Interconnexion de Domaines IPv6 à l'aide de Tunnels ccnp_cch ccnp_cch

- Implémentation - Préalables et réflexions sur la conception Sommaire - Introduction - Généralités sur l'interconnexion de domaines IPv6 avec des tunnels - Topologie initiale du réseau - Implémentation - Préalables et réflexions sur la conception - Politique de déploiement IPv6 - Quels routeurs frontière utiliser pour les tunnels - Protocoles de routage - Types de tunnel - Tunnel configuré manuellement - Tunnel 6to4 automatique - Tunnel GRE IPv6 sur IPv4 - Adressage - DNS - Gestion de réseau - Etapes du processus d'implémentation - Configurations ccnp_cch

ccnp_cch Introduction Ce document décrit comment un client entreprise peut interconnecter ses domaines IPv6 avec des tunnels au travers d'une infrastructure de réseau IPv4 existante. Ce document comprend les sections suivantes: • Généralités sur l'interconnexion de domaines IPv6 avec des tunnels • Implémentation Généralités sur l'interconnexion de domaines IPv6 avec des Tunnels Une entreprise veut interconnecter trois domaines IPv6. Ces trois domaines utilisent IPv6 natif et ont une connectivité Internet IPv4. La société veut interconnecter les domaines pour mettre à la disposition de tous les utilisateurs des services IPv6 qui ne sont pas fournis dans tous les domaines. Ces ser- vices peuvent être des services Web IPv6, des DNS IPv6, des serveurs FTP ou TFTP. Les machines peuvent également avoir des systèmes d'exploitation différents. La configuration doit permettre l'évolution afin de pouvoir ajouter des domaines futurs tout en restant conforme à la politique IPv6 de l'entreprise avec le but ultime de migrer la totalité de l'entreprise en IPv6. Parce qu'il n'y a pas de connectivité IPv6 native entre ces trois domaines, l'entreprise doit utiliser des tunnels pour passer le trafic IPv6 sur l'Internet IPv4 existant. Les types de tunnels possibles sont: • Tunnels IPv6 configurés manuellement • Tunnels automatiques 6to4 • IPv6 sur IPv4 avec des Tunnels GRE ccnp_cch

Vers le 6Bone et services IPv6 externes Topologie initiale du réseau La figure ci-desous décrit la topologie initiale du réseau de l'entreprise. Il y a trois domaines IPv6 avec une connectivité vers l'internet IPv4. Internet IPv4 DNS IPv6 Local Serveur TFTP IPv6 User C User D Serveur Web IPv6 User A User B IPv4 & IPv6 User E User F Routeur RX Routeur RY Routeur RZ Serveur IPv6 Serveur IRC IPv6 Serveur FTP IPv6 Vers le 6Bone et services IPv6 externes Central Italia Eiran ccnp_cch

ccnp_cch Implémentation Cette section décrit comment vous entreprise client vous pouvez utiliser des tunnels pour interconnecter les trois domaines IPv6. Cette section est composée de trois parties: • Préalables et réflexions sur la conception • Etapes du processus d'implémentation • Configurations Préalables et réflexions sur la conception Avant d'interconnecter les trois domaines IPv6 en déployant des tunnels, vous devez considérer les thèmes suivants: • Politique de déploiement IPv6 • Quels routeurs frontière utiliser pour le Tunneling ? • Protocoles de routage • Types de tunnel • Adressage • DNS • Gestion de réseau Politique de déploiement IPv6 L'entreprise doit avoir une politique globale et uniforme de déploiement IPv6 pour cha- que domaine et entre domaines. Une politique de déploiement IPv6 permettra un dé- ploiement ordonné de la transition vers IPv6. Les thèmes à inclure dans la politique de déploiement sont les suivants: • Mises à jour des hosts et des routeurs (Matériel et Logiciel) • Réflexions sur la sécurité et les Pare-feu • Quels protocoles de routage IPv6 déployer ? • Préfixe IPv6 et allocation d'adresse Quels routeurs frontière utiliser pour le Tunneling ? Dans chaque domaine vous devez identifier un routeur qui est capable de fonctionner comme un routeur frontière pour le tunnel. Le routeur doit avoir les caractéristiques suivantes: • Doit pouvoir être mis à jour avec une image IOS Cisco qui supporte IPv6 • Capable de contenir les deux piles IP • Avoir une connexion IPv4 fiable avec le routeur distant Les routeurs RX, RY et RZ ont été identifiés comme des routeurs frontière potentiels car ils sont déjà routeurs frontière pour la connexion à Internet IPv4 et leur logiciel peut être mis à jour pour supporter IPv6. ccnp_cch

