8 votes

Comment fonctionne le sous-réseau VLAN sur IPv6 ?

J'ai un réseau avec une douzaine de VLAN, la plupart avec un routage inter-VLAN, certains sans. Ils peuvent communiquer entre eux mais pas avec la passerelle de l'autre. Il n'est pas divisé pour des raisons de sécurité ou d'encombrement, mais plutôt parce que certains VLAN sont destinés aux serveurs, certains sortent localement vers mes fournisseurs d'accès, d'autres sont reliés par VPN à une autre région, d'autres sont limités, d'autres sont des zones d'atterrissage DMZ pour les VPS... et bien sûr, il y en a un qui est public. Les VLAN sont donc essentiels pour acheminer le trafic aux bons endroits sans attribuer d'adresses IP fixes.

Je viens de réaliser que le domaine de diffusion est en fait la pièce clé ici mais je suis toujours confus alors je continue.

Je me documente sur l'IPv6 depuis quelques jours maintenant et j'aimerais diviser un seul bloc /64 en plus ou moins ce que je n'ai pas, mais d'après ce que je peux comprendre en lisant des articles, des forums et certains documents, il n'est pas conseillé d'aller dans des blocs plus petits. J'ai lu quelque chose sur le fait qu'il y a un identifiant de sous-réseau intégré dans l'adresse IPv6.

Comment puis-je diviser un bloc /64 alors que tous les clients obtiennent le même préfixe /64 et que je peux encore les séparer sur des VLANs assignés avec RADIUS comme je le fais actuellement ?

J'aimerais que chaque client ait plus ou moins le même espace d'adressage sans nécessairement avoir une IP fixe, quel que soit l'AP ou le port Ethernet auquel il se connecte.

Devrais-je laisser tomber et opter pour des préfixes plus longs et demander au routeur ou au(x) commutateur(s) L3 de faire le gros du travail en communiquant les VLAN sélectionnés ensemble ? J'ai peur d'obtenir un routage asymétrique et la réinitialisation du réseau serait un véritable casse-tête, même avec des sauvegardes ; une partie du réseau est très éloignée et connectée par des liaisons sans fil longue distance.

J'apprécie votre aide ; je n'arrive pas à trouver une réponse suffisamment spécifique concernant la séparation réelle des segments, la plupart ne concernent que l'espace d'adressage.

1 votes

Nous avons besoin de plus de détails sur votre schéma d'adressage IPv4 actuel pour comprendre exactement ce que vous faites ici.

2 votes

Vous ne devriez pas diviser un /64, en IPv6, c'est la gamme finale. Vous auriez dû obtenir un /48 ou un /56 de votre fournisseur, pour permettre le sous-réseau à l'intérieur de votre maison.

8voto

Zac67 Points 7920

Les VLAN sont des constructions de couche 2, pas de couche 3. Vous faites passer les trames à l'intérieur d'un VLAN indépendamment du protocole de la couche 3 par commutation. Pour traverser les frontières d'un VLAN, un routeur est nécessaire.

Tout comme avec IPv4, si vous sous-réservez un réseau IPv6, vous devez se développer le masque/préfixe du réseau, par exemple, vous pouvez sous-réserver un réseau /56 en 256 réseaux /64 (ou seulement deux réseaux /57).

La beauté d'IPv6 est qu'il est tout à fait normal d'utiliser multiples différents préfixes au sein d'un même réseau en même temps. Ainsi, si vous devez renuméroter à tout moment, il vous suffit d'ajouter un nouveau préfixe, de le laisser se propager et de supprimer l'ancien préfixe.

4voto

Bruno Lobo Points 251

Comme d'autres l'ont indiqué, les VLAN sont une construction de couche 2 et ne sont donc pas pertinents pour la question du sous-réseau IPv6, bien que je puisse comprendre pourquoi les gens confondent les VLAN et les sous-réseaux IP, car ils vont souvent de pair lors de la mise en œuvre d'un schéma d'adressage.

De plus, comme vous l'avez constaté dans vos recherches, l'IPv6 ne devrait pas vraiment être sous-réservé en quelque chose de plus petit que /64. La bonne solution est d'obtenir une allocation de réseau plus importante de la part de votre fournisseur d'accès en amont. Pour les entreprises, vous devriez commencer par obtenir une allocation /48 auprès de votre fournisseur. Même pour un usage domestique, les FAI offrant IPv6, comme Comcast que j'utilise pour IPv6 à la maison, vous donneront une allocation /60 permettant 16 sous-réseaux. C'est donc la façon "correcte" de faire les choses.

Ceci dit, je ne connais aucune raison technique pour laquelle il serait impossible de faire un sous-réseau plus petit qu'un /64 SAUF que cela casserait probablement presque toutes les méthodes d'adressage automatique IPv6 qui reposent sur l'utilisation de 64 bits pour l'ID hôte. Cela inclut SLAAC et le DHCP sans état pour certains, et probablement le DHCP avec état. Enfin, le pilote IPv6 du système d'exploitation sur les clients et/ou les périphériques réseau peut refuser d'accepter une longueur de préfixe inférieure à 64.

**Edit : Je devrais clarifier ce que je voulais dire par aucune raison technique ne l'empêchera de fonctionner. En réalité, je voulais dire qu'aucune raison mathématique ne l'empêchera de fonctionner. Les mathématiques binaires sont toutes les mêmes. Cependant, les services qui font fonctionner IPv6 (découverte des voisins, etc.) nécessitent essentiellement des ID d'hôtes /64. TL;DR, prenez quelque chose de plus grand qu'un /64 si vous avez besoin de travailler réellement avec un réseau sous-réservé.

0 votes

Voir RFC 5375, Section 3. Considérations sur les préfixes de sous-réseau : " L'utilisation d'une longueur de préfixe de sous-réseau autre que /64 entraînera la rupture de nombreuses fonctionnalités d'IPv6, notamment la découverte de voisins (ND), la découverte de voisins sécurisée (SEND) [RFC3971], les extensions de confidentialité [RFC4941], certaines parties d'IPv6 mobile [RFC4866], la multidiffusion indépendante du protocole - mode épars (PIM-SM) avec RP intégré [RFC3956] et le multihébergement de sites par intermédiation IPv6 (SHIM6) [SHIM6], entre autres. Un certain nombre d'autres fonctionnalités en cours de développement ou proposées reposent également sur des préfixes de sous-réseau /64. "

0 votes

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X