La couche réseau : plan de données

La couche réseau transporte les datagrammes entre les hôtes en suivant un chemin composé de routeurs. L’hôte émetteur place un segment de transport dans un datagramme. Chaque routeur lit l’en-tête de la couche réseau et transmet le datagramme vers sa destination. Sur l’hôte récepteur, la couche réseau remet le segment à TCP, UDP ou un autre protocole de la couche supérieure.

Une décision locale et un plan à l’échelle du réseau

Le transfert fait passer un paquet entrant d’une liaison d’entrée à une liaison de sortie dans un routeur. Il peut aussi rejeter un paquet ou en envoyer des copies sur plusieurs liaisons. La décision est prise pour chaque paquet, généralement dans le matériel, sur une échelle de temps de l’ordre de la nanoseconde.

Le routage détermine les chemins à travers le réseau. Les logiciels de routage échangent des informations et calculent les routes, généralement sur des échelles de temps bien plus longues, de l’ordre de la seconde. Planifier un trajet routier ressemble au routage ; prendre la sortie choisie à un échangeur ressemble au transfert. Le routeur ne relance pas son algorithme de routage pour chaque paquet reçu.

Supposons qu’une entrée de transfert associe 10.20.0.0/16 à l’interface 2. Lorsqu’un datagramme destiné à 10.20.7.1 arrive, la recherche sélectionne l’interface 2. L’opération effectuée pour chaque paquet applique une décision existante. Une panne de liaison peut ensuite amener le processus de routage à remplacer l’entrée.

Les deux plans et leurs tables

Le plan de données effectue ces opérations locales sur les paquets. Le plan de contrôle détermine les routes et fournit les tables. Dans l’approche traditionnelle, chaque routeur exécute un composant de routage, échange des messages de routage et calcule ses propres tables. Dans les réseaux définis par logiciel, un contrôleur logiquement centralisé installe les entrées à distance ; les commutateurs continuent à traiter les paquets localement.

La base d’informations de routage (RIB) stocke les routes apprises par le plan de contrôle. La base d’informations de transfert (FIB) est la structure de recherche issue de ces routes pour le plan de données. Les commandes appellent parfois l’une ou l’autre structure « table de routage » : son rôle compte donc plus que son nom informel.

Un routeur est un type de commutateur de paquets, un équipement qui déplace les paquets en fonction des champs d’en-tête. Un commutateur de la couche liaison effectue normalement sa sélection selon une adresse MAC de destination. Un routeur la fait normalement selon une adresse IP de destination. La couche réseau effectue des traitements à la fois dans les hôtes et dans les routeurs ; les communications applicatives et de transport ont lieu entre les hôtes terminaux.

Les garanties d’IP

Le modèle de service d’un réseau énonce ses garanties d’acheminement. Les garanties possibles comprennent la livraison dans un délai donné, l’arrivée dans l’ordre, une largeur de bande minimale ou une livraison fiable. Le protocole IP d’Internet fournit un service au mieux : aucune de ces garanties n’est offerte, pas plus qu’une garantie de sécurité intégrée. Un datagramme peut être perdu, retardé, dupliqué ou remis dans un ordre différent. IP ne le retransmet pas.

IP est aussi sans connexion. Chaque datagramme contient les informations utilisées pour le transférer ; la couche réseau n’établit pas d’abord une connexion de bout en bout. Les paquets d’une même conversation peuvent suivre des chemins différents.

Des applications utiles fonctionnent néanmoins parce que les autres parties du système fournissent ce dont elles ont besoin. TCP détecte les pertes et rétablit l’ordre des octets aux extrémités. Le contrôle de congestion ajuste les débits d’émission, les opérateurs ajoutent de la capacité et les serveurs de contenu proches raccourcissent les chemins. La réussite d’un transfert TCP ne signifie donc pas qu’IP lui-même a garanti la livraison.

Le chemin des données dans un routeur comprend une entrée, une connexion interne et une sortie. Son logiciel de contrôle fournit les informations appliquées par ces composants.

Les quatre parties

Un port d’entrée reçoit les bits, retire l’encapsulation de la couche liaison entrante et recherche le port de sortie. La matrice de commutation transfère le paquet à l’intérieur du routeur. Un port de sortie met les paquets en mémoire tampon, construit la trame sortante et la transmet. Le processeur de routage exécute les logiciels du plan de contrôle et de gestion, ou communique avec un contrôleur SDN. Les fonctions d’entrée et de sortie d’une liaison bidirectionnelle partagent généralement une carte de ligne.

À 10 Gb/s, un paquet de 64 octets contient 512 bits et occupe 51,2 ns, soit environ 19,5 millions d’arrivées de paquets par seconde. À 100 Gb/s, l’intervalle correspondant est de 5,12 ns. Ces calculs portant uniquement sur les paquets expliquent la nécessité de recherches matérielles. Une copie de la table de transfert sur chaque carte de ligne permet aux ports de fonctionner sans consulter un processeur central pour chaque paquet.

Recherche du plus long préfixe correspondant

Une table IP regroupe les destinations par préfixes. Une destination peut correspondre à plusieurs entrées ; la recherche du plus long préfixe correspondant sélectionne l’entrée correspondante dont le préfixe est le plus long.

10.20.30.77 correspond aux quatre entrées, donc le /24 sélectionne l’interface 2. Pour 10.20.31.5, le /16 l’emporte et sélectionne l’interface 1. Pour 10.99.1.1, le /8 sélectionne l’interface 0. Seule la route par défaut /0 correspond à 172.16.0.1, ce qui donne l’interface 3. L’ordre de la table ne détermine pas le résultat.

Les préfixes peuvent se terminer à l’intérieur d’un octet. 192.168.8.0/21 couvre les valeurs de 8 à 15 du troisième octet ; 192.168.12.0/22 couvre les valeurs de 12 à 15. Ainsi, 192.168.12.9 utilise le /22, tandis que 192.168.9.200 utilise le /21. Compare les bits du préfixe, pas le nombre de groupes correspondants séparés par des points. Le chevauchement permet de faire coexister une route agrégée couvrant une large plage et une exception avec un préfixe plus spécifique.

