IPv6 en pratique : adresses, SLAAC, DHCPv6 et découpage en /64

IPv6 est la version du protocole IP qui utilise des adresses de 128 bits, écrites en hexadécimal par groupes de 16 bits (2001:db8:4a2c:3710::1a) ; elle offre assez d'adresses pour que chaque appareil ait une adresse publique, sans NAT, et chaque réseau local y reçoit un préfixe /64. Ce chapitre explique comment lire et abréger une adresse IPv6, les types d'adresses, l'autoconfiguration SLAAC, DHCPv6, le protocole NDP qui remplace ARP, et comment découper un préfixe pour une entreprise.

Pourquoi IPv6

IPv4 offre 4,3 milliards d'adresses : le stock est épuisé depuis le début des années 2010 (chapitre 5). Le NAT a prolongé sa vie, au prix d'un Internet où la plupart des machines ne sont pas joignables directement, et de doubles NAT chez les opérateurs mobiles.

IPv6 apporte 2¹²⁸ adresses, environ 3,4 × 10³⁸ : on ne risque plus d'en manquer. Il simplifie aussi plusieurs choses : un en-tête de taille fixe (40 octets), plus de broadcast, l'autoconfiguration des adresses sans serveur, plus de fragmentation par les routeurs.

Les grands opérateurs français fournissent IPv6 sur leurs box et leurs réseaux mobiles, et les grands sites (Google, Facebook, Wikipédia…) répondent en IPv6. Dans une entreprise, on fait le plus souvent tourner les deux protocoles en même temps : c'est la double pile (dual stack). Tu dois donc savoir lire, configurer et dépanner les deux.

Lire une adresse IPv6

Une adresse IPv6 mesure 128 bits, écrits en 8 groupes de 4 chiffres hexadécimaux (16 bits par groupe), séparés par des deux-points :

2001:0db8:4a2c:3710:0000:0000:0000:001a

Pour la raccourcir, deux règles :

1. Les zéros en tête de chaque groupe peuvent être omis : 0db8 → db8, 001a → 1a, 0000 → 0.
2. Une seule suite de groupes entièrement nuls, consécutifs, peut être remplacée par ::.

2001:0db8:4a2c:3710:0000:0000:0000:001a
→ 2001:db8:4a2c:3710:0:0:0:1a        (règle 1)
→ 2001:db8:4a2c:3710::1a             (règle 2)

La recommandation officielle (RFC 5952) précise l'écriture « canonique », celle qu'affichent les systèmes : chiffres en minuscules ; :: appliqué à la plus longue suite de groupes nuls, à la première en cas d'égalité ; jamais de :: pour un seul groupe nul.

Pour développer une adresse, compte les groupes présents et remplace :: par autant de groupes 0000 qu'il en manque pour arriver à 8. ff02::1:ff3d:4e5f a 4 groupes : le :: en vaut 4, d'où ff02:0000:0000:0000:0000:0001:ff3d:4e5f.

Comme en IPv4, la notation préfixe/longueur indique la partie réseau : 2001:db8:4a2c:3710::/64. Il n'y a pas de masque en décimal pointé en IPv6. Dans une URL, l'adresse se met entre crochets : https://[2001:db8:4a2c:3720::179]/.

La structure d'une adresse : 64 bits pour le réseau, 64 pour l'interface

Une adresse unicast globale se découpe presque toujours ainsi :

• Le préfixe de routage global est délégué par l'opérateur : un /48 pour une grande organisation, un /56 ou un /60 pour une box ou une PME.
• L'identifiant de sous-réseau est choisi par l'organisation : c'est là qu'elle découpe.
• L'identifiant d'interface, les 64 derniers bits, désigne la machine dans le réseau.

Les types d'adresses

Une interface IPv6 a toujours plusieurs adresses : au moins une adresse lien-local, et en général une ou plusieurs adresses globales (dont des adresses temporaires, voir plus bas). C'est normal, et c'est la première surprise quand on lit un ipconfig.

Il n'y a plus de broadcast. Ce que faisait le broadcast passe par des groupes multicast ciblés : seules les machines concernées traitent le message.

NDP : le voisinage en IPv6

NDP (Neighbor Discovery Protocol) regroupe des messages ICMPv6 qui remplacent ARP et ajoutent la découverte des routeurs :

Avant d'utiliser une adresse, une machine vérifie que personne ne l'a déjà, avec un NS sur sa propre adresse : c'est la détection d'adresse dupliquée (DAD).

