Adressage IPv6

Pourquoi IPv6 ? L'épuisement d'IPv4

Le 3 février 2011, l'IANA (Internet Assigned Numbers Authority) a alloué les cinq derniers blocs /8 restants aux registres régionaux (RIR). À cette date, l'épuisement du pool global IPv4IPv4RéseauxVersion historique du protocole IP, dont les adresses tiennent sur 32 bits — soit environ 4,3 milliards de combinaisons, aujourd'hui épuisées.Voir dans le glossaire est officiellement constaté. Les régions APAC (Asie-Pacifique) et RIPE NCC (Europe) ont épuisé leurs réserves en 2011 et 2019 respectivement.

Les racines du problème

IPv4, conçu en 1981, offre 2^32 = 4,29 milliards d'adresses. En 1981, on pensait que c'était plus qu'assez. Mais trois phénomènes n'avaient pas été anticipés :

1. L'explosion de l'Internet grand public : des milliards d'appareils connectés (smartphones, tablettes, IoT)
2. L'allocation inefficace des premières années : MIT, Apple, et Ford possèdent chacun un bloc /8 entier (16,7M adresses), qu'ils n'utilisent qu'en partie
3. L'IoT : montres connectées, capteurs industriels, caméras IP — chaque objet demande une adresse

Le NATNATRéseauxMécanisme qui permet à plusieurs machines d'un réseau privé de partager une seule adresse IP publique. Il compense la pénurie d'adresses IPv4 mais complique les connexions entrantes.Voir dans le glossaire a prolongé la vie d'IPv4, mais au prix de complexité, de problèmes de performance et d'impossibilité de connexion directe entre deux hôtes derrière un NAT.

Format d'une adresse IPv6

Une adresse IPv6IPv6RéseauxVersion du protocole IP dont les adresses tiennent sur 128 bits, ce qui rend l'espace pratiquement inépuisable. Elle apporte aussi l'autoconfiguration et supprime le besoin de NAT.Voir dans le glossaire est composée de 128 bits, représentés en 8 groupes de 16 bits (4 chiffres hexadécimaux chacun), séparés par des deux-points.

2001:0db8:0000:0000:0000:ff00:0042:8329
│    │    │    │    │    │    │    │
└────┴────┴────┴────┴────┴────┴────┘
8 groupes de 4 chiffres hexadécimaux = 32 chiffres hex = 128 bits

Capacité d'adressage

2^128 = 340 282 366 920 938 463 463 374 607 431 768 211 456
      ≈ 340 sextillions d'adresses
      ≈ 340 × 10^36 adresses

Pour mettre cela en perspective : il y a assez d'adresses IPv6 pour attribuer 670 quadrillions d'adresses à chaque millimètre carré de la surface terrestre.

Règles de simplification — La notation ::

Le :: ne peut apparaître qu'une seule fois dans une adresse. Avec deux occurrences, il devient impossible de déduire combien de groupes nuls chacune remplace : l'adresse est ambiguë, et rejetée.

Les adresses IPv6 complètes sont longues et difficiles à mémoriser. Deux règles permettent de les simplifier.

Règle 1 : Supprimer les zéros de tête

Dans chaque groupe, les zéros non significatifs (à gauche) peuvent être omis.

2001:0db8:0000:0000:0000:ff00:0042:8329
→ 2001:db8:0:0:0:ff00:42:8329

Règle 2 : Remplacer un groupe contigu de zéros par ::

Un seul groupe de zéros consécutifs peut être remplacé par ::. Cette substitution ne peut être appliquée qu'une seule fois dans une adresse.

2001:db8:0:0:0:ff00:42:8329
→ 2001:db8::ff00:42:8329

Exemples de simplification

Ambiguïté interdite

# INVALIDE : :: utilisé deux fois
2001:db8::ff00::1  ← INTERDIT

# VALIDE : le groupe de zéros le plus long prend la notation ::
2001:db8:0:0:1:0:0:1
→ 2001:db8::1:0:0:1  (préférable)
→ 2001:db8:0:0:1::1  (aussi valide)

Types d'adresses IPv6

IPv6 définit plusieurs types d'adresses avec des rôles distincts. Il n'y a pas de broadcastbroadcastRéseauxEnvoi d'une trame à toutes les machines d'un même réseau local simultanément. C'est le mécanisme employé par ARP ou DHCP quand le destinataire n'est pas encore connu.Voir dans le glossaire en IPv6 — le multicast le remplace.

