Redondance du réseau : agrégation de liens LACP et Spanning Tree

La redondance du réseau consiste à doubler les câbles et les commutateurs pour qu'un lien arraché ou un commutateur en panne ne coupe pas les communications. Deux mécanismes la rendent possible : l'agrégation de liens (LACP) regroupe plusieurs câbles en un seul lien logique, plus rapide et tolérant aux pannes ; le Spanning Tree (STP) neutralise les boucles que créent forcément les chemins redondants. Ce chapitre explique les deux, avec leur configuration sur un commutateur Cisco, un serveur Linux et un hôte Windows, puis les topologies à deux commutateurs de cœur.

Pourquoi on ne peut pas simplement ajouter des câbles

Relie deux commutateurs par deux câbles sans rien configurer, et le réseau s'effondre en quelques secondes. Une trame de diffusion (une requête ARP, par exemple) part par le premier câble, revient par le second, repart par le premier, et ainsi de suite. Chaque commutateur la recopie sur tous ses ports. Contrairement à un paquet IP, une trame Ethernet n'a pas de durée de vie (pas de champ TTL) : elle tourne indéfiniment, et les copies s'accumulent. C'est une tempête de diffusion (broadcast storm) :

• les liens saturent, le processeur des commutateurs s'emballe ;
• les tables d'adresses MAC changent sans arrêt, puisqu'une même adresse arrive alternativement par deux ports ;
• les machines reçoivent des trames en double.

Pour avoir des chemins redondants sans boucle, il faut soit fusionner les liens parallèles en un seul lien logique (l'agrégation), soit en bloquer certains jusqu'à ce qu'on en ait besoin (le Spanning Tree). En pratique, on utilise les deux.

L'agrégation de liens et le protocole LACP

L'agrégation de liens regroupe plusieurs liens physiques entre deux équipements en un seul lien logique. Les deux équipements le voient comme un seul port : pas de boucle, et deux avantages :

• la tolérance de panne : si un câble ou un port tombe, le trafic continue sur les autres, en une fraction de seconde ;
• la bande passante cumulée : quatre liens à 1 Gb/s forment un lien logique de 4 Gb/s.

Le protocole standard qui négocie l'agrégation s'appelle LACP (Link Aggregation Control Protocol), défini par la norme IEEE 802.1AX (il faisait auparavant partie de la norme Ethernet, sous le nom 802.3ad, qu'on lit encore partout). Les deux équipements échangent des messages LACP pour vérifier qu'ils sont bien reliés l'un à l'autre et d'accord sur les liens à regrouper ; un lien mal câblé ou mal configuré est écarté au lieu de créer une boucle. Les noms changent selon les constructeurs : EtherChannel ou port-channel chez Cisco, bond sous Linux, association de cartes réseau (NIC Teaming) sous Windows.

Pour former une agrégation, les liens doivent avoir la même vitesse, le même mode duplex et la même configuration de VLAN (tous en accès sur le même VLAN, ou tous en trunk avec les mêmes VLAN autorisés). Et ils doivent relier les deux mêmes équipements, sauf avec les techniques de pile ou de châssis multiples vues plus bas.

Les modes d'un port Cisco.

Deux ports passive face à face n'agrègent jamais : aucun ne commence. Un port on face à un port active non plus. Le mode on est à éviter : si l'autre côté n'est pas configuré à l'identique, tu crées précisément la boucle que l'agrégation devait éviter.

Côté commutateur Cisco. Deux ports du commutateur de cœur vers un hyperviseur, en trunk pour les VLAN serveurs et administration :

interface range GigabitEthernet1/0/1 - 2
 description Vers PVE1 (bond0)
 switchport mode trunk
 switchport trunk allowed vlan 20,30
 channel-group 1 mode active
!
interface Port-channel1
 description Vers PVE1
 switchport mode trunk
 switchport trunk allowed vlan 20,30

La commande channel-group 1 mode active crée l'interface logique Port-channel1 ; la configuration de VLAN se fait ensuite sur cette interface. La vérification :

SW-CORE1# show etherchannel summary
Flags:  D - down        P - bundled in port-channel
        I - stand-alone s - suspended
        S - Layer2      U - in use
...
Group  Port-channel  Protocol    Ports
------+-------------+-----------+------------------------------
1      Po1(SU)         LACP      Gi1/0/1(P)  Gi1/0/2(P)

Po1(SU) : un port-channel de niveau 2 en service ; (P) : chaque port est bien intégré. Un port marqué (I) (stand-alone) ou (s) (suspended) n'a pas pu rejoindre l'agrégation : l'autre côté ne parle pas LACP, ou la configuration diffère (VLAN, vitesse).

Côté serveur Linux (Debian, Proxmox VE). Le fichier /etc/network/interfaces d'un hôte Proxmox avec deux cartes agrégées sous un pont pour les VM :

auto bond0
iface bond0 inet manual
    bond-slaves eno1 eno2
    bond-mode 802.3ad
    bond-miimon 100
    bond-xmit-hash-policy layer3+4

auto vmbr0
iface vmbr0 inet static
    address 10.10.30.11/24
    gateway 10.10.30.254
    bridge-ports bond0
    bridge-stp off
    bridge-fd 0

bond-mode 802.3ad active LACP ; bond-miimon 100 vérifie l'état des liens toutes les 100 millisecondes ; layer3+4 répartit les flux selon les adresses IP et les ports, ce qui étale mieux le trafic de nombreux clients. Sur une Debian sans Proxmox, il faut le paquet ifenslave pour gérer les agrégats avec ce fichier. L'état se lit dans /proc/net/bonding/bond0 : le mode « IEEE 802.3ad Dynamic link aggregation » et une ligne MII Status: up par carte.

