Paramétrage NAT SFR Box

[TagadaTsoinTsoin]

Bonsoir @Ahima ,

En IPv6 le NAT n'est pas utile, chaque machine du réseau a sa propre IPv6 publique exposée sur internet (si le pare-feu l'autorise)

Si vous avez un serveur HTTPS par exemple:

- Pour le joindre en IPv4 vous devez créer une règle NAT pour que la requête qui arrive sur le port 443 soit envoyée à votre serveur.

- Pour le joindre en IPv6, la requête tombe directement sur le serveur.

Attention, je suis une bille en IPv6, il est possible que je me trompe.

[Ryry]

Bonjour @Ahima 

---

J'ai le même problème, cependant j'ai un nom de domaine, donc cela ne me pose pas de problème de passer par l'ipv6 qui elle est fixe me semble t'il ?i

---

Ta déduction est en partie erronée :

• même si toi et ton serveur êtes très satisfait d'une configuration en IPv6
• il reste des internautes dans le monde en IPv4, car leur point d'accès à internet est encore en IPv4 (par exemple moi et tout le réseau "câble" de SFR par exemple

=> de ce fait, depuis tous ces points d'accès ton serveur serait inaccessible.

Et c'est  donc pourquoi (et pour encore pas mal d'années) lors du passage en IPv6, les FAIO maintiennent une IPv4 en parallèle pour avoir accès des 2 moyens (encore nécessaires à ce jour dans le monde)

Si l'ipv6 est bien fixe, pourquoi ne pas nous laisser utiliser le nat sur celle ci uniquement ?

---

À vrai dire, vu la profusion d'adresse IPv6, ça serait logique qu'elle soit fixe... Mais comme même au temps les IPv4 ne manquaient pas, certains FAI faisaient du dynamique (cf. tableau ICI), rien n'interdit sans doute techniquement de faire de l'IPv6 non fixe au fond... Je dirai même que comme DynDNS IPv6 existe, peut-être y a-t-il toujours ce besoin.

Mais surtout ce détail (fixe ou non fixe) ne change rien pour ton histoire de NAT

• ce n'est pas le côté fixe / non fixe qui empêche le CGNAT, c'est la mutualisation de ton adresse iP avec d'autres clients (ce qui fait que le port X de l'adresse IPv4 bidule n'atterrît pas forcément chez toi mais chez une autre personne, t'empêchant de ce fait de l'exploiter)
• donc en IPv6 rien n'interdirait d'utiliser du NAT (qu'on soit en fixe ou non) puisque l'adresse IPv6 n'est pas mutualisée avec d'autres clients

=> sauf que, comme l'a expliqué @TagadaTsoinTsoin , en IPv6 le principe même du NAT devient inutile : il n'y a plus besoin de "ruser" et de rediriger le transit qui arrive à ta box vers ton serveur... puisqu'on peut discuter en direct avec ton serveur sa propre adresse IPv6. (c'est d'ailleurs confirmé par le lien DynDNS IPv6 plus haut qui écrit "No need to set up NAT and port forwarding any more. With dynv6 you can easily assign public hostnames to your private hosts."

C'est pourquoi on peut s'attendre à ce que le NAT en IPv6 ne soit plus spécialement utilisé, et non tu ne peux pas demander au service client de le rétablir en IPv6.

En revanche on a maintes fois rappelé que tu peux demander au service client de rétablir les fonctions NAT en IPv4, via le "privilège" de revenir en IPv4 non partagée, càd dans le jargon "obtenir un rollback en IPv4 fullstack".

À+

[Ahima]

Merci !

[Ahima]

Bonjour @Ryry 
Je ne vois pas bien le rapport entre le fait que le point d'accès de l'utilisateur soit désigné en IPV4 ou IPV6 et l'IPV4 ou V6 du point à atteindre.
Si je suis derrière une box qui a une IPV4 je peux parfaitement me connecter à un site dont l'adresse renvoyée par le DNS ne serait que en IPV6, ou alors j'ai loupé quelque chose.

