GUIDE RÉSEAU · TRANSITION IPV6
Passer à IPv6 par étapes, sans créer un réseau parallèle invisible.
Activer IPv6 sur un routeur n’achève pas la transition. Le DNS, les pare-feu, VPN, applications, journaux, sondes, procédures et équipes doivent comprendre les deux protocoles pendant une période souvent longue. Une stratégie dual stack maîtrisée rend la migration observable et évite de laisser IPv6 contourner des règles écrites uniquement pour IPv4.
Quelle est la première étape d’une transition IPv6 ?
Établissez un état des lieux de la connectivité opérateur, des équipements, des applications, du DNS et des contrôles de sécurité. Définissez ensuite un plan d’adressage et un pilote dual stack sur un périmètre représentatif. IPv6 doit être filtré, journalisé, supervisé et testé dès son activation, avec un retour arrière et des critères de réussite explicites.
- Mode courant
- Dual stack pendant la transition
- Risque majeur
- IPv6 actif mais non filtré ou non supervisé
- Point central
- Adressage, DNS et sécurité conçus ensemble
- Objectif
- Réduire progressivement les dépendances IPv4
Contrôles à aligner entre IPv4 et IPv6
| Domaine | Décision | Test | Écueil |
|---|---|---|---|
| Accès et routage | Préfixes, annonces, multihoming et route par défaut. | Connectivité dans les deux sens et scénarios de panne. | Activer sans maîtriser le chemin retour. |
| DNS et services | AAAA, résolveurs, reverse DNS et ordre de préférence. | Résolution puis connexion applicative complète. | Publier AAAA avant que le service soit prêt. |
| Sécurité | Pare-feu, VPN, RA Guard, ACL et exposition Internet. | Mêmes politiques et alertes qu’en IPv4. | Croire que l’adressage global remplace le filtrage. |
| Exploitation | Logs, IPAM, supervision et diagnostic. | Recherche d’incident et corrélation des deux piles. | Outils tronquant ou ignorant les adresses IPv6. |
1. Mesurer la préparation réelle
Vérifiez l’offre opérateur, le routeur, les pare-feu, commutateurs, points d’accès, VPN, services cloud, hébergeurs et applications. Relevez les fonctionnalités annoncées mais aussi les versions logicielles et limites opérationnelles. Compatible ne signifie pas administré, supervisé ou couvert par le support.
Analysez DNS, règles contenant des adresses littérales, listes blanches, scripts, bases de données et formats de journaux. Les dépendances IPv4 se trouvent souvent dans une configuration ou une intégration historique. Attribuez chaque écart à un propriétaire et classez-le selon l’exposition et l’impact.
- Capacité opérateur et équipement
- Applications et dépendances littérales
- Outils de sécurité et d’exploitation
- Écarts attribués et priorisés
2. Concevoir préfixes, segmentation et DNS
Construisez un plan hiérarchique lisible par site, zone et usage, sans reproduire toutes les habitudes d’économie d’adresses d’IPv4. Réservez des marges, documentez l’attribution et utilisez un IPAM capable de gérer préfixes et enregistrements. Définissez SLAAC, DHCPv6 ou une combinaison selon les besoins des postes, serveurs et équipements.
Le DNS pilote souvent le choix effectif du protocole. Publiez un enregistrement AAAA seulement lorsque le chemin, le service, le certificat, le pare-feu et la supervision sont prêts. Testez également le reverse DNS et les dépendances de messagerie ou de réputation lorsqu’elles sont concernées.
- Plan hiérarchique et extensible
- Méthode d’attribution documentée
- IPAM et DNS cohérents
- Publication AAAA après recette
3. Appliquer la sécurité aux deux piles
Écrivez explicitement les politiques IPv6 du pare-feu, des ACL, du proxy, des VPN et de la détection. Contrôlez les annonces de routeurs, les réseaux invités, les tunnels automatiques et les services d’administration. Désactiver IPv6 au hasard sur certains postes peut masquer le problème sans réduire durablement l’exposition.
Les journaux doivent conserver l’adresse complète, l’horodatage, l’identité et le contexte. Vérifiez que SIEM, inventaire, gestion des vulnérabilités et réponse à incident acceptent IPv6. Formez le support à reconnaître une adresse, lire une route, tester DNS et différencier un échec IPv6 d’un repli IPv4.
- Pare-feu et ACL équivalents
- Annonces et tunnels maîtrisés
- Logs complets et corrélables
- Procédures de diagnostic mises à jour
4. Piloter, observer et réduire IPv4
Choisissez un site, un VLAN et quelques services représentatifs. Mesurez résolution DNS, temps de connexion, applications, VPN, impression, voix et supervision. Testez la perte de la pile IPv6 et de la pile IPv4 séparément afin de vérifier que les erreurs sont visibles et que les replis ne masquent pas une panne.
Étendez par vagues après correction. Suivez le trafic IPv6, les services publiés, les incidents et les dépendances IPv4 restantes. Le retrait d’IPv4 est un objectif distinct : il peut utiliser des mécanismes de traduction sur certains périmètres, mais seulement après compréhension des applications et conservation d’un chemin de diagnostic.
- Pilote représentatif et réversible
- Tests de panne de chaque pile
- Indicateurs de trafic et d’erreur
- Retrait IPv4 décidé par périmètre
Checklist avant décision
- Confirmer IPv6 avec l’opérateur
- Auditer équipements, cloud et applications
- Construire le plan de préfixes
- Aligner IPAM et DNS
- Dupliquer les contrôles de sécurité
- Valider logs et supervision
- Piloter en dual stack
- Suivre puis retirer les dépendances IPv4
Réponses complémentaires
IPv6 rend-il le NAT inutile ?
L’adressage global réduit le besoin de traduction, mais un pare-feu avec politique explicite reste indispensable.
Faut-il désactiver IPv4 immédiatement ?
Non. Une période dual stack est généralement nécessaire. Le retrait se décide après mesure des dépendances et validation des services.
Publier un AAAA suffit-il pour rendre un site compatible ?
Non. Le serveur, le routage, le pare-feu, le répartiteur, le certificat et la supervision doivent tous fonctionner en IPv6.
Peut-on ignorer IPv6 s’il n’est pas officiellement déployé ?
Non. Des systèmes peuvent déjà l’activer localement. Il faut savoir s’il est présent et appliquer une politique plutôt que le laisser invisible.
Sources et limites
Ces ressources publiques complètent l’étude. Elles ne remplacent ni un test sur place, ni l’éligibilité opérateur, ni les conditions contractuelles applicables au service concerné.
- Arcep — Guide numérique des entreprises 2026Fiche Pourquoi passer à IPv6 et repères de migration pour les entreprises.
- Arcep — Dossier IPv6Baromètre, guides et ressources sur la transition IPv6.
Guide préparé par l’équipe éditoriale de Nicholas Owen Global Telecom et mis à jour le . Les prix, couvertures, délais et performances doivent être confirmés par écrit.