La Forge - réseau

Le Réseau de zéro (partie 3)

2023-12-12T00:00:00+00:00

Les articles de la série

Bonjour à toutes et à tous 😀

Oui, plus personne ne l’attendait même plus moi ^^’

Voici venu le moment de la partie 3 qui sert de prologue à l’article sur wireguard.

Aujourd’hui nous allons nous poser une question:

Comment isoler efficacement des domaines de diffusion ?

Disclaimer:

Le principe de VLAN est une technologie qui a eu son implémentation avant sa standardisation.

Ainsi plusieurs différences peuvent apparaître dans les mise en oeuvres des principes.

Cet article n’est pas une préparation au concours Cisco, je vais donc rester vague dans les implémentations et ne parler que des concepts sous-jacents.

Les switchs que je vais utiliser tout au long de l’article sont des switchs managés, qui ont la capacité de faire plus de choses que leur homologues non-managés, mais ça se ressent également sur le prix à l’achat. 😝

Il existe également différent types de VLAN, cet article ne traitera que du VLAN de couche 2 associer à des ports.

Bien ces mises au point réalisées, on peut attaquer. ^^

Problématique

Pour illustrer ceci prenons le réseau physique suivant:

Il est composé de 4 machines et d’une passerelle

Un serveur web qui distribue du contenu vers internet
Une base de données pour ce même serveur web
2 postes de travail de comptabilité

Pour des raisons de confidentialité et de sécurité, nous souhaitons que les postes de comptabilité ne soient pas visibles depuis le serveur web qui est une machine connectée à internet et donc qui peut être un point d’entré pour des attaques malveillantes.

On créer alors un Réseau 1 qui contient le réseau accédant à internet (la BDD pourrait en être exclu). Ici en bleu.

Puis nous avons un second Réseau 2 qui contient exclusivement les ordinateurs du service comptabilité ainsi que la passerelle mais sans accès internet(ils n’en ont apparemment pas besoin ^^’).

La solution est alors de créér deux réseaux avec deux switchs différenciés

Mais alors, il faut deux switchs et deux switchs presque vides en plus.

Une solution serait de réussir à fusionner les deux en un seul.

Ainsi on économiserait de la féraille et de l’électricité pour les faire fonctionnner.

Seulement, nous avons un deuxième obstacle, le bâtiment est vertical.

le serveur web est à l’étage 2 ainsi qu’un des postes de compta
le reste des machines à l’étage 1, y compris la passerelle.

On comprend alors ici l’intérêt de fusionner les switchs, on a seulement besoin de 2 switchs au lieu de 4.

Le problèmes est qu’un switch n’est pas très intelligents, il n’isole pas, il met au contraire en relation.

Si l’on ne fait rien, les deux réseaux vont communiquer. Autrement dit le flood ARP atteindra les machines de la compta et elles seront donc visibles.

L’un de nos buts va être d’empêcher l’ARP de se diffuser anarchiquement dans nos réseaux.

VLAN

Le termes VLAN ou vlan, est l’acronyme de Virtual Local Area Network, autrement dit un réseau virtuel local.

Un peu comme plusieurs machines virtuelles tournent sur un même PC.

L’idée ici est d’avoir plusieurs réseaux logique sur le même hardware réseau.

Cela permet tout comme la virtualisation de réduire les coûts, cloisonner et avoir plus de flexibilité dans l’usage du matériel physique.

Pour cela il nous faut de nouveaux outils qui vont porter cette virtualisation.

Nous allons commencer par modifier ce qui circule dans le réseau physique.

Trames identifiées

Avant de commencer cette partie, voici un petit rappel, ceci se nomme une trame ou frame en anglais.

Ce sont les données qui transitent physiquement dans les câbles du réseau.

Pour le détails voir la partie 2.

Nous allons introduire une couche supplémentaire qui va nous permettre de rajouter de l’information sur la trame réseau.

Selon l’implémentation, soit c’est réellement une couche supplémentaire d’encapsulation dans le cadre de Cisco et de l’ISL, soit c’est un champ supplémentaire que la trame si on est dans le cadre de la norme IEE 802.1Q.

Pour des raisons de lisibilté des schémas, je ferai apparaître à part la trame et le tag, mais gardez à l’esprit que l’on reste dans la couche 2 ou de “liaison” du modèle OSI et TCP/IP.

Cette information s’appelle un identifiant, mais tout le monde appellera ça un tag, donc nous allons faire pareil. 😀

Nous nous retrouvons donc dans l’ordre avec:

le tag : que nous allons détailler
la trame : qui contient les informations pour le transfert dans le réseau
- addresse MAC de destination et de source
- type de trame : ARP, IP, …
la couche réseau:
- addresse IP
- ARP
le transport : permet la gestion des erreurs et l’acheminement des données
protocole : UDP, TCP, RTP, …
ports
les données

Maintenant que les présentations sont faites avec le nouveau venu dans la famille, nous pouvons détailler comment ce tag est créé et propagé.

Port tagging

Pour cela, nous devons revenir au matériel réseau.

Voici un switch, vu de plus près.

Il est composé de ports.

Jusqu’à présent le port d’un switch servait uniquement d’interface entre le switch et le réseau.

Le protocole ARP permettant d’identifier les hôtes connectés aux ports, mais pas de rôle actif à remarquer.

Nous allons remédier à cela. 😉

Pour cela nous avons besoin de rajouter des informations supplémentaire à nos ports.

Ces informations sont au nombre de 2:

Le PVID : Port VLAN IDentifier
Les actions associées à un TAG (elles peuvent être multiples)

La principale idée du PVID est que seule les ports qui ont le même PVID sont susceptibles de communiquer entre eux.

Les ports ne sont pas électriquement reliés, c’est un artifice de vulgarisation.

L’autre parti des informations supplémentaires sont les actions.

Elles sont au nombre de 2:

untagged
tagged

Nous allons voir en détail leurs fonctionnements.

Untagged

La première action untagged ou “non marquée”, a un nom qui est réellement trompeur.

Pour comprendre le fonctionnement, il faut dissocier ce qui se passe lorsqu’une trame rentre ou sort du switch.

Commençons par le sens de rentrée de la trame dans le switch.

Le dessin se lit de la droite vers la gauche, la trame vient du réseau et se dirige vers le switch.

Elle pénètre le switch par un port qui possède le PVID=2.

Ce port a pour action untagged, qui contrairement à son nom, fait l’exacte inverse, elle vient ajouter un tag qui vaut la valeur de 2, valeur héritée du PVID.

Ainsi la trame initialement sans tag sort du port côté switch avec un $tag=2$.

Dans le sens contraire, le untagged reprend sa signification et vient retirer le tag.

La trame précédemment marquée sort donc du switch non-marquée.

Tagged

Le deuxième type d’action est le tagged, qui à l’inverse signifie “marquée”.

Il faut voir l’action tagged comme une non-action.

Un port tagged acceptera une trame déjà identifiée. Et la propagera avec son tag.

Mais refusera les trames non-identifiées

Ou identifié par un tag non reconnu, ici le tag de la trame est 3 alors que le tag accepté est 2.

Il est à remarquer ici que le PVID n’est pas pris en compte.

Dans le sens contraire, c’est pareil, la trame tagguée le reste en sortie de port.

La question maintenant est: est-ce que l’on peut faire sortir des trames qui sont tagguées différement ?

Petit problème, je vous est dit précédement que seul les ports possédant un PVID commun peuvent discuter entre eux.

Or ici le PVID=2 ne peut accepter que des trames identifiées également 2.

La question sous-jacente est donc comment permettre d’accepter des trames tagguées différement ?

La réponse est d’avoir virtuellement plus d’un PVID.

Ainsi il est possible d’être relié à plus d’un VLAN et de propagé les trames identifiées sur le réseau.

