ND : Neighbor Discovery
Réseau
ND : Neighbor Discovery. « Découverte des voisins », par analogie avec le nouvel arrivant qui frappe aux portes du palier pour savoir qui habite où, et qui croit tout ce qu'on lui répond.
Rôle : En IPv6, ND remplace ARP : il associe une adresse IP à une adresse matérielle, découvre les routeurs, annonce les préfixes du lien et détecte les adresses en double. Il s'appuie sur des messages ICMPv6.
Messages : Sollicitation et annonce de voisin, sollicitation et annonce de routeur, redirection. Les annonces de routeur alimentent l'autoconfiguration SLAAC des postes.
Confiance naïve : Comme ARP, ND accepte les réponses sans preuve d'identité : un poste malveillant peut s'annoncer routeur ou usurper un voisin. Il a donc fallu deux générations de protocoles pour réinventer, avec la même candeur, le même problème.
Protections : La variante SEND (SEcure Neighbor Discovery) signe les messages mais reste très peu déployée ; en pratique, on active sur les commutateurs le filtrage des annonces de routeur illégitimes.
Ce qui arrive si on s'en passe
Ignorer que la découverte des voisins accepte toute réponse sans preuve d'identité, c'est laisser n'importe quel poste du lien s'annoncer routeur : les autres machines configurent aussitôt une passerelle pirate par SLAAC et lui confient leur trafic IPv6, y compris sur un réseau qu'on croyait purement IPv4, puisque les systèmes récents activent IPv6 par défaut. De fausses annonces de voisin détournent de même les échanges entre deux machines. Sans filtrage des annonces de routeur sur les commutateurs, la protection repose sur SEND, que presque personne n'a déployé. Le palier IPv6 est neuf, mais les voisins y sont aussi crédules qu'avant.
Explication de la marmotte
Sur un réseau local récent, chaque appareil doit savoir qui se trouve à côté de lui pour pouvoir lui passer des messages. Il envoie donc une sorte d'appel à la cantonade : « qui porte ce numéro ? », et l'appareil concerné répond. Le même système permet de trouver la sortie vers internet, de recevoir automatiquement les réglages du réseau, et de vérifier que personne d'autre n'utilise déjà son numéro. C'est pratique et automatique, mais tout le monde se fait confiance par défaut, ce qui oblige les équipes réseau à surveiller que personne ne réponde à la place d'un autre.
Où ce terme est utilisé
- Résolution locale, ICMP, MTU et multicast (9 occurrences)
- IPv6, autoconfiguration et coexistence (5 occurrences)
- Captures, observabilité et diagnostic multi-couche (4 occurrences)
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS (2 occurrences)