L'essentiel des réseaux

Le fil conducteur

• Chaque couche ajoute son en-tête à l'émission et le retire à la réception.
• Couches 5 à 7 : données ; couche 4 : segment ; couche 3 : paquet ; couche 2 : trame ; couche 1 : bits.
• Trois identifiants : le port vise l'application, l'adresse IP la destination finale, l'adresse MAC le prochain saut.
• Un équipement ne lit que les en-têtes jusqu'à sa couche : switch (2), routeur (3), pare-feu (4), proxy (7).

Ce que fixe un protocole

• La syntaxe : le format des messages (la grammaire).
• La sémantique : le sens de chaque message (GET = « donne-moi »).
• L'enchaînement : qui parle, quand, dans quel ordre (requête puis réponse).

Lire l'échange

• ① Le navigateur envoie une méthode et un chemin : GET /home.html.
• ② ③ Le serveur répond par un code de statut (200 OK) et le contenu, parfois en plusieurs morceaux.
• ④ Chaque image, script ou feuille de style déclenche une nouvelle requête.

Ce qu'ils ont en commun

Les ports source et destination : ils identifient les applications aux deux extrémités.

Ce qui les distingue

• TCP : SEQ et ACK numérotent et acquittent les octets ; drapeaux SYN, ACK, FIN, RST ; fenêtre de contrôle de flux.
• UDP : rien de tout cela : léger et rapide, sans garantie.

Le multiplexage

• Le serveur exécute plusieurs applications en même temps (web 80, FTP 21, jeu 6703).
• Les en-têtes de couches 2 et 3 ne disent pas quelle application doit recevoir : c'est le port de destination qui décide.
• Le port source identifie l'application émettrice, pour que la réponse revienne au bon programme.

Ce que garantit TCP

• Connexion : SYN, SYN-ACK, ACK avant toute donnée ; FIN pour fermer.
• Fiabilité : chaque octet est numéroté (SEQ) et acquitté (ACK) ; non acquitté = retransmis.
• Ordre : le récepteur remet les segments dans l'ordre des SEQ.
• Flux : la fenêtre limite ce que l'émetteur envoie sans acquittement.
• Coopération : TCP fiabilise de bout en bout ; IP, en dessous, achemine sans garantie.

Deux missions de la couche 3

• Insérer les adresses IP source et destination dans chaque paquet.
• Livrer le paquet selon la destination, routeur après routeur.

Comme la poste

• Elle n'ouvre pas l'enveloppe.
• Elle ne garantit pas l'arrivée (c'est TCP, au-dessus).
• Elle choisit le trajet.

IPv4 : 32 bits, ~4,3 milliards d'adresses · IPv6 : 128 bits

Les champs qui comptent

• Adresses source et destination (32 bits chacune) : l'adresse sur l'enveloppe. Elles ne changent pas de bout en bout.
• TTL : décrémenté de 1 à chaque routeur ; à 0, le paquet est détruit : pas de boucle infinie.
• Protocole : ce que contient le paquet : 6 = TCP, 17 = UDP, 1 = ICMP.
• Longueur, identification, flags, offset : un paquet trop grand pour un lien est fragmenté.
• Somme de contrôle : protège l'en-tête seulement.

Comment un paquet trouve sa route

• Le routage commence sur l'hôte : destination dans mon réseau ? envoi direct. Sinon, j'envoie à ma passerelle par défaut.
• Chaque routeur lit l'adresse de destination, cherche la route la plus précise (préfixe le plus long) dans sa table, et transmet au prochain saut.
• Aucun routeur ne connaît tout le chemin ; le TTL diminue à chaque saut.

L'adresse MAC · 48 bits

00:1A:2B:3C:4D:5E

• 3 octets constructeur (OUI) + 3 octets de série, gravée dans la carte réseau.
• FF:FF:FF:FF:FF:FF = diffusion à tout le réseau local.
• Portée : le lien local seulement.

À chaque routeur

• 1. La trame entrante est vérifiée (FCS) puis retirée.
• 2. Le paquet IP est lu : adresse de destination, TTL − 1.
• 3. Le prochain saut est choisi dans la table de routage.
• 4. ARP donne la MAC du prochain saut.
• 5. Une nouvelle trame est construite pour le lien de sortie.

