Comprendre l'adressage IPv6
Fermé
lobo
-
8 juin 2011 à 17:11
brupala Messages postés 110704 Date d'inscription lundi 16 juillet 2001 Statut Membre Dernière intervention 23 décembre 2024 - 12 nov. 2011 à 19:57
brupala Messages postés 110704 Date d'inscription lundi 16 juillet 2001 Statut Membre Dernière intervention 23 décembre 2024 - 12 nov. 2011 à 19:57
A voir également:
- Adresse ipv6 temporaire
- Darkino nouvelle adresse - Guide
- Rechercher ou entrer l'adresse - Guide
- Darkino : le grand site pirate change d'adresse et d'interface - Accueil - Services en ligne
- Adresse mac - Guide
- Créer une adresse hotmail - Guide
10 réponses
cocoche95
Messages postés
1134
Date d'inscription
jeudi 29 juillet 2004
Statut
Contributeur
Dernière intervention
27 novembre 2019
543
8 juin 2011 à 22:33
8 juin 2011 à 22:33
En fait, une IPv6 est générée à partir de l'adresse MAC de ta carte réseau (c'est l'adresse IPv6 normale). Cependant, c'est pas très anonyme et cela peut être très dangereux.
Donc, pour remédier au problème, on te génère une seconde IPv6 dite temporaire mais sur la base d'un aléa et non de ton adresse MAC. Cette IPv6 temporaire est un alias de ton IPv6 définitive (et oui, l'adresse MAC de ta carte réseau ne va pas changer) !!
Donc, pour remédier au problème, on te génère une seconde IPv6 dite temporaire mais sur la base d'un aléa et non de ton adresse MAC. Cette IPv6 temporaire est un alias de ton IPv6 définitive (et oui, l'adresse MAC de ta carte réseau ne va pas changer) !!
brupala
Messages postés
110704
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 décembre 2024
13 873
8 juin 2011 à 23:16
8 juin 2011 à 23:16
Salut,
la réponse de cocoche est exacte, juste pour préciser:
en fait il y a une première adresse publique générée automatiquement par la stateless configuration , basée sur le préfixe /64 annoncé par le routeur (la freebox) et l'EUI64 donc plus ou moins l'adresse mac.
A côté de ça via le mécanisme de ipv6-privacy (s'il est validé) crée des adreese ip aléatoires avec le même préfixe /64 du routeur , mais 64 autres bits tirés presque tous au hasard et générent une adresse ipv6 variable et renouvelable par périodes configurables de l'ordre de 1 ou 2 jours.
Mais tu peux aussi configurer une ou des adresses manuellement (par netsh sous windows) toutes seront valables simultanément, pendant une période définie.
une étant la préférée et utilisée par défaut comme source.
la réponse de cocoche est exacte, juste pour préciser:
en fait il y a une première adresse publique générée automatiquement par la stateless configuration , basée sur le préfixe /64 annoncé par le routeur (la freebox) et l'EUI64 donc plus ou moins l'adresse mac.
A côté de ça via le mécanisme de ipv6-privacy (s'il est validé) crée des adreese ip aléatoires avec le même préfixe /64 du routeur , mais 64 autres bits tirés presque tous au hasard et générent une adresse ipv6 variable et renouvelable par périodes configurables de l'ordre de 1 ou 2 jours.
Mais tu peux aussi configurer une ou des adresses manuellement (par netsh sous windows) toutes seront valables simultanément, pendant une période définie.
une étant la préférée et utilisée par défaut comme source.
Merci pour ces réponses.
Je comprends mieux l'apparition de ces 2 adresses. En revanche, quelle est leur utilité ?
Comme je disais précédemment, celle qui ressort finalement elle la ipv6 temporaire ? Dans quel but ce sert-on de l'une ou de l'autre ?
Merci encore
Je comprends mieux l'apparition de ces 2 adresses. En revanche, quelle est leur utilité ?
Comme je disais précédemment, celle qui ressort finalement elle la ipv6 temporaire ? Dans quel but ce sert-on de l'une ou de l'autre ?
