Projet

Général

Profil

IPv6 » Historique » Version 78

Matthieu Herrb, 13/10/2012 17:38
Infos sur la privacy IPv6

1 56 Laurent GUERBY
{{>toc}}
2 56 Laurent GUERBY
3 1 Laurent GUERBY
h1. IPv6
4 1 Laurent GUERBY
5 34 Laurent GUERBY
Déploiement a tetaneutral.net : #35
6 1 Laurent GUERBY
7 34 Laurent GUERBY
h2. Liens
8 2 Laurent GUERBY
9 59 Laurent GUERBY
[[WorldIPv6Launch20120606]]
10 59 Laurent GUERBY
11 5 Laurent GUERBY
General
12 5 Laurent GUERBY
13 2 Laurent GUERBY
* http://en.wikipedia.org/wiki/ICMPv6
14 3 Laurent GUERBY
* http://en.wikipedia.org/wiki/Neighbor_Discovery_Protocol
15 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/Radvd
16 4 Laurent GUERBY
* http://en.wikipedia.org/wiki/DHCPv6
17 69 Laurent GUERBY
** https://wikispaces.psu.edu/display/ipv6/DHCPv6
18 43 Laurent GUERBY
* http://www.iana.org/assignments/icmpv6-parameters
19 45 Laurent GUERBY
20 45 Laurent GUERBY
Statistics
21 45 Laurent GUERBY
22 44 Laurent GUERBY
* http://bgp.he.net/ipv6-progress-report.cgi
23 45 Laurent GUERBY
* https://labs.ripe.net/Members/mirjam/content-ipv6-measurement-compilation
24 46 Laurent GUERBY
* http://www.ripe.net/internet-coordination/ipv4-exhaustion/ipv4-available-pool-graph
25 76 Laurent GUERBY
* http://www.google.com/ipv6/statistics.html
26 76 Laurent GUERBY
* http://julien.vaubourg.com/files/lothaire-yarding_ipv6.pdf
27 77 Matthieu Herrb
* https://www.ams-ix.net/technical/statistics/sflow-stats/ipv6-traffic
28 5 Laurent GUERBY
29 5 Laurent GUERBY
Linux
30 5 Laurent GUERBY
31 5 Laurent GUERBY
* http://madduck.net/docs/ipv6/
32 5 Laurent GUERBY
* http://tldp.org/HOWTO/Linux+IPv6-HOWTO/
33 29 Laurent GUERBY
* http://linux.die.net/man/8/rdisc6
34 38 Laurent GUERBY
* bind IPv4+IPv6 /proc/sys/net/ipv6/bindv6only http://www.kernel.org/doc/man-pages/online/pages/man7/ipv6.7.html
35 1 Laurent GUERBY
* sileht : comme arpwatch mais en ipv6 http://ndpmon.sourceforge.net/
36 49 Laurent GUERBY
* sileht : proxy NDP auto http://www.priv.nu/projects/ndppd/  et https://github.com/Tuhox/ndppd
37 20 Laurent GUERBY
38 21 Laurent GUERBY
Tunnels
39 21 Laurent GUERBY
40 21 Laurent GUERBY
* http://en.wikipedia.org/wiki/List_of_IPv6_tunnel_brokers
41 21 Laurent GUERBY
* http://tunnelbroker.net
42 21 Laurent GUERBY
* http://sonic.net/features/ipv6/
43 21 Laurent GUERBY
44 23 Laurent GUERBY
Misc
45 23 Laurent GUERBY
46 37 Laurent GUERBY
* Cool IPv6 stuff http://www.sixxs.net/misc/coolstuff/
47 23 Laurent GUERBY
* http://interviews.slashdot.org/story/11/10/25/1532213/vint-cerf-answers-your-questions-about-ipv6-and-more
48 24 Laurent GUERBY
* http://infosecblog.antonaylward.com/2010/08/05/re-opensuse-ipv6-nat-was-113-and-ssh-x-forwarding-not-working/
49 41 Laurent GUERBY
* conférence JRES 2011 http://stream.ut-capitole.fr/jres2011/57.html
50 51 Laurent GUERBY
* http://vincent.riquer.fr/blog/archives/2010/04/11/openvpn__ipv6__bind__happiness/index.html
51 53 Laurent GUERBY
* http://blog.si6networks.com/2012/02/ipv6-nids-evasion-and-improvements-in.html
52 55 Laurent GUERBY
* https://vador.fdn.fr/wiki/support:faq:ipv6
53 59 Laurent GUERBY
* http://blog.si6networks.com/2012/02/ipv6-nids-evasion-and-improvements-in.html
54 60 Laurent GUERBY
* http://www.cisco.com/en/US/docs/ios/ipv6/configuration/guide/ip6-first_hop_security.html#wp1054246
55 60 Laurent GUERBY
* http://tools.ietf.org/html/draft-ietf-v6ops-ra-guard-implementation-01
56 23 Laurent GUERBY
57 22 Laurent GUERBY
Opérateurs
58 22 Laurent GUERBY
59 22 Laurent GUERBY
* DS-Lite chez FT http://www.ietf.org/mail-archive/web/v6ops/current/msg10652.html
60 27 Laurent GUERBY
* IPv6 chez comcast http://tech.slashdot.org/story/11/11/09/174217/comcast-begins-native-ipv6-deployment-to-end-users
61 28 Laurent GUERBY
* DHCP-PD http://ipv6.internode.on.net/
62 67 Laurent GUERBY
* Ninux [[AirOS]] vs [[OpenWRT]] retour d'experience http://blog.ninux.org/2012/06/06/the-ipv6-deployment-in-the-ninux-community-network/
63 22 Laurent GUERBY
64 68 Laurent GUERBY
Tests
65 68 Laurent GUERBY
66 68 Laurent GUERBY
* http://ip6.nl/
67 68 Laurent GUERBY
68 64 Laurent GUERBY
h2. RIPE
69 64 Laurent GUERBY
70 64 Laurent GUERBY
* IPv6 Address Allocation and Assignment Policy 
71 64 Laurent GUERBY
** http://www.ripe.net/ripe/docs/ripe-552
72 64 Laurent GUERBY
* RIPE Routing Working Group Recommendations on IPv6 Route Aggregation
73 64 Laurent GUERBY
** http://www.ripe.net/ripe/docs/ripe-532
74 64 Laurent GUERBY
75 62 Laurent GUERBY
h2. Configuration d'un LAN « IPv6 only » sous debian
76 62 Laurent GUERBY
77 62 Laurent GUERBY
* [[NAT64DNS64]]
78 62 Laurent GUERBY
* [[THSF 2012]]
79 62 Laurent GUERBY
80 65 Laurent GUERBY
h2. Debian
81 65 Laurent GUERBY
82 65 Laurent GUERBY
* http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=643594
83 65 Laurent GUERBY
** ebtables: v2.0.10-1 wish for ipv6-icmp and security
84 66 Laurent GUERBY
** fixé le 5 juin 2012
85 66 Laurent GUERBY
** voir aussi [[Spoofing]]
86 65 Laurent GUERBY
87 30 Laurent GUERBY
h2. Désactiver la configuration automatique
88 30 Laurent GUERBY
89 57 Bernard Urban
Un serveur aura typiquement une configuration entièrement statique assignée par l'hébergeur, laisser la configuration dynamique activée est un risque de voir un tiers prendre le controle du routage serveur ou l'empécher de fonctionner via l'envoi d'une configuration dynamique erronée. Il est donc préférable de désactiver la configuration dynamique IPv6 sur une VM ou serveur physique hébergé chez tetaneutral.net. Si votre VM est en mode routeur (c'est à dire la commande "more /proc/sys/net/ipv6/conf/all/forwarding" renvoit 1), cette désactivation est implicite, voir dans le source du noyau Linux le fichier "Documentation/networking/ip-sysctl.txt")
90 30 Laurent GUERBY
91 33 Laurent GUERBY
En version rapide executer sur sa VM ou machine en root la ligne suivante :
92 30 Laurent GUERBY
93 1 Laurent GUERBY
<pre>
94 33 Laurent GUERBY
wget -qO - http://tetaneutral.net/ipv6/ipv6noauto.sh | bash
95 33 Laurent GUERBY
</pre>
96 33 Laurent GUERBY
97 35 Laurent GUERBY
Le détail de ce que fait ce script ci-après.