Adresses Unicast (un seul destinataire)

Global Unicast — 2000::/3

Équivalent des adresses publiques IPv4. Routables sur Internet.

Préfixe : 2000::/3
Plage    : 2000:: à 3fff:ffff:ffff:ffff:ffff:ffff:ffff:ffff
Exemple  : 2001:db8:1:2::cafe/64

Structure d'une Global Unicast :

| 48 bits             | 16 bits    | 64 bits       |
| Global Routing Pref | Subnet ID  | Interface ID  |
| Attribué par l'ISP  | Par l'admin| Auto-généré   |

Link-Local — fe80::/10

Adresses utilisables uniquement sur le lien local (segment réseau directement connecté). Automatiquement attribuées à chaque interface IPv6 active. Jamais routées.

Préfixe : fe80::/10
Exemple  : fe80::202:b3ff:fe1e:8329/64

# Voir les adresses link-local
ip -6 addr show | grep fe80

L'Interface ID des adresses link-local est souvent dérivé de l'adresse MACadresse MACRéseauxIdentifiant physique gravé dans une carte réseau, sur 48 bits. Contrairement à l'adresse IP, il n'a de portée que sur le réseau local et ne traverse pas les routeurs.Voir dans le glossaire via le processus EUI-64 :

MAC : 00:02:b3:1e:83:29
EUI-64 : 0202:b3ff:fe1e:8329
(bit universel/local inversé, ff:fe inséré au milieu)

Loopback — ::1

Équivalent de 127.0.0.1 en IPv4. L'hôte lui-même.

ping6 ::1
# ou
ping -6 ::1

Adresses Multicast — ff00::/8

Remplace le broadcast d'IPv4. Un paquet multicast est envoyé à tous les membres d'un groupe.

Adresses Anycast

Une adresse attribuée à plusieurs interfaces (sur plusieurs nœuds). Le paquet est acheminé vers l'interface la plus proche (selon la métrique de routage). Utilisé par les CDN et les serveurs racines DNSDNSRéseauxSystème qui traduit un nom de domaine en adresse IP, par interrogations successives de la racine, des serveurs de premier niveau puis des serveurs faisant autorité.Voir dans le glossaire.

En-tête IPv6 simplifié

L'un des grands avantages d'IPv6 est son en-tête simplifié. L'en-tête IPv4 comporte 14 champs et est variable en taille. L'en-tête IPv6 est fixe à 40 octets et n'a que 8 champs.

Comparaison des en-têtes

La suppression du checksum IP accélère le traitement par les routeurs (le checksum TCPTCPRéseauxProtocole de transport qui garantit que les données arrivent complètes, dans l'ordre et sans doublon. Il établit une connexion, numérote chaque segment et retransmet ce qui manque.Voir dans le glossaire/UDPUDPRéseauxProtocole de transport sans connexion ni garantie de livraison, réduit à un en-tête de 8 octets. Sa légèreté convient au DNS, à la voix et à la vidéo, où un retard coûte plus qu'une perte.Voir dans le glossaire couvre déjà l'intégrité).

SLAAC — Stateless Address Autoconfiguration

IPv6 introduit la configuration automatique sans état (SLAACSLAACRéseauxMécanisme par lequel une machine construit seule son adresse IPv6 à partir du préfixe annoncé par le routeur, sans serveur DHCP.Voir dans le glossaire), définie dans la RFC 4862. Un hôte IPv6 peut se configurer une adresse globale sans serveur DHCP.

