IPv6 analyse et mise en oeuvre - Memoire stage ingénieur réseau | I Pv6 | Adresse IP\nEnregistrerEnregistrer IPv6 analyse et mise en oeuvre - Memoire stage ing... pour plus tard\nEtudiant : Benoît DE MIANVILLE\nResponsable pédagogique UTT : Florent RETRAINT\nCe stage s'est déroulé dans l'entreprise 2SI, au sein du service infrastructure; les clients de 2SI sont des PME/PMI, petites industries et groupes nationaux. Les missions du service infrastructure sont la conception et le déploiement d'architectures systèmes et réseaux, l'hébergement de serveurs et d'applications et l'infogérance.\nCe stage a consisté à analyser IPv6, à déterminer les enjeux de cette technologie et à préparer son déploiement, il a également consisté à améliorer la sécurité réseau interne et à capitaliser ces savoirs.\nLes étapes ont consisté à mettre en œuvre IPv6 sur un site pilote, à former l'équipe technique et commerciale et à aider à définir un plan d'action commercial.\nAu final, un grand travail d’étude a mis en évidence la nécessité d’IPv6, a proposé et mis en œuvre des solutions permettant de donner accès à des postes utilisateurs à l’Internet IPv6 et de rendre disponible l’accès à des serveurs interne en IPv4 via IPv6.\nMots clés (CF Thésaurus)\nNature de l’activité : Mise en place, mise en œuvre\nBranche d’activité économique : Services aux entreprises\nDomaines technologiques : Réseaux d’ordinateurs\nApplication physique directe : machines\nJe tiens à remercier très sincèrement mon maitre de stage, Stéphane Canivet, qui a su dès mon premier entretien m’écouter et m’aider à construire un déroulement de stage passionnant et qui a continué à m’accompagner tout au long du stage.\nJe remercie mon parrain de stage, Daniel Doulbeau, qui m’a formé au quotidien et m’a transmis son savoir faire et sa grande expérience dans le domaine des réseaux et des systèmes, tout cela avec beaucoup de bonne humeur.\nJe remercie chaleureusement chaque collaborateur de 2SI pour leur aide précieuse et leur confiance.\nJe remercie M. Alain Crémont pour m’avoir accueilli dans son entreprise et m’avoir fait confiance.\nEnfin je remercie l’équipe éducative de l’UTT qui assure une qualité de formation très pointue.\n8.1.1 La double pile\n8.1.2 La traduction d’adresses – NAT-PT, NAT-64 et DNS-64\n8.2 Offre des FAI\n8.4.1 Les terminaux des utilisateurs\n8.4.2 Les serveurs\n8.4.3 Equipements réseau de niveau 2 (commutation)\n8.4.4 Pare feu et routeur\n8.4.5 Translation NAT 64\nFournisseurs de tunnel\n9.2.1 Etude de FAI proposant IPv6\n9.2.2 Etude du matériel nécessaire\n9.2.3 Etapes de déploiement\n9.2.4 Mise en œuvre avec un tunnel IPv6\nLe groupe 2SI est un intégrateur de nouvelles technologies à la portée nationale. L’expertise est apportée dans l’ingénierie informatique, le conseil, la communication interactive, le e-learning et la production audiovisuelle.\n120 collaborateurs sont répartis sur 6 sites dans la France, 2SI compte 2500 clients :\n2 agences sont à Soissons dont celle de 2SI Systèmes qui comporte les services suivants :\n Service intégration de progiciels\no Intégrateur des progiciels DIVALTO et SAGE, spécialiste des solutions pour les cabinets d’expertise comptable et développement de logiciels sur mesure\n Service infrastructure\nConception et déploiement d’architectures systèmes et réseaux\nDéploiement de services réseaux (messagerie, annuaire, outils de travail collaboratif)\nHébergement de serveurs et d’applications\nC’est dans le service infrastructure que j’ai effectué mon stage de fin d’étude, dont je vais décrire le contenu dans la partie suivante.\nMon sujet de stage était IPv6 et la sécurisation des réseaux, il consistait à analyser le protocole Internet de nouvelle génération, à former l’équipe technique composée de 13 personnes puis à aider à déployer un plan d’action commerciale pour accompagner les clients dans l’introduction de cette technologie, je devais également m’intéresser à l’étude et à l’amélioration de la sécurité réseau au sein de l’infrastructure technologique interne pour ensuite proposer ces solutions éprouvées aux clients.\nConcrètement le sujet initial a été suivi et développé en profondeur puisque l’équipe technique a été formée au cours d’une séance qui abordait IPv6 par la théorie puis par des travaux pratiques, j’ai assisté à un séminaire concernant le lancement mondial d’IPv6 organisé par G6 associé à Neo Telecoms, Cisco, l’AFNIC et l’Institut Mines-Telecom, un site pilote a été déployé et l’équipe commerciale a été formée ; concernant la sécurisation des réseaux, une formation a été donnée à l’équipe technique pour consolider les bases des réseaux et de la sécurité. De plus, le renouvellement du pare feu de l’infrastructure réseau interne est en cours à la suite d’une étude technique et financière.\nMa place dans le service était celle d’un ingénieur réseau et système en apprentissage avec les autres ingénieurs, j’ai participé à des missions techniques de maintenance et de déploiement d’infrastructure réseau et système virtualisée haute disponibilité jusqu’à une échelle d’un système accueillant 400 utilisateurs.\nIPv6 – Internet Protocol version 6 est un protocole qui permet à deux machines de communiquer à travers un réseau, en particulier le réseau Internet. Nous allons décrire l’histoire de l’ancien protocole Internet puis la venue du nouveau protocole.\nLe berceau d’Internet, Arpanet, a fait peu à peu apparaitre le premier protocole Internet largement\nutilisé en 1981 : IPv4, décrit dans le RFC 1 791. IP est un protocole de communication de « bout en\nbout » ou chaque pair est identifiable par une adresse, cette adresse est composée de quatre octets.\nA l’origine ces quatre octets pouvant théoriquement permettre d’adresser jusqu’à 4 milliards\nd’ordinateurs paraissaient démesurés étant donné que les ordinateurs pouvaient prendre l’espace de pièces entières et coûtaient très cher. Aujourd’hui l’Internet s’est démocratisé en commençant par les communications inter universités puis le développement de la bulle internet par les commerçants, finalement l’Internet est petit à petit rentré dans nos foyers et depuis le développement des appareils mobiles grand public pouvant accéder à Internet suivi de la récente généralisation de l’accès à Internet nomade par les opérateurs téléphoniques, on est arrivé à une moyenne de 5 périphériques connectés par personne en 2010 et il est prévu en 2013 d’atteindre 140 périphériques connectés par personne (source Forrester Research, Cisco IBSG), ce qui nous donnera à raison de 7 milliards d’individus un besoin d’environ 980 milliards d’adresses pour les périphériques connectés. Les limites du nombre d’adresse IPv4 ont déjà été atteintes et le développement d’une nouvelle version d’IP (version 6) a été initiée en 1992 ; la version 5 a été attribuée à un protocole expérimental. En attendant des palliatifs ont été mis en place notamment les masques à longueur variable (VLSM) en 1993 pour arrêter le gaspillage d’adresses dû aux masques à longueur fixe, l’autre palliatif utilisé massivement aujourd’hui est le système de translation d’adresses dont le RFC a été publié en 1994 ; la translation permet de n’allouer qu’une adresse publique valide sur internet au routeur d’une organisation, les terminaux internes étant « cachés » avec une adresse privée derrière le routeur. Le protocole « Dynamic Host Configuration Protocol », DHCP, dont le RFC a été publié en 1993 permet d’allouer dynamiquement une adresse à un hôte, cette technique permet aux FAI 2 d’avoir moins d’adresses IP que de clients en sachant que statistiquement tous leurs clients ne sont\npas connectés en même temps.\nL’IANA, Internet Assigned Numbers Authority est responsable de la répartition de tous les blocs d’adresses du protocole Internet, et notamment des blocs d’adresses utilisables sur l’Internet. L’IANA n’assigne pas des adresses directement aux utilisateurs mais elle assigne des blocs à des registres régionaux (RIR, Regional Internet Registry) qui eux, assignent des sous blocs d’adresses aux opérateurs de télécommunication. Ce système de distribution est le même pour IPv6 ; ci-dessous une carte géographique représentant les RIR et leurs zones géographiques.\n1 RFC : cela signifie Request For Comments, ce sont des documents qui servent à standardiser les protocoles de l’Internet, ils sont accessibles à l’adresse suivante : http://www.ietf.org/rfc.html 2 Fournisseurs d’Accès à Internet\nLe 1 er février 2011, l’IANA a assigné son dernier bloc d’adresse aux RIR, cela ne signifie pas qu’il n’est plus possible de réserver une adresse IP puisque les registres régionaux ont encore des blocs disponibles pour les assigner aux FAI mais cependant le compte à rebours est visible pour la pénurie d’adresses IPv4. Le graphique ci-dessous montre l’évolution de la distribution des adresses IPv4.\nLa pénurie totale d’adresse IPv4 est prévue courant 2012 suivant le graphique ci-dessus cependant elle risque d’être quelque peu allongée. En effet, la plupart des entreprises ne sont pas encore prêtes à effectuer la transition vers IPv6 et des techniques sont prêtes à être mises en place pour que les opérateurs aient besoin de moins d’adresses IPv4 publiques grâce au CGN – Carrier Grade NAT. Ce dernier permet de distribuer des adresses privées v4 aux clients et d’effectuer une translation chez l’opérateur pour que les clients puissent communiquer avec l’internet ; cependant cette technique reste complexe à grande échelle et non pérenne.\nOn peut voir ci-dessous un graphique représentant la répartition des blocs d’adresses IPv4 de l’IANA ; on voit que l’IANA a distribué toutes ses adresses ; à noter que la partie Central Registry représente les adresses gérées historiquement directement par l’IANA et la partie « not available » représente principalement les adresses privées, les multicast et les expérimentales.\nOn peut constater que les 5 dernières années ont été celles qui ont connu le plus grand nombre d’assignations et que cela croit de manière très importante car de 2009 à 2010 on a multiplié par 3,3 le nombre d’assignations et de 2010 à 2011 on a multiplié par 1,9 le nombre d’assignations en passant respectivement de 180 à 600 et de 600 à 1120 assignation d’adresses IPv6 par les registres.\n(http://www.worldipv6launch.org/), à partir de cette date, les FAI, les équipementiers et fabricants de matériel réseau voulant bien participer ainsi que les autres fournisseurs auront activé IPv6 de manière permanente et définitive sur leurs équipements 3 ; des grand acteurs de l’Internet tels que Google et Facebook participent à cette journée ainsi que la majorité des FAI aux Etats Unis mais aussi\nFree en France, entre autres.\nComme décrit précédemment, le nombre d’adresses IPv4 disponible devient faible, après l’épuisement du stock d’adresse IPv4 de l’IANA, le premier registre ressentant directement cet épuisement est l’APNIC, qui gère les adresses en Asie. En effet à ce jour en France il est déjà plus difficile qu’il y’a quelques années d’obtenir des adresses IPv4, il est nécessaire de fournir des informations précises sur la raison de l’utilisation des adresses et sur notre identité ; tandis que de l’autre côté de la terre, en Asie, des sites, n’ayant pas le choix, ou étant contraints d’avoir très peu d’adresses IPv4, commencent déjà à utiliser IPv6 comme seul protocole pour se relier à Internet. La demande de connectivité IPv6 va donc provenir des utilisateurs finaux, principalement des fournisseurs de contenu ayant besoin d’être présent sur l’Internet, cela se traduit par l’acquisition d’adresses IP.\nEtant donné le contexte, il y’a deux cas ou on va être obligé de déployer IPv6, le premier est celui où on veut accéder à des ressources disponibles uniquement via IPv6. Ainsi une entreprise multinationale ayant une entité en Asie a été obligée d’utiliser IPv6 car cette dernière avait une vision à long terme et misait sur ce nouveau protocole. L’autre cas est celui ou on veut présenter du contenu à des utilisateurs qui n’ont qu’IPv6, on devra rendre ce contenu accessible par IPv6.