Routage réseau : routes statiques, OSPF et NAT

Un routeur relie différents réseaux IP et achemine les paquets selon leur adresse IP de destination. Un commutateur Ethernet transmet les trames à l’intérieur d’un réseau selon leur adresse MAC. Le plan de contrôle du routeur construit les routes ; son plan de données utilise ces routes pour acheminer les paquets.

Remise locale ou passage par la passerelle

Un hôte applique son propre masque de sous-réseau pour déterminer si une destination est locale. Depuis 192.168.1.10/24, 192.168.1.50 est locale : l’émetteur utilise ARP pour trouver l’adresse MAC de cet hôte. Le serveur 192.168.2.20 est distant, donc l’émetteur utilise sa passerelle, 192.168.1.1. La trame est adressée à la MAC de la passerelle, tandis que le paquet qu’elle contient est adressé à l’IP du serveur.

Les requêtes ARP restent dans leur domaine de diffusion. Les routeurs ne transmettent pas ces diffusions de couche 2 entre les sous-réseaux. Un commutateur de couche 3 peut assurer la même fonction de routage, en utilisant une interface virtuelle de commutateur (SVI) comme passerelle de chaque VLAN.

Suivre le trajet à travers deux routeurs

Le PC A est à l’adresse 192.168.1.10/24. R1 possède l’adresse 192.168.1.1 sur le réseau local et est relié à R2 par 10.0.12.0/30 : R1 est à l’adresse .1, R2 à l’adresse .2. L’interface de R2 sur le réseau local est à l’adresse 192.168.2.1/24, sur le même réseau que le serveur 192.168.2.20.

1. Le PC A envoie une trame à la MAC de R1 sur le réseau local. Son paquet a pour source 192.168.1.10, pour destination 192.168.2.20 et un TTL de 64.
2. R1 vérifie et retire la trame entrante. Il lit la destination, réduit le TTL à 63 et trouve une route vers 192.168.2.0/24 par 10.0.12.2.
3. R1 utilise ARP pour trouver la MAC de R2 sur cette liaison Ethernet. Il construit une nouvelle trame avec la MAC de sortie de R1 comme source et la MAC de R2 comme destination.
4. R2 retire cette trame et réduit le TTL à 62. Le réseau de destination est directement connecté ; R2 résout donc la MAC du serveur et envoie la dernière trame.

Les adresses MAC appartiennent à la liaison utilisée et changent à chaque routeur. Les adresses IP des terminaux restent les mêmes, sauf si NAT les traduit. Sur une liaison série point à point, la trame sortante utilise l’encapsulation de cette liaison et ne nécessite pas de résolution MAC. Sur Ethernet, IPv6 utilise la découverte des voisins et appelle son compteur limite de sauts.

Quand l’acheminement s’arrête

Un routeur rejette un paquet dont le TTL expire et envoie un message ICMP de délai dépassé. Cela limite la durée de vie d’un paquet pris dans une boucle de routage. La modification du TTL exige aussi une mise à jour de la somme de contrôle de l’en-tête IPv4 ; IPv6 ne possède pas de somme de contrôle d’en-tête.

Si aucune route installée ne correspond, y compris une route par défaut, le routeur rejette le paquet et renvoie normalement un message ICMP de destination inaccessible. Il ne diffuse pas par inondation une destination IP inconnue sur ses interfaces.

Une réponse effectue son propre trajet. R1 a besoin d’une route vers le réseau local du serveur, et R2 d’une route de retour vers celui du PC. Une route aller correcte ne suffit pas à elle seule pour que le ping réussisse.

Traceroute envoie des sondes avec des valeurs de TTL croissantes. Les réponses indiquent les sauts qui répondent. Une ligne de * signifie qu’aucune réponse n’est arrivée ; ce silence peut être dû à un filtrage, à une route manquante ou à un routeur qui ne répond pas. Examine les tables autour du dernier saut ayant répondu, puis continue à vérifier le chemin.

Une table de routage associe un préfixe de destination à une instruction d’acheminement. Un préfixe combine une adresse réseau et sa longueur, comme 10.1.3.0/24. L’instruction indique un routeur comme saut suivant, une interface de sortie ou les deux. Une route d’hôte IPv4 /32 ou IPv6 /128 couvre une adresse.

Identifier la source

Les routes directement connectées apparaissent lorsqu’une interface dotée d’une adresse est up/up et disparaissent lorsqu’elle passe à l’état down. Les routes statiques proviennent de la configuration. Les routes dynamiques proviennent des protocoles de routage. Cisco installe aussi une route d’hôte locale pour chaque adresse d’interface, afin de reconnaître le trafic destiné au routeur lui-même.

La légende de show ip route explique les codes présents sur cet équipement.

Décoder toute la ligne

O 10.1.3.0/24 [110/20] via 10.0.12.2, 00:12:44, GigabitEthernet0/1

Lis-la de gauche à droite. OSPF a fourni la destination 10.1.3.0/24. Les crochets indiquent la distance administrative, 110, suivie de la métrique, 20. Le saut suivant est 10.0.12.2, le temps écoulé depuis l’apprentissage de la route est 00:12:44 et l’interface de sortie est GigabitEthernet0/1.

La distance administrative évalue la source de la route. Une valeur plus faible est privilégiée lorsque différentes sources proposent le même préfixe. Une valeur de 255 empêche l’installation. La métrique mesure le chemin selon un protocole : coût OSPF, nombre de sauts RIP ou mesure EIGRP fondée sur la bande passante et le délai. Comparer un coût OSPF de 20 à une métrique RIP de 2 ne permet pas de savoir quelle source l’emporte ; les unités diffèrent.

Les entrées directement connectées et locales n’affichent pas de crochets :

C 10.0.12.0/30 is directly connected, GigabitEthernet0/1
L 10.0.12.1/32 is directly connected, GigabitEthernet0/1

La première permet d’atteindre le sous-réseau de la liaison. La seconde identifie l’adresse propre de R1. La route directement connectée a une distance administrative de 0.

Bien lire les en-têtes et la route par défaut

Une ligne telle que 10.0.0.0/8 is variably subnetted, 5 subnets, 3 masks regroupe les entrées qui la suivent. Elle ne fournit pas de saut suivant et n’est pas une route couvrant tout le /8.

La passerelle de dernier recours provient de la route par défaut installée. Par exemple, S* 0.0.0.0/0 [1/0] via 203.0.113.1 envoie à 203.0.113.1 le trafic qui ne correspond à aucune autre route. Si la passerelle de dernier recours n’est pas définie, les destinations situées hors de tous les préfixes répertoriés sont inaccessibles par ce routeur.