Processus SLAAC étape par étape

1. L'interface génère une adresse link-local fe80::/64
   (basée sur EUI-64 ou random)

2. L'hôte envoie un Router Solicitation (RS) en multicast ff02::2
   "Y a-t-il des routeurs sur ce lien ?"

3. Le routeur répond avec un Router Advertisement (RA)
   contenant : préfixe réseau, durée de vie, MTU

4. L'hôte combine le préfixe du RA (64 bits) + son Interface ID (64 bits)
   → Adresse globale complète

5. L'hôte vérifie l'unicité avec Duplicate Address Detection (DAD)
   (envoi de Neighbor Solicitation vers l'adresse solicited-node)

# Voir les adresses auto-configurées
ip -6 addr show

# Exemple de sortie :
# 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP>
#     inet6 2001:db8:cafe:1:a00:27ff:fe4e:66a1/64 scope global dynamic
#        valid_lft 86393sec preferred_lft 14393sec
#     inet6 fe80::a00:27ff:fe4e:66a1/64 scope link

Dual-Stack : coexistence IPv4 et IPv6

La transition vers IPv6 se fait progressivement via le dual-stack : chaque interface dispose simultanément d'une adresse IPv4 et d'une adresse IPv6. L'application choisit le protocole selon la disponibilité.

# Vérifier la configuration dual-stack
ip addr show eth0

# Exemple de sortie dual-stack :
# 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP>
#     inet  192.168.1.100/24 brd 192.168.1.255 scope global eth0
#     inet6 2001:db8:1::100/64 scope global
#     inet6 fe80::1/64 scope link

# Ping IPv6
ping6 google.com
ping -6 2001:4860:4860::8888  # DNS Google IPv6

# Traceroute IPv6
traceroute6 google.com

Algorithme Happy Eyeballs (RFC 8305)

Les navigateurs modernes utilisent Happy Eyeballs : ils tentent IPv6 et IPv4 quasi-simultanément (délai de 250ms), et utilisent la connexion qui répond en premier. Cela évite les timeouts en cas d'IPv6 mal configuré.

Tableau comparatif IPv4 vs IPv6

NDP — Neighbor Discovery Protocol

IPv6 remplace ARP par le NDP (Neighbor Discovery Protocol), défini dans la RFC 4861. NDP fonctionne via ICMPv6 et gère plusieurs fonctions :

# Table des voisins IPv6 (équivalent de la table ARP)
ip -6 neigh show

# Exemple :
# 2001:db8:1::1 dev eth0 lladdr 00:1a:2b:3c:4d:5e REACHABLE
# fe80::1 dev eth0 lladdr 00:1a:2b:3c:4d:5e REACHABLE

Commandes IPv6 essentielles

# Afficher toutes les adresses IPv6
ip -6 addr show

# Afficher la table de routage IPv6
ip -6 route show

# Ajouter une adresse IPv6 statique
sudo ip -6 addr add 2001:db8:1::100/64 dev eth0

# Ajouter une route par défaut IPv6
sudo ip -6 route add default via 2001:db8:1::1

# Ping IPv6 (6 paquets)
ping6 -c 6 2001:4860:4860::8888

# DNS sur IPv6
dig AAAA google.com
dig @2001:4860:4860::8888 google.com AAAA

# Traceroute IPv6
traceroute6 ipv6.google.com

# Vérifier la connectivité IPv6 publique
curl -6 https://ifconfig.me/ip

Adoption d'IPv6 en 2026

Selon les statistiques Google, plus de 45% du trafic vers les serveurs Google se fait désormais en IPv6. Les opérateurs mobiles (Free, Orange, SFR) proposent du dual-stack natif. Les fournisseurs cloud (AWS, GCP, Azure) supportent pleinement IPv6.

Déployer IPv6 n'est plus optionnel pour une infrastructure sérieuse : c'est une exigence de résilience et de préparation à l'avenir.

Passez au chapitre suivant : Protocole ARP — comment IP et Ethernet se parlent au niveau local.

IPv6 = 128 bits, notation hexadécimale compactable, dual-stack fréquent en migration.

Normalisez les adresses (compression ::) dans la doc pour éviter les faux jumeaux visuels.

SLAAC et DHCPv6 peuvent cohabiter ; comprenez ce que vos RA annoncent réellement.

