La République tchèque fixe une date de fin pour IPv4

 (konecipv4.cz)
1 points par GN⁺ 2024-01-23 | 1 commentaires | Partager sur WhatsApp
  • Avec la relance de DNSSEC et d’IPv6 décidée par le gouvernement tchèque, les services de l’administration nationale officialisent un calendrier d’arrêt d’IPv4
  • L’administration nationale tchèque prévoit de cesser de fournir des services via IPv4 à partir du 6 juin 2032
  • IPv4 attribue depuis longtemps une adresse unique aux appareils connectés à Internet, mais l’augmentation du nombre d’appareils et de services rend la limite du nombre d’adresses de plus en plus contraignante
  • IPv6, qui offre un espace d’adressage quasi illimité, est la cible de cette transition afin de soutenir la scalabilité, la sécurité et l’efficacité de l’infrastructure
  • La République tchèque dispose désormais d’une date de fin d’IPv4 fondée sur une décision gouvernementale, et la résolution gouvernementale correspondante est également publiée

Calendrier d’arrêt d’IPv4 dans l’administration nationale tchèque

  • Le 17 janvier 2024, le gouvernement tchèque a approuvé le document « Restarting the implementation of DNSSEC and IPv6 technologies in the state administration »
  • À la suite de cette décision, l’administration nationale tchèque cessera de fournir des services via IPv4 à partir du 6 juin 2032
  • Le site indique que la République tchèque dispose désormais de sa propre IPv4 shutdown date
  • Un document associé, la résolution gouvernementale, est fourni

Contexte de la transition vers IPv6

  • IPv4 est utilisé depuis les années 1980 comme élément central des communications Internet, en attribuant une adresse unique aux appareils connectés à Internet
  • Avec l’augmentation du nombre d’appareils et de services connectés à Internet, le nombre limité d’adresses d’IPv4 n’est plus suffisant
  • IPv6 fournit un nombre d’adresses quasiment illimité
  • La transition vers IPv6 est une mesure destinée à garantir la scalabilité, la sécurité et l’efficacité de l’infrastructure Internet

À lire aussi

1 commentaires

 
GN⁺ 2024-01-23
Commentaires sur Hacker News

  • Quelqu’un a migré son site web personnel en IPv6 only pour éviter les frais IPv4 qu’AWS commence à appliquer la semaine prochaine
    Le site tournait sur AWS EC2 derrière Cloudflare, qui fournissait donc une adresse proxy IPv4 aux visiteurs, mais malgré l’ancienneté d’IPv6, l’expérience de migration n’a pas été bonne
    À moins d’être ingénieur réseau, il faut aller chercher et corriger soi-même de nombreux réglages réseau sur une instance existante, et même après avoir correctement attaché l’adresse IPv6 et le réseau virtuel, le security group n’autorisait que l’IPv4, ce qui cassait la connexion
    Même des outils de debug de base comme curl semblaient privilégier l’IPv4, il était pénible de faire écouter nginx sur l’interface IPv6, et SSH était lui aussi configuré en partant du principe qu’il n’y aurait que de l’IPv4, donc il se coupait facilement
    Au final, entre la migration vers Cloudflare et la modification du DNS, cela a demandé environ 90 minutes de tâtonnements ; l’expérience a été instructive, mais pour aller vers un monde IPv6, il faut rendre les systèmes et les outils plus simples

