La sécurité du réseau et son bon fonctionnement à chaque niveau accompagnent les chercheurs et les concepteurs de systèmes de communication depuis les débuts. L’idée d’un réseau étendu, qui a servi de base à l’Internet actuel et qui a été développée par la RAND Corporation, consistait déjà à bâtir un réseau informatique capable de fonctionner même en cas de destruction partielle. Ce concept a ensuite été transposé de l’échelle globale à des solutions plus petites, mises en œuvre dans des millions de réseaux WAN, MAN et LAN dans le monde entier. Comme souvent, les technologies développées à l’origine pour l’armée ont fini par migrer vers les usages civils. Certaines presque telles quelles, comme les solutions d’authentification TACACS+ et RADIUS, d’autres sous forme de concepts proches, tels que la décentralisation des services ou la redondance des équipements.
Compte tenu de la portée très large de la notion de sécurité des réseaux, nous allons restreindre le sujet de cet article et aborder trois thèmes principaux :
1. authentification sécurisée des utilisateurs,
2. protection en anneau dans la couche d’agrégation du réseau,
3. redondance au niveau du cœur de réseau.
1. AUTHENTIFICATION SÉCURISÉE DES UTILISATEURS
La bonne gestion des abonnés en termes de services fournis est évidemment essentielle au succès du réseau, mais les aspects liés à l’authentification sécurisée des utilisateurs sont tout aussi importants. Au‑delà des fonctions qui protègent, par exemple, contre les attaques visant les paquets ARP ou les services DHCP, il est crucial que l’authentification de l’utilisateur soit réalisée de manière sécurisée. L’une des meilleures fonctions pour cet usage est l’authentification via un serveur RADIUS conforme à la norme IEEE802.1X. L’un des principaux avantages de cette solution est l’élimination du risque d’accès non autorisé au réseau dès la couche d’accès, ainsi que la prise en charge de différents modes de chiffrement. De plus, l’authentification RADIUS peut être mise en œuvre aussi bien dans les réseaux filaires que sans fil, ou encore dans des environnements mixtes.
2. PROTECTION EN ANNEAU DANS LA COUCHE D’AGRÉGATION DU RÉSEAU
La sécurité au niveau des couches d’agrégation et de distribution des services, ainsi qu’aux frontières du réseau, est un sujet beaucoup plus lié à la topologie et à l’architecture.
Dans le cas d’une topologie en étoile ou en arbre classique, il est nécessaire de recourir à des mécanismes assurant une protection linéaire, comme LACP (pour la protection du lien physique), G.8031 ou Port Backup pour une protection complète. Toutefois, une topologie nettement plus résistante est sans conteste l’architecture en anneau basée sur le protocole G.8032, qui, combiné à une agrégation LACP, offre un haut niveau de résilience aux pannes, aussi bien des liens physiques que des équipements du réseau, avec un temps de commutation inférieur à 50 ms. Point important, ces protocoles autorisent l’utilisation de vitesses de liaison hétérogènes ; ainsi, en cas de budget très contraint dans un projet, le lien de secours peut s’appuyer sur des équipements moins coûteux que le backbone principal. Idéalement, les protocoles d’anneau devraient être disponibles dès les modèles d’entrée de gamme, ce qui permet de construire librement des schémas de liaison dans les nouveaux réseaux comme dans ceux déjà en production.
L’idéal est d’utiliser des commutateurs capables de fonctionner dans plusieurs anneaux simultanément et d’exploiter des ports agrégés pour les connexions en anneau.
Le mécanisme de fonctionnement des protocoles d’anneau permet de remplacer efficacement, dans le réseau, un protocole de type spanning tree, tout en conservant de bien meilleures performances de temps de bascule de chemin (inférieur à 50 ms). On distingue ici des nœuds principaux et des nœuds de transit. En premier lieu, on définit le nœud principal de la chaîne, ainsi que ses ports « primary » et « secondary ». Il s’agit d’un point clé de l’anneau, car c’est là que l’on détermine quel chemin de l’anneau sera le lien inactif (de secours). Ensuite, on définit les nœuds de transit de l’anneau, en respectant l’ordre des ports. Cet ordre est important en raison de leurs fonctions : le port « primary » sert à l’envoi des paquets « Hello », tandis que le port « secondary » sert à leur réception. Le dernier élément à définir est constitué par les temporisateurs : hello timer et fail timer. Une fois les équipements ainsi configurés, dès qu’une panne est détectée (absence de paquet « Hello » pendant la durée définie dans le fail timer, généralement supérieure à trois fois la valeur du hello timer), un paquet « link down » est envoyé au nœud principal, ce qui entraîne le déblocage du port « secondary » sur ce nœud et, par conséquent, la modification de la route des paquets dans le réseau.
3. REDONDANCE AU NIVEAU DU CŒUR DE RÉSEAU
Une fois les couches d’accès et d’agrégation ainsi configurées, il reste à définir la configuration des équipements fonctionnant en périphérie de notre réseau sécurisé. Le système distribué proposé a été interconnecté au moyen de liaisons 10GE. À noter qu’il peut s’agir de n’importe quels liens 10GE, qu’ils soient SR, LR, ER ou ZR, ainsi que de simples câbles Twinax. Pour réaliser ces liens, nous recommandons des modules SFP éprouvés, offrant le meilleur rapport qualité/prix, tels que :
- Module optique SFP+ SR 10Gbs 850nm LC DDM MMF 300m (VSCEL+PIN) modèle LO-SP-10G-SR
- Module optique SFP+ LR 10Gbs 1310nm LC DDM SMF 10km (DFB+PIN) modèle : LO-SP-10G-LR
- Module optique SFP+ ER 10Gbs 1550nm LC DDM SMF 40km (EML+PIN) modèle LO-SP-10G-ER
- Module optique SFP+ ZR 10Gbs 1550nm LC DDM SMF 80km, modèle LO-SP-10G-ZR
La flexibilité de cette solution réside dans la possibilité d’utiliser les commutateurs soit comme unités indépendantes, soit en les combinant en un seul commutateur logique grâce à la fonction VSF, c’est‑à‑dire en les intégrant dans un stack, indépendamment de la distance physique séparant les différents sites.
Une telle configuration des équipements opérant au cœur de notre réseau permet de gérer beaucoup plus facilement l’ensemble de la structure, tout en décentralisant l’équipement principal. Elle offre également de nombreuses possibilités de se prémunir contre la défaillance d’une partie du système.
Le réseau exemple que nous proposons n’est qu’une des nombreuses approches possibles pour construire un système de télécommunications fiable. La riche palette de fonctionnalités des équipements opérateurs modernes ouvre un large éventail d’options aux architectes de systèmes télécom et IT.
Vous ne voulez pas rater nos prochains articles ? Inscrivez‑vous à la newsletter ou suivez‑nous sur :
