__NOTOC__
Eléments de correction étude de cas : Construisez le plan d'adressage de la chaîne de restaurants "La Bio Stifaille"
Préambule
Les éléments proposés dans ce document ne constituent pas l'unique solution valide pour la construction du plan d'adressage IPv6 de la société « La Bio Stiffaille », d'autres choix peuvent être légitiment proposés.
Nota : Ce document, reprend le formalisme adopté dans le document compagnon de l'activité 14 au paragraphe « Convention de notation binaire du champ SID ».
Plan d'adressage du réseau interne
Choix de la structuration du champ SID
Le plan d'adressage interne de « La Bio Stiffaille » est construit sur
la base du préfixe local unique (ULA) de 48 bits retenu pour la société,
à savoir le préfixe fd1a:b105:71fa::/48. Le champ d'identification des
sous réseaux (SID) d'un tel préfixe est de 16 bits, nous disposons donc
d'un espace de 65536 valeurs distinctes pour identifier l'ensemble des
sous réseaux de cette entreprise.
L'infrastructure réseau de « La Bio Stifaille » fait apparaître une structuration en deux niveaux.
- Un niveau d'interconnexion assurant la connectivité de l'ensemble des sites, dont la tâche principale est l'acheminement. Ce niveau est pris en charge par l'opérateur, qui par le routage sur son infrastructure partagée MPLS assure la connectivité « any to any » de l'ensemble des sites de « La Bio Stifaille », en dédiant à son client un espace de routage cloisonné (VRF).
- Un second niveau, qui sur chaque site vise à partager l'infrastructure locale en espaces de connectivité logiques (VLAN TOIP, VLAN direction, VLAN employés, VLAN administratif, VLAN cariste, etc) cloisonnés et contrôlés par la fonction de routage locale ainsi que par la fonction de filtrage du pare-feu (Firewall).
Cette structuration, nous incite à hiérarchiser le plan d'adressage en
deux niveaux (le document compagnon de référence de l'activité 14,
indique de manière générale la construction d'un plan d'adressage en
structurant le champ SID sur trois niveaux logiques, sur des bits 'L',
'T' et 'B', on peut s'interroger sur la pertinence d'introduire un
troisième niveau dans le cas de « La Bio Stiffaille », la question reste
ouverte et ne sera pas abordée dans le reste de ce document). Compte
tenu, de l'éparpillement géographique de l'ensemble des sites de cette
entreprise, et de la présence d'équipements de contrôle et de filtrage
sur l'ensemble des sites, il paraît pertinent de privilégier la
localisation (bits 'L' sur la partie haute du SID), sur le découpage
logique et fonctionnel des espaces de connectivité locaux (les VLAN sur
chaque site). Ce choix facilitera, la fonction de routage, qui dans le
cas de « La Bio Stiffaille » est déléguée à l'opérateur de VPN MPLS. Le
champ SID sera donc de la forme {LLLLL-------TTTT}.
Dimensionnement du champ SID
D'une manière générale, comme indiqué dans le document compagnon de l'activité 14, l'alignement des références de localisation ou de type de sous réseau sur une frontière de quartet, facilitera la lecture et la reconnaissance de préfixes par l'administrateur humain. Dans le mesure du possible, cette convention sera privilégiée dans ce document.
« La Bio Stifaille » a aujourd'hui un périmètre des 175 sites (siége, entrepôts, restaurants et points de vente). La société est en croissance soutenue avec une ouverture moyenne annuelle d'une quinzaine de points de vente. Réserver les quartets de poids fort du SID pour identifier les sites privilégiera la fonction de routage sur les préfixes les plus courts (/56, /60), et facilitera la définition de la VRF mise en place sur le réseau de l'opérateur. En codant la localisation sur 1 octet, on peut identifier 255 sites distincts, ce qui au rythme actuel de développement, nous laisse environ 5 années si la croissance économique de l'entreprise se maintenait à un tel niveau.
