SLAAC : Stateless Address Autoconfiguration
Réseau
Mécanisme IPv6 permettant à un hôte de s'auto-configurer une adresse IP sans serveur DHCP.
Fonctionnement : SLAAC utilise les messages ICMPv6 Router Advertisement pour transmettre aux hôtes les préfixes réseau et paramètres nécessaires à l'auto-configuration d'une adresse IPv6.
Cycle de vie : RFC 4862 §5 : l'hôte forge d'abord son adresse link-local fe80::/64 et la soumet à DAD, émet un Router Solicitation (ICMPv6 type 133) vers ff02::2, reçoit un Router Advertisement (type 134) porteur d'une Prefix Information Option avec les flags A (autonomous) et L (on-link), concatène le préfixe /64 avec son identifiant d'interface, soumet l'adresse globale à DAD, puis la fait vivre selon les Preferred et Valid Lifetime annoncées. SLAAC impose un préfixe /64 : le flag A d'un préfixe plus long est ignoré.
Identifiant d'interface : Trois modes de génération aux propriétés d'unicité très différentes : EUI-64 (RFC 4291), simple réécriture bijective de la MAC sans entropie propre ; stable-privacy (RFC 7217), dérivé déterministe du préfixe, du nom d'interface, d'un compteur DAD et d'un secret local ; temporaire (RFC 8981), aléatoire et renouvelé toutes les 24 heures par défaut. Sous Linux, le mode est piloté par net.ipv6.conf.<if>.addr_gen_mode.
Détection de doublon : La Duplicate Address Detection (RFC 4862 §5.4) est l'étape intégrée de SLAAC qui traite les collisions : l'hôte marque l'adresse tentative et émet un Neighbor Solicitation vers l'adresse multicast sollicitée, source :: non spécifiée. Toute réponse invalide l'adresse. En EUI-64 l'auto-configuration s'arrête et exige une intervention manuelle ; en stable-privacy ou en mode temporaire, un nouvel identifiant est recalculé jusqu'à trois fois. Si le doublon porte sur l'adresse link-local, la pile IPv6 de l'interface devient inutilisable.
Probabilité de collision : Sur un identifiant de 64 bits réellement aléatoire, le paradoxe des anniversaires donne une probabilité d'environ n²/2^65, soit 2,7 × 10⁻¹⁴ pour un lien de 1000 hôtes : le hasard n'est jamais la cause réelle d'un doublon SLAAC. Les collisions observées en production sont déterministes et se ramènent presque toujours à la duplication d'image système : MAC clonées entre VM issues d'une même image, machine-id non régénéré, cartes réseau contrefaites réutilisant un même OUI.
Sans état : Contrairement au DHCPv6, SLAAC ne nécessite pas de serveur centralisé ni de gestion de baux, ce qui simplifie la configuration mais limite la distribution d'options avancées.
Sécurité : SLAAC peut être vulnérable aux attaques par usurpation de routeur (RA spoofing) ; des mécanismes comme RA Guard ou Secure Neighbor Discovery (SeND) peuvent atténuer ces risques. DAD ouvre une surface complémentaire : un attaquant répondant à toutes les sollicitations de détection de doublon empêche l'ensemble des hôtes du lien d'obtenir la moindre adresse, déni de service exécutable en une commande avec la suite THC-IPv6.
Interopérabilité : SLAAC coexiste souvent avec DHCPv6, ce dernier pouvant fournir des options complémentaires comme les serveurs DNS.
Ce qui arrive si on s'en passe
Sans autoconfiguration, chaque hôte IPv6 attend qu'un serveur DHCPv6 ou un administrateur lui fournisse une adresse. C'est pourtant l'ignorance de SLAAC qui coûte le plus : les postes l'activent par défaut, et une annonce de routeur usurpée leur fait adopter une passerelle pirate, même sur un réseau qu'on croyait uniquement IPv4. Sans RA Guard ni inspection sur les commutateurs, un attaquant qui répond à toutes les détections de doublon empêche en outre chaque hôte d'obtenir la moindre adresse. Un identifiant EUI-64 dérivé de la MAC suit enfin l'appareil d'un réseau à l'autre. L'autoconfiguration dispense de serveur, pas de surveillance.
Explication de la marmotte
Imagine que tu arrives dans une nouvelle maison et que tu peux choisir toi-même ton numéro de chambre en regardant les indications données par le propriétaire, sans passer par un concierge. Le routeur crie dans le couloir « ici, c'est le bâtiment B ! », et chaque ordinateur ajoute son propre numéro de chambre derrière. Avant d'écrire ce numéro sur sa porte, il crie à son tour : quelqu'un habite déjà au 42 ? Si personne ne répond au bout d'une seconde, il s'installe ; sinon il doit en tirer un autre, et s'il n'a même pas réussi à obtenir son numéro d'étage, il ne peut plus parler à personne du tout. La méthode de choix change tout : s'il recopie le numéro de série gravé en usine, deux machines sorties de la même photocopieuse choisiront fatalement le même, alors qu'un tirage au hasard parmi dix-huit milliards de milliards de possibilités rend la collision moins probable que de gagner deux fois au loto le même jour. Petits défauts du système : un plaisantin posté dans le couloir qui répondrait « c'est pris ! » à chaque question empêcherait tout le monde d'entrer, et un imposteur se faisant passer pour le propriétaire pourrait envoyer tout le monde dans le mauvais bâtiment.
Où ce terme est utilisé
- IPv6, autoconfiguration et coexistence (4 occurrences)
- DNS, DHCP, NTP : services d'infrastructure réseau (1 occurrence)
- Résolution locale, ICMP, MTU et multicast (1 occurrence)