Compte-rendu du TP n o 2

Transcription

1 Qiao Wang Charles Duchêne 27 novembre 2013 Compte-rendu du TP n o 2 Document version 1.0 F2R UV301B IPv6 : déploiement et intégration

2 Sommaire 1. ÉTABLISSEMENT DU PLAN D ADRESSAGE 2 2. CONNEXION DU ROUTEUR AU RÉSEAU DE LA SALLE 2 3. MISE EN PLACE DU RÉSEAU SERVEUR 3 4. DÉPLOIEMENT DU RÉSEAU CLIENT 6 5. CONFIGURATION DU SERVEUR DE NOMMAGE 7 6. CONFIGURATION DES RÈGLES DE FILTRAGE 8 7. DÉPLOIEMENT D UN RÉSEAU DOUBLE PILE 8 8. ACCÈS AUX SERVICES WEB 8 1

3 Salle 27, banc ÉTAPE 2 : ÉTABLISSEMENT DU PLAN D ADRESSAGE Sachant que RENATER attribue des préfixes de 48 bits à ses clients, combien de clients RENATER peut-il servir en adresses IPv6 sur ce bloc? RENATER utilise un /32 et attribue des /48. Il bénéficie donc de 16 bits pour identifier ses clients = RENATER peut servir clients sur le bloc d IPv6 car on n utilise pas l adresse du réseau. Combien de préfixes de lien IPv6, de taille standard 64 bits, peut-on définir sur le site à partir de 2001:660:7301::/48? Télécom Bretagne dispose à Rennes d un /48. Les sous-réseaux sont définis par des /64, c est-à-dire que l on bénéficie de 16 bits pour identifier les sous-réseaux préfixes de lien IPv6 peuvent être définis à Télécom Bretagne, site de Rennes. Quel est le préfixe IPv6 associé à votre salle de TP? Préfixe 2001:660:7301:2700::/56. Combien de liens IPv6 est-il possible de définir dans cette salle? Il reste 8 bits pour définir des liens. Il est possible d en définir = 255. Quels seront les 2 préfixes IPv6 à utiliser sur votre banc? Pour le réseau serveur : 2001:660:7301:2771::/64. Pour le réseau client : 2001:660:7301:2772::/64. Si vous prévoyez de déployer jusqu à 16 liens IPv6 par banc, numérotés de 0 à f, quel préfixe IPv6 peut agréger tous les préfixes de votre banc? Il s agit du préfixe 2001:660:7301:277::/60. 2

4 2. ÉTAPE 3 : CONNEXION DU ROUTEUR AU RÉSEAU DE LA SALLE Combien d adresses IPv6 sont configurées sur le router? Aucune adresse IPv6 n est configurée pour le moment. Quelle sera l adresse IPv6 de votre routeur? L IP est 2001:660:7301:2700::7. Combien d adresses IPv6 sont configurées sur le routeur? Deux adresses IPv6 sont alors configurées : l adresse globale assignée manuellement et une adresse de lien local : 2001:660:7301:2700::7 ; fe80::219:e8ff:fe53:f096. Pourquoi cette commande échoue-t-elle? Cette commande échoue puisque le préfixe 2001:660:7301/48 n existe pas dans la table de routage, il ne sait pas par quelle inteface router le paquet. Quelles routes ont été ajoutées à la table par l activation du protocole RIP? Une nouvelle route a été ajoutée dans la table de routage (repérée par R pour RIP), une route par défaut : R ::/0 [120/2] via fe80::201:64ff:fe2f:fc0a, FastEthernet0/0. Nous n observons qu une seule route ajoutée car aucun autre banc n avait activé RIP. C eût été le cas que nous eussions eu également autant de routes que de bancs annonçant leur route. Le résultat de ce test de joignabilité confirme-t-il votre hypothèse faite précédemment? Le ping réussit, ce qui confirme que l absence de la route par défaut faisait défaut. 3. ÉTAPE 4 : MISE EN PLACE DU RÉSEAU SERVEUR Combien d adresses IPv6 sont configurées sur le routeur? 4 adresses IPv6 sont désormais configurées : sur Fa0/0, adresse globale manuellement configurée 2001:660:7301:2700::7 ; sur Fa0/0, adresse lien-local fe80::219:e8ff:fe53:f096 ; sur Fa0/1, adresse lien-local fe80::219:e8ff:fe53:f097 ; sur Fa0/1.101, adresse lien-local fe80::219:e8ff:fe53:f097. 3