Interroger la table sur un cas précis

Utilise show ip route pour toute la table, show ip route static ou show ip route ospf pour une source, et show ip route 10.1.3.5 pour rechercher une destination. Une route configurée peut attendre en secours ou être inutilisable ; sa seule présence dans la configuration ne prouve pas qu’elle est installée.

show ipv6 route repose sur les mêmes principes. Une route locale a une longueur de /128, et un saut suivant OSPFv3 apparaît généralement sous la forme FE80::2 avec son interface de sortie. L’interface indique sur quelle liaison se trouve ce voisin local au lien.

La sélection d’une route comporte deux étapes : construire la table de routage, puis la consulter pour un paquet. Distinguer ces étapes évite l’erreur la plus courante : choisir une route statique couvrant une large plage plutôt qu’une route OSPF plus spécifique parce que la route statique a une distance administrative plus faible.

Construire la table

Un protocole de routage utilise sa métrique pour trouver son chemin préféré vers un préfixe. Si plusieurs sources proposent exactement le même préfixe, la distance administrative détermine la source qui fournit la route installée. L’adresse réseau et la longueur de préfixe doivent toutes deux correspondre pour que cette comparaison s’applique.

Pour 172.16.5.0/24, une route statique utilisable de distance administrative 1 est préférée à OSPF de distance 110 et à RIP de distance 120. Si cette route statique devient inutilisable et est retirée, OSPF peut fournir la route. Les métriques de différents protocoles ne peuvent pas être comparées comme si elles utilisaient une seule échelle.

Ce sont les valeurs par défaut de Cisco. D’autres constructeurs peuvent utiliser des valeurs différentes pour la préférence de route.

Choisir une route pour un paquet

La correspondance au préfixe le plus long utilise la route installée dont le préfixe est le plus long parmi ceux qui contiennent la destination. Vérifie que l’adresse appartient au préfixe avant de comparer les longueurs. Un préfixe long qui couvre une autre plage n’entre pas en compte.

Supposons que la table contienne :

Pour 10.1.1.200, les quatre préfixes correspondent : le /25 envoie donc le paquet à C. Pour 10.1.1.100, le test d’appartenance au /25 échoue : sa plage commence à .128. Le /24 l’emporte et envoie ce paquet à B. L’adresse 10.1.2.5 utilise A, et 192.0.2.10 utilise D.

À la borne, .127 utilise B et .128 utilise C. Écrire les première et dernière adresses d’un préfixe est utile lorsque le masque coupe un octet.

Considère maintenant une route statique 10.0.0.0/8 installée et une route OSPF 10.1.1.0/24 installée. Leurs préfixes sont différents, elles peuvent donc coexister. Le trafic vers 10.1.1.5 utilise le /24 d’OSPF ; le trafic vers 10.9.9.9 utilise le /8 statique.

Chemins de coût égal et IPv6

Le routage multichemin à coût égal (ECMP) permet à plusieurs chemins de métrique égale vers le même préfixe de partager le trafic, dans la limite du nombre de chemins configurée sur l’équipement. Quatre chemins constituent une valeur par défaut courante de Cisco IOS ; la limite prise en charge et la valeur par défaut varient selon la plateforme et le logiciel. Des coûts différents ne permettent pas de former un ECMP OSPF.

IPv6 utilise la même règle de recherche. Avec 2001:db8:acad::/48, 2001:db8:acad:10::/64 et ::/0, la destination 2001:db8:acad:10::25 utilise le /64. La destination 2001:db8:acad:20::1 utilise le /48 ; 2001:db8:ffff::1 utilise la route par défaut. L’ordre de la table ne remplace jamais la comparaison des préfixes.

Un nouveau routeur peut être configuré par sa console. Une fois l’adressage et l’accès distant sécurisé en place, SSH permet d’accéder à l’interface en ligne de commande par le réseau. Les noms des interfaces Cisco IOS et IOS XE varient selon le modèle ; GigabitEthernet0/0/0 est une forme courante.

Passer d’un mode de commande à l’autre

exit remonte d’un niveau ; end revient au mode EXEC privilégié. Saisis ? pour afficher les choix disponibles. Les abréviations fonctionnent tant qu’elles ne sont pas ambiguës, comme conf t. Depuis le mode configuration, do show ip interface brief effectue une vérification EXEC sans quitter ce mode.

Parmi les commandes globales figurent hostname R1, enable secret suivi d’un secret choisi, no ip domain-lookup pour empêcher les recherches de noms après une erreur de saisie et banner motd pour afficher un avertissement à la connexion.

Attribuer une adresse à une interface et l’activer

configure terminal
ipv6 unicast-routing
interface GigabitEthernet0/0/0
 description Link to R2
 ip address 10.0.12.1 255.255.255.252
 ipv6 address 2001:db8:acad:12::1/64
 ipv6 address fe80::1 link-local
 no shutdown
end

IPv4 utilise un masque en notation décimale pointée ; IPv6 utilise une longueur de préfixe. no shutdown met fin à la désactivation administrative. ipv6 unicast-routing active l’acheminement IPv6 et les annonces de routeur : attribuer des adresses IPv6 ne suffit pas à activer ces fonctions. Une interface sur laquelle IPv6 est activé possède une adresse locale au lien ; en définir une explicitement facilite l’identification du voisin.

Lire l’état d’une interface

show ip interface brief répertorie l’adresse et deux colonnes d’état. up/up signifie que les deux couches fonctionnent. administratively down/down nécessite no shutdown. down/down suggère un défaut physique, comme un câble débranché ou un équipement voisin éteint. up/down indique un problème de liaison de données, comme une incompatibilité d’encapsulation série. Utilise show interfaces pour les détails et show ipv6 interface brief pour les adresses et l’état IPv6.

Évite les sous-réseaux qui se chevauchent sur deux interfaces routées. Vérifie aussi qu’une adresse n’est pas placée sur le mauvais port et que les masques correspondent aux deux extrémités d’une liaison.

Router le trafic entre VLAN sur une seule liaison

La méthode router-on-a-stick utilise une liaison trunk sur le commutateur et une sous-interface du routeur par VLAN :

interface GigabitEthernet0/0/1
 no shutdown
interface GigabitEthernet0/0/1.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0/1.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0

Le port du commutateur doit transporter les VLAN 10 et 20 sur une liaison trunk 802.1Q. Les hôtes utilisent l’adresse de la sous-interface de leur propre VLAN comme passerelle. Le numéro dot1Q sélectionne le VLAN ; le suffixe correspondant de la sous-interface est une convention de nommage.

Les changements prennent immédiatement effet dans la configuration courante en RAM. copy running-config startup-config les sauvegarde dans la configuration de démarrage chargée au lancement. Effectue des tests avec les commandes show, ping et traceroute avant de sauvegarder les paramètres fonctionnels souhaités.