ccnp_cch Protocoles de routage Vous devez choisir un protocole de routage à utiliser avec IPv6. Il faut prendre en con- sidération quels sont les protocoles de routage utilisés avec IPv4 dans chacun des domaines. Selon la méthodologie de déploiement IPv6 de chacun des domaines, les protocoles IPv4 en usage dans les domaines pourront être changés. Il est recommandé d'utiliser les mêmes protocoles pour IPv6 et pour IPv4 car la connectivité IPv4 est opti- misé et fonctionne correstement et vos administrateurs réseau les connaissent bien. Types de Tunnel Les types de tunnel possibles sont: • Tunnels IPv6 configurés manuellement • Tunnels automatiques 6to4 • IPv6 sur tunnels GRE IPv4 • Tunnels IPv6 configurés manuellement La configuration manuelle des tunnels est une technique dans laquelle une adresse IPv6 est configurée manuellement sur une interface Tunnel et les adresses IPv4 sont configurées manuellement côté source et destination du Tunnel. Les tunnels confi- gurés manuellement peuvent être configurés entre des routeurs frontière ou entre un routeur frontière et un host et sont généralement utilisés pour une connectivité dédiée et permanente. Parce que les tunnels configurés manuellement nécessitent une con- figuration à chaque extrémité du tunnel, ils entrainent un peu plus de gestion quand beaucoup de tunnels sont crées comparé au service 6to4 Relay. Comme ils sont con- figurés un à un entre eux extrémités connues, les tunnels configurés manuellement rendent les informations de trafic disponibles à chaque extrémité et fournissent une sécurité supplémentaire contre du trafic qui pourrait être injecté dans le tunnel . • Tunnels automatiques 6to4 La technique de tunnel 6to4 est une technique dans laquelle l'extrémité du tunnel est déterminée par une adresse IPv4 insérée dans l'adresse 6to4. Les tunnels 6to4 sont utilisés pour une connectivité semi-permanente ou temporaire. Une adresse IPv6 6to4 est une combinaison du préfixe de routage unique 2002::/16 et d'une adresse IPv4 32 bits (Les adresses de type IPv4 compatibles IPv6 ont un format différent des adresses 6to4 IPv6. Les adresses de type IPv4 compatibles IPv6 ne sont pas utilisées dans la technique de Tunnel 6to4). Les tunnels 6to4 sont configurés entre routeurs frontière ou entre un routeur frontière et un host. Les tunnels 6to4 demandent que le site relais 6to4 soit configuré pour fournirun service relais 6to4 point à multipoint. Le site relais 6to4 sera configuré avec un routeur possédant les deux piles IP et qui deviendra l'extrémité des tunnels 6to4. Une fois que le site relais 6to4 est configuré pour du tunnel 6to4, la charge de gestion est minimale. A l'autre extrémité du tunnel une configuration simple du routeur autorise l'accès au site relais au travers du tun- nel 6to4. ccnp_cch

