Download - Expose Ipv6
![Page 1: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/1.jpg)
Thème: DEPLOIEMENT D’IPV6Thème: DEPLOIEMENT D’IPV6
Présenté par:Doudou GAYE et Oumane Hamadou SOWDIC 3 informatique .
![Page 2: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/2.jpg)
�Pourquoi une nouvelle version d’IP ?�Enjeux politiques et économiques�Le protocole IPv6:definition et fonctionnalités�Protocoles associés à IPv6�Protocoles associés à IPv6�Sécurité d’ipv6�Strategies de déploiements�Conclusion
![Page 3: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/3.jpg)
Le protocole ipv4,première version du protocole IP, était prévu a sa création en 1983 pour un réseau:
�D’une centaine d’ordinateurs
�Utilisé par les scientifiques et les chercheurs
![Page 4: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/4.jpg)
Mais on assiste en�1990 : début du web�1992 : début de l’activité commerciale avec une croissance exponentielle du réseau internetcroissance exponentielle du réseau internet�1993 : épuisement des adresses de classe B�Prévision de la “fin de l’Internet” pour 1994 !
![Page 5: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/5.jpg)
Source: Rapport final du GTIC au CCCNT: http://www.isacc.ca/isacc/_doc/ArchivedPlenary/CCCNT-10-42200.pdf
![Page 6: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/6.jpg)
�CIDR (Classless Internet Domain Routing) – RFC 1519 (PS)– adresse réseau = préfixe/longueur de préfixe– moins d’espace d’adressage perdu– moins d’espace d’adressage perdu– l’agrégation des préfixes réduit la taille des tables de routage.
![Page 7: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/7.jpg)
�NAT et Adresses privées- Le RFC 1918 (BCP) permet les plans d’adressage privés (10/8, 172.16/12, 192.168/16)- Ces adresses ne sont utilisables qu’en interne- Ces adresses ne sont utilisables qu’en interne- Utilisation de mandataire ou de NAT pour sortir sur internet.– RFC 1631, 2663 (NAT) et 2993
![Page 8: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/8.jpg)
�Ces mesures d’urgence ont laissé suffisamment de temps pour développer une nouvelle version d’IP, appelée IPv6.�Objectifs assignés à IPv6�Objectifs assignés à IPv6– conserver les principes qui ont fait le succès d’IP – Corriger les défauts de la version courante (v4)– Anticiper les besoins futurs
![Page 9: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/9.jpg)
� Un relais de croissance
� Un environnement plus concurrentiel pour les ISP ?
� Consolidé et accroitre les relations � Consolidé et accroitre les relations économique avec l’Europe et l’Asie
� Un nouveau ordre mondial: Gestion du DNS mondial ;prédominance des USA sur l’internet?
![Page 10: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/10.jpg)
�Un plus grand espace d’adressage qu’en IPv4�Rétablissement du modèle de bout en bout�Plan d’adressage agrégé (tables de routage plus simple)Auto-configuration des machines (avec et sans état)�Auto-configuration des machines (avec et sans état)
�Meilleure prise en charge des options et en-tête de protocoles�Intégration du multicast, de la sécurité (IPsec) et de la mobilité�Compatibilité “arrière” avec le monde IPv4�Qualité des services(VoIP et Multimedia)
![Page 11: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/11.jpg)
Utilisation plus accrues des services� Domotique� GPRS-3G� Mobilité et nomadisme� Mobilité et nomadisme
� …
![Page 12: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/12.jpg)
L’en-tête ipv6 est une simplification de celui de son prédécesseur.En-tête ipv4:
![Page 13: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/13.jpg)
La longueur de l’adresse– Entre 1 564 and 3 911 873 538 269 506 102 adresses par m2– 60 000 trillions de trillions d’adresses par – 60 000 trillions de trillions d’adresses par habitant de la terre– Une adresse pour chaque grain de sable !=>Cela justifie une longueur fixe d’adresse Une adresse pour tout ce qui est connecté(pas une adresse pour chaque objet)
![Page 14: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/14.jpg)
En-tête ipv6:
![Page 15: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/15.jpg)
� Ver: la version du protocole(IP version 6),� Traffic class :en remplacement du champ Type of service d’IPv4.
� Flow label :un nouveau champ pour la Qualité de Service(QoS) de gestion
� Payload length :longueur des données après la partie � Payload length :longueur des données après la partie fixe de l'en-tête IPv6.