Une route statique est une instruction saisie par un administrateur pour atteindre un préfixe. Sa distance administrative Cisco par défaut est de 1. Elle ne nécessite pas de mises à jour de routage et convient à un petit réseau ou à un réseau avec une seule sortie. La maintenance de nombreuses routes individuelles devient plus difficile lorsque les chemins changent ; une route statique n’apprend pas d’elle-même un chemin de remplacement.

Configurer les deux sens

R1 atteint R2 par 10.0.12.0/30, avec .1 sur R1 et .2 sur R2. Le réseau local de R1 est 192.168.1.0/24 ; celui de R2 est 192.168.2.0/24.

Sur R1 :

ip route 192.168.2.0 255.255.255.0 10.0.12.2

Sur R2 :

ip route 192.168.1.0 255.255.255.0 10.0.12.1

La première adresse doit être l’adresse réseau de destination. La dernière est celle du voisin au saut suivant, et non celle de l’interface locale. La seconde route est indispensable pour que les réponses reviennent au premier réseau local.

Choisir la forme de la route

Une route avec saut suivant indique le voisin. Le routeur effectue une recherche récursive pour trouver l’interface qui permet d’atteindre ce voisin. Une route directement attachée n’indique qu’une interface de sortie. Elle fonctionne bien sur une liaison série point à point, où il n’y a qu’un seul voisin possible.

Sur Ethernet, une route qui n’indique que l’interface peut obliger le routeur à utiliser ARP séparément pour chaque destination et à dépendre du proxy ARP du voisin. Une route entièrement spécifiée indique à la fois l’interface et le saut suivant :

ip route 192.168.2.0 255.255.255.0 GigabitEthernet0/0/0 10.0.12.2

La résolution du saut suivant doit mener à un chemin de sortie utilisable. Une route fondée sur une interface dépend aussi de l’état actif de cette interface. Vérifie l’installation avec show ip route static ; une entrée installée peut se présenter ainsi : S 192.168.2.0/24 [1/0] via 10.0.12.2.

Modifier la portée de la destination

Une route d’hôte sélectionne une adresse IPv4 avec le masque 255.255.255.255 :

ip route 192.168.2.20 255.255.255.255 10.0.12.2

Elle l’emporte sur les routes réseau correspondantes, car /32 est plus spécifique. Une route agrégée fait l’inverse : elle couvre plusieurs réseaux. 10.2.0.0 255.255.252.0 représente 10.2.0.0/22, qui couvre les quatre réseaux /24 de 10.2.0.0 à 10.2.3.0. Sa dernière adresse est 10.2.3.255 ; 10.2.4.0/24 se trouve en dehors. N’agrège que les plages accessibles par le saut suivant prévu.

Configurer IPv6 et vérifier les pannes

Active ipv6 unicast-routing, puis utilise une longueur de préfixe :

ipv6 route 2001:db8:acad:2::/64 2001:db8:acad:12::2

Pour un saut suivant local au lien, indique sa liaison :

ipv6 route 2001:db8:acad:2::/64 GigabitEthernet0/0/0 fe80::2

Une adresse locale au lien peut se retrouver sur d’autres interfaces : l’adresse seule ne suffit donc pas. Les routes d’hôte IPv6 utilisent /128. Vérifie avec show ipv6 route static.

Si une route est absente, vérifie la saisie du saut suivant, son accessibilité, l’interface de sortie et la présence éventuelle d’une source préférée pour ce préfixe. Si elle est présente mais que le ping échoue, vérifie la plage couverte par la destination, la route de retour et les filtres. Une interface Ethernet peut rester active par l’intermédiaire d’un commutateur même lorsque le routeur distant tombe en panne. La route statique peut rester installée ; un suivi d’objet fondé sur des sondes peut détecter une panne au-delà de la liaison locale et la retirer.

Une route par défaut couvre toutes les destinations : 0.0.0.0/0 en IPv4 et ::/0 en IPv6. La longueur de son préfixe est nulle : toute route réseau ou route d’hôte correspondante l’emporte donc sur elle. Une route par défaut est utile à la périphérie d’un réseau, où de nombreuses destinations distantes partagent un même saut suivant.

Donner une sortie à un réseau d’extrémité

Un réseau d’extrémité possède un seul chemin vers les autres réseaux. Un routeur de bureau peut conserver les routes directement connectées de ses réseaux locaux et utiliser ces routes par défaut vers son fournisseur :

ip route 0.0.0.0 0.0.0.0 203.0.113.1
ipv6 route ::/0 2001:db8:ffff::1

Le saut suivant doit être accessible. Les nouveaux réseaux distants peuvent utiliser la même sortie sans nécessiter d’entrée statique distincte. La route par défaut installée fournit la passerelle de dernier recours.

La passerelle par défaut d’un hôte et la route par défaut d’un routeur interviennent à différents points du chemin. L’hôte envoie le trafic destiné à un réseau extérieur à son sous-réseau à sa passerelle locale. Ce routeur consulte sa propre table et n’utilise sa route par défaut que si aucune route plus spécifique ne correspond. Sur les équipements Cisco, ip default-gateway sert aux équipements qui n’effectuent pas de routage, comme un commutateur de couche 2 qui envoie du trafic d’administration. Un routeur qui effectue du routage utilise ip route pour sa route par défaut.

Garder une route de secours hors de la table

Une route statique flottante possède une distance administrative supérieure à celle de la route principale vers le même préfixe. Considérons deux liaisons utilisables vers un fournisseur :

ip route 0.0.0.0 0.0.0.0 203.0.113.1
ip route 0.0.0.0 0.0.0.0 198.51.100.1 5

La première utilise la distance administrative par défaut de 1 ; la seconde utilise la distance 5. Tant que les deux sont utilisables, seule la première est installée. Dès que la route principale est retirée, la route de secours devient la meilleure route par défaut disponible. Lorsque la route principale revient, sa distance administrative plus faible permet de la réutiliser.

Pour protéger la route OSPF 10.5.0.0/16, dont la distance administrative Cisco est de 110, utilise une distance plus élevée :

ip route 10.5.0.0 255.255.0.0 172.16.9.2 130

Omettre 130 donnerait à la route statique une distance administrative de 1 et en ferait la route principale. Veille aussi à utiliser le même préfixe. Une route de secours /24 incluse dans une route principale /16 l’emporterait immédiatement pour sa plage plus restreinte grâce à la correspondance au préfixe le plus long, même avec une distance administrative plus élevée.

