Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter
Isoler des réseaux
Bonjour le forum,
J'ai une petite question qui me trotte dans la tête depuis quelques temps.
Contexte :
La plupart du temps pour restreindre l'accès à des sous-réseaux ou pour isoler ceux-ci, nous utilisons des ACL, règles de firewall et des IGP comme OSPF et ses aires pour réaliser ceci.
Un Vlan privé et ses distinctions (communautaire, isolé) peut également remplir ces fonctionnalités de restriction d'accès et d'isolation.
Question :
En terme d'architecture, quelle est la meilleure soution ?
Salut,
en première remarque, on ne déploie pas des areas OSPF pour isoler ou restreindre l'accès à des réseaux : d'un point de vue connectivité IP, être "mono" ou "multi" areas revient au même. L'avantage des areas OSPF permet de hiérarchiser les flux (par exemple, le flux inter-areas transite toujours par l'area backbone), faire de l'IP Summary (annoncer plusieurs réseaux sous forme d'un seul Link State donc réduire la table de routage) et déclencher l'algorithme SPF de façon partielle lors de changement (et non pas sur la base de données topologique complète comme lorsqu'on est mono-area).
La restriction d'accès à laquelle tu fais allusion renvoie à la notion de filtrage de flux. Et effectivement, une ACL ou une règle sur un firewall sont les solutions généralement utilisées. C'est un peu une réponse de normand, mais tout dépend de ton réseau actuel et du type de filtrage que tu veux effectuer...
Je pense également à deux autre solutions.
1) Dans une architecture L2/L3, si tu veux rendre un VLAN absolument isolé, il suffira de ne pas lui définir d'interface VLAN. Sans "adhérence L3", on ne pourra accéder à ce VLAN qu'à partir d'un port explicitement configuré pour ça. Ce type de configuration est parfois utilisé pour "tirer" des VLANs d'administration (VLAN HMC des AS400 par exemple). Dans la teminologie, on appelle ceci un "VLAN non routé".
2) Lorsqu'on veut isoler un ensemble de routes IP dans une grosse infra, on pourra également déployer des VRF. Dans une VRF, il y a connectivité IP totale entre les réseaux. En revanche, le trafic doit sortir physiquement de la VRF pour traverser un point de routage/filtrage inter-VRF pour accéder à des destinations IP qui ne font pas partie de la VRF.
Steph
Bonjour IP_Steph,
Merci de ta réponse.
Ma question n'a pas de but d'implémentation.
C'est une question que je me propose d'un point de vue purement architectural.
Je pensais que certaines stub area avaient la possibilité d'être partiellement ou complètement isolées du reste du réseau local.
Je ne connais pas VRF.
D'après ce que j'ai compris, cela crée des routeurs virtuels sur un même routeur physique donc des tables de routages indépendantes.
Le fait que le flux doit accéder à d'autres routeurs de filtrage pour accéder à une destination précise induit donc une surcharge réseau continuelle ou répétitive et donc une stratégie QoS plus stricte.
J'aimerai avoir plus d'informations.
Le Vlan privé ne suffirait donc pas à restreindre l'accès à certaines zones ou à isoler efficacement celles que l'on souhaite ?
Non, le déploiement d'OSPF stub area est destiné à réduire la taille de la base de données topologique (donc de la table de routage). La table de routage est alors réduite aux réseaux internes de l'area + une default route pointant sur le Border Router de l'area puisque c'est le seul point de sortie de l'area.Envoyé par Miistik
Oui, le routeur en question embarque plusieurs routeurs virtuels. Chaque routeur virtuel possède une table de routage disjointe des autres tables. On peut ainsi utiliser plusieurs fois le même espace d'adressage IP puisque ce sont des instances de routage différentes...
Pas compris ce que tu voulais dire...
Ca devrait pouvoir se trouver sur le site Web de Cisco...
Le Private VLAN est un cas particulier d'isolation de VLANs et si on a bien compris les notions de ports Promiscuous, Isolated et de Community PVLAN, c'est une solution intéressante. Perso, je ne l'ai implémentée que 2 ou 3 fois... Cisco a "ouvert" ce protocole sous la RFC5517, et le PVLAN est même toujours disponible dans les Cisco Nexus 5000 (je ne suis pas sûr pour les 7000), ça doit donc être encore utilisé
En revanche, il trouvera ses limites dans les grosses architectures hétérogènes parce que le PVLAN n'est pas forcément supporté par tous les constructeurs.
Steph
Etant donné que le traffic doit sortir physiquement de la VRF, il doit donc effectuer un saut supplémentaire et par conséquent on a une charge réseau supplémentaire sur le point de filtrage qui va aiguiller ce trafic et sur les périphériques intermédiaires.
Un flux supplémentaire amène donc une QoS plus fine pour incorporer ce flux avec les autres.
C'est une question de dimensionnement de point de filtrage/routage inter-VRF... Généralement, on attache ce type d'équipement sur les coeurs de réseau au travers d'un Port-channel 4x, 6x voire 8x10 Gb/s.
La QoS quant à elle est configurée dans les coeurs de réseau et les équipements "on the edge" pour avoir le packet processing le plus rapiide sur l'équipement inter-VRF.
Steph
Répondre avec citation
Partager