ccnp_cch • IPv6 sur tunnels GRE IPv4 IPv6 sur des tunnels IPv4 GRE utilise la méthode standard de tunnel GRE qui a été conçue pour fournir les services nécessaires pour implémenter tout plan d'encapsu- lation point à point standard. Comme pour les tunnels IPv6 configurés manuelle- ment, les tunnels GRE sont des liens entre deux points avec un tunnel séparé pour chacun des liens. Les tunnels ne sont pas liés au protocole transporté mais dans ce cas transportent le protocole IPv6 comme protocole "passager" avec GRE comme protocole transporteur. La principale utilisation est pour des connexions stables qui nécessitent des com- munications régulières et sécurisées entre deux routeurs frontière ou entre un rou- teur frontière et un système d'extrémité. Le routeur frontière et le système d'extré- mité dans ce cas doivent avoir une implémentation double pile IP. Si le domaine utilise le protocole IS-IS (Intermediate-System to Intermediate-System) pour du routage interne, seul les tunnels GRE peuvent être utilisés. IS-IS fonctionne sur des liaisons de couche 2 ce qui entraine que des techniques de tunnel autres que GRE ne peuvent pas être utilisées car le trafic IS-IS ne pourrait pas être distin- gué du trafic IPv6. Les tunnels GRE vous permettent de préciser que IS-IS est le protocole transporté comme vous le faites pour IPv6 ce qui permet également de transporter IS-IS et IPv6 sur le même tunnel et en même temps. Adressage Vous devez déterminer si des adresses privées ou publiques globales sont requises. Si les domaines sont accessibles via des adresses publiques (Internet) IPv4, vous aurez besoin d'adresses IPv6 publiques. Si les domaines sont connectés par des adresses de réseaux privées, les adresses IPv6 publiques ne sont pas nécessaires. Toutefois, si des adresses IPv4 privées sont utilisées et le but est de connecter les domaines IPv6 au 6Bone ou à un Internet IPv6 de production, le schéma d'adressage IPv4aura besoin d'être reconstruit en utilisant des adresses IPv4 publiques. Note: La manière dont IPv6 est déployé à l'intérieur de chaque domaine IPv6 doit être conforme à la politique générale de déploiement IPv6 de l'entreprise. Si le but est de connecter les domaines au 6Bone ou l'Internet IPv6 vous devrez par la suite obtenir des préfixes IPv6 appropriés de l'organisme mandaté. Des préfixes arbitraires /48 peuvent être utilisés pour adresser chaque domaine IPv6, cependant les adresses de- vront être changées lorsqu'elles seront ouvertes au reste de l'entreprise ou connectées avec d'autres domaines IPv6 (les domaines doivent se conformer à la politique IPv6 globale de l'entreprise et aux standards internationaux). Cette approche n'est pas re- commandée. Reférez-vous à la politique d'allocation d'adresses IPv6 de votre RIR (Regional Internet Registry) pour obtenir un espace d'adresses IPv6. ccnp_cch

DNS Pour les hosts avec une double pile, votre DNS doit savoir gérer les enregistrements de type RR (resource Record) IPv6 AAAA , des RR IPv4 et doit également être capable de gérer des requêtes qui font référence à un RR de type IPv6 et à un RR de type IPv4. Dans ce dernier cas, le DNS doit retourner soit l'adresse IPv4 soit l'adresse IPv6 ou soit les deux adresses vers l'application. L'application utilisera soit l'adresse IPv4 soit l'adresse IPv6 d'après des caractéristiques de trafic IP ou des caractéristiques propres à l'application. IPv6 dans l'IOS Cisco fait des reqêtes DNS pour un RR de type A et AAAA sur IPv4 et sur IPv6. Votre DNS doit avoir les fonctionnalités équivalentes au BIND (Berkeley Internet Name Domain) version 9. Cette version fournit une implémentation des composants majeurs ( Serveur DNS, Resolver DNS et outils) pour IPv6. Gestion de réseau L'implémentation courante de la double pile dans l'IOS Cisco permet une solution de gestion intérimaire afin de permettre à des applications telles que TFTP, Ping, Telnet, Traceroute et SSH (Secure Shell) d'être exécutés soit sur IPv4 soit sur IPv6. La commande ping peut accepter une adresse IPv6 ou un nom de host IPv6 en argu- ment et transmettre des messages Echo Request ICMPv6 vers la destination spécifiée. Les messages ICMPv6 Echo Reply sont affichés sur la console. La fonctionnalité ping étendu est aussi supporté dans IPv6. Le client et le serveur Telnet supportent des con- nexions IPv6 ainsi vous pouvez utiliser Telnet pour accéder au routeur ou initier des connexions Telnet depuis le routeur. La commande Traceroute accepte une adresse de destination IPv6 ou un nom de host IPv6 comme argument et génère du trafic IPv6 pour annoncer chaque host IPv6 utilisé pour joindre l'adresse de destination. Le client SSH de l'IOS Cisco et le serveur SSH assurent des connexions sécurisées entre deux rou- teurs ou un host et un routeur. La gestion de réseau IPv6 est couverte par un ensemble de Drafts Internet pour des versions de MIB indépendantes d'IP. Cisco a planifié le support de ces MIBs. Le proto- cole SNMP (Simple Management Network Protocol) sur IPv6 est planifié pour la pro- chaine phase de l'IOS Cisco. Les logiciels de gestion de réseau tels que HP OpenView et IBM Tivoli Network ne supportent pas encore IPv6. La gestion complète de réseau IPv6 dépend du suport d'IPv6 dans système global de gestion de réseaux. ccnp_cch