Cette habilité va nous servir par la suite.

Pourquoi je dis “virtuellement” ?

En pratique, il n’y a qu’un seul PVID par port, celui-ci sert à tagger un trame dans le cas d’un port untagged.

Mais on peut conceptuellement dire qu’un port qui aurait plusieurs actions tagged possède virtuellement le PVID associé.

Sinon, il pourrait accepter des trames tagguées mais ne pourrait pas les renvoyer avec ces mêmes tags.

On aurait alors une communication à sens unique.

Quoi qu’il en soit, un port tagged sortira des trames marquées comme son nom l’indique.

Les types de ports

Le port tagging est un outil qui va nous permettre de construire des rôles spécifique à nos ports.

Avant de voir ces rôles, nous devons introduire le concept de matériel VLAN aware et de matériel VLAN unaware.

Le mot aware outre d’avoir rendu notre plus grand philosophe immortel, veut dire “être conscient de”. Dans notre contexte “vlan aware” veut donc dire: “être conscient d’être dans un VLAN”.

La plupart des matériels réseaux seront VLAN unawre, ils n’ont pas connaissance de l’existence du VLAN et ne savent pas les manipuler.

Dans cette catégorie se trouve les ordinateurs que l’on branche sur un switch.

A comprendre que les trames en entrée et sortie d’un switch qui est connecté à un appareil vlan unawre seront non marquées.

Port Access

Les matériels vlan unaware vont être branchés sur un type de ports appelés ports d'accès ou Access Port.

Pour les constituer nous utilisons l’action untagged des ports.

Voici donc nos configurations de ports.

Nous avons un port “bleu” qui possède un PVID=3 et donc qui appartient de fait au VLAN 3. Ainsi qu’un port “rouge” ayant un PVID=4 et donc dans le VLAN 4.

Une trame ARP arrive par le port le plus à gauche. Elle possède comme auparavant une addresse MAC source.

La trame est décodée et l’association entre l’adresse MAC et le port d’entrée est réalisée.

Mais contrairement à ce qui se passait dans la partie 2, la table n’est pas globale mais associée à un VLAN, dans le cas présent celui du PVID=3 du port “bleu”.

La deuxième différence est que la trame se retrouve identifiée avec le tag=3 dans le switch.

Le switch réalise alors la duplication de la trame ARP non plus sur tous les ports du switch, mais seulement ceux qui sont associés au tag de la trame ici $3$.

Ainsi seul les ports 2, 4 et 6 qui possède le PVID=3 transmettent une trame, mais du fait de l’action untagged qui leur est appliquée la trame est débarassée de son tag avant de rejoindre le réseau.

L’ARP fonctionnant ainsi, seul l’hôte qui est concerné par le paquet répond, et venant généralement d’un hôte vlan unaware, la trame de réponse ARP sera également non marquée.

Cette trame est alors décodée et la l’adresse MAC de source de la réponse ARP est analysée pour remplir la table de mapping entre les ports et l’adresse MAC.

Le port étant un port d’accès possédant un PVID=3, la trame de réponse ARP est identifiée par le tag=3.

Connaissant le port de destination du fait de la précédente identification lors de l’analyse de la requête ARP. La trame restée marquée dans son transit dans le switch, est acheminée vers le port 1.

Port 1 qui est toujours un port d’accès transfert la trame débarassée de son tag vers l’hôte vlan unaware qui avait fait la requête initiale.

Nous avons donc deux mondes: le réseau où sont connecté les appareils “unaware” et le monde du switch qui est vlan aware.

Pour résumer.

Le principe des ports d’accès est:

une trame en entrée sans tag se retrouve avec un tag en sortie, la valeur du tag ajouté est le PVID du port
une trame identifiée perd son tag en sortie

Point sécurité

Un port untagged refusera une trame déjà tagguée.

Cette précaution est réalisée pour ne pas “re-tagguer” une trame, ce qui peut conduire à des problèmes de sécurité.

Nous venons de régler le premier souci que nous avions: rendre invisible les serveurs du département de comptabilité aux yeux du serveur web.

Si celui-ci est compromis, le pirate lorsqu’il fera la découverte ARP du réseau ne sera pas en mesure de voir le service de comptabilité.

(il y a d’autres moyens et d’autres manières de sécuriser)

Il verra la base de données et la passerelle mais pas les autres machines.

Port Trunk

Par contre nous n’avons pas agi sur le fait que notre immeuble possède deux étages et donc deux switchs.

La solution naïve est d’utiliser deux ports par switchs pour faire transiter les données.

Mais on a alors un gaspillage de port et de câble, la virtualisation en prend un coup car on a autant de câble que de VLAN.

Ici, nous avons que 2 VLANs, mais avec 3 VLANs c’est 3 câbles et 6 ports qui partent en fumée.

Il serait plus élégant de tout faire passer par un même câble, ainsi seul deux ports et un câble serait mobilisé quelque soit le nombre de VLANs que l’on souhaite faire échanger entre les switchs.

Pour cela, nous allons nous servir des ports multiplement taggués.

Mais on peut grandement simplifier les informations car la liaisons PVID/tagged étant implicite, nous pouvons la remplacer par la notation trunk : X, X étant l’identifiant du VLAN que l’on souhaite faire transiter.

Ceci est appelé un Trunk port, dans le cas présent il accepte les VLAN 3 et 4.

On dézoom, notre port trunk sera le 7.

Une requête ARP atteint le port d’accès 5 qui possède le PVID=4, la trame est alors dupliquée vers les ports qui sont dans le VLAN 4.

Le port 3 enlève le tag.

Le port 7 par contre, ne fait rien, il transmet tel quel la trame identifié par le tag=4 qui part dans le câble connecté au port 7.

Dans le même temps on enregistre l’adresse MAC et on l’associe au port d’entré.

La trame de la requête ARP tagguée part donc en direction du second switch.

Elle rentre également par un port 7 qui est lui aussi un port trunk des VLAN 3 et 4.

Le port étant un trunk, la trame conserve son tag et est duppliquée sur tous les port qui ont le PVID=4.

Chacun de ces ports étant des ports d’accès, le tag est alors retiré avant d’être transmis dans le réseau.

Là encore, un seul repond.

On enregistre la correspondance de port.

Puis on fait transiter vers le port de destination qui s’avère être le 7.

Le port trunk fait alors son office et transmet la trame tagguée sur le câble de liaison.

Celle-ci atteint alors l’autre switch qui sait désormais que l’hôte cible de la requête ARP est sur le port 7. Il le note dans sa table.

La réponse ARP sort alors débarassée de son tag vers l’hôte de la requête.

VLAN natif

Petit ajout d’information en passant.

Que se passe-t-il si l’on a besoin de faire transiter des trames non-identifiées dans le trunk ?

Ce besoin peut exister dans le cas de vieille infrastructure ou de switch qui ne sont pas vlan aware.

Nous allons réserver un VLAN pour les trames non-identifiées.

Et comme nous sommes dans le cas d’avoir plus d’un PVID. On ne peut pas en dériver la valeur pour le untagged.

Nous sommes donc obligé de le spécifier explicitement.

Et tout comme la notation tagged/PVID n’est pas adaptée, la notion untagged n’est pas non plus représentative.

Et nous allons l’appeler native vlan à la place.

Via ce native vlan, les trames non-identifiées en entrée seront tagguées 1 et les trames avec le tag 1 en sortie seront dé-tagguées.

Nous avons donc deux mondes:

le monde unaware qui manipule les trames non-marquées
le monde aware qui est capable de manipuler des trames marquées

Et voilà avec ce deuxième type de port trunk on règle également la problématique de l’extension du VLAN tout en conservant une architecture physique qui ne dépend pas du nombre de VLAN.