98 33 Laurent GUERBY
99 33 Laurent GUERBY
h3. Désactiver autoconf et accept_ra pour la session en cours
100 33 Laurent GUERBY
101 33 Laurent GUERBY
Executer en root la ligne suivante :
102 33 Laurent GUERBY
103 33 Laurent GUERBY
<pre>
104 30 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do for j in autoconf accept_ra; do echo 0 > $i/$j; done;done
105 30 Laurent GUERBY
</pre>
106 1 Laurent GUERBY
107 33 Laurent GUERBY
h3. Le rendre permanent en cas de reboot
108 31 Laurent GUERBY
109 33 Laurent GUERBY
Editer la section inte6 de /etc/network/interfaces  pour ajouter deux "pre-up" entre la ligne "iface" et la ligne "address" :
110 30 Laurent GUERBY
111 30 Laurent GUERBY
<pre>
112 30 Laurent GUERBY
iface eth0 inet6 static
113 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
114 30 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
115 1 Laurent GUERBY
   address ...
116 30 Laurent GUERBY
</pre>
117 30 Laurent GUERBY
118 57 Bernard Urban
Créer un fichier pour sysctl :
119 30 Laurent GUERBY
120 30 Laurent GUERBY
<pre>
121 32 Laurent GUERBY
cat > /etc/sysctl.d/local-ipv6.conf <<EOF
122 30 Laurent GUERBY
123 30 Laurent GUERBY
# No IPV6 RA or autoconf
124 30 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
125 30 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
126 30 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
127 1 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
128 1 Laurent GUERBY
129 1 Laurent GUERBY
EOF
130 33 Laurent GUERBY
</pre>
131 33 Laurent GUERBY
132 33 Laurent GUERBY
133 35 Laurent GUERBY
h3. Référence : source du script ipv6noauto.sh
134 33 Laurent GUERBY
135 33 Laurent GUERBY
<pre>
136 33 Laurent GUERBY
echo deactivating autoconf and accept_ra
137 33 Laurent GUERBY
138 33 Laurent GUERBY
for i in /proc/sys/net/ipv6/conf/*; do 
139 33 Laurent GUERBY
 for j in autoconf accept_ra; do 
140 33 Laurent GUERBY
  echo $i/$j
141 33 Laurent GUERBY
  echo 0 > $i/$j
142 33 Laurent GUERBY
 done
143 33 Laurent GUERBY
done
144 33 Laurent GUERBY
145 33 Laurent GUERBY
146 33 Laurent GUERBY
F=/etc/network/interfaces
147 33 Laurent GUERBY
if ! grep accept_ra $F >& /dev/null; then
148 33 Laurent GUERBY
 echo fixing /etc/network/interfaces
149 33 Laurent GUERBY
 cp -f $F $F.save
150 33 Laurent GUERBY
 sed -e 's,iface eth0 inet6 static,iface eth0 inet6 static\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra\n   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf,g' < $F.save > $F
151 33 Laurent GUERBY
fi
152 33 Laurent GUERBY
153 33 Laurent GUERBY
if [ ! -f /etc/sysctl.d/local-ipv6.conf ]; then
154 33 Laurent GUERBY
 echo creating /etc/sysctl.d/local-ipv6.conf
155 33 Laurent GUERBY
156 33 Laurent GUERBY
 cat > /etc/sysctl.d/local-ipv6.conf <<EOF
157 33 Laurent GUERBY
158 33 Laurent GUERBY
# No IPV6 RA or autoconf
159 33 Laurent GUERBY
net.ipv6.conf.all.autoconf = 0
160 33 Laurent GUERBY
net.ipv6.conf.all.accept_ra = 0
161 33 Laurent GUERBY
net.ipv6.conf.default.autoconf = 0
162 33 Laurent GUERBY
net.ipv6.conf.default.accept_ra = 0
163 33 Laurent GUERBY
164 33 Laurent GUERBY
EOF
165 33 Laurent GUERBY
166 33 Laurent GUERBY
fi
167 33 Laurent GUERBY
168 33 Laurent GUERBY
echo done
169 30 Laurent GUERBY
</pre>
170 30 Laurent GUERBY
171 56 Laurent GUERBY
h2. ARP cache limits
172 30 Laurent GUERBY
173 56 Laurent GUERBY
TODO via Cyril B.
174 56 Laurent GUERBY
175 56 Laurent GUERBY
<pre>
176 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh1 = 1024
177 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh2 = 2048
178 56 Laurent GUERBY
net.ipv6.neigh.default.gc_thresh3 = 4096
179 56 Laurent GUERBY
</pre>
180 30 Laurent GUERBY
181 25 Laurent GUERBY
h2. Pièges
182 25 Laurent GUERBY
183 25 Laurent GUERBY
Attention a bien mettre les zéros en fin de mot :
184 1 Laurent GUERBY
185 25 Laurent GUERBY
Ne pas mettre 2a01:6600:8081:XX:: car c'est 2a01:6600:8081: *00* XX::
186 26 Laurent GUERBY
Utiliser 2a01:6600:8081: *XX00* ::
187 22 Laurent GUERBY
188 34 Laurent GUERBY
h2. Comment activer le routage sur son /56 IPv6 ?
189 7 Jérôme Nicolle
190 34 Laurent GUERBY
Chaque IPv4 livrée par tetaneutral.net est associé à un /56 IPv6, avec une équivalence /24  = 256 IPv4 <=> /48 = 256 /56 IPv6
191 7 Jérôme Nicolle
192 8 Laurent GUERBY
h2. Discussions
193 1 Laurent GUERBY
194 8 Laurent GUERBY
> J'ai fait quelques essais: VM configuré en routeur, openvpn entre la VM
195 8 Laurent GUERBY
> et ma machine, histoire de simuler des interfaces. J'ai essayé radvd
196 8 Laurent GUERBY
> comme des définitions manuelles des adresses IPv6.
197 8 Laurent GUERBY
> 
198 8 Laurent GUERBY
> Bon, ça marche depuis la VM mais pas depuis chez moi (wget
199 8 Laurent GUERBY
> http://ipv6.google.com), même si les paquets IPv6 (vu avec tcpdump)
200 8 Laurent GUERBY
> partent bien de la VM vers l'internet. Mais il n'y a pas de retour.
201 8 Laurent GUERBY
> 
202 8 Laurent GUERBY
> Après quelques cogitations et la lecture de ceci:
203 8 Laurent GUERBY
> http://www.fdn.fr/IPv6-a-la-maison.html j'en arrive à ces
204 8 Laurent GUERBY
> réflexions:
205 8 Laurent GUERBY
> 
206 8 Laurent GUERBY
> 1) Dans le blog FDN ci-dessus l'adresse IPv6 affectée au ppp0 n'est pas
207 8 Laurent GUERBY
> dans son /48; ce qui voudrait dire qu'il n'y a pas de raison d'affecter
208 8 Laurent GUERBY
> une IPv6 du /56 au eth0 des VM tetaneutral.
209 8 Laurent GUERBY
> 
210 8 Laurent GUERBY
> 2) Pour faire marcher une telle config à FDN, le routeur FDN en amont du
211 8 Laurent GUERBY
> modem/routeur de l'abonné devrait avoir une route du type:
212 8 Laurent GUERBY
> ip -6 route add range/48 dev ppp-abonné via link-local-ppp-abonné
213 8 Laurent GUERBY
> soit chez nous:
214 8 Laurent GUERBY
> ip -6 route add range/56 dev eth0-vm via link-local-eth0-vm
215 8 Laurent GUERBY
> 
216 8 Laurent GUERBY
> > du /56 via une interconnection explicite entre le routeur de
217 8 Laurent GUERBY
> > tetaneutral.net et un routeur chez le membre ?
218 8 Laurent GUERBY
> 
219 8 Laurent GUERBY
> Un lien openvpn?
220 8 Laurent GUERBY
221 8 Laurent GUERBY
Bonsoir,
222 8 Laurent GUERBY
223 8 Laurent GUERBY
On peut rajouter une regle de routage comme tu le suggere,
224 8 Laurent GUERBY
reste a choisir les details pratiques.
225 8 Laurent GUERBY
226 8 Laurent GUERBY
Pour la link-local coté routeur on a choisi fe80::31 en statique il
227 8 Laurent GUERBY
reste a choisir une regle pour attribuer le link local coté client. 
228 8 Laurent GUERBY
229 8 Laurent GUERBY
Une regle automatique basée sur l'IPv4 est en place pour
230 8 Laurent GUERBY
l'attribution du subnet IPv6 :
231 8 Laurent GUERBY
232 8 Laurent GUERBY
http://wiki.tetaneutral.net/index.php/Architecture
233 8 Laurent GUERBY
234 8 Laurent GUERBY
Une regle similaire pour le routage donnerait par exemple fe80::81:XY
235 8 Laurent GUERBY
ou XY est le dernier octet de l'IPv4 ecrit en hexadecimal
236 8 Laurent GUERBY
pour la link local coté client.