� Next header :en remplacement du champ de protocole IPv4,permet de d’ajouter des extensions d’en-têtes.
� Hop limit :nombre de sauts, en remplacement de time to live d’ipv4.
� Souces Address: adresse source � Destination Address: adresses de destination
![Page 16: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/16.jpg)
� Un Flot est une suite de paquets qui doivent recevoir un traitement spécifique par les équipements du réseau
� Le champ Flow Label est fait pour permettre la classification des paquets appartenant à un même flot.classification des paquets appartenant à un même flot.
� Un flot a un identifiant unique (pour la source)– Flow label + adresse source est unique– Réduit le temps de traitement du paquet.– Après un silence de 120 secondes, les paquets ne sont plus considérés comme appartenant à un même flot
![Page 17: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/17.jpg)
�fournissent les principales nouveautés sur les services et les fonctions apportées par le protocole IPv6.�Sont au nombre de quatre et permettent une �Sont au nombre de quatre et permettent une transmission plus efficace.
![Page 18: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/18.jpg)
L’ordre des extensions est important
![Page 19: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/19.jpg)
Représentation textuelle: le mot de 128 bits est découpé en 8 mots de 16 bits séparés par le caractère «:», chacun d'eux étant représenté en hexadécimal.hexadécimal.Exemple:2001:0DB8:0000:0000:0400:A987:6543:210FAutres format d’écritures:2001:DB8:0:0:400:A987:6543:210F2001:DB8::400:A987:6543:210F (“::” ne peut apparaître qu'une fois au plus).
![Page 20: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/20.jpg)
�RFC 3513 (remplace le RFC 2373)�Les 128 bits de longueur des adresses– Permettent une grande hiérarchisation– Plus flexible pour les évolutions du réseau– Plus flexible pour les évolutions du réseau�Utilise les principes CIDR (pas de classes)– Préfixe / longueur de préfixe.
2001:0DB8:7654:3210:0000:0000:0000:0000/64 2001:DB8:7654:3210:0:0:0:0/64 2001:DB8:7654:3210::/64
![Page 21: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/21.jpg)
L’agrégation réduit la taille des tables de routage
�Représentation hexadécimale
�Une interface a plusieurs adresses IPv6
![Page 22: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/22.jpg)
�Loopback ::1
�Lien local FE80: ….
�Site local FEC0: ….
�Globale 2001: …
![Page 23: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/23.jpg)
�Unicast- désigne de manière unique une interface�Multicast-désigne un groupe d'interfaces du réseau.Le paquet est délivré a tous les membres du groupe.-Le paquet est délivré a tous les membres du groupe.-Supprime la notion de broadcast en ipv6.�Anycast - désigne un groupe d'interfaces du réseau-la différence avec multicast est que lorsqu'un paquet a pour destination une telle adresse, il est acheminé à un des éléments du groupe et non pas à tous.
![Page 24: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/24.jpg)
Lien-local
Ne sont pas routables (sur l’Internet)�Ne sont pas routables (sur l’Internet)�Sont automatiquement générées au boot du system.�Permettent la communication avec des équipements sur le lien�Sont Utilisées pour l’auto-configuration�Désigne le prochain routeur (next hop) dans la table de routage
![Page 25: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/25.jpg)
Network Prefix: identifie le réseauSubnet ID: identifie le siteHost ID: identifie l’interface.
![Page 26: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/26.jpg)
�64 bits pour être compatible avec IEEE 1394 (FireWire)�Facilite l’auto-configurationIl existe plusieurs méthodes pour construire cette Il existe plusieurs méthodes pour construire cette valeur de 64 bits:�Manuelle�Dérivé de l’adresse MAC�Aléatoire�cryptographique.
![Page 27: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/27.jpg)
� l’IEEE a définit le mécanisme pour créer un EUI-64 à partir d’une adresse IEEE 802 MAC (Ethernet, FDDI).
![Page 28: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/28.jpg)
On obtient donc un identifiant d’interface �en mettant le bit u a zéro(u=0) �et en ajoutant0xFFFE 0xFFFE
![Page 29: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/29.jpg)
�L'identifiant d'interface basé sur des adresses MAC pourrait poser des problèmes pour la vie privée.(traçage, identification, localisation).Solution:Solution:�Construction d'un identifiant d'interface basé sur des tirages aléatoires ( RFC 3041).�L’adresse est souvent mis a l’état « déprécié » et est changée périodiquement.