Le voyage d’une trame dans un VLAN

Pour faire une synthèse des outils que nous avons vu, nous analyser ce qui se passe lorsque l’on communique avec le serveur dans le vlan depuis internet.

Ayant maintenant les termes et leur compréhension, nous pouvons annoter le schéma initial.

On se retrouve avec notre seveur web et la base de données connectée sur un port d’accès sur le VLAN 3.

Les postes de la comptabilité sont isolés dans le VLAN 4.

Les switchs sont sur un trunk acceptant les VLAN 3 et 4.

La passerelle est également vlan aware et donc possède une interface capable de manipuler et de comprendre les trames possédant des tags. L’interface réseau physique possède deux interfaces réseau virtuelles, l’une qui tag les trames pour le VLAN 3, l’autre pour le VLAN 4.

Seul l’interface sur le VLAN 3 est routée vers internet.

L’autre partie de la passerelle connectée à un internet n’est pas non plus vlan aware, et donc il n’y aura pas de trames identifiées venant ou partant sur internet.

Router signifie manipuler la partie “IP” du contenu de la trame, on verra en long en large et en travers le routing dans le prochain article de la série.

La trame arrive non tagguée depuis internet.

Cette trame réseau encapsule un paquet IP qui possède:

une addresse IP de destination : l’IP publique de la box internet de l’entreprise
une addresse IP de source : l’IP publique du client qui fait la requête sur le serveur web

La trame arrive sur la passerelle et désencapsule le paquet.

Une règle de routage sur la box redirige le paquet vers l’interface du VLAN 3.

Il se passe alors plusieurs choses qui se déroule dans cet ordre.

le paquet est encapsulé dans une trame réseau.
la trame reçoit l’adresse MAC du serveur web comme destination et la MAC de la passerelle comme source grâce à la table ARP de la passerelle.
la trame est également identifiée avec le tag 3
la trame sort du port trunk tagguée 3

Elle se déplace alors dans le câble qui relie la passerelle au switch taggué 3.

Le port trunk du switch appartenant au vlan 3, la trame est acceptée.

Le port acceptant étant un trunk, le tag demeure intact.

La table de correspondance du switch indique que le serveur web est sur le port 3 dans le VLAN 3.

La trame possède le tag 3, elle est donc dirigée vers le port 3.

Le port 3 est un trunk du vlan 3, la trame est donc transféré sur le réseau tagguée.

La trame tagguée arrive par le port trunk 2 du vlan 3, elle est acceptée.

La table de correspondance redirige vers le port 1.

Cette fois-ci, le port 1 est un port d’accès, la trame part donc vers le serveur web sans tag.

Le serveur web répond par une trame réseau ayant comme destination la passerelle encapsulant un paquet possédant l’IP public du client.

Le port d’accès avec le PVID 3, rajoute le tag 3 à la trame.

La table de correspondance dirige la trame tagguée vers le port 2 qui est un trunk du vlan 3.

La trame sort du switch 2 tagguée.

Elle fait le trajet de retour dans le câble qui relie les 2 switchs.

Atteint le port 3 qui est un trunk, la trame tagguée traverse le switch.

Sort tagguée de l’autre port trunk en direction de la passerelle.

La trame tagguée arrive sur l’interface virtuelle du VLAN 3.

Une autre règle de routage basée sur le fait que l’adresse IP de destination est sur internet redirige le paquet vers l’interface réseau côté internet.

La trame non tagguée part sur internet.

Bon voyage! 😀

Qualité de service

On a un petit peu de temps pour nous attarder sur l’autre bienfait de la virtualisation: rajouter de la logique et du service.

Prenons un réseau composé de laptop et de téléphones IP connecté à switch.

Les ports bleus sont dans le vlan 3 et les rouges dans le vlan 4.

Chacun de ces matériels sont vlan unaware et sont donc connectés à des ports d’accès et communiquent en trames sans tag.

La VOIP ou voix par IP est un type de données qui n’est pas gourmand en trafic, mais celui-ci doit rester extrêment stable durant la conversation.

Or nous sommes dans un monde ou la vraie parallélisation est quelque chose d’extrêment rare, très souvent l’unité de traitement réalise les opération séquentiellement mais suffisament vite pour donner l’impression que tout se déroule en parrallèle.

Le switch ne fait pas exception, bien qu’il existe des versions bien énervé qui réalise de la vraie parrallélisation.

Le notre n’en fait pas.

Ainsi un des laptop se met à réaliser du gros transfert de données, il va oblitérer la capacité de calcul du switch.

La voix va se voir hâchée et la discussion deviendra très difficile.

Comment résoudre cette situation ?

La réponse est d’ajouté plus de donnée pour priorisée les trames à traiter.

Nous avons déjà deux VLAN qui découpent le trafic.

Nous pouvons alors utiliser les ports dissociés pour leur donner un nouveau rôle de priorisation.

Lors du tagging, il sera alors possible de rajouter une indication de priorité.

Les trames du port rouge sont désormais 3 fois plus importante que les trames du port bleu.

Autrement dit le VLAN 3 à la priorité sur le VLAN 2.

Ainsi cette information de priorité doit être portée par la trame elle-même.

Pour cela le tag ne porte plus uniquement le VLAN ID mais également la priorisation.

Pour des raisons de lisibilité je simplifie la notation.

Voici le schéma (très simplifié) de principe d’un switch uniquement composé de port d’accès.

De haut en bas, nous avons:

l’entrée du switch qui vient tagguer la trame et la prioriser
la répartition en fonction de la priorité
l’unité de traitement qui réalise la commutation
le port de sortie qui retire le tag

Comme tout à l’heure nous pouvons faire le voyage des trames mais cette fois-ci dans le switch lui-même. 😀

Les trames arrivent non-identifiées du réseau, sont tagguées et priorisées en fonction du port d’entrée.

Elles sont alors réparties en fonction de leur priorisation dans ce que l’on nomme des files de priorités.

Dans la réalité ce sont plutôt des ring-buffers qui ont la capacité d’“oublier” les trames les plus anciennes pour ne pas engorger le système.

Je représente ici ces files par des réciptient, qui contiennent les trames de même priorité.

Le fonctionnement d’une file de priorité est que l’on traite toujours les éléments de plus haute priorité en premier.

Puis les priorités les plus faibles par la suite.

Ainsi, dès qu’une autre trame de priorité 3 porteur de VOIP arrive sur le switch elle sera traité le plus rapidement possible même si les trames du téléchargement continuent d’affluer.

Finalement la commutation est réalisée et les trames sort de leur port d’accès respectif non tagguées.

Le VLAN outre d’avoir permis d’isoler les domaine de diffusion entre les laptop et les téléphones IP a également permis de rajouter une information de priorité sur un trafic par rapport à un autre.

On nomme ceci la QoS (Quality of Service) ou qualité de service en français.

En série

Et une dernière choses avant de nous quitter.

Imaginez que vous soyez un peut ric-rac en termes de nombres de port disponible sur un switch et que chacun de vos collaborateurs veut disposer d’un téléphone IP.

Le téléphone peut tout à fait être vlan aware et envoyer des trames tagguées au switch.

On viendra alors connecter le laptop toujours vlan unaware derrière le téléphone.

Le téléphone ne sera alors pas connecté sur un port d’accès mais sur une sorte de trunk (la littérature n’est pas claire sur le nom à donner à ce type de port, j’ai lu parfois port hybride). Un trunk avec un vlan natif ici le 66.

Ainsi le laptop continuera de transmettre des trames non tagguées qui seront relayées par le téléphone.

Toute ces trames voyageront dans le même câble et ne mobiliseront qu’un unique port.

Conclusion

Paradoxalement cet article est celui où j’avais le plus de matière mais où les informations étaient également les plus contradictoires entres-elles.

J’espère ne pas avoir trop simplifier de choses pour le profit de la vulgarisation.