Pour en revenir à mes moutons, je ne cherche pas à héberger un site internet.
J'ai un Raspberry connecté en Ethernet derrière ma box et je dois pouvoir m'y connecter à distance (hors de la maison) en ssh (mode console port 22 par défaut).
Admettons que mon l'IPV6 de ma box soit fixe et que mon sous domaine redirige vers cette IPV6 (raspberry.trucmachinchose.fr) je dois bien dire à ma box de rediriger le trafic externe qui lui arrive doit être redirigé vers mon raspberry, comment faire si je n'ai pas l'onglet nat ?
Tu sembles me dire que l'IPV6 résous ça, mais il ne me semble pas que l'IPv6 de mon raspberry soit visible depuis l'exterieur de mon sous réseau ?

En te remerciant

[Ryry]

Bonjour @Ahima 

Je ne vois pas bien le rapport entre le fait que le point d'accès de l'utilisateur soit désigné en IPV4 ou IPV6 et l'IPV4 ou V6 du point à atteindre.
Si je suis derrière une box qui a une IPV4 je peux parfaitement me connecter à un site dont l'adresse renvoyée par le DNS ne serait que en IPV6, ou alors j'ai loupé quelque chose.

---

Oui, tu as loupé quelque chose.

C'est loin d'être "transparent" comme le laisse croire ta dernière phrase, mais alors pas vraie du tout. Je cite juste la première phrase de l'article wikipédia dédié à ce sujet, et te laisse lire la suite pour mieux t'éclairer : https://fr.wikipedia.org/wiki/Transition_d%27IPv4_vers_IPv6

Révélation

Les adresses IPv4 et IPv6 ne sont pas compatibles, la communication entre un hôte ne disposant que d'adresses IPv6 et un hôte ne disposant que d'adresses IPv4 constitue donc un problème.

• exemple Ma box est en IPv4 et je ne peux évidemment atteindre aucun serveur qui ne fournit qu'une adresse en IPv6... Il faut que ce serveur donne AUSSI une connectivité IPv4
• (c'est d'ailleurs le cas de beaucoup de serveurs, maintenant, d'avoir un double-jeu d'adresses de contact en IPv4 et IPv6) : par exemple tous ceux de testdebit.info au bas de cette page https://testdebit.info/ => depuis ma connexion internet (qui n'est que IPv4) tous les liens IPv6 donne "Impossible de trouver le serveur demandé".

---

Pour en revenir à mes moutons, je ne cherche pas à héberger un site internet.
J'ai un Raspberry connecté en Ethernet derrière ma box et je dois pouvoir m'y connecter à distance (hors de la maison) en ssh (mode console port 22 par défaut).

---

Techniquement, ça revient au même, ce n'est pas un serveur web sur le port 80 mais un serveur ssh sur le port 22 ça reste un serveur.

Ce serveur attend tes requêtes et te répond dès que tu le sollicites, c'est bien un serveur.

Admettons que mon l'IPV6 de ma box soit fixe et que mon sous domaine redirige vers cette IPV6 (raspberry.trucmachinchose.fr) je dois bien dire à ma box de rediriger le trafic externe qui lui arrive doit être redirigé vers mon raspberry, comment faire si je n'ai pas l'onglet nat ?

---

Non, tu ne dois pas 😉

Comme on l'a expliqué plus haut, en IPv6 tu peux oublier la limitation qui faisait que tu n'avais qu'UNE adresse publique sur internet pour TOUS tes appareils chez toi derrière ta box (tous sont vus comme étant l'adresse publique de ta box).

Au contraire en IPv6 tous tes appareils ont leur propre adresse IPv6, donc le trafic n'aura pas à être redirigé sur ta box au motif simple que le trafic ne lui sera pas adressée à elle mais directement à ton serveur (même si technique ce trafic passe par ta box, tout comme il passera par plein d'autres maillons internet en amont, le destinataires sera explicite ton serveur avec sa propre adresse IPv6 à lui tout seul).

