Risques de la double pile IPv6

Le problème de fond

De nombreuses règles de proxy et de routage ont été conçues à l'origine pour l'IPv4 seul (enregistrements A), alors que les services modernes publient souvent à la fois des enregistrements A et AAAA :

Requête IPv4 → correspond à une règle de proxy → passe par le proxy (comportement attendu)
Requête IPv6 → si la règle ne la couvre pas → peut sortir en direct localement ou emprunter une autre sortie

Risque principal : si l'IPv6 n'emprunte pas le même chemin de proxy ou de passerelle d'entreprise, le serveur peut voir une IP source, un ASN et une région qui ne correspondent pas au chemin IPv4. Cela ne signifie pas que l'IPv6 pose problème en soi : la question est de savoir si le chemin en double pile est cohérent, auditable et reproductible.

Le problème de l'identifiant stable en IPv6

Certains FAI attribuent aux réseaux domestiques ou d'entreprise un préfixe IPv6 assez stable, contrairement à l'adresse de sortie IPv4 qui change souvent.

Si le préfixe IPv6 reste fixe sur le long terme alors que l'IPv4 change souvent, le profil réseau vu côté compte se complexifie. Mieux vaut y répondre par des vérifications de cohérence que conclure hâtivement que « l'IPv6 est toujours à haut risque ».

6 avantages à restreindre l'IPv6

Routage plus maîtrisable — toutes les requêtes liées à Claude empruntent le même chemin observable
Fini les variations « rapide puis lent » — plus de sauts de latence dus aux délais IPv6 dépassés avec repli sur l'IPv4
Résolution DNS cohérente — évite la dérive géographique lorsque AAAA passe par le DNS du FAI et A par le DNS du proxy
Moins d'anomalies de cohérence — l'IP source, l'ASN et la région que voit Claude restent plus facilement cohérents
Règles de proxy mieux appliquées — évite que les clients basculent vers des chemins non configurés à cause des enregistrements AAAA
Diagnostic simplifié — un seul chemin IPv4, sans avoir à démêler la course Happy Eyeballs / double pile

Mise en œuvre recommandée

Ordre recommandé : vérifiez d'abord si l'IPv4 et l'IPv6 partagent le même pays, le même ASN ou la même sortie proxy ; sinon, réglez les domaines liés à Claude sur ForceIPv4 ou UseIPv4 dans votre client proxy (Sing-Box / Clash / V2Ray / Xray).

Désactivation au niveau du système (si nécessaire)

Linux:sysctl -w net.ipv6.conf.all.disable_ipv6=1

macOS:networksetup -setv6off <Service> (ou Réglages Système → Réseau → l'interface concernée → TCP/IP → désactiver l'IPv6)

Windows: Propriétés de la carte réseau → décochez « Protocole Internet version 6 (TCP/IPv6) »

Routeur : Désactivez la distribution IPv6 par DHCP / SLAAC

Le compromis

Désactiver l'IPv6 peut ralentir certaines routes optimisées pour l'IPv6 et gêner quelques services réseau accessibles uniquement en IPv6. Il vaut généralement mieux restreindre d'abord le trafic lié à Claude dans votre client proxy, et ne désactiver l'IPv6 au niveau du système que si vous ne parvenez pas à maîtriser autrement le chemin en double pile.