IP Forwarding :

OS X :

Pour activer l’ip forwarding, il vous faudra utiliser la commande sysctl du terminal. Pour plus d’information sur cette commande, tappez man sysctl dans le terminal.

Pour activer l’ipforwarding, tappez dans le terminal(avec sudo, car cette modification nécessite les droits de root):

sudo sysctl -w net.inet.ip.forwarding=1
sudo sysctl -w net.inet.ip.fastforwarding=1

Pour désactiver l’ip forwarding, tappez dans le terminal:
sudo sysctl -w net.inet.ip.forwarding=0
sudo sysctl -w net.inet.ip.fastforwarding=0

Pour checker l’état de vos paramétres “ip forwarding”:
sysctl -a | grep -e ip.forwarding -e ip.fastforwarding
(Pour rappel, le caractère | se tappe en faisant alt+maj+l sur les claviers de macbook)

Linux :

Activer l’IP Forwarding on the fly par la commande :
echo 1 > /proc/sys/net/ipv4/ip_forward.
or
sysctl -w net.ipv4.ip_forward=1

Checker l’état :
cat /proc/sys/net/ipv4/ip_forward

Windows :

1. Start Registry Editor (Regedit.exe).
2. In Registry Editor, locate the following registry key:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
3. Set the following registry value:
Value Name: IPEnableRouter
Value type: REG_DWORD
Value Data: 1
A value of 1 enables TCP/IP forwarding for all network connections that are installed and used by this computer.
4. Quit Registry Editor.

ARP Spoofing : Flood ARP-REPLY rediriger le traffic

arpspoof -i eth0 -t



Countermeasures on Cisco Switches :

Dynamic ARP Inspection (DAI) :

# activate ARP inspection in global configuration
ip arp inspection vlan 1
#configure fa0/0 as trusted
interface fa 0/0
ip arp inspection trust
show ip arp inspection vlan 1
show ip arp inspection interfaces
show ip arp inspection statistics vlan 1

Port Security : Restric allowed MAC addresses on Cisco interfaces

#int fa0/0
#switchport host
#switchport port-security
#switchport port-security mac-address sticky
#switchport port-security maximum 1
#switchport port-security violation shutdown



Lien Cisco : VLAN Security White Paper

Engineered by a French guy (a big One in reality), Remis Despres (Transpac Inventor), it’s in my opinion the first interesting transition mechanism “a la” 6to4, really simple to understand, easy deploy, easy to maintain and easy to migrate on full IPv6.

6rd is deployed by Free for residential Internet access in France

But for operational implementation and entreprise deployement, the IETF has begun to work on http://tools.ietf.org/html/draft-ietf-softwire-ipv6-6rd-06

interface FastEthernet0/0
ipv6 address 2001:1::/64 eui-64
ipv6 enable
duplex full

ping :

ping ipv6 2001:1::C804:2FF:FE44:8

Lors d’un ping sur une adresse link-local, l’IOS demande l’interface de sortie

ping ipv6 FE80::C804:2FF:FE44:8
Output Interface : FastEthernet1/0

to be continued …

Format non-compressé :
2001:0001:0000:0000:C804:02FF:FE44:0008

Format compressé :
2001:1:::C804:02FF:FE44:8

Les préfix IPv6 sont codés sur 128 bits, et sont représentés par 8 champs de 16 bits en hexadécimal séparés par des “:”.

Une adresse IPv6 est formée selon la représentations suivantes des bits :
48 bits : Provider : Global Routing Prefix
16 bits : Site        : Site Level Aggregator : Subnet ID
64 bits : Host      : Interface ID : EUI-64 :

• 24 bits : (3octets) OUI Org Unique ID from MAC address
• 16 bits : Fixed at FFFE
• 24 bits : Last 3 octets of MAC address

IPv6, les types adresses possible :

Unicast address :
Adresse unique pour une interface d’un node.

• Global Unicast Address :

  ipv6 address 2001:1::C804:2FF:FE44:8/128

  EUI-64 pour la création de la partie interface ID de l’addresse IPv6

  ipv6 address 2001:1::/64 eui-64

  puis

  ipv6 unicast-routing

• Link-Local address :
  Adresse assignée automatiquement a une interface.
  Elle a un préfix de FE80::/8
  Elle peut néamoins etre assingée de facon statique

     ipv6 address FE80::C804:2FF:FE44:8 link-local

Anycast address :
Adresse unique pour un groupe de node
Un paquet envoyé à un adresse Anycast sera livré au node le plus proche (selon le protocol de routage utilisé).

 ipv6 address 2001:1:c804:2FF::/64 anycast

Multicast address :
Adresse qui à un préfix FF00::/8
Adresse qui appartient à plusieurs nodes
Un paquet envoyé a cette addresse sera remis à tout les nodes identifées avec cette adresse.
Cette adresse peut contenir un lifetime et un scope sur le 2eme byte (00) :

• Le 1er byte est le lifetime sur 4 bits : 0-permanent / 1-temporary
• Le second byte est le scope sur 4 bits : 1-node / 2-link / 5-site / 8-organisation / E-Global

Pour rejoindre un groupe multicast, les nodes doivent d’abord joindre :

• Un groupe multicast de scope link-local FF02::1
• Un groupe multicast de scope link-local FF02::2 - Uniquement pour les routeurs
• Un groupe multicast FF02::1:FF00::/104 pour chaque addresse unicast ou anycast a laquelle l’adresse multicast est assignée. Ce groupe est sollicité par les nodes.
  Par exemple pour l’adresse Multicast 2001:1:0:C804:2FF:FE44:8, l’adresse du groupe multicast à joindre sera : FF02::1:FF44:8

Le détail de la configuration des adresses Multicast sera discuté lors d’un prochain billet.

