Passer à l'IPv6 implique d'abandonner le NAT. Est-ce une bonne chose ?

Oui. Le NAT est mort. Il y a eu quelques tentatives de ratification de normes pour le NAT sur IPv6, mais aucune d'entre elles n'a jamais vu le jour.

Cela a en fait causé des problèmes aux fournisseurs qui tentent de répondre aux normes PCI-DSS, car la norme stipule que vous devez être derrière un NAT.

Pour moi, c'est l'une des plus belles nouvelles que j'aie jamais entendues. Je déteste le NAT, et je déteste encore plus le NAT de niveau opérateur.

Le NAT n'était censé être qu'une solution de fortune pour nous permettre de tenir jusqu'à ce que l'IPv6 devienne la norme, mais il s'est incrusté dans la société Internet.

Pour la période de transition, il faut se rappeler que l'IPv4 et l'IPv6, à part un nom similaire, sont totalement différents. 1 . Ainsi, pour les appareils à double pile, votre IPv4 sera NATé et votre IPv6 ne le sera pas. C'est presque comme si vous aviez deux appareils totalement distincts, juste emballés dans un seul morceau de plastique.

Alors, comment fonctionne l'accès Internet IPv6 ? Eh bien, de la même manière que l'internet fonctionnait avant l'invention du NAT. Votre fournisseur d'accès vous attribue une plage d'adresses IP (comme aujourd'hui, mais il vous attribue généralement une adresse /32, ce qui signifie que vous n'obtenez qu'une seule adresse IP), mais votre plage contient désormais des millions d'adresses IP disponibles. Vous êtes libre de remplir ces adresses IP comme vous le souhaitez (par auto-configuration ou DHCPv6). Chacune de ces adresses IP sera visible depuis n'importe quel autre ordinateur sur Internet.

Ça a l'air effrayant, non ? Votre contrôleur de domaine, votre PC multimédia et votre iPhone avec votre cachette de pornographie vont tous être accessibles depuis l'Internet ! Eh bien, non. C'est à cela que sert un pare-feu. Une autre grande caractéristique de l'IPv6 est qu'il forces de passer d'une approche "Tout autoriser" (comme c'est le cas pour la plupart des appareils domestiques) à une approche "Tout refuser", où vous ouvrez des services pour des adresses IP particulières. 99,999 % des particuliers se contenteront de laisser leur pare-feu par défaut et de le verrouiller totalement, ce qui signifie qu'aucun trafic non sollicité ne sera autorisé.

1 _{Ok, il y a beaucoup plus que cela, mais ils ne sont en aucun cas compatibles l'un avec l'autre, même s'ils permettent tous les deux d'utiliser les mêmes protocoles.}

L'exigence PCI-DSS pour le NAT est bien connue pour être un théâtre de sécurité et non une sécurité réelle.

La dernière version de la norme PCI-DSS n'a pas fait de la NAT une exigence absolue. De nombreuses organisations ont passé les audits PCI-DSS avec IPv4 sans NAT, en présentant les pare-feu dynamiques comme des "implémentations de sécurité équivalentes".

Il existe d'autres documents sur le théâtre de la sécurité qui préconisent le NAT, mais, parce qu'il détruit les pistes d'audit et rend plus difficile l'investigation/mitigation des incidents, une étude plus approfondie du NAT (avec ou sans PAT) pour être un négatif net de sécurité.

Un bon pare-feu dynamique sans NAT est une solution largement supérieure au NAT dans un monde IPv6. En IPv4, le NAT est un mal nécessaire qui doit être toléré pour la conservation des adresses.

Il existe une grande confusion à ce sujet, car les administrateurs de réseau voient le NAT sous un certain angle et les petites entreprises et les particuliers sous un autre. Permettez-moi de clarifier les choses.

Le NAT statique (parfois appelé NAT un-à-un) offre absolument aucune protection pour votre réseau privé ou un PC individuel. La modification de l'adresse IP n'a aucun sens en matière de protection.

Le NAT/PAT dynamique surchargé, comme ce que font la plupart des passerelles résidentielles et les AP wifi, contribue absolument à protéger votre réseau privé et/ou votre PC. Par conception, la table NAT de ces appareils est une table d'état. Elle garde la trace des demandes sortantes et les mappe dans la table NAT - les connexions expirent après un certain temps. Toutes les trames entrantes non sollicitées qui ne correspondent pas à ce qui se trouve dans la table NAT sont abandonnées par défaut - le routeur NAT ne sait pas où les envoyer dans le réseau privé et les abandonne. De cette façon, le seul dispositif que vous laissez vulnérable au piratage est votre routeur. Étant donné que la plupart des exploits de sécurité sont basés sur Windows, le fait de disposer d'un tel dispositif entre Internet et vos PC Windows contribue réellement à protéger votre réseau. Ce n'est peut-être pas la fonction prévue à l'origine, qui était d'économiser les adresses IP publiques, mais cela fait l'affaire. En prime, la plupart de ces dispositifs ont également des capacités de pare-feu qui bloquent souvent les requêtes ICMP par défaut, ce qui contribue également à protéger le réseau.