![Page 30: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/30.jpg)
Le RFC 3972 définit le principe de création de l'identifiant d'interface (CGA : CryptographicGenerated Addresses) à partir de la clé publique de la machine. Elles pourraient servir pour sécuriser les protocoles de découverte de voisins ou pour la la machine. Elles pourraient servir pour sécuriser les protocoles de découverte de voisins ou pour la gestion de la multi-domiciliation.
![Page 31: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/31.jpg)
� Le RFC 4007 (IPv6 Scoped Address Architecture)– fait disparaître les adresses site-local et précise certains points.�Dans une adresse globale, le préfixe donne l’interface de sortiel’interface de sortie� Dans une adresse lien local, le préfixe est toujours fe80::/64– Si l’équipement a plusieurs interfaces, l’interface de sortie n’est pas définie– on ajoute “%iface”, à la fin de l’adresse pour lever cette ambiguïté
![Page 32: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/32.jpg)
![Page 33: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/33.jpg)
�Découverte du voisinage (NDP) (RFC 2461 DS)�Liés à l’auto-configuration– Auto-configuration sans état (RFC 2462 DS) – Auto-configuration avec état -> DHCPv6 : – Auto-configuration avec état -> DHCPv6 : Dynamic Host Configuration Protocol (RFC 3315 ) – Découverte du MTU sur le chemin : Path MTU discovery (pMTU) (RFC 1981 PS) . Nécessaire pour respecter la non fragmentation entre source et destination
![Page 34: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/34.jpg)
�MLD (Multicast Listener Discovery) (RFC 2710 PS) – Gestion des groupes Multicast sur un lien IPv6– Basé sur IGMPv2– Version actuelle : MLDv2 (équivalent d’IGMPv3 en – Version actuelle : MLDv2 (équivalent d’IGMPv3 en IPv4).�ICMPv6 (RFC 2463 DS) un protocole qui :– Reprend les fonctionnalités d’ICMP (v4) (contrôle d’erreur,administration, …)– Transport des messages ND– Transports des messages MLD (Queries, Reports…)
![Page 35: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/35.jpg)
� Les machines IPv6 qui partagent le même lien physique (link) utilisent le protocole Neighbor Discovery (ND) pour :– découvrir leur présence mutuelle– déterminer les adresses de niveau 2 (ex. Ethernet) – déterminer les adresses de niveau 2 (ex. Ethernet) de leurs voisins– trouver les routeurs– maintenir à jour ces informations – ce n’est pas applicables aux liens NBMA (Non Broadcast Multi Access) [parce que ND utilise le multicast pour certains services]
![Page 36: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/36.jpg)
Fonctionnalités du protocole:– Découverte des routeurs (du lien)– Découverte du/des préfixes– Découverte des paramètres (MTU du lien, Max Hop – Découverte des paramètres (MTU du lien, Max Hop Limit, ...).– Auto-configuration de l’adresse– Détermination du Next Hop– Détection d’adresse dupliquée (DAD)– Redirection– Détection de l’inaccessibilité des voisins
![Page 37: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/37.jpg)
ND spécifies 5 types de paquets ICMP:�Router Advertisement (RA) :• annonce périodique de la présence d’un routeur qui contient:qui contient:» la liste des préfixes utilisés sur le lien (autoconf)» une valeur possible du Max Hop Limit (TTL of IPv4)» la valeur du MTU
![Page 38: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/38.jpg)
� Router Solicitation (RS) : • la machine demande un RA immédiatement (au boot)�Neighbor Solicitation (NS): – pour détermine l’adresse niveau 2 d’un voisin– ou pour vérifier son accessibilité– ou pour vérifier son accessibilité– aussi utilisé pour détecter une adresse dupliquée (DAD)�Neighbor Advertisement (NA):– réponse à un paquet NS– pour annoncer un changement d’adresse physique� Redirect :– utilisé par un routeur pour informer une machine qu’une meilleure route existe pour une destination donnée
![Page 39: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/39.jpg)
� Dérivé du RFC 1191, (pMTUd pour IPv4)�Path = ensemble de liens traversés par un paquet IPv6 entre source et destination (chemin)�MTU = taille maximale (en octets) d’un paquet �MTU = taille maximale (en octets) d’un paquet transmissible sur le lien sans fragmentation� Path MTU (ou pMTU) = min {MTU} pour un Path (ou chemin) donné� Path MTU Discovery = découverte automatique du pMTU pour un Path donné
![Page 40: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/40.jpg)
�Fonctionnement du protocole pMTUd– au départ, la source suppose que : pMTU = MTU du lien utilisé pour joindre le 1er voisinlien utilisé pour joindre le 1er voisin– s’il y a un routeur intermédiaire dont le MTU du lien suivant < pMTU ce dernier renvoie à la source un message ICMPv6 de type "Packet size Too Large" – la source réduit le pMTU en utilisant la valeur de MTU trouvée dans le message ICMPv6
![Page 41: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/41.jpg)
� Peut être avec ou sans état �Les machines peuvent devenir ‘plug & play’�Utilise les messages ICMPv6 (NeighborDiscovery)Discovery)� Au boot, la machine demande les paramètres réseau :– préfixe– route par défaut (routeur de sortie)– hop limit– ...
