Comprendre l'IPv6 sur un VPS

Chaque VPS NeoHeberg inclut une adresse IPv6 publique. Contrairement à une adresse privée, elle est routable depuis Internet : un service qui écoute dessus est joignable par tous, ce qui rend le pare-feu indispensable. Comprendre l'adresse, la route et l'écoute évite les faux diagnostics.

Une adresse publique, pas une adresse privée

L'adresse fournie ressemble à 2001:db8:... et vous appartient pour la durée du service. Elle n'est pas traduite par NAT : le port que vous ouvrez est le port que le client atteint. Il n'y a donc pas de redirection de port à configurer, mais aussi aucune protection implicite. Un service lancé sur [::] est exposé immédiatement.

Vérifier l'adresse et la route

ip -6 addr show
ip -6 route
ping -6 -c 3 2001:4860:4860::8888

ip -6 addr show doit afficher l'adresse sur l'interface réseau, avec un préfixe et un état scope global. ip -6 route doit présenter une route par défaut via la passerelle. Si le ping échoue, vérifiez d'abord la route et le pare-feu avant de suspecter le fournisseur.

Faire écouter un service

Un serveur doit écouter sur une adresse joignable, pas seulement sur 127.0.0.1. Avec ss, vous voyez les sockets réelles :

ss -6 -tlnp

La colonne locale affiche [::]:80 pour toutes les interfaces IPv6, ou [::1]:80 pour la boucle locale uniquement. Nginx écoute généralement sur listen [::]:80; en plus de listen 80;. Un service Node.js doit utiliser host: '::' ou laisser le système choisir, jamais localhost si vous attendez des clients distants.

Pare-feu et IPv6

UFW filtre IPv6 si IPV6=yes est présent dans /etc/default/ufw, ce qui est le cas par défaut sur Debian. Vérifiez-le après activation :

sudo ufw status verbose

Les règles doivent apparaître avec la mention (v6). Avec nftables ou iptables, contrôlez que la chaîne d'entrée traite bien ip6. Une règle IPv4 seule ne protège pas un service IPv6.

DNS AAAA et test

Pour qu'un nom de domaine pointe vers l'adresse IPv6, créez un enregistrement AAAA chez votre fournisseur DNS :

dig +short AAAA votre-domaine.fr

La réponse doit correspondre à l'adresse du VPS. Un enregistrement A seul ne suffit pas : les clients IPv6 ne le liront pas. Testez ensuite depuis l'extérieur avec curl -6 -I http://votre-domaine.fr/. La page test IPv6 indique le chemin réellement utilisé par votre navigateur.