Interfaces

Modifications d’un Bridge

Onglet « Configuration de l’interface »

Plan d’adressage IPv6

En version Stormshield Network 1.0, les adresses IPv6 affectées au bridge sont obligatoirement de type fixe (adresses statiques).

Adresse IP	Adresse IP affectée au bridge. (Toutes les interfaces contenues dans le bridge possèdent la même adresse IP).
Masque réseau	Masque du réseau auquel appartient le bridge. Les différentes interfaces appartenant au bridge ont la même adresse IP : tous les réseaux connectés au firewall font donc partie du même plan d'adressage.
Commentaire	Permet de spécifier un commentaire pour l’adressage du bridge.

Plusieurs adresses IP et masques associés peuvent être définis pour le même bridge (besoin de création d’alias par exemple). Ces alias peuvent vous permettre d’utiliser ce Firewall Stormshield Network comme un point de routage central. De ce fait, un bridge peut être connecté à différents sous-réseaux ayant un adressage différent. Pour les ajouter ou les retirer, il suffit d’utiliser les boutons d’action Ajouter et Supprimer situés au-dessus des champs du tableau.

Il est possible d'ajouter plusieurs adresses IP (alias) dans le même plan d'adressage sur une interface. Dans ce cas, il est impératif que ces adresses aient toutes le même masque.

Onglet « Annonce du routeur (RA) »

Sur chaque interface, bridge ou interface agrégée, les messages d’annonces du routeur (Router Advertisement - RA) peuvent être envoyés périodiquement à tous les nœuds IPv6 (multicast) du segment via l’adresse de la liaison locale ou en réponse à la sollicitation de routeur (Routeur Sollicitation - RS) d’une machine du réseau.

Cette annonce permet à un nœud IPv6 d’obtenir les informations suivantes :

l’adresse du routeur par défaut, en l’occurrence celle du firewall,
le(s) préfixe(s) utilisé(s) sur le lien (en 64bits),
l’indication de l’utilisation de l’auto-configuration sans état (SLAAC) ou du DHCPv6 (Managed)
l’indication de récupérer d’autres paramètres via DHCPv6 (OtherConfig),
d’éventuels paramètres DNS (RFC4862).

L’auto-configuration, native dans IPv6 est sans état (Stateless Address Autoconfiguration - SLAAC), c’est-à-dire que le serveur ne choisit pas les IPs des clients et n’a pas à les retenir.

Une machine a une adresse de liaison locale dont l’unicité a été vérifiée via NPD DAD (protocole Neighbor Discovery Protocol - Duplicated Address Detection) avec succès. La machine reçoit ensuite l’annonce du routeur (RA) périodique ou sollicitée. Si l’information d’auto-configuration sans état est spécifiée, la machine se construit alors une ou plusieurs adresses IPv6 à partir du ou des préfixe(s) annoncé(s) et de son identifiant d’interface (aléatoire ou basé sur l'adresse MAC). L’adresse IP du routeur (celle du firewall) servira alors de passerelle par défaut.

Par défaut, le mode d’émission des annonces de routeur (RA) diffuse le premier préfixe déduit de l’interface. Les serveurs DNS sont par défaut ceux configurés pour le firewall (Système > module Configuration).

NOTE

Si les annonces de routeur sont activées sur un bridge, ces annonces sont uniquement diffusées sur les interfaces protégées.

Annonce de Routeur

Émettre les RA si DHCPv6 activé

Si le service DHCPv6 est activé sur le firewall (Réseau > DHCP), le firewall va émettre automatiquement des annonces (Router Advertisement – RA) sur les interfaces correspondantes, indiquant aux nœuds IPv6 de s’auto-configurer en DHCPv6 (les options Managed et Other config sont alors activées par défaut).

Si le firewall fait office de serveur DHCPv6, l’interface configurée doit appartenir à l’une des plages d’adresses renseignées en configuration DHCPv6. Si le firewall sert de relai à un serveur DHCPv6, l’interface configurée doit appartenir à la liste des interfaces d’écoute du service.

Si le service DHCPv6 n’est pas actif, l’émission des RA est désactivée.

Émettre les RA

L’adresse du firewall est envoyée comme routeur par défaut. Les informations relayées par cette annonce sont décrits ci-après.