237 8 Laurent GUERBY
238 8 Laurent GUERBY
L'avantage d'une regle statique vs le SLAAC c'est que c'est un peu plus
239 8 Laurent GUERBY
flexible coté client sur le choix de l'equipement routeur.
240 8 Laurent GUERBY
241 8 Laurent GUERBY
L'avantage du routé est bien sur la flexibilité et la sécurisation
242 8 Laurent GUERBY
potentielle, l'inconvenient est qu'avec nos equipements actuels peu
243 8 Laurent GUERBY
puissant on perdra un peu en debit mais ça se corrigera avec
244 8 Laurent GUERBY
de nouveaux equipements.
245 8 Laurent GUERBY
246 8 Laurent GUERBY
Je suis vraiment curieux de savoir comment font les autres hebergeurs
247 8 Laurent GUERBY
dans le monde IPv6, ceux auxquels j'ai acces ne proposent pas de
248 8 Laurent GUERBY
routage, simplement ce que propose tetaneutral.net actuellement.
249 8 Laurent GUERBY
250 8 Laurent GUERBY
Suggestions ?
251 8 Laurent GUERBY
252 15 Bernard Urban
h2. Connectivité IPv6 complète depuis chez vous en quelques étapes simples
253 9 Bernard Urban
254 10 Bernard Urban
Connectivité complète signifie que toutes vos machines pouvant fonctionner en IPv6 peuvent accéder des sites IPv6 externes mais surtout être joignables de l'extérieur sur une adresse IPv6 propre. Pas de NAT ou autre bidouille de ce genre. Implications en terme d'autohébergement et sécurité laissées en exercice. 
255 9 Bernard Urban
256 11 Bernard Urban
Pour bien comprendre ce qui suit, il est recommandé d'avoir un peu potassé les hyperliens plus haut et mieux encore d'avoir joué avec l'IPv6 sur votre réseau local maison en utilisant par exemple des adresses ULA.
257 1 Laurent GUERBY
258 10 Bernard Urban
h3. Etape 1: obtenir une machine virtuelle Tetaneutral. 
259 10 Bernard Urban
260 10 Bernard Urban
Celle-ci (on l'appellera VM dans la suite) sera configurée par défaut comme suit dans /etc/network/interfaces du point de vue IPv6:
261 1 Laurent GUERBY
<pre>
262 1 Laurent GUERBY
iface eth0 inet6 static
263 57 Bernard Urban
   # les 2 lignes qui suivent ne seront pas nécessaires lorsque 
264 57 Bernard Urban
   # plus loin nous passerons en mode routeur
265 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
266 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
267 9 Bernard Urban
   address 2a01:6600:80XX:YY00::1
268 1 Laurent GUERBY
   netmask 56
269 1 Laurent GUERBY
   gateway fe80::31
270 1 Laurent GUERBY
</pre>
271 1 Laurent GUERBY
272 1 Laurent GUERBY
où XX et YY sont les versions hexadécimales des xx et yy décimaux de votre (unique!) adresse IPv4 de la forme 91.224.xx.yy.
273 10 Bernard Urban
274 11 Bernard Urban
Voyons ce qu'implique la prise en compte par le système de ce fragment de /etc/network/interfaces. Il dit que:
275 10 Bernard Urban
# l'adresse 2a01:6600:80XX:YY00::1 est affectée à eth0, ce qui signifie que votre VM est accessible à cette adresse depuis l'intérieur de la VM comme depuis l'extérieur par toutes les machines du même segment réseau que eth0
276 10 Bernard Urban
# les paquets passant par votre VM peuvent atteindre les adresses de la plage 2a01:6600:80XX:YY00::/56 en étant envoyés en sortie de l'interface eth0
277 10 Bernard Urban
278 10 Bernard Urban
La plage 2a01:6600:80XX:YY00::/56 a été allouée par tetaneutral à votre VM. Notre problème est d'allouer une partie de ces adresses à des machines de notre domicile en utilisant l'accès que nous avons (en IPv4!) à la VM.
279 1 Laurent GUERBY
280 1 Laurent GUERBY
Avec cette configuration, vous pouvez héberger sur la VM des milliards de serveurs avec des adresses IPv6 différentes, il suffit de les ajouter à eth0 par une commande du type:
281 10 Bernard Urban
<pre>
282 57 Bernard Urban
ip -6 address add une-adresse-ipv6-de-votre-plage/56 dev eth0
283 10 Bernard Urban
</pre>
284 11 Bernard Urban
Le /56 n'est pas absolument nécessaire, il évite juste de rajouter une route plus spécifique pour atteindre votre nouvelle adresse IPv6 depuis votre VM, route qui s'avère redondante.
285 10 Bernard Urban
286 1 Laurent GUERBY
Le lecteur attentif aura noté que cette configuration déclare que toutes les adresses de votre plage sont situées derrière eth0, en dehors de la partie contrôlée par votre VM, et il semble impossible alors d'en distraire une partie. Il y a au moins deux solutions à ce problème:
287 1 Laurent GUERBY
# S'arranger pour que les segments réseau de votre domicile fassent partie de celui partant de eth0 sur la VM. Celà revient techniquement à bridger ces segments réseaux. Cette solution a cependant des inconvénients en terme de configurabilité et de sécurité.
288 12 Bernard Urban
# Réduire la plage IPv6 allouée derrière l'eth0 de la VM et réallouer le solde à votre réseau local maison, par des techniques de routage. C'est ce qu'on va décrire dans la suite. Mais d'abord, on a besoin d'un peu de collaboration de Tetaneutral. 
289 1 Laurent GUERBY
290 11 Bernard Urban
h3. Etape 2: faire router votre plage /56 par Tetaneutral.
291 1 Laurent GUERBY
292 11 Bernard Urban
Dans la configuration par défaut des VM Tetaneutral, l'hôte des VM crée la route vers l'adresse 2a01:6600:80XX:YY00::1 (et des autres que vous rajoutez éventuellement à la main sur eth0) par l'utilisation de l'équivalent IPv6 d'ARP. Il est donc impossible de router vers une adresse qui n'existe pas sur cet eth0. 
293 11 Bernard Urban
294 11 Bernard Urban
Tetaneutral doit donc rajouter une route explicite:
295 11 Bernard Urban
<pre>
296 11 Bernard Urban
ip -6 route add 2a01:6600:80XX:YY00::/56 via fe80::XX:YY dev votre-eth0-côté-hôte
297 11 Bernard Urban
</pre>
298 11 Bernard Urban
299 1 Laurent GUERBY
Celà n'a de sens que si fe80::XX:YY une des adresses de l'eth0 côté VM. Il faut donc l'ajouter et le mieux est de le faire via une directive 'up' dans /etc/network/interfaces:
300 1 Laurent GUERBY
<pre>
301 1 Laurent GUERBY
iface eth0 inet6 static
302 57 Bernard Urban
   # les 2 lignes qui suivent ne seront pas nécessaires lorsque 
303 57 Bernard Urban
   # plus loin nous passerons en mode routeur
304 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/accept_ra
305 54 Laurent GUERBY
   pre-up echo 0 > /proc/sys/net/ipv6/conf/$IFACE/autoconf
306 11 Bernard Urban
   address 2a01:6600:80XX:YY00::1
307 11 Bernard Urban
   netmask 64
308 11 Bernard Urban
   gateway fe80::31   
309 11 Bernard Urban
   up ip -6 add add fe80::XX:YY dev eth0
310 1 Laurent GUERBY
</pre>
311 11 Bernard Urban
312 14 Bernard Urban
Mon lecteur toujours très attentif n'aura pas manqué de noter que netmask ci-dessus est passé de 56 à 64. Nous n'allouons donc maintenant plus toutes nos adresses IPv6 sur le segment réseau partant d'eth0. En particulier, nous allons voir maintenant comment récupérer la sous-plage 2a01:6600:80XX:YY01::/64 pour notre réseau à domicile. 
313 1 Laurent GUERBY
314 14 Bernard Urban
+Remarque:+ la sous-plage doit être /64, sinon l'adressage automatique des interfaces réseau qu'on verra plus loin ne marchera pas.
315 12 Bernard Urban
316 13 Bernard Urban
h3. Etape 3: simuler un lien ethernet entre une machine à domicile et cette VM.
317 1 Laurent GUERBY
318 11 Bernard Urban
Les technologies VPN/tunnel sont le pendant réseau des machines virtuelles: elles permettent de créer des interfaces réseaux virtuelles (du point de vue hardware, mais bien réelles d'un point de vue logiciel) et de les connecter entre elles. 
319 1 Laurent GUERBY
320 12 Bernard Urban
Tout comme les machines virtuelles nécessitent quand même un minimum de support silicium, un VPN/tunnel va nécessiter de s'appuyer sur une vraie liaison entre deux vraies interfaces réseau, en l'occurence pour nous la liaison internet IPv4 entre autre utilisée pour l'administration de la VM depuis votre domicile. Plus précisément, nous allons utiliser l'outil openvpn.