Tester l’événement qui provoque le basculement

Une route de secours attend que la route principale quitte la table. La désactivation d’une liaison principale directement connectée peut la retirer, mais une panne distante au-delà d’un commutateur Ethernet peut laisser actives l’interface locale et la route. Le suivi peut retirer une route statique principale après l’échec d’une sonde. Un protocole dynamique peut retirer une route principale apprise après avoir détecté la panne du voisin ou du chemin.

show running-config | include ip route affiche les routes configurées, y compris une route de secours en attente. show ip route affiche les routes installées. Dans un laboratoire, note la table initiale, désactive l’interface principale et vérifie la route de remplacement ainsi que le chemin affiché par traceroute. Rétablis l’interface et confirme le retour de la route principale.

Un routeur périphérique peut diffuser sa route par défaut installée par OSPF avec default-information originate. Les routeurs internes peuvent alors apprendre leur sortie dynamiquement au lieu de nécessiter chacun une route par défaut saisie manuellement.

Un protocole de routage dynamique permet aux routeurs d’apprendre les préfixes distants et de réagir automatiquement aux changements. Les routeurs échangent des informations, sélectionnent des chemins et actualisent leurs choix après une panne. Cela consomme de la bande passante, des ressources processeur et de la mémoire ; les échanges de routage doivent aussi être protégés contre les fausses informations.

Retrouver une vue cohérente

Après une panne de liaison, les routeurs peuvent temporairement ne pas s’accorder sur les chemins accessibles. Certains ont reçu les nouvelles informations tandis que d’autres utilisent encore les anciennes routes. La convergence est le retour à une vue cohérente et correcte du réseau. Le temps de convergence mesure ce délai ; des paquets peuvent être rejetés ou des boucles de courte durée peuvent apparaître pendant la convergence.

Supposons qu’une succursale possède deux liaisons routées. Une route statique continue d’indiquer le saut suivant choisi jusqu’à ce que sa capacité à être utilisée change ou qu’un suivi la retire. Un protocole dynamique peut détecter la perte d’un voisin, diffuser le changement et calculer un autre chemin disponible. Il lui faut toutefois du temps pour détecter la panne et propager la mise à jour.

À l’intérieur ou entre les systèmes autonomes

Un système autonome (AS) est un ensemble de réseaux soumis à une même administration et à une même politique de routage. Les AS d’Internet possèdent des numéros d’AS. Un protocole de routage intérieur (IGP), comme RIP, EIGRP, OSPF ou IS-IS, assure le routage à l’intérieur d’un AS. BGP est le protocole de routage extérieur utilisé entre les AS sur Internet. Le BGP interne existe aussi ; il transporte les informations BGP à l’intérieur d’un AS.

Comparer les informations échangées

Un routeur à vecteur de distance s’appuie sur les informations fournies par ses voisins. RIP est l’exemple simple ; EIGRP est une conception avancée à vecteur de distance dotée de fonctions de rétablissement plus rapide.

Les routeurs à état de liens diffusent leurs annonces par inondation dans toute une aire. Chacun construit une base de données d’état de liens (LSDB) et exécute l’algorithme du plus court chemin d’abord (SPF), aussi appelé algorithme de Dijkstra, depuis sa propre position. Les informations de topologie partagées permettent à chaque routeur de calculer ses chemins indépendamment. La conservation et le traitement de cette carte exigent plus de ressources qu’un protocole simple à vecteur de distance.

BGP associe un chemin d’AS à une route. Lorsqu’un routeur voit son propre AS dans ce chemin, il peut rejeter une boucle. D’autres attributs facilitent les décisions fondées sur la politique de routage de chaque réseau.

La métrique change le sens du mot « meilleur »

RIP choisit le plus petit nombre de sauts entre routeurs. Il peut préférer un saut à 10 Mbps à deux sauts à 1 Gbps. OSPF utilise la somme des coûts fondés sur la bande passante ; avec une bande passante de référence qui distingue ces vitesses, il peut préférer le chemin plus rapide à deux sauts. EIGRP combine normalement la bande passante la plus faible du chemin avec le délai total. BGP utilise la politique et les attributs : son chemin préféré n’est donc pas nécessairement le plus rapide.

Les versions actuelles des protocoles transportent les longueurs de préfixe et prennent en charge VLSM et l’agrégation de routes ; c’est le routage sans classe. RIPv1 omettait les masques et utilisait l’adressage par classes. IPv6 utilise RIPng, EIGRP pour IPv6, OSPFv3, les extensions IS-IS ou BGP multiprotocole, en conservant l’approche de base de chaque protocole.

Choisis un protocole de routage selon la taille du réseau, ses équipements et la tâche de routage. La distance administrative d’un protocole exprime une préférence locale pour ses routes, et non une évaluation de sa vitesse de convergence.

Comparer les principaux choix

RIP autorise au maximum 15 sauts ; 16 signifie que la destination est inaccessible. RIPv2 envoie des mises à jour de routage périodiques toutes les 30 secondes à 224.0.0.9. Son maximum limité et sa convergence lente en font un choix peu courant pour un nouveau réseau d’entreprise. La limite de sauts compte les sauts entre routeurs, et non les hôtes connectés à un réseau local.

EIGRP a été développé par Cisco et publié dans la RFC informative 7868 en 2016. Il envoie des mises à jour partielles après les changements. Une route de secours sans boucle qui remplit les conditions requises est appelée successeur potentiel ; lorsqu’il en existe un, le routeur peut l’utiliser rapidement. Un réseau ne possède pas nécessairement une telle route de secours pour chaque destination.

OSPF est une norme ouverte. OSPFv2 transporte les routes IPv4, tandis qu’OSPFv3 prend en charge IPv6. Les aires organisent les grands réseaux OSPF autour de l’aire fédératrice 0. IS-IS est aussi un protocole à état de liens fondé sur une norme ouverte, courant dans les réseaux de fournisseurs. Il transporte ses messages de protocole directement sur la couche liaison de données, contrairement à OSPF qui utilise IP.

Les pairs BGP utilisent le port TCP 179. Le BGP externe relie différents AS ; le BGP interne distribue les routes BGP à l’intérieur d’un AS. BGP peut choisir un chemin privilégié par la politique de routage même si un autre comporte moins de sauts ou des liaisons plus rapides. Sa vérification des boucles dans le chemin d’AS et ses contrôles de politique conviennent aux échanges entre réseaux administrés séparément.

Découverte des voisins et mises à jour

OSPF, EIGRP et IS-IS utilisent des relations de voisinage, tandis que BGP établit des relations entre pairs. L’absence de messages Hello ou de maintien de connexion permet à ces protocoles de détecter les voisins perdus. RIP ne forme aucune adjacence : il reçoit des mises à jour périodiques et supprime par vieillissement les routes qui ne sont plus actualisées. Une route RIP manquante appelle donc des vérifications différentes de celles d’un voisin OSPF bloqué pendant l’échange des bases de données.