Cette configuration est recommandée afin de permettre aux machines directement connectées (lien local) de faire du SLAAC.

Désactiver

Aucune annonce de routeur (RA) n’est diffusée.

Cette configuration est recommandée en bridge si un routeur IPv6 est directement connecté (lien local).

Paramètres des annonces de routeur

Annoncer le préfixe déduit de l'interface

Le préfixe annoncé est celui configuré dans le plan d’adressage IPv6 de l’interface (onglet Configuration).

La taille du masque (longueur du préfixe - CIDR) de l’adresse IPv6 configurée doit obligatoirement être de 64 bits.

Configuration avec serveur DHCPv6

Le serveur DHCPv6 délivre les adresses (Managed)

L’annonce indique que les adresses IPv6 sollicitée seront distribuées par le service DHCPv6 activé sur le firewall (Réseau > DHCP).

Ce service est mis en œuvre par le firewall ou un relai directement connecté (lien local).

Le serveur DHCPv6 délivre des options supplémentaires (Other config)

L’annonce indique que les autres paramètres d’auto-configuration telles que les adresses de serveurs DNS ou un autre type de serveur, seront délivrées par le serveur DHCPv6 (firewall ou relai) directement connecté (lien local).

Configuration avancée

Paramètres DNS

Nom de domaine	Nom de domaine par défaut pour joindre un serveur interrogé sans domaine.
Serveur DNS primaire	Adresse IP du serveur DNS primaire. Si ce champ n’est pas renseigné, l’adresse envoyée sera celle utilisés par le Firewall (Système > Configuration)
Serveur DNS secondaire	Adresse IP du serveur DNS secondaire. Si ce champ n’est pas renseigné, l’adresse envoyée sera celle utilisés par le Firewall (Système > Configuration)

Préfixes annoncés

Comme il est préconisé que le préfixe annoncé soit le même que celui de l’interface, dans le cas où l’interface en spécifie plusieurs, ce champ précise le préfixe à utiliser.

Préfixes	Préfixe à annoncer aux machines
Autonomous	Instruction d’auto-configuration sans état (SLAAC) : si cette case est cochée, la machine se construit une ou plusieurs adresses IPv6 à partir du préfixe annoncé et d’un identifiant d’interface (aléatoire et/ou basé sur l'adresse MAC).
On link	Cette option précise à la machine que toutes les machines ayant le même préfixe peuvent être joignables directement, sans passer par le routeur. NOTE En IPv4, cette information était déduite du masque réseau.
Commentaire	Permet de donner un commentaire au préfixe annoncé.

Paramètres optionnels

Certains paramètres spécifiques des Annonces de routeur sont configurables via commande CLI, comme la taille maximale d'un paquet transmis (MTU) sur le lien, la durée de validité de(s) préfixe(s) utilisé(s) sur le lien ou le champ Router Lifetime.

Pour consulter le détail et les valeurs possibles de ces paramètres, reportez-vous au guide « CLI serverd commands reference – V1.0 » disponible dans votre espace client.

Création d’un Bridge

Plan d’adressage

Adressage IPv4	En cochant cette option, le bridge dispose d’une adresse IPv4. Si celle-ci est statique, il faut l’indiquer, accompagnée de son masque de réseau, dans le champ situé sous la case à cocher. Par défaut, une adresse dynamique lui est attribuée via DHCP.
Adressage IPv6	En cochant cette option, le bridge dispose d’une adresse IPv6 fixe. Renseignez cette adresse et son masque de réseau associé, en notation CIDR (exemple : 2001:db8::70/32), dans le champ situé sous la case à cocher.

Modification d’une interface Ethernet (en mode Bridge)

Plan d’adressage

Résolution hybride

Lorsque cette option est cochée, l’interface doit au moins disposer d’une adresse IPv4 (dynamique ou fixe) et d’une adresse IPv6 (fixe). Il faut dans ce cas indiquer ces adresses IP et leur masque de réseau associé dans les deux grilles intitulées « Plan d’adressage IPv4 » et « Plan d’adressage IPv6 ».

Plan d’adressage IPv6

Adresse IP	Adresse IP affectée à l’interface.
Masque réseau	Masque du sous-réseau auquel appartient l’interface. Le masque de réseau donne au firewall les informations sur le réseau dont il fait partie.
Commentaire	Permet de spécifier un commentaire pour l’adressage de l’interface.