Une mémoire associative ternaire (TCAM) compare les entrées en parallèle, y compris les bits jokers, et peut renvoyer une correspondance en un cycle d’horloge environ, dans les limites de sa capacité matérielle. Le traitement en entrée vérifie aussi la version IP, la somme de contrôle IPv4 et la TTL, met à jour la TTL et la somme de contrôle, et actualise les compteurs.

Trois façons de déplacer le paquet

La commutation par mémoire copie un paquet dans une mémoire partagée puis le copie hors de celle-ci. Chaque paquet consomme deux transferts mémoire : un système de mémoire prenant en charge B transferts par seconde a donc un plafond de B/2 paquets par seconde avant prise en compte des autres coûts.

La commutation par bus envoie le paquet sur un bus partagé avec une indication de sortie. Un seul paquet le traverse à la fois ; la largeur de bande du bus limite le débit effectif total.

Un réseau d’interconnexion, comme un commutateur à matrice croisée, peut déplacer simultanément des paquets vers des sorties différentes. Un commutateur à matrice croisée pour N entrées et N sorties utilise 2N bus. Deux paquets en concurrence pour la même sortie nécessitent toujours un arbitrage. Les grands routeurs combinent des étages, des cellules de taille fixe et des plans de commutation parallèles ; un débit de matrice égal à N fois le débit de la liaison est la capacité totale idéale pour N entrées.

Une décision de transfert correcte ne garantit pas une transmission immédiate. Un paquet peut attendre la matrice de commutation ou sa liaison de sortie, et les tampons de capacité limitée peuvent manquer de place.

Où se forme la file d’attente

Une file d’attente en entrée se forme lorsque la matrice ne peut pas accepter les paquets aussi vite que les entrées les fournissent. Avec une file FIFO par entrée, le blocage en tête de file retient un paquet derrière un paquet arrivé avant lui qui attend une sortie occupée, même si la sortie du second paquet est libre. Pour les grands commutateurs soumis à un trafic aléatoire uniforme, cette organisation limite le débit effectif à près de 58,6 % du débit de la liaison. Des files de sortie virtuelles distinctes à chaque entrée suppriment ce blocage particulier.

Une file d’attente en sortie se forme lorsque les arrivées destinées à une sortie dépassent le débit de sa liaison. Si trois paquets de même taille atteignent une sortie pendant le temps de transmission d’un paquet, un peut partir et deux attendent. Une matrice rapide n’accélère pas la liaison de sortie.

Quelle taille de tampon ?

La règle classique de dimensionnement est $B=\text{RTT}\times C$, avec la RTT en secondes et la capacité C en bits par seconde. Une RTT de 250 ms et une liaison à 10 Gb/s donnent 2,5 Gb, soit 312,5 MB. Avec N flux TCP de longue durée non synchronisés, la règle alternative $B=\frac{\text{RTT}\times C}{\sqrt{N}}$ donne 25 Mb, soit 3,125 MB, pour 10 000 flux. Ce sont des règles de dimensionnement correspondant à des conditions de trafic différentes, pas des garanties interchangeables pour toutes les files.

Les grands tampons peuvent provoquer du bufferbloat. Sur une liaison à 10 Mb/s, il faut environ 0,8 s pour évacuer près de 1 MB en attente devant un paquet admis : convertis les octets en 8 000 000 bits, puis divise par le débit. Avec le rejet en fin de file, un nouveau paquet qui atteint un tampon complètement plein est rejeté à la place.

Le rejet diffère de l’ordonnancement

La gestion du tampon détermine les paquets à rejeter ou à marquer. Le rejet en fin de file élimine les nouveaux paquets arrivant dans un tampon plein. Le rejet fondé sur la priorité élimine d’abord le trafic le moins prioritaire. La gestion active des files d’attente intervient plus tôt : RED augmente sa probabilité de rejet ou de marquage lorsque la longueur moyenne de la file augmente. Avec ECN, un routeur peut marquer la congestion dans un paquet IP compatible, ce qui permet aux extrémités de réduire la charge sans perdre ce paquet.

L’ordonnancement choisit le prochain paquet à transmettre :

• FIFO sert les paquets dans leur ordre d’arrivée.
• La priorité stricte sert la classe non vide la plus prioritaire, généralement en ordre FIFO dans chaque classe. Un ordonnanceur sans préemption termine le paquet en cours de transmission. Si le paquet 1 de faible priorité est en cours d’envoi lorsque les paquets 2 de haute priorité, 3 de faible priorité et 4 de haute priorité arrivent, l’ordre de départ est 1, 2, 4, 3.
• L’ordonnancement circulaire donne un tour d’envoi de paquet à chaque classe non vide et saute les files vides. Si A contient a1, a2, a3 et B contient b1, l’ordre de départ est a1, b1, a2, a3. Un ordonnanceur sans temps mort continue à transmettre dès qu’un paquet attend.
• L’ordonnancement équitable pondéré (WFQ) tient compte de la longueur des paquets pour se rapprocher d’un service pondéré bit par bit. Une classe qui a continuellement des paquets en attente reçoit environ son poids divisé par la somme des poids actifs, multiplié par le débit de la liaison. Des poids de 5:3:2 sur une liaison à 100 Mb/s donnent 50, 30 et 20 Mb/s lorsque toutes les classes sont actives. Si la troisième se vide, les autres reçoivent 62,5 et 37,5 Mb/s. Les poids donnent des parts, pas des plafonds fixes ; compter uniquement les tours d’envoi de paquets donne des parts de largeur de bande différentes lorsque les tailles des paquets diffèrent.

