Introduction d'IPv6 à EDF

ARCEP

Le 7 décembre 2023, l’IDATE, l’Arcep et l’IPv6 Forum ont organisé, dans les locaux de l’Arcep, un atelier portant sur le développement et l’avancée de l’IPv6 en France. ------------ Cette vidéo (18 minutes) est l'enregistrement de la présentation d'EDF, réalisée par Pierre Violet. Thème : Introduction d'IPv6 à EDF 1/ Contexte - Naissance du projet IP46 2/ Ambition et stratégie 3/ Cas d’usage IPv6 - Synoptique 4/ Cas d’usage IPv6 - Principes et objectifs 5/ Démarche - Organisation de production 6/ Stratégie de qualification par périmètre et brique fonctionnelle 7/ Avancement - Un cas d’usage IPv6 fonctionnel, qualifications bureautique sur le chemin critique 8/ Constats - Une intégration d’IPv6 globalement fluide 9/ Mais des points d’attention importants ! 10/ Perspectives ------------ La présentation est disponible au format PDF (13 pages) sur https://www.arcep.fr/fileadmin/reprise/observatoire/ipv6/202312_atelier_IPv6_09_EDF_Introduction_IPv6_a_EDF.pdf

Transcript

00:00 Très bien, donc je suis Pierre Viollet, directeur du programme Télécom à EDF.

00:05 Donc je suis en charge du plan et du build des infrastructures Télécom,

00:11 donc les LAN Campus, le LAN Data Center et les réseaux WAN.

00:17 Et donc je vais vous parler de l'introduction d'IPv6 à EDF.

00:22 Donc je vais vous donner un peu de contexte sur le projet qu'on a lancé.

00:27 Je vais vous présenter la stratégie qu'on a mise en œuvre et vous faire un point d'avancement,

00:32 vous faire un bilan et vous tracer quelques perspectives.

00:35 Donc le contexte, EDF utilise plus de 13 millions d'adresses IPv4 privées

00:44 qu'on a historiquement allouées de façon très généreuse.

00:48 On a beaucoup surconsommé, on a beaucoup gâché.

00:51 Dans les années 2017-2018, dans le cadre de la numérisation de l'entreprise,

00:58 on a distribué près de 3,5 millions d'IPv4 privés au projet en 3 ans,

01:06 ce qui a conduit le gestionnaire des adresses IP mi-2018 à lever une alerte de risque de pénurie sous un an,

01:14 puisque le stock était passé en dessous d'un million.

01:16 Donc début 2019, on a lancé un projet qui s'appelait IP46

01:21 dont la chef de projet s'appelle Amal Brikhi et elle est également connectée à distance aujourd'hui.

01:27 Donc le projet, dans un premier temps, a reporté la pénurie en libérant des adresses IP non utilisées,

01:34 ce qui, dans un récit historique, sédimenté comme le nôtre, est assez complexe.

01:39 Donc dans un premier temps, on a repoussé la pénurie et à fin 2021, aujourd'hui, on est bien au-delà.

01:44 Mais on a identifié dès le départ le fait que la transition à IPv6 était la solution pérenne

01:50 et de toute façon un besoin incontournable parce que tôt ou tard, on aurait des clients ou des fournisseurs qui seraient IPv6.

01:57 Alors en termes de stratégie, dans un SI de la taille du nôtre, évidemment, on ne peut pas faire de bascule en big bang vers IPv6.

02:07 Technologiquement, c'est beaucoup trop risqué et opérationnellement, c'est beaucoup trop impactant.

02:15 Donc l'ambition du projet a été de préparer le SI à IPv6, de commencer à en basculer, en adapter une partie,

02:23 de préparer le run à basculer en IPv6 au gré des opportunités,

02:28 sachant qu'on s'imagine que la transition, pour nous, va prendre certainement plus de 10 ans.

02:33 Et donc on a une stratégie de mise en œuvre de cas d'usage IPv6 qui sont traversants du SI.

02:40 L'objectif, c'est de monter en compétences, de se frotter aux problématiques,

02:45 de déployer IPv6 en production sur une partie du SI et de commencer à avoir des flux de production.