\nNous nous intéressons maintenant aux entités qui vont être concernées par IPv6, les premiers acteurs, ceux sans qui le déploiement ne pourra être réalisé, ce sont les FAI et les opérateurs, c’est le cœur de l’internet par lequel transitent toutes les communications locales, interrégionales et internationales. Un autre acteur à mettre au même niveau dans l’ordre de priorité pour permettre le déploiement d’IPv6 regroupe les gestionnaires des plus hauts niveaux des domaines DNS, ceux-ci sont systématiquement utilisés et font partie intégrante de l’Internet.\nDans un second temps, les professionnels qui ont un lien avec l’hébergement des services : ceux qui déploient des services comme des sites web, ceux qui proposent des hébergements de services ou d’infrastructure devront déployer petit à petit IPv6.\nEnfin, les particuliers et les professionnels qui veulent accéder aux services disponibles sur l’internet, utiliseront naturellement IPv6 car il sera utilisé par défaut par tous les FAI.\nPeu importe la situation dans laquelle on est parmi les cas décrits, on n’est pas obligé de déployer IPv6 ni même de s’intéresser à ce protocole, seulement, petit à petit on risque de s’isoler de l’internet.\nUne adresse IPv6 est composée de 128 bits, (une adresse IPv4 est composée de 32 bits). On peut faire une estimation du nombre d’adresse à 60 000 milliards de milliards d’adresses par habitant en 2012. Pour la notation, les 128 bits sont séparé en huit mots par « : » et notés en hexadécimal.\nPar exemple (1) :\nIl n’est pas nécessaire d’écrire les zéros en tête, et plusieurs champs de zéros consécutifs peuvent être abrégés par « :: » ; cette abréviation n’est possible qu’une fois. Le tableau ci-dessous présente les différentes notations :\nPas de zéros en tête\nDans le cas de plusieurs suites de zéros non consécutives, le RFC 4038 prévoit d’abréger la suite la plus longue et, dans le cas de longueurs égales, d’abréger la première suite de zéros, voyons cela dans un exemple :\nUne adresse est décomposée principalement en deux parties : la partie réseau et la partie hôte, comme sur le schéma ci-dessous :\nOn attribue la moitié de l’adresse pour le réseau et l’autre moitié pour les hôtes, ce qui fait 64 bits pour chaque moitié.\nIl est aussi utile de désigner des blocs d’adresses, dans ce cas-là on donne la partie adresse réseau et un préfixe pour dire à quel endroit s’arrête la partie réseau.\nNotation du préfixe : on peut noter les préfixes des adresses IPv6 comme la notation CIDR utilisée pour IPv4, cela se note de la façon suivante : adresse-ipv6/longueur-du-préfixe-en-bits. Par exemple on peut noter 2000::5:0:0:2001:1/64.\nOn distingue trois types d’adresses : unicast, anycast et multicast. Une adresse unicast désigne une interface unique et un paquet envoyé à une adresse unicast sera remis à une seule interface. Ci- dessous sont présentées les portées des adresses unicast.\nLes adresses multicast désignent plusieurs interfaces qui peuvent être situées n’importe où sur l’Internet. C’est le réseau qui se charge d’acheminer les paquets destinés aux membres du groupe de l’adresse multicast.\nLes adresses anycast, comme les multicast, désignent plusieurs interfaces, la différence est que lorsque un paquet est destiné à une adresse anycast, il est acheminé à une seule des interfaces du groupe, le choix peut se baser sur la métrique du protocole de routage.\nIl n’y a plus d’adresses de broadcast comme en IPv4, ceci allégeant du trafic inutile au sein d’un segment, on se servira des adresses multicast.\nCes adresses vont donc de 2000:: à 200f:ffff:ffff:ffff:ffff:ffff:ffff:ffff.\nCe bloc d’adresses Global Unicast est ensuite réparti aux différents RIR, Regional Internet Registries.\nNous voyons donc dans le tableau ci-dessous la répartition des adresses Global Unicast pour les registres régionaux :\nTableau 5 : répartition des adresses Global Unicast pour les registres régionaux, http://www.iana.org/assignments/ipv6-\nLes adresses unicast sont organisées en plusieurs niveaux hiérarchiques selon le rfc 3587.\nCes trois niveaux sont les suivants [CIZ, 2005] :\n une topologie publique allouée par le fournisseur d’accès;\n une topologie de site. Ce champ permet de coder les numéros de sous réseau du site;\n un identifiant d'interface distinguant les différentes machines sur le lien.\nL’IANA, Internet Assigned Numbers Authority assigne des blocs d’adresses aux registres régionaux et ceux-ci répartissent des sous-blocs d’adresses aux FAI, ce sont les FAI qui déterminent le scope global (global routing prefix).\nLe scope site (subnet ID) est l’identifiant du sous réseau du site et le scope local (interface ID) identifie les machines au sein d’un segment ; ces 64 derniers bits d’une adresse peuvent être attribués de différentes manières : par le système d’exploitation en utilisant l’adresse MAC de la carte réseau ou de manière aléatoire, en DHCP ou manuellement.\nAttribution avec la méthode EUI-64 :\nUne adresse MAC est composée de 4 mots de 12 bits notés en hexadécimal, elle est composée au total de 48 bits :\n« Mot 1 : mot 2 : mot 3 : mot 4 »\nRemarque : sous Windows les adresses MAC sont affichées sous la forme de 6 mots de 8 bits.\nOn aura également besoin de s’intéresser au bit U/L de l’adresse MAC, c’est le 7 ème bit du premier octet qui indique, s’il est à 1 que l’adresse est administrée localement et s’il est à 0 que l’adresse est gérée universellement (par le biais de l’IEEE qui a assigné un numéro unique à une organisation) 4 .\nPour construire la dernière partie de l’adresse IP avec la méthode EUI-64, on rajoute au milieu de l’adresse MAC 16 bits qui ont la valeur fffe :\nMot 1 : mot 2 : 0xfffe : mot 3 : mot 4\nPuis, on effectue le complément à un du bit U/L (si c’est un 1 on met 0, si c’est un 0 on met 1).\nLa structure résultante d’une adresse unicast est donc la suivante :\nExplications tirées de [CIZ, 2005]\n Adresse indéterminée\nL’adresse indéterminée (unspecified address) est utilisée comme adresse source par un nœud du réseau pendant son initialisation, avant d’acquérir une adresse. Sa valeur est 0:0:0:0:0:0:0:0 (en abrégé ::).\nCette adresse est utilisée uniquement par des protocoles d’initialisation, elle ne doit jamais être attribuée à un nœud et ne doit jamais apparaître comme adresse destination d’un paquetIPv6.\n Adresse de bouclage\nl’adresse 127.0.0.1 d’IPv4. Elle est utilisée par un nœud pour s’envoyer à lui-même des paquets\nL’adresse de bouclage (loopback address) vaut 0:0:0:0:0:0:0:1 (en abrégé ::1). C’est\nUn paquet IPv6 transitant sur le réseau ne peut avoir l’adresse de bouclage comme adresse source ni comme adresse destination.\n Adresse ipv6 mappant adresse ipv4\nCe type d’adresse est utilisé pour que les applications puissent utiliser les adresses IPv6 comme des adresses IPv6 et les adresses IPv4 comme des adresses IPv6, cela simplifie les applications qui fonctionnent avec deux piles IP (v4 et v6).\nLe format de ces adresses implique que les premiers 80 bits soient fixés à zéro, les 16 suivants à un, alors que les 32 bits restants représentent une adresse IPv4 5 .\nLa taille de l’entête atteint 40 octets, le double de celui d’IPv4 cependant des mécanismes ont été mis en place afin de simplifier le traitement des entêtes par les routeurs :\n La fragmentation n’est plus assurée par les routeurs, dans le cas d’une MTU 6 trop grande, le paquet n’est pas routé (transmis par le routeur) et le routeur indique à l’émetteur la MTU à appliquer par le biais d’ICMP.\n Les options sont mises dans le champ données.\n L’identificateur de flux permet de ne regarder que ce champ pour router dès le deuxième paquet, c’est très efficace, c’était utilisé de manière « artisanale» avec IPv4. Cependant la façon dont les constructeurs vont l’utiliser n’a pas encore convergé. La taille des entêtes est fixe.\nTout comme dans IPv4, le protocole de contrôle ICMPv6 permet la détection d’erreurs, les tests et la configuration automatique des équipements ; la différence avec ICMPv4 réside dans la meilleure structuration du protocole, l’intégration d’ARP pour IPv4 et l’ajout de la détection d’inaccessibilité des voisins, de la découverte des préfixes et de la découverte des paramètres. Des nouveautés ont été également apportées au niveau de la gestion de la mobilité et de la sécurisation de l’échange de certains messages d’auto configuration (appelé SEND).\nParmi les fonctions de détection d’erreurs et de configuration automatique, un groupe de fonctionnalités est appelé « découverte des voisins », il permet les sous fonctions suivantes :\n La résolution d’adresses,\n la détection d’inaccessibilité des voisins,\n la découverte des routeurs,\n6 MTU – Maximum Transmission Unit est la taille maximale d’un paquet IP c’est-à-dire de l’entête IP et de ses données, il peut varier sur chaque équipement qui traite les paquets IP.\nla découverte des préfixes,\nla détection des adresses dupliquées,\nla découverte des paramètres,\nles indications de redirection\nIl est possible avec IPv6 que le routeur annonce aux terminaux le préfixe réseau utilisé pour que ceux-ci s’auto-configurent. Dans ce cas un serveur (qui peut être le routeur mais pas exclusivement) va émettre régulièrement le préfixe du réseau via le message ICMP « annonce du routeur », type 134 ; ce message va indiquer si les adresses doivent être obtenues via DHCP, si ce n’est pas le cas les machines vont concaténer le préfixe annoncé avec leur identifiant de machine (64 derniers bits de leur adresse locale). Le message d’annonce du routeur va également indiquer la durée de vie et la durée préférée de l’adresse car une interface peut avoir plusieurs adresses et le paramètre « durée\npréférée » est utile dans le cas de la transition d’une adresse vers une autre, le schéma ci-dessous décrit les états successifs d’une adresse sur une interface [CIZ, 2005] :\nPar défaut, Valid Lifetime (VT) = 30 jours et Prefered Lifetime (PT) = 7 jours [RFC2461].\nEn annexe sont présentés des exemples de configuration d’auto configuration sur un routeur Cisco, une machine Linux et une machine Windows.\nAvec IPv4, on maitrise le processus de distribution des adresses via DHCP et si on veut on peut filtrer les messages DHCP dans les équipements de niveau 2 et également les messages BOOTP. Avec IPv6 et la configuration sans état, c’est plus délicat car un hôte mal intentionné peut diffuser des annonces de préfixe (RA – Router Advertisement) et ainsi fausser le routage. La solution à ce problème peut être d’utiliser IPv6 de la même manière qu’IPv4 en utilisant DHCPv6 mais cela n’est pas optimal dans les très grands réseaux et dans les réseaux très dynamiques. En outre pour pouvoir bénéficier de la configuration sans état sans sacrifier la sécurité, une autre solution est de filtrer dans les équipements de niveau 2 les annonces de préfixe RA, cela implique d’investir dans des switchs ayant des fonctions de filtrage propres à ICMPv6 comme spécifié dans le brouillon de l’IETF intitulé « IPv6 Autoconfig Filtering on Ethernet Switches 7 ». Cela ajoute un facteur négatif au déploiement d’IPv6 dans les entreprises mais il faut seulement réfléchir aux architectures actuelles et à leurs niveaux de sécurité : filtre-t-on actuellement de manière systématique le protocole DHCP sur les ports d’accès des switchs ? En l’occurrence (en général) ce n’est pas le cas donc il faut évaluer les exigences de sécurité du réseau avant d’introduire ce filtrage.\nDHCPv6 est un protocole client serveur qui permet de centraliser la distribution d’informations de configuration réseau des clients. Il faut retenir que ce n’est pas DHCP, le protocole de configuration avec état ou l’auto configuration sans état qui distribue les informations de routage, c’est la procédure de découverte des routeurs d’ICMPv6 qui en a la charge.