Ces mécanismes permettent aux opérateurs de donner la priorité à certains trafics, de les ralentir ou de les bloquer. La question de savoir si les fournisseurs peuvent traiter différemment des contenus ou des applications licites relève de la politique de neutralité du réseau. Ses règles juridiques dépendent du pays et de la date.

Un datagramme IPv4 se compose d’un en-tête suivi d’une charge utile, généralement un segment de transport. L’en-tête habituel mesure 20 octets ; les options peuvent le porter à 60. La Longueur totale est un nombre d’octets codé sur 16 bits, qui autorise jusqu’à 65 535 octets. Ethernet transporte couramment des paquets IP allant jusqu’à 1 500 octets.

Lis les champs dans leur ordre de transmission

Les options suivent ces champs lorsque IHL dépasse 5. Comme chaque mot IHL mesure quatre octets, IHL 5 signifie 20 octets et IHL 15 signifie 60 octets. Soustrais cette taille d’en-tête de la Longueur totale pour trouver la taille de la charge utile.

DSCP permet de classer le trafic et ECN transporte des informations de congestion. Chaque routeur diminue la TTL d’au moins 1. À son expiration, il rejette le datagramme et envoie normalement un message ICMP de dépassement de délai. La TTL commence couramment à 64, 128 ou 255. Le champ Protocole identifie TCP (6), UDP (17), ICMP (1) ou IPv6 encapsulé (41) ; il n’identifie pas un port d’application.

Décode un en-tête complet

Considère ces octets hexadécimaux :

45 00 00 34 1C 46 40 00 40 06 32 2C C0 00 02 0A C6 33 64 14

45 donne la version 4 et IHL 5. La Longueur totale 0034 vaut 52 octets, ce qui laisse 32 octets de charge utile. L’Identification 1C46 vaut 7238. Le mot drapeaux/décalage 4000 positionne DF, met MF à zéro et donne un décalage de 0. La TTL 40 vaut 64, le Protocole 06 signifie TCP et la somme de contrôle est 322C. Les octets source donnent 192.0.2.10 et les octets de destination 198.51.100.20.

Calcule la somme de contrôle de l’en-tête

Mets à zéro le champ de somme de contrôle et additionne les mots de 16 bits en arithmétique à complément à un. Reporte chaque retenue au-delà du bit 16 sur le bit de poids faible, puis inverse les bits.

Pour cet en-tête, les mots sont 4500 0034 1C46 4000 4006 0000 C000 020A C633 6414. Leur somme ordinaire est 0x2CDD1. Le report donne 0xCDD1 + 0x0002 = 0xCDD3 ; l’inversion donne 0x322C. La vérification inclut la somme de contrôle enregistrée et produit 0xFFFF lorsqu’aucune erreur n’est détectée. Abaisser la TTL de 64 à 63 transforme 4006 en 3F06 : la somme de contrôle mise à jour est donc 0x332C.

La somme de contrôle ne protège que l’en-tête IP. TCP vérifie séparément son segment et un pseudo-en-tête contenant les adresses IP, de bout en bout. La somme de contrôle UDP est facultative sur IPv4 ; zéro signifie qu’elle a été omise. Avec des en-têtes IP et TCP de 20 octets chacun, un datagramme de 1 500 octets transporte 1 460 octets d’application : le surcoût combiné des en-têtes est donc d’environ 2,7 %.

Le transfert ordinaire conserve les adresses IP source et de destination tout en remplaçant l’adressage de la couche liaison sur chaque liaison. Le NAT est une exception qui réécrit les adresses IP. Les options IPv4, comme l’enregistrement de la route, rendent l’en-tête variable et nécessitent souvent un traitement plus lent.

L’unité de transmission maximale (MTU) d’une liaison limite la taille des datagrammes IP qu’elle peut transporter. Lorsqu’un paquet IPv4 est trop grand pour la liaison suivante, un routeur peut le fragmenter si le drapeau DF n’est pas positionné. Chaque fragment a besoin de son propre en-tête IP : la MTU n’est donc pas entièrement disponible pour les données.

Détermine la taille des fragments

Pour un datagramme sans options :

1. Soustrais la longueur de l’en-tête de la longueur totale d’origine.
2. Soustrais un en-tête de la MTU pour déterminer l’espace disponible par fragment.
3. Arrondis cet espace au multiple de 8 inférieur pour chaque fragment autre que le dernier.
4. Découpe la charge utile en plaçant le reste éventuel dans le dernier fragment.
5. Divise par 8 le nombre d’octets de charge utile qui précèdent chaque morceau pour obtenir son décalage.
6. Ajoute un en-tête à chaque morceau pour obtenir sa Longueur totale ; positionne MF sur tous les morceaux sauf le dernier.

Les fragments partagent une valeur d’Identification. Avec la source, la destination et le protocole, elle identifie leur datagramme d’origine. MF signifie que d’autres fragments suivent dans l’ordre de la charge utile. Le décalage mesure la place dans la charge utile d’origine, jamais dans l’en-tête d’origine.

Un datagramme de 4 000 octets

Avec un en-tête de 20 octets et une MTU de 1 500, la charge utile est de 3 980 octets. L’espace disponible pour les données est de 1 480 octets, un nombre déjà divisible par 8.

Le deuxième décalage est égal à 1 480 divisé par 8. Le troisième est égal à 2 960 divisé par 8. La charge utile totalise toujours 3 980 octets, mais les trois en-têtes portent le total transmis à 4 040 octets.

Pour un datagramme de 2 400 octets avec un en-tête de 20 octets et une MTU de 1 000, l’espace de 980 octets est arrondi à 976. Les morceaux de données mesurent 976, 976 et 428 octets. Les longueurs totales sont de 996, 996 et 448 ; les décalages sont de 0, 122 et 244 ; les valeurs de MF sont 1, 1 et 0. Remplir chaque fragment autre que le dernier jusqu’à un total de 1 000 octets violerait la règle d’alignement des décalages.

