernard Urban
ca myris/ca.crt
412 16 Bernard Urban
cert myris/client.crt
413 16 Bernard Urban
key myris/client.key
414 16 Bernard Urban
tls-client
415 16 Bernard Urban
port 1194
416 16 Bernard Urban
ping 15
417 16 Bernard Urban
ping-restart 45
418 16 Bernard Urban
persist-tun
419 16 Bernard Urban
persist-key
420 16 Bernard Urban
# ifconfig et route ont disparus et sont remplacés par ce qui suit, 
421 16 Bernard Urban
# qui fait la même chose appliqué à br0 et non pas tap0
422 1 Laurent GUERBY
script-security 3 system
423 16 Bernard Urban
up /etc/openvpn/myris-up.sh
424 16 Bernard Urban
down /etc/openvpn/myris-down.sh
425 1 Laurent GUERBY
</pre> 
426 16 Bernard Urban
427 16 Bernard Urban
où /etc/openvpn/myris-up.sh vaut:
428 16 Bernard Urban
<pre>
429 16 Bernard Urban
#! /bin/sh
430 16 Bernard Urban
/sbin/ip addr add 10.0.0.1/30 dev br0
431 16 Bernard Urban
</pre>
432 16 Bernard Urban
et /etc/openvpn/myris-down.sh vaut:
433 16 Bernard Urban
<pre>
434 16 Bernard Urban
#! /bin/sh
435 16 Bernard Urban
/sbin/ip addr del 10.0.0.1/30 dev br0
436 16 Bernard Urban
</pre>
437 16 Bernard Urban
438 16 Bernard Urban
+Remarque:+ ne pas oublier de lancer:
439 16 Bernard Urban
<pre>
440 16 Bernard Urban
chmod 755 /etc/openvpn/myris-down.sh /etc/openvpn/myris-down.sh
441 16 Bernard Urban
</pre>
442 16 Bernard Urban
443 16 Bernard Urban
Il est à noter que l'apparition des adresses et routes IPv6 peut prendre un dizaine de minutes après l'établissemnt du tunnel openvpn, et de même leur disparation n'est complète qu'au bout de 24h. Tout celà est réglable via /etc/radvd.conf sur la VM.
444 8 Laurent GUERBY
445 52 Laurent GUERBY
h2. ip6tables
446 52 Laurent GUERBY
447 52 Laurent GUERBY
Via Philippe Latu du projet http://www.inetdoc.net/
448 52 Laurent GUERBY
449 52 Laurent GUERBY
<pre>
450 52 Laurent GUERBY
*filter
451 52 Laurent GUERBY
:INPUT DROP [0:0]
452 52 Laurent GUERBY
:FORWARD DROP [0:0]
453 52 Laurent GUERBY
:OUTPUT ACCEPT [0:0]
454 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
455 52 Laurent GUERBY
# C H A I N E   I N P U T
456 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
457 52 Laurent GUERBY
# suivi de communication
458 52 Laurent GUERBY
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
459 52 Laurent GUERBY
# ICMPv6
460 52 Laurent GUERBY
-A INPUT -p icmpv6 -m state --state NEW -m limit --limit 5/sec -j ACCEPT
461 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-solicitation -j ACCEPT
462 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-advertisement -j 
463 52 Laurent GUERBY
ACCEPT
464 52 Laurent GUERBY
# Filtrage paquets avec en-tête de routage de type 0
465 52 Laurent GUERBY
-A INPUT -m rt --rt-type 0 -j DROP
466 52 Laurent GUERBY
# Autorisation trafic multicast
467 52 Laurent GUERBY
-A INPUT -d ff00::/8 -j ACCEPT
468 52 Laurent GUERBY
# communication loopback
469 52 Laurent GUERBY
-A INPUT -i lo -m state --state NEW -j ACCEPT
470 52 Laurent GUERBY
# communication instances virtuelles
471 52 Laurent GUERBY
-A INPUT -i tap+ -m state --state NEW -j ACCEPT
472 52 Laurent GUERBY
# communication interne
473 52 Laurent GUERBY
-A INPUT -i bond0.+ -m state --state NEW -j ACCEPT
474 52 Laurent GUERBY
# SSH port 2222
475 52 Laurent GUERBY
-A INPUT -p tcp --syn --dport 2222 -m state --state NEW -j ACCEPT
476 52 Laurent GUERBY
# poubelle
477 52 Laurent GUERBY
-A INPUT -j LOG --log-prefix "INPUT/rejected.ip6tables: "
478 52 Laurent GUERBY