Merci encore
brupala
Messages postés
110704
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 décembre 2024
13 873
Modifié par brupala le 9/06/2011 à 09:25
Modifié par brupala le 9/06/2011 à 09:25
Cela permet de conserver un certain anonymat sur internet:
http://www.colorconsole.de/cmd/fr/Windows_7/netsh/interface/ipv6/set/privacy.htm
avec une adresse ip qui change tous les jours environ, mais d'être facilement joignable avec une (des) autre toujours valable.
si tu fais netsh set privacy disable, tu n'auras toujours que ton adresse stateless et une fixe si tu en configures une fixe.
http://www.colorconsole.de/cmd/fr/Windows_7/netsh/interface/ipv6/set/privacy.htm
avec une adresse ip qui change tous les jours environ, mais d'être facilement joignable avec une (des) autre toujours valable.
si tu fais netsh set privacy disable, tu n'auras toujours que ton adresse stateless et une fixe si tu en configures une fixe.
Ok. Ce qui corrobore un peu ce que j'avais vu sur une adresse ipv6 variable pour une utilisation cliente et une fixe pour une utilisation serveur.
Merci pour ces précisions.
Merci pour ces précisions.
brupala
Messages postés
110704
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 décembre 2024
13 873
9 juin 2011 à 10:37
9 juin 2011 à 10:37
Tout à fait.
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
Bonjour,
J'ai constaté qu'on a toujours deux adresses globales (dont une est qualifiée de temporaire) même si on désactive la génération aléatoire des identifiants d'interface en faisant "netsh int ipv6 set global randomizeidentifiers=false"
Plus précisement, les identifiants de mes deux adresses globales sont aléatoires !
Maintenant, lorsqu'on réactive la privacy extention, on obtient une adresse dont l'ID est généré aléatoire et une autre adresse temporaire qui est aussi aléatoire.
Aussi, dans les deux cas, c'est l'adresse temporaire qui s'affiche lorsqu'on teste l'adresse IPV6 avec www.myipv6.com par exemple. Je l'ai vérifié aussi via wireshark en pinguant ipv6.google.com
Pourriez - vous me confirmez svp que l'adresse temporaire est utilisé par les appli clientes alors que l'autres est utilisé par les serveurs ? Aussi, pourrirez me dire l'utilité de faire les choses comme ça ?
D'avance merci
Sara
J'ai constaté qu'on a toujours deux adresses globales (dont une est qualifiée de temporaire) même si on désactive la génération aléatoire des identifiants d'interface en faisant "netsh int ipv6 set global randomizeidentifiers=false"
Plus précisement, les identifiants de mes deux adresses globales sont aléatoires !
Maintenant, lorsqu'on réactive la privacy extention, on obtient une adresse dont l'ID est généré aléatoire et une autre adresse temporaire qui est aussi aléatoire.
Aussi, dans les deux cas, c'est l'adresse temporaire qui s'affiche lorsqu'on teste l'adresse IPV6 avec www.myipv6.com par exemple. Je l'ai vérifié aussi via wireshark en pinguant ipv6.google.com
Pourriez - vous me confirmez svp que l'adresse temporaire est utilisé par les appli clientes alors que l'autres est utilisé par les serveurs ? Aussi, pourrirez me dire l'utilité de faire les choses comme ça ?
D'avance merci
Sara
brupala
Messages postés
110704
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 décembre 2024
13 873
10 nov. 2011 à 10:46
10 nov. 2011 à 10:46
Salut,
en fait, il y a en permanence plusieurs adresses, c'est l'adresse préférée qui est utilisée comme adresse source pour les nouvelles connexions sortantes, mais toutes les autres sont valables en adresse destination sur les connexions entrantes.
par contre,
je ne vois pas ta commande netshell là dedans où l'as tu prise ?
en fait, il y a en permanence plusieurs adresses, c'est l'adresse préférée qui est utilisée comme adresse source pour les nouvelles connexions sortantes, mais toutes les autres sont valables en adresse destination sur les connexions entrantes.
par contre,
je ne vois pas ta commande netshell là dedans où l'as tu prise ?
