Table de routage et routes statiques

La table de routage est la liste des réseaux qu'un routeur sait atteindre, avec pour chacun l'interface de sortie et le prochain routeur à qui confier le paquet ; une route statique est une ligne de cette table écrite à la main par l'administrateur, avec la commande ip route. Ce chapitre explique comment un routeur choisit une route (le préfixe le plus long, la distance administrative, la métrique), comment lire show ip route, puis configure les routes statiques, la route par défaut, la route flottante et la route résumée entre les trois sites de Sorbier.

Pour garder des tables lisibles, les chapitres de routage reprennent le siège avec un seul switch de cœur, SW-COEUR, qui porte les passerelles des VLAN comme au chapitre 3.

Ce que fait un routeur d'un paquet

Quand un paquet arrive sur une de ses interfaces, un routeur (ou un switch de niveau 3) :

1. vérifie la trame, puis la jette pour ne garder que le paquet IP ;
2. diminue le TTL de 1 ; s'il tombe à 0, il détruit le paquet et prévient l'émetteur par un message ICMP Time Exceeded ;
3. cherche l'adresse IP de destination dans sa table de routage ;
4. s'il ne trouve aucune route, il détruit le paquet et renvoie un ICMP Destination Unreachable ;
5. sinon, il trouve l'adresse MAC du prochain saut (par ARP), fabrique une nouvelle trame et l'envoie par l'interface de sortie.

L'adresse IP de destination ne change jamais en route (sauf NAT) ; les adresses MAC changent à chaque saut. Le cours Réseaux montre ce trajet du point de vue d'un poste. Ici, on se place du côté des routeurs.

D'où viennent les routes

Une interface qui tombe emporte sa route C et toutes les routes statiques qui passaient par elle.

Lire show ip route

Voici la table de SW-COEUR une fois les routes statiques du siège posées (elles sont expliquées plus bas) :

SW-COEUR# show ip route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       * - candidate default, U - per-user static route, o - ODR
       P - periodic downloaded static route

Gateway of last resort is 192.168.10.193 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 192.168.10.193
      10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
S        10.30.0.0/23 [1/0] via 192.168.10.198
S        10.40.0.0/24 [1/0] via 192.168.10.198
      172.16.0.0/28 is subnetted, 1 subnets
S        172.16.0.0 [1/0] via 192.168.10.198
      192.168.10.0/24 is variably subnetted, 16 subnets, 5 masks
C        192.168.10.0/26 is directly connected, Vlan40
L        192.168.10.62/32 is directly connected, Vlan40
C        192.168.10.64/26 is directly connected, Vlan10
L        192.168.10.126/32 is directly connected, Vlan10
C        192.168.10.128/27 is directly connected, Vlan30
L        192.168.10.158/32 is directly connected, Vlan30
C        192.168.10.160/28 is directly connected, Vlan50
L        192.168.10.174/32 is directly connected, Vlan50
C        192.168.10.176/28 is directly connected, Vlan20
L        192.168.10.190/32 is directly connected, Vlan20
C        192.168.10.192/30 is directly connected, GigabitEthernet1/0/47
L        192.168.10.194/32 is directly connected, GigabitEthernet1/0/47
C        192.168.10.196/30 is directly connected, GigabitEthernet1/0/48
L        192.168.10.197/32 is directly connected, GigabitEthernet1/0/48
C        192.168.10.208/28 is directly connected, Vlan99
L        192.168.10.222/32 is directly connected, Vlan99

Comment lire une ligne : S 10.30.0.0/23 [1/0] via 192.168.10.198 signifie « route statique vers le réseau 10.30.0.0/23 ; distance administrative 1, métrique 0 ; envoyer au prochain saut 192.168.10.198 ». Les lignes en retrait (« is variably subnetted ») regroupent les routes par grand réseau, pour la lisibilité : elles ne sont pas des routes. Gateway of last resort est la route par défaut : la destination de tout ce qui ne correspond à rien d'autre.

Pour savoir quelle route s'applique à une adresse précise, demande-le directement :

SW-COEUR# show ip route 10.30.1.130
Routing entry for 10.30.0.0/23
  Known via "static", distance 1, metric 0
  Routing Descriptor Blocks:
  * 192.168.10.198
      Route metric is 0, traffic share count is 1

Comment le routeur choisit : trois critères dans l'ordre

1. Le préfixe le plus long. Parmi les routes dont le réseau contient l'adresse de destination, le routeur prend la plus précise, celle qui a le plus long masque. 0.0.0.0/0 contient toutes les adresses, mais elle perd contre n'importe quelle route plus précise.

Pour vérifier qu'une route contient une adresse, applique son masque à l'adresse (le ET logique) : 10.30.1.130 avec un masque /23 (255.255.254.0) donne 10.30.0.0 : l'adresse est bien dans 10.30.0.0/23.

