Différences

Ci-dessous, les différences entre deux révisions de la page.

--- 070-experiencesipv6:020-abondanceipv6 [le 13/03/2025 à 17:55] – prof
+++ 070-experiencesipv6:020-abondanceipv6 [le 14/03/2025 à 10:58] (Version actuelle) – [De l'abondance des adresses IP] prof
@@ Ligne 1: / Ligne 1: @@
 ====== De l'abondance des adresses IP ======
+Peut nuire...
 ===== État des lieux en IPv4 =====
@@ Ligne 13: / Ligne 14: @@
 Pour le cas où ce ne serait pas suffisant pour assouvir nos besoins, il y a 6 autres préfixes /64 secondaires, ce qui nous ferait au total 7 x 2<sup>64</sup> adresses publiques à notre disposition. Mais pour les mériter, il va falloir travailler un peu.
+Lorsque nous aurons maîtrisé cette offre, nous pourrons nous amuser comme des fous 8-)
+Mais dans un premier temps, contentons-nous de la connectivité IPv6 de base et soit un hôte (virtuel) connecté au préfixe par défaut. Une fois démarrée, voyons sa configuration IPv6:
+<html> <div class="clear"></div><pre class="code">
+<b>ip -6 addr ls</b>
+: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 state UNKNOWN qlen 1000
+    inet6 ::1/128 scope host noprefixroute
+       valid_lft forever preferred_lft forever
+: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 state UP qlen 1000
+    inet6 <span class="hly"><b>2a01:e0a:875:b1d0:</b>5054:ff:fe56:5292/64</span> scope global dynamic mngtmpaddr
+       valid_lft 86313sec preferred_lft 86313sec
+    inet6 fe80::5054:ff:fe56:5292/64 scope link
+       valid_lft forever preferred_lft forever
+</pre></html>
+Faisons depuis un nœud situé chez OVH un traceroute vers cette adresse:
+<html><pre class="code">
+<b>traceroute -6 2a01:e0a:875:b1d0:5054:ff:fe56:5292</b>
+traceroute to 2a01:e0a:875:b1d0:5054:ff:fe56:5292 (2a01:e0a:875:b1d0:5054:ff:fe56:5292), 30 hops max, 80 byte packets
+<span class="hly"> 1  2001:41d0:305:2100::1 (2001:41d0:305:2100::1)  0.247 ms  0.180 ms  0.148 ms
+  <b>fd00::ffe</b> (fd00::ffe)  0.123 ms  0.553 ms  0.510 ms
+  2001:41d0:0:1:3:0:1:4c3f (2001:41d0:0:1:3:0:1:4c3f)  0.470 ms  0.444 ms  0.418 ms
+  2001:41d0:0:1:3:0:1:49e6 (2001:41d0:0:1:3:0:1:49e6)  0.392 ms 2001:41d0:0:1:3:0:1:49e4 (2001:41d0:0:1:3:0:1:49e4)  0.363 ms  0.364 ms
+  2001:41d0:0:1:3:0:1:4716 (2001:41d0:0:1:3:0:1:4716)  0.716 ms 2001:41d0:0:1:3:0:1:4712 (2001:41d0:0:1:3:0:1:4712)  0.723 ms 2001:41d0:0:1:3:0:1:4716 (2001:41d0:0:1:3:0:1:4716)  0.752 ms
+  2001:41d0:0:50::5:2b0 (2001:41d0:0:50::5:2b0)  0.312 ms 2001:41d0:0:50::5:2e0 (2001:41d0:0:50::5:2e0)  0.268 ms 2001:41d0:0:50::5:2ea (2001:41d0:0:50::5:2ea)  0.333 ms
+  be100-100.gra-g2-nc5.fr.eu (2001:41d0::436)  1.861 ms  1.833 ms  0.726 ms</span>
+  * * *
+<span class="hlo"> 9  ae301.par-pa3-pb2-ptx.fr.eu (2001:41d0::26a9)  4.659 ms ae300.par-pa3-pb2-ptx.fr.eu (2001:41d0::26a7)  4.597 ms *
+  free.th2-1-a9.fr.eu (2001:41d0::542)  5.326 ms 2001:41d0::285d (2001:41d0::285d)  5.290 ms  5.242 ms
+  * * *
+  * 2a01:e00:6004::6 (2a01:e00:6004::6)  5.821 ms *
+  * * *
+  2a01:e02:1011::6 (2a01:e02:1011::6)  19.506 ms * *
+  2a01:e02:1011::6 (2a01:e02:1011::6)  19.933 ms 2a01:e02:100f::1 (2a01:e02:100f::1)  20.143 ms  19.783 ms
+  2a01:e02:100c::1 (2a01:e02:100c::1)  20.018 ms  19.956 ms  19.855 ms
+  2a01:e02:1009::1 (2a01:e02:1009::1)  17.832 ms 2a01:e02:100c::1 (2a01:e02:100c::1)  20.352 ms  20.292 ms
+  2a01:e02:1009::1 (2a01:e02:1009::1)  18.199 ms 2a01:e02:1006::1 (2a01:e02:1006::1)  17.895 ms  17.859 ms
+  2a01:e02:1004:1700:fe00::aac1 (2a01:e02:1004:1700:fe00::aac1)  18.557 ms 2a01:e02:1006::1 (2a01:e02:1006::1)  18.090 ms  18.016 ms
+  2a01:e0a:875:b1d0::1 (2a01:e0a:875:b1d0::1)  18.503 ms  18.449 ms 2a01:e02:1004:1700:fe00::aac1 (2a01:e02:1004:1700:fe00::aac1)  18.833 ms
+  2a01:e0a:875:b1d0::1 (2a01:e0a:875:b1d0::1)  18.639 ms  18.584 ms 2a01:e0a:875:b1d0:5054:ff:fe56:5292 (2a01:e0a:875:b1d0:5054:ff:fe56:5292)  18.813 ms</span>
+</pre></html>
+Notons au hop 2 une «ULA» ces fameuses adresses qui ne sont pas routables sur l'internet, mais qui le sont dans le réseau privé, ce qui est le cas ici, dans le réseau OVH.
+Avec Whois:
+<html><pre class="code">
+<span class="hly">route6:         <b>2001:41d0::/32</b>
+descr:          OVH IPv6
+origin:         AS16276</span>
+<span class="hlo">inet6num:       <b>2a01:e00::/26</b>
+descr:          ProXad network / Free SAS
+origin:         AS12322</span>
+</pre></html>
+Ceci montre que sans ajout d'un pare-feu, cette machine, bien que dans le LAN domestique, reste parfaitement accessible depuis l'extérieur avec son adresse IPv6. Il est alors facile pour un malveillant, une fois repérée une adresse IPv6 d'un client Freebox, de faire un scan sur tout le préfixe pour découvrir toutes  les adresses des hôtes du LAN en question, de chercher avec plus ou moins de discrétion les ports ouverts sur ces nœuds, rechercher les failles de sécurité connues sur ces ports etc.