    • Sur un VPS à 5 dollars tout à fait ordinaire, il a suffi de copier quatre lignes de configuration documentées par le fournisseur et d’ouvrir un port dans le pare-feu du serveur, et c’était terminé, exactement comme pour l’IPv4
      Amazon est très en retard sur plusieurs aspects, DNSSEC a aussi mis longtemps à devenir correct, et a même cassé des domaines entiers à quelques reprises
      C’est mieux qu’Azure, mais à peine, et maintenant que les adresses IPv4 sont devenues une source de revenus supplémentaires pour Amazon, il n’y a peut-être plus vraiment de raison de faciliter la migration des clients
    • Dans un cas comme celui-ci, 90 minutes de tâtonnements, c’est plutôt rapide
      Dans l’idéal, il suffirait de trouver une case à cocher et de cliquer en 1 minute, puis de tester le service depuis plusieurs endroits pendant 4 minutes, donc 5 minutes au total, mais le simple fait que cela ait été résolu sans ticket au support technique reste déjà rapide
    • Ce n’est pas vraiment un problème d’IPv6, mais plutôt un problème AWS/cloud
      Chez un fournisseur de VPS correct, IPv6 fonctionne simplement, et AWS devrait proposer de meilleurs réglages par défaut
    • Quelqu’un a récemment revécu les mêmes galères en migrant EC2 vers IPv6 et a rédigé un guide
      Cela peut aider : https://news.ycombinator.com/item?id=39111148
    • curl, comme beaucoup d’autres outils, n’utilise pas l’IPv4 par défaut ; il applique plutôt Happy Eyeballs, qui bascule rapidement et sans friction vers une autre route

  • Le 14e plan quinquennal de la Chine (2021–2025) inclut la transition vers IPv6
    Il indique notamment : « accélérer le déploiement à grande échelle des réseaux 5G, porter le taux de pénétration des utilisateurs à 56 %, promouvoir la mise à niveau des réseaux de fibre optique gigabit, constituer des réserves technologiques en vue de la future mise en place des technologies réseau 6G, étendre les nœuds d’interconnexion du backbone, installer plusieurs nouvelles passerelles internationales de communication et faire progresser pleinement le déploiement commercial d’IPv6 »
    Il existe aussi un calendrier de transition : à partir de ce mois-ci, il ne devrait plus y avoir de nouveaux services IPv4, avec pour objectif un IPv6 only en 2030
    Toutefois, le taux d’adoption réel en Chine serait d’environ 25 à 30 %
    [1] https://cset.georgetown.edu/wp-content/uploads/t0284_14th_Fi...
    [2] https://blog.apnic.net/2019/06/06/100-by-2025-china-getting-...
    [3] https://www.theregister.com/2023/04/28/china_ipv6_control_ad...

    • Quelqu’un ayant grandi en Chine dit voir chaque année des annonces politiques sur l’adoption d’IPv6, mais que le taux d’adoption réel reste encore lamentable

  • Parmi les facteurs qui influencent de façon subtile et indirecte l’adoption d’IPv6, on parle peu du fait que les adresses IPv6 sont bien plus difficiles à lire pour un humain qu’IPv4
    Il serait difficile de trouver un administrateur système ou un utilisateur ordinaire qui regarderait une adresse IPv6 et dirait qu’elle est meilleure qu’une adresse IPv4, ou plus facile à saisir et à transmettre
    On peut avancer autant d’arguments valables qu’on veut en faveur d’IPv6, mais ce fait demeure, et je ne pense pas qu’un gouvernement ou une institution puisse faire disparaître IPv4 par la force
    Je ne sais pas à quoi ressemblera la solution à long terme, mais je doute fortement qu’elle soit uniquement en IPv6