![Page 42: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/42.jpg)
�IPv6 Stateless Address Autoconfiguration (RFC 2462 DS)– Ne s’applique pas aux routers�Permet à une machine de se créer une adresse �Permet à une machine de se créer une adresse IPv6 globale à partir de :– son adresse MAC (Ethernet)– des annonces de préfixes faites par les routeurs sur le lien
![Page 43: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/43.jpg)
�Dynamic Host Configuration Protocol v6• version IPv6 : RFC 3316• similaire à la version IPv4 de DHCP (RFC 1541, RFC 2131), basée sur BOOTP (RFC 951)�Serveur�Serveur• Mémorise l’état du client • Optionnellement fournit au client son adresse IPv6 et ses paramètres de configuration (route par défaut, serveur DNS…)�Client • Envoie des requêtes et des accusés de réception conformes au protocole DHCP
![Page 44: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/44.jpg)
Il existe 2 grandes familles de protocoles de routage�Les protocoles intérieurs (IGP)-Distance-vecteur : RIP, IGRP- État des liens : OSPF, IS-IS- État des liens : OSPF, IS-ISTaille <100 routeurs, 1 autorité d’administrationÉchange de routes, granularité = routeur
� Les protocoles extérieurs (EGP)EGP, BGP, IDRPTaille = Internet, coopération d’entités indépendantesÉchange d’informations de routage, granularité = AS
![Page 45: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/45.jpg)
�RFC 2080 (PS) & 2081 (INFO) : RIPng� RFC 2740 (PS) : OSPF v3� RFC 4271 (PS) : BGP (mise à jour du RFC1771 intégrant la plupart des extensions dont MBGP intégrant la plupart des extensions dont MBGP (RFC 2848) qui est l’extension multi-protocole de BGP)RFC 3031 : MPLS (MultiProtocol Label Switching)=> Pas de différences majeures par rapport à IPv4(algorithmes identiques).
![Page 46: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/46.jpg)
Extensions du DNS pour IPv6�Le RFC 1886 (PS) est remplacé par le RFC 3596 (DS)�Un nouveau type d’enregistrement AAAA (RFC �Un nouveau type d’enregistrement AAAA (RFC 3596) est créé.– Equivalent à l’enregistrement ‘A’ en IPv4– Exemple (configuartion Bind):ns3.nic.fr. IN A 192.134.0.49
IN AAAA 2001:660:3003:2::1:1
![Page 47: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/47.jpg)
Un nouvel arbre inverse de type PTR -> ip6.arpa(RFC 3596)– Equivalent de in-addr.arpa en IPv4• Chaque nœud est sur un paquet de (4 bits)• Chaque nœud est sur un paquet de (4 bits)– Exemple:2.0.0.0.3.0.0.3.0.6.6.0.1.0.0.2.ip6.arpa.
1.0.0.0.1.0.0.0.0.0.0.0.0.0.0.0 PTR ns3.nic.fr.
![Page 48: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/48.jpg)
La sécurité ipv6 peut être assurée suivant ces 4 aspects :
� Adresses privées� Adresses générées cryptographiques� Adresses générées cryptographiques� IPsec� Sécurité par découverte de voisins
![Page 49: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/49.jpg)
� Adresses privées: contrôler l’unicité� Selon RFC 4291: � génération des identifiants d'interface en fonction des identificateurs EUI-64.fonction des identificateurs EUI-64.