\nDans les échanges qui seront effectués, afin que le serveur DHCP puisse identifier le client, un identifiant nommé DUID propre au client sera utilisé, il est généré par le client, cet identifiant est propre au client et non pas à une de ses interfaces.\nVoici ci-dessous un exemple d’échange d’informations entre un client et un serveur :\nMachine cliente DHCPv6\nLe client envoie les requêtes vers le port 547 et recevra les réponses par le port 546, les échanges reposent sur UDP et la fiabilité est assurée par le fait que le client répète ses messages jusqu’à obtenir une réponse en attendant un timeout.\nLe client envoie en premier lieu une sollicitation vers l’adresse FF02::1:2 qui est l’adresse multicast de tous les agents DHCP, en effet dans le cas ou le serveur n’est pas sur le même segment que le client, on peut utiliser des relais, l’adresse multicast FF02::1:2 concerne les serveurs et les relais. Le serveur répond et le client peut faire une requête en spécifiant les options souhaitées et enfin, le serveur répond avec les options.\nNous pouvons réfléchir à l’utilité de DHCPv6 en nous basant sur le principe que IPv6 dispose de beaucoup d’adresses, de tellement d’adresses qu’il est nécessaire de changer complètement les habitudes prises avec IPv4 d’économiser des adresses, d’optimiser au mieux le plan d’adressage. DHCP pour IPv4 a été une des techniques utilisée pour pallier à la pénurie d’IPv4 ; avec IPv6 l’objectif n’est pas le même, on a au sein d’un plus petit sous réseau, /64 pas moins de 2^64 combinaisons d’adresses possibles donc on peut envisager que les adresses distribuées peuvent être gardées de manière pérenne par les clients. Si on n’a pas besoin de gérer finement les baux d’adresses, on a alors la possibilité de se délester d’un protocole avec état comme DHCP au profit de l’auto configuration sans état ; celle-ci était insuffisante jusqu’à 2010 car on ne pouvait distribuer les adresses IP des serveurs de nom de domaine, ce n’est plus le cas avec le RFC 6106 qui le permet.\nCependant et malgré l’enthousiasme des chercheurs et des professionnels rédigeant les RFC, le plus important dans la vie d’une norme n’est pas sa création mais son adoption, concernant le RFC 6106 qui permet de se passer d’un serveur DHCP pour diffuser les adresses IP des serveurs DNS, il n’est actuellement pas supporté par Microsoft Windows et n’est malheureusement pas à l’ordre du jour 8 , selon Christopher Palmer, un professionnel de Microsoft.\nEn ce qui concerne les implémentations de DHCP, sur Linux on a isc-dhcp, pour Windows à partir de Server 2008 un serveur DHCPv6 est intégré 9 , Une solution open source Linux/Windows est disponible : dibbler 10 .\nEtant donné que les communications en IPv6 se (re)font de pair à pair, cela signifie que tous les terminaux sont directement exposés à Internet, on peut alors adapter les règles NAT des pare feu qui sont implicitement des règles de filtrage à des règles pour IPv6 mais c’est un travail de longue haleine, on peut alors s’adapter à IPv6 en adoptant des FW ayant un comportement nativement adapté à IPv6.\nEn terme de sécurité les implémentations actuelles d’IPv6 ne sont pas suffisamment utilisées pour pouvoir y détecter des failles de sécurité et les modifier rapidement, en outre le groupe « The Hacker’s Choice » propose des outils 11 très aboutis pour tester la sécurité d’un réseau IPv6, voici un extrait de ces outils :\n- dnsdict6: parallized dns ipv6 dictionary bruteforcer fake_router6: announce yourself as a router on the network, with the highest priority\n- detect-new-ip6: detect new\nautomatically scan these systems etc.\ndevices which join the network, you\nLes attaques qui seront ou sont probablement effectuées sont dans un premier temps les même que pour IPv4, transposées, dans le cas où l’attaquant à accès au LAN, il est possible à une machine de se faire passer pour un routeur en répondant aux sollicitations de routeurs ou en envoyant des annonces de routeur.\nLa solution à ce dernier type d’attaque est d’utiliser la version sécurisée du protocole de découverte des voisins appelée SEND – Secure Neighbor Discovery, celui-ci utilise des principes de cryptographie dans les adresses IP pour que deux nœuds puissent s’authentifier et avoir des échanges chiffrés et\nintègres entre eux ; malheureusement à l’heure actuelle ce protocole n’est pas adopté largement par les constructeurs et les éditeurs logiciels.\nUne autre solution consiste à filtrer les messages indésirables sur les équipements de niveau 2, les switches, on peut par exemple ne pas autoriser les annonces de routeurs sur les ports d’accès.\n2SI gère les réseaux, les systèmes et les systèmes d’informations de ses clients, dans ce rôle, il est concerné par les évolutions nécessaires au bon fonctionnement de ces installations et notamment par la manière dont IPv6 va devoir être déployé.\nAvant le démarrage du projet IPv6 il n’y avait pas d’étude spécifique déjà réalisée, la valeur ajoutée préexistant de 2SI dans ce domaine est la forte expérience des installations en IPv4 de tailles diverses, de domaine et de criticité divers, ce qui permet de préparer au mieux les cas de figures du déploiement d’IPv6.\nLes différentes structures des clients vont des cabinets de taille humaine, aux industries, et aux organisations multi sites sur toute la France, les services utilisés sont en majeur partie les accès au web, la téléphonie IP et l’accès à des applications en mode hébergé ; les services chez les clients sont des serveurs web, des serveurs d’applications, de base de données. Les organisations multi sites sont reliées par des tunnels sécurisés. Ces différentes structures nécessitent une attention particulière afin d’étudier l’impact du déploiement d’IPv6 au sein des réseaux locaux, des services hébergés et d’élaborer des méthodes de déploiement.\nAfin de conseiller au mieux ses clients dans le déploiement d’IPv6, 2SI doit étudier cette nouvelle technologie, la mettre en œuvre au sein de son propre réseau dans un cas simple d’accès aux services d’Internet et dans des cas plus complexes d’hébergement de services au sein d’infrastructures complexes faisant appel à la redondance et à la virtualisation.\nIPv6 est une technologie nouvelle que ni moi ni 2SI n’avions déjà mise en œuvre dans un environnement de production, une première phase d’analyse à été nécessaire pour pouvoir envisager le futur de ce projet, l’objectif à court terme a donc été de me former moi-même puis de former l’équipe technique composée de 13 personnes et enfin sensibiliser l’équipe commerciale.\nLa phase d’analyse ayant été concluante, nous avons pu voir à plus long terme les impacts du déploiement d’IPv6 et nous avons décidé de déployer un site pilote reflétant les techniques nécessaires à maitriser pour le déploiement dans les infrastructures des clients, ceci a conduit à choisir de déployer dans une première phase la partie réseau interne du réseau de 2SI à Soissons c’est-à-dire les postes qui ont accès à Internet puis dans une seconde phase à rendre accessible les services hébergés à Soissons via IPv6 en commençant par un service simple comme DNS ou un site web.\nLe troisième temps sera consacré à l’utilisation des résultats du site pilote pour mettre au point des outils de vente pour les commerciaux, des offres puis former les commerciaux.\nLe planning est représenté au format Gant ci-dessous.\nLes équipements ont la pile IPv4, comme ils l’avaient auparavant mais ils ont aussi la pile IPv6, c’est\nune solution souvent disponible pour les postes de travail et les équipements réseau.\nLa copie d’écran ci-dessus nous montre la configuration IP d’une machine Windows, celle-ci a une couche IPv4 avec 2 adresses et une passerelle, et une adresse IPv6, elle peut tout a fait sur la même interface, communiquer en même temps avec un équipement en IPv4 et un autre en IPv6.\nCe type de technique est assez fréquent sur les équipements terminaux comme les ordinateurs, les tablettes et les smartphones mais aussi les imprimantes ; les équipements réseaux comme les routeurs et les pare feux ont aussi une pile IPv6 en plus de la couche IPv4 qui est en moyenne moins aboutie que la couche IPv4 à ce jour.\nL’avantage de cette technique est la possibilité d’avoir les deux « Internet » en parallèle et de ne pas présenter de complexité à mettre en œuvre, en effet on laisse la couche IPv4 telle quelle et on déploie la couche IPv6 qui n’a pas de changement fondamental dans sa mise en œuvre par rapport à\nL’inconvénient de cette technique réside dans le fait qu’une adresse IPv4 publique est toujours nécessaire dès lors qu’un hôte effectue une communication qui passe par Internet, cela ne résout\ndonc pas le problème de pénurie d’adresses ; l’autre inconvénient est la double charge de la configuration des routeurs à la fois pour IPv4 et IPv6.\nNAT-PT est un mécanisme qui permet à un réseau uniquement IPv6 d’interagir avec des équipements IPv4 et vice versa. On utilise un boitier qui peut être un routeur ou un ordinateur avec un logiciel\nspécifique, celui-ci fait correspondre des adresses IPv6 à des adresses IPv4 lorsqu’un équipement v6 veut communiquer avec un v4. Les équipements raccordés en v4 ou en v6 n’ont besoin d’aucun paramétrage particulier.\nIl devient donc possible de rendre accessible via IPv6 toute une infrastructure hébergeant des services bien que les services soient à l’origine en IPv4 et le restent. Les communications depuis l’extérieur vers l’infrastructure peuvent se faire en IPv4 comme auparavant ou en IPv6 via la traduction d’adresses.\nIl est à noter que le protocole NAT-PT a été classé comme déprécié par le RFC 4966, dont voici les raisons :\nNAT-PT est considéré comme un mécanisme de transition vers IPv6 et en aucun cas il ne doit limiter les possibilités de communications qu’offre IPv6 ; les applications qui utilisent les adresses IP ne peuvent pas fonctionner ; dans le cas du NAT dynamique, on a moins d’adresses IPv4 que d’adresses IPv6 et sans une gestion fine des timeout on pourrait avoir un manque d’adresses IPv4 ; il peut y avoir des pertes d’informations étant donné que des nouveaux champs sont apparus avec IPv6 comme flow label ou encore des extensions que l’on ne peut pas translater comme les entêtes de routage ou de mobilité ; concernant ICMPv6, il y a des nouvelles fonctionnalités, celles-ci ne sont pas rétro compatibles ; au niveau de la sécurité il est possible de surcharger les mémoires qui font la correspondance avec les translations avec des attaques de déni de service ; enfin, des incompatibilités sont présentes avec le mécanisme de DNS.\nC’est pour ces raisons que l’IETF a choisi de classer comme déprécié NAT-PT, pour éviter de le déployer à grande échelle en causant beaucoup d’incompatibilité ; seulement il est dit que si NAT-PT est utilisé dans des cas particuliers où les problèmes cités ont été considérés et ne sont pas présents, alors NAT-PT est une solution envisageable.\nPlus récemment, en Avril 2011, a été publiée la norme décrivant ledit successeur de NAT-PT : NAT 64, RFC 6146. Pour mémoire, l’IETF conseillait de ne pas utiliser la translation comme mécanisme de transition à IPv6, la solution conseillée était d’activer IPv6 en laissant IPv4 et, petit à petit, de désactiver IPv4 ; seulement le déploiement d’IPv6 a été repoussé et il est maintenant trop tard pour faire une transition « douce » 12 , la translation redevient une nécessité et NAT 64 apporte son lot de nouveautés pour corriger les défauts de NAT-PT évoqués précédemment avec notamment DNS 64 qui apporte des nouvelles fonctionnalités et corrige des défauts concernant le mécanisme DNS, cependant la translation reste toujours contraire à l’un des principes fondamentaux d’IP : la communication directe de pair à pair.