Adapter l’approche à la tâche

Un petit bureau doté d’une seule liaison vers un fournisseur peut utiliser une route statique par défaut : il n’existe aucun autre chemin interne à découvrir. Une entreprise multisite disposant d’équipements de plusieurs constructeurs peut utiliser OSPF. Une entreprise équipée uniquement de matériel Cisco peut choisir OSPF ou EIGRP. Une organisation qui possède son propre espace d’adressage public et deux fournisseurs peut utiliser BGP vers ces fournisseurs et un IGP pour les routes internes.

Distingue la préférence de source du fonctionnement des protocoles. La distance administrative Cisco de 90 pour EIGRP ne l’emporte sur celle de 110 pour OSPF que si les deux proposent le même préfixe. Cette comparaison ne dit rien du protocole qui possède le chemin physique le plus rapide ni de l’architecture la mieux adaptée à toute l’organisation.

OSPF est un IGP à état de liens fondé sur une norme ouverte. OSPFv2 transporte les routes IPv4 ; OSPFv3 prend en charge IPv6. Il fonctionne sur le protocole IP 89. En IPv4, l’adresse de multidiffusion 224.0.0.5 atteint tous les routeurs OSPF et 224.0.0.6 atteint les routeurs désignés ; IPv6 utilise FF02::5 et FF02::6.

Construire les routes par étapes

Un routeur découvre ses voisins avec des messages Hello, synchronise sa base de données d’état de liens, exécute SPF et installe les meilleures routes. La table des voisins enregistre les routeurs qui communiquent ; la LSDB enregistre la topologie ; la table de routage enregistre les chemins sélectionnés. Une fois synchronisés, les routeurs d’une même aire partagent la même vue de sa topologie, mais calculent les routes depuis leur propre position.

OSPF dans une seule aire place les interfaces participantes dans une seule aire. Tout identifiant d’aire valide peut servir pour un réseau à aire unique. L’aire 0 est courante, car elle peut ensuite servir d’aire fédératrice à une architecture multi-aires.

L’identifiant de routeur est un identifiant unique de 32 bits écrit comme une adresse IPv4. Cisco sélectionne d’abord un identifiant configuré explicitement, puis l’adresse IPv4 active la plus élevée d’une interface de bouclage, puis l’adresse IPv4 active la plus élevée d’une interface physique. La sélection a lieu au démarrage du processus. Une modification ultérieure de l’identifiant nécessite un redémarrage du processus ou un rechargement ; clear ip ospf process interrompt les adjacences.

Atteindre une adjacence complète

Sur les réseaux à diffusion et point à point, les valeurs par défaut sont un message Hello toutes les 10 secondes et une déclaration d’inactivité après 40 secondes sans message Hello. Les voisins doivent avoir la même aire, les mêmes intervalles Hello et d’inactivité et les mêmes paramètres d’authentification, des identifiants uniques et des interfaces participantes non passives. Sur les réseaux OSPFv2 à diffusion, les deux extrémités doivent aussi appartenir au même sous-réseau et utiliser le même masque. OSPFv2 point à point ne vérifie pas le masque lors du traitement des messages Hello. OSPFv3 utilise des adresses locales au lien et ne compare pas les préfixes globaux.

La séquence principale des états est Down → Init → 2-Way → ExStart → Exchange → Loading → Full. À l’état Init, un message Hello est arrivé. À l’état 2-Way, les deux routeurs se voient dans les messages Hello de l’autre. ExStart et Exchange commencent la synchronisation des bases de données ; Loading obtient les annonces manquantes ; Full signifie que la synchronisation est terminée. Une incohérence de MTU bloque souvent le processus à l’état ExStart ou Exchange. Deux DROTHER sur un segment à diffusion restent normalement à l’état 2-Way.

Les cinq types de paquets sont Hello, description de base de données, demande d’état de liens, mise à jour d’état de liens et accusé de réception d’état de liens. Chaque routeur émet une LSA de routeur de type 1 ; un routeur désigné émet une LSA de réseau de type 2 pour son segment partagé.

Calculer le coût du chemin complet

Le coût d’une interface est la bande passante de référence divisée par la bande passante de l’interface, avec un minimum de 1. Utilise les mêmes unités. La référence Cisco par défaut de 100 Mbps donne un coût de 10 à une interface de 10 Mbps, tandis que les interfaces de 100 Mbps, 1 Gbps et 10 Gbps ont toutes un coût de 1.

R1 peut atteindre le réseau local de destination à 1 Gbps de R3 par deux liaisons de transit à 1 Gbps, ou par une liaison directe à 100 Mbps. Avec la référence par défaut :

OSPF choisit la liaison directe. Définis auto-cost reference-bandwidth 10000 sur tous les routeurs pour utiliser une référence de 10 Gbps. Chaque interface à 1 Gbps coûte maintenant 10 ; l’interface à 100 Mbps coûte 100 :

Le chemin à deux sauts l’emporte maintenant. Inclus dans les deux totaux l’interface finale vers le réseau local de destination.

Le type de réseau OSPF détermine comment les voisins organisent une liaison. Ethernet utilise par défaut un réseau à accès multiple et à diffusion, même lorsque deux routeurs seulement y sont reliés. Un réseau point à point possède deux routeurs et ne donne pas lieu à l’élection d’un routeur désigné.

Pourquoi élire un DR et un BDR ?

Si chaque routeur d’un segment partagé devenait pleinement adjacent à tous les autres, le nombre d’adjacences augmenterait rapidement :

Avec cinq routeurs, cela représenterait 10 paires ; avec dix, 45. Un routeur désigné (DR) et un routeur désigné de secours (BDR) réduisent le travail d’échange. Chaque DROTHER devient pleinement adjacent à ces deux routeurs, tandis que les paires de DROTHER restent à l’état 2-Way. Cinq routeurs nécessitent alors sept adjacences complètes, et dix en nécessitent 17.

Les DROTHER envoient les mises à jour à 224.0.0.6, qui atteint le DR et le BDR. Le DR diffuse les mises à jour par inondation à tous les routeurs à l’adresse 224.0.0.5 et émet la LSA de réseau de type 2 du segment. Le BDR est prêt à prendre le relais si le DR tombe en panne. Ces rôles organisent l’échange des bases de données OSPF ; ils n’obligent pas les paquets des utilisateurs à passer par le DR.

Étudier une élection

Lors d’une nouvelle élection, la priorité OSPF d’interface la plus élevée l’emporte. Les priorités vont de 0 à 255 et valent 1 par défaut. En cas d’égalité, l’identifiant de routeur le plus élevé l’emporte ; une priorité de 0 rend un routeur inéligible aux rôles de DR et de BDR. Définis la priorité par interface avec ip ospf priority.

