IPv6 sur VPN : un préfixe délégué n’est pas un pool d’adresses

Le même jour arrivent deux demandes : un portable a besoin d’IPv6 sur le tunnel, et un petit site veut IPv6 pour les appareils derrière son routeur. Les deux reçoivent une adresse en réponse, et la seconde passe ensuite une semaine à échouer. Les rôles diffèrent, tout comme les mécanismes, la configuration et la vérification qui prouve que cela fonctionne. Ce guide les tient séparés.

Première étape : décidez quel rôle vous servez

Un hôte unique a besoin d’une adresse sur son interface de tunnel, avec une route vers le côté distant et rien en aval à numéroter. Un routeur derrière le tunnel a besoin d’un réseau entier qu’il peut distribuer, plus une route du côté distant qui renvoie ces adresses vers lui. Ce qui se trouve derrière le tunnel dicte chaque décision qui suit.

Répondez à cette question avant d’ouvrir une quelconque configuration. Tout ce qui suit cette étape dépend de la réponse que vous avez donnée.

Deuxième étape : attribution d’adresses pour un hôte unique

Attribuez l’adresse du tunnel, confirmez la longueur de préfixe attendue par le produit et vérifiez que le client installe une route pour la plage distante au lieu de l’envoyer vers la passerelle par défaut locale. Un /128 sur une interface de tunnel est normal pour une liaison point à point, tandis qu’un /64 y revendique un réseau que personne n’a délégué. Deux sorties tranchent la question : la table d’adresses et la table de routes, lues aux deux extrémités. Lisez-les ensemble, car une route pointant vers la mauvaise interface est l’erreur la plus fréquente à cette étape.

Vérifiez avec les tables d’adresses et de routes aux deux extrémités, puis envoyez une requête. Si la requête sort correctement et que rien ne revient, la panne se situe dans la route du côté distant et non dans l’adresse du client.

Troisième étape : délégation pour un routeur derrière le tunnel

La délégation de préfixe est un mécanisme distinct de l’attribution d’adresses, avec sa propre demande et son propre bail. Le côté délégant doit être configuré pour fournir un préfixe assez grand pour le réseau en aval, et le routeur demandeur doit numéroter son interface intérieure à partir de ce préfixe.

Ne supposez pas que le pool qui sert les clients mobiles puisse déléguer. Beaucoup de produits VPN attribuent des adresses uniques et n’ont aucune fonction de délégation, et un préfixe du fournisseur qui arrive à votre bord n’est pas transmis automatiquement à un pair. Notez quel rôle sert chaque pool, car les deux se configurent à des endroits différents.

Quatrième étape : rendez la route de retour explicite

Les deux extrémités doivent convenir quel pair porte quel préfixe. Du côté distant, ajoutez la route du réseau délégué pointant vers le tunnel et confirmez qu’aucune plage qui se chevauche ne la revendique déjà.

Un préfixe valide sans route de retour produit un plan d’adressage propre et aucune connectivité. Une route sans règle d’accès expose plus du site que prévu, alors associez les deux changements dans la même fenêtre et tenez un état à moitié appliqué loin des utilisateurs.

Cinquième étape : vérifiez depuis derrière le routeur

Exécutez les vérifications dans l’ordre : l’adresse de l’interface de tunnel sur le client, le préfixe délégué sur l’interface intérieure, la route du côté distant vers ce préfixe, et enfin une requête depuis un appareil derrière le routeur. Utilisez une destination que vous contrôlez afin qu’un blocage silencieux se distingue d’une route absente. L’étape qui vous surprend est celle à corriger avant de continuer.

Faites la dernière vérification deux fois, une fois depuis le routeur lui-même et une fois depuis un appareil derrière lui. Un routeur qui atteint la destination alors que ses clients n’y arrivent pas est un problème de délégation ou de transfert, pas un problème en amont.

Retour arrière

Conservez la configuration d’adressage précédente avant le changement et notez lequel des deux mécanismes vous avez modifié. Retirer un préfixe délégué sans retirer la route laisse un trou noir, et retirer la route sans le préfixe laisse des adresses que rien ne peut atteindre. Notez les deux changements séparément, car annuler l’un en gardant l’autre rend un site inaccessible dans une seule direction.

Si un produit s’avère ne pas prendre en charge le rôle dont vous avez besoin, arrêtez-vous et changez la conception plutôt que d’étirer un champ client pour contenir une plage pour laquelle il n’a jamais été prévu. Un cas de support traité avec le mauvais mécanisme coûte plus cher que le changement de conception.