02:50 Et puis, en fonction du rex du projet, de proposer une stratégie de transition à IPv6 pour EDF.

02:56 Donc les cas d'usage, il y en a trois. Le premier cas d'usage, on part depuis un site pilote EDF en IPv6

03:05 et on consomme des services sur internet en passant par nos data centers en étant en IPv6 de bout en bout.

03:11 Le deuxième cas d'usage, toujours depuis un site pilote en IPv6,

03:18 on va utiliser une application qui est en data center en étant en IPv6 de bout en bout.

03:24 Et le troisième cas d'usage, on est sur internet et on vient utiliser une application en data center

03:31 en étant en IPv6 de bout en bout.

03:33 Donc on voit que ces trois cas d'usage, ils mettent en œuvre différents types d'environnement,

03:38 des périmètres réseau, applicatifs et bureautiques.

03:42 On a retenu quelques principes dans notre projet.

03:50 Au niveau des infrastructures, des services réseau et des applications pilote d'être en dual stack,

03:56 sur les postes de travail qui seront pilotes, on sera en IPv6 only,

04:02 donc on doit être certain de valider le bon fonctionnement en IPv6 de bout en bout.

04:07 Et puis on a évidemment besoin d'une passerelle de translation NAT64

04:11 pour permettre à ces postes en IPv6 only d'utiliser des applications ou des services qui sont en IPv4 only.

04:17 Dans le tableau qui est en dessous, vous avez la description des trois cas d'usage.

04:22 Les objectifs communs à ces cas d'usage, pour nous l'objectif c'était de valider la mise en place fonctionnelle

04:28 du dual stack sur l'infrastructure EDF,

04:31 de valider le fonctionnement de la translation IPv6 vers IPv4,

04:37 donc l'abri NAT64 et le DNS64,

04:40 de valider la partie qualification IPv6 sur les périmètres réseau, applicatifs et bureautiques,

04:47 de valider le déploiement en production et l'exploitation d'IPv6,

04:52 et de valider le bon fonctionnement de bout en bout avec les opérateurs publics en IPv6 et le SIEEDF

04:59 au travers des différents cas d'usage.

05:02 Alors en termes d'organisation, évidemment les infrastructures réseau, qu'elles soient data center ou site pilote,

05:11 les services réseau et les applications, tout est en production,

05:14 donc il a fallu qu'on mette en place une organisation de production.

05:17 Donc on a eu une phase de préparation, on a acquis un préfixe IPv6,

05:22 on a conçu notre plan d'adressage,

05:25 on a rédigé un référentiel de sécurité qui est lié aux spécificités d'IPv6,

05:30 notamment toutes les spécificités protocolaires,

05:33 et ensuite on a découpé tous nos travaux par périmètre,

05:37 pour rentrer dans une phase de qualification,

05:40 on a qualifié par périmètre et dans chacun des périmètres par un brique fonctionnelle,

05:45 on les détaillera juste après.

05:48 Et puis ensuite une phase de déploiement en production et d'exploitation.

05:51 Donc on a déployé les éléments au fur et à mesure de leur qualification,

05:54 en incluant la sécurité et la supervision.

05:57 Donc on a déposé un certain nombre de briques,

05:59 qui au départ n'interagissaient pas les unes avec les autres,

06:01 et puis au fil du temps on a commencé à voir des chemins de connexion s'établir.

06:07 En termes de qualification, par périmètre et par briques fonctionnelles,

06:11 si on détaille un petit peu ces différents périmètres,

06:14 sur l'infrastructure réseau data center,

06:16 on a un cœur de réseau data center, toute la partie de routage,

06:19 on a un LAN data center, toute la partie du switching,

06:23 les services réseau qu'on adresse, c'est le DNS, le DHCP, l'IPAM,

06:27 les briques de translation, donc AIDA64 et DNS64,

06:31 les proxys, la répartition,

06:34 toutes les fonctions de sécurité et les interconnexions avec Internet.

06:38 Dans le périmètre bureautique, on a intégré aussi le site pilote,

06:41 puisque ça fonctionne ensemble,

06:44 donc tout ce qui concerne le réseau de site, le poste de travail,

06:46 les annuaires, donc toute l'infrastructure du site,

06:50 les applications bureautiques et toute la sécurité.