\nPour synthétiser nous avons une solution de translation qui permet à des hôtes uniquement IPv6 de joindre des hôtes uniquement IPv4 et vice versa : NAT-PT. Nous avons une solution plus orientée,\nNAT 64 couplée à DNS 64 qui permet à des hôtes uniquement IPv6 sur un site donné de joindre des hôtes IPv4 à l’extérieur de ce site, ce mécanisme est expliqué dans la partie suivante. Il faut noter que NAT-PT a été classé comme déprécié pour le cas précis où on veut rendre accessibles des serveurs IPv4 via IPv6 ; on note cependant que c’est tout à fait utilisable à moyen terme, le temps que les méthodes, les solutions et les implémentations d’IPv6 se peaufinent.\nDNS64 permet à un hôte uniquement en IPv6 de communiquer avec un serveur uniquement IPv4 ; le client IPv6 interroge un serveur DNS qui lui renvoie soit :\n Une adresse IPv6 si la requête DNS retourne un enregistrement IPv6\n Une adresse IPv6 mappant IPv4 si la requête DNS retourne seulement un enregistrement IPv4 (c’est ce qui est illustré par le point « a » dans la figure ci-dessous)\nDans le cas où l’adresse IPv6 retournée est classique, le mécanisme de translation n’est pas nécessaire et les paquets peuvent être routés classiquement.\nDans le cas où une adresse IPv6 mappant IPv4 est retournée, le routeur effectuant du NAT-64 qui a été paramétré en accord avec le serveur DNS 64 réalise une translation de l’adresse IPv6 vers l’adresse IPv4 contenue dans l’adresse IPv6 mappant IPv4 ; cette adresse est à un format reconnu avec le préfixe 64:ff9b::/96 définit dans le RFC 6052. Au retour l’équipement de translation fait l’opération inverse, un exemple simple de cette communication entre un client IPv6 et un serveur IPv4 est illustré ci-dessous.\nServeur DNS avec DNS64\nNous avons donc deux solutions concrètes pour déployer IPv6 de manière rapide sans engendrer de problème à grande échelle. L’avantage de ces solutions vient du fait qu’on n’a aucun paramétrage à faire sur les postes clients ou sur les serveurs.\nVoici la liste des systèmes dans lesquels a été introduite la fonctionnalité NAT-PT pour le constructeur Cisco :\nFigure 16 : liste des systèmes dans lesquels NAT-PT a été introduit pour le constructeur Cisco 13\nOn peut voir qu’on a en premier lieu une translation simple de 1 vers 1 (une adresse IPv4 vers une adresse IPv6) au niveau de la couche IP avec le NAT-PT et que l’on a également une translation de 1 vers n (une adresse IPv6 vers n adresses IPv4) avec la version Overload où l’on fait également de la translation de ports. On a également un serveur DNS intégré avec la version DNS ALG puis un support pour le protocole de transfert de fichier FTP et un support pour les problèmes de taille de données utiles et de fragmentation.\nEn ce qui concerne la norme plus récente NAT-64 et DNS-64, Cisco ne le propose que dans des solutions de hautes performances dédiées aux opérateurs, les plateformes Cisco ASR 1000 et 1001, le tableau ci-dessous détaille les deux fonctionnalités Stateless NAT-64 et stateful NAT-64.\nDes solutions open source existent, deux exemples sont cités ci-dessous.\nNAT-64 sans DNS, sans translation de ports\nNAT-64 avec DNS-64\nNous pouvons donc maintenant dresser un tableau comparatif des différentes solutions, j’ai rajouté des autres solutions commerciales concurrentes à Cisco.\nFonctions de translation\nCisco ASR 100 et 1001\npartir de 10 000€\nNAT-64 stateless et stateful\navec 12.2(13)T et plus\nDe 20 000 à 200 000€\nEquilibreur de charge Big IP F5\npartir de 1 500€\nIPv4/IPv6 dans toutes ses offres\nIPv4/IPv6 mais pas en collecte ADSL\nIPv4/IPv6 en ADSL\nSurcoût de 13€ mensuel + 2000€ à l’installation pour une offre particulière avec un lien de secours 16\nIl n’y a pas de méthode unique pour réussir le déploiement d’IPv6, il y a des méthodes adaptées aux spécificités des infrastructures, par exemple, pour rendre disponible via IPv6 des services comme un serveur DNS, un serveur Web etc. on pourrait mettre en route la pile IPv6 de chaque serveur et tester le service mais cela demande un investissement proportionnel à la taille de l’infrastructure, multiplié par le nombre de systèmes d’exploitations différents qui sont parfois virtuels et qui reposent sur des hyperviseurs 17 , on doit aussi tester chaque application et cela a un coût. Au lieu de ça et sauf si on a une petite infrastructure, on peut faire appel à la traduction d’adresses (NAT 64) pour laisser l’infrastructure en IPv4 et laisser le boitier de traduction se charger des requêtes IPv6, cette solution peut être mutualisée et alors une société de service fera fonctionner son boitier de traduction pour rendre disponible via IPv6 les services de ses clients.\nOutre la traduction d’adresses pour les services, il faut, si possible louer ses adresses IPv6 directement au registre pour ne pas dépendre du FAI, on donnera alors nos adresses IPv6 au FAI qui se chargera de rediriger le trafic vers notre routeur, cela n’est utile que dans le cas ou on a des serveurs.\nPour un client n’ayant pas de services hébergés qui a juste besoin d’un accès à internet comme le web, on peut mettre en place un accès ADSL classique en IPv6/IPv4, l’opérateur attribuera un préfixe et si on change d’opérateur, on changera de préfixe mais ce n’est pas important, il suffira de configurer le service router-advertisement ou DHCP pour distribuer les adresses. On pensera à des FAI pour lesquels IPv6 est en place depuis quelque temps comme free ou encore Nerim si on a besoin de SDSL 18 ou de garanties comme la garantie de temps de rétablissement.\nPour un client ayant des petits services hébergés comme un serveur web, un serveur de mail et d’autres services, le temps d’analyse et de déploiement d’IPv6 peut être important et il est intéressant dans ce cas d’opter pour une solution de traduction d’adresses mutualisée. Le client ayant généralement une partie du réseau pour l’accès des utilisateurs à Internet, ce réseau reprendra le schéma décrit dans le paragraphe précédent.\n16 Ce tarif fait référence à une étude de faisabilité et de coût réalisée à notre demande par Orange. 17 La tendance il y a quelques années était à la virtualisation des serveurs, les machines sont alors virtuelles et sont exécutées sur un système d’exploitation que l’on appelle hyperviseur ; c’est aujourd’hui une réalité et très répandu jusqu’aux petites infrastructures qui contiennent 4 à 6 serveurs. 18 SDSL : ce type de liaison assure le même débit dans les deux sens contrairement à une ligne ADSL qui a généralement un faible débit montant pour privilégier le fort débit descendant ; lorsqu’on dit montant, cela signifie vers le FAI.\nPour un client ayant des moyens à gros services hébergés, on peut toujours faire appel au service de traduction d’adresses mutualisé ou bien si on n’a pas envie de dépendre d’un intermédiaire, on peut mettre en place une solution interne de translation NAT 64 grâce à un équipement dédié (routeur Cisco,…), avec la translation en interne, on publiera des adresses IPv6 désignant nos services et la situation la plus agréable de fonctionner est d’obtenir des adresses IPv6 indépendantes d’un FAI, cela est possible auprès du RIPE NCC comme expliqué précédemment. La dernière variante serait de déployer intégralement IPv6 sur tous les services sans translation mais cette solution peut être complexe et n’a pas été choisie par exemple par Facebook pour ses serveurs 19 .\nDans cette partie sont décrites selon les différents cas de déploiement d’IPv6 les questions à se poser sur le matériel informatique à utiliser que ce soit les terminaux des utilisateurs, les serveurs ou les équipements réseaux.\nOn pourra regarder la liste des équipements terminaux pour vérifier leur compatibilité à IPv6, à\n Les PC\n Les clients légers\n Les tablettes\n Les Smartphones s’ils se connectent en Wifi\nEn ce qui concerne les PC il faut savoir que les systèmes d’exploitation suivants sont compatibles IPv6 :\no compatible avec manipulation à partir de Windows 2000/XP\no compatible nativement à partir de Windows Vista/7\no A partir de Mac OS X 10.5\nnoyau 2.4 compatible\nnoyau 2.6 conseillé en production\nEn ce qui concerne les Smartphone, les systèmes suivants sont compatibles :\nà partir de l’iOS 4\nSi on suit la méthode de déploiement avec un boitier de translation, on s’épargne la nécessité de\ngérer IPv6 nativement sur les serveurs, cependant si on a besoin de serveur DHCP ou de solutions\n19 Propos recueilli lors du séminaire « Préparation au World IPv6 launch ».\nspécifiques, la liste ci-dessous présente les compatibilités IPv6 des systèmes d’exploitation rencontrés sur les serveurs.\ncompatible avec manipulation à partir de Windows 2000/2003\ncompatible nativement à partir de Windows Server 2008\nCompatible nativement à partir du noyau 2.4, noyau 2.6 recommandé en production\nESX3.5 supporte les hôtes en IPv6\nESX 4.0 est compatible IPv6 avec des restrictions 20 :\n Stockage iSCSI et NFS expérimental\n Pas de support de TCP Segmentation Offload (TSO)\n Pas de support de la fonction haute disponibilité et tolérance aux pannes\nvSphere 5 21\nD’autres informations concrètes 22\nEquipements réseau de niveau 2 (commutation)\nIl n’y a pas de changement pour les Switch, ceux-ci véhiculent des trames Ethernet et ils restent\ncompatibles. La seule raison d’une incompatibilité serait dans le cas où la sécurité exigerait un filtrage des annonces de routeurs par les ports d’accès.\nLe changement nécessaire peut aussi être présent si les Switch sont administrables par le réseau (c’est souvent le cas) mais étant donné que le but est la double pile dans un premier temps, il sera toujours possible d’administrer les Switch via IPv4 (pendant longtemps).\nPour les bornes Wifi, il faudra vérifier la compatibilité au cas par cas.\nLa plupart des grands constructeurs proposent des pare feu et des routeurs compatible IPv6, il n’est cependant pas évident de dire aujourd’hui quels sont les meilleurs modèles et ceux à éviter étant donné qu’ils n’ont pas encore été utilisés à grande échelle. Il faudra donc vérifier que les fonctions de routage requises sont bien implémentées en IPv6, les fonctionnalités de qualité de service et les possibilités de filtrage, tous les produits ne sont pas à égalité et seul des lectures attentives et des\ntests permettront d’évaluer ceux-ci.\nDans le cas où une translation est nécessaire, on pourra utiliser un boitier routeur / pare feu déjà\nexistant pour réaliser cette fonction ou bien utiliser un équipement dédié dans le cas de grosses infrastructures, voici des exemples de constructeurs :\n Cisco, avec ses routeurs propose la translation NAT-PT expliquée précédemment ;\n A10 Networks propose des boitiers d’équilibrage de charge pour des serveurs et également une translation NAT-64 ;\n Juniper et d’autres constructeurs proposent également des routeurs avec des fonctions de translation NAT 64\n8.5.1 Tunnels On parle de tunnel lorsqu’on réalise une encapsulation anormale. Par exemple, en temps normal, les données utiles d’un paquet IPv4 doivent être de l’UDP ou du TCP, dans le cas d’un tunnel v6-in-v4 on met un protocole de niveau 3 dans un protocole de niveau 3 et on peut parler de tunnel car c’est une encapsulation anormale. Dans notre cas les tunnels sont un moyen de relier deux machines avec un protocole IP version x alors qu’elles sont reliées par un réseau IP version y. On aura donc des tunnels v6-in-v4 et v4-in-v6, ces derniers sont plus rares pour le moment, ils sont prévus dans le cas où un réseau entièrement IPv6 aurait besoin d’accéder à des ressources IPv4.\nIl existe des tunnels statiques et automatiques, les statiques sont configurés statiquement entre un nœud et un autre tandis que les dynamiques utilisent des algorithmes qui après une configuration permettent d’établir un tunnel dont le nœud de sortie pourra changer.