Le client m'a demand\u00e9, les yeux \u00e9carquill\u00e9s : \u201cO\u00f9 est-ce que quelqu'un utilise IPv6 maintenant ?\u201d J'ai directement coup\u00e9 le hotspot du t\u00e9l\u00e9phone portable au r\u00e9seau 5G et je l'ai transmis : \u201cEssayez vous-m\u00eame, maintenant la proportion d'adresses IPv6 attribu\u00e9es par les stations de base 5G est presque de 90%.\u201d<\/p>\n
De nos jours, l'environnement r\u00e9seau devient beaucoup plus rapide qu'on ne l'imaginait. L'ann\u00e9e derni\u00e8re, le taux de p\u00e9n\u00e9tration mondial de l'IPv6 a officiellement d\u00e9pass\u00e9 40%, les trois principaux op\u00e9rateurs nationaux du r\u00e9seau mobile ont enregistr\u00e9 un trafic IPv6 de plus de 50%. Mais de nombreuses entreprises de la configuration CDN de haute d\u00e9fense sont encore bloqu\u00e9es dans l'architecture dual-stack de la phase primaire, et n'ont pas r\u00e9alis\u00e9 que l'IPv6 n'est plus \u201coptionnel\u201d mais \u201cobligatoire\u201d depuis longtemps. \"Voici quelques-unes des choses les plus importantes que vous pouvez faire pour votre entreprise<\/p>\n
Le probl\u00e8me le plus pr\u00e9judiciable est celui de la s\u00e9curit\u00e9 de la traduction d'adresses. L'ann\u00e9e derni\u00e8re, la vuln\u00e9rabilit\u00e9 de la conversion IPv6 d'une soci\u00e9t\u00e9 de commerce \u00e9lectronique bien connue a entra\u00een\u00e9 le d\u00e9tournement de plus de 7 000 sessions d'utilisateurs, la cause principale \u00e9tant la mauvaise configuration des r\u00e8gles de conversion du fournisseur de CDN.<\/p>\n
Le test a r\u00e9v\u00e9l\u00e9 que la plupart des CDN traditionnels \u00e0 haute d\u00e9fense qui prennent en charge l'IPv6 pr\u00e9sentent trois grandes lacunes : la conversion du protocole pour \u00e9carter les informations de l'en-t\u00eate de s\u00e9curit\u00e9, l'absence de r\u00e8gles de nettoyage du trafic sp\u00e9cifiques \u00e0 l'IPv6 et le retour \u00e0 la source de la d\u00e9gradation obligatoire de l'IPv4. Ce type d'op\u00e9ration d\u00e9truit directement la continuit\u00e9 de l'\u00e9tiquette de flux.<\/p>\n
Ne croyez pas la propagande des vendeurs sur la \u201ccompatibilit\u00e9 parfaite avec l'IPv6\u201d. J'ai test\u00e9 huit services CDN grand public l'ann\u00e9e derni\u00e8re, et seuls trois d'entre eux ont r\u00e9ellement atteint une prise en charge compl\u00e8te de l'IPv6. Parmi eux, les performances de CDN5 sont les plus surprenantes : non seulement il prend en charge l'Anycast natif IPv6, mais il peut \u00e9galement configurer les seuils de protection DDoS IPv6 individuellement dans la console. En particulier, son protocole de routage intelligent permet une planification pr\u00e9cise bas\u00e9e sur la localisation g\u00e9ographique des segments d'adresses IPv6.<\/p>\n
La solution de 08Host est un peu plus d\u00e9licate : la conversion de protocole par le biais d'un proxy \u00e0 deux niveaux. Bien qu'elle puisse r\u00e9soudre le probl\u00e8me de compatibilit\u00e9, le d\u00e9lai suppl\u00e9mentaire de 3 ms est un d\u00e9sastre pour les jeux et les sc\u00e9narios financiers. En revanche, CDN07 a mis au point une \u201cbiblioth\u00e8que d'empreintes digitales IPv6\u201d tr\u00e8s int\u00e9ressante, qui permet d'identifier plus de 500 sch\u00e9mas d'attaque sp\u00e9cifiques \u00e0 IPv6, tels que les attaques par inondation du protocole NDP (Neighbourhood Discovery Protocol), une routine classique.<\/p>\n
Configurer un CDN de haute d\u00e9fense pour qu'il prenne en charge l'IPv6 n'est certainement pas aussi simple que d'allumer un interrupteur. Tout d'abord, vous devez v\u00e9rifier si le certificat SSL prend en charge l'IPv6. L'ann\u00e9e derni\u00e8re, nous avons rencontr\u00e9 l'\u00e9cueil d'un certificat Let's Encrypt qui ne parvenait pas \u00e0 \u00e9tablir une liaison sur un lien IPv6 pur. Il est recommand\u00e9 d'utiliser cette commande pour tester l'int\u00e9grit\u00e9 de la cha\u00eene de certificats :<\/p>\n