Le cloisonnement logique en VLAN fonctionnels, tel qu'il est présenté dans le cahier des charges de « La Bio Stifaille » distingue, à ce jour, de l'ordre de 5 à 6 types de sous réseaux. En codant le type des sous réseaux sur un quartet, soit 16 valeurs distinctes (15, si on réserve la valeur 0 pour le VLAN par défaut), on conserve une marge de manœuvre confortable pour la définition de nouveaux sous réseau fonctionnels. En réservant, le quartet de poids faible du SID, le type de sous réseau sera donc directement lisible par l'administrateur à la lecture d'une adresse. Par souci d'homogénéité, il peut être élégant et pertinent d'attribuer le même identifiant pour les VLAN fonctionnels communs (tel le VLAN TOIP) présents sur tous les sites..
En première approximation, le champ SID peut donc être structuré sous la
forme suivante : {LLLLLLLL----TTTT}. L'octet de poids fort identifiant
le site, le quartet de poids faible identifiant localement le VLAN.
Extensibilité
Si l'identification des types de VLAN fonctionnels sur le quartet de
poids faible (bits 'T') peut simplement s'appuyer sur une numérotation
séquentielle démarrant à 1 (si l'on souhaite conserver la valeur zéro
pour le VLAN par défaut) ; quelle stratégie de numérotation doit on
adopter pour l'identification de la localisation? La stratégie de «
frontières flexibles » telles qu'elle est recommandée dans les RFC 1219
et RFC 3531 (cf paragraphe « Extensibilité » du document de référence de
l'activité 16), conserve une possibilité de débordement sur le troisième
quartet, lorsque dans 5 ans « La Bio Stifaille » dépassera les 255
sites. Cependant elle nécessite, une gymnastique intellectuelle peu
naturelle, quant à l'incrémentation des identifiants. En effet les
champs dont l'agrandissement s'effectue vers la droite, encode les
nombres selon un ordonnancement inhabituel. Ainsi l'identifiant 1, sera
codé en binaire 0b1000000 (0x80 en hexadécimal), l'identifiant 2
sera codé 0b01000000 (0x40), l'identifiant 3 0b1100000 (0xc0),
et ainsi de suite. De même si à l'avenir le nombre de VLAN fonctionnels
sur un site venait à dépasser 15, l'utilisation du bit de poids faible
du quartet disponible, permettrait un doublement des identifiants de
VLAN.
Une stratégie, moins flexible mais plus directement lisible, consiste,
compte tenu de la croissance de l'entreprise, à réserver immédiatement
trois quartets pour la localisation et un quartet pour le type de VLAN.
Les deux champs peuvent alors conserver un ordonnancement naturel
directement lisible à la lecture du préfixe /64 d'une adresse. La
structuration du SID est alors de cette forme {LLLLLLLLLLLLTTTT}.
Ainsi, l'identifiant du sous-réseau 1 (VLAN TOIP sur chacun des sites
par exemple) sur le site identifié 3 sera codé {0000000000110001} soit
0x0031 en hexadécimal. Le VLAN TOIP du site identifié 65 sera lui codé
{0000010000010001} soit 0x0411. La référence du site 65 est
directement lisible par le code hexadécimal 0x41 du SID. Avec cette
structuration la fonction de routage sur l'interconnexion de l'opérateur
sera basée sur les préfixe de longueur 60, alors que le routage et le
filtrage local sur chacun des sites se fera sur les préfixes de longueur
64.
Nota ; Le siége est identifié par la référence 1, le premier entrepôt par la référence 10, et le premier restaurant point de vente par la référence 30. Les références libres intermédiaires (2 à 9) restent disponibles pour de futures éventuelles "directions régionales", et les références 14 à 29 pour de futurs entrepôts.