\nLes parties suivantes détaillent des techniques de tunnel qui peuvent être utiles dans certains cas, cependant, les techniques de tunnel ne doivent être envisagées que lorsqu’une autre solution n’est pas possible car ils introduisent une couche de complexité dans les couches protocolaires utilisées ainsi que dans l’architecture réseau nécessaire.\n8.5.1.1 Le Tunnel 6to4\nTechniquement, 6to4 permet d’interconnecter des réseaux IPv6 isolés en créant des tunnels automatiques qui encapsulent IPv6 dans IPv4. Grâce à cela, 6to4 permet deux cas de figure, il ajoute la possibilité à une organisation d’accéder à l’Internet IPv6 même si son FAI ne fournit qu’une connectivité IPv4 et il permet à un ISP de fournir un service minimum IPv6 à ses clients.\n6to4 définit 3 types d’équipements :\n La machine terminale 6to4, c’est l’utilisateur du service, celui qui a besoin d’Internet v6.\n Le routeur de bordure, qui est connecté au réseau v6 des machines terminales et au réseau v4 « Internet » ; c’est lui qui va encapsuler les paquets v4 dans des v6.\n Le relais 6to4 qui permet d’atteindre l’internet v6, son adresse doit être connue des autres équipements (il a une adresse anycast).\nA peut maintenant communiquer avec des machines IPv6 ou IPv4, pour envoyer un paquet à une machine IPv6, il lui suffit de mettre l’adresse IPv6 de destination finale et le routeur de bordure\nLorsque A envoie un paquet avec une adresse de destination commençant par 2002 ::/16, le routeur de bordure prend les données et les met dans un paquet IPv4 en prenant l’adresse IPv4 contenue dans l’adresse 6to4 du paquet de A.\nL’inconvénient de tunnel est l’introduction de délais supérieurs car dans le cas d’une communication entre la machine dans le réseau 6to4 et une machine dans l’internet v6, la communication doit passer par le relais, il est possible d’optimiser la distance entre la machine dans le réseau 6to4 et le relais mais seulement la distance entre le relais et la machine dans l’internet v6 n’est pas contrôlable. C’est pour cette raison qu’on peut utiliser plusieurs relais et que ceux-ci ont une adresse anycast. Toutefois cette technique n’est pas la plus optimisée dans le cas ou on veut avoir des machines uniquement en IPv6 qui communique avec l’Internet IPv6 et IPv4, on préférera la solution précédemment expliquée NAT-64 et DNS-64 qui est plus « native » pour IPv6 et optimisée car l’équipement de translation est toujours sur le même site que les machines.\n8.5.1.2 Tunnel Broker\nLe système tunnel broker permet à un réseau ou un hôte isolé d’avoir un accès IPv6 à travers un\nréseau IPv4, le protocole TSP – Tunnel Setup Protocol permet de donner des méthodes de gestion\ndes tunnels et il définit plusieurs composants :\nAdresse IPv6 du client : c’est le « tunnel server » qui fait vivre cette adresse puisque le client n’a pas d’interface avec une adresse IPv6.\nL’adresse IPv4 du « tunnel server » : c’est l’adresse à laquelle le client doit envoyer ses paquets IPv6, elle correspond à la sortie du tunnel ; cette adresse est souvent de type anycast pour que le client puisse joindre le serveur le plus proche.\nde tunnel pour des particuliers ou des\nopérateurs, il existe également des organismes qui proposent des solutions gratuites de tunnel pour que des sites isolés en IPv4 puissent avoir accès à IPv6, ces solutions existent pour la plupart car elles permettent à des sociétés de télécommunications de se faire connaitre, voici les solutions gratuites\nTunnel IPv6 dans IPv4\nSixxs, organisme privé, Suisse\n8.5.3 Autres tunnels\nD’autres tunnels existent notamment :\nISATAP – Intra-Site Automatic Tunneling Adressing Protocol qui permet de faire communiquer des machines double piles en IPv6 à travers un réseau local IPv4.\nTEREDO - Tunneling IPv6 over UDP through NAT qui permet de fournir une connectivité IPv6 à une machine isolée dans un réseau IPv4 derrière un NAT et qui a un mécanisme qui permet que les flux du client TEREDO atteignent le relais TEREDO le plus proche au sens du routage.\nDSTM – Dual Stack Transition Mechanism qui permet à un réseau IPv6 d’accéder à un réseau IPv4 suivant le modèle vu pour les tunnels broker.\n6PE s’appuie sur MPLS – Multi Protocol Label Switching pour permettre à un cœur de réseau MPLS d’acheminer des paquets IPv6 sans en changer ses équipements. Le principe de MPLS est de commuter sur un label, si les routeurs de périphérie supportant IPv6 font correspondre à une adresse IPv6 un label, le paquet avec ledit label pourra transiter via les routeurs internes qui ne regarderont que le label.\nL’équipe technique de 2SI est composée de 13 personnes, un des objectifs du projet était de les former à IPv6, concrètement chaque personne devait avoir une connaissance globale de cette technologie, savoir pourquoi elle était importante, quelles étaient les différences par rapport à l’ancienne version, connaitre le matériel et les systèmes compatibles et enfin utiliser le protocole dans divers cas pratiques qu’ils pourraient être amenés à rencontrer. Une formation d’une journée durant laquelle l’équipe technique s’est séparée en 2 groupes pour assister à une partie théorique puis une partie pratique avec au programme :\n Présentation théorique\n Démonstration des mécanismes IPv6 avec capture de trames\n Manipulation des outils de configuration IPv6 de Windows\n Mise en place du service d’auto configuration avec un pare feu Cisco\n Mise en place de DHCPv6 avec un pare feu Cisco\n Utilisation d’un service de tunneling IPv6 dans IPv4 et tests de connectivité avec l’internet\nEn ce qui concerne l’équipe commerciale et l’équipe dirigeante, une sensibilisation sur IPv6 de 30 minutes a été menée et a permis de présenter les points suivants :\n Qu’est-ce-qu’IPv6, pourquoi on en a besoin\n Quelles sont les solutions de déploiement d’IPv6 adaptées\n En quoi 2SI est concerné par IPv6\nAfin de pouvoir accompagner au mieux les clients dans le déploiement d’IPv6, il était indispensable de maitriser cette technologie, la meilleure manière de la maitriser à été de mettre en place un site pilote mettant en évidence la procédure et les conditions de déploiement. Le site qui a été choisi est celui du siège social de la société qui comporte un réseau d’utilisateurs qui accèdent au réseau internet, aux ressources internes et à un réseau comportant des serveurs accessibles depuis Internet. Dans un premier temps une étude a été réalisée pour établir dans quelles conditions et à quel coût IPv6 pouvait être déployé, cette étude ayant démontré que le coût du matériel était nul car englobé dans le renouvellement prévu d’un équipement réseau et que le coût du raccordement à un FAI proposant IPv6 ne dépassait pas les 50€ par mois pour un site pilote, une seconde étude décrivant les étapes de déploiement d’IPv6 a été réalisée.\nLes FAI de 2SI ont été consultés, en premier lieu Orange qui propose une offre SDSL avec un lien de secours ADSL, l’offre propose un accès à Internet via la double pile IPv4/IPv6 sur le lien principal SDSL avec un nouveau routeur, ils indiquent que le lien de secours est sur une collecte ADSL et non compatible avec IPv6 de leur côté ; un surcoût de 13€ mensuel est facturé pour IPv6 et un forfait de 2000€ pour l’installation et le paramétrage du routeur pouvant utiliser soit IPv4/IPv6 sur le lien principal SDSL soit utiliser IPv4 sur le lien de secours est facturé. L’autre FAI de 2SI, All Telecom qui propose une connexion ADSL ne propose actuellement pas de raccordement via IPv6. Comme présenté dans la partie précédente, Nerim et Free sont deux candidats proposant IPv6 avec pour Nerim l’avantage des services dédiés aux professionnels et pour Free l’avantage du faible coût.\nAfin de déployer IPv6 sur le réseau des utilisateurs et le réseau des serveurs, le pare feu actuel\nnécessite d’être changé par un autre modèle présentant les caractéristiques suivantes :\n 5 interfaces\n Gestion des VPN site à site IPSec 23\n Gestion de 50 VPN IPSec pour utilisateurs nomades\n Filtrage simple sur les couches réseau et transport\n Gestion de l’authentification avec Microsoft Active Directory 24\n Règle de routage de qualité de service : router les flux sur une interface en se basant sur la couche transport\n Support d’IPv6 pour le routage et le filtrage et la translation NAT 64\nEtant donné que le pare feu actuel était vieillissant son remplacement devait être effectué indépendamment du site pilote IPv6 ; pour des questions d’homogénéité du parc d’équipement réseau, le constructeur Cisco était privilégié, un modèle de routeur avec une licence sécurité répondant aux critères ci-dessus a été choisi.\nL’objectif du déploiement est de mettre en place IPv6 dans différents cas de figure pour capitaliser ce\nLa première étape du déploiement consiste à remplacer le pare feu actuel et à vérifier qu’il ait le même comportement que l’ancien ; la seconde étape consiste à choisir un FAI proposant un accès IPv6 ADSL et à donner une adresse IPv6 aux postes du LAN interne pour qu’ils puissent aller sur Internet ; la troisième étape consiste à rendre accessible via IPv6 les services basés à Soissons (on pourra commencer par le service DNS par exemple).\nLe pare feu qui a été choisi est un Cisco 1941 il aura un système Cisco IOS 15 M&T se basant sur l’IOS 12.4 et 12.4T, dans cette partie nous allons décrire l’architecture existante avec le pare feu du constructeur Clavister puis nous allons décrire les étapes techniques de configuration du pare feu Cisco qui ont, dans un premier temps, été réalisées dans un environnement de simulation avec l’outil\n23 VPN : Virtual Private Network, technique permettant d’étendre deux sous réseaux via Internet de manière sécurisée 24 Microsoft Active Directory : système d’annuaire inclus dans les systèmes d’exploitation serveurs de Windows\nCisco Packet Tracer sur un routeur Cisco 1841 avec un système IOS 12.4(15)T1, les commandes sont compatibles.\nLe schéma ci-dessous décrit la topologie future, les plages d’adresses IP sont arbitraires.\nL’accès ADSL All Telecom est utilisé pour la navigation web depuis le LAN interne ; l’accès SDSL Orange est utilisé pour des VPN IPSec site à site et l’hébergement de services réseaux.\nAvant déploiement, les fonctionnalités utilisées par le pare feu Clavister sont les suivantes:\n● La translation statique des serveurs des DMZ\n● La translation dynamique des clients du LAN interne\n● Les tunnels VPN IPSec site à site\n● Le “policy based routing” qui permet de router sur le WAN All Telecom le trafic Web du LAN interne\n● Les règles de filtrage\nAfin que le pare feu Cisco ait le même comportement que le pare feu Clavister, les fonctions décrites\nsont à configurer, la configuration est décrite étape par étape en annexe.\nUne fois la configuration du pare feu effectuée, il faut tester les fonctions préalablement décrites et valider au bout de quelques jours que le comportement est celui escompté.\nOn peut alors louer les services d’un FAI proposant IPv6 et commencer l’étape suivante : donner aux postes des utilisateurs internes un accès IPv6.\nPour cela il est nécessaire de configurer les fonctions suivantes du pare feu :\n Configurer les adresses IP des interfaces WAN et LAN interne,\n Configurer une route par défaut,\nIl faudra aussi configurer un serveur DHCPv6 en lui donnant la plage d’adresses IP utilisable, on choisira Windows Server 2008 pour assurer cette fonction. On testera alors la connectivité à des\nservices accessibles en IPv6 comme par exemple la version IPv6 de Google accessible à l’adresse\nL’étape la plus intéressante et la plus complexe est celle du déploiement d’IPv6 pour la partie hébergement de services, on choisira la translation NAT-64 qui permet de laisser les serveurs uniquement en IPv4 et de laisser le boitier de translation se charger de répondre aux requêtes IPv6 en faisant l’intermédiaire en IPv4 auprès du serveur ; la fonction de translation dans notre cas sera assurée par le pare feu Cisco, on choisira de translater directement un serveur grâce au NAT-64 décrit précédemment et les étapes techniques propres au matériel Cisco sont décrites en annexe.