adresses IP WAN et LAN

[maxoxo]

Bonjour,
Ceci est un essai de transcription d'une conversation sur le groupe Signal de l’association Reboot.
Ce sujet est intéressant pour les débutants, mais il faut convenir qu'elle n'intéressera que modérément les spécialistes.
La transposition de ces messages sur le forum permet de les archiver et de les retrouver facilement grâce au moteur de recherche interne au forum (en haut à droite de l'écran)
Glénic (modérateur)

Voici d'abord l'argument initial de la discussion, initié par Desmoric, le 5 avril 2025 :

@HTeuMeuLeu@mastodon.social https://mastodon.social/users/HTeuMeuLe ... 0631594268
-
Oh waow : Orange bloque désormais totalement l'accès à son webmail (mail.orange.fr) depuis tout autre réseau qu'une Livebox. Donc si vous avez créé une adresse email avec votre compte Sosh, il n'est plus possible d'y accéder depuis le webmail (même avec une connexion partagée Sosh).

Désolant !

Et voici les réponses de maxoxo, par ailleurs intervenant intervenant régulier sur notre forum :

Ce n'est pas tout à fait ça. En gros Orange interdit l'accès au webmail s'il n'y a pas de MFA (Multi Factor Authentification) activée. Ça suit les recommandations. Le problème c'est qu'ils communiquent et gèrent mal mais sur le fond ils ont raison.

Si tu es sur l'IP de la Livebox titulaire de l'abonnement cette protection supplémentaire n'est pas exigée afin de faciliter la vie à l'utilisateur. C'est un bon équilibre risque/ergonomie.
Si tu es sur une IP autre il faut donc passer par la double authentification.
Le gars qui parle du partage de connexion Sosh est juste mal renseigné. Sur une connexion mobile, tu as la même IP WAN que tous les autres clients de ta zone. Donc impossible d'adoucir ce filtrage dans ce contexte d'utilisation. Sur une livebox l'IP est unique est réservée au titulaire de l'abonnement pour ça qu'ils ne demandent pas d'authentification à 2 facteurs.

Pour faire simple, un appareil connecté à Internet ne peut avoir qu'une seule adresse IP. C'est l'adresse WAN (Wide Area Network = réseau à "aire large").

Chez un particulier c'est l'adresse IP qui est attribuée par le fournisseur d'accès à l'équipement chargé d'assurer la connexion à Internet donc la box dans la plupart des cas. C'est ce que l'on appelle grossièrement l'IP "publique"

Les appareils connectés à ta box obtiennent une IP dite "privée" = IP LAN (Local Area Network = réseau local).
Elle sera d'une forme différente.
Il y a trois plages d'IP privées autorisées par les normes :
* 10.0.0.0/8 (10.0.0.0 à 10.255.255.255)
* 172.16.0.0/12 (172.16.0.0 à 172.31.255.255)
* 192.168.0.0./16 (192.168.0.0 à 192.2 168.255.255)

La plupart du temps chez les particuliers c'est ce dernier format qui est utilisé pour attribuer des IP aux appareils connectés. Ce qui signifie que chez toi 192.168.1.100 par exemple va désigner un appareil précis, chez moi c'est un autre appareil. En fonction donc du réseau où tu es connecté. Comme elles ne sont pas exposées à Internet elles peuvent être utilisées localement à l'infini.

C'est un d'ailleurs un défi avec le télétravail, j'ai dû changer la configuration de mon réseau maison à cause de ça car en VPN (Virtual Private Network = réseau privé virtuel) quand je voulais aller chercher une machine du boulot qui était aussi 192.168.1.X ça ne fonctionnait pas, mon PC était perdu entre la machine de mon réseau local où celle que je cherche à joindre depuis le VPN.

De l'extérieur seule ton IP WAN est accessible. Ensuite c'est la Livebox qui fait ce que l'on appelle la translation d'adresse réseau (NAT = Network Address Translation) pour assurer que le trafic entrant depuis le WAN aille vers la bonne machine du LAN et inversement.

Tout ça c'est pour l'IPv4 qui est encore largement utilisé dans les petites entreprises et chez les particuliers.
Pour l'IPv6 ça sera totalement différent mais c'est pas encore assez développé et je ne vais pas me lancer dans l'explication

Juste à savoir que ce mécanisme de translation WAN / LAN / NAT est essentiel car nous avons déjà épuisé la capacité d'adressage physique du protocole IPv4. En gros il y a tellement d'appareils connectés dans le monde, que nous n'allons bientôt plus pouvoir attribuer des adresses vu que par définition sur un réseau qu'il soit WAN ou LAN une IP doit être unique.

Donc si tout le monde avait ses appareils locaux avec une adresse WAN directement, on aurait saturé bien plutôt.

Ce sera la grande différence avec IPv6 qui va permettre à chaque appareil d'être directement connecté à Internet avec sa propre IP puisqu'au lieu d'un adressage 32 bits on sera sur du 128 bits.
IPv4 est limité à un espace qui comprend 4,3 milliards d'adresses au maximum.
IPv6 a une limite tellement haute (je ne sais même pas la donner) qu'on considère que c'est illimité

[Glenic]

Hello,
Une petite recherche sur Internet conduit au nombre-limite d'adresses IPv6 possibles.
Et bien sûr, c'est Wikipedia qui vient à notre secours :

Une adresse IPv6 est une adresse IP de la version 6 du protocole Internet.
Une adresse IPv6 contient 128 bits, contre 32 bits pour IPv4.
On dispose ainsi de 2 à la puissance 128 ≈ 3,4 × 10 puissance 38 = 340 sextillions d'adresses IPv6

ça fait beaucoup !