Réassemble à destination

Seul l’hôte de destination réassemble le datagramme d’origine. Les fragments peuvent arriver dans le désordre ou être à nouveau fragmentés sur une liaison plus petite. La destination place les données selon leur décalage et déduit la position de fin du fragment dont MF vaut 0. Si ce dernier fragment arrive en premier, cela ne signifie pas que le réassemblage est terminé : tous les octets précédents doivent aussi être présents. Des fragments manquants finissent par provoquer l’expiration du délai de réassemblage.

La fragmentation ajoute des en-têtes et rend les pertes plus coûteuses : un fragment manquant empêche la livraison du segment de transport entier. Les numéros de port se trouvent dans le premier fragment, ce qui complique le filtrage et le NAT pour les fragments suivants. Des fragments qui se chevauchent peuvent aussi créer des problèmes de sécurité.

Découvre la limite du chemin

Lorsque le drapeau ne pas fragmenter (DF) est positionné, un datagramme IPv4 trop grand est rejeté. Le routeur renvoie un message ICMP Destination Unreachable, type 3 code 4, indiquant que la fragmentation est nécessaire et donnant la MTU de la liaison suivante. La découverte de la MTU du chemin utilise cette réponse pour réduire la taille des paquets. Bloquer cette réponse peut créer un trou noir dans lequel les petits paquets passent, mais les grands disparaissent.

Pour TCP sur une liaison de MTU 1 500, avec des en-têtes IP et TCP de 20 octets chacun, la MSS des données est de 1 460 octets. Les routeurs IPv6 ne fragmentent jamais : ils renvoient un message ICMPv6 paquet trop grand afin que la source puisse réduire la taille de ses paquets ou les fragmenter elle-même.

Un hôte a besoin d’une adresse IP, d’un masque de sous-réseau ou d’une longueur de préfixe, d’une passerelle par défaut et d’adresses de serveurs DNS. Le protocole de configuration dynamique des hôtes (DHCP) fournit automatiquement ces paramètres. Sur un petit réseau, le routeur joue souvent le rôle de serveur ; un réseau plus grand peut utiliser un serveur dédié pour plusieurs sous-réseaux.

Discover, Offer, Request, ACK

DHCP utilise UDP, avec le port 67 pour le serveur et le port 68 pour le client. Un nouveau client n’a pas encore d’adresse et ne connaît pas de serveur : l’échange initial utilise donc la diffusion générale.

1. Discover : le client envoie un message de 0.0.0.0:68 vers 255.255.255.255:67. Un identifiant de transaction associe les réponses à cet échange et le message contient l’adresse MAC du client.
2. Offer : un serveur propose une adresse, une durée de bail et des paramètres. Plusieurs serveurs peuvent répondre.
3. Request : le client diffuse l’adresse et l’identifiant de serveur qu’il a choisis. Les autres serveurs ayant fait une offre peuvent voir qu’ils n’ont pas été sélectionnés.
4. ACK : le serveur sélectionné confirme le bail. Le client peut terminer la configuration et utiliser l’adresse.

Par exemple, un ordinateur portable rejoint un réseau dont le serveur DHCP est 192.168.1.1. L’offre est 192.168.1.101 avec le masque 255.255.255.0, la passerelle 192.168.1.1, le serveur DNS 192.168.1.1 et un bail de 86 400 s. Après avoir diffusé son message Request et reçu l’ACK, l’ordinateur dispose d’un bail de 24 heures et des paramètres nécessaires au trafic local et distant.

Un message Offer seul ne constitue pas une attribution achevée. Un NAK rejette une demande qui n’est plus valide, par exemple parce qu’elle concerne le mauvais réseau, et le client doit recommencer l’acquisition d’une adresse.

Conserve ou libère l’adresse

Un bail permet de réutiliser l’adresse après le départ d’un hôte. Avec les temporisateurs par défaut, le renouvellement commence à la moitié de la durée du bail : le client envoie un message Request en diffusion individuelle au serveur d’origine. Si le renouvellement échoue, à 87,5 % de la durée, il diffuse un message Request afin que tout serveur approprié puisse prolonger le bail. Pour un bail de 24 heures, le renouvellement et la réattribution commencent donc par défaut 12 et 21 heures après l’acquisition.

Si le bail expire sans prolongation, le client doit cesser d’utiliser cette adresse. Un client peut envoyer Release lorsqu’il quitte le réseau, tandis que Decline indique que l’adresse proposée est déjà utilisée. L’adresse attribuée lors d’une visite ultérieure peut être différente, car DHCP gère une réserve réutilisable et non une attribution permanente.

Joins un serveur sur un autre sous-réseau

Les routeurs ne transmettent pas le message de diffusion limitée du client comme du trafic ordinaire. Un agent relais DHCP sur le sous-réseau du client transmet le message à un serveur distant configuré. Son champ d’adresse de passerelle identifie le sous-réseau du client, ce qui permet au serveur de choisir la bonne plage d’adresses. Les réponses reviennent au client par le relais.

Le relais et la passerelle par défaut remplissent des fonctions différentes, même lorsqu’un même routeur assure les deux. Le relais transmet l’échange de configuration à un serveur distant ; la passerelle par défaut achemine le trafic de l’hôte configuré vers les autres réseaux. De même, le serveur DNS résout les noms et n’a pas besoin d’être le serveur DHCP.

Une adresse valide associée à une mauvaise passerelle par défaut peut quand même empêcher un hôte de joindre des destinations hors de sa liaison. IPv6 possède des mécanismes de configuration distincts, notamment SLAAC à partir des annonces de routeur et DHCPv6.

Les adresses IPv4 privées peuvent être réutilisées dans des réseaux indépendants. Les blocs privés sont 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16. Ils ne sont pas routés à l’échelle mondiale sur l’Internet public. La traduction d’adresses réseau (NAT) permet aux appareils dotés d’une adresse privée de communiquer à l’aide d’une adresse publique à la frontière du réseau.