\nUne fois la translation du serveur configurée, on peut tester depuis des sites extérieurs l’accès au service en IPv6 pour valider la configuration ; il ne faudra pas oublier de mettre en place des méthodes de surveillance pour garantir une qualité de service en IPv6 au moins égale à la qualité de service en IPv4.\nPour accélérer la mise en œuvre d’IPv6, une solution expérimentale a été mise en œuvre pour utiliser de manière réelle les fonctionnalités IPv6, à savoir donner accès aux utilisateurs à IPv6 et mettre un\nservice IPv4 disponible en IPv6, je décris ci-dessous cette expérimentation.\nL’architecture a pour but de donner accès à l’Internet IPv6 aux postes utilisateurs et de translater un service IPv4 pour qu’il soit accessible en IPv6, j’ai choisi d’utiliser un service de tunnel pour pouvoir être raccordé réellement à l’Internet IPv6 plutôt que d’utiliser des réseaux isolés, en cela nous pouvons voir plus précisément les comportements des machines et effectuer des tests grandeur nature.\nL’architecture comprend donc un routeur qui est raccordé au réseau utilisateurs et qui a accès à l’Internet IPv4, sur ce routeur, une carte tunnel IPv6 dans IPv4 via UDP est connectée à l’Internet IPv6. Une adresse IPv6 fixe est attribuée au routeur et un bloc d’adresse /56 est attribué également, on diffusera un de ces sous réseaux sur le réseau utilisateurs grâce au service d’auto configuration sans états. En ce qui concerne l’accessibilité d’un serveur IPv4 translaté en IPv6, nous utiliserons un service de translation NAT-64 et un serveur pilote, un serveur Web a été choisi car il est simple à mettre en œuvre et très présent parmi la plupart des services actuellement déployés sur Internet. Le dessin ci-dessous présente l’architecture logique qui est utilisée.\nProtocole IP utilisé\nVoici les caractéristiques des équipements utilisés :\nrouteur donnant accès à IPv6\n-Ordinateur avec système d’exploitation Windows 7 -Logiciel de tunnel gogo6 25\n-Ordinateur avec système d’exploitation Linux Debian 6 -Logiciel de translation TAYGA 26\n-Ordinateur avec système d’exploitation Linux Debian 6 -Serveur Web Apache\nconfigurer le logiciel pour qu’il se comporte en tant que routeur et qu’il diffuse le préfixe obtenu (cela se fait dans le fichier de configuration du programme).\nVoici une capture d’un paquet ICMPv6 diffusant le préfixe à utiliser :\nAu cas où l’ordinateur ne diffuserait pas le préfixe, on peut le configurer manuellement par exemple avec Windows en tapant les commandes suivantes :\n>netsh >interface ipv6 //activer les annonces de routage sur cette interface, par défaut disabled set interface interface="Connexion au réseau local" advertise=enabled //ajout d'un préfixe et publication add route interface="Connexion au réseau local" prefix=2001:05c0:1517:7e00::/64 publish=yes //l’option router discovery doit être activée set interface "Connexion au réseau local" advertise=enabled //Permettre à cette interface de router sur d’autres interfaces set interface 11 forwarding=enabled\nDiffusion du préfixe par\nLes ordinateurs qui récupèrent ce préfixe génèrent une valeur aléatoire pour les 64 bits restants (pour la majorité des systèmes) et construisent leurs adresses IPv6. Ils utilisent le mécanisme Duplicate Address Detection – DaD qui consiste à envoyer une demande à l’adresse choisie pour savoir si une autre machine l’a déjà prise. Ensuite la machine envoie un message ICMP pour connaitre la passerelle ; il manque encore l’adresse du serveur DNS, on rentre donc manuellement celle d’un des serveurs DNS publics de Google : 2001:4860:4860::8888, on peut également paramétrer un serveur DHCP dans Windows Server 2008 en complément de l’auto configuration pour donner l’adresse du serveur DNS et le domaine de résolution de noms ; cependant cela fonctionne quand même pour les requêtes DNS grâce au serveur DNS actuel qui répond aussi pour les enregistrements IPv6.\nOn peut vérifier sur les ordinateurs qu’ils sont bien configurés en regardant leur configuration IP et en allant sur un site uniquement accessible via IPv6 comme ipv6.google.com.\nLa conclusion de ce déploiement d’IPv6 pour les postes utilisateurs démontre qu’aucune intervention n’est nécessaire sur les postes et qu’ils accèdent directement à l’internet IPv6, cependant il n’est pas possible de se passer d’IPv4 car beaucoup de services sont uniquement accessibles via ce protocole, à savoir :\n Les serveurs de l’Intranet en IPv4 ;\n les imprimantes et autres périphériques non compatibles IPv6 ;\n tous les serveurs sur l’Internet seulement accessibles en IPv4 (c’est la majorité des cas actuellement).\nUne solution à moyen terme est possible pour communiquer avec les serveurs de l’Internet IPv4 en désactivant l’IPv4 sur les postes : on utilise le système de translation NAT-64 couplé au DNS-64, grâce à cette solution les postes qui font une requête DNS vers un serveur IPv6 se voient répondre l’adresse IPv6 et les requêtes pointant vers un serveur IPv4 se voient répondre une adresse IPv6 mappant IPv4, l’adresse IPv4 est inclue dans l’adresse IPv6 en utilisant un préfixe particulier /96 qui se construit de cette manière :\n<préfixe de 96 bits> <adresse IPv4 de 32 bits>\nGrâce à ce système, lorsqu’un poste voudra communiquer avec une adresse IPv4 inclue dans une adresse IPv6, l’équipement de translation NAT-64 reconnaitra le préfixe et effectuera une translation des adresses en changeant les ports de niveau 4 si le même couple adresse IP et ports sont déjà utilisés. Voici un projet Open Source qui implémente ce système décrit dans le RFC 6146 : ecdysis 27 . On peut retrouver une explication 28 dudit RFC.\nCarte tunnel IPv6\n 2001:5c0:1400:b::cc55 est l’adresse attribuée par le service de tunnel au routeur IPv6;\n 2001:5c0:1517:7e01::/64 est le premier sous réseau des 255 attribués par le service de tunnel, il est utilisé pour l’interconnexion entre le routeur IPv6 et le routeur NAT-64;\n 2001:5c0:1517:7eff::/64 est le dernier sous réseau attribué par le service de tunnel, il est utilisé comme préfixe pour les adresses IPv6 mappant des adresses IPv4 par le routeur NAT- 64, on réduit ce préfixe à /96 car on n’a seulement besoin des 32 derniers bits restants pour écrire les adresses IPv4\nCi-dessous sont décrites les tables de routages des routeurs et du serveur ainsi que la table de translation du routeur NAT-64.\nAdresse réseau IPv4 interne\nPasserelle IPv4 interne\nRéseau IPv4 interne\nVers carte nat64\nEnvoie des réponses à\nSur le dernier tableau ce n’est pas vraiment une table de translation mais plutôt les préfixes utilisés pour la translation, la table de translation se construira au fur et à mesure des flux.\nLe logiciel open source TAYGA a été utilisé pour la translation, il effectue une translation 1 vers 1 d’une adresse IPv6 vers une adresse IPv4, il nécessite donc autant d’adresses IPv4 disponibles que de requêtes pouvant être effectuées dans le même laps de temps, à échelle réelle il faudra combiner ce système avec de la translation de ports pour pouvoir utiliser 1 adresse IPv4 pour n adresses IPv6, la\ndocumentation de TAYGA indique qu’on peut utiliser le système de filtre intégré à Linux iptables combiné avec l’option MASQUERADE, cependant ce n’est pas l’objet de cette expérimentation et d’autres solutions sont possibles.\nA présent nous abordons la configuration des équipements, notamment le routeur NAT-64, et le routeur IPv6 ; des points d’exclamation en début de ligne indiqueront des commentaires.\n!Addresse IP carte vers NAT-64 (fournisseur d'IPv6)\n!Route vers NAT-64 lorsque un paquet a été translaté route ADD 192.168.255.0 MASK 255.255.255.0 192.168.2.1\n!Route vers NAT-64 pour le préfixe NAT-64 !en invite de commande administrateur netsh interface ipv6 add route 2001:5c0:1517:7eff::/96 22 2001:5c0:1517:7e01::2\n!Activer le forwarding sur les cartes réseaux netsh interface ipv6 set interface 11 forwarding=enabled set interface 22 forwarding=enabled set interface 41 forwarding=enabled\n!Suppression de la configuration IPv4 ifconfig eth0 down ifconfig eth0 up ifconfig eth1 down ifconfig eth1 up\n!eth0 : vers routeur IPv6 ip addr add 2001:05c0:1517:7e01::2/64 dev eth0\n!eth1 : vers DMZ IPv4 ip addr add 192.168.2.1/24 dev eth1\n!Télécharger les sources de TAYGA à l’adresse suivante : http://www.litech.org/tayga/\n!Décompresser l’archive Tar –xvf <nom de l’archive>\n!Compiler et installer TAYGA (se placer dans le répertoire décompressé) ./configure && make && make install\n!Créer le dossier qui va reccueillir les tables de translation mkdir -p /var/db/tayga\n!Créer le fichier de configuration de TAYGA (un exemple se trouve dans le même répertoire) cat >/usr/local/etc/tayga.conf <<EOD tun-device nat64 ipv4-addr 192.168.255.1 prefix 2001:5c0:1517:7eff::/96 dynamic-pool 192.168.255.0/24 data-dir /var/db/tayga EOD\n!Créer l’interface nat-64 et la configurer tayga --mktun ip link set nat64 up ip addr add 192.168.2.1 dev nat64 ip addr add 2001:5c0:1517:7e01::2 dev nat64 ip route add 192.168.255.0/24 dev nat64 ip route add 2001:5c0:1517:7eff::/96 dev nat64\n!Activer le routage IPv4 et IPv6 sysctl -w net.ipv4.conf.all.forwarding=1 sysctl -w net.ipv6.conf.all.forwarding=1\n!Route par défaut vers routeur IPv6 route --inet6 add default gw 2001:5c0:1517:7e01::1 dev eth0\n!Lancer TAYGA en mode debug (ou sans en enlevant l’option –d) tayga -d\nOn voit que l’adresse IPv6 mappant IPv4 a automatiquement été convertie en hexadécimal par le navigateur Google chrome, elle était à l’origine 2001:5c0:1517:7eff::192.168.2.1 ; on peut noter ici que la méthode pour utiliser une adresse IPv6 dans un navigateur est de la mettre entre crochet pour éviter toute confusion dans le cas de la spécification d’un port non standard, par exemple 8080.\nDans l’exemple présent, le site a été testé depuis l’accès IPv6 interne mais pas derrière le routeur du fournisseur du tunnel, on peut donc vérifier le bon fonctionnement du routage et de la translation via un test en ligne comme www.subnetonline.com, voici le résultat concluant de ce test :\nOn remarque que la table de translation a été remplie par 4 requêtes, les machines à l’origine de ces requêtes correspondent au routeur NAT-64 au routeur IPv6, ainsi qu’a un testeur de connectivité IPv6 fourni par Hurricane Electric et SubnetOnline.com.\nIl ne faut pas oublier de sécuriser ce système NAT-64, l’exemple ci-dessous n’autorise que les flux à destination d’une translation pour les adresses 192.168.2.1 et 192.168.2.2 avec le pare feu ip6tables ; sinon on pourrait utiliser le routeur NAT-64 pour accéder aux ressources IPv4 qui lui sont visibles.\n# ip6tables -A FORWARD –s ::/0 -d 2001:5c0:1517:7eff::192.168.2.1/128 -j ACCEPT\n# ip6tables -A FORWARD –s ::/0 -d 2001:5c0:1517:7eff::192.168.2.2/128 -j ACCEPT\n# ip6tables -A FORWARD -d 2001:5c0:1517:7eff::/96 -j DROP\nPour conclure on peut dire qu’une architecture et des mécanismes permettant de rendre accessible un serveur uniquement IPv4 par des utilisateurs de l’Internet uniquement IPv6 a été mise au point, on rajoutera pour le service comme le site web une entrée DNS pointant vers l’adresse IPv6 de translation. L’avantage de cette solution une fois qu’elle est mise en place est la rapidité de mise en service de nouvelles translations : on peut rajouter une entrée DNS IPv6 pour un site et autoriser la translation dans le routeur NAT-64, on peut reproduire ce système facilement sur un nouveau site avec la méthode précédemment décrite. Une méthode judicieuse qui peut être très intéressante pour une société de service consiste à mutualiser le service de translation pour mettre en service des serveur IPv4 via IPv6 même s’ils ne se trouvent pas sur le même site géographique : en effet le routeur NAT-64 s’il a accès à l’Internet IPv4 peut faire l’intermédiaire entre un client IPv6 de l’Internet et un serveur IPv4 de l’Internet ; il suffit de rentrer dans le serveur DNS l’adresse IPv6 de translation construite avec le préfixe de translation et l’adresse IPv4 : <préfixe de translation> ::<adresse IPv4>. Par exemple si on veut rendre accessible le site www.utt.fr avec l’adresse IP 193.50.230.230 pour les utilisateurs d’Internet en IPv6, il suffira d’indiquer dans le serveur DNS de l’UTT un enregistrement IPv6 pour www.utt.fr avec comme adresse <prefixe de translation> :: 193.50.230.230.