Passer à IPv6 en commençant par le plan d'adressage

La première règle est contre-intuitive pour qui vient d'IPv4 : on cesse d'économiser les adresses. Un segment reçoit un préfixe de 64 bits, quel que soit le nombre de machines qu'il contient, y compris s'il en contient deux. Ce n'est pas du gaspillage, c'est la condition pour que l'autoconfiguration fonctionne, et toute tentative d'optimisation à cet endroit se paie plus tard.

La hiérarchie qui tient

Trois niveaux suffisent. Le bloc de l'organisation, qu'il vienne de l'opérateur ou du registre régional. Le bloc de site, taillé en 48 bits, ce qui laisse seize bits pour découper les segments, soit largement de quoi voir venir. Le préfixe de segment, en 64 bits, qui correspond à un des ensembles définis par la segmentation.

Le gain vient de l'encodage. Les seize bits disponibles entre le site et le segment permettent de reproduire l'identifiant de segment déjà utilisé, de sorte qu'un préfixe se lit à voix haute et indique immédiatement de quel site et de quel usage il s'agit. Cette lisibilité vaut plus que n'importe quelle documentation, et elle suppose que le découpage soit identique d'un site à l'autre, ce que nous détaillons dans notre note sur la segmentation d'un réseau de PME.

Adresses de l'opérateur ou adresses indépendantes

C'est la décision la plus structurante et la moins réversible. Un bloc fourni par l'opérateur ne coûte rien et disparaît avec le contrat : changer d'opérateur impose alors de renuméroter l'ensemble du réseau, avec toutes les règles de filtrage, les enregistrements de noms et les listes d'autorisation qui les mentionnent. Un bloc indépendant obtenu auprès du registre régional se conserve, se porte d'un opérateur à l'autre, et permet d'être raccordé à deux opérateurs simultanément.

La règle empirique est simple : une organisation mono-site avec un seul opérateur peut vivre avec un bloc fourni, à condition d'écrire ses règles en s'appuyant sur des groupes nommés plutôt que sur des adresses en dur. Dès qu'il y a plusieurs sites, plusieurs opérateurs ou une exigence de continuité, le bloc indépendant s'impose. Le coût de la renumérotation est du même ordre que celui d'une migration de plateforme, sujet dont nous décrivons la mécanique dans notre analyse de la clause de réversibilité.

Autoconfiguration, attribution, ou les deux

Deux mécanismes coexistent. L'autoconfiguration laisse la machine construire son adresse à partir du préfixe annoncé par le routeur : c'est simple, robuste, et cela produit des adresses que l'administrateur ne choisit pas. L'attribution centralisée par serveur permet de maîtriser les adresses et de tenir un registre, au prix d'une configuration supplémentaire.

En pratique, la plupart des réseaux d'entreprise utilisent les deux : autoconfiguration pour les postes de travail, attribution centralisée pour les serveurs et les équipements. Le point de vigilance est la cohérence des annonces du routeur, qui pilotent le comportement des machines et qui doivent être identiques sur tous les routeurs d'un même segment.

Trois pièges de production

1. Les adresses temporaires générées par les postes pour préserver la vie privée changent régulièrement et rendent la journalisation inexploitable si l'on ne conserve pas la correspondance entre adresse et machine.
2. Le filtrage trop agressif des messages de contrôle casse la découverte des voisins et la détermination de la taille des paquets, avec des symptômes déroutants : une connexion s'établit mais les transferts volumineux échouent.
3. La publication d'un enregistrement de nom en IPv6 bascule immédiatement le trafic sur le nouveau protocole, avant même que les règles de filtrage aient été écrites en double.

Le troisième piège est le plus fréquent et le plus simple à éviter : on écrit les règles avant de publier, jamais l'inverse. Chaque règle de filtrage doit exister dans les deux protocoles, et la matrice de flux doit être relue intégralement, faute de quoi la segmentation devient asymétrique sans que rien ne le signale.

Ce que la migration apporte réellement

Trois bénéfices concrets, au-delà de l'épuisement des adresses. La suppression de la traduction d'adresses simplifie le diagnostic, parce qu'une adresse observée dans un journal correspond enfin à une machine unique. Le raccordement à deux opérateurs devient réalisable proprement avec un bloc indépendant, ce qui rejoint les arbitrages de conception de liaisons que nous décrivons dans notre comparaison entre SD-WAN et MPLS. Et les plateformes récentes, notamment les environnements d'orchestration de conteneurs, sont conçues en supposant un adressage abondant, contrainte que nous évoquons dans notre analyse du seuil à partir duquel Kubernetes sur site se défend.

Le chantier reste dominé par la documentation. Un plan d'adressage n'a de valeur que s'il est tenu, ce qui suppose un inventaire vivant, alimenté automatiquement, comme nous l'expliquons dans nos notes sur la tenue d'une CMDB vivante. Et l'affectation automatique des machines à leur segment au moment du branchement rend l'ensemble cohérent, mécanisme décrit dans notre analyse de l'authentification 802.1X sur les prises murales.