Révisions — NAT et IPv6

Résumé du chapitre

Le NAT traduit les adresses privées (RFC 1918) en adresses publiques pour économiser l’IPv4 : statique (1 pour 1, bidirectionnel), dynamique (pool), PAT dynamique (1 IP publique, différenciée par les ports, sortant seulement) et PAT statique (redirection de ports). IPv6 règle la pénurie avec 128 bits : 8 hextets compressés par 2 règles, des adresses GUA, LLA, ULA, pas de broadcast, une configuration automatique par RA (SLAAC, DHCPv6 sans ou avec état, EUI-64) et ND (ICMPv6) à la place d’ARP.

Fiches sources : Chapitre 4 — NAT et PAT · Chapitre 4 — IPv6

---

🃏 Flashcards

NAT

Network Address Translation — le routeur remplace l’adresse privée par une adresse publique à la sortie, et l’inverse au retour

Quels sont les objectifs du NAT ?

Économiser les adresses IPv4 publiques (prolonger IPv4) et masquer les adresses internes

Quelles sont les 3 plages privées IPv4 (RFC 1918) ?

• 10.0.0.0/8 (10.0.0.0 – 10.255.255.255)
• 172.16.0.0/12 (172.16.0.0 – 172.31.255.255)
• 192.168.0.0/16 (192.168.0.0 – 192.168.255.255)

Les adresses privées sont-elles routées sur Internet ?

Non. Sur Internet, on ne communique qu’avec des adresses publiques

Différence entre NAT et PAT dans ce qui est modifié ?

NAT : adresse IP seulement. PAT : adresse IP + port TCP/UDP

Adresse locale interne

Adresse privée de l’hôte interne, vue dans le LAN (ex. 192.168.10.10)

Adresse globale interne

Adresse publique attribuée à l’hôte interne après traduction, vue depuis Internet (ex. 209.165.200.226)

Adresse globale externe

Adresse publique réelle d’un hôte externe (ex. le serveur web 209.165.201.1)

Adresse locale externe

Adresse de l’hôte externe telle que la voit l’hôte interne

Dans la terminologie NAT, que signifient interne/externe et local/global ?

Interne/externe : à qui appartient la machine. Local/global : de quel côté du routeur on regarde

NAT statique

Correspondance fixe un-à-un IP privée ↔ IP publique définie par l’admin ; bidirectionnelle ; sert à rendre un serveur interne joignable

En NAT statique, qu'est-ce qui est traduit pour un paquet entrant ? sortant ?

Entrant : l’adresse destination. Sortant : l’adresse source

Combien faut-il d'IP publiques pour 3 serveurs en NAT statique ?

3, une par serveur

Quel est le défaut du NAT statique en sécurité ?

Tous les ports de l’IP publique mènent au serveur, même ceux qu’on ne veut pas exposer

NAT dynamique

L’hôte reçoit une IP publique prise dans un pool, choisie automatiquement par le routeur ; rendue au pool quand la communication se termine

Quelle est la limite du NAT dynamique ?

Le pool est fini : s’il n’y a plus d’adresse libre, l’hôte suivant attend

PAT dynamique

NAT overload — plusieurs hôtes partagent une seule IP publique, distingués par le port source

Pourquoi le routeur change-t-il parfois le port source en PAT ?

Si deux hôtes utilisent le même port source, les réponses seraient ambiguës ; il prend le port suivant disponible

Comment le routeur PAT sait-il à qui rendre une réponse ?

Il cherche le port destination de la réponse dans sa table de traduction

Pourquoi le PAT dynamique ne marche-t-il que dans un sens ?

Une connexion venue d’Internet n’a pas d’entrée dans la table : le routeur ne sait pas vers quel hôte l’envoyer

PAT statique

Redirection fixe IP publique:port → IP privée:port (ex. 73.8.2.44:80 → 10.4.4.41:8080) ; seuls les ports listés sont ouverts

Pourquoi le PAT statique est-il plus sûr que le NAT statique ?

Il n’ouvre que les ports choisis, tout le reste est bloqué

Combien d'adresses globales pour 50 hôtes qui sortent, en NAT et en PAT ?

NAT : 50 (une par hôte). PAT : 1 seule, partagée

Combien de bits dans une adresse IPv6 ?

128 bits (IPv4 : 32)

Quelles sont les 3 techniques de migration vers IPv6 ?

Double pile (dual-stack), tunneling, NAT64

Hextet

Segment de 16 bits d’une adresse IPv6, soit 4 caractères hexa ; une adresse en compte 8

Règle 1 de compression IPv6

On supprime les zéros de tête de chaque hextet, jamais ceux de la fin

Règle 2 de compression IPv6

:: remplace une seule suite continue d’hextets à zéro, la plus longue (la première en cas d’égalité)

Pourquoi le double deux-points ne peut-il apparaître qu'une fois ?

Sinon on ne saurait pas combien de zéros chaque :: remplace : plusieurs adresses possibles

Forme compressée de 2001:0db8:0000:1111:0000:0000:0000:0200 ?

2001:db8:0:1111::200

Forme compressée de fe80:0000:0000:0000:0000:0000:0000:0001 ?

fe80::1

Forme privilégiée (complète) de fe80::6678:9101:0:34ab ?

fe80:0000:0000:0000:6678:9101:0000:34ab (5 hextets présents, donc :: vaut 3 hextets à zéro)

Quelle longueur de préfixe est recommandée en IPv6 ?

