Wiki IPv6

Histoire d’aggreger la connaissance … quand j’ai le temps de le remplir …

J’aimerais y parler de :

• IPv6 :
• Méthodes de translation IPv4 / IPv6 : NAT-PT, NATPT-PT, TRT, SIIT, ..
• Méthodes de tunneling IPv4 / IPv6 : 6rd (Free l’a implémenté sur son réseau et ses freebox), 6in4,6to4, 6over4, ISATAP, TEREDO, GRE, …
• MIPv6 : Mobilie IPv6, simple mais pas très performant en cas de changement fréquent de point d’acces …
• NEMO : Network Mobility ou la mobilité V6 appliqué a un groupe de réseaux mobiles …
• Route Optimisation : 2 approches sur JNEMO : CRON (via des Correspondant Router) et Global HAHA (Home Agent to Home Agent communication (for updating))
• SHIM6 : Couche de niveau 3,5 entre la couche réseau et transport qui permet une certaine mobilité sans les problématiques non résolues de MIPv6 sur le routage triangulaire et la route optimisation.
• HIP : un protocole qui se rapproche de Shim6, mais bien plus orienté sécurité et identification des peers…
• BIS & BIA : Bump in the Stack et Bump in the API, ou comment ajouter une couche de translation IPv6 à vos vieilles applications IPv4

ca fait bcp de ligne tout ca …

Pour plonger en France, il faut, en dehors du matériel, une licence mais pas seulement …

La Licence FFESSM :
LICENCE “ADULTE” (à partir de 16 ans)(1) 35,55 €
Sur cette somme, une ristourne du montant suivant est attribuée à chaque Comité Interrégional ou régional
et ventilée comme suit : Comité interrégional ou régional 10,70 €
Comité départemental 2,80 €

il existe aussi une licence passager qui coute 37,55 euros

Mais voila ce que permet cette licence FFESSM :
- De bénéficier de tout plein de réductions commerciales que personne n’a jamais vu !
- De pouvoir participer aux manifestations organisées par la FFESSM, sa sous entend quoi, que si t’a pas ta carte, ben tu peux pas y participer, serait-ce un club fermé ?
- Tout un tas de conneries dont le plongeur moyen se fou éperduement, car son intêret est ailleurs : PLONGER
- De bénéficier d’un des meilleurs contrats d’assurance en matière de plongée, valable dans le monde entier et dans toutes vos activités subaquatiques, en club ou en famille (responsabilité civile, protection juridique, assurance individuelle, assurance rapatriement).

Cette dernière ligne est particulièrement intéressante car elle concerne directement le plongeur et sa santé … mais regardons de plus près les conditions :
C’est donc un super contrat mondial qui couvre : la responsabilité civile, la protection juridique, l’assurance individuelle et l’assurance rapatriement. Selon les tarifs cette licence coute 35,55€ à l’année.

En cliquant sur le lien Assurance-FFESSM sur le site de la FFESSM, je me trouve redirigé sur un site commercial : http://www.cabinet-lafont.com/.

Premier problème : La Fédération Française est la fédération qui a reçu du Ministère des sports délégation pour la discipline des sports sous-marins. Comment se fait elle qu’elle ai un lien direct avec une compagnie d’assurance privée directement depuis sont site institutionnel ? De plus elle que ce lien direct, obligeant donc la souscription à cette unique assurance, donc nous n’avons pas le choix !
Certes, on pourra rétorquer que les tarifs sont négociés et que l’offre d’assurance se doit d’être identique chez tout les hypothétiques compagnies. Cependant imaginer un peu que l’on fasse cela sur avec votre licence de conducteur (le permis de conduire) et que votre préfecture vous oblige à passer par une seule compagnie pour vous assurer !!!

Second problème : Sur le site http://www.cabinet-lafont.com/ on nous précise avant l’inscription en ligne que :
“Du seul fait de votre licence vous bénéficiez de la garantie “Responsabilité Civile”, qui vous couvre contre les conséquences financières que vous pourriez être amené à connaître, dans la pratique des activités reconnues par la FFESSM, si vous causiez un dommage à AUTRUI et que vous en étiez déclaré responsable, ainsi que la garantie de protection juridique.”