ccnp_cch Etapes du processus d'implémentation Pour interconnecter les trois domaines avec des tunnels configurés manuellement, exé- cutez les étapes suivantes: 1. Obtenir l'allocation d'un préfixe IPv6 pour votre entrprise de la part de votre RIR ou de votre ISP. Pour les besoins de ce document, nous supposerons que nous avons obtenu le préfixe IPv6 2001:xxxx::/35. 2. Allouer des préfixes aux trois domaines. Les préfixes alloués sont les suivants: Domaine Préfixe alloué Central 2001:xxxx:0100::/40 Italia 2001:xxxx:0200::/40 Eiran 2001:xxxx:0300::/40 3. Allouer des adresses IPv6 pour chaque noeud dans chaque domaine. Par exemple le serveur DNS du domaine Central aura l'adresse 2001:xxxx:0100::2. 4. Configurer les interfaces du routeur. Pour configurer les interfaces du routeur RX reférez-vous à la figure ci-dessous et exécutez les commandes suivantes: ipv6 unicast-routing interface Ethernet0 description Connexion au LAN de Central ip address 192.168.1.1 255.255.255.0 ipv6 address 2001:xxxx:0100::1/40 interface Serial0 description Connexion à Internet IPv4 ip address 192.168.4.1 255.255.255.0 Sous-Réseau 2001:xxxx:0100::/40 192.168.1.1/24 2001:xxxx:0100::1/40 E0 RX S0 192.168.4.1/24 Internet IPv4 ccnp_cch

Pour configurer les interfaces du routeur RY reférez-vous à la figure ci-dessous et exécutez les commandes suivantes: ipv6 unicast-routing interface Ethernet0 description Connexion au LAN de Italia ip address 192.168.2.1 255.255.255.0 ipv6 address 2001:xxxx:0200::1/40 interface Serial0 description Connexion à Internet IPv4 ip address 192.168.4.2 255.255.255.0 S0 E0 RY 192.168.4.2/24 192.168.2.1/24 2001:xxxx:0200::1/40 Sous-Réseau 2001:xxxx:0200::/40 Internet IPv4 ccnp_cch

Pour configurer les interfaces du routeur RZ reférez-vous à la figure ci-dessous et exécutez les commandes suivantes: ipv6 unicast-routing interface Ethernet0 description Connexion au LAN de Eiran ip address 192.168.3.1 255.255.255.0 ipv6 address 2001:xxxx:0300::1/40 interface Serial0 description Connexion à Internet IPv4 ip address 192.168.4.3 255.255.255.0 S0 E0 RY 192.168.4.3/24 192.168.3.1/24 2001:xxxx:0300::1/40 Sous-Réseau 2001:xxxx:0300::/40 Internet IPv4 5. Choisir un type de tunnel adéquat. Les tunnels configurés manuellement ont été choisis car ils fournissent des communications point à point stables et sécurisées entre les routeurs. 6. Configurer les tunnels configurés manuellement entre les routeurs frontière de chaque domaine. (page suivante) ccnp_cch

