Discussion :

[stoddart]

Bonjour,

je dispose actuellement d'une baie dans un datacentre Cogent.
dans cette baie il y a une dizaine de serveurs, 2 APC et un switch HP J9660.

je reçois la fibre sur le switch via un spf classique, je configure le switch avec la plage IP /30 que Cogent ma attribuée (j'ai un block /22 dispo).
le switch ping bien vers internet, cependant les serveurs eux n'arrive jamais à accéder à internet. Je n'ai rien modifié à la configuration initiale (1 VLAN, tous les ports Untag).
j'ai bien configuré les serveurs pour qu'il utilisent la même gateway que le serveur. il n'y a aucun problème entre eux ils communiquent totalement en privé (entre deux serveurs connectés sur le switch, vers le switch sans problème) mais pour en sortir c'est impossible, le switch ne laisse rien passé.

j'ai essayé tout ce que mon imagination ma suggérée mais rien ne marche, les serveurs ne sortent pas du switch.
lorsque j'ai essayé au bureau: switch connecté a la livebox via ethernet, tout dhcp, le switch partagé bien la connexion qu'il avait tout en defaut sans configuration, c’était génial.

Après avoir passé tout une journée dans le data sans solution, si quelqu'un pouvait m'aider je le suis en serait très reconnaissant.
Bien à vous.

[ram-0000]

je configure le serveur avec la plage IP /30 que Cogent ma attribuée (j'ai un block /22 dispo).
le serveur ping bien vers internet

Quel serveur, qu'est ce qu'il a de différent par rapport aux autres serveurs

Un petit schéma de l'infra réseau (switch, routeur, serveur et @IP) ?

[stoddart]

Bonjour,

Je suis désolé, c'est le switch qui ping bien vers internet (et qui est configuré avec le block /30 de Cogent)

Block ip 200.10.30.24/30
Routeur 200.10.30.25

Donc pour le switch:
IP: 200.10.30.26
netmask 255.255.255.0
gateway: 200.10.30.25

pour les serveurs (connectés en ethernet sur le switch)
IP: 200.10.30.27
netmask: 255.255.255.0
gateway: 200.10.30.25
(idem avec la gateway .26, au cas ou).
aucun ping, que du réseau local (je peut joindre le switch, les autres serveurs en 200.10.30.28 ou .29 par exemple).

Shéma basique
Tirroir optique > SPF Fibre du switch HP <-> x10 ethernet vers servers (10x ethernet public 10x ipmi (pas mis en réseau privé pr l'instant)).
x2 ethernet vers APC

Merci.

[ram-0000]

Block ip 200.10.30.24/30

OK

Routeur 200.10.30.25

OK

Donc pour le switch:
IP: 200.10.30.26

OK

netmask 255.255.255.0

Non, cela devrait être 255.255.255.252 (masque pour un /30)

gateway: 200.10.30.25

OK

pour les serveurs (connectés en ethernet sur le switch)
IP: 200.10.30.27

Non, 200.10.30.27 est l'adresse de broadcast de 200.10.30.24/30, cela ne doit donc pas être une adresse de machine

netmask: 255.255.255.0

Non cela devrait être 255.255.255.252 (/30)

J'ai l'impression que tu essaye de mettre plus de machines dans ton réseau que ne peut en supporter ton réseau. 1 /30 ne supporte que 2 machines (ton switch qui communique bien avec internet et ta gateway et c'est tout. Toutes les autres machines sont fausses.

[stoddart]

Bonjour,

Cogent ma bien indique :e 255.255.255.252 en netmask mais si j'attribue cela au switch il ne répond plus à rien..

Une question cependant:
j'ai mon block /22 par exemple: 100.20.30.0/22
Cogent a bien pris en compte mon block (route objet dans le ripe) , l'IP est routée jusqu'au datacentre. Est-il possible par exemple de configurer un serveur en 100.20.30.2 avec comme gateway la même que le switch (200.10.30.25) ou c'est totalement folklorique ? (Cogent ne ma donné aucune information pour ce block ip).

Merci pour votre aide.

[ram-0000]

Il y a un autre problème quelque part.

Vérifie, quand tu as fini revérifie encore et après revérifie encore .

Un aperçu de la conf du routeur serait un plus non négligeable. Cet accès réseau a t'il déjà fonctionné ou bien c'est la 1ere mise en route de ce réseau.

Ton architecture me parait bizarre. En général, quand on reçoit un /30, la seule machine à porter l'adresse publique fournie par le FAI (200.10.30.26 donc) devait être un Firewall client ou au moins un routeur client et ensuite, on trouve ton architecture (tes serveurs et switches) et avec si peu d'adresse publiques (1 seule pour toi), c'est quasiment obligatoirement de l'adressage privé (RFC 1918) et de la NAT effectuée par ton routeur ou firewall.

[stoddart]

Il y a un autre problème quelque part.

Vérifie, quand tu as fini revérifie encore et après revérifie encore .