On est donc loin de ce que dit le site de la FFESSM !!!!! Et on n’est donc pas couvert en cas d’accident à notre propre personne : Les problèmes de décompression et d’utilisation d’un caisson hyperbare ne rentre donc pas dans le contrat !!!!!!

Pour pouvoir être assuré individuellement il faut donc contracter l’assurance individuelle et l’assurance rapatriement en supplément ! Ah !! Il faut donc ajouter à la licence qui ne couvre que la “responsabilité civile” de 35,55€, un montant supplémentaire qui correspond à vos moyens financier suivant la protection que vous souhaiter, limité à la France ou internationale avec des montant allant de 17€ pour le strict minimum à 75 euros pour la version luxe internationale. Ce qui monte déjà la facture à 52 euros à l’année juste pour être couvert du minimum en ne plongeant qu’en France !

De plus si vous plonger entre amis, vous ne serez pas couvert ! En fait vous n’êtes couvert si vous passer par une structure, à moins de recréer entre amis les conditions d’une structure et de respecter les protocoles (un niveau X encadrant des niveaux X-1, …)

Personnellement, je préférerais que l’assurance individuelle soit obligatoire, mais que la responsabilité civile soit facultative, car les accidents causé a autrui sont rare en plongée et que de plus je bénéficie déja d’une responsabilité civile par mon assurance personnelle.

Pour conclure : PENSER à prendre une assurance individuelle en plus de la licence si vous êtes Pro FFESM.

Personnellement, j’ai choisi sur les conseils d’un amis : DAN

Le choix DAN : http://www.daneurope.org

DAN Europe (Divers Alert Network Europe) est une organisation médicale et de recherche internationale à but non lucratif dédiée à la sécurité et à la santé des plongeurs sportifs et de loisir. DAN fournit des avis médicaux et une assistance d’urgence en cas d’accident de plongée et œuvre à la prévention des lésions et à la promotion de la sécurité de la plongée.

Sources : http://www.ffessm.fr/ffessm/pdf/saison_2009_2010/tarifs_2009_2010.pdf
http://www.ffessm.fr/ffessm/licence_ffessm.asp
http://www.cabinet-lafont.com/assistance/adherent_souscription_0.asp?adherent=licencie
http://www.cabinet-lafont.com/accueil/Tarifs_saison_2009_2010.pdf
http://www.daneurope.org

J’ai du m’arreter là, forcé et contraint … mon FAI, Free, ne me laissant pas être maitre de mon rDNS (recursive) IPv6 (le PTR pour ceux à qui ca parle mieux) …

Je peut le faire pour l’adresse IPv4 publique de ma freebox, mais rien pour les adresses Unicast Global IPv6 …

Et je me vois mal appeler la hotline technique de free pour leur demander :

“Heu Bonjour, par harzard vous pourriez pas faire pointer le PTR IPv6 de la machine 2a035:xxx::81ae vers la FQDN xxx.mondomaine.com”

Je crois qu’ils ne comprendraient pas ….

A ce propos, avez vous déja essayer d’appeler la hotline technique de votre présent/futur FAI pour lui demander si il supporte l’IPv6 … c’est étonnant les réponses que l’on nous donne tant que l’on fournis son numéro de carte de crédit.

Cisco Linksys WRT54G

Il y a quelques temps, j’ai craqué pour un excellent router SOHO : WRT54G. Acheté sur Ebay pour une 40aine d’euros, ce router est capable - apres remplacement du firmware linux d’origine, par un autre : DD-WRT - de vous rendre des services d’un routeur qui couterait plutot dans 400 euros !!

Ce router, en version 2.2, fonctionne donc sous linux et je lui ai colé un firmware DD-WRT v24-SP2, le modele mini, car je n’ai pas besoins de toutes les fonctions avancées proposées, mais j’ai surtout besoin d’un petit espace sur la flash pour y placer un module intéréssant, omis lors de la compilation du firmware DD-WRT : le module brouter !

Un brouter c’est quoi ?

C’est un router et un bridge : Bridge+Router = BRouter

Pourquoi faire, un brouter ?