321 11 Bernard Urban
322 11 Bernard Urban
La première étape va consister à installer openvpn en mode serveur sur la VM. Le fichier suivant est à créer dans /etc/openvpn/myris.conf:
323 11 Bernard Urban
<pre>
324 11 Bernard Urban
dev tap
325 11 Bernard Urban
proto udp
326 11 Bernard Urban
local 91.224.xx.yy
327 11 Bernard Urban
float
328 11 Bernard Urban
ca myris/ca.crt
329 11 Bernard Urban
cert myris/myris.crt
330 11 Bernard Urban
key myris/myris.key
331 11 Bernard Urban
dh myris/dh1024.pem
332 11 Bernard Urban
tls-server
333 11 Bernard Urban
port 1194
334 11 Bernard Urban
ping 15
335 11 Bernard Urban
ping-restart 45
336 11 Bernard Urban
# car serveur
337 11 Bernard Urban
ping-timer-rem
338 11 Bernard Urban
persist-tun
339 11 Bernard Urban
persist-key
340 11 Bernard Urban
ifconfig 10.0.0.2 255.255.255.252
341 11 Bernard Urban
route ipv4-adresse-client-openvpn-domicile 255.255.255.255 10.0.0.1
342 11 Bernard Urban
script-security 3 system
343 11 Bernard Urban
route-up "/sbin/ip -6 addr add 2a01:6600:80XX:YY01::1/64 dev tap0"
344 11 Bernard Urban
</pre>
345 11 Bernard Urban
346 11 Bernard Urban
+Remarque:+ le paramètre route-up contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Cette commande est nécessaire pour créer sur la VM une route vers la bonne interface pour la plage 2a01:6600:80XX:YY01::/64. Pour que le serveur openvpn soit toujours présent, il faut ajouter
347 11 Bernard Urban
<pre>
348 11 Bernard Urban
AUTOSTART="myris"
349 11 Bernard Urban
</pre>
350 11 Bernard Urban
à /etc/default/openvpn.
351 11 Bernard Urban
352 11 Bernard Urban
Sur la machine à domicile, il faut une installation en mode client, pourquoi pas le même nom de fichier que le serveur, mais pas le même contenu:
353 11 Bernard Urban
<pre>
354 11 Bernard Urban
dev tap
355 11 Bernard Urban
proto udp
356 11 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
357 11 Bernard Urban
remote 91.224.xx.yy
358 11 Bernard Urban
ca myris/ca.crt
359 11 Bernard Urban
cert myris/client.crt
360 11 Bernard Urban
key myris/client.key
361 11 Bernard Urban
tls-client
362 11 Bernard Urban
port 1194
363 11 Bernard Urban
ping 15
364 11 Bernard Urban
ping-restart 45
365 11 Bernard Urban
persist-tun
366 11 Bernard Urban
persist-key
367 1 Laurent GUERBY
ifconfig 10.0.0.1 255.255.255.252
368 11 Bernard Urban
route 0.0.0.0 0.0.0.0 10.0.0.2
369 1 Laurent GUERBY
</pre>
370 1 Laurent GUERBY
371 15 Bernard Urban
L'adresse ipv4-adresse-client-openvpn-domicile est toute adresse qui permet d'accéder Internet depuis la machine accueillant l'openvpn client; en général, ce ne sera donc pas votre adresse IP externe allouée par votre FAI, elle sera plutôt du genre 192.168.*.*. ou 10.*.*.*. Il est supposé bien sûr dans l'exemple ci-dessus que vous n'utilisez pas 10.0.0.0/30 chez vous, elle a été réservée au lien openvpn. 
372 1 Laurent GUERBY
373 14 Bernard Urban
Les répertoires /etc/openvpn/myris sur VM et machine cliente contiendront les divers certificats et clés, qu'il faut générer. Voici comment faire:
374 14 Bernard Urban
<pre>
375 14 Bernard Urban
cd un-répertoire de travail
376 14 Bernard Urban
cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/ .
377 14 Bernard Urban
cd 2.0
378 14 Bernard Urban
# Editez à votre convenance les 5 dernières variables d'environnement de type KEY_* du fichier vars
379 14 Bernard Urban
source ./vars
380 14 Bernard Urban
./clean-all
381 14 Bernard Urban
./build-dh
382 14 Bernard Urban
./pkitool --initca
383 14 Bernard Urban
./pkitool --server myris
384 14 Bernard Urban
./pkitool client
385 14 Bernard Urban
</pre>
386 14 Bernard Urban
387 14 Bernard Urban
et les fichiers recherchés se trouvent dans le sous-répertoire keys. Le seul fichier commun aux 2 extrémités du lien openvpn est ca.crt.
388 14 Bernard Urban
389 12 Bernard Urban
h3. Etape 4: passer la VM en mode routeur et annoncer des routes pour votre réseau à domicile avec radvd.
390 11 Bernard Urban
391 1 Laurent GUERBY
Pour autoriser les paquets à être routés sur la VM entre eth0 et tap0, il faut passer en mode routeur:
392 1 Laurent GUERBY
<pre>
393 58 Bernard Urban
echo 1 >/proc/sys/net/ipv6/conf/all/forwarding
394 1 Laurent GUERBY
</pre>
395 57 Bernard Urban
396 57 Bernard Urban
Il est encore mieux de conserver ce mode au reboot en rajoutant la ligne:
397 57 Bernard Urban
<pre>
398 57 Bernard Urban
net.ipv6.conf.all.forwarding=1
399 1 Laurent GUERBY
</pre>
400 58 Bernard Urban
401 57 Bernard Urban
dans le fichier "/etc/sysctl.conf"
402 57 Bernard Urban
403 57 Bernard Urban
Cette option entraine aussi que votre VM ne s'autoconfigure plus en IPv6 (i.e. les lignes "pre-up" vues plus haut dans "/etc/network/interfaces" ne sont plus nécessaires).
404 1 Laurent GUERBY
405 12 Bernard Urban
Nous allons maintenant mettre en place une configuration automatique d'adresses IPv6 de toutes les machines du segment réseau partant du tap0 de la VM (soit le tap0 du client openvpn, mais après l'étape suivante toutes les interfaces de votre réseau local). Nous utiliserons pour celà l'outil radvd, avec le fichier de configuration /etc/radvd.conf:
406 11 Bernard Urban
<pre>
407 11 Bernard Urban
interface tap0
408 11 Bernard Urban
{
409 12 Bernard Urban
  IgnoreIfMissing on;
410 11 Bernard Urban
  AdvSendAdvert on;
411 11 Bernard Urban
  AdvLinkMTU 1280;
412 11 Bernard Urban
  prefix 2a01:6600:80XX:YY01::/64
413 11 Bernard Urban
  {
414 1 Laurent GUERBY
    AdvOnLink on;
415 11 Bernard Urban
    AdvAutonomous on;
416 11 Bernard Urban
  };
417 1 Laurent GUERBY
};
418 1 Laurent GUERBY
</pre>
419 11 Bernard Urban
420 12 Bernard Urban
+Remarque:+ le fichier contient le nom 'tap0' codé en dur, ce qui n'est pas portable. Par ailleurs, il est possible d'interdire à une machine de s'autoconfigurer, mais ce n'est pas le défaut pour Linux et j'ai supposé que vous ne l'avez pas modifié. 
421 11 Bernard Urban
422 13 Bernard Urban
h3. Etape 5: bridger les interfaces réseau du client openvpn
423 1 Laurent GUERBY
424 1 Laurent GUERBY
A ce stade, la machine openvpn cliente peut accéder l'internet IPv6, car radvd aura placé une route par défaut via son tap0. Si vous bridgez maintenant ce tap0 avec son eth0 (normalement relié au reste de votre réseau local), toutes les machines de ce réseau local vont s'assigner au bout de quelques minutes une adresse tirée de la plage 2a01:6600:80XX:YY01::/64, et une route par défaut via le tap0 du client openvpn: c'est ce qu'on voulait obtenir.