Un aperçu de la conf du routeur serait un plus non négligeable. Cet accès réseau a t'il déjà fonctionné ou bien c'est la 1ere mise en route de ce réseau.

Ton architecture me parait bizarre. En général, quand on reçoit un /30, la seule machine à porter l'adresse publique fournie par le FAI (200.10.30.26 donc) devait être un Firewall client ou au moins un routeur client et ensuite, on trouve ton architecture (tes serveurs et switches) et avec si peu d'adresse publiques (1 seule pour toi), c'est quasiment obligatoirement de l'adressage privé (RFC 1918) et de la NAT effectuée par ton routeur ou firewall.

J'ai passé toute l'aprem dans le data à essayer de configurer. Je n'ai pas demandé plus d'IP a Cogent car j'ai mon block IP (et c'est plutôt difficile d'en obtenir ..), je n'ai cependant pas réagi sur la taille du /30. Chaque serveur doit disposer d'un block /27 du /22 pour X raisons, il n'y a pas de réseau local (sauf ipmi).

C'est la première mise en route de l'infra (le switch est bien accessible et configurable depuis internet). Il n'y a pas de routeur car je n'ai qu'un transitaire et l'AS est inutilisé donc le routeur a peu d'utilité (sauf en cas de protection firewall mais ce n'est pas nécessaire, les serveurs ne sont pas critiques).
Je vais demander à Cogent de vérifier que je puisse bien utiliser le block /22 et les informations de celui-ci (gateway notamment).

[ram-0000]

Cogent ma bien indique :e 255.255.255.252 en netmask mais si j'attribue cela au switch il ne répond plus à rien..

Depuis tes serveurs ? Normal, tes serveurs ne peuvent pas être dans le même réseau que le switch si tu as seulement un /30.

Par contre le switch doit pouvoir pinguer internet avec ce masque.

Est-il possible par exemple de configurer un serveur en 100.20.30.2 avec comme gateway la même que le switch (200.10.30.25) ou c'est totalement folklorique ? (Cogent ne ma donné aucune information pour ce block ip).

Totalement folklorique comme tu dis. La gateway doit OBLIGATOIREMENT être dans le même réseau que la machine or 200.10.30.25 n'est pas dans le réseau 100.20.30.0/22

[Invité]

J'ai survolé le fil... Ca ressemble à un problème de "design IP".

Quel est ton /22 ?

Quels sont tes besoins en terme de blocks /27 ?

Comment est prévue exactement l'interco avec Cogent ?

Steph

[stoddart]

Depuis tes serveurs ? Normal, tes serveurs ne peuvent pas être dans le même réseau que le switch si tu as seulement un /30.

Par contre le switch doit pouvoir pinguer internet avec ce masque.


Totalement folklorique comme tu dis. La gateway doit OBLIGATOIREMENT être dans le même réseau que la machine or 200.10.30.25 n'est pas dans le réseau 100.20.30.0/22

Merci pour votre aide :-).

[stoddart]

J'ai survolé le fil... Ca ressemble à un problème de "design IP".

Quel est ton /22 ?

Quels sont tes besoins en terme de blocks /27 ?

Comment est prévue exactement l'interco avec Cogent ?

Steph

Je ne préfère pas donner en publique, il fait partie du 185 (last /8 attribué par le ripe).
Le design IP est très compliqué pour X raisons (spécial à mon service) j'ai cependant l'habitude de gérer cela mais plutôt en dédié qu'en colo.
L'interco à Cogent est direct: il me livre une fibre sous leur réseau, j'utilise totalement leur AS le block IP étant géré et attribué à celui-ci uniquement.
Ensuite le block sera découpé en 4x/24 (cela évite de laisser tout Cogent si pas nécessaire et de router ailleurs).

[ram-0000]

Cogent ne t'aurait pas par hasard créé un tunnel (VPN, PPP ou autre) dont les 2 extrémités sont 200.10.30.26 et 200.10.30.25 pour faire transiter ton /22 à travers leurs réseau et le faire sortir à l'endroit qui va bien ?

[stoddart]

Cogent ne t'aurait pas par hasard créé un tunnel (VPN, PPP ou autre) dont les 2 extrémités sont 200.10.30.26 et 200.10.30.25 pour faire transiter ton /22 à travers leurs réseau et le faire sortir à l'endroit qui va bien ?

Théoriquement non, j'ai justement abandonné mon AS pour éviter d'avoir à gérer un routeur et ce genre de question (même si de toute façon un AS avec qu'un seul transitaire cela n'a aucun intérêt). Normalement gérer le /22 est un détail de quelques minutes, je déplace des /24 de datacentre/provider en 48 heures.

[Invité]

Je ne préfère pas donner en publique, il fait partie du 185 (last /8 attribué par le ripe).
Le design IP est très compliqué pour X raisons (spécial à mon service) j'ai cependant l'habitude de gérer cela mais plutôt en dédié qu'en colo.
L'interco à Cogent est direct: il me livre une fibre sous leur réseau, j'utilise totalement leur AS le block IP étant géré et attribué à celui-ci uniquement.
Ensuite le block sera découpé en 4x/24 (cela évite de laisser tout Cogent si pas nécessaire et de router ailleurs).

