Résumé

  • Le dernier appel sur la révision 08 du modèle YANG IPv6 Neighbor Discovery court jusqu’au 16 septembre 2026. Sa feuille modifiable auto-resolve autorise une chaîne comprenant journalisation, rejet du message ND et blocage de l’hôte.
  • L’examen INTDIR achevé le 5 septembre juge le texte « prêt avec des problèmes » et relève que ce réglage paraît absent de la liste des nœuds modifiables sensibles, malgré le risque de blocage automatique.
  • Les compteurs normalisés décrivent des volumes par interface, pas la décision individuelle ayant privé un hôte de service. L’activation devrait dépendre d’une preuve d’attribution, de résultats séparés pour chaque mesure et d’un mécanisme d’expiration ou de déblocage.

Le commentaire qui déplace le débat

Le projet draft-ietf-6man-ipv6-neighbor-discovery-yang-08 rassemble dans un modèle commun la gestion de la résolution d’adresse, des redirections, des annonces de voisin par procuration, de la détection d’inaccessibilité et des deux formes de Duplicate Address Detection. Il vise le statut Proposed Standard. Sa validation YANG ne remonte ni erreur ni avertissement, signe d’une structure déjà solide.

L’examen de Carlos Pignataro ne conteste pas cette utilité. Il isole plutôt un nœud dont la conséquence dépasse la configuration ordinaire. La section sécurité évoque les transports protégés, l’authentification mutuelle et le contrôle d’accès NACM. Elle énumère aussi plusieurs réglages modifiables sensibles. Selon le relecteur, enhanced-dad/auto-resolve devrait figurer dans cette liste, car une modification malveillante ou erronée peut provoquer le blocage d’hôtes.

Ce constat sépare deux garanties souvent confondues. NACM peut limiter les personnes ou processus autorisés à modifier la configuration. Il ne dit pas, à lui seul, comment prouver la décision produite ensuite par l’automate.

Trois verbes, trois régimes de responsabilité

Le comportement vient de la section 5 du RFC 7527. Le cas décrit est celui d’un routeur de confiance servant des nœuds IPv6 non fiables. Dans un réseau câblé, par exemple, le concentrateur d’accès peut constater qu’un modem duplique une adresse encore provisoire de sa propre interface. Il devrait alors écrire un message de gestion, jeter le paquet ND reçu et bloquer le modem identifié par son identifiant de service de couche 2.

La journalisation crée une trace. Le rejet neutralise un paquet. Le blocage retire un équipement du service. Réunir ces actes dans un réglage est commode pour l’orchestration, mais leurs échecs ne sont pas interchangeables. La trace peut manquer alors que le blocage réussit ; le paquet peut être rejeté sans que l’attribution soit assez solide ; la restriction peut survivre à l’incident.

Le RFC 7527 encadre en outre l’automatisation par un modèle de confiance particulier. Il n’ordonne pas de bannir tout émetteur associé à toute collision d’adresse. La description YANG conserve cette idée de routeur fiable et d’hôtes non fiables, tandis que la feuille s’insère dans un modèle générique par interface. Une politique de déploiement doit donc préciser sur quels liens l’hypothèse est valable et quelle identité de couche 2 soutient la sanction.

Le nonce améliore le diagnostic, pas l’identité

Enhanced DAD a été conçu pour distinguer un véritable doublon d’un message Neighbor Discovery renvoyé en boucle vers son propre émetteur. Le nonce permet de reconnaître cette réflexion. Il réduit une ambiguïté opérationnelle, sans transformer le paquet en preuve incontestable de l’identité d’un abonné.

Le RFC 4862 avertit déjà que la détection des doublons n’est pas parfaitement fiable. Le RFC 7527 ajoute qu’un acteur hostile peut changer le nonce ou répondre aux sondes avec une fausse Neighbor Advertisement. Il recommande SEND face à ces attaques et mentionne SAVI. Dès lors qu’un tiers peut fabriquer le signal déclencheur, l’attribution entre ce signal et l’équipement à bloquer devient une pièce centrale de la gouvernance.

Dans l’exemple du câble, l’identifiant de service de couche 2 remplit ce rôle. Sur un autre support, il peut être partagé, éphémère ou absent. Une adresse IPv6 observée n’est pas automatiquement une identité administrative durable.

Une moyenne ne raconte pas une décision

Le modèle expose de nombreux compteurs en lecture seule : messages reçus et émis, paquets rejetés, erreurs de code, de longueur, de checksum ou de fragmentation. Ils sont utiles pour l’alerte et la capacité. Ils ne constituent pas un reçu de blocage.

L’arbre normalisé ne relie pas chaque action à l’interface, l’adresse contestée, l’identifiant de couche 2, la version de politique, l’origine de la configuration et la condition de libération. Il ne définit pas non plus une opération unblock ni une échéance automatique. Un fournisseur peut offrir toutes ces fonctions hors modèle ; un autre peut ne livrer qu’un syslog. L’interopérabilité du commutateur ne garantit donc pas celle de l’explication.

Un profil sérieux devrait exiger un dossier par décision : nature du signal, instant, interface, méthode d’attribution, règle appliquée, puis résultat distinct de la journalisation, du rejet et du blocage. La restriction doit porter un périmètre, une durée, un code de motif et une voie de retour testée. Sans cela, l’automatisation gagne quelques secondes au prix d’une enquête impossible plus tard.

Sources