06:54 Les failles au rôle applicatif, ensuite, pour aller vers les deux applications pilotes qu'on a retenues.

06:58 Et puis en transverse, pour chacun des périmètres,

07:00 il faut évidemment penser à adapter toute l'exploitation, la supervision,

07:04 la surveillance par le SOC et la gestion des logs.

07:08 Alors aujourd'hui, où est-ce qu'on en est ?

07:15 On a un cas d'usage IPv6 qui est complètement fonctionnel,

07:19 sachant que les qualifications du périmètre bureautique

07:23 sont sur le chemin critique des deux autres.

07:26 Donc toute la phase de préparation, elle est évidemment derrière nous, elle est terminée.

07:30 Sur les périmètres réseau data center, service réseau et applications,

07:35 aujourd'hui, ces périmètres sont fonctionnels pour nos trois cas d'usage.

07:39 Et donc on en est sur le périmètre de la bureautique et du site pilote.

07:43 Les qualifications sont bien avancées,

07:47 donc avant de pouvoir ensuite déployer en production.

07:51 Si on regarde le périmètre IPv6 qui est aujourd'hui en production sur le SIEDF,

07:56 sur le périmètre du réseau data center aujourd'hui,

08:00 tout le périmètre est tendu à Elstack, cœur de réseau et l'un des data centers.

08:04 Sur le périmètre des services réseau,

08:08 on a pratiquement 60% des firewalls aujourd'hui qui sont tendus à Elstack.

08:12 Il y a certains périmètres qu'on a exclus volontairement à date pour l'instant.

08:16 Sur les briques, DNS, DHCP, les trois quarts sont tendus à Elstack.

08:20 Pourquoi pas la totalité, notamment sur les DNS qui ne sont pas en contact direct avec les clients,

08:26 aujourd'hui on les a laissés en IPv4.

08:30 Sur la fonction de répartition de charges, à date, on est à 50% des équipements qui sont en dual stack.

08:36 La cible c'est de passer à 100%.

08:40 Et sur les proxys, aujourd'hui on est plutôt à 50% de la charge.

08:44 Et sur les proxys, aujourd'hui on est plutôt sur des proxys pilotes,

08:48 c'est pour ça qu'on a que 10% du parc aujourd'hui qui est dual stack,

08:51 mais la généralisation sur toute la ferme de proxys est en cours.

08:55 Sur les applications, nos deux applications pilotes sont bien évidemment en dual stack.

09:01 Et puis le cas d'usage qui est fonctionnel, c'est le cas d'usage numéro 3,

09:05 donc le trafic qui fait les cises de production.

09:08 Si vous vous souvenez, c'est depuis Internet venir consulter une application en datacenter EDF,

09:14 en IPv6 de bout en bout.

09:16 L'application en question est utilisée par les salariés EDF pour gérer certains droits d'accès.

09:22 Et donc on constate depuis juin du trafic IPv6.

09:28 Deux salariés qui sont chez eux et qui au travers de leur fournisseur d'accès Internet

09:33 accèdent en IPv6 nativement à cette application.

09:38 Si on fait un premier bilan de notre projet,

09:46 j'ai deux slides, un positif et un avec des points d'attention.

09:51 Le bilan positif, c'est que finalement l'intégration d'IPv6 a été globalement plutôt fluide.

09:57 En termes de montée en compétences et d'intérêt des équipes,

10:00 notamment tous les pilotes de service, les experts et les exploitants.

10:04 Aujourd'hui, ils sont montés en compétences.

10:07 Ça n'a pas été forcément facile, le démarrage a été un peu long.

10:12 Je crois que ça a été dit tout à l'heure, quand on a lancé le projet au début,

10:16 pourquoi se presser, pourquoi y aller ? On connaît bien IPv4.

10:19 Donc il y a eu quelques réticences, mais aujourd'hui toutes les barrières sont tombées.

10:23 En termes de qualification et de déploiement,

10:27 la mise en œuvre d'IPv6 a été fluide sur le périmètre des infrastructures et des services réseau

10:34 et sur les deux applications pilotes.