2. La distance administrative. Quand deux sources différentes proposent exactement le même réseau, avec le même préfixe (une route statique et une route OSPF vers 10.30.0.0/23, par exemple), le routeur installe celle de la source la plus fiable, celle qui a la plus petite distance administrative (AD) :

3. La métrique. Quand un même protocole connaît plusieurs chemins vers le même réseau, il choisit celui de plus petite métrique : le coût pour OSPF, le nombre de sauts pour RIP. À métrique égale, il peut garder plusieurs routes et répartir le trafic entre elles.

Écrire une route statique

La syntaxe :

ip route <réseau> <masque> <prochain saut | interface de sortie> [distance]

Trois formes existent :

Le prochain saut doit être une adresse directement joignable : celle de l'interface du routeur voisin, sur le lien commun. Jamais une adresse « lointaine », comme la passerelle du réseau de destination.

Les routes statiques entre les trois sites

Commence par te poser, pour chaque équipement, la question : « quels réseaux ne sont pas connectés chez moi, et à quel voisin dois-je les confier ? ».

SW-COEUR connaît le siège. Il lui manque Internet, Marseille, Saint-Priest et les liens loués :

SW-COEUR(config)# ip route 0.0.0.0 0.0.0.0 192.168.10.193
SW-COEUR(config)# ip route 10.30.0.0 255.255.254.0 192.168.10.198
SW-COEUR(config)# ip route 10.40.0.0 255.255.255.0 192.168.10.198
SW-COEUR(config)# ip route 172.16.0.0 255.255.255.240 192.168.10.198

La dernière route résume les trois liens loués (172.16.0.0/30, .4/30 et .8/30) en un seul préfixe, 172.16.0.0/28 : on y revient plus bas.

R-LYON connaît ses deux liens loués et le transit vers SW-COEUR. Tout ce qui n'est ni à Marseille ni à Saint-Priest part vers le siège, et donc vers Internet : une route par défaut suffit pour ça.

R-LYON(config)# ip route 0.0.0.0 0.0.0.0 192.168.10.197
R-LYON(config)# ip route 10.30.0.0 255.255.254.0 172.16.0.2
R-LYON(config)# ip route 10.40.0.0 255.255.255.0 172.16.0.6
R-LYON(config)# ip route 172.16.0.8 255.255.255.252 172.16.0.6

R-MARSEILLE a son propre accès à Internet : sa route par défaut part vers le routeur de l'opérateur local, 203.0.113.49. Du coup, tout réseau interne de Sorbier doit être écrit explicitement, sinon il partirait vers Internet :

R-MARSEILLE(config)# ip route 0.0.0.0 0.0.0.0 203.0.113.49
R-MARSEILLE(config)# ip route 192.168.10.0 255.255.255.0 172.16.0.1
R-MARSEILLE(config)# ip route 10.40.0.0 255.255.255.0 172.16.0.10
R-MARSEILLE(config)# ip route 172.16.0.0 255.255.255.240 172.16.0.1

Une seule route, 192.168.10.0/24, couvre tout le siège : c'est la route résumée prévue par le plan d'adressage du cours Réseaux. La route 172.16.0.0/28 permet de joindre le lien Lyon – Saint-Priest ; les deux liens connectés de Marseille, plus précis (/30), restent prioritaires sur elle.

R-STPRIEST envoie tout vers Lyon, sauf Marseille, joignable directement :

R-STPRIEST(config)# ip route 0.0.0.0 0.0.0.0 172.16.0.5
R-STPRIEST(config)# ip route 10.30.0.0 255.255.254.0 172.16.0.9

Reste le pare-feu du siège : pour renvoyer les réponses d'Internet aux postes de Saint-Priest, il doit savoir que 10.40.0.0/24 (et les autres réseaux internes) se trouve derrière SW-COEUR (192.168.10.194), et inclure ces réseaux dans sa traduction d'adresses vers Internet. Sur pfSense, cela se fait dans System > Routing (une passerelle 192.168.10.194, puis des routes statiques).

La route par défaut

La route 0.0.0.0/0 correspond à toutes les destinations, avec le préfixe le plus court possible : elle ne sert que si aucune autre route ne convient. On l'utilise :

• vers Internet, sur l'équipement de sortie et sur tout ce qui est derrière lui ;
• sur un site « en bout de chaîne » (une agence, un entrepôt) qui n'a qu'une sortie : tout part vers le siège.

Sur R-STPRIEST, deux lignes suffisent pour tout joindre. Sans route par défaut, il faudrait une route par réseau du siège et une vers Internet… ce qui est impossible : la table de routage d'Internet compte de l'ordre d'un million de préfixes IPv4.

La route statique flottante

Le triangle de liens loués offre un chemin de secours : si le lien Lyon – Marseille tombe, Marseille peut passer par Saint-Priest. On écrit une seconde route vers le même réseau, avec une distance administrative plus grande que 1 : elle « flotte » au-dessus de la route principale et n'entre dans la table que si celle-ci disparaît.

R-MARSEILLE(config)# ip route 192.168.10.0 255.255.255.0 172.16.0.10 5
R-LYON(config)# ip route 10.30.0.0 255.255.254.0 172.16.0.6 5

Les deux sens sont nécessaires : Marseille doit savoir partir par Saint-Priest, et Lyon doit savoir y renvoyer les réponses. R-STPRIEST sait déjà relayer dans les deux sens (sa route par défaut va vers Lyon, sa route 10.30.0.0/23 vers Marseille).

