Le routage et les équipements réseau

Entre votre ordinateur et un serveur situé à l'autre bout du monde, vos paquets traversent souvent une dizaine d'équipements, parfois davantage. Aucun d'eux ne connaît le trajet complet : chacun prend une décision locale. Cette leçon présente les équipements de base (switch, routeur, pare-feu) et la logique du routage, avant de passer à l'observation concrète du trafic.

Jusqu'ici, nous avons étudié ce qui voyage (paquets, adresses, ports, requêtes). Voyons ce qui les fait voyager. C'est la dernière leçon de ce chapitre sur les bases : ensuite, vous passerez à l'observation du trafic avec Wireshark.

Le switch : le standard du réseau local

Dans un bureau ou chez vous, les machines d'un même réseau local sont reliées à un switch (commutateur). Il travaille à la couche 2 (liaison) et raisonne avec des adresses MAC, l'identifiant matériel de 48 bits de chaque carte réseau, noté par exemple 08:00:27:ab:cd:ef.

Son fonctionnement est simple et astucieux. Il tient à jour une table d'adresses MAC : à chaque trame reçue, il note sur quel port se trouve la machine émettrice. Quand il doit livrer une trame, il consulte la table et l'envoie uniquement sur le bon port. Si le destinataire est inconnu, il diffuse la trame sur tous les ports, le temps d'apprendre. Un ancien concentrateur (hub) se contentait de recopier tout sur tous les ports : c'est pourquoi n'importe quelle machine pouvait espionner les autres, et c'est une des raisons de sa disparition.

Un point d'accès Wi-Fi joue un rôle comparable pour les appareils sans fil. Votre box regroupe d'ailleurs plusieurs fonctions dans un même boîtier : switch, point d'accès, routeur, pare-feu simple, serveur DHCP et NAT.

Le routeur : le carrefour entre réseaux

Un routeur relie des réseaux différents et travaille à la couche 3 : il raisonne avec des adresses IP. Quand un paquet arrive, il examine l'adresse de destination et consulte sa table de routage pour décider vers quel équipement suivant, le « prochain saut », il doit l'envoyer.

La table de routage est une liste de règles « pour aller vers tel réseau, passer par telle passerelle ». Elle comporte souvent une route par défaut (0.0.0.0/0) : « pour tout ce que je ne connais pas, envoie à la passerelle ». C'est ce que votre ordinateur utilise : tout ce qui n'est pas dans votre réseau local part vers votre box.

Chaque routeur ne connaît que le prochain saut. Entre deux routeurs, les trames sont refabriquées, mais le paquet IP garde la même adresse de destination, et un compteur appelé TTL (le même sigle que pour le DNS, mais un autre usage) y est décrémenté à chaque saut : à zéro, le paquet est abandonné. Cela évite qu'un paquet ne tourne indéfiniment.

Qui décide des routes ?

Dans un petit réseau, les routes sont écrites à la main (routage statique). Dans de grandes infrastructures, les routeurs échangent leurs informations grâce à des protocoles de routage dynamique (OSPF au sein d'une organisation, BGP entre opérateurs sur Internet) et s'adaptent aux pannes. Vous n'avez pas besoin de les maîtriser pour ce cours ; retenez que le routage est un mécanisme de confiance entre opérateurs, ce qui en fait aussi un sujet de sécurité (des erreurs ou détournements de routes ont déjà perturbé des services entiers).

Le pare-feu : le contrôle de la circulation

Un pare-feu (firewall) filtre le trafic selon des règles : adresse source, adresse de destination, port, protocole, sens de circulation. Il existe plusieurs générations :

• Le filtre sans état examine chaque paquet isolément.
• Le filtre à état (stateful) suit les connexions : si vous avez initié une connexion vers l'extérieur, il autorise automatiquement la réponse, mais refuse celles qui n'ont pas été sollicitées.
• Les pare-feu applicatifs (nouvelle génération, ou pare-feu d'applications web) examinent aussi le contenu des échanges.

La bonne pratique est le refus par défaut : tout est interdit, et l'on autorise uniquement ce qui est nécessaire. Un pare-feu peut être un boîtier dédié, un logiciel installé sur chaque machine, ou un service d'un fournisseur d'infrastructure.

Une zone démilitarisée (DMZ) est un petit réseau intermédiaire, placé entre Internet et le réseau interne, où l'on héberge les services exposés au public (site web, messagerie). Si un serveur de la DMZ est compromis, le pare-feu empêche l'intrus de se déplacer librement vers le réseau interne. C'est le principe de segmentation, que nous développerons avec les VLAN.

Ce qu'il faut garder en tête

Observer le routage avec vos outils

Trois commandes simples permettent de voir ce que nous venons de décrire :

# Afficher la table de routage
ip route            # Linux
netstat -rn         # macOS
route print         # Windows

# Suivre le chemin vers une destination
traceroute example.com      # Linux, macOS
tracert example.com         # Windows

# Tester la joignabilité
ping 127.0.0.1

traceroute envoie des paquets dont le TTL augmente progressivement : chaque routeur qui détruit un paquet répond « TTL dépassé », ce qui révèle son adresse. Certaines étapes n'affichent rien (* * *) : un équipement qui ne répond pas, ou un pare-feu qui bloque, ce n'est pas forcément une panne.

À vous de jouer

Exercice 1. Affichez votre table de routage. Quelle est votre route par défaut, et vers quelle passerelle pointe-t-elle ? Comparez avec la passerelle que vous aviez notée dans la première leçon.

Exercice 2 (sur papier). Dessinez le schéma d'un petit réseau de bureau : un accès Internet, une box faisant office de routeur et de pare-feu, un switch, trois ordinateurs et un serveur de fichiers. Indiquez à quelle couche travaille chaque équipement. Où placeriez-vous une DMZ si vous hébergiez un site web pour des visiteurs ?

Vous maîtrisez maintenant le vocabulaire et la mécanique du réseau. Au chapitre suivant, vous allez passer de la théorie à l'observation : capturer des paquets réels, les lire, et découvrir pourquoi certains protocoles historiques sont fragiles.