-A INPUT -m state --state INVALID -m limit --limit 5/min -j LOG --log-prefix "INPUT/invalid.ip6tables: "
479 52 Laurent GUERBY
-A INPUT -m state --state INVALID -j DROP
480 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
481 52 Laurent GUERBY
# C H A I N E   F O R W A R D
482 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
483 52 Laurent GUERBY
# suivi de communication
484 52 Laurent GUERBY
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
485 52 Laurent GUERBY
# ICMPv6
486 52 Laurent GUERBY
-A FORWARD -p ipv6-icmp -m state --state NEW -m limit --limit 5/sec -j  ACCEPT
487 52 Laurent GUERBY
# Filtrage paquets avec en-tête de routage de type 0
488 52 Laurent GUERBY
-A FORWARD -m rt --rt-type 0 -j DROP
489 52 Laurent GUERBY
# Autorisation trafic multicast
490 52 Laurent GUERBY
-A FORWARD -d ff00::/8 -j ACCEPT
491 52 Laurent GUERBY
# communication loopback
492 52 Laurent GUERBY
-A FORWARD -i lo -m state --state NEW -j ACCEPT
493 52 Laurent GUERBY
# communication instances virtuelles
494 52 Laurent GUERBY
-A FORWARD -i tap+ -m state --state NEW -j ACCEPT
495 52 Laurent GUERBY
# communication réseaux de TP
496 52 Laurent GUERBY
-A FORWARD -i bond0.+ -m state --state NEW -j ACCEPT
497 52 Laurent GUERBY
# poubelle
498 52 Laurent GUERBY
-A FORWARD -m state --state INVALID -m limit --limit 5/min -j LOG  --log-prefix "INPUT/invalid.ip6tables: "
499 52 Laurent GUERBY
-A FORWARD -m state --state INVALID -j DROP
500 52 Laurent GUERBY
COMMIT
501 52 Laurent GUERBY
</pre>
502 52 Laurent GUERBY
503 52 Laurent GUERBY
504 52 Laurent GUERBY
505 6 Laurent GUERBY
h2. FAQ
506 6 Laurent GUERBY
507 18 Laurent GUERBY
h3. Reverse DNS
508 18 Laurent GUERBY
509 19 Laurent GUERBY
En IPv6 tetaneutral.net peut deleguer le reverse du /56. Il faut configurer bind sur une ou plusieurs de vos machines, nous donner son CNAME, par exemple ns1.chezmoi.net et ns2.chezmoi.net, et mettre les fichiers suivant dans /etc/bind/ :
510 19 Laurent GUERBY
511 18 Laurent GUERBY
named.conf.local
512 18 Laurent GUERBY
<pre>
513 18 Laurent GUERBY
zone "1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
514 18 Laurent GUERBY
	type master;
515 18 Laurent GUERBY
	file "/etc/bind/db.ip6-81";
516 18 Laurent GUERBY
};
517 18 Laurent GUERBY
</pre>
518 18 Laurent GUERBY
519 18 Laurent GUERBY
db.ip6-81
520 18 Laurent GUERBY
<pre>
521 18 Laurent GUERBY
; -*- mode: zone; -*-
522 18 Laurent GUERBY
;
523 18 Laurent GUERBY
; BIND reverse data file for broadcast zone
524 18 Laurent GUERBY
;
525 18 Laurent GUERBY
$TTL    3600
526 18 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
527 18 Laurent GUERBY
                        2011070301      ; serial
528 18 Laurent GUERBY
                         7200         ; Refresh
529 18 Laurent GUERBY
                          3600         ; Retry
530 18 Laurent GUERBY
                        1800000         ; Expire
531 18 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
532 18 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
533 18 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
534 18 Laurent GUERBY
535 1 Laurent GUERBY
; reverse
536 18 Laurent GUERBY
$ORIGIN 0.0.e.c.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
537 1 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     www6.tetaneutral.net.
538 18 Laurent GUERBY
539 18 Laurent GUERBY
; delegations /56
540 47 Laurent GUERBY
$ORIGIN 1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
541 47 Laurent GUERBY
1.9 86400 IN NS   hoersch.kneissel.org.