Il est possible d'ajouter plusieurs adresses IP (alias) dans le même plan d'adressage sur une interface. Dans ce cas, il est impératif que ces adresses aient toutes le même masque.

Onglet « Configuration avancée »

Routage sans analyse

Autoriser sans analyser

Permet de laisser passer les paquets IPv6 entre les interfaces du pont. Aucune analyse ou aucun filtrage de niveau supérieur n’est alors réalisé sur ce protocole.

IMPORTANT

Pour chacune des interfaces incluses dans un bridge, il est nécessaire de décocher la case Autoriser sans analyser pour le protocole IPv6 afin de bénéficier du filtrage de ces flux.

Modification d’une interface Ethernet (en mode avancé)

Pour configurer une interface dans un réseau ne faisant pas partie d'un bridge, il suffit de la sortir de l'arborescence du bridge en la glissant avec la souris.

Lors du détachement, l'écran de plan d’adressage s’affiche.

Adressage IPv4	En cochant cette option, l’interface dispose d’une adresse IPv4. Si celle-ci est statique, il faut l’indiquer (suivie de son masque de réseau) dans le champ situé sous la case à cocher. Par défaut, une adresse dynamique lui est adressée via DHCP.
Adressage IPv6	En cochant cette option, l’interface dispose d’une adresse IPv6 fixe. Renseignez cette adresse et son masque de réseau associé, en notation CIDR (exemple : 2001:db8::70/32), dans le champ situé sous la case à cocher.

Une fois l’interface hors du bridge, vous avez accès aux paramètres de l’interface décrits dans la section « Modification d’une interface Ethernet (en mode Bridge) ».

Création d’un Vlan

VLAN attaché à une seule interface (extrémité de VLAN)

Plan d’adressage

Adressage IPv4	En cochant cette option, le VLAN dispose d’une adresse IPv4. Si celle-ci est statique, il faut l’indiquer, accompagnée de son masque de réseau, dans le champ situé sous la case à cocher. Par défaut, une adresse dynamique lui est adressée via DHCP.
Adressage IPv6	En cochant cette option, le VLAN dispose d’une adresse IPv6 fixe. Renseignez cette adresse et son masque de réseau associé, en notation CIDR (exemple : 2001:db8::70/32), dans le champ situé sous la case à cocher.

VLAN attaché à 2 interfaces (VLAN traversant)

Plan d’adressage du VLAN

Utiliser un bridge existant	En cochant cette option, vous sélectionnez dans la liste déroulante le bridge auquel sera attaché le VLAN.
Créer un nouveau bridge	En cochant cette option, un assistant permet de créer un nouveau bridge contenant les deux interfaces auxquelles le VLAN est attaché.
Adressage IPv4	En cochant cette option, le VLAN dispose d’une adresse IPv4. Si celle-ci est statique, il faut l’indiquer, accompagnée de son masque de réseau, dans le champ situé sous la case à cocher. Par défaut, une adresse dynamique lui est adressée via DHCP. Cette option n’est disponible que si vous avez choisi de créer un nouveau bridge.
Adressage IPv6	En cochant cette option, le VLAN dispose d’une adresse IPv6 fixe. Renseignez cette adresse et son masque de réseau associé, en notation CIDR (exemple : 2001:db8::70/32), dans le champ situé sous la case à cocher. Cette option n’est disponible que si vous avez choisi de créer un nouveau bridge.

Modification d’un Vlan

Onglet « Configuration de l’interface »

Plan d’adressage

Résolution hybride

En cochant cette option, l’interface doit au moins disposer d’une adresse IPv4 (dynamique ou fixe) et d’une adresse IPv6 (fixe). Il faut dans ce cas indiquer ces adresses IP et leur masque de réseau associé dans les deux grilles intitulées « Plan d’adressage IPv4 » et « Plan d’adressage IPv6 ».

Onglet « Annonce du routeur (RA) »

Pour les options concernant les Annonces du routeur, reportez-vous au paragraphe Onglet « Annonces du Routeur (RA) » du menu Modification d’un Bridge.

Onglet « Configuration avancée »

Pour les options de configuration avancée des VLAN, reportez-vous au paragraphe Onglet « Configuration avancée » du menu Modification d’une interface Ethernet (en mode Bridge).