425 13 Bernard Urban
426 13 Bernard Urban
Voici les incantations magiques nécessaires:
427 13 Bernard Urban
<pre>
428 13 Bernard Urban
# on suppose qu'eth0 a l'adresse 192.168.0.1/24
429 13 Bernard Urban
brctl addbr br0
430 13 Bernard Urban
brctl addif br0 eth0
431 1 Laurent GUERBY
brctl addif br0 tap0
432 1 Laurent GUERBY
# à ce stade, le machine hébergeant le client openvpn n'est plus adressable
433 1 Laurent GUERBY
# mais il est dans la plupart des cas utile de lui en redonner une, en général celle d'eth0  
434 1 Laurent GUERBY
ip addr add 192.168.0.1/24 dev br0
435 1 Laurent GUERBY
</pre>
436 14 Bernard Urban
437 16 Bernard Urban
Il peut être intéressant de bridger par défaut eth0 et un tap0 prédéfini sur br0 dès le boot par une section de ce type dans /etc/network/interfaces: 
438 14 Bernard Urban
<pre>
439 14 Bernard Urban
auto br0
440 14 Bernard Urban
iface br0 inet static
441 14 Bernard Urban
    address 192.168.1.10
442 14 Bernard Urban
    netmask 255.255.255.0
443 1 Laurent GUERBY
    broadcast 192.168.0.255
444 1 Laurent GUERBY
    gateway 192.168.1.1
445 16 Bernard Urban
    bridge_ports eth0 tap0
446 16 Bernard Urban
    pre-up tunctl -t tap0
447 15 Bernard Urban
</pre> 
448 16 Bernard Urban
où la section 'iface br0' remplace 'iface eth0'.
449 1 Laurent GUERBY
450 16 Bernard Urban
Il faut ensuite modifier le configuration cliente /etc/openvpn/myris.conf comme suit:
451 1 Laurent GUERBY
<pre>
452 16 Bernard Urban
# on définit explicitement le tap0
453 16 Bernard Urban
dev tap0
454 16 Bernard Urban
proto udp
455 16 Bernard Urban
local ipv4-adresse-client-openvpn-domicile
456 16 Bernard Urban
remote 91.224.xx.yy
457 16 Bernard Urban
ca myris/ca.crt
458 16 Bernard Urban
cert myris/client.crt
459 16 Bernard Urban
key myris/client.key
460 16 Bernard Urban
tls-client
461 16 Bernard Urban
port 1194
462 16 Bernard Urban
ping 15
463 16 Bernard Urban
ping-restart 45
464 16 Bernard Urban
persist-tun
465 16 Bernard Urban
persist-key
466 16 Bernard Urban
# ifconfig et route ont disparus et sont remplacés par ce qui suit, 
467 16 Bernard Urban
# qui fait la même chose appliqué à br0 et non pas tap0
468 1 Laurent GUERBY
script-security 3 system
469 16 Bernard Urban
up /etc/openvpn/myris-up.sh
470 16 Bernard Urban
down /etc/openvpn/myris-down.sh
471 1 Laurent GUERBY
</pre> 
472 16 Bernard Urban
473 16 Bernard Urban
où /etc/openvpn/myris-up.sh vaut:
474 16 Bernard Urban
<pre>
475 16 Bernard Urban
#! /bin/sh
476 16 Bernard Urban
/sbin/ip addr add 10.0.0.1/30 dev br0
477 16 Bernard Urban
</pre>
478 16 Bernard Urban
et /etc/openvpn/myris-down.sh vaut:
479 16 Bernard Urban
<pre>
480 16 Bernard Urban
#! /bin/sh
481 16 Bernard Urban
/sbin/ip addr del 10.0.0.1/30 dev br0
482 16 Bernard Urban
</pre>
483 16 Bernard Urban
484 16 Bernard Urban
+Remarque:+ ne pas oublier de lancer:
485 16 Bernard Urban
<pre>
486 75 Kévin Beaubestre
chmod 755 /etc/openvpn/myris-up.sh /etc/openvpn/myris-down.sh
487 16 Bernard Urban
</pre>
488 16 Bernard Urban
489 16 Bernard Urban
Il est à noter que l'apparition des adresses et routes IPv6 peut prendre un dizaine de minutes après l'établissemnt du tunnel openvpn, et de même leur disparation n'est complète qu'au bout de 24h. Tout celà est réglable via /etc/radvd.conf sur la VM.
490 8 Laurent GUERBY
491 71 Julien Aubé
h2. IPv6 sous OpenWRT
492 71 Julien Aubé
493 71 Julien Aubé
Exemple pour un routeur OpenWRT connecté au réseau L2 de Tetaneutral (radio ou autre)
494 71 Julien Aubé
495 71 Julien Aubé
h3. Demander le routage du /56.
496 71 Julien Aubé
497 71 Julien Aubé
Il vous sera donné une IP link-locale sous la forme fe80::xx:yy .
498 71 Julien Aubé
499 71 Julien Aubé
h3. /etc/config/network
500 71 Julien Aubé
501 71 Julien Aubé
La définition du fichier network d'OpenWRT
502 71 Julien Aubé
503 71 Julien Aubé
<pre>
504 71 Julien Aubé
config 'interface' 'loopback'
505 71 Julien Aubé
        option 'ifname' 'lo'
506 71 Julien Aubé
        option 'proto' 'static'
507 71 Julien Aubé
        option 'ipaddr' '127.0.0.1'
508 71 Julien Aubé
        option 'netmask' '255.0.0.0'
509 71 Julien Aubé
510 71 Julien Aubé
config 'interface' 'wan_ttn'
511 71 Julien Aubé
        option 'ifname'    'eth0.10'
512 71 Julien Aubé
        option 'proto'     'static'
513 72 Laurent GUERBY
        option 'ipaddr'    '91.224.149.ZZ'    # IPv4 publique
514 71 Julien Aubé
        option 'netmask'   '255.255.255.0'
515 71 Julien Aubé
        option 'gateway'   '91.224.149.254'
516 71 Julien Aubé
        option 'dns'       '91.224.149.254'   # Le DNS ipv4 de TTN
517 71 Julien Aubé
518 71 Julien Aubé
        option 'send_rs'   '0'                # Evite d'envoyer des annonces sur le réseau TTN
519 72 Laurent GUERBY
        option 'accept_ra  ' '0'              # Refuse les routes diffusées par le réseau TTN
520 72 Laurent GUERBY
        option 'ip6addr'   'fe80::XX:YY/64'   # L'IP link-locale pour le routage
521 71 Julien Aubé
        option 'ip6gw'     'fe80::31'         # La gw IPv6 de TTN
522 71 Julien Aubé
523 71 Julien Aubé
config 'alias'                                # Alias pour l'IPv6 publique du routeur
524 71 Julien Aubé
        option 'interface' 'wan_ttn'
525 71 Julien Aubé
        option 'proto'     'static'
526 72 Laurent GUERBY
        option 'ip6addr'   '2a01:6600:8081:YY00::1/64'
527 71 Julien Aubé
528 71 Julien Aubé
config 'interface' 'lan'                      # Interface coté LAN
529 71 Julien Aubé
        option 'proto'     'static'
530 71 Julien Aubé
        option 'ifname'    'eth0.2'
531 71 Julien Aubé
        option 'ipaddr'    '192.168.1.254'
532 71 Julien Aubé
        option 'netmask'   '255.255.255.0'
533 71 Julien Aubé
        option 'broadcast' '192.168.1.255'
534 71 Julien Aubé
        option 'send_rs'   '0'
535 72 Laurent GUERBY
        option 'ip6addr'   '2a01:6600:8081:YY02::1/64' # IP publique coté LAN
536 71 Julien Aubé
</pre>
537 71 Julien Aubé
538 71 Julien Aubé
h3. /etc/config/radvd
539 71 Julien Aubé
540 71 Julien Aubé
Ce fichier est très simple car OpenWRT calcule automatiquement les bonnes valeurs
541 71 Julien Aubé
à partir de la section "network" ci-dessus.
542 71 Julien Aubé
543 71 Julien Aubé
<pre>
544 71 Julien Aubé
config 'interface'
545 71 Julien Aubé
        option 'AdvSendAdvert' '1'
546 71 Julien Aubé
        option 'ignore' '0'
547 71 Julien Aubé
        option 'interface' 'lan'
548 71 Julien Aubé
549 71 Julien Aubé
config 'prefix'
550 71 Julien Aubé
        option 'ignore' '0'
551 71 Julien Aubé
        option 'interface' 'lan'
552 71 Julien Aubé
553 71 Julien Aubé
config 'rdnss'
554 71 Julien Aubé
        option 'interface' 'lan'
555 71 Julien Aubé
</pre>
556 71 Julien Aubé
557 71 Julien Aubé
558 75 Kévin Beaubestre
À partir de là, le routeur diffuse des "Router Advertisement" sur son interface LAN et effectuera le routage.
559 71 Julien Aubé
Toute machine sur le réseau interne récupère ainsi une IP publique, addressable en direct.