Salut,
C'est une commande qui existe sous vista (et sous seven) mais pas sous xp à ma connaissance.
Les deux adresses globales s'affichent "préférée" (aucune n'est dépréciéé).
Il ne me semble pas que c'est une question de durée de vie !
C'est une commande qui existe sous vista (et sous seven) mais pas sous xp à ma connaissance.
Les deux adresses globales s'affichent "préférée" (aucune n'est dépréciéé).
Il ne me semble pas que c'est une question de durée de vie !
brupala
Messages postés
110704
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 décembre 2024
13 873
10 nov. 2011 à 18:25
10 nov. 2011 à 18:25
Et netsh interface ipv6 show address
indique bien quelles adresses sont dépréciées et préférées ?
indique bien quelles adresses sont dépréciées et préférées ?
Salut,
OUI, elle affiche les deux comme adresses préférées
OUI, elle affiche les deux comme adresses préférées
brupala
Messages postés
110704
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 décembre 2024
13 873
11 nov. 2011 à 16:51
11 nov. 2011 à 16:51
Sur la même interface ?
alors l'une des deux est l'adresse générée par l'autoconfiguration , pas une adresse générée aléatoirement ...
alors l'une des deux est l'adresse générée par l'autoconfiguration , pas une adresse générée aléatoirement ...
OUI, c'est sur la même interface.
Je crois que la génération aléatoire fait partie aussi de l'autoconfiguration non ?
Je crois que la génération aléatoire fait partie aussi de l'autoconfiguration non ?
brupala
Messages postés
110704
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 décembre 2024
13 873
11 nov. 2011 à 18:26
11 nov. 2011 à 18:26
la génération aléatoire fait partie aussi de l'autoconfiguration non ?
je ne crois pas,
sur ce que je sais, la génération aléatoire de l'identifiant d'interface intervient quand on n'a pas d'adresse mac sur cette interface, donc impossibilité de construire un EUI64, et qu'aucune autre adresse d'interface n'est présente.
Mais si une adresse mac est présente, l' auto configuration va dériver l'identifiant de l'adresse mac systématiquement.
Ces identifiants générés au hasard ont toujours le bit U à 0.
http://livre.g6.asso.fr/index.php/Identifiant_d%27interface
je ne crois pas,
sur ce que je sais, la génération aléatoire de l'identifiant d'interface intervient quand on n'a pas d'adresse mac sur cette interface, donc impossibilité de construire un EUI64, et qu'aucune autre adresse d'interface n'est présente.
Mais si une adresse mac est présente, l' auto configuration va dériver l'identifiant de l'adresse mac systématiquement.
Ces identifiants générés au hasard ont toujours le bit U à 0.
http://livre.g6.asso.fr/index.php/Identifiant_d%27interface
Bonsoir,
A ma connaissances, on peut l'utilier même lorqu'on a une adresse mac afin de cacher cette dernière (protection de la vie privée).
Voir la RFC liée à la 'privacy extension" : http://tools.ietf.org/html/rfc4941
Sous Windows vista, les ID sont d'ailleurs générés aléatoirement contrairement à Debian.
Ceci dit, on peut modifier les choses dans les deux SE. Dans le premier cas, on utulise la commande "netsh int ipv6 set global randomizeidentifiers=enabled (disabled).
Dans Debian, pour activer la génération automatique, on modifie le fichier /etc/sysctl.con en rajoutant la ligne
net.ipv6.conf.eth0.use_tempaddr = 2
Pour la désactiver, on met net.ipv6.conf.eth0.use_tempaddr = 0
Une dernière remarque, dans linux, ça s'applique aux adresses globales et non pas aux adresses de lien local. Sous Vista, ça se fait pour le deux (bien qu'il ne soit pas vraiment intéressant de cacher l'ID mac en local)
A ma connaissances, on peut l'utilier même lorqu'on a une adresse mac afin de cacher cette dernière (protection de la vie privée).