SLAAC : l'autoconfiguration sans serveur

Avec SLAAC (Stateless Address Autoconfiguration), une machine se configure seule :

1. Elle crée son adresse lien-local (fe80:: + un identifiant d'interface) et vérifie qu'elle est unique.
2. Elle envoie un RS. Le routeur répond par un RA qui contient le préfixe du réseau (2001:db8:4a2c:3710::/64) et des drapeaux.
3. Elle fabrique son adresse globale : le préfixe annoncé + un identifiant d'interface de 64 bits qu'elle génère elle-même.
4. Elle prend comme passerelle l'adresse lien-local du routeur qui a envoyé le RA.

L'identifiant d'interface était autrefois dérivé de l'adresse MAC (méthode EUI-64 : la MAC coupée en deux, ff:fe inséré au milieu, un bit inversé). Comme cela permettait de suivre un appareil partout, les systèmes actuels utilisent un identifiant stable mais opaque (RFC 7217) pour l'adresse principale, plus des adresses temporaires aléatoires, changées régulièrement, pour les connexions sortantes (RFC 8981). Repère dans une adresse le motif ff:fe au milieu de l'identifiant : c'est la trace d'un EUI-64, encore fréquent sur les routeurs et les vieux appareils.

DHCPv6 : avec ou sans état

Le RA porte deux drapeaux qui disent aux clients comment compléter leur configuration :

DHCPv6 sans état (stateless) ne distribue que des options (DNS, domaine) : le serveur ne garde aucune trace d'adresse. DHCPv6 avec état (stateful) distribue aussi les adresses et tient un journal des baux, comme en IPv4, ce que demandent certaines organisations pour la traçabilité. DHCPv6 utilise UDP, ports 546 (client) et 547 (serveur), et identifie les clients par un DUID, pas par leur adresse MAC.

Point pratique : certains systèmes, dont Android, n'obtiennent pas d'adresse en DHCPv6 avec état. Sur un réseau de clients variés, on garde donc SLAAC, éventuellement complété par DHCPv6 sans état ; le DHCPv6 avec état est plutôt réservé aux serveurs et aux réseaux maîtrisés.

Découper un préfixe : le plan IPv6 de Sorbier

L'opérateur de Sorbier lui délègue 2001:db8:4a2c:3700::/56. De /56 à /64, il y a 8 bits d'identifiant de sous-réseau : 2⁸ = 256 réseaux /64, de 2001:db8:4a2c:3700::/64 à 2001:db8:4a2c:37ff::/64. Les 8 bits correspondent aux deux derniers chiffres hexadécimaux du 4e groupe.

Pour que le plan soit lisible, Sorbier recopie le numéro de VLAN dans l'identifiant de sous-réseau, en l'écrivant tel quel en hexadécimal : VLAN 10 → …:3710::/64. C'est une convention de lisibilité (le « 10 » hexadécimal vaut 16 en décimal), pas une obligation.

Les serveurs reçoivent des adresses fixes, faciles à retenir : srv-ad = 2001:db8:4a2c:3720::177, en reprenant le dernier octet de l'adresse IPv4. Les postes utilisent SLAAC.

Faire cohabiter IPv4 et IPv6

• Double pile : chaque équipement a une adresse IPv4 et une adresse IPv6, le système choisit (il préfère IPv6 quand le nom a un enregistrement AAAA et que ça fonctionne). C'est la méthode normale en entreprise.
• Traduction NAT64 et DNS64 : un réseau 100 % IPv6 accède aux sites restés en IPv4 grâce à une passerelle qui traduit. Les opérateurs mobiles l'utilisent, avec 464XLAT pour les applications qui ne parlent qu'IPv4.
• Tunnels (6in4 et autres) : de l'IPv6 transporté dans de l'IPv4. Utile ponctuellement, en recul.

Les commandes IPv6

Exercices

Adresse IPv6. . . . . . . . . . . . . . : 2001:db8:4a2c:3710:6d1e:8f2a:b43c:9e17
Adresse IPv6 temporaire . . . . . . . . : 2001:db8:4a2c:3710:c58:1af4:27d0:3b62
Adresse IPv6 de liaison locale. . . . . : fe80::6d1e:8f2a:b43c:9e17%12
Adresse IPv4. . . . . . . . . . . . . . : 192.168.10.88
Masque de sous-réseau. . . . . . . . . : 255.255.255.192
Passerelle par défaut. . . . . . . . . : fe80::1%12
                                          192.168.10.126