En espérant que vous ayez appris quelques petites choses.

Je vous remercie de votre lecture et je vous dis à la prochaine pour l’article du le routage de paquets. ❤️

Si vous avez des corrections à réaliser vous pouvez le faire via une merge request.

Lien vers la partie 2

Le Réseau de zéro (partie 2)

2022-01-27T00:00:00+00:00

Bonjour à toutes et tous :)

Chose promise chose due, voici la deuxième partie du prologue de l’article sur Wireguard.

Je vous jure un jour cet article verra le jour 🤣

Mais pour ça j’ai envie de creuser un petit peu les choses.

Et donc aujourd’hui, nous allons détailler la communication entre deux noeuds rouges d’un réseau.

Nous verrons plus tard comment un noeud rouge peut discuter avec un noeud bleu, c’est un poil plus complexe.

C’est parti ! 😁

L’adresse MAC

L’adresse MAC ou Media Access Control est un identifiant unique (en théorie 😛 ) qui est affecté à chaque interface du réseau.

Pour les révisions c’est ici.

Cet idenfiant se compose de 48 bits, généralement écrits sous forme hexadécimale.

En fonction des systèmes d’exploitation, la représentation peut-être différente.

Cette adresse est en quelque sorte la plaque d’immatriculation de votre interface réseau.

Nous allons donc pouvoir améliorer notre schéma en affectant non plus seulement une adresse IP à notre interface mais aussi une adresse MAC.

Pour m’épagner l’écriture complète des adresses MAC dans la suite des exemples. Je vais utiliser une notation simplifiée.

Ce qui nous permet d’écrire ceci:

Ceci est une machine possédant une interface eth0 qui a comme adresse IP 192.168.1.12 et comme adresse MAC .e6f1.

Adresse MAC de broadcast

Tout comme il existe une adresse IP de broadcast.

Cette adresse va être extrêmement importante par la suite. 😉

Le fonctionnement des switchs

Les ports d’un switch

Je vais révéler un terrible secret. 🧐

Un switch est incapable de comprendre une adresse IP. Les seules choses qu’ils connaissent sont les adresses MAC! 😮

Dans les faits, les switchs possèdent une table qui associe un port à une adresse MAC et donc extension l’ordinateur qui y est branché.

Par exemple, un ordinateur qui possède une adresse MAC .ae20 sur le port 1. Donnerait cette association.

port 1 -> .ae20

Et on peut avoir la même chose pour tous les ports qui y sont branchés.

port 2 -> .ef12
port 3 -> .6af1

Si on représente graphiquement ces associations:

Transmettre l’information

Lorsque l’ordinateur possédant l’adresse MAC .ae20 veut communiquer avec l’ordinateur qui a l’adresse MAC .ef12, il va se passer ceci.

Trame réseau

Pour permettre à notre message d’être compris par le switch nous avons besoin de lui rajouter des informations supplémentaires.

Le message composé de nos données et du bloc d’information indiquant entre autre, de l’adresse MAC de destination et de source est appelé une trame ou frame en anglais.

Ce bloc d’information supplémentaire par rapport aux données que l’on veut transmettre, se nomme un entête ou header.

Le voyage d’une trame

A l’état initial nous sommes ainsi.

Le switch connait tout le monde et l’ordinateur de gauche souhaite communiquer avec l’ordinateur de droite.

L’ordinateur de gauche génère une trame réseau, qui contient deux parties:

Les données à transmettre ( ici en blanc )
Les addresses MAC à usage du switch: ( ici en orange )
- de destination : DST
- de source : SRC

Ce message, sort alors de l’interface et suit le fil qui le conduit jusqu’au switch.

Le message arrive dans le switch par le port 1.

L’adresse MAC de destination du message est lue par le switch. Elle est détectée comme étant .ef12.

Le switch, grâce à sa table de correspondance, “sait” que le port 2 y est associé.

Il va alors créer un pont entre le port d’entrée 1 et le port de sortie 2.

Le message suit alors le “câble” ainsi créé pour atteindre la destination voulue.

Généralisation

Bien sûr, ce comportement fonctionne avec plus de 2 ports branchés.

Le PC possédant l’adresse mac .ae12 et branché sur le port 1 du switch envoie un message en direction de l’adresse mac .32a9.

Le switch connait le port sur lequel est branché la machine qui correspond à l’adresse mac .32a9.

Ici l’adresse mac .32a9 est associée au port 3.

Il réalise la jonction entre les ports 1 et 3.

Le message peut alors arriver à destination.

Broadcast réseau

Un peu plus haut dans l’article, je vous ai parlé de l’adresse mac de broadcast nous allons tout de suite voir sa spécificité.

Lorsque l’adresse MAC de destination est .ffff alors le switch a pour comportement de dupliquer le message sur l’ensemble des ports excepté celui d’entrée.

Ce processus se nomme innondation.

Il nous sera très pratique dans la suite de nos besoins.

Et les IPs dans tout ça ?

Mais allez me dire:

Moi quand je parle à une machine c’est par adresse IP et pas par adresse MAC

Et vous avez tout à fait raison ! 😁

En fait, le bloc données n’est pas ce qu’il semble être au premier abord.

Il n’est pas uniquement constitué des données veut transmettre. Nous avons, en autre, aussi “caché” l’adresse IP de destination.

Dont on peut simplifier l’écriture ainsi:

Ce qui nous permet de rajouter une couche d’information à notre message qui cette fois ci ne concerne plus l’adresse MAC mais l’adresse IP.

L’ensemble header IP et données est appelé un paquet.

Lorsque paquet transite sur le réseau, il est toujours inclu dans une trame et donc possède un header MAC.

Et mon port j’en fait quoi ? 🐖

Dans l’article précédent je vous avait parlé de la notion de port logique.

Qui consistait à contacter le service d’une machine au moyen d’un numéro.

On va voir comment ce numéro est défini dans les données transmises par un paquet.

Tout comme, lorque vous rédigez une lettre vous allez écrire l’adresse du destinataire sur le recto de l’enveloppe.

Et si vous désirez que ce destinataire puisse vous répondre vous avez la possibilité d’inscrire votre adresse sur le rabat de l’enveloppe au verso.

Port dynamique

Imaginons vous naviguez sur internet, vous souhaitez afficher twitter.com comme on l’a réalisé dans l’exemple de l’article précédent.

Vous allez recevoir une IP sur laquelle vous rendre et étant donné qu’il s’agit d’HTTPS, votre navigateur va s’y connecter avec le port normalisé 443.

Or, pour que twitter.com soit dans la capacité de vous répondre, il faut que votre ordinateur définisse un port de réponse.

Pour cela il va piocher un numéro aléatoirement choisi dans la liste des ports qui ne sont pas encore utilisé par une application de votre machine.

Sur un windows par exemple, cette plage port de réponse s’étend de 49152 à 65535.

On va par exemple choisir le 60816 pour notre exemple.

Segment

Pour stocker cette information de port, nous allons définir un nouvel header dans le paquet envoyé à twitter qui contiendra:

l’IP de destination : 104.244.42.129
notre propre IP : 82.109.194.218
le port lequel on souhaite communiquer : 443
le port de réponse sur lequel on invite twitter à nous répondre.: 60816
on désire communiquer en TCP

Voici le paquet ainsi créé:

Que l’on va lui aussi détailler.

Les données et leur information de ports sont appelés un segment.

Et d’ailleurs lorsque vous demandé l’adresse IP de twitter au serveur DNS vous avez aussi réalisé une requête, mais celle-ci UDP sur le port 53 de l’IP 1.1.1.1.

Ce qui nous donne ce paquet par exemple.

Ce paquet explique au serveur DNS sur quel port nous répondre lorsqu’il nous renverra l’IP de twitter.com, ici le 51203.

