URL: https://linuxfr.org/forums/linux-general/posts/ipv6-privacy-extensions-p2p-et-firewall Title: IPv6 Privacy Extensions, P2P et firewall Authors: Tonton Benoit Date: 2010年08月02日T01:48:39+02:00 Tags: Score: 2 Salut, J'ai un petit problème sur lequel je butte depuis un certain temps et ça m'énerve. J'ai installé un routeur sur mon réseau (une fonera de premières générations) qui est chargé d'annoncer mon préfixe IPv6, d'assurer le routage entre mon réseau local et mon tunnel he.net et aussi de faire office de première ligne de firewall. C'est pour faire fonctionner le firewall avec les "Privacy Extensions" que je sèche. Le principe des Privacy Extensions est simple : en plus de mon adresse fixe auto-configurée à partir de mon adresse MAC, j'ai plusieurs adresses aléatoires d'une durée de vie limitée, utilisées pour les connexions sortantes. À l'époque l'idée était d'avoir une IP fixe accessible depuis l'extérieur pour les services (HTTP, FTP, SSH) et les ports associés ouverts dans le firewall. Et une IP aléatoire pour les connexions initialisés depuis le client, à charge du traqueur de connexions d'assurer le routage correct des réponses. Mais l'IPv6 est aussi censée faciliter les communications directes de peer à peer (partage de fichiers, téléphonie...) et là ça bouscule un peu le schéma. Si par exemple je lance un client bittorrent sur un de mes PC, il va envoyer au tracker une requête avec comme source mon IP aléatoire (vu qu'il s'agit d'une connexion sortante), et attendre les connexions entrantes des autres clients sur cette IP, hors au niveau du routeur mes ports sont ouverts uniquement sur mon IP auto-configurée. L'exemple de bittorrent est mauvais, car certains clients permettent de spécifier l'IP à utiliser pour les réponses (principe rendu célèbre par IPfuck), mais tous les clients bittorrent ne proposent pas cette option et certains réseaux P2P ne la proposerons certainement jamais ! Il faudrait donc que je puisse autoriser, au niveau du routeur, les connexions entrante à destination de machine:port sur mon réseau local, mais "machine" ne serait pas identifiée pas son IP, mais plutôt par son adresse @MAC, hors ip(6)tables ne permet de filtrer que sur l'adresse @MAC source. Une idée ?