Bonjour ToFoo93,
Pour préciser le besoin de manière détaillée, voici un cas d'usage concret d'une architecture domestique sécurisée standard, ainsi que les limitations protocolaires induites par la restriction actuelle de la Bbox.
Le cas d'usage : Segmentation de sécurité (VLANs)
Une configuration réseau moderne et sécurisée impose le cloisonnement des flux afin de réduire la surface d'attaque. Cela se traduit par la création de plusieurs réseaux locaux virtuels (VLANs) distincts sur un routeur grand public avancé (sous OpenWrt par exemple) :
- VLAN LAN : Équipements de confiance (ordinateurs, serveurs de stockage).
- VLAN Guest : Accès internet isolé pour les invités.
- VLAN Home Automation : Serveurs et passerelles de domotique locale.
- VLAN IoT Offline : Objets connectés n'ayant pas besoin d'accès WAN mais devant communiquer localement.
- VLAN Printers : Périphériques d'impression partagés.
Ce modèle nécessite au minimum 5 segments réseaux distincts.
L'intérêt fondamental de la délégation : Permettre SLAAC
En IPv6, l'abondance d'adresses n'est pas le sujet ; c'est la structure du routage qui importe. L'intérêt unique de la délégation de préfixe (DHCPv6-PD) est de fournir à chaque segment un bloc distinct de taille
/64.
Cette taille précise est la condition
sine qua non pour faire fonctionner le protocole
SLAAC (Stateless Address Autoconfiguration, RFC 4862), qui est le mécanisme natif, standard et universel d'attribution d'adresses en IPv6.
Les alternatives en cas de blocage (et pourquoi elles dysfonctionnent)
Si la Bbox refuse de déléguer plus de 3 préfixes /64, un administrateur réseau est contraint de recourir à des mécanismes de contournement dégradés :
- Le relais / Proxy NDP (Neighbor Discovery Protocol) :
Consiste à étendre le même unique préfixe /64 de la Bbox sur plusieurs VLANs derrière le routeur secondaire.
Problème : C'est une solution complexe et fragile. Elle nécessite de relayer les paquets de découverte de voisins (sollicitation/annonce) entre les segments. Cela brise l'isolation stricte de niveau 3 entre les VLANs et génère une instabilité chronique dans les tables de routage des équipements.
- Le sous-découpage inférieur au /64 (ex: découper un préfixe en /80) associé à du DHCPv6 Stateful :
Problème : Incompatibilité majeure. De nombreux systèmes d'exploitation (au premier rang desquels Android, l'écosystème Google/Pixel et de multiples objets connectés) refusent catégoriquement le protocole DHCPv6 et exigent exclusivement SLAAC. Utiliser un sous-réseau plus petit qu'un /64 casse définitivement la connectivité IPv6 de ces appareils.
- Le NAT66 ou NPTv6 (Network Prefix Translation, RFC 6296) :
Utiliser des adresses locales privées (ULA) sur les VLANs et effectuer une translation vers l'unique préfixe global fourni par la Bbox.
Problème : Cela détruit le paradigme fondamental de l'IPv6 qui repose sur la connectivité directe de bout en bout (end-to-end) sans altération des en-têtes. Cela réintroduit de la rétention d'état (stateful), de la charge CPU sur le routeur et s'oppose à l'architecture native du protocole.
L'expérimentation technique réalisée : Échec de l'allocation sous la limite théorique
Face aux premiers blocages, j'ai volontairement dégradé mon architecture pour me conformer aux limitations apparentes de la Bbox. Je me suis contenté de limiter mes requêtes DHCPv6-PD à seulement 3 préfixes.
Cependant, même dans cette configuration restreinte, le routeur OpenWrt ne parvient à récupérer aucune délégation fonctionnelle. J'ai systématiquement testé plusieurs approches :
- Une allocation purement dynamique gérée par le serveur DHCPv6 de la Bbox.
- Le forçage d'une adresse IP fixe et l'assignation manuelle des délégations depuis l'interface d'administration de la Bbox.
Dans tous les cas, le résultat reste nul. L'analyse protocolaire confirme que mon interface émettait bien les requêtes DHCPv6 (Solicit/Request), mais la Bbox restait muette, ne renvoyant aucun message
Advertise ou
Reply en réponse. Le problème dépasse donc la simple restriction du nombre d'allocations (le fameux "NoPrefixAvail" observé précédemment) et met en évidence une incapacité chronique de la Bbox à gérer correctement la délégation DHCPv6-PD vers un équipement tiers, même pour un besoin minimaliste.
J'ai du mal à comprendre la logique de l'ingénierie Bouygues : un bloc /60 offre nativement 16 préfixes /64, ainsi brider logiciellement la Bbox à 3 allocations empêche toute implémentation propre et standardisée d'un réseau domestique sécurisé, alors même que les ressources d'adressage sont bien présentes sur la ligne de l'abonné.
En espérant que ce diagnostic précis permette une évolution du firmware.
Cordialement,