Pourquoi IPv6 existe encore « à côté »

IPv6 répond à l’épuisement IPv4 et simplifie certains aspects (SLAAC, pas de NAT obligatoire). En entreprise, la dual-stack domine : IPv4 et IPv6 cohabitent. Un service peut être joignable en l’un et cassé en l’autre. Testez explicitement les deux quand Happy Eyeballs masque un problème.

Lire une adresse IPv6

128 bits, hexadécimal, compression :: une seule fois. Préfixe /64 courant en LAN. Link-local fe80::/10 apparaît sur les interfaces même sans GUA. Les adresses uniques locales fc00::/7 (pratique fd00::/8) jouent un rôle « privé ».

ICMPv6 n’est pas optionnel

Sous IPv6, Neighbor Discovery s’appuie sur ICMPv6. Filtrer « tout ICMP » casse le voisinage et le PMTUPMTURéseauxPlus petite MTU rencontrée sur le trajet complet entre deux machines. Sa découverte repose sur ICMP : le bloquer provoque des connexions qui s'ouvrent puis se figent.Voir dans le glossaire. Les politiques firewallpare-feuRéseauxÉquipement ou logiciel qui filtre le trafic selon des règles (ports, adresses, états) pour réduire la surface d'attaque.Voir dans le glossaire IPv6 doivent être conçues, pas copiées bêtement depuis IPv4.

Si IPv6 est actif mais non maîtrisé, c’est une surface d’exposition silencieuse.

Migration pragmatique

Inventaire des services, DNS AAAA, firewall, monitoring, puis activationfonction d'activationIAOpération non linéaire appliquée en sortie d'un neurone. Sans elle, empiler des couches serait inutile : une succession d'opérations linéaires reste équivalente à une seule.Voir dans le glossaire progressive. N’activez pas IPv6 « parce que la case est cochée » sans journalisation ni règles. Désactiver IPv6 partout est parfois un palliatif — rarement une stratégie.

Vérifiez AAAA et connectivité IPv6 de vos services publics critiques au moins une fois par trimestre.

Neighbor Discovery en pratique

NS/NA remplacent ARP. RA annonce préfixes et routes par défaut. Un RA malveillant ou trop permissif peut détourner le trafic : filtrages RA Guard existent sur les switches. Sur un laptop, ip -6 neigh et les logs NetworkManager aident à voir ce qui se passe.

Testez un service en forçant IPv6 (curl -6) et IPv4 (curl -4). Notez les différences de chemin et de filtrage. Happy Eyeballs cache parfois une demi-panne pendant des mois.

Pour le DNS, publier un AAAA trop tôt expose un service non prêt ; trop tard empêche l’adoption. Coordonnez firewall, reverse proxy et monitoring avant le enregistrement public.

Les tunnels 4to6/6to4 historiques sont souvent à éviter au profit d’une dual-stack propre. Simplifiez.

Privacy extensions et adressage temporaire

Les clients génèrent souvent des adresses temporaires pour limiter le tracking. Cela complique le filtrage par IP source et les logs d’audit. En entreprise, décidez une politique : privacy extensions, DHCPv6, ou SLAAC+stable. Alignez DHCP logs, NAC et SIEM.

Testez la connectivité v6 de vos dépendances critiques (IdP, DNS, updates). Une dépendance IPv4-only derrière un client v6-preferé crée des tickets intermittents difficiles à reproduire.

Documentez les préfixes alloués par site comme vous le faites en IPv4. L’espace abondant n’excuse pas le chaos.

Checklist d’activation IPv6 contrôlée

1. Inventaire services et dépendances. 2) Règles firewall v6 symétriques aux intentions v4 (pas de copier-coller naïf). 3) Monitoring AAAA et chemins. 4) DNS interne/externe. 5) Tests applicatifs forcés v6. 6) Plan de rollback (retirer AAAA). 7) Formation N1/N2.

Sans cette checklist, IPv6 devient un second Internet non opéré dans votre SI — exactement le scénario que les attaquants apprécient : services exposés oubliés, logs absents, équipes non entraînées.

Sur les postes, sachez lire ip -6 route et comprendre comment une route RA peut prendre priorité. Les VPNVPNRéseauxRéseau privé virtuel qui chiffre le trafic entre deux points sur un réseau public. Il crée un tunnel sécurisé permettant d'accéder à des ressources distantes comme si on était sur le réseau local.Voir dans le glossaire doivent transporter ou exclure v6 explicitement ; le « half-tunnel » crée des fuites.