Linux propose d'autres modes, dont le plus utile est active-backup : une seule carte active, l'autre en secours. Il ne demande aucune configuration côté commutateur et fonctionne avec deux commutateurs différents : c'est la solution simple pour relier un serveur à deux commutateurs indépendants. Il n'apporte pas de bande passante supplémentaire.

Côté Windows Server. L'association de cartes réseau se crée en PowerShell :

New-NetLbfoTeam -Name "Equipe-LAN" -TeamMembers "Ethernet 1","Ethernet 2" `
    -TeamingMode Lacp -LoadBalancingAlgorithm Dynamic
Get-NetLbfoTeam

Le mode SwitchIndependent correspond à l'actif-secours sans configuration du commutateur. Pour un hôte Hyper-V, Microsoft recommande plutôt le SET (Switch Embedded Teaming), une association intégrée directement au commutateur virtuel.

Doubler les commutateurs

Agréger deux câbles vers un commutateur protège contre la panne d'un câble ou d'un port, pas contre celle du commutateur. Pour supprimer ce SPOF, on installe deux commutateurs de cœur, et chaque équipement important (pare-feu, hyperviseur, commutateur d'accès) est relié aux deux.

Trois façons d'organiser deux commutateurs de cœur :

Un serveur relié à deux commutateurs indépendants utilise le mode active-backup ; relié à une pile ou à une paire MLAG, il peut utiliser LACP sur ses deux liens.

Le Spanning Tree (STP)

Le Spanning Tree (protocole de l'arbre couvrant) calcule, parmi tous les chemins entre commutateurs, un arbre sans boucle, et met les ports en trop en état bloqué. Quand un lien actif tombe, il recalcule l'arbre et débloque un port de secours. Le cours routage et commutation détaille son fonctionnement ; voici ce qu'il faut maîtriser pour la haute disponibilité.

Comment l'arbre se construit.

1. L'élection du pont racine. Chaque commutateur a un identifiant de pont (Bridge ID) : une priorité (32768 par défaut) suivie de son adresse MAC. Le commutateur au plus petit identifiant devient la racine de l'arbre. À priorité égale, la plus petite adresse MAC gagne : c'est souvent le plus vieux commutateur du réseau, d'où l'intérêt de fixer la priorité soi-même.
2. Le port racine. Chaque autre commutateur choisit son port le plus proche de la racine, au sens du coût cumulé des liens (avec les coûts classiques : 19 pour 100 Mb/s, 4 pour 1 Gb/s, 2 pour 10 Gb/s).
3. Le port désigné. Sur chaque segment, le port du commutateur le plus proche de la racine devient désigné ; à égalité, celui du commutateur au plus petit identifiant.
4. Les autres ports sont bloqués. Ils écoutent les messages STP (les BPDU), mais ne transmettent pas de trafic.

Les versions. Le STP d'origine (IEEE 802.1D) met 30 à 50 secondes à rétablir le trafic après une panne : une éternité pour un service. Le RSTP (Rapid Spanning Tree, 802.1w, aujourd'hui intégré à la norme 802.1Q) converge en général en une à quelques secondes, grâce à des ports de secours précalculés (rôle alternate). Cisco utilise par défaut une instance par VLAN (PVST+, et sa version rapide Rapid PVST+) ; le MSTP (802.1s) regroupe plusieurs VLAN par instance. En 2026, il n'y a aucune raison de garder le STP d'origine : active la version rapide.

La configuration sur les deux commutateurs de cœur.

! Sur SW-CORE1 et SW-CORE2
spanning-tree mode rapid-pvst

! Sur SW-CORE1 : racine pour tous les VLAN
spanning-tree vlan 10,20,30 root primary
! Sur SW-CORE2 : racine de secours
spanning-tree vlan 10,20,30 root secondary

! Sur les commutateurs d'accès, ports vers les postes
interface range GigabitEthernet1/0/3 - 24
 spanning-tree portfast
 spanning-tree bpduguard enable

root primary abaisse la priorité du commutateur (à 24576, ou moins si nécessaire) pour qu'il devienne racine ; root secondary la fixe à 28672, pour qu'il prenne le relais si la racine tombe. portfast fait passer immédiatement en transmission les ports vers les postes, sans attendre le calcul STP. bpduguard désactive le port s'il reçoit un message STP, c'est-à-dire si quelqu'un y branche un commutateur : une protection de sécurité autant que de disponibilité (sécurité des switchs).

La vérification : show spanning-tree vlan 20 affiche « This bridge is the root » sur SW-CORE1, et sur chaque commutateur d'accès le rôle de chaque port (Root, Desg, Altn) et son état (FWD pour transmission, BLK pour bloqué).

Doubler l'accès Internet

L'accès Internet est souvent le dernier SPOF d'une PME. Pour le doubler :

• deux abonnements chez deux opérateurs différents, idéalement avec deux technologies différentes (fibre et 4G/5G, par exemple) pour éviter qu'un même engin de chantier coupe les deux ;
• un pare-feu multi-WAN : pfSense et OPNsense regroupent les passerelles dans un groupe (gateway group) avec des niveaux de priorité, surveillent chaque lien par des pings réguliers, et basculent le trafic sortant vers le lien de secours quand le principal ne répond plus ;
• pour le trafic entrant (un site publié, un VPN), la bascule est plus difficile : l'adresse publique change avec l'opérateur, ce qui oblige à mettre à jour le DNS (avec une durée de vie courte) ou à disposer de ses propres adresses annoncées aux deux opérateurs, une solution d'opérateur ou de grande entreprise.

Exercices

Group  Port-channel  Protocol    Ports
1      Po1(SU)         LACP      Gi1/0/1(P)  Gi1/0/2(s)