ARP

Dans la partie précédente, je vous ai expliqué que les switchs étaient incapables de comprendre ce qu’était une IP et donc de traiter un paquet.

Or, dans notre exemple nous avons défini des IP de destination et de source.

Quel mécanisme permet la construction de la trame nécessaire à l’acheminement au travers du réseau et plus particulièrement au travers des switchs ?

Ce mécanisme s’appelle l’ARP (Address Resolution Protocol) ou PRA (Protocole de Résolution d’Adresses). Mais personne n’emploie ce terme. ^^’

Table ARP

Chaque ordinateur possède une table d’association entre les adresses MAC qu’il connait et leur adresse IP correspondante.

Cette table est appelée la table ARP.

Problème à résoudre

Par exemple, si nous avons le réseau suivant:

Sur le dessin, j’ai représenté les tables ARP sont ici vides.

Dans notre exemple nous avons l’ordinateur 1 qui souhaite communiquer avec l’ordinateur 2.

Il connait l’IP de l’ordinateur 2, c’est l’adresse 192.168.10.13.

Notre ordinateur est donc capable de concevoir un paquet possédant les information :

d’IP de destination
d’IP source

Le souci est d’être capable de concevoir la trame qui permettra d’acheminer le message dans le réseau.

Tout l’objet du protocole ARP va être de trouver un moyen de remplir les points d’interrogations.

Fonctionnement

Pour obtenir l’adresse MAC associée à l’IP 192.168.10.13. L’ordinateur 1 va créer un paquet ARP.

Celui-ci possède un certain nombre de données dont:

HW_SRC: l’adresse MAC du demandeur: .ae12
IP_SRC: l’adresse IP du demandeur: 192.168.10.2
IP_TRG: l’adresse IP demandée: 192.168.10.13

Il ne possède pas de champ de données.

Pour qu’il puisse transiter dans le réseau, il lui faut une trame car souvenez vous les paquets ne sont pas compris par les switchs.

Pour constituer notre trame, nous allons nous appuyer sur l’addresse MAC de broadcast.

Ce qui nous donne la trame suivante:

Type de trame : ARP
Adresse MAC de source : .ae12
Adresse MAC de destination : .ffff

Cette trame ARP sort de l’interface de l’ordinateur 1 et se propage dans le réseau en suivant le câble en direction du switch.

Lorsque la trame arrive dans le switch par le port 1, il se passe une série d’actions.

Tout d’abord la trame est lue et on défini la destination qu’elle doit prendre.

Or, ici la destination est l’adresse de broadcast, on va donc procéder à une innondation réseau.

Il se passe également une seconde chose. La trame étant de type ARP, on vient lire le champ contenant l’adresse MAC de source, ici .ae12.

Et connaissant déjà de quel port provient la trame analysée, nous pouvons remplir la table association du switch.

La trame ARP est alors dupliquée sur l’ensemble des ports excepté le port 1.

Maintenant nous devons différencier 2 cas:

le paquet ARP est destiné à l’hôte ( cas de l’hôte 2 )
le paquet ARP n’est pas destiné à l’hôte ( cas de l’hôte 3 )

Paquet ARP ignoré

Voyons le cas de l’hôte 3. La trame ARP possédant l’adresse de MAC de broadcast est acceptée par l’interface de l’hôte 3.

Par contre l’adresse IP de cible du paquet ARP est différent de celui de l’hôte. Ne sachant pas quoi en faire il drop le paquet ARP sans se poser de question.

Paquet ARP accepté

Cette fois-ci, nous passons au traitement de notre paquet ARP par l’hôte 2 à qui le paquet ARP est réellement destiné.

Le paquet ARP ayant l’IP de destination, il est traité au lieu d’être ignoré contrairement au cas de l’hôte 3.

Le paquet ARP est alors lu et les informations de l’adresse de MAC de source ainsi que l’adresse IP de source sont utilisés pour compléter la table ARP précédemment vide.

Création de la réponse ARP

Pour répondre à la requête ARP l’hôte va devoir créer un nouveau paquet ARP qui va contenir les informations suivantes:

HW_SRC : sa propre adresse MAC : .f32a
HW_TRG : l’adresse MAC de l’hôte qui a envoyé la requête : .ae12
IP_SRC : sa propre adresse IP : 192.168.10.13
IP_TRG : l’adresse IP de l’hôte qui a envoyé la requête : 192.168.10.2

Remarquez que l’adresse de source a changé entre la requête et sa réponse. C’est normal les rôles sont inversés.

Il faut alors une trame recopiant ces information d’adresse MAC:

Cette trame se dirige alors vers le switch, via port 2.

La trame est alors analysée par le switch qui peut remplir sa table d’association avant de rediriger la trame vers le port 1 étant donné que l’adresse de destination est la .ae12.

Cette trame arrive dans l’hôte par l’interface qui possède l’adresse MAC de destination. La trame est accepte la trame est acceptée.

Le paquet ARP possède également l’IP destination correcte, ce qui permet de compléter la table ARP.

A l’issu de cet échange de paquets ARP entre les hôtes 1 et 2, nous retrouvons avec la situation suivante:

Les hôtes 1 et 2 connaissent les adresses MAC de l’un de l’autre.

De plus le switch, connait désormais les adresses MAC associées aux ports 1 et 2.

Envoyé un paquet IP sur le réseau

Imaginez que vous ouvriez un onglet dans votre navigateur et que vous tapiez l’URL https://192.168.10.13.

Que va-t-il se passer ?

A chaque fois que vous ouvrez un onglet, un nouveau processus est créé et un port lui est attribué. Ici par exemple, son port dynamique sera le 60816.

Lorsque le navigateur désire récupérer le contenu d’une page web sur un serveur, il va venir définir un message qui aura cette forme:

GET / HTTP1.1

Ceci permet de récupérer la page à la racine du serveur.

Nous avons ainsi notre brique DATA.

Nous pouvons aussi créer le segment TCP correspondant car nous savons:

Que HTTPS utilise le TCP
Que le port de destination du protocole HTTPS est 443
Que le port le port dynamique affecté à l’onglet est 60816

Nous connaissons:

Notre IP : 192.168.10.2
L’IP de destination : 192.168.10.13

Nous pouvons créer le paquet correspondant.

Rappelez-vous que notre paquet va devoir traverser un switch qui ne comprend pas la notion d’adresse IP.

Nous devons absolument définir une adresse MAC de destination.

Fort heureusement, la vie étant bien faite nous avons détaillé le fonctionnement du protocole ARP.

Qui comme par hasard nous permet de récupérer l’adresse MAC associée à une adresse IP. C’est fou les coïcidences, hein ?! 🤣

Grâce au protocole ARP, nous avons capacité de récupérer cette adresse MAC de destination, qui est désormais est stockée dans la table ARP de l’hôte.

Nous savons désormais que l’hôte qui possède l’IP 192.168.10.13 a pour adresse MAC .f32a.

Nous pouvons ainsi compléter la trame avec la destination.

Ouf! On a enfin notre trame prête à être propager dans le réseau !! 🥳

Notre trame arrive sur le port 1 du switch, son adresse MAC de destination est alors lue.

Le switch va alors commuter la trame vers le port 2.

La trame arrive alors à l’intérieur de la machine 2 où elle y est analysée. La destination de la trame correspondant à l’adresse MAC de la machine. La trame est acceptée et le paquet transmis au reste du système.

Le paquet est alors transmis pour être à son tour analysé.

Remarquez, on ne perd pas les informations précédemment analysées, ça nous sera pratique dans un prochain article. ^^’

C’est au tour du segment de ce faire analyser pour lui affecter une destination de processus.

Ici le port de destination est le *443 autrement dit le serveur HTTP.

(dans les faits c’est un petit peu plus complexe que ça mais faut bien garder de la matière pour un autre article non ? 😁).