5 Pourquoi les adresses lien-local des interfaces physiques et virtuelles sont ici identiques? Les adresses sont identiques puisqu elles dérivent de l adresse MAC de l interface physique. L interface virtuelle étant reliée à l interface physique Fa0/1, elles partagent la même adresse MAC et donc la même adresse IPv6. Cela pose-t-il un problème d avoir la même adresse sur ces deux interfaces? Non puisque comme les interfaces ne sont pas dans le même VLAN, elles ne sont pas considérées comme étant dans le même réseau. À quels groupes multicast est abonné le routeur? Le routeur est abonné : ff02::1, tous les nœuds ; ff02::2, tous les routeurs ; ff02::1:ff53:f097, adresse de multicast dérivée de l adresse MAC (solicited multicast). Pourquoi est-il nécessaire d avoir accès au groupe ff02::1? Le groupe ff02::1 représente l ensemble des nœuds sur un lien IPv6. Cette adresse permet notamment aux routeurs de donner des informations sur le réseau. Toutes les machines y appartiennent. Pourquoi est-il nécessaire d avoir accès au groupe ff02::2? Le groupe ff02::2 représente l ensemble des routeurs sur le lien. Les équipements y envoient des requêtes Router Discovery qui permettent d obtenir des informations sur le réseaux. Les routeurs doivent être à même de répondre à ces sollicitations. La fonctionnalité DAD est activée par défaut. À quoi sert cette fonctionnalité? DAD signifie Duplicate Address Detection : cette fonctionnalité permet d éviter que deux machines sur le lien aient la même adresse IPv6. Un équipement choisit une adresse globale et demande au réseau si un autre équipement possède déjà cette adresse. En l absence de réponse, l adresse est attribuée (après plusieurs essais pour pallier les éventuels problèmes dus à des pertes de paquets). La fonctionnalité ND est activée par défaut. À quoi sert cette fonctionnalité? ND signifie Neighbor Discovery : cette fonctionnalité permet de déterminer l adresse de lien local de leurs voisins, de configurer le routeur par défaut, détecter les duplication d adresse (avec DAD)... C est grâce à ce protocole que les équipements découvrent les routeurs qui leurs sont accessibles et que ces routeurs leurs communiquent les paramètres nécessaires à la configuration IPv6. 4

6 Combien le routeur possède-t-il d adresses globales? Le routeur dispose désormais de deux adresses globales qui ont été manuellement configurées : 2001:660:7301:2700::7 sur Fa0/0 ; 2001:660:7301:2771:219:e8ff:fe53:f087 sur Fa0/1.101, construite à partir de l adresse MAC (eui-64). Retrouvez les paramètres que vous avez configurés dans les messages en analysant les trames sous Wireshark. On observe des messages ICMPv6 Router Advertissement de notre routeur (envoyés avec l adresse de lien-local). Ces messages sont bien envoyés toutes les 30 secondes et on retrouve les informations configurées dans le paquet ICMPv6. Combien d adresses IPv6 sont configurées sur la machine? 2 adresses IPv6 sont configurées sur la machine : l adresse de loopback sur l inteface lo : ::1/128 ; une adresse de lien-local configurée sur l interface eth1 : fe80::20a:f7ff:fe16:4658/64. Combien d adresses IPv6 possède maintenant la machine? Désormais, 3 adresses IPv6 sont configurées, les 2 précédemment indiquées plus une adresse de lien-local pour l interface eth0 : fe80::20a:f7ff:fe16:45f1/64. Quels types de messages ont été capturés? Quel est leur objectif? On observe des messages Neighbor Solicitation et des Router Solicitation (plus les Router Advertissement déjà observés). Ces échanges permettent aux interfaces du PC de s auto-configurer : informations quant au réseau, routeur par défaut, construction d adresses... Quels sont les paramètres obtenus par la configuration automatique? La configuration automatique a permis d obtenir la route par défaut : ::/0 via fe80::219:e8ff:fe53:f097. Que manque-t-il pour que le dernier test de connectivité puisse réussir? Les ping vers notre routeur, le routeur du banc 8 et le routeur de l école fonctionne. En revanche, le ping vers ne fonctionne pas. Cela est dû au fait qu il manque une résolution DNS (erreur unknow host). Après ajout d une adresse pour la résolution DNS, le test de connectivité fonctionne. 5

7 4. ÉTAPE 5 : DÉPLOIEMENT DU RÉSEAU CLIENT Dans une architecture DHCPv6 avec relais, retrouvez les messages qui circulent dans les sens (1), (2), (3) et (4). Donnez les adresses source et destination de ces messages. 1. Information request de fe80::20a:f7ff:fe16:4635 à ff02::1:2 (unicast lien-local client vers multicast relais) ; 2. Relay Information request de 2001:660:7301:2771:219:e8ff:fe53:f097 à ff05::1:3 (unicast relai vers multicast serveurs DHCPv6) ; 3. Relay Reply de 2001:660:7301:2771:20a:f7ff:fe16:45f1 à 2001:660:7301:2771:219:e8ff:fe53:f097 (unicast serveur DHCPv6 vers unicast relai) ; 4. Advertise de 2001:660:7301:2771:219:e8ff:fe53:f097 à fe80::20a:f7ff:fe16:4635 (unicast relai vers unicast lien-local client). Pour quelles raisons ces annonces sont-elles toujours obligatoires sur un réseau utilisant DHCPv6? C est dans les annonces du routeur que celui-ci indiquera la méthode à retenir pour la construction d adresses ainsi que des éléments de configuration. Dans notre cas, dans les messages Router Advertisement, le bit M (Managed Address Configuration) sera mis à 1 pour indiquer que l équipement doit explicitement demander une adresse à un serveur DHCP. Ce message permet également d indiquer le préfixe à utiliser. Examiner les différences entre les annonces de routeur du VLAN serveur et client. Dans les messages Router Advertisement, le flag pour le VLAN 101 est 0xc0 avec l option Autonomous address-configuration flag: Set alors que pour le VLAN 102, on a un flag à 0x80 avec l option Autonomous address-configuration flag: Not set. Quels sont les messages échangés? Quel est leur objectif? On observe comme précédemment les messages NS, RS et RA pour autoconfigurer le réseau. Le comportement du PC client est-il conforme à ce qui est attendu? Le comportement n est pas conforme : le client prend une adresse IPv6 dérivée de son adresse MAC. Cela est dû au fait qu il n y a pas de serveur DHCP capable de lui répondre. Quelle est l adresse multicast correspondant au serveur DHCPv6? Il s agit de ff05::1:3. 6