560 71 Julien Aubé
561 52 Laurent GUERBY
h2. ip6tables
562 52 Laurent GUERBY
563 52 Laurent GUERBY
Via Philippe Latu du projet http://www.inetdoc.net/
564 52 Laurent GUERBY
565 52 Laurent GUERBY
<pre>
566 52 Laurent GUERBY
*filter
567 52 Laurent GUERBY
:INPUT DROP [0:0]
568 52 Laurent GUERBY
:FORWARD DROP [0:0]
569 52 Laurent GUERBY
:OUTPUT ACCEPT [0:0]
570 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
571 52 Laurent GUERBY
# C H A I N E   I N P U T
572 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
573 52 Laurent GUERBY
# suivi de communication
574 52 Laurent GUERBY
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
575 52 Laurent GUERBY
# ICMPv6
576 52 Laurent GUERBY
-A INPUT -p icmpv6 -m state --state NEW -m limit --limit 5/sec -j ACCEPT
577 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-solicitation -j ACCEPT
578 52 Laurent GUERBY
-A INPUT ! -i sixxs -p icmpv6 --icmpv6-type neighbour-advertisement -j 
579 52 Laurent GUERBY
ACCEPT
580 52 Laurent GUERBY
# Filtrage paquets avec en-tête de routage de type 0
581 52 Laurent GUERBY
-A INPUT -m rt --rt-type 0 -j DROP
582 52 Laurent GUERBY
# Autorisation trafic multicast
583 52 Laurent GUERBY
-A INPUT -d ff00::/8 -j ACCEPT
584 52 Laurent GUERBY
# communication loopback
585 52 Laurent GUERBY
-A INPUT -i lo -m state --state NEW -j ACCEPT
586 52 Laurent GUERBY
# communication instances virtuelles
587 52 Laurent GUERBY
-A INPUT -i tap+ -m state --state NEW -j ACCEPT
588 52 Laurent GUERBY
# communication interne
589 52 Laurent GUERBY
-A INPUT -i bond0.+ -m state --state NEW -j ACCEPT
590 52 Laurent GUERBY
# SSH port 2222
591 52 Laurent GUERBY
-A INPUT -p tcp --syn --dport 2222 -m state --state NEW -j ACCEPT
592 52 Laurent GUERBY
# poubelle
593 52 Laurent GUERBY
-A INPUT -j LOG --log-prefix "INPUT/rejected.ip6tables: "
594 52 Laurent GUERBY
-A INPUT -m state --state INVALID -m limit --limit 5/min -j LOG --log-prefix "INPUT/invalid.ip6tables: "
595 52 Laurent GUERBY
-A INPUT -m state --state INVALID -j DROP
596 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
597 52 Laurent GUERBY
# C H A I N E   F O R W A R D
598 52 Laurent GUERBY
#~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
599 52 Laurent GUERBY
# suivi de communication
600 52 Laurent GUERBY
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
601 52 Laurent GUERBY
# ICMPv6
602 52 Laurent GUERBY
-A FORWARD -p ipv6-icmp -m state --state NEW -m limit --limit 5/sec -j  ACCEPT
603 52 Laurent GUERBY
# Filtrage paquets avec en-tête de routage de type 0
604 52 Laurent GUERBY
-A FORWARD -m rt --rt-type 0 -j DROP
605 52 Laurent GUERBY
# Autorisation trafic multicast
606 52 Laurent GUERBY
-A FORWARD -d ff00::/8 -j ACCEPT
607 52 Laurent GUERBY
# communication loopback
608 52 Laurent GUERBY
-A FORWARD -i lo -m state --state NEW -j ACCEPT
609 52 Laurent GUERBY
# communication instances virtuelles
610 52 Laurent GUERBY
-A FORWARD -i tap+ -m state --state NEW -j ACCEPT
611 52 Laurent GUERBY
# communication réseaux de TP
612 52 Laurent GUERBY
-A FORWARD -i bond0.+ -m state --state NEW -j ACCEPT
613 52 Laurent GUERBY
# poubelle
614 52 Laurent GUERBY
-A FORWARD -m state --state INVALID -m limit --limit 5/min -j LOG  --log-prefix "INPUT/invalid.ip6tables: "
615 52 Laurent GUERBY
-A FORWARD -m state --state INVALID -j DROP
616 52 Laurent GUERBY
COMMIT
617 52 Laurent GUERBY
</pre>
618 52 Laurent GUERBY
619 52 Laurent GUERBY
620 52 Laurent GUERBY
621 6 Laurent GUERBY
h2. FAQ
622 6 Laurent GUERBY
623 18 Laurent GUERBY
h3. Reverse DNS
624 18 Laurent GUERBY
625 19 Laurent GUERBY
En IPv6 tetaneutral.net peut deleguer le reverse du /56. Il faut configurer bind sur une ou plusieurs de vos machines, nous donner son CNAME, par exemple ns1.chezmoi.net et ns2.chezmoi.net, et mettre les fichiers suivant dans /etc/bind/ :
626 19 Laurent GUERBY
627 18 Laurent GUERBY
named.conf.local
628 18 Laurent GUERBY
<pre>
629 18 Laurent GUERBY
zone "1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
630 18 Laurent GUERBY
	type master;
631 18 Laurent GUERBY
	file "/etc/bind/db.ip6-81";
632 18 Laurent GUERBY
};
633 18 Laurent GUERBY
</pre>
634 18 Laurent GUERBY
635 18 Laurent GUERBY
db.ip6-81
636 18 Laurent GUERBY
<pre>
637 18 Laurent GUERBY
; -*- mode: zone; -*-
638 18 Laurent GUERBY
;
639 18 Laurent GUERBY
; BIND reverse data file for broadcast zone
640 18 Laurent GUERBY
;
641 18 Laurent GUERBY
$TTL    3600
642 18 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
643 18 Laurent GUERBY
                        2011070301      ; serial
644 18 Laurent GUERBY
                         7200         ; Refresh
645 18 Laurent GUERBY
                          3600         ; Retry
646 18 Laurent GUERBY
                        1800000         ; Expire
647 18 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
648 18 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
649 18 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
650 18 Laurent GUERBY
651 1 Laurent GUERBY
; reverse
652 18 Laurent GUERBY
$ORIGIN 0.0.e.c.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
653 1 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     www6.tetaneutral.net.
654 18 Laurent GUERBY
655 18 Laurent GUERBY
; delegations /56
656 47 Laurent GUERBY
$ORIGIN 1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
657 47 Laurent GUERBY
1.9 86400 IN NS   hoersch.kneissel.org.
658 47 Laurent GUERBY
1.9 86400 IN NS   serveur.kneissel.org.
659 47 Laurent GUERBY
e.8 86400 IN NS   dns.kafe-in.net.
660 18 Laurent GUERBY
</pre>
661 47 Laurent GUERBY
662 47 Laurent GUERBY
Merci a Matthieu Herrb pour la délégation de reverse /56.
663 1 Laurent GUERBY
664 70 Laurent GUERBY
Coté utilisateur dans son bind :
665 70 Laurent GUERBY
666 70 Laurent GUERBY
Dans /etc/bind/named.conf.local
667 70 Laurent GUERBY
668 70 Laurent GUERBY
<pre>
669 70 Laurent GUERBY
zone "X.Y.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa" {
670 70 Laurent GUERBY
	type master;
671 70 Laurent GUERBY
	file "/etc/bind/db.ip6-XY";
672 70 Laurent GUERBY
};
673 70 Laurent GUERBY
674 70 Laurent GUERBY
</pre>
675 70 Laurent GUERBY
676 70 Laurent GUERBY
/etc/bind/db.ip6-XY
677 70 Laurent GUERBY
<pre>
678 70 Laurent GUERBY
; -*- mode: zone; -*-
679 70 Laurent GUERBY
;
680 70 Laurent GUERBY
; BIND reverse data file for broadcast zone
681 70 Laurent GUERBY
;
682 70 Laurent GUERBY
$TTL    3600
683 70 Laurent GUERBY
@       IN      SOA     ns1.tetaneutral.net. hostmaster.tetaneutral.net. (
684 70 Laurent GUERBY
                        2011120700      ; serial
685 70 Laurent GUERBY
                         7200         ; Refresh
686 70 Laurent GUERBY
                          3600         ; Retry
687 70 Laurent GUERBY
                        1800000         ; Expire
688 70 Laurent GUERBY
                         3600 )       ; Negative Cache TTL
689 70 Laurent GUERBY
@       IN      NS      ns1.tetaneutral.net.
690 70 Laurent GUERBY
@       IN      NS      ns2.tetaneutral.net.
691 70 Laurent GUERBY
692 70 Laurent GUERBY
$ORIGIN 0.0.X.Y.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa.
693 70 Laurent GUERBY
694 70 Laurent GUERBY
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a1.tetaneutral.net.
695 70 Laurent GUERBY
2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a2.tetaneutral.net.
696 70 Laurent GUERBY
3.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0         IN      PTR     a3.tetaneutral.net.
