Le 22/11/2012 11:14, Emmanuel Thierry a écrit :
Je vais expliquer ce que j'ai cru comprendre de la bonne pratique du /64 par subnet (hormis les IX dont il est recommandé qu'ils utilisent des /127). A vrai dire même mon opinion personnelle penchait auparavant pour toujours diviser un /64 quelque soient les circonstances, je suis moins catégorique maintenant. Déjà ce n'est pas pour réserver des milliards d'adresses que la pratique du /64 par subnet est optée, c'est plutôt pour assurer une cohérence dans le routage. L'une des hantises avouée du RIPE NCC (sans être membre, il suffit de lire les documents publics) est de s'assurer que le déploiement d'IPv6 ne pollue pas les tables de routage comme cela peut être le cas aujourd'hui avec la désagrégation des préfixes IPv4. Pour cela, il faut une politique unique, quelque soit le cas d'usage (réseau résidentiel ou serveurs). Avec une taille minimale des PI IPv6 à /48 et une taille minimale des PA IPv6 à /32, on s'attend donc que la granularité du routage soit dans ces eaux là. Si sur une plateforme tu assignes un /64 par client et que pour une raison ou une autre un jour tu veuilles migrer ce client vers une autre plateforme ou un autre AS tu seras a priori obligé de polluer les tables de routages de tes peers (a vrai dire je ne suis même pas sûr que quand IPv6 sera réellement déployé ce genre d'annonces seront acceptées).
Alors oui cela peut se comprendre pour la table de routage, quand on voit le prix de la ram pour un routeur qui est vraiment abusé, j'imagine pas la full view internet v6 dans 50 ans ou plus ...
Néanmoins mon constat est que le réseau n'aime pas déjà à l'heure actuelle couper des blocs et les annoncer à droite à gauche sur un même réseau. Si le routage simple n'est pas possible c'est changement d'adressage. Pour ce qui est d'un client qui partirait avec son subnet chez un autre prestataire, je ne suis pas non plus obligé de lui fournir une PI ipv6 dans mon bloc principal. Je doute que si on demande à un loueur d'infra de router notre bloc v6 ailleurs il accepte.
La mobilité des ipv6 pour moi c'est sur des AP pour des personnes, pas pour des serveurs. D'ailleurs il me semble que la norme pour prévoir la mobilité n'est pas encore au point et refusé par pas mal de monde.
Donc vis à vis de ce redécoupage, je pense pas être gêné, au pire j'attribue un nouveau subnet pour des manips ou une migration.
Ensuite on peut aussi considérer cette pratique par rapport à du firewalling ou du blacklisting. La granularité minimale acceptable du blacklisting en IPv6 est le /64, car c'est le plus grand préfixe à partir duquel tu peux être à peu près certain (par rapport aux standards) qu'il appartient ou est contrôlé par une entité unique (utilisateur pour le cas d'une connexion résidentielle, sysadmin pour le cas d'un serveur), donc tu peux te faire plaisir à bannir le /64 entier. A noter que l'on pourrait choisir de blacklister des /128 mais dans ce cas c'est courir le risque de se faire DoS son firewall avec une simple connexion Freebox (2^64 règles de firewall ça fait mal ! ;)). Par conséquent, si l'un des serveurs du /64 se fait compromettre tous seront blacklistés (notamment pour des MX). C'est moins grave dans ton cas vu que c'est un /64 par client unique. C'est inadmissible par contre dans le cas de Amen qui à voir leur site offre 2 adresses (!!!) IPv6 par serveur (j'attends la confirmation du service client que ce sont bien 2 /128).
Là effectivement y a un gros risque. Mais apprendre à gaspiller c'est revenir dans les années 80/90 et penser qu'un /8 ipv4 serait trop petit pour un réseau de machines (sans virtualisation).
Pour résumer, je paraphraserais un collègue qui me disait "en IPv6 il faut réapprendre à gaspiller", ce que je commence à comprendre. On considère par convention (et par standard) que les 64 premiers bits de l'adresse sont réservés au réseau et les /64 derniers bits sont dévolus à l'hôte. Pour cela, l'équivalent d'un /24 IPv4 n'est pas un /64 IPv6 mais plutôt un /48 IPv6. On aurait un truc du genre: /12 IPv6 <=> /8 IPv4 (allocations RIR) /32 IPv6 <=> /16 - /22 IPv4 (allocations PA) /48 IPv6 <=> /24 IPv4 (assignations PI) /64 IPv6 <=> /32 IPv4 (hôte)
Oui ça c'est ce que le l'on voit partout. Mais bonjour la gestion ipma ... mais aussi la sécurité. Truc tout bête la plupart des gens vont mettre une ipv6 par machine, à tous les coups elle va finir par :1 Pour scanner un réseau suffira de prendre tous les /64 possible et tester la :1 pour savoir le nombre d'os derrière?
Cette vue me gêne et me dérange dans la gestion, dans le quotidien, ... aucune chance d'apprendre à retenir un préfix ...
A ce titre les assignations d'IPv6 sur les dédibox (/48) paraissent par contre un peu démesurées Note que je ne cherche pas à critiquer ton setup, je fais exactement le même genre de choses dans certains cas, par contre c'est un adressage qui je pense peut avoir ses limites.
Oui on discute :) au final le but est aussi d'agir, si je suis pas clean sur les précos mais qu'au moins le service est délivré en v6 alors j'ai déjà fait avancer la chose. Au moins on aura de la place pour refaire l'adressage si besoin plus tard, on ferra pas comme un client y a quelques années qui a changer l'avant dernier digit de son /24 ipv4 pour ré-adresser ses machines avant de revenir sur son subnet, sans mesurer les conséquences bgp ...
Au passage si tu veux discuter de ton point de vue le G6 accueille les opérateurs et administrateurs système les bras ouverts ! ;)
Il faudrait y penser :) on va déjà expérimenter un peu, sans doute apprendre de nos erreurs et on verra bien ce que l'on peut apporter ou pas. Sachant que des personnes sont dessus depuis plus de 15 ans, ils ont du faire le tour de toutes les questions avant nous, faut juste tenter d'en savoir un peu plus.