/64, pour laisser 64 bits d’ID d’interface (nécessaire à SLAAC)

Unicast

Adresse qui identifie une seule interface

Multicast

Adresse qui envoie un paquet à un groupe de destinations

Anycast

Adresse unicast attribuée à plusieurs hôtes ; le paquet va au plus proche

IPv6 a-t-il une adresse de broadcast ?

Non. On utilise le multicast tous les nœuds ff02::1

GUA

Global Unicast Address — 2000::/3, unique au monde et routable sur Internet (≈ IP publique)

Structure d'une GUA

Préfixe de routage global 48 bits (FAI) + ID de sous-réseau 16 bits + ID d’interface 64 bits

LLA

Link-Local Address — fe80::/10, obligatoire sur chaque interface, valable sur le lien seulement, sert de passerelle (≈ APIPA 169.254.0.0/16)

Un routeur transmet-il un paquet avec une adresse link-local ?

Jamais, ni en source ni en destination

ULA

Unique Local Address — fc00::/7, non routable sur Internet, pour un site ou des sites reliés en privé (≈ IP privée)

Adresse loopback IPv6

::1/128 (≈ 127.0.0.1)

Adresse non spécifiée IPv6

::/128 — source temporaire pendant le DAD ou une requête DHCPv6

Combien d'adresses unicast au minimum sur une interface IPv6 ?

2 : une GUA et une LLA

Quelle commande active le routage IPv6 sur un routeur Cisco ?

ipv6 unicast-routing

Commande pour poser une GUA sur une interface Cisco

ipv6 address 2001:db8:acad:1::1/64 (pas d’espace avant /64)

Commande pour poser une LLA sur une interface Cisco

ipv6 address fe80::1 link-local

RA

Router Advertisement — message ICMPv6 envoyé par le routeur toutes les 200 s à ff02::1 : préfixe, longueur, passerelle, méthode de configuration

RS

Router Solicitation — message d’un hôte vers ff02::2 pour obtenir un RA tout de suite

Quelles sont les 3 façons d'obtenir une GUA automatiquement ?

1. SLAAC : l’hôte fabrique son adresse (préfixe du RA + ID d’interface), pas de DNS
2. SLAAC + DHCPv6 sans état : adresse fabriquée par l’hôte, DNS donné par un serveur DHCPv6
3. DHCPv6 avec état : le serveur donne l’adresse et le DNS

D'où vient toujours la passerelle par défaut en IPv6 ?

Du RA : c’est la LLA du routeur. Un serveur DHCPv6 ne la donne jamais

Un serveur DHCPv6 sans état attribue-t-il des GUA ?

Non, seulement des infos comme le DNS

Quelles sont les 3 étapes d'EUI-64 ?

1. Couper la MAC 48 bits en deux (24 | 24)
2. Insérer fffe au milieu
3. Inverser le 7e bit du premier octet

ID d'interface EUI-64 de la MAC fc-99-47-75-ce-e0 ?

fe99:47ff:fe75:cee0 (fc devient fe en inversant le 7e bit)

Inconvénient d'EUI-64 et solution ?

L’adresse révèle la MAC : on peut retracer la machine. Solution : un ID d’interface aléatoire (Windows depuis Vista)

DAD

Duplicate Address Detection — l’hôte envoie un NS avec sa propre adresse comme cible ; pas de NA en réponse = adresse unique

Taille de l'en-tête IPv6

40 octets, fixe

Quel champ IPv6 remplace le TTL ?

La limite de saut (8 bits) ; à 0, paquet jeté et ICMPv6 Time Exceeded

Quel champ IPv6 remplace le champ Protocole ?

L’en-tête suivant

Quel champ IPv6 remplace le champ DS (services différenciés) ?

La classe de trafic

Étiquette de flux

Champ IPv6 de 20 bits : les paquets de même étiquette reçoivent le même traitement par les routeurs

Que signifie une route L en /128 dans show ipv6 route ?

C’est l’adresse locale de l’interface du routeur

Adresse multicast tous les nœuds

ff02::1 (destination des RA)

Adresse multicast tous les routeurs

ff02::2 (destination des RS)

Multicast de nœud sollicité

Adresse multicast mappée sur une MAC multicast Ethernet : la carte réseau peut jeter la trame sans la remonter au système si elle ne la concerne pas

Combien de sous-réseaux /64 dans un /48 ?

65 536 (ID de sous-réseau de 16 bits)

Comment trouver le sous-réseau suivant en IPv6 ?

On compte en hexa sur l’ID de sous-réseau : 2001:db8:acad:1::/64, :2::/64…

Quel préfixe pour une liaison série en IPv6 ?

/64 aussi, comme un LAN (le « gaspillage » n’est pas un problème)

Qu'est-ce qui remplace ARP en IPv6 ?

ND / NDP (Neighbor Discovery, ICMPv6, RFC 4861)

Quels sont les 5 messages ND ?

RS, RA, NS, NA et Redirect

NS

Neighbor Solicitation — « quelle MAC pour cette IPv6 ? », envoyé au multicast de nœud sollicité ; sert aussi au DAD

NA

Neighbor Advertisement — réponse à un NS, avec la MAC de l’équipement

RS/RA servent entre hôtes et routeurs, NS/NA entre équipements (résolution d’adresse, DAD)

---

🔗 Séances liées

• Chapitre 4 — NAT et PAT
• Chapitre 4 — IPv6
• Quiz : Quiz — NAT et IPv6