Trois quartets étant réservés pour la localisation des sites, on peut également envisager de leur faire porter des nombres décimaux à trois chiffres. On obtient alors une lisibilité directe de la référence décimale du site dans le champ SID. Certes on réduit le nombre de références qui peuvent ainsi être codées (on passe de 2 puissance 12, soit 4096 références, à 999); cependant cela n'est pas vraiment pénalisant dans le cas de "La Bio Stifaille". En effet, au taux de croissance annuelle, d'un quinzaine de sites nouveaux par an, plus d'une cinquantaine d'années seraient nécessaires pour épuiser le champ SID. De plus, ce taux de croissance excpetionnel ne saurait être maintenu au dela de quelques années, et les enseignes à mille points de vente ne sont pas très courantes.
Nota ; Le siége est identifié par la référence 1, le premier entrepôt par la référence 10, et le premier restaurant point de vente par la référence 30. Les références libres intermédiaires (2 à 9) restent disponibles pour de futures éventuelles "directions régionales", et les références 14 à 29 pour de futurs entrepôts.
Plan d'adressage pour le préfixe public (GUA) de « La Bio Stifaille »
L'opérateur a délégué à « La Bio Stifaille » le préfixe public (GUA)
2001:db8:b10:6600 ::/56, qui sera utilisé pour l'adressage des zones
démilitarisées (DMZ) où sont localisés les services accessibles depuis
l'Internet (site web vitrine de l'enseigne, serveurs DNS publics, relais
publics de messagerie, proxy web, ...). En effet, il est de bonne
pratique, d'un point de vue sécurisation de l'infrastructure des réseaux
d'entreprise de confiner les serveurs directement accessibles depuis
l'Internet dans des VLAN isolés et contrôlés par les équipements
spécialisés et dédiés à la sécurité (typiquement les firewalls). Les
zones contrôlées, accessibles depuis l'Internet, sont couramment
appelées « zones démilitarisées » (DMZ), à l'inverse des réseaux
internes, non directement accessibles depuis l'espace public, qui sont
en zones strictement contrôlées (militarisées).
Avec un préfixe GUA de 56 bits, nous disposons d'un champ SID de 8 bits
pour identifier différentes (jusqu'à 255) zones démilitarisées, dans
lesquels pourront être déployés différents services publiquement
accessibles. En effet les firewalls modernes ont la capacité des gérer
plusieurs DMZ, ce qui permet de confiner les accès ; ainsi une DMZ peut
être dédiée aux serveurs web vitrines et aux relais externes de
messagerie, alors que les réseaux VPN d'accès des partenaires
économiques de « La Bio Stifaille » pourront être confinés dans des DMZ
dédiées. Ainsi dans le cas de « La Bio Stifaille » la DMZ vitrine
pourrait être identifiées avec le SID positionné à la valeur 1 (préfixe
2001:db8:b10:6601::/64)...Alors que la DMZ confinant les serveurs VPN
des partenaires commerciaux et fournisseurs, pourrait être identifiée
par la valeur 16 (2001:db8:b10:6610::/64), la DMZ confinant les
serveurs VPN d'accès aux services dématérialisés de l'Etat (déclarations
fiscales et sociales diverses,...) pourraient être confinées dans la DMZ
160 (préfixe 2001:db8:b10:66a0::/64) par exemple.
Cas des liaisons ponctuelles de secours
Par simplification, on fera l'hypothèse que les liaisons de secours ponctuelles en cas de défaillance des accès au réseau d'interconnexion MPLS de l'opérateur, sont basées sur une technique de routage dans des tunnels IPSec, (encapsulation IP dans IP, les datagrammes IPv6 des flux internes, sont alors encapsulés dans des datagrammes IP (v6 ou v4) authentifiés et chiffrés selon les mécanismes IPSec). La mise en œuvre de telles techniques, sur les firewalls des sites, dépasse le cadre de cette étude de cas. Cette technique d'encapsulation IP dans IP s'appuie sur le reroutage des flux IPv6 internes dans le tunnel IPSec préétabli qui ne nécessite à priori pas de plan d'adressage complémentaire.