� Cela permet à une interface de garder le même identifiant même si elle se déplace dans le réseau.
![Page 50: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/50.jpg)
Adresses générées cryptographiquement :� Authentification de l’adresse source dans un paquet� La méthode utilisée est la suivante:� Choisir une paire de clés privées et publiques� Créer des signatures numériques avec la clé privée, ensuite les vérifier avec la clé publiqueensuite les vérifier avec la clé publique
� Utiliser la clé publique pour générer un identifiant d’interface
� Insérer la clé publique dans le paquet et le signer avec la clé privée
� Le destinataire peut utiliser la clé publique pour vérifier l’adresse et la signature
![Page 51: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/51.jpg)
� IPsec permet de réaliser des réseaux privés virtuels ou VPNs (Virtual Private Networks) au niveau IP et offre des services :
� d’authentification des donnéesd’authentification des données� de chiffrement des données� d’intégrité des données pour garantir que les paquets n’ont pas été modifiés durant leur acheminement
� d’anti-rejeu afin de détecter les éventuels paquets rejoués par un attaquant
![Page 52: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/52.jpg)
� IPsec: il existe deux modes d’échanges
� Mode transport : il offre essentiellement uneprotection aux protocoles de niveau supérieurprotection aux protocoles de niveau supérieur
� Mode tunnel : permet d'encapsuler desdatagrammes IP dans d'autres datagrammesIP, dont le contenu est protégé
![Page 53: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/53.jpg)
� Deux protocoles de sécurisation sont utilisés dans la RFC 2402 pour assurer ces services:
� AH (Authentication Header)� AH (Authentication Header)
� ESP (Encapsulating Security Payload)
![Page 54: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/54.jpg)
� AH (Authentication Header)� L'authentification : les datagrammes IP reçus ont effectivementété émis par l'hôte dont l'adresse IP est indiquée comme adresse source dans
les en-têtes.
� L'unicité (optionnelle, à la discrétion du récepteur) : undatagramme ayant été émis légitimement et enregistré par undatagramme ayant été émis légitimement et enregistré par unattaquant ne peut être réutilisé par ce dernier, les attaques parrejeu sont ainsi évitées.
� L'intégrité : les champs du datagramme IP n'ont pas étémodifiés depuis leur émission : les données, longueur de l'entête(en IPv4), longueur totale du datagramme (en IPv4),longueur des données (en IPv6), identification, protocole ou entêtesuivant (ce champ vaut 51 pour indiquer qu'il s'agit duprotocole AH), adresse IP de l'émetteur, adresse IP dudestinataire
![Page 55: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/55.jpg)
� ESP (Encapsulating Security Payload):Contrairement à AH, ESP ne protège pasles en-têtes des datagrammes IP utilisés pour transmettre la communication. Seules les transmettre la communication. Seules les données sont protégées. En mode transport, il assure :
� La confidentialité des données (optionnelle) : la partie données des datagrammes IP transmis est chiffrée.
![Page 56: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/56.jpg)
� L'authentification (optionnelle, mais obligatoire en l'absence de confidentialité) : la partie données des datagrammes IP reçus ne peut avoir été émise que par l'hôte avec lequel a lieu l'échange IPsec, qui ne peut s'authentifier avec l'échange IPsec, qui ne peut s'authentifier avec succès que s'il connaît la clef associée à la communication ESP.
� L'unicité (optionnelle, à la discrétion du récepteur).
� L'intégrité : les données n'ont pas été modifiées depuis leur émission.
![Page 57: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/57.jpg)
Son succés repose sur:� Evaluation des risques de Securité� Sécurisation de l’adressage� Mécanismes de transition� Mécanismes de transition� Processus et plans de transition
![Page 58: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/58.jpg)
� Déploiement non autorisé d’ipv6 dans un environnement ipv4
� Vulnérabilités d’ipv6 notamment au premier déploiement.déploiement.
� Complexité accru par la coexistence ipv4-ipv6� Connaissance non approfondi sur la sécurité produits ipv6.
� Défaillance possible du matériel.