542 47 Laurent GUERBY
1.9 86400 IN NS   serveur.kneissel.org.
543 47 Laurent GUERBY
e.8 86400 IN NS   dns.kafe-in.net.
544 18 Laurent GUERBY
</pre>
545 47 Laurent GUERBY
546 47 Laurent GUERBY
Merci a Matthieu Herrb pour la délégation de reverse /56.
547 1 Laurent GUERBY
548 34 Laurent GUERBY
h3. CCNA et link-local
549 18 Laurent GUERBY
550 34 Laurent GUERBY
Merci à Jérôme Nicolle:
551 17 Laurent GUERBY
552 17 Laurent GUERBY
http://www.freeccnaworkbook.com/labs/section-12-configuring-ipv6/lab-12-3-configuring-ipv6-static-routing/
553 17 Laurent GUERBY
554 17 Laurent GUERBY
> Unlike IPv4 static routing, with IPv6 you have the ability to use either the global unicast address or link-local address as the next hop in the static route statement. When working with IPv6 dynamic routing protocols which will be discussed in the next 2 labs, the next hop will be the neighbors link-local IPv6 address and not their global unique assigned ipv6 address. However when configuring a static route with a link-local IPv6 address as the next hop you must specify the egress interface. For all intensive purposes, using either/or will achieve the same desired effect.
555 17 Laurent GUERBY
556 50 Laurent GUERBY
h3. Comment éviter d'utiliser une IPv6 non routée ?
557 17 Laurent GUERBY
558 50 Laurent GUERBY
Sur un IX en général les adresses sont non routées donc il faut éviter de les utiliser, pour cela on utilise "preferred_lft 0" :
559 50 Laurent GUERBY
560 50 Laurent GUERBY
http://www.davidc.net/networking/ipv6-source-address-selection-linux
561 50 Laurent GUERBY
562 50 Laurent GUERBY
<pre>
563 50 Laurent GUERBY
ip -6 a add 2001:7f8:59:0:75::15/96 dev eth0.502 preferred_lft 0
564 50 Laurent GUERBY
</pre>
565 34 Laurent GUERBY
h3. Comment pinguer une addresse link local ?
566 6 Laurent GUERBY
567 34 Laurent GUERBY
 
568 6 Laurent GUERBY
<pre>
569 6 Laurent GUERBY
ping6 fe80::31%eth0
570 1 Laurent GUERBY
</pre>
571 40 Mehdi Abaakouk
572 40 Mehdi Abaakouk
h3. zones reverses ipv6 manquante dans bind (ie: ::1)
573 40 Mehdi Abaakouk
574 40 Mehdi Abaakouk
Dans bind par défaut les zones pour ::1 sont vide pour les ajouter:
575 40 Mehdi Abaakouk
576 40 Mehdi Abaakouk
<pre>
577 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::.arpa
578 40 Mehdi Abaakouk
;
579 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
580 40 Mehdi Abaakouk
;
581 40 Mehdi Abaakouk
$TTL    604800
582 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
583 40 Mehdi Abaakouk
                              8         ; Serial
584 40 Mehdi Abaakouk
                         604800         ; Refresh
585 40 Mehdi Abaakouk
                          86400         ; Retry
586 40 Mehdi Abaakouk
                        2419200         ; Expire
587 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
588 40 Mehdi Abaakouk
;
589 40 Mehdi Abaakouk
@       IN      NS      localhost.
590 40 Mehdi Abaakouk
1       IN      PTR     localhost.
591 40 Mehdi Abaakouk
</pre>
592 40 Mehdi Abaakouk
593 40 Mehdi Abaakouk
<pre>
594 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::1.arpa
595 40 Mehdi Abaakouk
;
596 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
597 40 Mehdi Abaakouk
;
598 40 Mehdi Abaakouk
$TTL    604800
599 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
600 40 Mehdi Abaakouk
                              8         ; Serial
601 40 Mehdi Abaakouk
                         604800         ; Refresh
602 40 Mehdi Abaakouk
                          86400         ; Retry
603 40 Mehdi Abaakouk
                        2419200         ; Expire
604 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
605 40 Mehdi Abaakouk
;
606 40 Mehdi Abaakouk
@       IN      NS      localhost.
607 40 Mehdi Abaakouk
@       IN      PTR     localhost.
