IPv6 sur les routeurs et les switchs Cisco

Router en IPv6 sur un équipement Cisco demande trois choses : activer le routage IPv6 (ipv6 unicast-routing), donner une adresse IPv6 à chaque interface, puis écrire des routes statiques ou configurer OSPFv3 ; le routeur annonce alors lui-même le préfixe de chaque réseau aux machines, qui se configurent seules. Ce chapitre ajoute IPv6 au siège et à l'agence de Marseille, en double pile avec IPv4 : adresses des interfaces, annonces de routeur, relais DHCPv6, routes statiques avec une adresse de lien local, OSPFv3 et ACL IPv6.

Ce que tu dois déjà savoir

L'écriture des adresses IPv6, leur structure (64 bits pour le réseau, 64 pour l'interface), les adresses de lien local, NDP, SLAAC et DHCPv6 sont expliqués dans le chapitre IPv6 en pratique du cours Réseaux, avec le plan IPv6 de Sorbier. Ce chapitre ne refait pas ces explications : il configure.

Rappel du plan du siège : l'opérateur de Lyon délègue à Sorbier le préfixe 2001:db8:4a2c:3700::/56, et le numéro de VLAN est recopié dans le 4e groupe (VLAN 10 → 2001:db8:4a2c:3710::/64). Pour les liens entre équipements, on prend la fin du /56 :

L'agence de Marseille a son propre opérateur, qui lui délègue 2001:db8:5e10:4b00::/56 ; elle applique la même convention (VLAN 10 → 2001:db8:5e10:4b10::/64). Saint-Priest reste en IPv4 pour l'instant.

Activer le routage IPv6

Par défaut, un équipement Cisco sait avoir une adresse IPv6, mais ne route pas en IPv6 et n'envoie pas d'annonces de routeur. Une commande globale l'active :

SW-COEUR(config)# ipv6 unicast-routing

C'est l'équivalent IPv6 d'ip routing, et c'est l'oubli numéro un : sans elle, les interfaces ont leurs adresses, mais les postes ne reçoivent aucune annonce, n'obtiennent pas d'adresse globale et ne connaissent pas de passerelle IPv6.

Adresser les interfaces

Sur SW-COEUR, chaque SVI reçoit son adresse globale. On fixe aussi son adresse de lien local à fe80::1 : c'est cette adresse que les postes utilisent comme passerelle IPv6, et une valeur courte et identique dans tous les VLAN facilite la lecture des tables et le dépannage.

SW-COEUR(config)# interface Vlan10
SW-COEUR(config-if)# ipv6 address 2001:db8:4a2c:3710::1/64
SW-COEUR(config-if)# ipv6 address fe80::1 link-local
SW-COEUR(config-if)# interface Vlan20
SW-COEUR(config-if)# ipv6 address 2001:db8:4a2c:3720::1/64
SW-COEUR(config-if)# ipv6 address fe80::1 link-local
SW-COEUR(config-if)# interface GigabitEthernet1/0/48
SW-COEUR(config-if)# ipv6 address 2001:db8:4a2c:37f0::1/64
SW-COEUR(config-if)# interface GigabitEthernet1/0/47
SW-COEUR(config-if)# ipv6 address 2001:db8:4a2c:37ff::2/64

Les VLAN 30, 40, 50 et 99 suivent le même modèle. Une adresse de lien local n'a de sens que sur son lien : la même fe80::1 sur toutes les SVI ne crée aucun conflit.

Dès qu'une interface a une adresse globale en /64 et que le routage IPv6 est actif, l'équipement envoie des annonces de routeur (RA, Router Advertisement) sur ce réseau : le préfixe, et le fait qu'il est la passerelle. Les postes du VLAN 10 se fabriquent une adresse dans 2001:db8:4a2c:3710::/64 par SLAAC et prennent fe80::1 comme passerelle par défaut.