Enregistre l’association avant de suivre la réponse

Les routeurs résidentiels effectuent couramment une traduction d’adresses réseau et de ports (NAPT). Le routeur modifie l’adresse source et le port de transport source d’un paquet sortant et enregistre l’association privée-publique. La paire de destination d’un paquet de retour est traduite en sens inverse. Il existe aussi un NAT un à un qui associe des adresses sans modifier les ports.

Un ordinateur portable à l’adresse 192.168.1.101:50123 se connecte à 203.0.113.80:443. Son routeur NAT a pour adresse publique 198.51.100.7 et attribue le port 40001 :

La table contient 198.51.100.7:40001 ↔ 192.168.1.101:50123. Si un téléphone à l’adresse 192.168.1.102 utilise le même port privé pour contacter ce serveur, le routeur peut lui attribuer le port public 40002. Le port public permet de distinguer le trafic de retour ; le port privé seul ne le permettrait pas.

La réécriture de l’adresse IPv4 modifie la somme de contrôle de l’en-tête. TCP et UDP, lorsque sa somme de contrôle est utilisée, couvrent aussi les adresses IP par l’intermédiaire de leurs pseudo-en-têtes : leurs sommes de contrôle doivent donc être mises à jour. Le NAPT réécrit aussi un port de transport. Le serveur voit normalement la source publique traduite, et non la source privée.

Les associations ont une durée de vie

Le trafic sortant crée généralement des associations dynamiques. Dans cette configuration de base, un paquet entrant non sollicité qui ne correspond à aucune association est rejeté. Pour rendre un service interne accessible, une entrée statique de redirection de port peut être installée, ou un hôte peut demander une association par UPnP ou Port Control Protocol. STUN aide un hôte à découvrir son association publique ; TURN relaie le trafic lorsqu’une communication directe ne peut pas être établie.

Les associations inactives expirent. Les exigences de comportement d’UDP prévoient un délai d’au moins deux minutes, cinq minutes ou plus étant recommandées. Du trafic de maintien de connexion peut préserver une association. Le champ de port de 16 bits fournit 65 536 valeurs numériques par protocole, mais les ports réservés et le fonctionnement des associations font que ce nombre ne garantit pas exactement autant de connexions simultanées.

Ce que le NAT résout et ce qu’il coûte

Le partage d’une adresse publique a prolongé l’utilisation d’IPv4. Les fournisseurs peuvent aussi utiliser le NAT opérateur, en attribuant souvent aux clients des adresses du bloc partagé 100.64.0.0/10. Une connexion résidentielle peut alors passer à la fois par le NAT domestique et par un NAT du fournisseur.

La traduction réduit l’accessibilité directe de bout en bout et complique les protocoles qui transportent des adresses dans le corps de leurs messages, comme SIP ou FTP en mode actif. Le NAT modifie aussi des champs de la couche transport. IPv6 répond à la pénurie sous-jacente par un espace d’adressage plus grand.

Le rejet par le NAT du trafic entrant sans correspondance n’est pas une inspection du contenu. Un programme malveillant peut ouvrir une connexion sortante par le même mécanisme d’association qu’un client légitime. La politique de pare-feu reste une fonction de sécurité distincte.

IPv4 possède des adresses de 32 bits, soit environ 4,3 milliards de valeurs possibles. L’IANA a distribué ses derniers blocs IPv4 du registre central en février 2011. IPv6 porte les adresses à 128 bits, soit environ 3,4 × 10³⁸ valeurs, et simplifie le traitement courant des en-têtes. La RFC 8200 spécifie son format de paquet de base.

Un en-tête fixe de 40 octets

Les champs totalisent 320 bits, soit 40 octets. La Limite de sauts joue le rôle de la TTL d’IPv4 : chaque routeur qui transfère le paquet la réduit de 1 et rejette le paquet lorsqu’elle expire. L’Étiquette de flux peut aider les routeurs et les répartiteurs de charge à traiter un flux de façon cohérente, par exemple en sélectionnant un chemin stable. Elle ne garantit pas de largeur de bande.

La Longueur de la charge utile exclut l’en-tête fixe mais inclut les en-têtes d’extension. Un segment TCP de 1 000 octets sans extension donne donc une Longueur de la charge utile de 1 000 et une taille totale de 1 040 octets. En revanche, la Longueur totale d’IPv4 comprend son en-tête.

Suis la chaîne des champs En-tête suivant

Le champ En-tête suivant identifie soit un protocole de la couche supérieure, soit une extension. Parmi ses valeurs figurent TCP 6, UDP 17 et ICMPv6 58 ; les types d’extension comprennent Hop-by-Hop Options 0, Routing 43, Fragment 44 et Destination Options 60. Le champ En-tête suivant d’une extension identifie ce qui la suit.

Pour un fragment créé par la source qui transporte 600 octets d’un segment TCP, un en-tête Fragment de 8 octets porte la Longueur de la charge utile à 608. L’en-tête fixe indique En-tête suivant 44 ; l’en-tête Fragment indique En-tête suivant 6. La taille totale du fragment est de 648 octets. Lire uniquement le premier champ En-tête suivant conduirait à confondre une extension avec le protocole de transport.

Ce qu’IPv6 supprime du transfert courant

IPv6 n’a pas de somme de contrôle de l’en-tête fixe : modifier la Limite de sauts ne nécessite donc pas de mise à jour de la somme de contrôle de l’en-tête réseau. Les contrôles d’erreurs des couches liaison et transport restent nécessaires. Les sommes de contrôle UDP sont normalement obligatoires sur IPv6, à une exception limitée près pour certains tunnels ; elles sont facultatives sur IPv4.

Les routeurs IPv6 ne fragmentent jamais. Un paquet trop grand est rejeté et déclenche un message ICMPv6 paquet trop grand ; la source réduit alors sa taille ou utilise un en-tête Fragment. Chaque liaison IPv6 doit prendre en charge une MTU IPv6 d’au moins 1 280 octets, avec une adaptation des couches inférieures si nécessaire. La fragmentation reste possible à la source.