608 40 Mehdi Abaakouk
</pre>
609 40 Mehdi Abaakouk
610 40 Mehdi Abaakouk
<pre>
611 40 Mehdi Abaakouk
# cat /etc/bind/named.conf.default-zones.v6
612 40 Mehdi Abaakouk
613 40 Mehdi Abaakouk
zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
614 40 Mehdi Abaakouk
        type master;
615 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::.arpa";
616 40 Mehdi Abaakouk
};
617 40 Mehdi Abaakouk
618 40 Mehdi Abaakouk
zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
619 40 Mehdi Abaakouk
        type master;
620 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::1.arpa";
621 40 Mehdi Abaakouk
};
622 40 Mehdi Abaakouk
</pre>
623 40 Mehdi Abaakouk
624 40 Mehdi Abaakouk
Et on ajoute ca dans /etc/bind/named.conf: 
625 40 Mehdi Abaakouk
<pre>
626 40 Mehdi Abaakouk
include "/etc/bind/named.conf.default-zones.v6";
627 40 Mehdi Abaakouk
</pre>
628 42 Mehdi Abaakouk
629 42 Mehdi Abaakouk
h3. Envoie d'un Router Advertissement avec scapy pour virer une route auto apprise (Attention à n'utiliser que si on sait ce qu'on fait ! )
630 42 Mehdi Abaakouk
631 42 Mehdi Abaakouk
Création de trame ipv6, ipv6 src est celle du router à spoffer
632 42 Mehdi Abaakouk
633 42 Mehdi Abaakouk
<pre>
634 42 Mehdi Abaakouk
a = IPv6()
635 42 Mehdi Abaakouk
a.src = "fe80::dcad:4dff:fe0b:8a5"
636 42 Mehdi Abaakouk
a.dst = "ff02::1"
637 42 Mehdi Abaakouk
</pre>
638 42 Mehdi Abaakouk
639 42 Mehdi Abaakouk
La trame sera un RA avec un lifetime de 0, comme indiquer dans la rfc2461:
640 42 Mehdi Abaakouk
"Lifetime of 0 indicates that the router is not a default router and SHOULD NOT appear on the default router list."
641 42 Mehdi Abaakouk
642 42 Mehdi Abaakouk
<pre>
643 42 Mehdi Abaakouk
b = ICMPv6ND_RA() 
644 42 Mehdi Abaakouk
b.routerlifetime = 0
645 42 Mehdi Abaakouk
</pre>
646 42 Mehdi Abaakouk
647 42 Mehdi Abaakouk
Ensuite on fixe la adresse MAC à spoofer, celle du router original qui a envoyer le RA.
648 42 Mehdi Abaakouk
649 42 Mehdi Abaakouk
<pre>
650 42 Mehdi Abaakouk
c = ICMPv6NDOptSrcLLAddr() 
651 42 Mehdi Abaakouk
c.lladdr = "00:50:56:24:3b:c0"
652 42 Mehdi Abaakouk
</pre>
653 42 Mehdi Abaakouk
654 42 Mehdi Abaakouk
Ensuite on construire le contenu du RA, avec le prefix à annoncer (toujours celui à spoofer)
655 42 Mehdi Abaakouk
Avec le validlifetime et preferredlifetime à l'infinie, comme indiquer dans la rfc2461:
656 42 Mehdi Abaakouk
"A value of all one bits (0xffffffff) represents infinity"
657 42 Mehdi Abaakouk
658 42 Mehdi Abaakouk
<pre>
659 42 Mehdi Abaakouk
d = ICMPv6NDOptMTU() 
660 42 Mehdi Abaakouk
e = ICMPv6NDOptPrefixInfo() 
661 42 Mehdi Abaakouk
e.prefixlen = 64
662 42 Mehdi Abaakouk
e.prefix = "2a01:6600:8081:4300::"
663 42 Mehdi Abaakouk
e.validlifetime = 0xffffffff
664 42 Mehdi Abaakouk
e.preferredlifetime = 0xffffffff
665 42 Mehdi Abaakouk
</pre>
666 42 Mehdi Abaakouk
667 42 Mehdi Abaakouk
On envoie le tout:
668 42 Mehdi Abaakouk
669 42 Mehdi Abaakouk
<pre>
670 42 Mehdi Abaakouk
send(a/b/c/d/e)
671 42 Mehdi Abaakouk
</pre>