Sur les liens entre équipements, personne n'a besoin d'annonces. On les coupe :

SW-COEUR(config)# interface GigabitEthernet1/0/48
SW-COEUR(config-if)# ipv6 nd ra suppress all

DHCPv6 et le relais

SLAAC donne une adresse et une passerelle, mais pas toujours le serveur DNS de l'entreprise (une option des annonces le permet, inégalement prise en charge). Chez Sorbier, srv-ad distribue en DHCPv6 sans état les informations complémentaires (DNS, domaine). Le routeur l'indique aux postes par un drapeau dans ses annonces, et relaie leurs requêtes vers le serveur, comme ip helper-address en IPv4 :

SW-COEUR(config)# interface Vlan10
SW-COEUR(config-if)# ipv6 nd other-config-flag
SW-COEUR(config-if)# ipv6 dhcp relay destination 2001:db8:4a2c:3720::177

• ipv6 nd other-config-flag (drapeau O) : « garde ton adresse SLAAC, et demande le reste en DHCPv6 » ;
• ipv6 nd managed-config-flag (drapeau M) : « demande aussi ton adresse en DHCPv6 » (DHCPv6 avec état) ;
• ipv6 dhcp relay destination : le relais vers le serveur, posé sur la passerelle des clients.

Les routes statiques IPv6

La syntaxe reprend celle d'IPv4, avec la notation en préfixe :

ipv6 route <préfixe>/<longueur> <prochain saut | interface [adresse de lien local]> [distance]

SW-COEUR sort vers Internet par le pare-feu et joint Marseille par R-LYON :

SW-COEUR(config)# ipv6 route ::/0 2001:db8:4a2c:37ff::1
SW-COEUR(config)# ipv6 route 2001:db8:5e10:4b00::/56 2001:db8:4a2c:37f0::2

R-LYON renvoie tout vers le siège, sauf Marseille :

R-LYON(config)# ipv6 unicast-routing
R-LYON(config)# interface GigabitEthernet0/0/0
R-LYON(config-if)# ipv6 address 2001:db8:4a2c:37f0::2/64
R-LYON(config-if)# interface GigabitEthernet0/0/1
R-LYON(config-if)# ipv6 address 2001:db8:4a2c:37f1::1/64
R-LYON(config-if)# exit
R-LYON(config)# ipv6 route ::/0 2001:db8:4a2c:37f0::1
R-LYON(config)# ipv6 route 2001:db8:5e10:4b00::/56 2001:db8:4a2c:37f1::2

R-MARSEILLE joint le siège par le lien loué et sort sur Internet par son propre opérateur. Le routeur de l'opérateur ne lui a donné que son adresse de lien local, fe80::1 : un prochain saut de lien local n'est valable que sur un lien précis, il faut donc nommer l'interface de sortie.

R-MARSEILLE(config)# ipv6 route 2001:db8:4a2c:3700::/56 2001:db8:4a2c:37f1::1
R-MARSEILLE(config)# ipv6 route ::/0 GigabitEthernet0/0/3 fe80::1

Vérifier

R-LYON# show ipv6 interface brief
GigabitEthernet0/0/0   [up/up]
    FE80::2A3:D1FF:FE5B:6C00
    2001:DB8:4A2C:37F0::2
GigabitEthernet0/0/1   [up/up]
    FE80::2A3:D1FF:FE5B:6C01
    2001:DB8:4A2C:37F1::1
GigabitEthernet0/0/2   [up/up]
    unassigned

IOS affiche les adresses en majuscules. Chaque interface IPv6 a une adresse de lien local, fabriquée automatiquement si on ne l'a pas fixée. Gi0/0/2, vers Saint-Priest, n'a pas d'IPv6.

R-LYON# show ipv6 route
IPv6 Routing Table - default - 7 entries
Codes: C - Connected, L - Local, S - Static, U - Per-user Static route
       B - BGP, R - RIP, O - OSPF Intra, OI - OSPF Inter, OE1 - OSPF ext 1
       OE2 - OSPF ext 2, ND - ND Default, NDp - ND Prefix
       ...
S   ::/0 [1/0]
     via 2001:DB8:4A2C:37F0::1
C   2001:DB8:4A2C:37F0::/64 [0/0]
     via GigabitEthernet0/0/0, directly connected
L   2001:DB8:4A2C:37F0::2/128 [0/0]
     via GigabitEthernet0/0/0, receive
C   2001:DB8:4A2C:37F1::/64 [0/0]
     via GigabitEthernet0/0/1, directly connected
L   2001:DB8:4A2C:37F1::1/128 [0/0]
     via GigabitEthernet0/0/1, receive
S   2001:DB8:5E10:4B00::/56 [1/0]
     via 2001:DB8:4A2C:37F1::2
L   FF00::/8 [0/0]
     via Null0, receive

La dernière ligne, FF00::/8, est la plage multicast, que le routeur traite lui-même. Les autres commandes : show ipv6 neighbors (le cache NDP, équivalent de la table ARP), ping et traceroute qui acceptent directement une adresse IPv6, et show ipv6 route 2001:db8:5e10:4b10::25 pour savoir quelle route s'applique.