10:37 A noter que d'ailleurs les bases de données de ces applications

10:40 n'ont pas été concernées par la migration du Halstack, elles sont restées en IPv4.

10:45 Au niveau de l'exploitation réseau, l'intégration du périmètre a été fluide.

10:51 Aujourd'hui, toutes les opérations de réservation d'adresse,

10:54 d'enregistrement des LNS, d'ouverture de flux qu'on réalise quotidiennement

10:59 sont réalisées en IPv6 de la même façon qu'en IPv4.

11:03 On a les mêmes procédures d'exploitation et à date on n'a pas vu de complexité particulière.

11:09 Et lors des changements en production, sur des équipements qui sont en dual stack,

11:13 quel que soit le changement, ça peut être des mises à jour firme, des modifications de paramétrage,

11:17 les recettes prennent en compte nativement IPv6 en plus d'IPv4.

11:22 L'intégration du périmètre aussi v6 dans l'exploitation applicative

11:26 de nos applications pilote a été complètement fluide.

11:29 On a deux exploitants différents pour ces deux applications,

11:33 et ils les exploitent en IPv6 comme en IPv4.

11:37 Et enfin, sur le périmètre de la supervision réseau et applicative,

11:42 là aussi l'intégration d'IPv6 a été fluide.

11:45 Donc finalement, c'est plutôt des bonnes surprises.

11:49 Mais il y a quand même quelques points d'attention qui sont importants.

11:53 La principale complexité de mise en oeuvre d'IPv6 dans l'OSI,

11:58 ça a été lié aux nombreuses adhérences bureautiques qui sont liées aux postes de travail.

12:03 Un poste de travail, ça vient avec des interactions avec des annuaires,

12:07 le DNS, le DHCP, des antivirus, des modules d'impression,

12:13 toute la gestion des logs, tous les services Microsoft, Windows,

12:16 et puis tous les services collaboratifs.

12:18 Et donc ça nécessite de nombreuses interactions entre beaucoup d'équipes,

12:24 ce qui est extrêmement chronophage en termes de synchronisation.

12:29 On a quand même rencontré quelques problématiques de compatibilité à IPv6,

12:34 notamment pour nous, toute la partie de l'impression.

12:38 Donc on a un projet qui est en train de migrer vers une solution qui sera compatible avec IPv6,

12:42 mais actuellement, elle ne l'était pas.

12:45 Et puis on s'est heurté à un problème de maquettage.

12:47 On n'avait pas de maquette globale qui était représentative

12:50 de l'ensemble de toutes les interactions dont j'ai parlé,

12:52 ce qui évidemment perturbe toutes les qualifications, et la mise en production.

12:58 On a mis en évidence un point d'attention spécifique à l'activation d'IPv6 sous Linux,

13:04 notamment sur les souches qu'on utilise, Red Hat.

13:08 Même si l'IPv6 est activé, il faut forcer son activation

13:12 par une commande supplémentaire et ça nécessite un déménage réseau.

13:16 Et puis on a mis en évidence une incompatibilité IPv6 qui est connue

13:19 et qui est persistante sur Firefox, au niveau de la fonction proxy pack

13:23 qui n'est pas opérationnelle.

13:25 Enfin, un point qui est important, c'est que dans le cadre du projet,

13:29 on n'a pas embarqué le périmètre des smartphones et des tablettes

13:32 du fait de la problématique du non-support ou du support imparfait du DHCPv6.

13:41 Du coup, aujourd'hui, en termes de perspective,

13:45 nos prochaines étapes d'ici à T3 2024, c'est de finaliser la mise en œuvre des trois cas d'usage,

13:51 terminer les deux qui ne sont pas fonctionnelles.

13:54 C'est d'étudier la prise en compte du périmètre des smartphones et des tablettes

13:57 parce qu'on a une flotte qui est importante, on ne peut pas les laisser à part.

14:01 De formaliser notre tour d'expérience de la mise en œuvre d'IPv6,

14:06 et avec tous ces éléments, de proposer une stratégie de transition à la DSI du groupe EDF

14:12 pour se lancer et y aller au-delà des trois cas d'usage qu'on aura mis en œuvre.

14:20 Voilà, je vous remercie de votre attention.

14:26 Merci, merci beaucoup Monsieur Violet.