Le switch, lui, ne touche à rien : il lit la MAC de destination et commute.

• 100 Mbps ≠ 100 MB/s
• 100 Mbps = 12,5 MB/s (÷ 8)
• Un film de 500 MB = 4 000 Mb

Sur le support : tension haute/basse (cuivre), lumière/obscurité (fibre), onde modulée (radio).

Quatre grandeurs

• Bande passante : capacité maximale du lien.
• Débit : ce qui passe réellement, toujours inférieur (partage, en-têtes, pertes, retransmissions).
• Latence · RTT : temps aller · aller-retour.
• Gigue · perte : variation de la latence · paquets non arrivés.

Half duplex : émettre ou recevoir (talkie-walkie). Full duplex : les deux à la fois (téléphone) : plus de collision.

Maillage complet de n postes : n × (n − 1) ÷ 2 câbles : il faut un équipement central.

Deux composants

• Les interfaces : une par réseau, portant l'adresse de passerelle de ce réseau.
• La table de routage : réseau de destination, prochain saut, métrique. La route la plus précise gagne, puis la plus petite métrique.

Le switch L3 route entre VLAN en matériel (LAN, campus, datacenter) ; le routeur reste l'équipement du WAN et de l'accès Internet.

Comment il décide

• Il lit les couches 3 et 4 : un flux = 6-tuple (IP source, IP destination, port source, port destination, protocole, sens).
• Règle d'or : ce qui n'est pas explicitement autorisé est interdit.
• Table d'états : la connexion sortante est notée, ses réponses rentrent, puis l'entrée expire.

Zones : INSIDE 100 (postes, serveurs) · DMZ 50 (serveur web public) · OUTSIDE 0 (Internet).
Placement : périmètre (face à Internet) et interne (devant la finance, la R&D).

Load balancer (L4-L7)

• Une seule adresse pour des dizaines de serveurs ; round robin ou moins de connexions.
• Contrôle de santé : un serveur en panne est retiré du pool ; bascule sans coupure.

Proxy (L7)

• Direct : représente les clients (sortant) : filtrage, cache, inspection TLS, masque le client.
• Reverse : représente les serveurs (entrant) : TLS, masquage, pare-feu applicatif (Cloudflare, Nginx).

Le LB répartit, le reverse proxy protège.

Pourquoi un IPS en plus du pare-feu ?

Quand beaucoup de trafic légitime entre (partenaires, visiteurs), le filtrage par ports ne suffit plus : l'IPS analyse le contenu jusqu'à la couche 7.

Actions : alerter, supprimer le paquet, TCP reset, bloquer la source.

Plus un équipement monte dans les couches, plus il comprend le trafic, et plus il est lent et coûteux : on place chacun là où sa lecture est nécessaire.

• Une adresse IP appartient à une interface, pas à la machine : un serveur à deux cartes a deux adresses.
• Par interface : MAC (L2), IP (L3) et nom d'hôte : les trois informations du dépannage.
• Choix de sortie : préfixe le plus long, puis métrique la plus faible.

La sécurité commence en bordure

Devant un schéma : si un lien tombe ? combien de sauts ? un point de panne unique ? facile à faire grandir ?
Maillage complet : n × (n − 1) ÷ 2 liens (150 nœuds = 11 175).

Le cuivre recule : sensible aux orages, à l'eau, limité en distance ; la fibre n'a aucun de ces défauts. En cas de panne, la démarcation dit qui doit intervenir.

La hiérarchie remplace un maillage qui croît comme n² par une structure qui croît comme n ; une panne reste confinée à un bloc. « Complex fails, simple scales ».

Microservices, IA, apprentissage automatique : les serveurs se parlent sans cesse. Devant chaque technologie, demandez-vous : comment grandit-elle ?

Trois étapes

• Bare metal : une application par serveur, < 10 % d'utilisation.
• Virtualisation : un hyperviseur, plusieurs VM par serveur ; une VM se copie comme un fichier.
• Cloud public : les VM partent chez un fournisseur, paiement à l'usage.