697 70 Laurent GUERBY
</pre>
698 70 Laurent GUERBY
699 34 Laurent GUERBY
h3. CCNA et link-local
700 18 Laurent GUERBY
701 34 Laurent GUERBY
Merci à Jérôme Nicolle:
702 17 Laurent GUERBY
703 17 Laurent GUERBY
http://www.freeccnaworkbook.com/labs/section-12-configuring-ipv6/lab-12-3-configuring-ipv6-static-routing/
704 17 Laurent GUERBY
705 17 Laurent GUERBY
> Unlike IPv4 static routing, with IPv6 you have the ability to use either the global unicast address or link-local address as the next hop in the static route statement. When working with IPv6 dynamic routing protocols which will be discussed in the next 2 labs, the next hop will be the neighbors link-local IPv6 address and not their global unique assigned ipv6 address. However when configuring a static route with a link-local IPv6 address as the next hop you must specify the egress interface. For all intensive purposes, using either/or will achieve the same desired effect.
706 17 Laurent GUERBY
707 50 Laurent GUERBY
h3. Comment éviter d'utiliser une IPv6 non routée ?
708 17 Laurent GUERBY
709 50 Laurent GUERBY
Sur un IX en général les adresses sont non routées donc il faut éviter de les utiliser, pour cela on utilise "preferred_lft 0" :
710 50 Laurent GUERBY
711 50 Laurent GUERBY
http://www.davidc.net/networking/ipv6-source-address-selection-linux
712 50 Laurent GUERBY
713 50 Laurent GUERBY
<pre>
714 50 Laurent GUERBY
ip -6 a add 2001:7f8:59:0:75::15/96 dev eth0.502 preferred_lft 0
715 50 Laurent GUERBY
</pre>
716 74 Laurent GUERBY
717 74 Laurent GUERBY
Comment linux choisi une adresse IPv6 source https://www.kafe-in.net/articles/IPv6Source/
718 74 Laurent GUERBY
719 34 Laurent GUERBY
h3. Comment pinguer une addresse link local ?
720 6 Laurent GUERBY
721 34 Laurent GUERBY
 
722 6 Laurent GUERBY
<pre>
723 6 Laurent GUERBY
ping6 fe80::31%eth0
724 1 Laurent GUERBY
</pre>
725 40 Mehdi Abaakouk
726 40 Mehdi Abaakouk
h3. zones reverses ipv6 manquante dans bind (ie: ::1)
727 40 Mehdi Abaakouk
728 40 Mehdi Abaakouk
Dans bind par défaut les zones pour ::1 sont vide pour les ajouter:
729 40 Mehdi Abaakouk
730 40 Mehdi Abaakouk
<pre>
731 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::.arpa
732 40 Mehdi Abaakouk
;
733 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
734 40 Mehdi Abaakouk
;
735 40 Mehdi Abaakouk
$TTL    604800
736 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
737 40 Mehdi Abaakouk
                              8         ; Serial
738 40 Mehdi Abaakouk
                         604800         ; Refresh
739 40 Mehdi Abaakouk
                          86400         ; Retry
740 40 Mehdi Abaakouk
                        2419200         ; Expire
741 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
742 40 Mehdi Abaakouk
;
743 40 Mehdi Abaakouk
@       IN      NS      localhost.
744 40 Mehdi Abaakouk
1       IN      PTR     localhost.
745 40 Mehdi Abaakouk
</pre>
746 40 Mehdi Abaakouk
747 40 Mehdi Abaakouk
<pre>
748 40 Mehdi Abaakouk
# cat /etc/bind/db.local-::1.arpa
749 40 Mehdi Abaakouk
;
750 40 Mehdi Abaakouk
; BIND reverse data file for local loopback interface
751 40 Mehdi Abaakouk
;
752 40 Mehdi Abaakouk
$TTL    604800
753 40 Mehdi Abaakouk
@       IN      SOA     localhost. root.localhost. (
754 40 Mehdi Abaakouk
                              8         ; Serial
755 40 Mehdi Abaakouk
                         604800         ; Refresh
756 40 Mehdi Abaakouk
                          86400         ; Retry
757 40 Mehdi Abaakouk
                        2419200         ; Expire
758 40 Mehdi Abaakouk
                         604800 )       ; Negative Cache TTL
759 40 Mehdi Abaakouk
;
760 40 Mehdi Abaakouk
@       IN      NS      localhost.
761 40 Mehdi Abaakouk
@       IN      PTR     localhost.
762 40 Mehdi Abaakouk
</pre>
763 40 Mehdi Abaakouk
764 40 Mehdi Abaakouk
<pre>
765 40 Mehdi Abaakouk
# cat /etc/bind/named.conf.default-zones.v6
766 40 Mehdi Abaakouk
767 40 Mehdi Abaakouk
zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
768 40 Mehdi Abaakouk
        type master;
769 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::.arpa";
770 40 Mehdi Abaakouk
};
771 40 Mehdi Abaakouk
772 40 Mehdi Abaakouk
zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
773 40 Mehdi Abaakouk
        type master;
774 40 Mehdi Abaakouk
        file "/etc/bind/db.local-::1.arpa";
775 40 Mehdi Abaakouk
};
776 40 Mehdi Abaakouk
</pre>
777 40 Mehdi Abaakouk
778 40 Mehdi Abaakouk
Et on ajoute ca dans /etc/bind/named.conf: 
779 40 Mehdi Abaakouk
<pre>
780 40 Mehdi Abaakouk
include "/etc/bind/named.conf.default-zones.v6";
781 40 Mehdi Abaakouk
</pre>
782 42 Mehdi Abaakouk
783 42 Mehdi Abaakouk
h3. Envoie d'un Router Advertissement avec scapy pour virer une route auto apprise (Attention à n'utiliser que si on sait ce qu'on fait ! )
784 42 Mehdi Abaakouk
785 42 Mehdi Abaakouk
Création de trame ipv6, ipv6 src est celle du router à spoffer
786 42 Mehdi Abaakouk
787 42 Mehdi Abaakouk
<pre>
788 42 Mehdi Abaakouk
a = IPv6()
789 42 Mehdi Abaakouk
a.src = "fe80::dcad:4dff:fe0b:8a5"
790 42 Mehdi Abaakouk
a.dst = "ff02::1"
791 42 Mehdi Abaakouk
</pre>
792 42 Mehdi Abaakouk
793 42 Mehdi Abaakouk
La trame sera un RA avec un lifetime de 0, comme indiquer dans la rfc2461:
794 42 Mehdi Abaakouk
"Lifetime of 0 indicates that the router is not a default router and SHOULD NOT appear on the default router list."
795 42 Mehdi Abaakouk
796 42 Mehdi Abaakouk
<pre>
797 42 Mehdi Abaakouk
b = ICMPv6ND_RA() 
798 42 Mehdi Abaakouk
b.routerlifetime = 0
799 42 Mehdi Abaakouk
</pre>
800 42 Mehdi Abaakouk
801 42 Mehdi Abaakouk
Ensuite on fixe la adresse MAC à spoofer, celle du router original qui a envoyer le RA.
802 42 Mehdi Abaakouk
803 42 Mehdi Abaakouk
<pre>
804 42 Mehdi Abaakouk
c = ICMPv6NDOptSrcLLAddr() 
805 42 Mehdi Abaakouk
c.lladdr = "00:50:56:24:3b:c0"
806 42 Mehdi Abaakouk
</pre>
807 42 Mehdi Abaakouk
808 42 Mehdi Abaakouk
Ensuite on construire le contenu du RA, avec le prefix à annoncer (toujours celui à spoofer)
809 42 Mehdi Abaakouk
Avec le validlifetime et preferredlifetime à l'infinie, comme indiquer dans la rfc2461:
810 42 Mehdi Abaakouk
"A value of all one bits (0xffffffff) represents infinity"
811 42 Mehdi Abaakouk
812 42 Mehdi Abaakouk
<pre>
813 42 Mehdi Abaakouk
d = ICMPv6NDOptMTU() 
814 42 Mehdi Abaakouk
e = ICMPv6NDOptPrefixInfo() 
815 42 Mehdi Abaakouk
e.prefixlen = 64
816 42 Mehdi Abaakouk
e.prefix = "2a01:6600:8081:4300::"
817 42 Mehdi Abaakouk
e.validlifetime = 0xffffffff
818 42 Mehdi Abaakouk
e.preferredlifetime = 0xffffffff
819 42 Mehdi Abaakouk
</pre>
820 42 Mehdi Abaakouk
821 42 Mehdi Abaakouk
On envoie le tout:
822 42 Mehdi Abaakouk
823 42 Mehdi Abaakouk
<pre>
824 42 Mehdi Abaakouk
send(a/b/c/d/e)
825 42 Mehdi Abaakouk
</pre>
826 61 Laurent GUERBY
827 61 Laurent GUERBY
h3. PMTU
828 61 Laurent GUERBY
829 61 Laurent GUERBY
Try 'tracepath6' it will show you which hop is not returning a packet
830 61 Laurent GUERBY
too big for that path if needed. Also one can use a series of "ping6 -s
831 61 Laurent GUERBY
<size> -M do" to check if packets pass or not (if the destination allows
832 61 Laurent GUERBY
pings of course).