14:31 Peut-être avant que vous nous quittiez, je voulais savoir s'il y avait des questions dans l'assistance.

14:36 Au niveau des adresses sur les stations, vous utilisez Neighbor Discovery ou DHCPv6 ?

14:44 Pas mal, si tu es connecté, je te laisse peut-être...

14:56 En tout cas, on fait du DHCPv6, et c'est pour ça que sur la partie du parc,

15:04 qui ne supporte pas DHCPv6 pour l'instant, on n'y est pas allé,

15:07 parce qu'on veut maîtriser les adresses qui sont distribuées à nos devices,

15:12 pour des raisons de sécurité.

15:14 Ok, merci.

15:21 Bonjour Pierre, Amal et Alain. Que de souvenir de voir ces slides.

15:25 Je travaillais dessus il y a un certain temps, j'ai souvenir de quelques-unes de ces problématiques.

15:32 Le DHCPv6 avec Android, c'est un problème connu.

15:37 Moi j'ai une question, à l'époque je vous souviens que la téléphonie était un point critique,

15:41 la téléphonie a besoin de peer-to-peer.

15:44 En entreprise, on ne peut pas faire de méthode de transition stateless,

15:48 parce qu'on ne peut faire que du NAT64, on n'est pas comme chez les opérateurs,

15:51 avec du MAPT ou autre.

15:53 Avant de pouvoir commencer en VIP v4, il faut s'assurer que tout le monde

15:56 va pouvoir faire du peer-to-peer v6 pour s'appeler en SIP.

16:00 Aujourd'hui, est-ce que vous avez encore des soucis sur les plateformes de téléphonie au sein d'ODF ?

16:07 Dans nos cas d'usage, il n'y a pas la téléphonie.

16:11 On le touche du doigt au travers notamment du collaboratif,

16:15 notamment pour les communications audio Teams directes en peer-to-peer,

16:20 il faut effectivement que ça fonctionne en IPv6 natif.

16:23 Donc ça fait partie des qualifications bureautiques qui sont encore un peu devant nous,

16:27 dans les quelques semaines qui nous restent.

16:30 Bonjour, question non technique pour le coup,

16:37 j'ai pas mal de clients, grands comptes ou cloud service providers,

16:41 qui me disent bien gentiment "tu m'emmerdes avec IPv6, on a déjà du mal avec v4".

16:47 Comment est-ce qu'on les amène à vraiment se poser les bonnes questions ?

16:51 On n'a pas eu trop de difficultés, c'est un projet qui a une grande visibilité au sein du groupe ODF,

17:00 il passe un certain nombre de jalons à haut niveau,

17:04 donc toutes les TSI du groupe savent ce qu'on veut faire,

17:09 et on n'a pas eu de difficultés à les convaincre qu'il fallait y aller,

17:13 que tôt ou tard il allait falloir y aller,

17:16 et que justement l'objectif du projet c'était d'éclairer l'avenir,

17:19 de tester, de se frotter aux difficultés,

17:22 et de proposer une méthode, donc ça sera dans la stratégie,

17:26 pour y aller progressivement.

17:28 Donc les freins qu'on a pu avoir étaient plutôt, paradoxalement, des équipes techniques,

17:35 au tout départ, mais au niveau des directions métiers, des SI internes,

17:43 ils ont vu le projet plutôt d'un bon oeil.

17:45 Après la transition va de toute façon prendre plus de 10 ans,

17:50 probablement beaucoup plus que ça,

17:52 donc on va y aller progressivement, on va de toute façon ne prendre aucun risque,

17:56 on ne peut pas se permettre de casser des parties, des bouts de SI,

18:01 donc on le fera avec beaucoup de prudence,

18:04 et je pense qu'ils ont confiance pour qu'on le fasse bien,

18:08 et on le fera de toute façon avec eux.

18:10 Merci beaucoup, y a-t-il d'autres questions ?

18:14 Non, je vous remercie.

18:16 Monsieur Violet, merci infiniment,

18:18 et j'espère que vous allez pouvoir encore rester un peu avec nous.

18:21 Merci beaucoup pour votre présentation, à bientôt.

Category

Transcription

Recommandations