    • Je suis administrateur système, et je trouve IPv6 plus simple à utiliser
      Avec un grand préfixe, on peut facilement créer des adresses IPv6 courtes en omettant les 0 inutiles dans la partie hôte avec ::
      Par exemple, dans 2001:db8::1, 2001:db:8 peut être l’adresse réseau, 1 un ID d’hôte comme un routeur, et 2001:db8:2 peut servir pour un serveur
    • L’argument selon lequel « les adresses IPv6 sont laides » ne tient que tant que les adresses IPv4 sont gratuites
      Dès qu’elles ont un prix, plus personne ne s’en soucie
    • L’idée initiale était d’automatiser tellement la configuration que les humains n’auraient plus besoin de voir les adresses
      Au lieu qu’un administrateur attribue à chaque hôte un nom et une adresse IP, il ne donnerait qu’un nom, puis l’hôte découvrirait la topologie locale via Neighbor Discovery avant d’annoncer à DNS où il est connecté, mais je ne sais pas à quel point cela a réellement bien fonctionné
    • IPv4 fait 4 octets et IPv6 en fait 16, donc la quantité de données est quadruplée, et il est normal qu’en échange d’un espace d’adressage plus grand ce soit plus difficile à lire
      On peut dire que 8 ou 6 octets auraient suffi, et c’est peut-être vrai, mais avoir une plage /48 ou /64 par utilisateur reste assez pratique
      Parce qu’on peut ainsi se débarrasser du NAT, même si en pratique on ne le fait pas forcément
      Cela dit, 8 ou 6 octets restent eux aussi plus difficiles à lire que 4 octets
    • Du point de vue d’un particulier, s’il suffit de retenir le préfixe attribué à la ligne, c’est bien mieux que l’adresse IPv4 changeante du type 85.nnn.nnn.nnn : des adresses comme [prefix]::dead:beef, ::f007:1 ou ::f007:2 sont beaucoup plus stables
      On peut aussi simplement considérer cela comme un sous-réseau /112 permettant d’utiliser [prefix]::0001-ffff, ce qui laisse quand même 65 535 adresses, largement assez pour un particulier
      Si on ne le souhaite pas, il n’est pas nécessaire de dépendre des longues adresses SLAAC générées automatiquement : on peut mettre ce qu’on veut après le préfixe, sans devoir les remplir de valeurs aléatoires inutiles
      Bien sûr, encore faut-il que le FAI assure un vrai support IPv6

  • Résumé anti-clic inutile : le 17 janvier 2024, le gouvernement tchèque a approuvé le document « Reprise de la mise en œuvre de DNSSEC et de la technologie IPv6 dans l’administration nationale »
    En vertu de cette décision, l’administration nationale tchèque ne fournira plus de services via IPv4 à partir du 6 juin 2032, ce qui donne à la Tchéquie une date de fin pour IPv4

  • Aux États-Unis, les problèmes se situent surtout côté entreprises
    Les FAI grand public et les opérateurs mobiles semblent tous avoir IPv6, et les hébergeurs comme les fournisseurs cloud récents proposent aussi du dual stack ou de l’IPv6 only
    Mais parmi les endroits où j’ai travaillé, il y en a très peu dont le réseau de bureau était réellement en IPv6

    • Le simple fait d’activer IPv6 sur mon réseau fait complètement tomber le VPN vers l’entreprise, ce qui est vraiment agaçant

  • Le taux d’adoption en Tchéquie est inférieur à celui de pays voisins comme la France, l’Allemagne et l’Autriche, donc c’est une bonne décision
    Ceux qui continuent à dire qu’il faudra une éternité aux États-Unis pour passer à IPv6 n’ont qu’à ouvrir ce lien sur leur téléphone
    https://www.google.com/intl/en/ipv6/statistics.html#tab=per-...

  • Petite question : avec IPv6, est-ce qu’il devient plus facile de pister quelqu’un qu’avec IPv4 ?