Mac OSX ne tient pas compte des RA (Routeur Advertisement) de la Freebox qui contiennent 2 champs ICMPv6 récurvise DNS Servers.

Il prend cependant bien en compte :

- Le préfix IPv6 de la connexion : 2a01:e35:2ee8:e540::/64, qui une fois concaténé à mon @MAC donnera mon @ Globale IPv6

- La MTU : 1480 (que ca ?)

- Link Layer address : @MAC de la Freebox nécéssaire pour que ma machine connaisse sa gateway (Fe80::x:x:x:x)

- OSX créer aussi bien sa Link Local address (Fe80::+mon@MAC)

Apple ne respecte donc pas la RFC 2462 sur les Routers Advertissements !

Les Serveurs DNS IPv6 de Free (Freebox) sont 2a01:e00::1 & 2a01:e00::2 à rajouter dans le résolv.conf ou la fenetre de config DNS de votre interface préférée.

Liens : http://tsennyipa.livejournal.com/3347.html

•Inside Global (IG)—The IP address of a host within an enterprise, as it appears in the Internet. These addresses are allocated from a globally-unique address space, typically provided by the ISP.

•Outside Local (OL)—The IP address of a host outside an enterprise as it appears within the enterprise. These addresses can be allocated from the RFC 1918 space if desired.

•Outside Global (OG)—The IP address of a host outside the enterprise, as it appears in the Internet. These addresses are allocated from a globally-unique address space.

DS210j

Le père Noel est passé et m’a offert un NAS de marque SYNOLOGY de 2×2 To ! (sont fort ses chinois quand même )

Monté en RAID 1 ext3 (mirroring de 2To), je preserve ainsi mes data d’une bete perte du au disque dur qui flanche … Mais le NAS va BEAUCOUP plus loin !

L’OS basé sur une busybox et équipé d’un proc ARM cadencé à 800 MHz et 128 Mo de RAM. Le Software de Management HTTP est basé sur FreeNAS ou grandement inspiré. J’ai meme recu une copie papier de la GPL dans le carton de livraison c’est vous dire … y sont fort ces chinois !!

De consommation réduite, 10/25w max, il peut aussi faire :
- DLNA/UPNP & iTunes server, Audio Station (avec des enceintes USB)
- Photo Station et CCTV (IP Webcams)
- FTP/NFS/SMB(CIFS)/AFP Server
- iSCSI (pratique pour le stockage de VMs)
- SNMP, Telnet, SSH, print server
- Backup : iTimeCapsule like (for my Mac) / DataBackup PC
- Apache, MySQL, PHP server
- 2 applis Iphone pour controller la musique et les photos sans fil (Wifi/3G)
- Download Station : FTP/HTTP/BT/Emule/NBZ downloader (à base de wget, rtorrent, sabnz …)
- De la sécurité iptable de base, du TLS/SSL sur HTTP et FTP
- Le support de Jumbo Frame jusqu’a 9 000 bytes, à condition d’être en Gigabits sur du CAT6
- et tout un monde de “modders” proposant des extensions tel Postfix, OpenVPN, Asterisk, Radius…

Bref un vrai petit serveur Linux suffisant pour un petit serveur multimédia dans tout son sens …

Le but étant de :

Ne pas perdre de données : RAID 1 s’impose avec EXT3 (journalisation)
D’avoir les données disponible entre plusieurs OS, plusieurs machines : CIFS/AFP/FTP/HTTP
Avoir les données disponibles de l’extérieur de facon sécurisée : SSH tunneling, SFTP, HTTPS
Ne pas trop consommer : 10/25 Watts
Silencieux : 24Db(A)
En faire une station de téléchargement distante : le mode Download Station via HTTPS convient parfaitement
Pouvoir y mettre de la musique, voir mes séries et films : DLNA/UPNP & Itunes server do the job.
Backup : TimeCapsule like sur un disque dur externe branché en USB.
D’oublier ce serveur : sa taille et son poid me permette de le planquer dans un coin (avec un onduleur et un Kensington Lock).

Mais le “modding” me tente sur 3 points :

- Proxying : TinyProxy (+SSHTunneling) : pour bypasser les proxys récalcitrants
- OpenVPN : pour bypasser les autres proxys récalcitrants
- SIP/IAX : Asterisk, OpenSER, OpenSIPs : VoIP wherever whenever I want & I’m & I’ll be … ([PUB] en passant par Free en sortie).

Bref, je sens que je ne vais pas m’ennuyer … affaire à suivre … quand j’aurais du temps …

… Je prend le prochain avec avec 4 disques en RAID5 juste pour les VMs … mais pas avant à Noel prochain

Tout est la : SYNOLOGY DS210j SPECS / FORUM / MODDERS

Et voila nous y voila, le cap des 30 piges est arrivé !

C’est l’occasion de faire un bilan perso et une reflexion approfondie …

Après 3 secondes d’intense reflexion : Bilan :

Life is short, stay free, follow your instinct, respect the nature, don’t forget where you come from, smell the wind, look toward the sea and the mountaintops … and keep on going …