Internet, les liens virtuels (9)

Comme on l’a déjà vu, internet est un monde peuplé de câbles divers et variés (cuivre, fibres …) ainsi que de quelques liaisons sans fil (wifi, satellite …) mais la logique du réseau en lui même n’est pas plate comme l’est l’infrastructure physique, loin s’en faut.

Il existe une infinité de mécanismes permettant de virtualiser des liens, si bien qu’aujourd’hui, la topologie logique d’un réseau telle qu’on la voit quand on l’étudie n’a pas grand chose à voir avec la réalité.

Avant d’aller plus loin, je dois vous parler des switchs. Dans les temps reculés de l’histoire des réseaux, on utilisait des hubs (bon, pas si reculé que ça, j’en ai encore un accroché à un mur dans mon sous sol).  Le principe etait simple, tout paquet arrivant sur le hub était immédiatement copié sur tous les ports pour aller vers toutes les machines qui se chargeaient de faire le tri. C’était pas le Pérou, du coup on a inventé le switch qui, lui, fait le tri et n’envoie a chaque machine que le trafic qui lui est réellement destiné.

Le hub, tout comme le switch, n’a (sauf exception) pas la moindre fichue idée de ce qu’est une adresse IP. Il ne fonctionne qu’avec les adresses MAC propres a chaque équipement. Lorsqu’une machine a un paquet pour une autre, elle lance a la cantonade (broadcast) un appel sur le réseau local « heyy, c’est quoi la mac qui utilise telle IP » et construit son petit paquet avec cette MAC. Le switch, quant a lui, connait toutes les macs présentes et sait que ce paquet ira sur tel port. Il sait aussi faire des choses magiques comme par exemple se virtualiser lui même.

Prenons un exemple tout bête. Lorsque vous branchez votre box ADSL, vous la reliez d’un coté a votre ordinateur et de l’autre a la prise de téléphone. La box agit, entre autre, comme un convertisseur de média entre l’ADSL utilisé par votre FAI et l’ethernet utilisé par l’ordinateur.

Imaginez maintenant que votre FAI arrive directement en ethernet chez vous (avec la fibre par exemple). Si la machinbox n’effectue aucune action intéressante, vous pouvez éventuellement brancher directement la fibre sur votre ordinateur. Mais si votre FAI ne vous octroie qu’une seule IP, vous aurez besoin de la machinbox pour faire du NAT. vous branchez donc la fibre a la box, la box a un switch et vos ordinateurs aussi.

Mais vous pouvez aussi brancher la fibre au switch et pas a la box. Du coup, vous vous dites que le trafic fait directement fibre -> ordinateur. Eh ben raté, votre switch peut tout a fait créer un réseau virtuel (VLAN) entre la fibre et la box et un second entre la box et les ordinateurs. Vu depuis votre chaise vous avez un réseau en étoile autour de votre switch, mais vu depuis l’extérieur, vos ordinateurs sont derrière la machinbox.

Abordons un exemple plus poilu. Vous avez crée votre petit réseau de voisinage dans votre bled et pour le raccorder à internet via la fédération FDN, vous devez tirer 120km de fibre a travers la foret des Landes pour aller jusqu’à un datacenter situé à Bordeaux.

Ça va vous couter les deux couilles, mais une entreprise locale est prête à financer une partie de l’opération si elle elle peut utiliser la fibre par la suite. Par contre, le milieu associatif, c’est pas trop son trip, elle, au bout, elle veut mettre Orange. Bon, l’erreur est humaine, il ne faut pas lui en vouloir.

Pas de problème monsieur, un switch à chaque bout de la fibre, un vlan pour le petit FAI, et un autre pour l’entreprise. Les flux de données emprunteront le meme chemin pendant un temps mais seront 100% isolés l’un de l’autre.

Un autre exemple de virtualisation très répandu, c’est L2TP. C’est l’un des protocoles qui, lorsque vous êtes (par exemple) abonné chez FDN, transportent vos données depuis votre modem ADSL jusqu’au coeur du réseau FDN. Vous n’avez strictement aucun moyen de savoir par ou passe votre trafic, ni géographiquement, ni du point de vue des opérateurs intermédiaires.

Il existe beaucoup d’autres moyens de virtualiser le réseau, la liste serait trop longue, mais il faut quand même que je vous parle des fameux VPN (parce qu’à la base, je ne voulais parler que de ça).

Pour bien comprendre le VPN, il suffit de faire comme si c’était un lien physique et bien réel. Vous êtes abonné chez votre FAI, mais pour éviter de vous faire trancher votre internet par HADOPI quand mamie télécharge Derrick, il vous faut une IP qui n’a pas un tatouage « français » sur la tête. Vous allez donc prendre votre pelle, votre pioche et un gros bateau et aller tirer votre fibre jusqu’à New York ou vous trouverez l’IP qui fera le bonheur de grand maman.

Ou alors, vous êtes plus pragmatique et vous faites un VPN. point de vue réseau, c’est strictement la même chose, à ceci prêt que le VPN sera toujours moins performant qu’une liaison directe puisque les données empruntent des chemins détournés.

En pratique, quand vous établissez un VPN, vous créez une carte réseau virtuelle dans l’ordinateur (et dans celui de l’autre coté) et un système de transport quelconque assure la création d’un câble virtuel entre les deux. Ce câble peu éventuellement être chiffré pour assurer la confidentialité des données (c’est d’ailleurs à ça que servaient les VPN au départ, cacher le contenu des transmissions aux opérateurs intermédiaires)

Le VPN le plus basique se bornera à ouvrir une connexion TCP entre votre ordinateur et un serveur VPN chez le fournisseur, mais il existe un tas de moyen vicieux et plus ou moins performant pour faire un VPN. Le lien virtuel peut être établi a peu près sur n’importe quoi, au travers de multiples connexions pouvant ressembler à une session de navigation sur le web pour tromper un firewall d’entreprise qui n’autorise que le web par exemple. On peut aussi utiliser le système DNS ou l’ICMP. Certains sont même allés jusqu’à créer des liens virtuels de ce genre ou les données sont transportées par pigeons voyageurs (système de transmission loin d’être inefficace point de vue débit) pendant que d’autres réfléchissent à la meilleure façon d’utiliser pastebin ou twitter pour la transmission.

Lorsque les gens qui veulent réguler et censurer internet auront compris ces principes, on aura fait un grand pas 🙂