Nous avons finalement notre requête HTTP qui atteint le serveur Web.

GET / HTTP1.1

Celui-ci, maintenant, peut répondre:

<!DOCTYPE html>
<html>
  <head>
    <title>Ma super page</title>
  </head>
  <body>
    <h1>Bonjour !!</h1>
  </body>
</html>

Et donc on fait le circuit dans le sens inverse:

On défini à la destination du header de transport: le précédent port de source de la requête qui nous a été affecté pour que l’on puisse répondre.

Même combat pour l’adresse IP

Et finalement, la trame utilise aussi la table ARP pour venir définir sa destination.

La trame sort sur le réseau.

Le switch commute la trame à destination

On passe les étapes d’analyse et d’acceptation et on saute tout de suite à la redirection du message vers l’onglet qui a demandé la page:

<!DOCTYPE html>
<html>
  <head>
    <title>Ma super page</title>
  </head>
  <body>
    <h1>Bonjour !!</h1>
  </body>
</html>

Et voilà on a notre page !!! 🥳

Conclusion

Et voilà pour la première partie de l’explication de certains protocoles réseaux.

On a vu comment deux machines d’un même réseau étaient capable de communiquer.

Nous verrons dans l’article prochain, comment deux machines de deux réseaux différents peuvent le faire aussi.

Je vous remercie pour votre lecture et je vous donne rendez-vous pour la suite (date non fixée) ❤️

Le Réseau de zéro (Partie 1)

2021-09-23T00:00:00+00:00

Le Réseau de zéro

Bonjour à toutes et tous ! 😀

Cet article est un prologue à un autre article qui sera dédié au VPN Wireguard.

Les deux parties devaient à l’origine faire partie d’un même article.

Mais au vue de la longueur déjà conséquente de celui-ci. J’ai décidé d’en faire deux.

L’article que vous avez sous les yeux est donc une initiation au Réseau et à ses concepts de bases qui seront nécessaires à la compréhension du fonctionnement et de la configuration de Wireguard.

Je vous souhaites une bonne lecture. 😎

Réseau

Qu’est ce qu’un réseau ?

Un réseau est un ensemble de machines connectées. Ces machines s’échangent des informations aux moyen de protocoles de communications.

Il existe diverses façons de constituer un réseau.

Chaque noeud peut-être ce que l’on veut: un ordinateur portable, un serveur, un smartphone, un PC de bureau, une box internet et même une cafetière connectée si l’on veut ! 😀

De même les “traits” qui relient nos noeuds peuvent aussi être de natures diverses. Nous pouvons connecter nos machine avec un bon vieux câble ethernet, mais aussi en Wi-Fi ou 4G/5G.

Interface

Si l’on zoom sur un des noeuds nous allons observer ceci.

Les “rectangles colorés” constituent les interfaces de nos noeuds.

Une interface est une porte d’entrée/sortie d’une machine et lui permet de discuter sur le réseau.

Une même machine peut posséder plusieurs interfaces.

Pour les désigner on leur donne des noms:

eth0, eth1 : pour les branchement par câble
wlan0 : pour l’antenne Wi-Fi

En fonction des système d’exploitation ces dénominations peuvent varier.

Les commutateurs et les routeurs

Afin de permettre de connecter plusieurs machines entre-elles sans multiplier le nombre d’interfaces nécessaires.

Nous allons brancher l’ensemble des noeuds qui désirent discuter entre eux sur machine commune appelée commutateur ou routeur.

Ceux dits “intelligents”, cela veut dire qu’ils sont capables de comprendre les messages qui leurs sont transmis et de modifier le traffic en fonction de règles, on y retrouve majoritairement les routeurs dont les boxes internet.

Et ceux qui sont “non-intelligents”, il ne servent que de “passe-plats”, ils ne comprennent que la destination de ce qu’ils doivent transmettre. C’est ce qu’on appelle communément un switch.

Sous réseau

La grande force des réseaux est qu’ils peuvent discuter avec d’autres réseaux.

On appelle se procéder l'interconnexion.

Pour cela, un réseau 1 discute avec un réseau 2 en utilisant comme intermédiaire un réseau neutre.

Très schématiquement, ici nous avons le fonctionnement d’Internet. Un ensemble de sous-réseaux communiquants.

Passerelle

Ce qui se passe à l’interconnexion entre réseau est aussi intéressante.

Zoomons un peu:

Nous avons une machine qui possède deux interfaces, une eth1 et une eth0. L’interface eth0 appartient au réseau d’interconnexion et l’interface eth1 à un autre réseau (bleu ou rouge).

Ce genre de noeud possédant des interfaces dans plusieurs réseaux est appelé une passerelle ou gateway.

Ici nous nous limitons à l’interconnexion de deux réseaux, mais il est possible d’en interconnecter bien plus sur une même passerelle.

Le protocole IP

Je vous ai dis que dans un réseau il y avait des messages qui transitaient sur les liaisons entre noeuds.

Mais un peu comme pour la Poste, il faut que l’on sache qui habite où.

C’est ainsi que l’on a créé le protocole internet ou IP.

Il existe plusieurs versions de ce protocole. Deux sont actuellement en usage:

l’IPv4 : très largement répandu
l’IPv6 : en cours d’adoption depuis 2008 (LOL 🤣).

L’IPv6 a été mise en place pour faire face à phénomène de raréfaction des adresses IPv4.

En effet il existe un nombre fini d’adresses, et comme chaque utilisateur doit posséder une adresse unique, comme dans la vraie vie avec la Poste pour recevoir son courrier. Plus le nombre d’utilisateurs sur internet a grandit plus le nombre d’adresses disponibles a diminué.

La principale différence entre la version 4 et la version 6 est le nombre de bits utilisé pour écrire l’adresse.

IPv4 => 32 bits
IPv6 => 128 bits

On va revenir sur cette notion de bit très vite.

Etant donné que l’on est pas encore prêt à utiliser l’IPv6 en 2021, je vais majoritairement vous parler de ce que je connais et utilise, l’IPv4.

Adressage IPv4

Une adresse IPv4 est composée de 4 octets séparés par des points.

On appelle cette notation, la notation décimale pointée d’une adresse IPv4.

Cette notation avec des points n’est valable que pour des humains, la machine elle le comprend comme des nombres et plus précisément comme des nombres binaires.

Les machines ne manipulent pas de chaines de caractères car leur traitement est lent et couteux en ressources.

Pour ceux qui aurait des lacunes avec cette notation, je vous propose cette excellente ressource.

Un octet est un paquet de 8 bits, et un bit est la brique élémentaire de l’informatique permettant de représenter absolument tout lorsque l’on manipule des données en memoire.

La notation décimale existe afin d’être plus facilement manipulée par des humains.

Si l’on devais écrire la même adresse du point de vue de la machine on aurait plutôt ceci.

11000000.10101000.00000001.00000001

Et encore ici, je vous conserve les séparateurs, la machine ne les voit même pas et donc si on se ramène à une valeur décimale notre adresse vaut 3232235777.

Une autre adresse comme 10.0.0.2 vaut 167772162 du point de vue de la machine.

Ce qui n’est pas très pratique à se rappeler pour nous pauvres êtres faits de chair et de sang. 😅

Masque de réseau

Je vous ai dit qu’un réseau est un ensemble de machines qui discutent entre elles.

Mais comment expliquer à un ordinateur ce qu’est un réseau et si oui ou non telle ou telle machine appartient à ce réseau ?

C’est tout le but d’un masque réseau.

Cela fonctionne un peu comme un indicatif de numéro national.

Un même numéro de téléphone correspond à différents usagers en fonction de leur indicatif national.

En réseau on va réaliser la même chose.