8 Comment est indiquée la destination des messages à relayer? Quelle est l autre option de configuration? La destination des messages à relayer est indiquée par destination ff05::1:3 Fa0/1.101 : il s agit de l adresse de multicast pour les serveurs DHCPv6 ainsi que l interface de sortie (l adresse est «scopée»). Quel est l avantage de la solution choisie? L avantage d utiliser l adresse multicast et non l adresse unicast du serveur est que ce dernier peut changer d adresse IPv6 sans que cela n impacte la configuration du réseau. Quels sont les messages échangés? Quel est leur objectif? On observe les messages DHCPv6 suivants : Solicit, Relay-forw, Relay-reply et Advertise. Ces messages permettent d obtenir une adresse IPv6 auprès du seveur DHCP. Quelle est la valeur nécessaire à la configuration de l adresse qui n est pas transmise par DHCPv6? Comment cette valeur est-elle récupérée? La valeur nécessaire à la configuration et non transmise par DHCPv6 est la longueur du préfixe. Cette information est donnée par le routeur dans les messages Router Advertissement. 5. ÉTAPE 6 : CONFIGURATION D UN SERVEUR DE NOM- MAGE Pourquoi ne publie-t-on pas les adresses lien-local dans le DNS? Les adresses de lien-local n ont une portée que sur le lien et ne sont pas routables, il n est d aucun intérêt de les publier dans le DNS. Comment modifier la configuration du PC serveur pour qu il utilise automatiquement le serveur DNS que vous venez de configurer pour la résolution de nom? Dans /etc/resolv.conf, ajouter la ligne nameserver ::1. Comment modifier la configuration du PC client pour qu il utilise le serveur DNS du PC serveur pour la résolution de nom? Dans /etc/widedhcpv6/dhcp6s.conf, remplacer la ligne option domain-name-server 2001:660:7301:1::1; par option domain-name-server 2001:660:7301:2771::53;. Il faut ensuite redémarrer le serveur et le client DHCP. À noter qu avant de relancer le client DHCP, nous avions essayé de désactiver puis réactiver l interface sur le client, cela ne fonctionnait pas, le client envoyant un message DHCP confirm. 7

9 Donnez le domaine inverse de l adresse IPv6 de notre serveur DNS. Le domaine inverse est : ip6.arpa. 6. ÉTAPE 7 : CONFIGURATION DES RÈGLES DE FILTRAGE Pourquoi ne voyez-vous pas les réponses du serveur du banc Y depuis le client de votre banc? Comme nous avons usurpé l adresse IP, le routeur du banc Y va considérer que les paquets proviennent du réseau qu il gère et ne les transmettra pas à notre machine. 7. ÉTAPE 8 : DÉPLOIEMENT D UN RÉSEAU DOUBLE PILE Combien de plans d adressage IPv4 privés sont mis en œuvre sur le routeur? Deux plans d adressage privés sont mis en œuvre : le réseau /24 et le réseau /24. Quelle propriété du DNS permet que le serveur puisse résoudre cette dernière adresse? La résolution de nom pour s est faite en IPv4 ( est ). Comme nous effectuons un ping en IPv4, le DNS prendra l enregistrement A. En IPv6, il s agit de l enregistrement AAAA. La résolution DNS se fait en IPv6 mais cela aucun impact sur la réponse : il y a indépendance entre la demande et le protocole utilisé pour demander. 8. ÉTAPE 9 : ACCÈS AUX SERVICES WEB À quoi est due la différence de résultat? Sur le PC serveur, la page s affiche correctement, au contraire du PC client. On remarque que les requêtes DNS du client sont toutes refusées (réponse refused de la part du serveur DNS) : le serveur DNS ne doit sûrement n avoir le droit de faire du récursif que s il en est à l origine. Nous avions tout d abord pensé que le problème était dû au fait que la SNCF n avait un site qu en IPv4. Cependant, en testant la navigation avec Google sur le poste client, nous n avions également aucune page affichée. 8

10 Campus de Rennes 2, rue de la Châtaigneraie CS Cesson Sévigné Cedex France +33 (0)