OSPFv3 en quelques lignes

OSPF pour IPv6 s'appelle OSPFv3. Les principes sont ceux du chapitre 8 : voisins, base de données, coût, aires. Deux différences pratiques : il s'active sur les interfaces (pas de commande network), et les voisins se parlent avec leurs adresses de lien local. Son identifiant de routeur s'écrit comme une adresse IPv4 : sur un équipement sans aucune adresse IPv4, il faut le fixer, sinon le processus ne démarre pas.

R-LYON(config)# ipv6 router ospf 1
R-LYON(config-rtr)# router-id 2.2.2.2
R-LYON(config-rtr)# auto-cost reference-bandwidth 10000
R-LYON(config-rtr)# exit
R-LYON(config)# interface GigabitEthernet0/0/0
R-LYON(config-if)# ipv6 ospf 1 area 0
R-LYON(config-if)# interface GigabitEthernet0/0/1
R-LYON(config-if)# ipv6 ospf 1 area 0
R-LYON(config-if)# ipv6 ospf cost 100

La vérification se fait avec show ipv6 ospf neighbor et show ipv6 route ospf. Sur les IOS XE récents, une syntaxe plus récente (router ospfv3 1, puis address-family ipv6 unicast) gère IPv4 et IPv6 dans un même processus ; l'ancienne reste acceptée.

Les ACL IPv6

Les ACL IPv6 sont toujours nommées et toujours « étendues ». On les applique avec ipv6 traffic-filter (et non ip access-group) :

SW-COEUR(config)# ipv6 access-list ENTREPOT6-IN
SW-COEUR(config-ipv6-acl)# permit udp any any eq 547
SW-COEUR(config-ipv6-acl)# permit tcp 2001:db8:4a2c:3730::/64 host 2001:db8:4a2c:3720::179 eq 443
SW-COEUR(config-ipv6-acl)# permit icmp any any nd-ns
SW-COEUR(config-ipv6-acl)# permit icmp any any nd-na
SW-COEUR(config-ipv6-acl)# deny ipv6 any any log
SW-COEUR(config-ipv6-acl)# exit
SW-COEUR(config)# interface Vlan30
SW-COEUR(config-if)# ipv6 traffic-filter ENTREPOT6-IN in

Le port UDP 547 est celui des serveurs et relais DHCPv6 ; les deux lignes nd-ns et nd-na sont expliquées juste après. Une différence importante avec IPv4 : chaque ACL IPv6 se termine par des règles implicites qui autorisent la découverte des voisins (messages NDP de sollicitation et d'annonce de voisin) avant le refus implicite final. Sans elles, plus aucune machine ne trouverait l'adresse MAC de sa passerelle. Mais un deny ipv6 any any explicite placé en fin de liste passe avant ces règles implicites et bloque NDP : si tu termines par un refus explicite, ajoute d'abord permit icmp any any nd-ns et permit icmp any any nd-na. Les annonces de routeur, elles, ne sont pas concernées par une ACL en entrée de la SVI, puisque c'est le switch qui les émet.

Une ACL IPv4 ne filtre rien en IPv6, et inversement : sur un réseau en double pile, chaque règle s'écrit deux fois. C'est l'oubli qui ouvre des brèches.

Exercices

interface Vlan50
 ipv6 address 2001:db8:4a2c:3750::1/64
 ipv6 address fe80::1 link-local
 ipv6 nd other-config-flag
 ipv6 dhcp relay destination 2001:db8:4a2c:3720::177

ipv6 access-list VISITEURS6-IN
 deny ipv6 any 2001:db8:4a2c:3700::/56
 permit ipv6 any any