Dans un premier temps pour ajouter des fonctionnalitées à mon home IPv4 network, en ajoutant de la QOS sur certains service (SIP par exemple).

Mais aussi pour controler, monitorer ce qui s’échange entre mon interface WAN de mon wrt54g et ma freebox (toujours en mode router elle aussi, le mode bridge n’apporte rien pour moi dans ce cas …)

Mais pour le moment je me concentre surtout sur le bridging pour la connectivité IPv6.

Free (mon ISP) ne donne rien d’autre qu’un /64 pour un seul segment de réseau, hors la je ne suis plus directement derriere ma box, mais derriere mon brouteur, et il n’y a plus de NAT en IPv6. Nous allons donc utiliser le bridging pour faire passer les packets IPv6 de part et d’autre du brouter.

Une fois notre brouter dans la bonne version de firmware DD-WRT : v24-SP2 “mini”, j’active le serveur SSH, et j’active JFFS qui me permet d’utiliser une partie de la flash comme zone de stockage pour le module ebtable_broute.o qui manque.

Je me connecte a mon brouter : ssh root@192.168.1.1

cd /jffs

wget http://vibe.ipv6.free.fr/ebtable_broute.o

Nous allons maintenant charger ce module en mémoire :

insmod ebtables
insmod /jffs/ebtable_broute.o

Sur le bridge existant du coté des interfaces LAN et wireless :
Ce bridge br0 leur permet de communiquer entre elles. Je vais cependant rajouter l’interface Vlan1 (WAN port) au br0 afin que toutes les 3 puissent disctuter entre elles. Mais j’ajoute aussi une regle ebtable qui dropera du bridge tout ce qui n’est pas IPv6, le laissant ainsi traité par les couches de routage classique.

brctl addif br0 vlan1
ebtables -t broute -A BROUTING -i vlan1 -p ! ipv6 -j DROP

Maintenant nous allons réaliser un Startup Script afin que cette config soit chargée au démarage du brouter :

Créer un fichier : brouteripv6.startup, y copier coller les 4 dernières lignes de commandes

Uploader ce fichier via SCP par exemple dans /jffs/etc/config

chmod 700 brouteripv6.startup

Vous devriez maintenant recevoir une IPv6 sur votre interface PC connecté au WRT54G. D’autres problèmes son présent (comme par exemple les RA qui contienne les DNS du segment, mais qu’aucun OS n’en tiens compte à ce jour.

Sources :

http://www.dd-wrt.com/wiki/index.php/Startup_Scripts

http://ip6.fr/free-broute/
http://vibe.ipv6.free.fr/

IP Forwarding :

OS X :

Pour activer l’ip forwarding, il vous faudra utiliser la commande sysctl du terminal. Pour plus d’information sur cette commande, tappez man sysctl dans le terminal.

Pour activer l’ipforwarding, tappez dans le terminal(avec sudo, car cette modification nécessite les droits de root):

sudo sysctl -w net.inet.ip.forwarding=1
sudo sysctl -w net.inet.ip.fastforwarding=1

Pour désactiver l’ip forwarding, tappez dans le terminal:
sudo sysctl -w net.inet.ip.forwarding=0
sudo sysctl -w net.inet.ip.fastforwarding=0

Pour checker l’état de vos paramétres “ip forwarding”:
sysctl -a | grep -e ip.forwarding -e ip.fastforwarding
(Pour rappel, le caractère | se tappe en faisant alt+maj+l sur les claviers de macbook)

Linux :

Activer l’IP Forwarding on the fly par la commande :
echo 1 > /proc/sys/net/ipv4/ip_forward.
or
sysctl -w net.ipv4.ip_forward=1

Checker l’état :
cat /proc/sys/net/ipv4/ip_forward

Windows :

1. Start Registry Editor (Regedit.exe).
2. In Registry Editor, locate the following registry key:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
3. Set the following registry value:
Value Name: IPEnableRouter
Value type: REG_DWORD
Value Data: 1
A value of 1 enables TCP/IP forwarding for all network connections that are installed and used by this computer.
4. Quit Registry Editor.