\nIl est possible de construire une solution passable en production à grande échelle se basant sur les mêmes mécanismes que ceux décrits ci-dessus, on pourra donc prendre un routeur implémentant la fonctionnalité NAT-64.\nLe sujet défini avant mon arrivée au sein de 2SI était IPv6 et mise en œuvre et sécurité renforcée, il prévoyait une analyse d’IPv6, des enjeux de cette nouvelle technologie :\n au sein de l’Internet de manière macroscopique ;\n pour les acteurs de l’Internet tels que les opérateurs et les gestionnaires de noms de domaine de haut niveau ;\n pour les entreprises de différentes tailles connectées à Internet ;\n puis enfin, pour les concepteurs et intégrateurs de solutions réseaux, systèmes et systèmes d’informations comme 2SI.\nLe sujet de départ prévoyait également de former l’équipe technique à IPv6 et de concevoir des méthodes de déploiement.\nEnfin, le sujet comportait une partie sécurité renforcée dont l’objectif était d’améliorer la sécurité réseau interne à l’entreprise pour pouvoir capitaliser cette expertise et la déployer chez les clients.\nAprès 4 mois de stage le projet concernant IPv6 a été un succès,\n un document complet décrivant de manière pédagogique IPv6 a été remis à l’équipe technique à l’issue d’une formation théorique et pratique ;\n une formation de l’équipe dirigeante et de l’équipe commerciale a expliqué IPv6, ses enjeux et des méthodes concrètes de déploiement adaptées ;\n une procédure de déploiement décrivant d’une part de manière globale le déploiement du site pilote IPv6 et d’autre part les étapes précises de configuration d’un pare feu pour illustrer dans différentes situations le déploiement d’IPv6 a été réalisée.\nEtant en soutenance avancée, à la date de rédaction de ce rapport, le pare feu nécessaire au déroulement de déploiement d’IPv6 au sein du site pilote n’a pas encore été reçu.\nConcernant le projet de sécurité renforcée, une formation d’une partie de l’équipe technique a été réalisée pour renforcer les bases des architectures et de la sécurité des réseaux d’entreprise, les points suivants ont été abordés :\n architectures réseau de niveau 2 : Ethernet et VLAN ;\n routage IP ;\n backbone de niveaux 2 et 3 ;\n attaques réseaux et techniques de filtrage réseau ;\n liaisons intersites sécurisées avec des VPN.\nCette formation a pu aborder de manière théorique les points suscités puis leur mise en œuvre.\nPour continuer sur la sécurité réseau, des études concernant des choix de pare feu m’ont été confiées, j’ai donc étudié et fourni des comparatifs de fonctionnalités et de coût en partenariat avec les fournisseurs de 2SI ; ces études m’ont permis de mettre en application le savoir faire m’ayant été transmis lors de mon année en filière intégration de réseau et on été possibles grâce à une grande communication et beaucoup d’échanges de conseils avec les ingénieurs réseau et système de 2SI ; les conseils des experts réseau des fournisseurs de 2SI ont aussi été très précieux.\nLe planning a été suivi dans ses grand axes et le grand changement a été dans la partie communication puisque les présentations ont eu du succès et j’ai donc présenté IPv6 non seulement à l’équipe technique, l’équipe commerciale et l’équipe dirigeante mais aussi à l’équipe du service consultant en progiciel et à l’équipe technique de l’agence communication à Soissons, autre entité de 2SI. Le site pilote au quatrième mois en est à son départ dans la mise en œuvre, une démarche préventive a largement été déployée quant aux nouvelles solutions qui intègrent le support d’IPv6, autant pour l’architecture interne de 2SI comme le pare feu, les bornes Wifi que pour les solutions des clients qui intègrent le critère de support d’IPv6 ; cependant l’établissement d’un plan d’action commerciale et la formation des commerciaux n’est pas entamée car la demande en IPv6 n’est qu’a son début puisque il est tout à fait possible d’ignorer à court terme cette technologie, les débouchés commerciaux sont à prévoir de manière significative dans les 5 ans à venir.\nDes autre projets qui n’étaient pas forcement prévus au départ sont venus agrémenter le contenu du stage, étant donné que j’ai été principalement aux côtés d’un ingénieur j’ai donc participé avec lui à un projet de migration d’architecture système (annuaire, système de fichiers, gestion des droits) Novell vers Microsoft avec une couche de virtualisation VMWare dans le nouveau système, les points suivants ont été développés :\n participation à la conception d’une architecture système redondante ;\n participation à la mise en œuvre de systèmes de sauvegarde des machines virtuelles et des données ;\n mise en place d’un outil de transfert des utilisateurs de Novell vers Active Directory ;\n mise au point d’une solution d’automatisation de l’intégration des machines utilisateurs dans le nouveau système.\n[ARC, 2012], IPv6 Principes et mise en œuvre, Jean-Paul Archier, eni, 2012, 396 pages\n[CIZ, 2005], IPv6 – Théorie et pratique, Gizèle Cizault, O’REILLY, 2005, 467 pages\nAlain Ploix, IPv6, Cours de l’UTT, UTT, 2012\nSamuel Guggenbuhl, Simon Baudas, Cohabitation IPv4 – Ipv6, Travail d’expérimentation, UTT, 2012\nhttp://c2.touta.in/?p=222, Cours et exercices IPv6 en vidéo, Telecom Bretagne, consulté le\n[CIZ, 2005], http://livre.g6.asso.fr, IPv6 – Théorie et pratique, G6 Association, consulté le 01/06/2012, version en ligne du livre [CIZ, 2005]\nhttp://www.debian.org/doc, documentation technique du système d’exploitation Linux Debian, consulté le 01/06/2012\nhttp://www.cisco.com/, documentation technique des équipements Cisco, consulté le 01/06/2012\nhttp://www.bortzmeyer.org/, synthèse et commentaire des normes RFC, consulté le 01/06/2012\nSur le schéma ci-dessus, une interface est utilisée pour plusieurs réseaux, on la divisera en sous interfaces avec des VLAN (car au total on n’aura que 2 interfaces physiques).\nOn s’intéresse donc à la configuration du pare feu nommé sur le schéma “RT1”.\nOn commence par configurer le protocole IP des interfaces :\n!--On met en route l’interface physique\n!--seule cette ligne est intéressante\n!--On crée la sous interface 0/0.20 et on dit qu’on va utiliser le protocole 802.1q et que les trames seront tagguées avec le numéro de VLAN 20\ndescription VERS ALL TELECOM\ndescription VERS LAN INTERNE\ndescription VERS DMZ MAIL\ndescription VERS DMZ WEB\ndescription VERS ORANGE\n!--Route par défaut vers Orange\n!--Route par défaut vers All Telecom\n!--On le configurera plus tard avec le policy based routing\n!--côté du serveur web on met inside\n!--côté de l’internet (Orange) on met outside\n!--Seul le port 80 du serveur web est translaté\nip nat inside source static tcp 192.168.50.2 80 100.0.0.1 80\ninterface FastEthernet0/0.40 ip nat inside\n!-- Par contre on met le port SMTP 25\nip nat inside source static tcp 192.168.40.2 25 100.0.0.1 25\n!-- Puis le port POP3 110\nip nat inside source static tcp 192.168.40.2 110 100.0.0.1 110\nMaintenant on va configurer la translation dynamique du LAN interne vers All Telecom\nRemarque : on pourrait aussi configurer une translation dynamique vers le WAN orange pour les flux autres que le web.\n!-L'interface LAN interne est "inside"


La Dovitch entre en piste - Actualité : creation (#802900)\nLa Dovitch entre en piste\nLa Dovitch a tout d'une aventure personnelle. Sa créatrice, Corine Moreau, a longtemps officié pour les autres, marques et magazines, mais cette fois-ci, c'est seule qu'elle se lance dans le grand bain de la mode. Enfin, pas tout à fait seule, puisqu'elle s'est associée dans cette aventure avec Natacha Comestaz, experte en matières et en fabrication. Sa marque, dont les premières pièces sont en cours de commercialisation, elle l'a d'abord pensée pour les femmes qu'elle côtoie.\nCollection automne-hiver 2017-18 - La Dovitch\nCe sont d'ailleurs les épaules de ses deux filles, mannequins, Luna et Pixie, qui portent les premières créations La Dovitch. Et c'est sur le nom de famille de son père que Corine Moreau a choisi de s'appuyer pour baptiser son projet, achevant de lui donner un caractère familial et personnel.\nGrâce à une première capsule pour le printemps-été 2017, non commercialisée, La Dovitch a pu préparer le terrain et convaincre fournisseurs et distributeurs. Elle est désormais représentée par les showrooms Filippini pour le lancement de sa première véritable collection commerciale de l'automne-hiver 2017-18, positionnée sur un segment haut de gamme (environ 150 euros pour un top et entre 250 et 300 euros pour un pantalon).\nUne ligne de 23 modèles (hors déclinaisons coloris) qui fait la part belle aux pièces « à dégaine ». Pantalons et gilets Prince de Galles s'associent à des jerseys fluides. Les vestes-capes en cuir et teddys signent une allure impertinente et parachèvent un look casual que Corine Moreau veut « nonchalamment chic ». Une collection au style affirmé qui a convaincu une vingtaine de revendeurs pour son lancement, parmi lesquels Lulli et Brand Bazar.\nRue Madame se lance en ligne


Ca y est, je me laisse encore tenter :o) Ca fait longtemps que je n’ai pas fait d’échange, euh si celui des cœurs sur Fil en scène que je doit envoyer lundi, mais bon c’est déjà prêt, alors je ne le compte plus. ;o) Marmottine propose sur son blog un...\nCette fois sur les blog de diesmal auf den Blogs von Claudine Domiprovence Tigwen Je ne sais pas quoi dire, merci les copinettes, ça me touche beaucoup :o) Ich weiss gar nicht was ich sagen soll, Danke Mädels, ich bin total gerührt :o)\nAprès avoir brodé le « Winter Vogel » de Mausimom , ici son petite camarade du printemps. Vous pouvez trouver cette grille sur son blog depuis la semaine dernière. Ca fait un moment que ce cadre vert traîne dans mon tiroir, enfin j’ai trouvé la grille...\nEncore trois nominations, je me sens très honorée. Ca fait chaud au cœur d’avoir autant de reconnaissance. ;o) Filouche, Marmottine et Mercédès m’ont mis dans leurs blogs préférées. Elles aiment les cœurs comme moi ;o) Les trois ont participé au défi...\nSpring Snapperland, semaine 3\nJ e suis contente de pouvoir dire que nous sommes au complet aujourd’hui. Plus ou moins avancée comme vous allez pouvoir constater, mais au moins tout le monde est là :o) Je ne vais pas faire un grand discours, ça va être l’heure pour manger ;o) Ici alors...\nVendredi nous avons fêté l’anniversaire de notre amie Arwenn. Comme des petits lutins nous avons travaillé en cachette tout au long du mois de janvier. Vous vous souvenez peut être du « chut » que je vous avez montré ;o) Aujourd’hui je peut vous dévoiler...\nAward et nomination\nJe suis très flattée, car depuis hier j’ai reçu un Award de la part de Schnuffelwolle et deux trois nominations pour la chaîne d’amitié de la part de Mathilde , Baiedeslunes et de Bleue :o)) Vous avez peut être déjà vu les logos sur d’autres blogs ce...\nMultitude de coeurs 13\nAprès une séance shopping avec ma fille, me voilà avec le nouveau cœur. C’est le numéro treize ! Didine m’as fait remarquer la semaine dernière, que j’avais annoncé seulement vingt cœurs au début du Sal ! Elle a commencé à douter d’elle quand elle a vu...