Voir la RFC liée à la 'privacy extension" : http://tools.ietf.org/html/rfc4941
Sous Windows vista, les ID sont d'ailleurs générés aléatoirement contrairement à Debian.
Ceci dit, on peut modifier les choses dans les deux SE. Dans le premier cas, on utulise la commande "netsh int ipv6 set global randomizeidentifiers=enabled (disabled).
Dans Debian, pour activer la génération automatique, on modifie le fichier /etc/sysctl.con en rajoutant la ligne
net.ipv6.conf.eth0.use_tempaddr = 2
Pour la désactiver, on met net.ipv6.conf.eth0.use_tempaddr = 0
Une dernière remarque, dans linux, ça s'applique aux adresses globales et non pas aux adresses de lien local. Sous Vista, ça se fait pour le deux (bien qu'il ne soit pas vraiment intéressant de cacher l'ID mac en local)
brupala
Messages postés
110704
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 décembre 2024
13 873
11 nov. 2011 à 18:45
11 nov. 2011 à 18:45
oui,
mais les privacy extensions ne remplacent pas l'autoconfiguration stateless, c'est un complément.
mais les privacy extensions ne remplacent pas l'autoconfiguration stateless, c'est un complément.
Bonjour,
Merci pour la clarification.
Donc finalement, pour activer et désactiver la privacy extension, on applique plutot la commande windows
netsh int ipv6 set privacy=enabled(disabled)
Moi, je connaissais uniquement
netsh int ipv6 set global random=enabled (disabled) qui génère tous les id aléatoirement et aucun à partir de l'adresse mac.
Merci encore.
Merci pour la clarification.
Donc finalement, pour activer et désactiver la privacy extension, on applique plutot la commande windows
netsh int ipv6 set privacy=enabled(disabled)
Moi, je connaissais uniquement
netsh int ipv6 set global random=enabled (disabled) qui génère tous les id aléatoirement et aucun à partir de l'adresse mac.
Merci encore.
slt
netsh int ipv6 set privacy state=enabled (ou disabled)
Commandes Netsh pour l'interface IPv6 :
http://technet.microsoft.com/fr-fr/library/cc740203(WS.10).aspx#BKMK_25
Si on active les 2 commandes, est-ce comme une ip réglées non fixe ou pas ? Problèmes ?
Dans un réseau local fixe, ça pose quoi comme problèmes s'il vous plaît (à qui veut/sait) ?
On va laisser des trous béants de sécurités avec l'IPv6 (déjà que avec l'IPv4) ...
merci
netsh int ipv6 set privacy state=enabled (ou disabled)
Commandes Netsh pour l'interface IPv6 :
http://technet.microsoft.com/fr-fr/library/cc740203(WS.10).aspx#BKMK_25
Si on active les 2 commandes, est-ce comme une ip réglées non fixe ou pas ? Problèmes ?
Dans un réseau local fixe, ça pose quoi comme problèmes s'il vous plaît (à qui veut/sait) ?
On va laisser des trous béants de sécurités avec l'IPv6 (déjà que avec l'IPv4) ...
merci
brupala
Messages postés
110704
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 décembre 2024
13 873
12 nov. 2011 à 09:31
12 nov. 2011 à 09:31
ou ça des trous de sécurité ?
a part pour ceux qui utilisent nat dynamique comme firewall, il n'y a rien de pire qu'avant.
Il ne faut pas oublier que les adresses ipv6 sont multiples sur une interface.
Le plus gros problème est lié à l'autoconfiguration:
n'importe quelle machine peut venir annoncer un préfixe réseau et détourner le traffic, mais c'est valable aussi en ipv4 quand on vient poser un serveur dhcp parasite.
a part pour ceux qui utilisent nat dynamique comme firewall, il n'y a rien de pire qu'avant.
Il ne faut pas oublier que les adresses ipv6 sont multiples sur une interface.