Quatre routeurs démarrent ensemble :

R3 devient DR grâce à sa priorité. R2 devient BDR, car son identifiant le départage de R1. R1 et R4 sont des DROTHER. L’identifiant élevé de R4 ne peut pas compenser sa priorité de 0.

L’élection est non préemptive. Si un routeur de priorité 200 rejoint le segment après l’établissement de ces rôles, il ne remplace aucun des titulaires. Si R3 tombe en panne, R2 passe de BDR à DR et un nouveau BDR est élu. Dans le groupe initial de quatre routeurs, ce nouveau BDR est R1.

Les rôles sont attribués par segment, et non à un routeur pour tout le réseau. R1 peut être DR sur une interface et DROTHER sur une autre.

Lire l’état et choisir un type de réseau

show ip ospf neighbor répertorie les identifiants, priorités, états, rôles, délais d’inactivité, adresses et interfaces des voisins. FULL/DR indique un routeur désigné pleinement adjacent. 2WAY/DROTHER peut correspondre à une relation normale entre deux DROTHER. show ip ospf interface GigabitEthernet0/0/0 indique le type de réseau, le DR et le BDR, les temporisateurs et le coût.

Sur une liaison Ethernet utilisée par exactement deux routeurs, configure ip ospf network point-to-point aux deux extrémités pour éviter l’élection et son délai d’attente par défaut de 40 secondes. Cette liaison ne nécessite pas non plus de LSA de réseau de type 2. Fais correspondre le type aux deux extrémités : une incohérence entre diffusion et point à point peut permettre d’atteindre l’état Full tout en empêchant l’installation des routes attendues, car les routeurs décrivent la liaison différemment.

Démarre OSPFv2 avec un identifiant de processus local, définis un identifiant de routeur unique et active OSPF sur les interfaces prévues. Les identifiants de processus sont des notations locales : R1 peut utiliser le processus 1 et son voisin le processus 7.

Activer OSPFv2 sur une liaison de transit et un réseau local

R1 possède 10.0.12.1/30 vers R2 sur G0/0/0 et 192.168.1.1/24 sur G0/0/1, reliée à son réseau local d’utilisateurs :

router ospf 1
 router-id 1.1.1.1
 network 10.0.12.0 0.0.0.3 area 0
 network 192.168.1.0 0.0.0.255 area 0
 passive-interface GigabitEthernet0/0/1

Une instruction network sélectionne les interfaces locales selon leurs adresses. Son masque générique contient des zéros là où les bits doivent correspondre et des uns là où ils peuvent varier. Soustrais un masque de sous-réseau contigu de 255.255.255.255 : le masque /30 255.255.255.252 donne le masque générique 0.0.0.3 ; /24 donne 0.0.0.255. Le masque générique 0.0.0.0 sélectionne une seule adresse d’interface précise.

Tu peux aussi placer ip ospf 1 area 0 sous chaque interface participante. L’interface du réseau local reste passive grâce à la commande du processus. Une interface passive annonce son sous-réseau mais n’envoie pas de messages Hello. Cela convient aux réseaux locaux reliés à des hôtes ; rendre l’interface de transit passive empêche l’établissement du voisinage.

Partager une route par défaut et définir les coûts

Un routeur périphérique qui possède une route par défaut utilisable peut l’annoncer :

ip route 0.0.0.0 0.0.0.0 203.0.113.1
router ospf 1
 default-information originate
 auto-cost reference-bandwidth 10000

Les routeurs internes apprennent une route par défaut O*E2. Sans route par défaut dans la table du routeur périphérique, la commande default-information originate ordinaire n’annonce rien ; always modifie ce comportement. Utilise partout la même bande passante de référence, en Mbps. Une commande d’interface telle que ip ospf cost 50 remplace le coût calculé de l’interface. Le paramètre d’interface bandwidth influe sur les calculs, pas sur la vitesse physique de la liaison.

Activer OSPFv3 pour IPv6

Les adresses IPv6 étant déjà présentes sur les interfaces :

ipv6 unicast-routing
ipv6 router ospf 1
 router-id 1.1.1.1
interface GigabitEthernet0/0/0
 ipv6 ospf 1 area 0
interface GigabitEthernet0/0/1
 ipv6 ospf 1 area 0

Rends aussi passive l’interface reliée aux hôtes dans le processus OSPF IPv6. OSPFv3 a toujours besoin d’un identifiant de routeur de 32 bits ; définis-le explicitement en l’absence d’adresses IPv4. Les voisins communiquent à l’aide d’adresses locales au lien.

Vérifier une étape à la fois

show ip protocols répertorie les paramètres du processus et les interfaces passives. show ip ospf neighbor vérifie la synchronisation. show ip ospf interface brief vérifie l’aire, le coût, l’état et le nombre de voisins. show ip route ospf affiche les routes O installées avec [110/cost]. Pour IPv6, utilise show ipv6 ospf neighbor et show ipv6 route ospf.

En l’absence d’adjacence, vérifie l’état up/up, la participation à OSPF, la couverture du masque générique, les paramètres d’interface passive, l’aire, les temporisateurs, l’unicité des identifiants et la correspondance des paramètres d’authentification. Les liaisons OSPFv2 à diffusion nécessitent aussi le même sous-réseau et le même masque. Un blocage en ExStart ou Exchange invite à vérifier la MTU ; les filtres doivent autoriser le protocole IP 89. Si les voisins sont Full mais que des routes manquent, vérifie l’annonce du préfixe distant, la correspondance des types de réseau et la présence éventuelle d’une source de distance administrative plus faible qui fournit déjà le même préfixe.

La traduction d’adresses réseau (NAT) réécrit les adresses lorsque les paquets passent entre un réseau interne et un réseau externe. Une table de traduction NAT enregistre les correspondances afin de pouvoir effectuer la traduction inverse pour les réponses. Les hôtes IPv4 privés peuvent ainsi communiquer au moyen d’adresses routées à l’échelle mondiale, tout en économisant l’espace d’adressage IPv4 public.

Les plages privées sont 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16. La deuxième plage se termine à 172.31.255.255 ; les adresses qui commencent par 172 ne sont pas toutes privées. Les organisations peuvent réutiliser ces plages en interne, mais l’Internet public ne les route pas.

Lire les quatre noms d’adresses

Interne et externe indiquent de quel côté se trouve l’hôte. Locale et globale indiquent de quel côté l’adresse est vue. Avec une traduction NAT classique de la source interne, les valeurs locale externe et globale externe sont identiques.