Une fuite dans la presse a révélé le programme du parti travailliste britannique une semaine avant sa publication officielle.\nLe chef du Parti travailliste, Jeremy Corbyn, est escorté par des policiers alors qu'il quitte Chatham House dans le centre de Londres le 12 mai 2017, après avoir prononcé un discours. DANIEL LEAL-OLIVAS/AFP\nAlors que doivent se tenir le 8 juin des élections législatives anticipées au Royaume-Uni, le programme du parti travailliste a fuité dans la presse une semaine avant sa parution officielle. Bien que l’origine ne soit pas encore connue, c’est un signe supplémentaire des difficultés rencontrées par son leader, Jeremy Corbyn, à maintenir l’unité du Labour.\nUn référendum en forme de plébiscite\nCette nouvelle déconvenue enfonce un peu plus le parti à l’approche des élections voulues par l’actuelle chef du gouvernement britannique, Theresa May, arrivée au poste de premier ministre suite à l’échec de David Cameron au référendum sur la sortie de l’Union Européenne.\nPour elle, cette élection est un moyen de renforcer sa légitimité avant les négociations décisives sur le Brexit. Les Tories n’ont jamais semblé aussi favoris dans les sondages, qui les créditent de près de vingt points de plus que les travaillistes, ce qui, dans le système britannique de vote par circonscription à un tour, laisse augurer d’une « chambre introuvable ».\nUn programme marqué à gauche…\nJeremy Corbyn fait le choix de présenter un programme en rupture avec l’orientation sociale libérale du parti travailliste depuis l’arrivée à sa tête de Tony Blair en 1994. Très à gauche, il promet pèle mêle une renationalisation totale des chemins de fers et de la poste, et partielle des secteurs de l’électricité et du gaz, des hausses d’impôts pour les plus riches, une augmentation du salaire des fonctionnaires et du budget de la santé, la gratuité de l’enseignement supérieur, le droit de vote à 16 ans et la restauration des droits des syndicats, fortement réduit pendant l’ère Thatcher dans les années 1980.\nÀ lire : Au Royaume-Uni, des élections locales à valeur de test\n…qui ne fait pas l’unanimité.\nCe programme qui confirme le déplacement du curseur vers la gauche du Labour, est loin de faire l’unanimité auprès des élus qui doutent des capacités de leur leader à diriger le parti et qui lui reprochent de ne pas avoir assez énergiquement défendu le « non » lors du référendum sur le Brexit.\nUn parti de gauche déchiré entre une tendance sociale libérale et une autre beaucoup plus à gauche ; un désaccord idéologique entre les élus et la base ; un candidat qui n’arrive plus à faire respecter la discipline et une déroute électorale annoncée : la situation actuelle des travaillistes en Grande-Bretagne n’est pas sans rappeler celle du Parti socialiste en France à la veille de l’élection présidentielle.


Laenen et Goset, deux OVNI à l’assaut des championnats d’Europe aux Pays-Bas - L'Avenir\nLaenen et Goset, deux OVNI à l’assaut des championnats d’Europe aux Pays-Bas\nPetits, dans le milieu, par la taille, mais grands par le talent, Louis Laenen et Thibault Goset se font un nom sur la planète beach-volley.\nPublié le 09-06-2022 à 06h00 - Mis à jour le 09-06-2022 à 10h47\nLouis Laenen et Thibault Goset ont répété leurs gammes ce week-end avant ces championnats d’Europe. ©Heymans\nSur le circuit, national, ou international, ils ne passent pas inaperçus. Louis Laenen et Thibault Goset, respectivement 1,88 et 1,81 mètres sont loin de tutoyer les sommets. Au niveau de leur taille en tout cas car leurs résultats sont en train de parler pour eux. Et ce, dans un monde où les meilleurs joueurs de la planète ne sont jamais très loin du double mètre. " On en souffre un peu , reconnaît le premier cité. Mais on compense avec des choix plus tactiques, plus réfléchis. On essaye que notre manque de taille ne se voit pas trop et on n’y arrive pas trop mal. " " On a créé un style de jeu qui nous est propre , embraye le Hervien. Nous n’avons pas du tout le même fonctionnement que les autres équipes. Cela nous rend uniques sur le circuit. "\nD’autant plus sur les tournois dans notre Royaume où ils sont souvent les deux seuls représentants du sud du pays. " En étant Wallons, les débuts ont été compliqués. Mais, grâce à nos résultats, on a gagné le respect des autres. Et on s’est affirmé parmi les meilleures équipes de Belgique ", abonde Thibault Goset.\nDes résultats tellement probants que la paire est passée en moins de trois ans des championnats de Belgique U18 au circuit mondial tout en prenant part à deux championnats d’Europe ainsi qu’à un Mondial. Et, dès ce jeudi, ils s’attaqueront à un nouvel Euro, celui réservé aux U22 et qui se déroulera chez nos voisins néerlandais. " Oui, on se sent prêt, mais également stressé car nous ne sommes pas dans les meilleures conditions. C’est une période difficile avec les examens. Mais, une fois qu’on y sera, ce sera pour gagner ", martèle, le regard motivé, Louis Laenen, rejoint par son partenaire. " Cette compétition, c’était l’objectif de notre saison. On a dû faire certains sacrifices pour se préparer au mieux. On a fait le maximum ."\nDix-septièmes l’an passé, les deux comparses espèrent bien franchir un palier pour cette édition 2022. " On rentre dans notre vraie catégorie d’âge. Et puis, nous avons énormément évolué. Faire mieux que cette 17eplace, on peut vraiment y penser ", motive Thibault Goset, qui a fêté ses 20 ans il y a un mois à peine. " Plusieurs équipes plus expérimentées ne sont plus là. Le niveau s’est un peu resserré. Mais on n’a aucune pression, nous n’avons rien à perdre , tempère le Waremmien. On y va avant tout pour s’amuser parce qu’on aime ça et que c’est notre passion Mais si on se donne sur le terrain, il n’y a pas de raison de ne pas aller loin. "\nPour cela, il faudra d’abord franchir le premier tour. Versés dans la poule H, Louis Laenen et Thibault Goset défieront dans un premier temps les Suisses ce jeudi à 16h. Ensuite, place aux affrontements face aux Tchèques, parmi les favoris du tournoi, et aux Estoniens, sortis des qualifications. Un groupe relevé, mais où les Belges doivent terminer parmi les trois premières places afin de poursuivre leur parcours. À suivre en direct sur leurs réseaux sociaux!


Plein de bonnes nouvelles et une page...\nBonsoir, Je viens vous annoncer un paquet de bonnes nouvelles ce soir !!! 1°) Je suis sélectionnée pour participer au second tour du tournoi sur le blog 52ruescrapcopines. Vous découvrirez la page que j'avais proposée pour le premier tour en bas de cet...\nCoucou, Tout d'abord, je vous remercie pour vos gentils messages concernant mon intégration à la DT Fanfreluches Design pour 6 mois. Cela me touche beaucoup, et je rougis presque en lisant vos commentaires ! Comme je vous l'avais dit, je me suis engagée...\nBonsoir ! J'avais prévu de vous montrer cette page demain, mais je n'aurai pas le temps, alors je prends les devants et je le fais ce soir ! Il s'agit de la page que j'ai soumise à Clémentine pour l'appel à DT de Fanfreluches Design (j'avais aussi fait...\nBonjour, J'espère que vous allez bien. Ici, le soleil brille, mais les vacances se terminent... Snif ! Je viens vous montrer une première création que j'ai faite pour essayer d'intégrer la DT de Fanfreluches Design (l'espoir est minime car ça se bouscule...\nBonjour, Voici une petite page colorée que j'ai faite pour une collègue/amie qui m'avait donné cette magnifique photo de son fils à scrapper. Avec une photo pareille, ce n'était pas très difficile de faire une jolie page, d'autant que j'ai utilisé des...\nUn p'tit carnet shabby\nBonjour, Cela fait quelques temps que ma maman me réclame un petit carnet pour noter ses listes de courses. C'est maintenant chose faite ! J'ai choisi de le faire dans un style shabby que j'affectionne particulièrement, et les fleurs Green Tara que j'ai...\nCoucou, Je vous montre aujourd'hui une petite boîte que j'avais réalisée pour l'appel à DT de la Malle aux Fleurs. Cette boîte contient quatre petits tiroirs dans lesquels peuvent être rangés des scrapbidules. Pour info, je n'ai pas inventé le modèle....\nMon quatrième blog candy...\nCoucou ! Je viens ce matin vous annoncer que j'organise mon quatrième blog candy... Le principe est simple : - pour celles et ceux qui ont un blog, vous relayez l'info sur votre blog, en mettant la photo du lot à gagner et le lien vers cet article ; -...


11h36 24 juin 2016\nL'accueil est vibratoire, avec des sensations aiguës et noires: des corps en rupture posés ça et là. Absorbés en intra-performances, plus en dedans qu'en représentation, au bord d'un contact intime avec nous spectateurs. Transition: ils convergent pour faire forme ensemble, créent des contours tremblants, genres brouillés. Les émotions fusent, mais creusées à revers, moins en langages articulés qu'en attitudes et manifestations brutes, la culture fragmentée en souvenirs. L'expression se réinvente. Des nudités surgissent, brusques et morcelées. Soutenues par des boucles musicales et des invitations murmurées, les séquences s'enchainent lancinantes. Peu à peu, je vois autrement, et peut-être au delà. La chorégraphie est poignante et rugueuse- elle ne ment pas- l'œuvre collective, furieuse et généreuse. Jusqu'à l'invitation à la danse.\nRéel Machine par le collectif corps collectif vu à Mains D’œuvres le 24/06/2016.\nphoto par Dominique Sécher avec l'aimable autorisation du collectif\nLien permanent Catégories : Breve Tags : mains d'oeuvres, performances, danse 0 commentaire\n17h31 02 avril 2016\nSelon le pari du festival un chorégraphe, un écrivain tentent la rencontre. Ici sur un mode de fiction amoureuse, chacun dans le personnage de sa fonction. Elle souveraine et féline, garde le contrôle, l'attire et le porte, le frôle et vole, mène le pas de deux. Moqueries caressantes, mais bienveillance en action. Lui fait le grand gauche, qui parle et saoule, s'étourdit de mots, agite Schopenhauer et Platon. Paroles, paroles: les gestes l'emportent. Le contact se joue drôlement entre toutes parties du corps, se prolonge en une joyeuse danse, emportée par la voix de Sam Cooke. La danse fait vivre plus longtemps.\nIt's a Match créé par Raphaëlle Delaunay et Sylvain Prudhomme pour le festival Concordan(s)es, vu au Colombier de Bagnolet le 25 mars 2016.\nProchaines représentation le 6 avril, à 15H à la bibliothèque André Malraux des Lilas , et à 19H au Centre National de la Danse (Pantin).\nLien permanent Catégories : Breve Tags : danse, concordan(s)e, raphaëlle delaunay, sylvain prudhomme 0 commentaire