OK.
Alors supposons que Cogent t'ait donné l'IP block 185.10.8.0/22.
En théorie, ça te permet de construire 32 blocks /27 de la forme suivante :

185.10.8.32k/27 k=0,1,2,3,4,5,6,7
185.10.9.32k/27 k=0,1,2,3,4,5,6,7
185.10.10.32k/27 k=0,1,2,3,4,5,6,7
185.10.11.32k/27 k=0,1,2,3,4,5,6,7

Concernant l'interco /30, tu peux la prendre dans les dernières addresses 185.10.11.252/30 par exemple.

Ton design ressemblera à ça, avec x = 8,9,10,11 (si x=11, k ne pourra pas prendre la valeur 7 bien sûr) :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
                                                        +--------+
AS COGENT 185.10.11.253/20 ---p2p--- 185.10.11.254/30 --| Router | 0/0 vers 185.10.11.253
                                                        +--------+
                                                             |gateway 185.10.x.32k+1 par exemple
                                                             |
                                                             |
                                                  block 185.10.x.32k/27

Alors bien sûr, tes serveurs dans le block 185.10.x.32k/27 doivent utiliser une gateway de ce réseau, 18510.x.32k+1 par exemple (et ça devra être un point de routage vers Cogent).

Si tu faisais du peering BGP avec Cogent, tu leur enverrais le summary 185.10.8.0/22.

Steph

[stoddart]

Merci pour votre message, je vais étudier ça demain :-).

[Invité]

C'est la façon la plus scalable de gérer ton espace d'adressage parce qu'à chaque fois que tu déploies une batterie de serveurs dans un block /27, il te sera très facile d'industrialiser la configuration de ton infrastructure.
Sur ton switch/routeur central, tu peux même créer tes interfaces VLANs / SVI 185.10.x.32k+1/27, ainsi elles sont provisionnées à l'avance et ne demanderont plus qu'à être pinguées

Bon courage.

Steph

[stoddart]

Bonjour,

Il s'avère qu'il me faut effectivement un routeur. N'ayant que très peu de connaissance dans cela, connaissez-vous quelqu'un ou une société capable de m'aider ? cela devrait être facile pour quelqu'un dont c'est le métier (facturé bien entendu).

Merci à vous.

[ram-0000]

Il va falloir d'abord "tailler" le routeur :

• Quelles fonctionnalités (Crypto, VPN, NAT, Antivirus, ...)
• quelle marque (si c'est imposé) ?
• Quelle volumétrie en entrée/sortie ?
• Quelle contraintes mécanique et de redondance (HA ? double alim ? je suppose pour rack 19") ?
• Routeur pur ou firewall ?
• et j'en oublie surement

[stoddart]

Il va falloir d'abord "tailler" le routeur :

• Quelles fonctionnalités (Crypto, VPN, NAT, Antivirus, ...)
• quelle marque (si c'est imposé) ?
• Quelle volumétrie en entrée/sortie ?
• Quelle contraintes mécanique et de redondance (HA ? double alim ? je suppose pour rack 19") ?
• Routeur pur ou firewall ?
• et j'en oublie surement

VPN utile pour avoir un réseau privé avec l'ipmi, interface switch donc oui, anti-virus, crypto etc non
aucune marque imposée
volume d'environ 1 Gb/s , le volume transféré in/out est peu important sachant qu'un switch basique (J9660 peut très bien tout gérer), l'équivalent d'un site avec 3 000 connexions simultanés.
pas de HA ou double-alim (sauf si le prix reste correct avec cette option)
pas de firewall.

Je ne pense pas pouvoir de toute façon configurer un routeur, les notions de routes me dépassent, j'avais pourtant tout fait pour éviter cela (Cogent pourrait par exemple gérer le block sur leur routeur afin de m'éviter d'avoir besoin d'un routeur dans la baie uniquement pour gérer le /22, c'est ce qu'il font par exemple chez Iliad).

[stoddart]

Bonjour,

Cogent me recommande d'utiliser un matériel layer 3, est-il possible d'utiliser un switch HP 1910-48G (celui-ci ayant les fonctions basiques de routage layer3) pour éviter d'avoir à utiliser un "vrai" routeur?

Voici ce que me dit Cogent:

you need to route xxx.yyy.zzz.0/22 to your CPE. For example on the interface facing your router set xxx.yyy.zzz.1, for the server xxx.yyy.zzz.2 with gw xxx.yyy.zzz.1

unfortunately it is not possible.(ils ne veulent pas gérer le /22 sur leurs routeurs) Cogent requires a Router (layer 3 device) on all Netcentric circuits and retail circuits with greater than 128 IP addresses.

Merci pour votre aide.