Choisir un type de correspondance

Le NAT statique attribue à une adresse interne une correspondance permanente un à un. Un serveur interne peut ainsi posséder une adresse externe fixe. Le NAT dynamique attribue à la demande des adresses provenant d’un pool. Un pool de six adresses sans surcharge peut servir six hôtes internes simultanément ; un septième doit attendre qu’une correspondance soit libérée.

PAT, aussi appelé surcharge NAT, permet à de nombreux hôtes de partager une ou quelques adresses publiques. Les ports distinguent les sessions TCP et UDP ; les requêtes ICMP utilisent des identifiants de requête. Le routeur peut modifier un port source pour éviter une collision. Les champs de port comportent 16 bits, mais les ports utilisables, les règles de réutilisation selon la destination et les ressources de l’équipement déterminent la capacité réelle en sessions.

La redirection de port, ou PAT statique, attribue à un service interne une correspondance fixe entre une adresse publique et un port. Par exemple, l’adresse publique 203.0.113.2:443 peut représenter le port TCP 443 de 192.168.1.20. D’autres services peuvent partager la même adresse publique grâce à des correspondances de ports différentes.

Suivre deux connexions

Les hôtes 192.168.1.10 et 192.168.1.11 se connectent tous deux depuis le port source TCP 51000 vers 198.51.100.80:443. PAT utilise l’adresse externe 203.0.113.2 :

La seconde correspondance évite une collision. Une réponse au port public 51001 revient à 192.168.1.11:51000. Le serveur externe reste 198.51.100.80:443 dans les deux colonnes d’adresses externes.

Traduction et protection ont des rôles différents

NAT n’est pas un pare-feu. Il modifie l’adressage ; un pare-feu applique des règles de sécurité. La traduction interrompt aussi l’adressage direct de bout en bout. Les applications qui placent des adresses dans leurs données, comme SIP ou FTP en mode actif, peuvent nécessiter des fonctions d’assistance ou de traversée de NAT. Les journaux de traduction aident à retrouver l’hôte interne à l’origine d’une connexion publique partagée.

Les hôtes IPv6 utilisent normalement des adresses globales sans NAT, les pare-feu assurant le contrôle du trafic. Les fournisseurs peuvent appliquer un NAT opérateur aux clients IPv4, souvent avec la plage partagée 100.64.0.0/10. Cette plage est distincte de l’espace privé RFC 1918 ; l’adresse externe d’un client peut donc encore se trouver derrière un autre équipement de traduction.

Une configuration NAT fonctionnelle nécessite les bons rôles d’interface, une sélection d’adresses internes, une règle de correspondance et des routes. NAT ne peut pas corriger l’absence de chemin vers le fournisseur ni l’absence de route de retour vers l’adresse publique de la correspondance.

Désigner les deux côtés

Supposons que G0/0/0 soit côté 192.168.1.0/24 et G0/0/1 côté fournisseur :

interface GigabitEthernet0/0/0
 ip nat inside
interface GigabitEthernet0/0/1
 ip nat outside

Les rôles décrivent le passage des paquets. Les inverser empêche la traduction prévue de la source interne.

Sélectionner un type de traduction

Pour une correspondance fixe un à un pour un serveur :

ip nat inside source static 192.168.1.20 203.0.113.5

Pour le seul service TCP 443 du serveur :

ip nat inside source static tcp 192.168.1.20 443 203.0.113.2 443

La traduction dynamique sélectionne d’abord les sources et définit un pool :

access-list 1 permit 192.168.1.0 0.0.0.255
ip nat pool PUBLIC 203.0.113.9 203.0.113.14 netmask 255.255.255.248
ip nat inside source list 1 pool PUBLIC

Le pool contient six adresses d’hôte, de .9 à .14, dans 203.0.113.8/29. Sans surcharge, six hôtes internes peuvent disposer simultanément d’une correspondance. Pour utiliser PAT avec ce pool, ajoute overload à la dernière commande.

Une autre solution courante utilise l’adresse de l’interface externe :

ip nat inside source list 1 interface GigabitEthernet0/0/1 overload

Ces règles dynamiques sont des solutions possibles pour l’architecture prévue. Ici, la liste de contrôle d’accès sélectionne le trafic à traduire : permit signifie traduire cette source. Ce n’est pas une règle de filtrage d’interface. Une source qui ne correspond pas peut sortir sans traduction et ne pas recevoir les réponses d’Internet.

Décoder une traduction

show ip nat translations peut afficher :

Pro Inside global        Inside local           Outside local        Outside global
tcp 203.0.113.2:51001     192.168.1.11:51000      198.51.100.80:443     198.51.100.80:443

L’hôte interne .11 utilise le port local 51000, mais apparaît à l’extérieur sur le port 51001. Les réponses destinées à ce terminal public sont retraduites vers .11. L’adresse et le port du serveur externe restent inchangés. Les entrées statiques permanentes peuvent afficher --- pour les champs que la correspondance n’utilise pas.

show ip nat statistics répertorie les traductions actives, les correspondances trouvées et manquées, les rôles d’interface et l’utilisation du pool. Génère du trafic avant de t’attendre à voir des entrées dynamiques. L’utilisation du pool, combinée à l’échec de nouvelles correspondances, aide à repérer un épuisement ; une correspondance manquée ne suffit pas à elle seule à en établir la cause.

Trouver la dépendance défaillante

Vérifie les rôles, la plage de sources de la liste de contrôle d’accès, la règle de correspondance et si overload était prévu. Vérifie ensuite la route par défaut du routeur et la route de retour du fournisseur vers l’adresse globale interne ou le pool. Les clients d’un serveur publié doivent utiliser l’adresse publique et le port associé.

Dans un laboratoire, debug ip nat affiche les événements de traduction. clear ip nat translation * efface les entrées dynamiques après un changement, mais interrompt ces sessions ; utilise cette commande uniquement lorsque cette interruption est acceptable. Les correspondances statiques restent configurées.

Un hôte IPv4 reçoit normalement une seule passerelle par défaut par configuration ou par DHCP. Si ce routeur tombe en panne, un autre routeur sur le même réseau local n’hérite pas automatiquement du paramètre de passerelle de l’hôte. Un protocole de redondance du premier saut (FHRP) permet aux routeurs de partager une identité de passerelle qui peut résister à la panne d’un routeur.

Garder la passerelle de l’hôte inchangée

Le groupe partage une adresse IP virtuelle (VIP) et une adresse MAC virtuelle. Les hôtes utilisent la VIP comme passerelle par défaut. Le routeur actif qui achemine le trafic répond aux requêtes ARP pour cette VIP avec la MAC virtuelle. Un routeur en attente ou de secours surveille les messages du routeur actif et prend le relais après la détection d’une panne.