ARP Spoofing : Flood ARP-REPLY rediriger le traffic

arpspoof -i eth0 -t



Countermeasures on Cisco Switches :

Dynamic ARP Inspection (DAI) :

# activate ARP inspection in global configuration
ip arp inspection vlan 1
#configure fa0/0 as trusted
interface fa 0/0
ip arp inspection trust
show ip arp inspection vlan 1
show ip arp inspection interfaces
show ip arp inspection statistics vlan 1

Port Security : Restric allowed MAC addresses on Cisco interfaces

#int fa0/0
#switchport host
#switchport port-security
#switchport port-security mac-address sticky
#switchport port-security maximum 1
#switchport port-security violation shutdown



Lien Cisco : VLAN Security White Paper

Engineered by a French guy (a big One in reality), Remis Despres (Transpac Inventor), it’s in my opinion the first interesting transition mechanism “a la” 6to4, really simple to understand, easy deploy, easy to maintain and easy to migrate on full IPv6.

6rd is deployed by Free for residential Internet access in France

But for operational implementation and entreprise deployement, the IETF has begun to work on http://tools.ietf.org/html/draft-ietf-softwire-ipv6-6rd-06

interface FastEthernet0/0
ipv6 address 2001:1::/64 eui-64
ipv6 enable
duplex full

ping :

ping ipv6 2001:1::C804:2FF:FE44:8

Lors d’un ping sur une adresse link-local, l’IOS demande l’interface de sortie

ping ipv6 FE80::C804:2FF:FE44:8
Output Interface : FastEthernet1/0

to be continued …

Format non-compressé :
2001:0001:0000:0000:C804:02FF:FE44:0008

Format compressé :
2001:1:::C804:02FF:FE44:8

Les préfix IPv6 sont codés sur 128 bits, et sont représentés par 8 champs de 16 bits en hexadécimal séparés par des “:”.

Une adresse IPv6 est formée selon la représentations suivantes des bits :
48 bits : Provider : Global Routing Prefix
16 bits : Site        : Site Level Aggregator : Subnet ID
64 bits : Host      : Interface ID : EUI-64 :

• 24 bits : (3octets) OUI Org Unique ID from MAC address
• 16 bits : Fixed at FFFE
• 24 bits : Last 3 octets of MAC address

IPv6, les types adresses possible :

Unicast address :
Adresse unique pour une interface d’un node.

• Global Unicast Address :

  ipv6 address 2001:1::C804:2FF:FE44:8/128

  EUI-64 pour la création de la partie interface ID de l’addresse IPv6

  ipv6 address 2001:1::/64 eui-64

  puis

  ipv6 unicast-routing

• Link-Local address :
  Adresse assignée automatiquement a une interface.
  Elle a un préfix de FE80::/8
  Elle peut néamoins etre assingée de facon statique

     ipv6 address FE80::C804:2FF:FE44:8 link-local

Anycast address :
Adresse unique pour un groupe de node
Un paquet envoyé à un adresse Anycast sera livré au node le plus proche (selon le protocol de routage utilisé).

 ipv6 address 2001:1:c804:2FF::/64 anycast

Multicast address :
Adresse qui à un préfix FF00::/8
Adresse qui appartient à plusieurs nodes
Un paquet envoyé a cette addresse sera remis à tout les nodes identifées avec cette adresse.
Cette adresse peut contenir un lifetime et un scope sur le 2eme byte (00) :

• Le 1er byte est le lifetime sur 4 bits : 0-permanent / 1-temporary
• Le second byte est le scope sur 4 bits : 1-node / 2-link / 5-site / 8-organisation / E-Global

Pour rejoindre un groupe multicast, les nodes doivent d’abord joindre :

• Un groupe multicast de scope link-local FF02::1
• Un groupe multicast de scope link-local FF02::2 - Uniquement pour les routeurs
• Un groupe multicast FF02::1:FF00::/104 pour chaque addresse unicast ou anycast a laquelle l’adresse multicast est assignée. Ce groupe est sollicité par les nodes.
  Par exemple pour l’adresse Multicast 2001:1:0:C804:2FF:FE44:8, l’adresse du groupe multicast à joindre sera : FF02::1:FF44:8

Le détail de la configuration des adresses Multicast sera discuté lors d’un prochain billet.