Ip V4 Ou Ip V6

[aristote]

Mon modem-routeur est la freebox V5 : j'ai le choix d'activer ou non l'ip v6.

Si je passe en ip v6, faudra-t-il modifier les redirections de la freebox (notamment les redirections vers le nas synology ?

Ou au contraire, n'y aura-t-il rien à faire ?

Le passage à IPV6 a-t-il un intérêt pour l'usage du NAS ?

[gaetan.cambier]

utile, on va dire que ca sera mieux pour l'acces aus sites qui supporte ipv6, c'est en théorie + rapide (pour faire simple, il y en a pas beaucoup à part les gros site google facebook et autre)

toute facon, ca ne change rien pour ton acces à ton nas, tu peux l'activer sans risque

[Fenrir]

avec un bémol tout de même, en ipv4 le nat limite les accès depuis l’extérieur (sans pour autant faire office de firewall), en ipv6 ton nas (et tout ce qui est derrière ta freebox) va être directement relié à internet, donc tous les ports accessibles, il faut donc bien le configurer niveau sécurité (mots de passe, firewall, ...)

[gaetan.cambier]

le routeur (en l'ocurence la freebox) devrait faire le firewall, à moin que leur implementation ait été au plus simple cad pas de firewall en ipv6 :s a vérifié qd meme

[CoolRaoul]

le routeur (en l'ocurence la freebox) devrait faire le firewall, à moin que leur implementation ait été au plus simple cad pas de firewall en ipv6 :s a vérifié qd meme

Je suis certain que la Freebox V5 n'intègre pas de firewall, en suis sur à 99.9% dans le cas de la V6.

Comme le fait remarquer Fenrir, en IPV4 on est quand même protégé par le NAT: un paquet entrant dont la combinaison [protocole,port] cible ne correspond ni à une session IP Active ni à une règle de redirection de port sera purement et simplement droppé, ce qui correspond bien il me semble à une fonction de type firewall si on y réfléchit.

En IPV6 via Freebox, plus de protection (sauf qu'un attaquant éventuel aura quand même du mal à deviner l'adresse de d'équipement à viser parmi les centaines de milliers d'adresses potentielles dont on dispose de fait)

[Fenrir]

Pour l'ensemble des box grand public, en ipv6 vous êtes directement connecté au net, sans firewall

Pour un équipement passif (type domotique), le risque de se faire attaquer est marginal

Pour un équipement actif (qui va un peu sur le net, comme une TV, un nas, ...), le risque reste faible

Pour un équipement utilisateur (PC/MAC/tablette/...), les chances de se faire attaquer sont proches de 100%, que ce soit en ipv4 (même si la rfc 1918 limite le risque) ou en IPv6

En IPv6, même s'il est difficile et non réaliste de scanner toutes les IP possibles d'un usager, quand ce dernier va sur un site, il y va avec son IP actuelle, donc si le site (ou n'importe laquelle de ses pubs) est vérolé, l'IP sera dévoilée à l'attaquant.

Néanmoins l'IPv6 apporte suffisamment de solutions aux nombreux problèmes de l'IPv4 pour que je recommande son usage, ne serait ce que pour limiter les ardeurs de certains FAI à faire du CGN (qui pour rappel a pour principales conséquences de tuer toute forme d'auto hébergement et de transformer l'Internet global en Internet à la Chinoise).

[gaetan.cambier]

en tout cas, les vrai routeur, meme grand public, integre un firewall ipv6

http://kb.linksys.com/Linksys/GetArticle.aspx?docid=978eca6b436a4edc92576ba183b91f5c_KB_EN_v1.xml

http://ui.linksys.com/E1200/2.0.04/ipv6_firewall.htm

(j'ai pas fait le tour des marque, j'ai pris au + rapide)

ne pas integré de firewall ipv6 alors que leur box tourne sous linux comme la plupart --> iptables et ip6tables sont pas compliqué a integrer, c'est un peu du foutage de gueule

[Fenrir]

en tout cas, les vrai routeur, meme grand public, integre un firewall ipv6

http://kb.linksys.com/Linksys/GetArticle.aspx?docid=978eca6b436a4edc92576ba183b91f5c_KB_EN_v1.xml

http://ui.linksys.com/E1200/2.0.04/ipv6_firewall.htm

(j'ai pas fait le tour des marque, j'ai pris au + rapide)

ne pas integré de firewall ipv6 alors que leur box tourne sous linux comme la plupart --> iptables et ip6tables sont pas compliqué a integrer, c'est un peu du foutage de gueule

ce qui est compliqué ce n'est pas de faire un firewall ipv6, mais c'est de faire un firewall ipv6 sur un modem-routeur, avec une interface simple, compréhensible par des personnes qui savent à peine ce qu'est une ip (et qui n'ont pour la plupart jamais entendu parler d'ipv4 ou d'ipv6, juste d'ip) tout en respectant les bonnes pratique, le tout avec un cout minimaliste.

Une simple question rhétorique pour illustrer mon propos : Tu fais comment pour que le port 443 soit toujours autorisé uniquement vers un équipement, même quand celui-ci implémente la rfc4941 sachant que les 3 os les plus utilisés (android, ios et windows 7), l'implémentent par défaut ?

Pour m'être amusé à le faire sur un rasp (qui doit bien être 5 fois plus puissant que la plus puissante des box), je peux te garantir que c'est du sport.

Là ou je te rejoins par contre c'est sur le "foutage de gueule" des gros FAI sur le sujet IPv6

Entre Bouygues et Orange qui trainent la patte pour ouvrir l'IPv6, Free qui ne propose qu'un /64 (donc pas de routage possible derrière la box), SFR qui fait du CGN et Numericable qui le fait au compte goute, on n'est pas gâté, il n'y a que que FDN, Nerim et OVH qui offre réellement de l'IPv6 au particuliers en France

Mais on s'éloigne du sujet.

Il faut juste garder à l'esprit qu'un équipement directement raccordé au net devrait toujours être sécurisé (firewall interne, mots de passes forts, services limités, ...)

[gaetan.cambier]

dans un sens, avec ipv4, la plupart des personne avait un problème pour créer une regle de nat, maintenant, il auront un problème pour ouvrir un port sur la bon ip (bon, au total, ils auront toujours un problème)

le problème de la rfc4941, ca peut etre surtout en entreprise ou le firewall sortant est activer (et encore, pour ce port en général, on laisse passer toute les ip)

pour un serveur web par exemple, le + simple etant de le desactiver pour que l'ip ne change plus

mais c'est juste que pour l'utilisateur lamba qui va vouloir ouvrir un couple ip:port sur son routeur pour son logiciel de download favoris, avec cette rfc, ca va poser problème