Tant que le lien direct fonctionne, show ip route n'affiche que la route principale. Si l'interface Gi0/0/0 de R-MARSEILLE tombe, la route principale disparaît et la route flottante prend sa place, avec [5/0].

La route d'hôte

Une route peut viser une seule adresse, avec un masque /32 :

SW-COEUR(config)# ip route 10.30.1.161 255.255.255.255 192.168.10.198

Elle sert à forcer un chemin particulier vers un serveur précis, ou à tester. Le préfixe le plus long la rend prioritaire sur toutes les autres routes qui contiennent cette adresse.

La route résumée et la route vers Null0

Résumer (agréger) des routes, c'est désigner plusieurs réseaux contigus par un seul préfixe plus court. La méthode est celle du cours Réseaux : écrire en binaire l'octet où les réseaux diffèrent, compter les bits communs. Les quatre réseaux de Marseille (10.30.0.0/24, 10.30.1.0/25, 10.30.1.128/27, 10.30.1.160/28) tiennent tous dans 10.30.0.0/23 : une route au lieu de quatre. Les trois liens loués (.0/30, .4/30, .8/30) tiennent dans 172.16.0.0/28, qui couvre aussi 172.16.0.12/30, encore inutilisé.

Un bon résumé est exact ou presque : il ne doit pas englober des réseaux qui se trouvent ailleurs. Résumer Marseille et Saint-Priest en 10.0.0.0/10 (le plus petit préfixe qui contient 10.30.0.0/23 et 10.40.0.0/24) enverrait vers R-LYON des millions d'adresses qui n'y sont pas, dont tout réseau 10.x qu'on créerait un jour sur un autre site.

Le piège de la boucle. Le siège n'utilise pas toutes les adresses de 192.168.10.0/24 : le bloc 192.168.10.240/28 est libre (le bloc .224/28 accueille la DMZ, derrière le pare-feu). Un poste envoie un paquet vers 192.168.10.245 (une faute de frappe). SW-COEUR n'a pas de route plus précise que la route par défaut : il l'envoie au pare-feu. Le pare-feu, qui a une route vers 192.168.10.0/24 par SW-COEUR, le lui renvoie. Et ainsi de suite jusqu'à ce que le TTL tombe à 0 : une boucle de routage, qui consomme de la bande passante pour rien.

La parade est une route résumée vers Null0, une interface virtuelle qui jette tout :

SW-COEUR(config)# ip route 192.168.10.0 255.255.255.0 Null0

Les réseaux réellement utilisés, plus précis (/26, /27, /28, /30), restent prioritaires ; seules les adresses inutilisées tombent sur la route vers Null0 et sont jetées immédiatement, avec un message ICMP Destination Unreachable à l'émetteur. Les protocoles de routage créent ce genre de route tout seuls quand ils résument.

Un piège dans le piège : la DMZ, 192.168.10.224/28, est elle aussi dans 192.168.10.0/24, mais elle n'est pas connectée à SW-COEUR. Jusqu'ici, SW-COEUR l'atteignait par sa route par défaut ; avec la route vers Null0, plus précise que 0.0.0.0/0, il jetterait tout ce qui va vers le serveur web. Il faut donc lui donner une route explicite vers la DMZ, par le pare-feu :

SW-COEUR(config)# ip route 192.168.10.224 255.255.255.240 192.168.10.193

Préfixe le plus long : /28 l'emporte sur /24, et la DMZ reste joignable.

Statique ou dynamique ?

Chez Sorbier, avec trois sites en triangle, le statique montre ses limites : seize routes statiques sur quatre équipements, flottantes comprises (sans compter le pare-feu), des routes flottantes qui ne voient pas les pannes chez l'opérateur, et chaque nouveau réseau à ajouter sur quatre équipements. C'est le moment de passer à OSPF.

Tester une route

• ping depuis le routeur teste avec, comme adresse source, celle de l'interface de sortie. Pour tester comme le ferait un poste du réseau local, on choisit la source : ping 10.40.0.10 source GigabitEthernet0/0/1.10 sur R-MARSEILLE. Si le ping simple réussit et celui-ci échoue, c'est la route de retour vers le réseau local de Marseille qui manque quelque part.
• traceroute 10.40.0.10 liste les routeurs traversés : le dernier qui répond est celui après lequel ça casse.
• show ip route <adresse> dit quelle route le routeur utilise pour cette adresse.

Exercices

ip route 0.0.0.0 0.0.0.0 10.0.12.2

ip route 192.168.1.0 255.255.255.0 10.0.12.1
ip route 0.0.0.0 0.0.0.0 10.0.23.2

ip route 0.0.0.0 0.0.0.0 203.0.113.1
ip route 192.168.1.0 255.255.255.0 10.0.23.1
ip route 192.168.2.0 255.255.255.0 10.0.23.1
ip route 10.0.12.0 255.255.255.252 10.0.23.1