Le plus gros problème est lié à l'autoconfiguration:
n'importe quelle machine peut venir annoncer un préfixe réseau et détourner le traffic, mais c'est valable aussi en ipv4 quand on vient poser un serveur dhcp parasite.
re
Avec l'IPv4, sur ma box (+ou- peu importe les modèles), j'ai :
l'adresse mac de mon pc
l'adresse ip de mon pc verrouillée avec l'adresse mac
la redirection des ports avec nat, upnp ou dmz (une seule ip)
Cela m'a l'air relativement très simple à comprendre et à utiliser / configurer.
Maintenant avec l'IPv6, c'est pas du tout comme cela (?), sans compter que pour mémoriser une IPv6 ou identifier qu'il y a une erreur d'IP avec une IPv6, il faut se lever tôt. Avec l'IPv6, est-ce que mon pc est relié directement au web ? Pas de ports bloqués (*pas de nat*) ? ...
Avec l'IPv4, sur ma box (+ou- peu importe les modèles), j'ai :
l'adresse mac de mon pc
l'adresse ip de mon pc verrouillée avec l'adresse mac
la redirection des ports avec nat, upnp ou dmz (une seule ip)
Cela m'a l'air relativement très simple à comprendre et à utiliser / configurer.
Maintenant avec l'IPv6, c'est pas du tout comme cela (?), sans compter que pour mémoriser une IPv6 ou identifier qu'il y a une erreur d'IP avec une IPv6, il faut se lever tôt. Avec l'IPv6, est-ce que mon pc est relié directement au web ? Pas de ports bloqués (*pas de nat*) ? ...
brupala
Messages postés
110704
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 décembre 2024
13 873
12 nov. 2011 à 19:57
12 nov. 2011 à 19:57
La NAT dynamique est bien plus une limitation qu'un avantage:
partage des ports par toutes les machines derrière un nat:si un port est utilisé par une machine, il ne peut plus l'être par les autres
Gros problèmes avec ipsec, ftps ou sip par exemple: obligé de recourir à des sites extérieurs pour établir des connexions.
Upnp est une vérole incontrolable car il ouvre des ports sans que personne ne le sache.
Il est clair que les routeurs et box en ipv6 doivent intégrer des fonctions firewall afin de limiter les accès extérieurs ainsi qu'un système dns pour le réseau local pour éviter de mémoriser des adresses longues à écrire pour l'humain.
Mais ipv6 a tout de même un avantage de taille en termes de sécurité: le grand nombre d'adresses dans le réseau local qui fait qu'un scan des adresses ip qui va prendre quelques secondes pour un /24 sur ipv4 (254 adresses) va prendre quelques années pour les 64 milliards de milliards de combinaisons possibles au minimum sur un /64 ipv6.
Beaucoup moins si on scane sur les adresses des groupes neighboor sollicitation (16 millions de combinaisons) mais ça n'est possible qu'en local.
De quoi décourager pas mal de pirates quand même.
partage des ports par toutes les machines derrière un nat:si un port est utilisé par une machine, il ne peut plus l'être par les autres
Gros problèmes avec ipsec, ftps ou sip par exemple: obligé de recourir à des sites extérieurs pour établir des connexions.
Upnp est une vérole incontrolable car il ouvre des ports sans que personne ne le sache.
Il est clair que les routeurs et box en ipv6 doivent intégrer des fonctions firewall afin de limiter les accès extérieurs ainsi qu'un système dns pour le réseau local pour éviter de mémoriser des adresses longues à écrire pour l'humain.
Mais ipv6 a tout de même un avantage de taille en termes de sécurité: le grand nombre d'adresses dans le réseau local qui fait qu'un scan des adresses ip qui va prendre quelques secondes pour un /24 sur ipv4 (254 adresses) va prendre quelques années pour les 64 milliards de milliards de combinaisons possibles au minimum sur un /64 ipv6.
Beaucoup moins si on scane sur les adresses des groupes neighboor sollicitation (16 millions de combinaisons) mais ça n'est possible qu'en local.
De quoi décourager pas mal de pirates quand même.