[Stéphane Ascoët]

sur le fond ils ont raison.

Mais en cas de galère on peut se retrouver à ne plus avoir accès à rien et être dans une sacrée merde... bon, peut-être le fait que nous soyons sur le point de disparaître est une bonne nouvelle après tout, mais ça se fera forcément dans la douleur: viewtopic.php?p=1562#p1562

PS: je n'aurais pas forcément mis ça dans "matériel"

[maxoxo]

Salut

Mais en cas de galère on peut se retrouver à ne plus avoir accès à rien et être dans une sacrée merde

Salut,

Si t'es sur ton IP du coup y'a pas le MFA donc toujours possible d'accéder ou de réinitialiser le mdp si besoin.

Bon de toute façon le webmail d'Orange comment dire..

Après aujourd'hui, on a plein de solutions libres pour bien gérer le MFA et avec des backups simplifiés comme Ente Auth ou 2FAS ou Aegis pour les plus power user fan de local

[Stéphane Ascoët]

Mais en cas de galère on peut se retrouver à ne plus avoir accès à rien et être dans une sacrée merde

Salut,

Si t'es sur ton IP du coup y'a pas le MFA donc toujours possible d'accéder ou de réinitialiser le mdp si besoin.

Bon de toute façon le webmail d'Orange comment dire..

Salut, oui mais ça se généralise partout, y compris, évidemment, à mon travail.

Après aujourd'hui, on a plein de solutions libres pour bien gérer le MFA et avec des backups simplifiés comme Ente Auth ou 2FAS ou Aegis pour les plus power user fan de local

À condition que tout aille comme d'habitude... par exemple il y a quelques années, toutes mes affaires ont été volées dans le train, dont tous mes papiers et mon argent, ordinateurs et documents professionnels... ben heureusement qu'il n'y avait pas de MFA pour que j'arrive à me dépatouiller un minimum dans cette situation de merde absolue. Je n'ose imaginer ce que serait si ça arrivait maintenant... et sans même être quelqu'un qui a toute sa vie dans son idiotphone sans rien comprendre aux enjeux et sans moyens financiers, parce que alors, ces gens là... toute leur vie peut s'écrouler... Pour situer le niveau de compétence, on a découvert par exemple que certains étudiants (mais ça doit être aussi le cas d'administratifs) acceptaient l'enregistrement des codes MFA volatils dans leur gestionnaire de mot de passe... ce qui n'a évidemment aucun sens... et provoque même des problèmes... même si ceux-ci ne devraient pas faire cette proposition de base bien sûr...

[maxoxo]

ben heureusement qu'il n'y avait pas de MFA pour que j'arrive à me dépatouiller un minimum dans cette situation de merde absolue. Je n'ose imaginer ce que serait si ça arrivait maintenant... et sans même être quelqu'un qui a toute sa vie dans son idiotphone sans rien comprendre aux enjeux et sans moyens financiers, parce que alors, ces gens là... toute leur vie peut s'écrouler.

Je ne suis pas sûr de comprendre.

Il existe aujourd'hui des tas de solutions sécurisées pour backuper ses codes TOTP que ça soit en local ou dans le cloud. Certains services libres comme Ente Auth sont même dédiés à ça et offre un bon niveau de sécurité.

En tout état de cause l'administrateur d'une application peut toujours désactiver l'exigence de 2FA sur un compte donné. Donc si on peut prouver son identité, on peut demander la désactivation et se connecter avec ID et mdp. Mais oui c'est une procédure pénible, des formulaires tout ça tout ça...

Pour situer le niveau de compétence, on a découvert par exemple que certains étudiants (mais ça doit être aussi le cas d'administratifs) acceptaient l'enregistrement des codes MFA volatils dans leur gestionnaire de mot de passe... ce qui n'a évidemment aucun sens... et provoque même des problèmes... même si ceux-ci ne devraient pas faire cette proposition de base bien sûr...

Là-dessus, je suis plus mesuré que toi. Tout dépend du modèle de menaces et de l'analyse de risques propre à chaque individu/organisation. C'était aussi initialement contre mes principes en tant que RSSI, puis j'ai fini par l'accepter au boulot pour certaines populations. Pourquoi ? Parce que ça m'a permis de généraliser la 2FA d'une façon ergonomique et simple. Ça m'a aussi permis de régler le problème du "mais ouin ouin j'ai pas de téléphone pro, je vais pas installer une application OTP sur mon téléphone perso". Il n'y avait aucune bonne solution avec un prix acceptable.

Du coup notre gestionnaire de mdp libre et auto-hébergé (Vaultwarden, fork de Bitwarden et dont je suis l'admin ) gère aussi la MFA via TOTP ou Passkey. MAIS il est lui même protégé en entrée par une 2FA qui est stockée sur un appareil différent (téléphone pro, enrollement du PC pro via clé Webauthn stockée localement).

C'est cohérent avec le modèle de menaces : je crains bien plus le scénario vol d'identifiants via un stealer par exemple et donc la possibilité pour le pirate de se connecter à nos outils avec simple login et mot de passe que la compromission d'un accès au gestionnaire de mdp ou le vol de l'appareil pro enrollé (qui nécessiterait de toute façon de connaître aussi le mdp qui déverrouille le chiffrement).

C'est difficile d'être à l'état de l'art de la sécurité par tout : je préfère relâcher le principe et aménager les choses : avoir de la 2FA partout que nulle part parce que je suis trop exigeant. L'art étant de faire l'analyse de risques et d'accepter ceux qui sont acceptables dans le contexte.