Scénarios d’incident IPv6 à connaître

1. AAAA publié, service v6 filtré : timeouts longs côté clients Happy Eyeballs mal configurés. 2) RA malveillant sur Wi-Fi guest : détournement. 3) VPN IPv4-only + sites v6-prefer : fuite ou panne. 4) Firewall v6 any-any oublié sur un bastion. 5) Monitoring seulement v4 : silence radio sur panne v6.

Pour chaque scénario, écrivez détection + remediation en cinq lignes. Exercez le scénario 1 en lab avec un AAAA pointant vers une IP filtrée : vous verrez le ressenti utilisateur.

Sur le DNS64/NAT64, comprenez qui traduit quoi avant de l’activer en production. Ces mécaniques sauvent des migrations mais complexifient le diag si personne ne les maîtrise.

Enfin, alignez la documentation runbook N1 : commandes curl -6, dig AAAA, ping6, ip -6 neigh. Si le N1 n’a que des outilstool callingIACapacité d'un agent ou d'un LLM à invoquer des outils externes (API, calcul, recherche) pendant le raisonnement.Voir dans le glossaire v4, IPv6 restera un angle mort.

Dual-stack : critères de maturité

Vous êtes matures quand : firewall v6 revu, monitoring v6 actif, runbooks N1 à jour, AAAA seulement sur services prêts, tests de bascule faits, inventaire des tunnels, et un owner nommé. Tant qu’un de ces points manque, IPv6 reste une expérimentation exposée. Planifiez la maturité comme un projet, avec date et budget, plutôt que comme une case cochée sur l’OS.

Ajoutez des sondes qui échouent volontairement si v6 disparaît sur un service critique déclaré dual-stack. Le silence n’est pas une métrique.

Côté adressage, résistez à la tentation de reprendre des schémas v4 « compressés » illisibles. L’espace v6 permet la clarté : usez-en pour la lisibilité opérationnelle (site, environnement, rôle).

Approfondissement terrain — adressage-ipv6

Dans le chapitre adressage-ipv6, ancrez chaque notion par un exemple vécu ou un lab de cinq minutes. Écrivez le symptôme, l’hypothèse, la commande, le résultat, la conclusion : ce journal personnel accélère votre progression plus que la relecture passive. Partagez ensuite une version anonymisée dans le wiki d’équipe pour capitaliser. Revenez sur ce texte après un incident réel : annotez ce qui manquait. La maîtrise réseau se construit par boucles courtes de pratique, pas par accumulation de slides. Fixez-vous un exercice hebdomadaire de trente minutes jusqu’à ce que les commandes deviennent des réflexes. Variez les contextes : LAN, Wi-Fi, VPN, cloud, conteneur — le même concept change de visage. Quand une explication vous semble floue, reformulez-la sans jargon à un collègue non réseau. Si vous ne pouvez pas la reformuler, la notion n’est pas encore opérationnelle. Fermez chaque session d’étude par une question ouverte que vous résoudrez la fois suivante. Gardez une liste de « myths » à déconstruire : portportRéseauxNuméro sur 16 bits qui désigne l'application destinataire sur une machine. Les ports 0 à 1023 sont réservés aux services système, comme 443 pour HTTPS.Voir dans le glossaire élevé = sécurité, ping OK = service OK, etc. Ces myths coûtent cher en production ; les tuer est un objectif pédagogique explicite. Mesurez votre temps moyen pour classer un ticket réseau simple : il doit baisser au fil des chapitres. Enfin, reliez toujours la théorie à un risque : disponibilité, confidentialité, ou intégrité. Cas 13: documentez une observation concrète liée à adressage ipv6 dans votre environnement de lab ou de staging. Dans le chapitre adressage-ipv6, ancrez chaque notion par un exemple vécu ou un lab de cinq minutes. Écrivez le symptôme, l’hypothèse, la commande, le résultat, la conclusion : ce journal personnel accélère votre progression plus que la relecture passive.