Pour configurer un tunnel entre les routeurs RX et RY reférez-vous à la figure ci-des- sous et exécutez les commandes suivantes: Pour le routeur RX: interface Tunnel0 description Tunnel vers Italia (routeur RY) ipv6 unnumbered ethernet0 tunnel source ethernet0 tunnel destination 192.168.4.2 tunnel mode ipv6ip Pour le routeur RY: interface Tunnel0 description Tunnel vers Central (routeur RX) tunnel destination 192.168.4.1 Sous-Réseau 2001:xxxx:0100::/40 192.168.1.1/24 2001:xxxx:0100::1/40 Routeur RX: Tunnel0 Source: 192.168.1.1/24 Destination: 192.168.4.2/24 E0 RX S0 192.168.4.1/24 Routeur RX: Tunnel0 Source: 192.168.1.1/24 Destination: 192.168.4.2/24 Internet IPv4 192.168.4.2/24 S0 RY E0 192.168.2.1/24 2001:xxxx:0200::1/40 Sous-Réseau 2001:xxxx:0200::/40 ccnp_cch

Pour configurer un tunnel entre les routeurs RX et RZ reférez-vous à la figure ci-des- sous et exécutez les commandes suivantes: Pour le routeur RX: interface Tunnel1 description Tunnel vers Eiran (routeur RZ) ipv6 unnumbered ethernet0 tunnel source ethernet0 tunnel destination 192.168.4.3 tunnel mode ipv6ip Pour le routeur RZ: interface Tunnel0 description Tunnel vers Central (routeur RX) tunnel destination 192.168.4.1 RX E0 192.168.1.1/24 2001:xxxx:0100::1/40 Sous-Réseau 2001:xxxx:0100::/40 Routeur RX: Tunnel1 Source: 192.168.1.1/24 Destination: 192.168.4.3/24 192.168.4.1/24 S0 Internet IPv4 Routeur RZ: Tunnel0 Source: 192.168.3.1/24 Destination: 192.168.4.1/24 S0 192.168.4.3/24 RZ E0 192.168.3.1/24 2001:xxxx:0300::1/40 Sous-Réseau 2001:xxxx:0300::/40 ccnp_cch

Pour configurer un tunnel entre les routeurs RY et RZ reférez-vous à la figure ci-des- sous et exécutez les commandes suivantes: Pour le routeur RY: interface Tunnel1 description Tunnel vers Eiran (routeur RZ) ipv6 unnumbered ethernet0 tunnel source ethernet0 tunnel destination 192.168.4.3 tunnel mode ipv6ip Pour le routeur RZ: interface Tunnel0 description Tunnel vers Italia (routeur RY) tunnel destination 192.168.4.2 S0 RZ 192.168.4.3/24 E0 192.168.3.1/24 2001:xxxx:0300::1/40 Sous-Réseau 2001:xxxx:0300::/40 Internet IPv4 Routeur RZ: Tunnel1 Source: 192.168.3.1/24 Destination: 192.168.4.2/24 Routeur RX: Tunnel1 Source: 192.168.2.1/24 Destination: 192.168.4.3/24 RX 192.168.2.1/24 2001:xxxx:0200::1/40 2001:xxxx:0200::/40 192.168.4.2/24 7. Choisir le protocole de routage adéquat. RIPng (Routing Information Protocol Next Generation) est un protocole de routage intra-domaine approprié pour des tunnels configurés manuellement. ccnp_cch

Pour configurer les protocoles de routage, exécutez les commandes suivantes: Pour le routeur RX: ipv6 router rip Central interface Tunnel0 ipv6 rip Central enable interface Tunnel1 Pour le routeur RY: ipv6 router rip Italia ipv6 rip Italia enable Pour le routeur RZ: ipv6 router rip Eiran ipv6 rip Eiran enable 9. Configurer les serveurs en exécutant les commandes suivantes: Pour le routeur RX: ip name-server 2001:xxxx:0100::2 !Serveur DNS de Central ip name-server 2001:xxxx:0200::2 !Serveur DNS de Italia ip name-server 2001:xxxx:0300::2 !Serveur DNS de Eiran Pour le routeur RY: ip name-server 2001:xxxx:0100::2 !Serveur DNS de Central Pour le routeur RZ: ip name-server 2001:xxxx:0100::2 !Serveur DNS de Central ccnp_cch