Sur le VLAN 10, R1 possède 192.168.10.2/24 et R2 possède 192.168.10.3/24. Leur VIP HSRP est l’adresse inutilisée 192.168.10.1. DHCP fournit .1 comme passerelle aux hôtes, et non .2 ou .3.

R1 est actif avec une priorité de 110 ; R2 est en attente avec une priorité de 100. Si R1 cesse d’envoyer des messages Hello, R2 prend le relais selon le délai de maintien configuré. Il utilise la même MAC virtuelle et annonce le changement avec un ARP gratuit. Les commutateurs apprennent que la MAC se trouve sur le port de R2. Les hôtes peuvent conserver la correspondance entre la VIP et la MAC virtuelle déjà présente dans leurs caches ARP, même si certains paquets peuvent être perdus pendant la détection et le basculement.

Déterminer qui achemine le trafic après le rétablissement

La priorité classe les candidats ; un nombre plus élevé est privilégié. La préemption permet à un routeur de priorité supérieure de prendre le rôle actif à un routeur fonctionnel de priorité inférieure. Sans préemption, le routeur actif en place peut le rester après le retour du routeur préféré.

Supposons maintenant que l’interface de R1 sur le réseau local fonctionne encore, mais que sa liaison montante vers le fournisseur tombe en panne. R1 peut continuer à envoyer des messages Hello pour la passerelle alors qu’il n’a plus de chemin utile vers l’extérieur. Le suivi relie l’état de la liaison montante à la priorité de R1. Avec une diminution de 20 :

La priorité de 100 de R2 est supérieure à 90. Si la préemption est activée sur R2, il peut prendre le rôle actif. Une diminution de 10 seulement laisserait les deux routeurs à 100 ; cette égalité n’oblige pas le routeur actif actuel à abandonner son rôle. Choisis une diminution qui rend le routeur de secours strictement prioritaire après la panne.

Savoir ce que protège la passerelle partagée

Un FHRP échange des messages sur les rôles de passerelle, pas des informations de routage. Chaque routeur qui achemine le trafic a toujours besoin de routes utilisables. HSRP et VRRP ont un seul routeur qui achemine le trafic par groupe ; ajouter un second membre ne double pas la capacité d’acheminement de ce groupe. Des groupes distincts peuvent répartir différents VLAN entre différents routeurs actifs.

Pour HSRP, utilise une VIP distincte et inutilisée dans le sous-réseau local. VRRP prévoit un cas où le routeur propriétaire de l’adresse utilise sa véritable adresse d’interface comme VIP : cette règle d’adressage HSRP ne s’applique donc pas à tous les FHRP.

Les hôtes IPv6 peuvent apprendre plusieurs routeurs par défaut grâce à la découverte des voisins et passer de l’un à l’autre lorsqu’un routeur devient inaccessible. Ce processus natif peut prendre de nombreuses secondes avec les paramètres de détection par défaut. HSRPv2 et VRRPv3 peuvent aussi fournir des passerelles virtuelles IPv6 avec un basculement contrôlé et plus rapide.

Les protocoles de passerelle ont le même objectif, mais diffèrent par leur statut propriétaire, leurs valeurs par défaut et leur répartition de charge. Tiens compte de ces différences lorsque tu lis leur état : un routeur en attente de priorité supérieure est normal avec HSRP s’il ne peut pas exercer la préemption.

Comparer les rôles et les valeurs par défaut

HSRP envoie des messages Hello toutes les 3 secondes avec un délai de maintien de 10 secondes. La priorité va de 0 à 255 ; en cas d’égalité lors d’une nouvelle élection, l’adresse IP d’interface la plus élevée l’emporte. La version 1 prend en charge les groupes de 0 à 255, utilise l’adresse de multidiffusion 224.0.0.2 et la MAC virtuelle 0000.0c07.acXX, avec le numéro de groupe en hexadécimal. Celle du groupe 10 se termine donc par 0a. La version 2 prend en charge les groupes de 0 à 4095, utilise 224.0.0.102 et la MAC virtuelle 0000.0c9f.fXXX ; elle prend aussi en charge IPv6.

VRRPv3 est défini dans la RFC 9568. Son rôle d’acheminement est celui de routeur actif ; les anciennes commandes et documentations peuvent l’appeler master. La priorité 255 est réservée au routeur propriétaire de la VIP. En cas d’égalité des priorités, l’adresse IP principale la plus élevée l’emporte. Les annonces IPv4 sont envoyées à 224.0.0.18 avec le protocole IP 112, à un intervalle par défaut de 1 seconde. La MAC virtuelle est 0000.5e00.01XX, avec l’identifiant du routeur virtuel en hexadécimal.

L’intervalle d’inactivité du routeur actif VRRP correspond à trois intervalles d’annonce plus un délai de décalage. Avec une priorité de 100 et un intervalle d’annonce de 1 seconde :

Un routeur de secours de priorité supérieure a un délai de décalage plus faible et attend un peu moins longtemps.

La passerelle virtuelle active (AVG) de GLBP répond aux requêtes ARP pour une VIP avec différentes MAC virtuelles. Jusqu’à quatre routeurs virtuels de transfert actifs (AVF) se partagent le trafic des hôtes. HSRP et VRRP peuvent répartir le trafic entre plusieurs groupes, mais ne partagent pas ainsi l’acheminement au sein d’un même groupe.

Configurer un groupe HSRP

Sous l’interface de R1 sur le réseau local :

ip address 192.168.10.2 255.255.255.0
standby version 2
standby 10 ip 192.168.10.1
standby 10 priority 110
standby 10 preempt

R2 utilise .3, les mêmes version, groupe et VIP, ainsi que standby 10 preempt ; il conserve la priorité par défaut de 100. Les deux interfaces sur le réseau local doivent être activées.

Lire les rôles actuels

show standby brief peut afficher R1 ainsi :

Interface Grp Pri P State  Active Standby      Virtual IP
Gi0/0/0   10  110 P Active local  192.168.10.3 192.168.10.1

P signifie que la préemption est configurée ; local indique le rôle de ce routeur. Sur R2, State est Standby, Active est 192.168.10.2 et Standby est local. Les états HSRP comprennent Initial, Learn, Listen, Speak, Standby et Active.

Si les deux routeurs indiquent Active, vérifie la réception des messages Hello, le VLAN, le groupe, la version, les filtres et les liaisons. Un routeur en attente de priorité supérieure peut ne pas avoir la préemption activée. Si les rôles semblent corrects mais que les hôtes ne fonctionnent pas, vérifie que leur passerelle est la VIP. show vrrp brief fournit la vue d’ensemble équivalente pour VRRP. Choisis VRRP pour prendre en charge plusieurs constructeurs, HSRP pour une architecture Cisco ou GLBP lorsqu’un groupe Cisco doit partager l’acheminement.