Les options passent dans des en-têtes d’extension, ce qui maintient fixe la longueur de l’en-tête de base. Les deux adresses occupent 32 des 40 octets, soit 80 %. Pour une taille totale de 1 500 octets, l’en-tête IPv6 de 40 octets représente un surcoût d’environ 2,7 %, contre environ 1,3 % pour l’en-tête IPv4 habituel de 20 octets.

Notation des adresses et fonctionnement local

Écris les adresses sous forme de huit groupes hexadécimaux. Supprime les zéros initiaux d’un groupe et remplace une suite de groupes de zéros par « :: ». Ainsi, 2001:0db8:0000:0000:0000:0000:0000:0001 devient 2001:db8::1 ; 2001:db8::/32 est réservé à la documentation.

Les hôtes peuvent utiliser SLAAC avec les annonces de routeur ou DHCPv6. IPv6 utilise la diffusion de groupe à la place de la diffusion générale. ICMPv6 transporte les messages de découverte des voisins, qui remplace la fonction locale de résolution d’adresses d’ARP, ainsi que des retours d’erreur essentiels. L’espace d’adressage plus grand supprime généralement le besoin d’un NAT de partage d’adresses.

Un hôte utilisant uniquement IPv4 ne peut pas échanger directement des paquets IP avec un hôte utilisant uniquement IPv6. Chaque équipement de transfert doit comprendre le paquet qu’il traite : remplacer un protocole de la couche réseau exige donc un changement coordonné dans un immense réseau déjà installé. IPv4 et IPv6 coexistent par conséquent. Le petit réseau ARPANET a pu passer à TCP/IP le 1er janvier 1983 ; Internet ne peut pas répéter un tel basculement universel à une date unique.

Utilise les deux avec la double pile

Un hôte ou un routeur à double pile met en œuvre les deux versions d’IP et possède des adresses pour chacune. Le DNS peut renvoyer des enregistrements A pour IPv4 et AAAA pour IPv6. Le client peut alors se connecter avec une version prise en charge par les deux extrémités.

Happy Eyeballs évite une longue attente lorsqu’un chemin est défaillant en faisant se chevaucher les tentatives de connexion sur les adresses et les familles disponibles. La première tentative utilise généralement IPv6, puis une tentative IPv4 suit peu après. La connexion qui réussit est utilisée. La double pile ne traduit pas les paquets ; une connexion donnée utilise une seule version d’IP.

Transporte IPv6 à travers une portion IPv4

Un tunnel place un datagramme IPv6 complet dans une charge utile IPv4. L’en-tête IPv4 externe désigne l’entrée et la sortie du tunnel, et le Protocole 41 identifie IPv6 encapsulé. Les routeurs utilisant uniquement IPv4 peuvent transporter le paquet à l’aide de cet en-tête externe sans interpréter l’en-tête interne.

Supposons que l’hôte A, 2001:db8:1::10, envoie un paquet à l’hôte F, 2001:db8:2::20. Le routeur B, 192.0.2.1, est l’entrée du tunnel ; le routeur E, 198.51.100.2, en est la sortie. Les routeurs C et D situés entre eux ne traitent qu’IPv4.

B transfère le paquet IPv6, réduit sa Limite de sauts et ajoute l’en-tête externe de B vers E. C et D réduisent la TTL IPv4 externe lors du transfert. E retire l’en-tête externe, réduit la Limite de sauts interne lors du transfert vers F et transmet le paquet IPv6. Une Limite de sauts initiale de 64 arrive à F avec la valeur 62. Le tunnel agit comme une liaison IPv6 ; ses routeurs IPv4 internes ne consomment pas chacun un saut IPv6. La source et la destination internes restent A et F.

L’encapsulation occupe de l’espace. Avec un en-tête IPv4 externe de 20 octets et une MTU sous-jacente de 1 500, il reste au plus 1 480 octets pour le datagramme IPv6 interne entier. La tunnellisation est aussi utilisée dans les réseaux privés virtuels et les réseaux mobiles.

Traduis pour des extrémités incompatibles

NAT64 convertit les en-têtes entre IPv6 et IPv4 tout en conservant l’état de la traduction. DNS64 peut synthétiser une destination IPv6 à partir d’une adresse de serveur IPv4, souvent à l’aide de 64:ff9b::/96. Pour 192.0.2.33, les quatre derniers octets sont C0 00 02 21 en hexadécimal, ce qui donne 64:ff9b::c000:221.

Un client utilisant uniquement IPv6 envoie ses paquets vers cette adresse synthétisée. NAT64 envoie le paquet IPv4 correspondant au serveur, puis traduit la réponse en sens inverse. DNS64 fournit la destination utilisable ; NAT64 effectue la conversion des paquets. Certains réseaux d’accès mobiles utilisant uniquement IPv6 emploient cette configuration.

La traduction ne peut pas préserver toutes les caractéristiques : IPv4 n’a pas d’équivalent direct de l’étiquette de flux IPv6 ni de sa structure d’en-têtes d’extension. Un tunnel préserve un paquet dans une enveloppe, tandis que la traduction modifie sa représentation selon le protocole.

Le déploiement reste inégal selon les réseaux et les pays. Un hôte qui acquiert IPv6 n’obtient pas une compatibilité directe avec IPv4 ; il lui faut toujours la prise en charge d’IPv4 ou un chemin de traduction pour communiquer avec un service utilisant uniquement IPv4.

Le transfert généralisé étend la recherche fondée sur la destination à un modèle plus large qui associe un critère de correspondance à une action. Un commutateur compare les champs d’en-tête des paquets aux entrées et exécute l’action sélectionnée. Un même équipement peut servir de routeur IP, de commutateur Ethernet, de pare-feu, de dispositif de traduction ou de répartiteur de charge selon les règles installées.