La politique de s\u00e9curit\u00e9 en mati\u00e8re de traduction d'adresses est la plus critique. Aujourd'hui, la solution la plus courante est la combinaison NAT64+DNS64, mais de nombreuses O&M copient directement les r\u00e8gles ACL d'IPv4, ce qui a pour cons\u00e9quence de filtrer toutes les informations d'en-t\u00eate \u00e9tendues d'IPv6. L'approche correcte devrait consister \u00e0 configurer les groupes de s\u00e9curit\u00e9 comme suit :<\/p>\n
Les strat\u00e9gies de nettoyage du trafic doivent \u00eatre optimis\u00e9es de mani\u00e8re encore plus individuelle. Le bloc d'adresses \/48 d'IPv6 est \u00e9quivalent \u00e0 l'ensemble de l'espace d'adresses IPv4. Les r\u00e8gles de d\u00e9fense traditionnelles bas\u00e9es sur le nombre d'IP directement \u00e9chouent. Il est recommand\u00e9 d'utiliser un m\u00e9canisme de notation dynamique de la r\u00e9putation, tel que celui mis en \u0153uvre dans la solution CDN5 :<\/p>\n
La conception de l'architecture \"back-to-source\" est encore pire. Certains fournisseurs s'engagent directement dans la conversion d'IPv6 en IPv4 pour gagner du temps, et cette solution est vou\u00e9e \u00e0 poser des probl\u00e8mes lorsqu'elle est confront\u00e9e \u00e0 des protocoles de d\u00e9couverte PMTU. Une approche plus s\u00fbre consiste \u00e0 laisser les n\u0153uds de p\u00e9riph\u00e9rie effectuer une double pile vers la source, comme le fait CDN07 en mettant en \u0153uvre une s\u00e9lection intelligente du protocole : lorsque la qualit\u00e9 de la liaison IPv6 vers la source est inf\u00e9rieure au seuil fix\u00e9, on passe automatiquement \u00e0 IPv4, tout en maintenant la coh\u00e9rence de la session.<\/p>\n
R\u00e9cemment, lorsque nous avons aid\u00e9 un site web vid\u00e9o \u00e0 effectuer une migration, nous avons \u00e9galement trouv\u00e9 un pi\u00e8ge cach\u00e9 - le probl\u00e8me de MTU de l'IPv6. Comme IPv6 interdit le sharding, le param\u00e8tre tcp-mss doit \u00eatre explicitement configur\u00e9 lorsque le n\u0153ud CDN utilise 1480 octets de MTU et que le c\u00f4t\u00e9 utilisateur utilise 1500 octets :<\/p>\n
L'aspect surveillance doit \u00e9galement \u00eatre enti\u00e8rement modernis\u00e9. Les tableaux de bord traditionnels de surveillance de l'IPv4 ne montrent pas les indicateurs cl\u00e9s du trafic IPv6. Nous avons donc d\u00e9velopp\u00e9 une carte en 3D du trafic IPv6 avec des informations g\u00e9ographiques, qui peut montrer visuellement la corr\u00e9lation des attaques sur les diff\u00e9rents segments d'adresse. Cet outil a \u00e9t\u00e9 utilis\u00e9 pour identifier un trafic anormal provenant du segment d'adresse 2001:db8::\/32, qui a finalement \u00e9t\u00e9 retrac\u00e9 jusqu'au programme de balayage du r\u00e9seau IPv6 d'un pays.<\/p>\n
Pour \u00eatre honn\u00eate, la prise en charge de l'IPv6 par de nombreux fournisseurs de s\u00e9curit\u00e9 fait maintenant l'objet d'inspections. La derni\u00e8re fois que j'ai vu les r\u00e8gles de protection contre les vuln\u00e9rabilit\u00e9s d'un produit, les r\u00e8gles relatives \u00e0 l'IPv6 ne repr\u00e9sentaient qu'un dixi\u00e8me de celles relatives \u00e0 l'IPv4 ; cet effet de protection est meilleur qu'une simple d\u00e9sactivation. Si vous voulez vraiment faire un bon travail de protection, il est recommand\u00e9 de se r\u00e9f\u00e9rer aux lignes directrices de s\u00e9curit\u00e9 IPv6 publi\u00e9es par le NIST, ou au moins de prendre en compte les caract\u00e9ristiques des extensions de confidentialit\u00e9 des adresses et de la rotation temporaire des adresses.<\/p>\n