Ici en rouge nous allons avoir “l’indicatif du réseau” et en bleu “le numéro de l’usager”.

Notre “usager” étant la machine connectée au réseau.

On remarque que le dernier numéro peut-être identique d’une machine à l’autre mais ne pas correspondre à la même machine.

Toutes les machines possédant un même indicatif peuvent discuter entre elles.

En réseau, on va définir cet indicatif d’une manière un peu spéciale.

Comme vu précédemment sur la partie sur l’adressage la machine ne manipule que des nombres.

Comment faire pour définir que les machines 192.168.1.2 et 192.168.1.3 sont dans le même réseau mais pas la machine 192.168.9.4?

Les concepteurs de l’IPv4 ont créé un concept astucieux: le masque de réseau.

L’idée est de profiter des propriétés des nombres binaires et une en particulier appelée le ET binaire.

# Table de vérité
1 & 1 = 1
1 & 0 = 0
0 & 1 = 0
0 & 0 = 0

On va effectuer cette opération sur chaque bit d’une adresse.

La partie du haut est ce que l’on désire masquer et la partie du bas le masque.

Tout ce qui est à l’aplomb d’un 1 est conservé, sinon il sera transformé en 0.

Comme pour les adresses on peut définir nos masques avec une notation décimale pointée.

Entre les adresses 192.168.1.2 et 192.168.1.3, nous voyons que la racine commune est 192.168.1 qui n’est pas partagée par 192.168.9.4.

Cela semble une bonne méthode pour départager nos adresses.

Nous voulons conserver les 3 premiers octets de nos adresses et supprimer le quatrième.

Nous avons vu que les 1 des masques conservaient les données et les 0 les supprimaient.

Comme nous voulons conserver des octets complets, nous cherchons un masque constitué uniquement de 1.

A l’inverse le quatrième octet ne doit pas être conservé, on cherche un masque uniquement constitué de 0.

Prenons maintenant la notation décimale de ces 2 masques:

Et maintenant écrivons le masque complet:

masque = 255.255.255.0

Si l’on applique celui ci à nos adresses:

Nous n’avons plus qu’à comparer les adresses masquée entre elles.

Si elles sont identiques, elles appartiennent au même réseau et discutent entre elles. Sinon ce n’est pas le cas.

En faisant nos calculs de masques, on observe bien que les deux premières adresses sont dans le même réseau mais ce n’est pas le cas de la dernière.

Pour définir si une adresse à appartient ou non à un réseau on va comparer si l’adresse testée masquée est égale à l’adresse du réseau masquée.

On peut réaliser la même opération sur des adresses différentes, des masques différents et des réseaux différents.

Notation CIDR

Les informaticiens sont fainéants de nature et écrire des masques toute la journée n’est pas très enrichissant.

Cette situation fastidieuse a poussé les concepteurs de l’IPv4 à inventer une notation basée sur le nombre de 1 consécutif d’un masque.

Et donc pour notre réseau

adresse : 192.168.1.0
masque : 255.255.255.0

On écrira plutôt:

192.168.1.0/24

Remarque

Ce réseau peut s’écrire indifféremment 192.168.1.1/24 ou 192.168.1.8/24 ou 192.168.1.0/24, cela n’a pas d’importance. Seule compte l’adresse masquée.

Plage adressable

Maintenant que nous savons comment définir si une adresse appartient ou non à un réseau, il est temps de parler de plage d’adresses.

De la même manière que dans une rue avec une longeur défini. Le nombre de maisons et donc de numéros dans la rue est lui aussi fini.

Un octet est un paquet de 8 bits. Ce qui signifie que la valeur la plus basse qu’il peut prendre est 0 et la plus haute 255.

Si on reprend notre réseau 192.168.1.0/24 on obtient:

Deux adresses sont un peu spéciales:

192.168.1.0 : l’adresse du réseau, ne peut pas être utilisée par une machine
192.168.1.255 : l’adresse de broadcast, on y revient dans la suite, ne peut pas non plus être utilisée par une machine.

Tout le reste est appelée, plage adressage du réseau 192.168.1.0/24.

Bien-sûr on peut réaliser le même décompte des adresses possibles dans un réseau différent.

Adresse de broadcast

L’adresse de broadcast est l’une des deux adresses qui existent sur les réseaux mais qu’il n’est pas possible d’obtenir comme IP d’une machine.

Cette adresse est toujours la dernière de la plage du réseau.

On calcule cette adresse via une formule qui utilise deux opérateurs.

#La négation
~ 1 = 0
~ 0 = 1

#Le OU binaire
1 | 1 = 1
1 | 0 = 1
0 | 1 = 1
0 | 0 = 0

Par exemple:

Cette adresse est utilisée pour transmettre des informations à l’ensemble des machines connectées sur le réseau.

Lorsqu’un switch reçoit un message qui a pour destinataire l’adresse de broadcast, il retransmet le message sur tous les ports.

C’est pour cela qu’elle n’est pas utilisé pour adresser une machine en particulier car elle désigne toutes les machines du réseau par définition.

Les passerelles de sous-réseaux

Maintenant que nous sommes des champions du réseau il est temps de les faire parler entre eux. 😎

Si vous vous rappelez bien on a parlé des passerelles réseau plus haut.

Et bien c’est leur heure de gloire.

Nos passerelles possèdent 2 adresses IP dans deux sous-réseaux différents.

Une adresse dans le réseau bleu et une adresse dans le réseau vert.

C’est ainsi que fonctionne les boxes Internet, elles ont à la fois une IP dite publique qui leur permet de se connecter à Internet. Mais aussi une IP privée généralement 192.168.1.1 qui permet de communiquer avec des pareils de la maison.

Cette box internet est la passerelle de votre réseau domestique.

Pour l’instant les sous-réseaux ne communiquent pas entre-eux il manque un mécanisme permettant de transmettre les informations, du réseau bleu vers le réseau vert et inversement.

Routage

Ce mécanisme se nomme le routage.

Il consiste en une série de règles qui définissent comment les paquets entrants et sortants d’une passerelles doivent se comporter.

Ainsi que les échanges qui sont réalisés entre les interfaces de la passerelle.

Ports logiques

Sur une machine il tourne généralement plusieurs applications, le souci est de savoir à qui l’on doit remettre le message.

Pour reprendre l’exemple de la Poste. Chaque immeuble possède un numéro unique mais plusieurs appartements.

Ici le numéro d’immeuble serait l’IP de la machine et le numéro de porte, le port logique.

On défini ce couple de numéros par une notation standardisée, qui sépare l’adresse de la machine du numéro de port par un :.

Les numéros de ports sont en parti standardisés et correspondent généralement des applications bien définies.

Par exemple un serveur HTTP aura comme de port 80 et un serveur sécurisé HTTP, le fameux HTTPS, le 443.

Il existe une liste qui répertorie les numéros de port les plus connus.

Routage de ports

Maintenant que nous sommes capable de distinguer des messages ayant pour destination plusieurs applications situées sur une même machine.

Nous allons pouvoir router nos messages en fonction de nos besoins.

Par exemple rediriger tout le flux HTTP/S vers une machine A et les mails vers un machine B.

On a un flux d’entré de l’interface eth0 qui sont composé de messages tous adressés à l’IP 10.0.0.2 mais sur des ports différents.

Nous routons les messages pour qu’ils soient transmis vers la bonne destination.

les port 80 et 443 vers la machine 192.168.1.2
le port 25 vers la machine 192.168.1.3

Le port 22 n’étant routé nulle part, les messages sont supprimés et ne seront perdu.

A l’inverse tous les messages venant du switch sont librement renvoyés vers l’interface eth0.

Réseau étendu et local

La distinction entre réseau local (Local Area Network) et le réseau étendu (Wide Area Network) réside principalement dans sa taille en nombre de machines et en surface couverte.

