VPN, backup 4G et DNS

[ThomasBourdon (Auteur du topic)]

Bonjour,

J'envisage d'héberger quelques sites Web depuis chez moi sur ma machine via un forfait Freebox pro. J'aurai donc une adresse IPv4 et une IPv6 fixes. L'intérêt pour moi de prendre la Freebox pro est principalement le backup 4G pour assurer l'hébergement même en cas de panne de Fibre. Mais dans ce cas, lors de la bascule vers le backup 4G, les adresses IP changent ce que je souhaite éviter car les hostnames ne pointeront plus vers les bonnes IP.

Est-ce qu'en activant le VPN les adresses IP resteront les mêmes vues de l'extérieur ?

Peut-être que je m'y prends mal et que je ne pose pas la bonne question. Toujours est-il que l'important pour moi est que les IP ne changent pas au yeux des visiteurs/visiteuses que la Freebox soit connectée par la Fibre ou en backup 4G.

Merci d'avance de vos éclaircissements.

[loggoi]

[BreizhBOX]

1) Le vieux fantasme de l'IP statique...

UNE IP STATIQUE EST UN PIEGE A C...ON !!!!

C'est la meilleure façon de s'attirer les attaques de toute part comme une bouse de vache RAMène les mouches à m..erde, et résultat... votre connexion sera régulièrement "out" ou lente, car l'offre Free Pro est une offre d'accès à Internet à destination des petites entreprises et pas du tout une offre d'hébergement qui se fait via sa filiale Scalway, la différence IMPORTANTE étant que l'offre Free Pro n'inclut pas de mécanisme anti DDOS

Les hébergeurs eux disposent de machines autrement plus puissantes avec des mécanismes offrant une protection de base contre les attaques DDOS

En réalité la bonne mesure est d'utiliser les IP variables en conjonction à un service de DNS dynamique.

Donc il faudrait que le geekeux moyen remette à jour sa base de connaissances.... non l'IP statique n'est pas la panacée et ne l'a jamais été

Les grandes entreprises qui disposent d' un bloc d'adresse IPv4 et pas d'une seule adresse font varier leur IPv4 à l'intérieur de ce bloc.
Les DNS dynamiques.... ça n'a pas été inventé aujourd'hui

Il y a un service DNS dynamique à ce jour entièrement gratuit et qui est le seul que je connaisse capable de traiter l'IPv6, c'est dynv6.net.

C'est un service allemand qui s'adresse aux particuliers et on va dire client de type SOHO. Comme indiqué sur le site, le service étant gratuit il n'a pas de gros moyens donc il ne possède pas de mécanismes anti DDOS avancé, de sorte qu'il faut accepter de temps en temps qu'il soit "Down".

Autrement il faut faire appel à des services commerciaux genre dyndns, sauf qu'à ma connaissance ces bandes de crétins n'ont toujours pas implémenté de dyndns IPv6


2) Serveur Web public...

Monter un serveur Web public sur une connexion Free, Free Pro c'est suicidaire. Inutile de revenir dessus.

On peut monter des serveurs mais dans ce cas il faut que le serveur soit à accès restreint.

- on cache les ports 80/443 pour les dissimuler derrière 20080/20443 juste à titre d'exemple
- on exige un "login" obligatoire pour accéder à certaines ressources

Mais il est évident que pour un serveur qui se veut d'accès grand public, il faut rester sur les ports 80/443, et dans ce cas, il est recommandé de passer par un hébergeur professionnel

3) IPv4 / IPv6

Une IP statique étant un piège à c...on, sur tout serveur avec accès public il est recommandé de ne pas activer l'accès en IPv4 pour ces serveurs.

Seuls les hébergeurs peuvent présenter une IPv4 statique car ils disposent de machines autrement plus puissantes

En bref... il faut passer en IPv6 ONLY et commencer à se documenter pour comprendre ce qu'est le mode IPv6 stateless

Dans une IPv6 stateless, votre serveur va changer d'IP régulièrement (le rythme peut être réglé à votre convenance via un paramètre sous Linux, mais c'est par défaut tous les 7 jours) au sein d'un prefix IPv6

Donc il faudrait aussi que vous appreniez ce qu'est un prefix IPv6 et pourquoi le prefix IPv6 a été inventé... ça n'a pas été inventé pour les chiens.

Free n'est plus forcément le plus compétitif en terme de prix, mais il y a une chose qui ne me fera pas quitter Free pour le moment... c'est le fait qu'ils offrent 6 prefix IPv6 de longueur 64 bit. Ils sont les seuls à le faire pour ce qui concerne le grand public et la clientèle pro petite et micro entreprises

Je crois que chez SFR ils n'attribuent qu'une seule adresse IPv6

Il faudrait sérieusement vous interroger pourquoi Free s'est cassé le c..ul à offrir un mécanisme si avancé avant de vous mettre bille en tête "IP statique". Visiblement votre logiciel n'est pas à jour.

Au demeurant, l'IPv6 stateless offre aussi une IPv6 statique qu'il est imprudent d'activer en accès public. Cet IP statique a plus vocation à être utilisée en interne.

Si EUI64 est activé (ce qui est le cas par défaut sur Linux), cet IPv6 statique restera toujours identique même après redémarrage du système car elle est calculée à partir de l'adresse MAC physique de la carte Ethernet.

Si EUI64 est désactivé (ce qui est le cas par défaut sur les Windows 10/11), cet IP changera après chaque redémarrage mais restera statique tant que la session est active.
Il peut s'agir d'un bon compromis. Si en effet l'adresse statique a fuité par accident et qu'on est assiégé par des attaques la visant, un simple redémarrage permet de la changer.

Avec l'IPv4 fixe... vous êtes fait comme un bleu. Et même avec une IPv4 variable, vu que le renouvellement ne se fait aun niveau des FAI que tous les 7 jours, et bien vous pouvez être emm..erdé jusquà 7 jours


Bref....

- dynv6.net pour ce qui est du service de DNS dynamique compatible IPv4 + IPv6.

Pour exploiter leur api, il faut maîtriser un minimum de script "bash" sous Linux pour se programmer son propre client DNS dynamique afin de choisir quelle adresse IPv6 on publie (il faut bien entendu publier l'adresse temporaire et jamais l'adresse statique), et faire tourner un service qui tous les 10 minutes par exemple va surveiller le changement d'adresse IPv6 temporaire et dans la foulée lancer une mise à jour auprès du service de DNS dynamique

Je possède un nom de domaine, j'ai pu effectuer une délégation de sous domaine à dynv6.net (ex *.ddns.mondomaine.com) de sorte que je suis totalement libre de choisir le nom de mes hôtes DNS

(ex le_pc_de_maman.ddns.mondomaine.com, etc etc)

sans être en compétition avec d'autres personnes sur les domaines standards offerts par dynv6.net

- IPv6 stateless

- inactivation de l'IPv4 pour les serveurs publics

- Port HTTP/HTTPS standard cachés (ou autrement hébergeur obligatoire)