Lis une entrée

Une entrée précise les champs de correspondance, la priorité et les actions. Elle possède aussi des compteurs, par exemple du nombre de paquets et d’octets correspondants et du temps écoulé depuis son installation. Un délai d’expiration pour inactivité supprime une entrée après une période sans correspondance ; un délai d’expiration absolu la supprime après un temps fixe depuis son installation, même si le trafic continue.

OpenFlow 1.0 fournit douze champs de correspondance : port d’entrée ; MAC source, MAC de destination, EtherType, identifiant de VLAN et priorité VLAN ; IP source, IP de destination, protocole IP et bits DSCP du type de service IP ; et ports source et de destination de transport. Ils couvrent plusieurs couches. La TTL n’est pas un champ de correspondance pris en charge dans cette version. Les versions ultérieures prennent en charge d’autres champs, notamment IPv6.

Un joker accepte n’importe quelle valeur dans son champ. Par exemple, la destination 10.2.. désigne 10.2.0.0/16. Si tous les champs sont des jokers, l’entrée correspond à tous les paquets. Une règle qui indique le port TCP 22 doit aussi comporter le critère de correspondance IP/TCP approprié afin que le champ de port de transport ait le sens voulu.

Résous les chevauchements

Pour des règles avec jokers qui se chevauchent, la priorité explicite la plus élevée l’emporte. La spécificité seule ne désigne pas le gagnant. OpenFlow 1.0 comporte une règle supplémentaire : une entrée entièrement exacte, sans champ joker, précède les entrées avec jokers. Une règle qui désigne une adresse IP exacte tout en laissant d’autres champs avec des jokers reste une entrée avec jokers.

Considère deux entrées dont tous les champs non précisés sont des jokers :

Un paquet TCP destiné à 10.2.0.5:22 correspond aux deux et est rejeté. Un paquet TCP destiné à 10.2.0.5:443 ne correspond qu’à l’entrée de transfert. Cela diffère de la recherche du plus long préfixe correspondant : l’entrée gagnante dépend de la priorité attribuée, pas de la longueur du préfixe de destination.

Exécute une action

Le transfert peut sélectionner une sortie, plusieurs sorties pour créer des copies, ou la remise au contrôleur. Une liste d’actions vide entraîne le rejet du paquet. Les actions de modification réécrivent les champs d’en-tête pris en charge, par exemple une adresse IP de destination et un port de transport, avant la retransmission du paquet.

Une absence de correspondance dans la table signifie qu’aucune entrée ne correspond. Dans OpenFlow 1.0, le commutateur envoie le paquet au contrôleur ; des conceptions plus générales de tables de flux peuvent configurer ce cas pour rejeter le paquet ou demander l’aide du contrôleur. Celui-ci peut installer une entrée afin que les paquets suivants restent sur le chemin local rapide.

La correspondance des flux lit les en-têtes. Examiner l’intérieur des charges utiles des applications constitue une inspection approfondie des paquets, fonction distincte que la correspondance OpenFlow ordinaire ne fournit pas. De même, OpenFlow est un protocole de contrôle des commutateurs, tandis que SDN est l’architecture plus large qui sépare le contrôle du transfert. Les langages de plans de données programmables comme P4 peuvent définir les en-têtes qu’un équipement analyse, ce qui étend la programmabilité au-delà d’une liste fixe de champs de correspondance.

Un commutateur peut appliquer correctement une règle alors qu’un paquet échoue plus loin sur le chemin. Les réseaux définis par logiciel (SDN) utilisent un contrôleur et des applications réseau pour coordonner le comportement de transfert de plusieurs commutateurs.

Sépare les rôles

SDN combine le transfert fondé sur les flux, la séparation des plans de données et de contrôle, des fonctions de contrôle extérieures aux commutateurs et des interfaces logicielles pour programmer le réseau. Une interface sud, comme OpenFlow, transmet les instructions entre le contrôleur et les commutateurs. Une interface nord permet aux applications réseau de demander un comportement au contrôleur.

Le contrôleur est logiquement centralisé : il présente un seul système de contrôle coordonné. En production, les systèmes peuvent répliquer ce contrôle sur plusieurs serveurs physiques pour le passage à l’échelle et la fiabilité. Un paquet déjà couvert par une entrée de flux est traité dans le commutateur sans aller-retour vers le contrôleur.

Construis un chemin commutateur par commutateur

Le trafic provenant de 10.1.0.0/16 sur s1 doit atteindre 10.3.0.0/16 par s2 et s3. Les autres champs étant des jokers, les entrées pertinentes pour le chemin sont :

• Sur s1 : entrée 1, source 10.1.0.0/16, destination 10.3.0.0/16 → sortie 4 vers s2.
• Sur s2 : entrée 2, source 10.1.0.0/16, destination 10.3.0.0/16 → sortie 3 vers s3.
• Sur s3 : destination 10.3.0.6 → sortie 1 vers cet hôte.

Chaque sortie doit mener à une liaison dont le commutateur récepteur possède une entrée compatible. Une entrée manquante peut produire un trou noir ; des entrées incompatibles peuvent envoyer les paquets dans une boucle. Utiliser la source comme critère en plus de la destination permet au trafic provenant de réseaux source différents de suivre des chemins différents vers une même destination. Une recherche fondée uniquement sur la destination ne peut pas faire cette distinction.

Utilise le même mécanisme pour plusieurs fonctions

Un pare-feu peut transférer le trafic de la source 10.3.0.0/16 avec la priorité 200 et rejeter tout le trafic avec la priorité 100. Ajoute une règle de rejet IPv4/TCP pour le port de destination 22 avec la priorité 300 afin de bloquer SSH même depuis le réseau source autorisé. Ce sont des règles avec jokers : leurs priorités explicites déterminent donc le résultat en cas de chevauchement. Inverser ces priorités permettrait à l’autorisation plus large de l’emporter sur le blocage SSH prévu.