Le premier va concerné des petits réseaux domestiques ou d’entreprise. Un petit milliers de machines dans le cas général.

Tandis que le second s’intéresse aux réseau à l’échelle d’une région, d’un pays, d’un continent ou même de la planète entière.

Le WAN le plus célèbre s’appelle Internet.

Comme nos machines sur notre réseau 192.168.1.1/24 notre réseau va lui aussi posséder une adresse dans WAN Internet.

Cette adresse est appellée IP publique, elle permet à l’ensemble des machines qui sont connectées à Internet de vous contacter et vous de pouvoir explorer Internet ! 😀

Si l’on schématise extrêmement grossièrement le fonctionnent d’Internet, on peut créer un schéma comme celui-ci:

Nous avons deux passerelle qui ont chacune deux interfaces: une bleu qui le rélie au LAN et une rouge qui le relie au WAN (Internet).

Le réseau de gauche possède sur Internet l’adresse IP publique 101.42.77.12 et le réseau droite 43.12.65.9.

Lorsque le réseau de gauche veut discuter avec des machines dans le réseau de droite, il adresse ses message sur l’IP 43.12.65.9.

Ensuite, en fonction des règles de routage définie sur la passerelle de droite, les messages arrivent à destination.

Si l’on veut faire l’inverse, il suffit d’adresser ses messages non plus à 43.12.65.9 mais à 101.42.77.12.

DNS

Nom de domaine

Avant de pouvoir parler de DNS nous allons devoir expliquer la notion de nom de domaine.

Je vous ai expliqué que la notation décimale des adresses IP était faite pour les humains, pour qu’il puisse se rappeller plus facilement que d’utiliser la notation binaire ou même entière.

Mais si vous demandez tata Jacqueline d’aller sur Google et qu’il faut qu’elle se rappelle de l’IP publique du serveur Google par exemple : 216.58.208.195. Il risque d’y avoir peu de personne qui retrouveront Google sur Internet.

C’est pour cette raison qu’a été créé le concept de nom de domaine.

Son principe de fonctionnement est associer une chaîne de caractères à une adresse IP.

Par exemple:

google.fr -> 216.58.208.195
facebook.com -> 157.240.14.35

On peut même avoir plusieurs IPs associées à un même nom de domaine.

twitter.com -> 104.244.42.129 et 104.244.42.193

Le problème c’est où stocké ces associations pour les mettre à disposition du reste d’Internet ?

C’est là qu’intervient le serveur de nom de domaine autrement appelé Domain Name Server.

Le serveur DNS

Est une machine comme une autre, située dans un LAN qui dispose comme tous les autres réseaux d’une adresse publique.

A ceci près qu’un serveur DNS possède un service qui écoute sur le port 53.

Ce service possède la table d’association entre les noms de domaines et les IP publiques dont on parlait tout à l’heure.

Il répond à l’ensemble des demandes venant de l’extérieur en renvoyant pour le nom de domaine demander, l’IP publique qui lui est associée.

Une autre différence est que l’on ne joint pas le serveur DNS par son nom de domaine mais par son IP publique. Sinon on se retrouverait dans le paradoxe de l’oeuf et de la poule.

Par exemple si un utlisateur situé dans un LAN, mettons une maison, souhaite se connecter à twitter.com.

Il va d’abord joindre le serveur DNS qu’il connait, ici le 1.1.1.1. Qui va lui répondre que l’IP publique du LAN contenant le site twitter.com se trouve à l’IP 104.244.42.129.

Il va ensuite faire une requête vers 104.244.42.129 pour atteindre le LAN de twitter.

TCP/UDP

Ce qui nous fais poser une autre question:

Comment fait-on pour s’assurer que les informations aillent bien au bon endroit ?

Dans cette partie on ne détaillera pas complètement le fonctionnement. Je voudrai juste que vous ayez l’intution de ce qui se passe.

Les réseaux communiquant au travers de IP utilise deux principales manières: le TCP et l’UDP.

UDP

L’User Datagram Protocol d’abord, c’est la manière la plus simple des deux d’acheminer un message.

Imaginez ça comme un pigeon voyageur, vous envoyez un message et c’est tout. Vous ne saurez jamais si ce message a bien été reçu par le destinataire.

Ce protocole est utilisé lorsque les messages sont répétés et peu importants.

Son intérêt est d’être rapide et peu contraignant. On envoie les messages et adviennent que pourra.

On l’utilise par exemple dans les jeux vidéos pour connaître la position d’un joueur lors d’une partie en ligne par exemple. On peut se permettre de perdre la position du joueur à la frame 1001 puisque la frame 1002 va corriger le souci.

TCP

Le second, le Transmission Control Protocol est plus à rapprocher à une discussion par talkie-walkie.

Il y a une notion de retour d’information, en anglais on nomme ceci acknowledgement (reconnaissance).

Ce qui si signifie que pour tout les messages qui vont être envoyés. Nous allons attendre un retour du destinataire qui va reconnaître qu’il a bien reçu le message.

Et si l’on veut une autre analogie, on peut rapprocher cela d’une lettre recommandée. L’accusé de réception fait foi du bon transport du message et de sa réception.

Par contre, tout comme dans la vraie vie, une lettre avec accusé de réception est plus lourde et si elle se perd en chemin ou que le destinataire n’est pas trouvée. Elle est renvoyé à l’expéditeur.

Expéditeur qui essaiera de renvoyer le message.

Ce protocole est utilisé dans le cas ou chaque message compte. La perte d’un message peut avoir des conséquence sur la cohérence de la communication.

Comme avec nos talkie-walkie, si la qualité de réception n’est pas bonne. Il va manquer des phrases ou des bouts de phrases. Et ainsi brouiller le sens de la conversation.

Faire répéter son interlocuteur est parfois essentiel.

VPN

Comme disait Mufasa

Notre Royaume étant notre LAN, et le WAN le Cimetière d’éléphants rempli de hyènes qui vous veulent du mal.

Imaginons que nous voulions connecter deux LANs entre eux. Si ces LANs sont séparés géographiquement, ils devront forcément passer par le WAN pour communiquer.

Or, il se peut que les données qui vont y transiter soient sensibles et nécessite des sécurités pour éviter que des personnes mal-intentionnés ne puisse y avoir accès.

Nous devons donc trouver un moyen de faire transiter nos messages de manière sécurisée.

Une des techniques qui a été mise au point pour y arriver se nomme le Virtual Private Network ou autrement appelé IPsec.

L’idée est de créer une interface réseau virtuelle dans chacun des deux LANs que l’on souhaite relier.

L’interface est dite virtuelle car elle ne concerne ni une interface ethernet, ni une interface Wi-Fi.

Sur le schéma dessous elle est représentée par l’interface tun0.

La liaison entre ces deux interfaces virtuelles, va créer dans le WAN une sorte de câble réseau virtuelle.

Cette liaison est appelée un tunnel et de la même manière qu’un tunnel de montagne, il permet d’accéder rapidement d’un côté et de l’autre de celui-ci.

Une autre contrainte d’un tunnel est d’acheminer de manière sécurisée les messages qui y transitent.

L’idée est que si une personne qui n’est pas habilité à lire les messages tente de le faire, il ne verra que du bruit numérique.

Conclusion

Ouf ! On est arrivé au bout. 😀

Nous possédons tous les concepts de bases du réseau pour comprendre le fonctionnement du VPN Wireguard et sa configuration.

J’espère que l’article vous a plu.

Je me suis particulièrement amusé à vulgariser du mieux que j’ai pu tout ça.

La prochaine partie arrive très vite.

On s’attaquera au gros du morceau:

Chiffrement asymétrique
Configuration du VPN
Cas d’utilisation
Automatisation de la gestion des utilisateurs

Merci de m’avoir lu et à la prochaine! 🥰