    • En général, non
      Tous les systèmes d’exploitation utilisent par défaut des bits d’hôte aléatoires pour les adresses SLAAC et créent une nouvelle adresse à chaque redémarrage ou changement d’interface réseau
      En plus, que ce soit en IPv4 ou en IPv6, les adresses IP sont difficiles à considérer comme un moyen de suivi fiable, et la plupart des acteurs dont on veut se protéger ne dépendent de toute façon pas des adresses IP
      Avec la généralisation des téléphones mobiles, les adresses publiques changent constamment, et en IPv4 le CGNAT devient si courant qu’on peut partager la même adresse IPv4 publique avec des milliers de personnes en même temps
    • Oui et non
      IPv4 étant limité, beaucoup d’endroits utilisent de l’IPv4 dynamique ou se trouvent derrière du NAT, ce qui peut masquer l’IP du véritable appareil connecté, mais cela ne veut pas dire qu’on ne peut pas demander au FAI qui utilisait cette IP dynamique à un instant donné
      En IPv6, cela dépend de l’implémentation : un appareil peut avoir une adresse IPv6 publique persistante ou non, et s’il n’a pas besoin d’accéder à IPv4 il n’a pas à être derrière du NAT, donc il peut être pisté si plusieurs conditions sont réunies
      Cela dit, dans les deux cas il y a beaucoup de conditions, et le vrai problème est qu’il existe bien d’autres moyens de suivi que l’adresse IP
    • Pour certains, peut-être, mais la plupart des gens peuvent déjà être suivis très facilement avec IPv4 et l’user agent
      Il existe aussi de meilleures empreintes JavaScript qui n’utilisent pas l’IP
    • À court terme, oui
      Chaque point de terminaison dispose d’un identifiant public unique, au lieu d’être mélangé à plusieurs terminaux derrière une passerelle NAT
      Mais à long terme, l’effet diminue car les adresses de confidentialité tournent généralement au moins une fois par jour
      Bien sûr, pour tirer une conclusion pertinente, il faut considérer tout cela avec les innombrables autres vecteurs de suivi et de fingerprinting
    • On peut être suivi dans les deux cas, mais IPv6 n’est pas fonctionnellement pire qu’IPv4
      On peut soutenir qu’IPv6 est moins anonyme que le CGNAT, mais le CGNAT aussi doit généralement conserver des journaux détaillés, ce qui rééquilibre les choses
      Les techniques d’anonymisation IPv4 comme le VPN, le NAT ou Tor restent tout aussi possibles en IPv6

  • Aparté, mais je pensais que le nom moderne et pratique du pays était bien Czechia
    « Czech Republic » est utilisé depuis longtemps, mais je n’ai jamais compris pourquoi, et personne ne dit « Italian Republic » ou « German Federal Republic »
    Si l’on tient vraiment à s’accrocher à un ancien nom, autant choisir « Bohemia »

    • La Bohême est l’une des trois régions historiques qui composent la Czech Republic, les deux autres étant la Moravie et la Silésie
      Je ne peux pas parler au nom de tous les Tchèques, mais il y a pas mal de gens qui n’aiment pas le nom « Czechia »
      Son équivalent tchèque, « Cesko », est aujourd’hui reconnu comme abréviation officielle, mais à l’origine c’était un nom court de registre familier, et ni le tchèque « Cesko » ni l’anglais « Czechia » ne donnent l’impression d’être de véritables dénominations officielles
      J’aimerais voir un sondage sur le nom que préfère le public tchèque, et savoir aussi à quel point je m’acharne sur un sujet mineur
      Au passage, le nom complet prend l’article défini : « the Czech Republic »
    • C’est très comparable à la raison pour laquelle les Britanniques se vexent si on les appelle England
      Czechia est à la fois le nom de la région principale et désormais celui du pays tout entier
      Fait intéressant, en anglais il y a une distinction régionale, puisque Bohemia est le nom de cette région, ce qui permet à Czechia de fonctionner comme nom du pays
      Mais en tchèque, le mot pour désigner la région de Bohême est « Czechia », et il n’existe pas de terme distinct comme Bohemia
      C’est pourquoi, pendant longtemps, les gens ont tenu à conserver the Czech Republic : ils ne voulaient pas effacer les deux autres régions, la Moravie et la Silésie

  • Ce qui m’inquiète dans un monde où l’IPv6 serait totalement déployé, ce sont les vieux jeux P2P en IPv4 comme C&C3
    On pourra toujours créer un VPN IPv4 entre amis, mais dans ce cas il ne sera plus possible de jouer avec des inconnus sur Internet

    • Le fait que de grandes organisations déploient l’IPv6 pour leurs services ne signifie pas que l’IPv4 va disparaître
      Même si les FAI arrêtent d’attribuer des adresses IPv4 aux utilisateurs finaux, n’importe qui pourra créer un VPN public donnant accès à un LAN virtuel basé sur IPv4
      S’il y a de la demande, les services aujourd’hui utilisés pour trouver des « inconnus sur Internet » pourront facilement proposer cette fonction