833 63 Laurent GUERBY
834 63 Laurent GUERBY
h2. IETF IPv6 security
835 63 Laurent GUERBY
836 63 Laurent GUERBY
From: Fernando Gont <fernando@gont.com.ar>
837 63 Laurent GUERBY
To: NANOG <nanog@nanog.org>
838 63 Laurent GUERBY
Subject: IPv6 security: New IETF I-Ds, slideware and videos of recent presentations, trainings, etc...
839 63 Laurent GUERBY
Date: Mon, 28 May 2012 22:17:33 -0300
840 63 Laurent GUERBY
841 63 Laurent GUERBY
Folks,
842 63 Laurent GUERBY
843 63 Laurent GUERBY
* We've published a new IETF I-D entitled "DHCPv6-Shield: Protecting
844 63 Laurent GUERBY
Against Rogue DHCPv6 Servers", which is meant to provide RA-Guard-like
845 63 Laurent GUERBY
protection against rogue DHCPv6 servers. The I-D is available at:
846 63 Laurent GUERBY
<http://tools.ietf.org/id/draft-gont-opsec-dhcpv6-shield-00.txt>
847 63 Laurent GUERBY
Other IPv6 security I-Ds (such as,
848 63 Laurent GUERBY
draft-ietf-v6ops-ra-guard-implementation) have been revised. Please
849 63 Laurent GUERBY
check them out at:
850 63 Laurent GUERBY
<http://www.si6networks.com/publications/ietf.html>
851 63 Laurent GUERBY
852 63 Laurent GUERBY
* The slideware (and some videos!) of some of our recent presentations
853 63 Laurent GUERBY
about IPv6 security are now available online. You can find them at:
854 63 Laurent GUERBY
<http://www.si6networks.com/presentations/index.html>
855 63 Laurent GUERBY
856 63 Laurent GUERBY
* We have also scheduled IPv6 hacking trainings in Paris (France) and
857 63 Laurent GUERBY
Ghent (Belgium). You can find more details at:
858 63 Laurent GUERBY
<http://www.si6networks.com/index.html#conferences>
859 63 Laurent GUERBY
860 63 Laurent GUERBY
Our Twitter: @SI6Networks
861 63 Laurent GUERBY
ipv6hackers mailing-list:
862 63 Laurent GUERBY
<http://lists.si6networks.com/listinfo/ipv6hackers/>
863 63 Laurent GUERBY
864 63 Laurent GUERBY
Thanks!
865 63 Laurent GUERBY
866 63 Laurent GUERBY
Best regards,
867 63 Laurent GUERBY
-- 
868 63 Laurent GUERBY
Fernando Gont
869 63 Laurent GUERBY
SI6 Networks
870 63 Laurent GUERBY
e-mail: fgont@si6networks.com
871 63 Laurent GUERBY
PGP Fingerprint: 6666 31C6 D484 63B2 8FB1 E3C4 AE25 0D55 1D4E 7492
872 78 Matthieu Herrb
873 78 Matthieu Herrb
h2. Protection de la vie privée
874 78 Matthieu Herrb
875 78 Matthieu Herrb
h3. Le problème
876 78 Matthieu Herrb
877 78 Matthieu Herrb
en IPv6 en mode "autoconfiguration" les derniers 64 bits de l'adresse sont une copie
878 78 Matthieu Herrb
etendue de la MAC de votre interface. Si vous avez une MAC de
879 78 Matthieu Herrb
11:22:33:44:55:66 et que vous etes chez vous derriere une
880 78 Matthieu Herrb
freebox vous allez apparaitre avec 2a01:e34:...:11:22:33:44:55:66
881 78 Matthieu Herrb
(a un bricolage pres) dans les logs des serveurs auxquels vous vous
882 78 Matthieu Herrb
connectez et si vous allez ensuite a Myrys vous serez en
883 78 Matthieu Herrb
2a01:6600:8080:505:...:11:22:33:44:55:66. Donc tous ces
884 78 Matthieu Herrb
serveurs en regardant la fin de l'adresse IPv6 peuvent deduire que vous
885 78 Matthieu Herrb
etes un freenaute qui va Myrys, avec les heures et tout, vos visites
886 78 Matthieu Herrb
chez vos amis, hotspot, hotels, et ce même si vous avez desactivé les
887 78 Matthieu Herrb
cookies pour la partie web, si vous utilisez https, ... C'est un danger
888 78 Matthieu Herrb
pour la vie privée non présent en IPv4.
889 78 Matthieu Herrb
890 78 Matthieu Herrb
h3. Solutions
891 78 Matthieu Herrb
892 78 Matthieu Herrb
* Au niveau du routeur:
893 78 Matthieu Herrb
894 78 Matthieu Herrb
 on peut bloquer l'émission des RA pour ne pas avoir d'adresse SLAAC 
895 78 Matthieu Herrb
 sur les machines du réseau concerné (c'est ce qui est fait à Tetaneutral 
896 78 Matthieu Herrb
 il me semble...). Et mettre en place un serveur DHCPv6 qui affecte les 
897 78 Matthieu Herrb
 adresses IPv6 soit dynamiquement à partir d'un pool soit de manière 
898 78 Matthieu Herrb
 statique (mais sans correspondance connue avec une adresse MAC).
899 78 Matthieu Herrb
900 78 Matthieu Herrb
 selon la puissance d'expression du pare-feu on peut bloquer les adresses
901 78 Matthieu Herrb
 SLAAC. Elles ont les 2 octets  'ff fe' aux positions 11 et 12 dans 
902 78 Matthieu Herrb
 l'adresse IPv6.
903 78 Matthieu Herrb
904 78 Matthieu Herrb
* Au niveau du client
905 78 Matthieu Herrb
906 78 Matthieu Herrb
 * Activer l'extension privacy si ce n'est pas le cas par défaut,
907 78 Matthieu Herrb
   (RFC3041 remplacé par RFC4941)
908 78 Matthieu Herrb
 * Modifier l'adresse MAC a chaque connexion (OpenBSD propose
909 78 Matthieu Herrb
   'ifconfig <if> lladdr random' pour cela :-)
910 78 Matthieu Herrb
 * Bloquer avec le pare-feu local les paquets contenant l'adresse
911 78 Matthieu Herrb
   SLAAC si possible.
912 78 Matthieu Herrb
913 78 Matthieu Herrb
Si les adresses IPv6 sont affectéees par un serveur DHCPv6 elles ne
914 78 Matthieu Herrb
sont normalement pas liées à l'adresse MAC.
915 78 Matthieu Herrb
916 78 Matthieu Herrb
* Liens
917 78 Matthieu Herrb
918 78 Matthieu Herrb
 * http://www.rfc-editor.org/rfc/rfc4941.txt Le RFC sur les privacy extensions
919 78 Matthieu Herrb
 * http://superuser.com/questions/243669/how-to-avoid-exposing-my-mac-address-when using-ipv6
920 78 Matthieu Herrb
 * https://home.regit.org/2011/04/ipv6-privacy/ IPv6 privacy extensions on Linux
921 78 Matthieu Herrb
 * http://www.queret.net/blog/2012/04/357/ IPv6: Ubuntu 12.04 active la RFC4941 (Privacy Extensions) par default
922 78 Matthieu Herrb
 * http://support.menandmice.com/jforum/posts/list/219.page Enable Privacy extensions on Mac OS X 10.5 and 10.6
923 78 Matthieu Herrb
 * http://tools.ietf.org/html/draft-ietf-6man-stable-privacy-addresses-01
924 78 Matthieu Herrb
925 78 Matthieu Herrb
h3. Mais...
926 78 Matthieu Herrb
927 78 Matthieu Herrb
Cela dit, il a été montré qu'il y a plein d'autres moyens pour les
928 78 Matthieu Herrb
sites web qui veulent traquer leurs utilisateurs de collecter des
929 78 Matthieu Herrb
informations discriminantes sur ceux-ci (type de navigateur,
930 78 Matthieu Herrb
extensions installées,...):
931 78 Matthieu Herrb
http://news.cnet.com/8301-1009_3-20005185-83.html
932 78 Matthieu Herrb
http://www.scatmania.org/2012/04/24/visitor-tracking-without-cookies/