Vers le 6Bone et services IPv6 externes Ce schéma montre l'mplémentation d'IPv6 sur le réseau de l'entreprise. Vers le 6Bone et services IPv6 externes Central Sous-réseau 2001:xxxx:0100::/40 IPv4 & IPv6 Serveur Web IPv6 DNS IPv6 Local Serveur IPv6 User A User B 2001:xxxx:0100::2/40 Routeur RX IPv6 sur Tunnel IPv4 IPv6 sur Tunnel IPv4 Internet IPv4 Routeur RY IPv4 & IPv6 Sous-réseau 2001:xxxx:0200::/40 Serveur Web IPv6 IPv6 sur Tunnel IPv4 DNS IPv6 Local Serveur TFTP IPv6 User C User D 2001:xxxx:0200::2/40 Routeur RZ Italia IPv4 & IPv6 Sous-réseau 2001:xxxx:0300::/40 Serveur IRC IPv6 DNS IPv6 Local Serveur FTP IPv6 User E User F 2001:xxxx:0300::2/40 Eiran ccnp_cch

ccnp_cch Configurations Cette section contient les configurations partielles des routeurs frontière pour chacun des domaines. Routeur RX: ipv6 unicast-routing ! interface Ethernet0 description Connexion au LAN de Central ip address 192.168.1.1 255.255.255.0 ipv6 address 2001:xxxx:0100::1/40 interface Serial0 description Connexion à Internet IPv4 ip address 192.168.4.1 255.255.255.0 interface Tunnel0 description Tunnel vers Italia (routeur RY) ipv6 unnumbered ethernet0 ipv6 rip Central enable tunnel source ethernet0 tunnel destination 192.168.4.2 tunnel mode ipv6ip interface Tunnel1 description Tunnel vers Eiran (routeur RZ) tunnel destination 192.168.4.3 ipv6 router rip Central ip name-server 2001:xxxx:0100::2 !Serveur DNS de Central ip name-server 2001:xxxx:0200::2 !Serveur DNS de Italia ip name-server 2001:xxxx:0300::2 !Serveur DNS de Eiran ccnp_cch

ccnp_cch Routeur RY: ipv6 unicast-routing ! interface Ethernet0 description Connexion au LAN de Italia ip address 192.168.2.1 255.255.255.0 ipv6 address 2001:xxxx:0200::1/40 interface Serial0 description Connexion à Internet IPv4 ip address 192.168.4.2 255.255.255.0 interface Tunnel0 description Tunnel vers Central (routeur RX) ipv6 unnumbered ethernet0 ipv6 rip Italia enable tunnel source ethernet0 tunnel destination 192.168.4.1 tunnel mode ipv6ip interface Tunnel1 description Tunnel vers Eiran (routeur RZ) tunnel destination 192.168.4.3 ipv6 router rip Italia ip name-server 2001:xxxx:0100::2 !Serveur DNS de Central ip name-server 2001:xxxx:0200::2 !Serveur DNS de Italia ip name-server 2001:xxxx:0300::2 !Serveur DNS de Eiran ccnp_cch

ccnp_cch Routeur RZ: ipv6 unicast-routing ! interface Ethernet0 description Connexion au LAN de Eiran ip address 192.168.3.1 255.255.255.0 ipv6 address 2001:xxxx:0300::1/40 interface Serial0 description Connexion à Internet IPv4 ip address 192.168.4.3 255.255.255.0 interface Tunnel0 description Tunnel vers Central (routeur RX) ipv6 unnumbered ethernet0 ipv6 rip Eiran enable tunnel source ethernet0 tunnel destination 192.168.4.1 tunnel mode ipv6ip interface Tunnel1 description Tunnel vers Italia (routeur RY) tunnel destination 192.168.4.2 ipv6 router rip Eiran ip name-server 2001:xxxx:0100::2 !Serveur DNS de Central ip name-server 2001:xxxx:0200::2 !Serveur DNS de Italia ip name-server 2001:xxxx:0300::2 !Serveur DNS de Eiran ccnp_cch