![Page 59: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/59.jpg)
� Plan de numérotation� Adressage hiérarchique� Sécurité des adresses EUI-64� Gestion des adresses� Gestion des adresses� Protection de la vie privée
![Page 60: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/60.jpg)
� Dual stack � Tunneling � Translation
![Page 61: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/61.jpg)
Dans ce type de déploiement chaque hôte:
� Implémente les deux protocoles (ipv4 et ipv6)
� Obtient une adresse ipv4 et ipv6
![Page 62: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/62.jpg)
Le Dual Stack permet de � De minimiser les tunnels lors de la transition� Effectuer un déploiement rapide dans une environnement ipv4.environnement ipv4.
� Ne modifie pas tout l’environnement ipv4.
![Page 63: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/63.jpg)
� Le tunneling est l’encapsulation d’un protocole dans un autre.
� C’est une étape indispensable dans une transition vers ipv6. transition vers ipv6.
� On peut effectuer du tunneling ipv4/ipv6 ou bien ipv6/ipv4.
� Il existe plusieurs manière de créer et de gérer un tunnel.
� Exemple:
![Page 64: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/64.jpg)
� Exemple de tunneling ipv6 sur un réseau ipv4
![Page 65: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/65.jpg)
� Elle consiste en la transformation d’un paquet ipv4 en ipv6 ou vice-versa.
Elle peut être effectué par:Elle peut être effectué par:� Network Address Translation—Protocol Translation (NAT-PT)
� Transport Relay Translator (TRT)
![Page 66: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/66.jpg)
N’est pas conseillée car:� Accroit les risques de sécurités.� Accentues les vulnérabilités des protocoles.Elle diminue ou fait perdre aussi certaines Elle diminue ou fait perdre aussi certaines fonctionnalités
� Routage hiérarchique� Espace d’adressage réduit� Perte de la mobilité ipv6.
![Page 67: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/67.jpg)
� HOSTS BASED
� VLAN ou MPLS
� SSL/TLS
![Page 68: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/68.jpg)
Pour un déploiement sécurisé d’ipv6,certaines recommandation peuvent êtres considérées:
� Procéder à une analyse des besoins afin d'identifier la nécessité actuelle de l'IPv6 au sein d'une organisation et les défis d’ipv4.sein d'une organisation et les défis d’ipv4.
� Élaborer un plan de mise en œuvre d'IPv6, suivant l’architecture de l’entreprise.
� Élaborer des politiques relatives à IPv6 et des mécanismes d'application.
� Bien documenter les méthodes et moyens utilisés
![Page 69: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/69.jpg)
� Élaborer et mettre en œuvre un plan de test pour la compatibilité et l’ interopérabilité avec IPv6
� Déployer IPv6 en utilisant une approche progressive par étape.Déployer IPv6 en utilisant une approche progressive par étape.
� Maintenir et surveiller le réseau.� Mettre à jour des exigences IPv6 et l'architecture cible sur une base itérative agile et incrémentale.
![Page 70: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/70.jpg)
Le déploiement peut se résumé en 5 étapes:� Initiation� Acquisition et développement� Implémentation� Implémentation� Opération ou exploitation� Maintenance
![Page 71: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/71.jpg)
![Page 72: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/72.jpg)
� Introduction à G6 IPv6(Http://www.g6.asso.fr)� Guidelines for the Secure Deployment of IPv6(NIST): http://csrc.nist.gov/publications/nistpubs/800-119/sp800-119.pdfhttp://www.isacc.ca/isacc/_doc/ArchivedPlenar� http://www.isacc.ca/isacc/_doc/ArchivedPlenary/CCCNT-10-42200.pdf
� http://www.arcep.fr/fileadmin/reprise/publications/rapportmigripv6.htm
� http://roudaut.frederic.free.fr/data/Publi/IPv6.pdf
![Page 73: Expose Ipv6](https://reader034.vdocuments.fr/reader034/viewer/2022050703/5571fb804979599169950beb/html5/thumbnails/73.jpg)
� http://www.ietf.org/rfc.html� RFC 3041� RFC 3972� RFC 1918 � RFC 1631, 2663 et 2993� RFC 3513 � RFC 2373)� RFC 4007 � RFC 2710 PS
RFC 2463 � RFC 2463 � RFC 1191� RFC � 2462� RFC 2080 � RFC 2740 � RFC 4271 � RFC1771� RFC 2848� RFC 3031 � RFC 1886 � RFC 3596� RFC 3596� RFC 4291