• en IPv4 ton raisonnement est celui à adopter : ton DynDNS raspberry.trucmachinechose.fr est l'adresse publique IPv4 de ta box (pas celle de ton serveur qui n'a pas d'adresse publique IPv4 mais seulement une adresse privée sur ton réseau local) et donc ta box doit rediriger le traffic reçu sur le port 22 vers ton serveur ssh perso, d'où le NAT.
• en IPv6 ton raisonnement n'est pas le bon : ton DynDNS ne sert plus qu'à compenser le fait que tes adresses IPv6 peuvent bouger dynamiquement (ça tu ne choisis pas c'est ton FAI éventuellement), mais pour le reste il n'y a plus besoin de NAT et si ton adresse IPv6 ne change jamais alors tu pourrais même te passer de DynDNS IPv6 : pour te connecter tu utiliseras directement l'adresse IPv6 spécifique de ton serveur qui n'est pas la même adresse IPv6 que celle de ta box. Voir ce genre de discussion similaire https://forum.nextinpact.com/topic/174603-question-comment-g%C3%A9rer-son-r%C3%A9seau-avec-lipv6-qua...

Bref, non, en IPv6 il est relativement raisonnable de faire disparaître le NAT qui deviendra obsolète, il n'est plus utile à part vouloir se compliquer la vie. Lire https://www.synonyme-du-mot.com/les-articles/pourquoi-la-traduction-dadresses-de-reseau-nat-nest-pas...

En revanche, le NAT reste utile pour les gens qui hébergent un serveur (quel qu'il soit) chez eux derrière leur box et qui souhaitent l'atteindre en IPv4.

À+

[Ahima]

Je me réponds tout seul pour les autres.
Du coup ce que je cherchais à faire est possible.
Il suffit d'aller dans le menu IPV6 sous menu firewall et d'ajouter une règle dans le filtrage d'adresse (dans mon cas, pour faire du ssh port 22)

# Nom IP source (Internet) Protocole Type Ports IP de destination (Lan) Activation  

1

ssh

*

TCP

Port

22

l'ipv6 de votre périphérique

Vous pouvez d'ores et déjà faire :

ssh user@ipv6:/path

Ensuite si vous voulez pouvoir y accéder grâce à un nom de domaine (plus simple qu'une IPv6) il vous suffit de faire un sous domaine vers IPv6 (champs AAAA chez votre registrar) et vous pourrez enfin vous connecter à votre Raspberry en faisant :

ssh user@nomdedomaine:/path

[Ahima]

à @Ryry 
Merci pour ta réponse.
Nos réponses se sont croisées, ce que je cherche à faire est possible et je l'ai fait, j'explique comment dans le message ci-dessus.

[Ryry]

---

@Ahima  a écrit :

Nos réponses se sont croisées, ce que je cherche à faire est possible et je l'ai fait, j'explique comment dans le message ci-dessus.

---

OUi, mais ce que tu as fais n'est pas du NAT.

C'est juste (comme l'évoquais  @TagadaTsoinTsoin dès son message de 00hb57 "En IPv6 le NAT n'est pas utile, chaque machine du réseau a sa propre IPv6 publique exposée sur internet (si le pare-feu l'autorise)" ) que tu as demandé à ta box (comme pour un firewall) de ne pas BLOQUER ce traffic qui passe sous son nez mais qui ne lui est pas destiné.

Bref, pas du NAT, c'est juste mettre en pratique ce qu'on a évoqué ensemble :

• les utilisateurs s'adresseront directement à l'adresse IPv6 de ton serveur
• et ta box ne "bloquera" pas ce traffic vu le réglage que tu lui a imposé.

Mais du coup, soit conscient que ton serveur (ainsi accessible en IPv6) ne sera pas accessible en IPv4 tant que tu n'auras pas reconfiguré ton NAT après obtention d'une adresse IPv4 fullstack. Ainsi ton serveur restera pour l'instant inaccessible par exemple de chez moi (et tous ceux qui ne sont pas en IPv6) ce qui est hélas encore la majorité chez SFR même si les chiffres de 4.1% de 2021 "catastrophiques" pour SFR ont évidemment progressé depuis (mais ils s'attendent à rester à environ 1/3, entre 25 et 35% fin 2024... ça reste encore la minorité SFR : https://www.arcep.fr/cartes-et-donnees/nos-publications-chiffrees/transition-ipv6/barometre-annuel-d...

à+