Compte tenu des informations ci-dessus, l'élimination de la NAT lors du passage à IPv6 pourrait exposer des millions d'appareils grand public et de petites entreprises à un piratage potentiel. Cela n'aura que peu ou pas d'effet sur les réseaux d'entreprise, qui disposent de pare-feu gérés par des professionnels à leur périphérie. Les réseaux des particuliers et des petites entreprises pourraient ne plus avoir de routeur NAT basé sur *nix entre l'Internet et leurs PC. Il n'y a aucune raison pour qu'une personne ne puisse pas passer à une solution de pare-feu uniquement - beaucoup plus sûre si elle est déployée correctement, mais également au-delà de ce que 99% des consommateurs comprennent comment faire. Le NAT dynamique surchargé offre un minimum de protection simplement en l'utilisant - branchez votre routeur résidentiel et vous êtes protégé. Facile.

Cela dit, il n'y a aucune raison pour que le NAT ne puisse pas être utilisé exactement de la même manière qu'il l'est pour IPv4. En fait, un routeur pourrait être conçu de manière à avoir une adresse IPv6 sur le port WAN avec un réseau privé IPv4 derrière lui qui fait du NAT (par exemple). Ce serait une solution simple pour les consommateurs et les particuliers. Une autre option est de mettre tous les dispositifs avec des adresses IPv6 publiques--- le dispositif intermédiaire pourrait alors agir comme un dispositif L2, mais fournir une table d'état, une inspection des paquets, et un pare-feu entièrement fonctionnel. Essentiellement, pas de NAT, mais le blocage de toute trame entrante non sollicitée. Ce qu'il faut retenir, c'est que vous ne devez pas brancher vos PC directement sur votre connexion WAN sans dispositif intermédiaire. À moins bien sûr que vous ne souhaitiez vous appuyer sur le pare-feu de Windows . . et c'est une autre discussion. Tous les réseaux, même les réseaux domestiques, ont besoin d'un dispositif périphérique pour protéger le réseau local, en plus du pare-feu Windows.

Le passage à l'IPv6 entraînera quelques difficultés de croissance, mais il n'y a aucun problème qui ne puisse être résolu assez facilement. Devrez-vous vous débarrasser de votre vieux routeur IPv4 ou de votre passerelle résidentielle ? Peut-être, mais de nouvelles solutions peu coûteuses seront disponibles le moment venu. Avec un peu de chance, de nombreux appareils n'auront besoin que d'un flashage de firmware. IPv6 aurait-il pu être conçu pour s'intégrer plus harmonieusement dans l'architecture actuelle ? Bien sûr, mais c'est ce qu'il est et il ne disparaîtra pas, alors autant l'apprendre, le vivre et l'aimer.

La RFC 4864 décrit la protection du réseau local IPv6. L'initiative "NAT" est un ensemble d'approches permettant d'offrir les avantages perçus de la NAT dans un environnement IPv6, sans avoir à recourir à la NAT.

Ce document a décrit un certain nombre de techniques qui peuvent être combinées sur un site IPv6 pour protéger l'intégrité de son architecture réseau. Ces techniques, connues collectivement sous le nom de Protection du réseau local, conservent le concept d'une frontière bien définie entre "l'intérieur" et "l'extérieur" du réseau privé et permettent le pare-feu, la dissimulation de la topologie et la confidentialité. Toutefois, comme elles préservent la transparence des adresses là où elle est nécessaire, elles atteignent ces objectifs sans l'inconvénient de la traduction des adresses. Ainsi, la protection des réseaux locaux en IPv6 peut offrir les avantages de la traduction d'adresses réseau en IPv4 sans les inconvénients correspondants.

Il expose d'abord les avantages perçus de la NAT (et les démystifie le cas échéant), puis décrit les caractéristiques d'IPv6 qui peuvent être utilisées pour offrir ces mêmes avantages. Il fournit également des notes de mise en œuvre et des études de cas.

Bien qu'il soit trop long pour être reproduit ici, les avantages discutés sont les suivants :

• Une simple passerelle entre "intérieur" et "extérieur".
• Le pare-feu dynamique
• Suivi des utilisateurs/applications
• Confidentialité et dissimulation de la topologie
• Contrôle indépendant de l'adressage dans un réseau privé
• Multihoming/renumérotation

Cela couvre à peu près tous les scénarios dans lesquels on aurait pu vouloir du NAT et propose des solutions pour les mettre en œuvre dans IPv6 sans NAT.

Certaines des technologies que vous utiliserez sont :

• Adresses locales uniques : Privilégiez ces adresses sur votre réseau interne pour que vos communications internes restent internes et pour que les communications internes puissent se poursuivre même en cas de panne du fournisseur d'accès.
• Les extensions de confidentialité de l'IPv6 avec des durées de vie d'adresse courtes et des identifiants d'interface structurés de manière non évidente : Ces éléments permettent d'empêcher l'attaque d'hôtes individuels et le balayage de sous-réseaux.
• L'IGP, l'IPv6 mobile ou les VLAN peuvent être utilisés pour masquer la topologie du réseau interne.
• Avec les ULA, le DHCP-PD du FAI permet de renommer/multihoming plus facilement qu'avec IPv4.

( Voir le RFC pour obtenir tous les détails ; là encore, il est beaucoup trop long pour être reproduit ou même pour en tirer des extraits significatifs).

Pour une discussion plus générale sur la sécurité de la transition vers IPv6, voir RFC 4942 .