Les bases d’IPv6 : adressage, SLAAC et découverte des voisins

IPv6 utilise des adresses de 128 bits, des types d’adresses à portée définie et Neighbor Discovery sur ICMPv6. Planifiez explicitement l’adressage, les annonces de routeur, le DNS, le filtrage et la surveillance ; le bon fonctionnement d’IPv4 ne prouve pas celui d’IPv6.

Lire l’adresse et sa portée

IPv4 utilise des adresses décimales de 32 bits ; IPv6 comporte 128 bits écrits en huit groupes hexadécimaux. IPv6 emploie la multidiffusion plutôt que la diffusion générale, et les routeurs ne fragmentent pas les paquets IPv6. Les interfaces possèdent couramment plusieurs adresses IPv6 à la fois.

Les zéros initiaux d’un groupe peuvent être supprimés. Une suite consécutive de groupes entièrement nuls peut être remplacée par ::, une seule fois par adresse. Pour une documentation cohérente, utilisez les minuscules et comprimez la plus longue suite de zéros. Par exemple, 2001:0db8:0000:0000:0000:0000:0000:0001 devient 2001:db8:0:0:0:0:0:1, puis 2001:db8::1.

Monodiffusion globale, illustrée par 2000::/3 : communication routée globalement.
Lien local fe80::/10 : adressage local à l’interface qui reste sur la liaison.
Local unique fc00::/7 : adressage routé de manière privée.
Multidiffusion ff00::/8 : communication d’un émetteur vers plusieurs destinataires.
Bouclage ::1/128 : l’hôte local. L’adresse non spécifiée est ::.

SLAAC et un exemple EUI-64

Les annonces de routeur annoncent un préfixe et des indicateurs. L’autoconfiguration sans état permet à un hôte de former une adresse à partir du préfixe annoncé et de son identifiant d’interface. L’EUI-64 modifié est présenté ici comme une façon de construire cet identifiant ; cet exemple ne signifie pas que chaque adresse doit exposer un identifiant dérivé de la MAC.

À partir de la MAC 00:11:22:33:44:55, insérez FF:FE entre ses deux moitiés et inversez le bit universel/local du premier octet : 02:11:22:FF:FE:33:44:55. L’identifiant d’interface obtenu est 0211:22ff:fe33:4455. Combiné au préfixe 2001:db8:1:1, il donne l’adresse d’exemple 2001:db8:1:1:0211:22ff:fe33:4455.

Neighbor Discovery remplit plusieurs fonctions

Neighbor Discovery sur ICMPv6 trouve les voisins et les routeurs, vérifie l’accessibilité et prend en charge la détection d’adresses dupliquées. SLAAC utilise les annonces de routeur ; DHCPv6 peut fournir des informations supplémentaires ou des adresses avec état. La passerelle par défaut est apprise par les annonces de routeur, plutôt que par une option de passerelle DHCPv6 classique.

Bloquer tout ICMPv6 casse des fonctions essentielles. Autorisez délibérément les types de messages requis et contrôlez le trafic indésirable. La portée de l’adresse compte autant que le préfixe pour diagnostiquer le routage et les communications locales.

Exploiter IPv6 de manière délibérée

De nombreux systèmes activent IPv6 par défaut. Surveiller seulement IPv4 peut laisser passer des chemins non contrôlés et des erreurs de configuration. Les plans d’adressage, enregistrements AAAA, routage, pare-feu, VPN, surveillance et journaux doivent couvrir les deux. NAT n’est pas une brique de sécurité nécessaire ; les règles de pare-feu à états contrôlent les connexions entrantes.

La double pile permet une adoption progressive, mais augmente temporairement le périmètre du diagnostic. Testez IPv4 et IPv6 explicitement et séparément, afin qu’un chemin fonctionnel n’en masque pas un autre défaillant.

Liste de contrôle pratique

01
Identifiez correctement le type d’adresse, la longueur du préfixe et l’interface.
02
Observez les annonces de routeur, la passerelle lien local et DAD.
03
Testez la résolution AAAA et le routage IPv6 indépendamment d’IPv4.
04
Configurez explicitement le pare-feu et la surveillance IPv6.
05
Séparez les défauts de double pile par des tests et des journaux propres au protocole.

Questions fréquentes

IPv6 rend-il NAT inutile ?

Il supprime la justification de NAT liée à la rareté des adresses, puisque les appareils peuvent disposer d’adresses uniques globalement. Le filtrage, la segmentation et la planification de l’adressage restent nécessaires.

Pourquoi une interface possède-t-elle plusieurs adresses IPv6 ?

Des adresses lien local, globales ou ULA, des adresses temporaires de confidentialité et plusieurs préfixes peuvent être valides simultanément. C’est normal ; les règles de sélection des adresses déterminent leur utilisation.

Les bases d’IPv6 : adressage, SLAAC et découverte des voisins

Des connaissances à mettre en pratique.