Une entrée de transfert Ethernet peut correspondre à la MAC de destination 22:A7:23:11:E1:02 et utiliser le port de sortie 3 indépendamment des adresses IP. Une paire de règles de répartition de charge peut envoyer le trafic vers 10.4.0.0/16 provenant de la source 10.1.0.0/16 sur le port 3, et celui provenant de 10.2.0.0/16 sur le port 4, à condition que les deux chemins atteignent cette destination. La réécriture des adresses et des ports avant le transfert peut mettre en œuvre le comportement du NAT.

Distingue la correction locale de celle à l’échelle du réseau

L’inspection d’un commutateur ne prouve que la correspondance et l’action de ce commutateur. Pour vérifier un chemin, suis l’en-tête réel et le port d’entrée du paquet dans chaque commutateur, y compris les éventuelles modifications d’en-tête. Vérifie aussi le sens du retour lorsque l’application a besoin de réponses : installer un chemin aller n’installe pas automatiquement le chemin inverse.

SDN est utilisé dans les centres de données, les réseaux entre centres de données comme B4 de Google et les cœurs de réseaux cellulaires. Le contrôle logiciel et les commutateurs standards « boîte blanche » permettent aux opérateurs de modifier le comportement sans dépendre du cycle de développement des fonctions d’un équipement spécialisé d’un fournisseur. Le calcul des routes relève du plan de contrôle ; la comparaison avec les entrées installées reste une tâche du plan de données.

Un équipement intermédiaire est un appareil situé sur le chemin de communication qui fait plus que le travail standard de transfert d’un routeur IP ordinaire. La RFC 3234 comprend des fonctions comme la traduction, le filtrage et l’optimisation du trafic. Une même passerelle résidentielle peut combiner routage, NAT et pare-feu.

Pourquoi les opérateurs placent des fonctions sur le chemin

Le NAT partage les adresses. Les dispositifs de sécurité, notamment les pare-feu et les systèmes de détection d’intrusion, bloquent ou signalent le trafic selon les en-têtes ou le contenu. Les dispositifs destinés aux performances comprennent les répartiteurs de charge, les caches, les serveurs de diffusion de contenu et les optimiseurs de réseau étendu. Un paquet peut rencontrer plusieurs de ces fonctions au cours d’un même trajet.

Un répartiteur de charge présente une adresse de service unique aux clients et distribue les connexions entre les serveurs. Pour une connexion ordinaire avec état, les paquets doivent atteindre le même serveur cible. Un hachage du 5-uplet (adresse source, adresse de destination, port source, port de destination et protocole) peut rendre cette sélection cohérente. Choisir un serveur cible différent pour chaque paquet romprait une connexion dont l’état n’existe que sur le serveur sélectionné.

Ces fonctions utilisaient autrefois couramment des équipements fermés. Elles peuvent désormais fonctionner sur des commutateurs standards, sous contrôle SDN ou sous forme de virtualisation des fonctions réseau (NFV) : des mises en œuvre logicielles de fonctions comme le NAT ou les pare-feu sur des serveurs ordinaires. La NFV décrit la manière dont la fonction est mise en œuvre ; SDN décrit l’organisation du contrôle.

L’architecture en sablier IP

Internet comporte de nombreuses applications et de nombreux protocoles de transport au-dessus d’IP, ainsi que de nombreuses technologies de liaison et physiques en dessous. IP forme leur taille étroite commune. Une nouvelle application n’a pas besoin d’une couche réseau différente pour chaque technologie de liaison, et une nouvelle liaison n’a pas besoin d’une prise en charge distincte pour chaque application.

La tradition architecturale décrite dans la RFC 1958 place la connectivité au centre, utilise IP comme mécanisme commun et place une grande partie de l’intelligence aux extrémités. Les équipements intermédiaires ajoutent des fonctions à l’intérieur de ce chemin commun, épaississant la taille du sablier et faisant dépendre la communication de comportements qui dépassent le transfert IP ordinaire.

Applique l’argument de bout en bout

L’argument de bout en bout, présenté pour la première fois par Saltzer, Reed et Clark en 1981, pose la question de l’endroit où une fonction peut être mise en œuvre complètement et correctement. Si cela exige une connaissance de l’application disponible uniquement aux extrémités, une mise en œuvre aux extrémités reste nécessaire même lorsque le réseau fournit une version partielle.

Pour un transfert de fichier fiable, un acheminement sans erreur sur les liaisons ne suffit pas. Une erreur dans la mémoire d’un routeur, un bogue logiciel ou un problème de disque peut encore modifier le fichier. L’application réceptrice doit vérifier le fichier reçu dans son intégralité, par exemple avec une somme de contrôle convenue, et demander une correction si le résultat diffère. Une retransmission locale sur une liaison Wi-Fi bruitée peut néanmoins améliorer les performances en corrigeant rapidement les erreurs courantes. Elle ne remplace pas la vérification du fichier.

Le coût d’une dépendance aux protocoles actuels

Les équipements intermédiaires peuvent réduire l’utilisation des adresses, améliorer l’application des politiques de sécurité et accélérer l’acheminement. Ils peuvent aussi limiter la communication directe et provoquer une ossification : les équipements supposent un format de protocole connu et rejettent ou modifient les comportements inconnus. Un nouveau protocole de transport peut échouer même lorsque les logiciels des extrémités le prennent en charge.

QUIC utilise UDP pour traverser les NAT et les pare-feu couramment déployés, et chiffre la majeure partie des informations de transport afin que les équipements intermédiaires aient moins d’occasions de dépendre de leurs détails. Cette conception équilibre la facilité de déploiement et la possibilité d’évoluer. L’Internet actuel comprend des commutateurs programmables, des systèmes de diffusion de contenu et de grands centres de données ; la conception de bout en bout reste un guide pour déterminer quelles vérifications aux extrémités sont essentielles dans ce réseau plus complexe.