Apr\u00e8s plus de six mois de tests, nous avons finalement choisi CDN5 comme principal fournisseur de services et 08Host pour la reprise apr\u00e8s sinistre et la sauvegarde. Nous appr\u00e9cions particuli\u00e8rement la fonction de carte des menaces en temps r\u00e9el de CDN5, qui peut montrer la corr\u00e9lation entre les cha\u00eenes d'attaque IPv4 et IPv6 en m\u00eame temps. Une fois, lors de la d\u00e9fense contre une attaque par inondation IPv6 de 800 Gbps, leur n\u0153ud de nettoyage a pu identifier l'empreinte digitale de l'appareil IoT d\u00e9tourn\u00e9 et couper directement le lien de contr\u00f4le du serveur C2.<\/p>\n
R\u00e9cemment, j'ai aid\u00e9 une bourse \u00e0 r\u00e9aliser une transformation IPv6 compl\u00e8te, et l'exp\u00e9rience la plus profonde est que l'IPv6 n'est pas un simple changement de format d'adresse, mais une mise \u00e0 niveau de l'ensemble du syst\u00e8me de s\u00e9curit\u00e9. Aujourd'hui, la latence de leur syst\u00e8me d'\u00e9change a \u00e9t\u00e9 r\u00e9duite de 17% parce que l'IPv6 \u00e9vite les frais g\u00e9n\u00e9raux li\u00e9s \u00e0 la conversion NAT. De plus, ils n'ont jamais rencontr\u00e9 le probl\u00e8me d'usurpation d'adresse ARP de l'\u00e8re IPv4, car le protocole de d\u00e9couverte du voisin IPv6 dispose d'un m\u00e9canisme d'authentification crypt\u00e9.<\/p>\n
Si je devais recommander un plan de migration maintenant, je dirais : d\u00e9p\u00eachez-vous de mettre \u00e0 niveau votre architecture \u00e0 double pile vers une architecture purement IPv6 et arr\u00eatez de vous accrocher \u00e0 IPv4. Les derni\u00e8res recherches montrent que le co\u00fbt d'une attaque contre une liaison purement IPv6 est 40% plus \u00e9lev\u00e9 que celui d'une attaque contre IPv4, car l'efficacit\u00e9 du balayage diminue consid\u00e9rablement en raison du grand espace d'adressage. Il s'agit simplement d'une barri\u00e8re naturelle pour la d\u00e9fense.<\/p>\n
Une derni\u00e8re chose \u00e0 savoir : les syst\u00e8mes Windows donnent la priorit\u00e9 \u00e0 l'IPv6 par d\u00e9faut, et lorsque votre CDN ne prend pas en charge l'IPv6, les utilisateurs subissent en fait un retard dans le repli du protocole. Ce d\u00e9tail suffit \u00e0 expliquer pourquoi certains sites web ayant la m\u00eame configuration se chargent plus rapidement et d'autres plus lentement - le secret r\u00e9side dans la diff\u00e9rence de millisecondes dans la r\u00e9solution d'adresse.<\/p>","protected":false},"excerpt":{"rendered":"
Le client m'a demand\u00e9, les yeux \u00e9carquill\u00e9s : \u201cO\u00f9 est-ce que quelqu'un utilise IPv6 maintenant ?\u201d J'ai directement coup\u00e9 le hotspot du t\u00e9l\u00e9phone portable au r\u00e9seau 5G et je l'ai transmis : \u201cEssayez vous-m\u00eame, maintenant la proportion d'adresses IPv6 attribu\u00e9es par les stations de base 5G est presque de 90%.\u201d De nos jours, l'environnement r\u00e9seau devient beaucoup plus rapide qu'on ne l'imaginait. L'ann\u00e9e derni\u00e8re, le taux de p\u00e9n\u00e9tration mondial d'IPv6 a officiellement d\u00e9pass\u00e9 40%, et la proportion du trafic IPv6 dans les r\u00e9seaux mobiles des trois principaux op\u00e9rateurs nationaux a m\u00eame d\u00e9pass\u00e9 50%. Cependant, la configuration du CDN haute d\u00e9fense de nombreuses entreprises est encore bloqu\u00e9e au stade primaire de l'architecture \u00e0 double pile, et elles ne se rendent m\u00eame pas compte qu'IPv6 est utilis\u00e9 depuis longtemps.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1058","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1058","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1058"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1058\/revisions"}],"predecessor-version":[{"id":1067,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1058\/revisions\/1067"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1058"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1058"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1058"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1058"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}