inetdoc.net

Une fois que les paquets nécessaires à la configuration sont installés, on peut passer au changement de configuration de l'interface réseau. On désactive l'interface eth0 avant de l'associer au commutateur.

Une fois la partie commutation de circuits en place, on s'intéresse maintenant au routage des paquets dans le sous-système réseau du système hôte. On utilise ici des interfaces logicielles de routage appelées Switch virtual interface que l'on configure sur le commutateur dsw-host.

Sur un système GNU/Linux, la fonction de routage est contrôlée par les paramètres du sous-système réseau du noyau. Le fichier principal de configuration des paramètres des sous-systèmes du noyau est : /etc/systcl. Voici la liste des paramètres à appliquer pour activer le routage IPv4 et le routage IPv6.

# egrep -v '(^#|^$)' /etc/sysctl.conf 
net.ipv4.conf.default.rp_filter=1
net.ipv4.conf.all.rp_filter=1
net.ipv4.ip_forward=1
net.ipv6.conf.all.forwarding=1
net.ipv4.conf.all.log_martians=1

Cette liste de paramètres n'est effective qu'après utilisation de l'instruction # sysctl -p.

Il est aussi possible le manipuler les paramètres individuellement à partir de la console à l'aide de commandes du type suivant :

# echo 1 > /proc/sys/net/ipv4/ip_forward
# echo 1 > /proc/sys/net/ipv6/conf/all/forwarding

Pour la partie IPv4, on fait appel à un démon DHCP sur le système hôte. On place ce démon en écoute sur les deux interfaces vlan10 et vlan20.

Après avoir installé le paquet du serveur DHCP, on restreint son usage aux deux VLANs de la maquette en éditant le fichier /etc/default/isc-dhcp-server. On obtient les résultats suivants.

# aptitude search ~idhcp-server
i   isc-dhcp-server      - ISC DHCP server for automatic IP address assignment

# egrep -v '(^#|^$)' /etc/default/isc-dhcp-server 
INTERFACES="vlan10 vlan20"

Côté configuration, on applique les éléments suivants dans le fichier /etc/dhcp/dhcpd.conf.

ddns-update-style none;

default-lease-time 600;
max-lease-time 7200;

authoritative;

log-facility local7;

subnet 198.51.100.0 netmask 255.255.255.0 {
  range 198.51.100.10 198.51.100.30;
  option domain-name-servers 192.0.2.1;
  option routers 198.51.100.1;
  option broadcast-address 198.51.100.255;
}

subnet 203.0.113.0 netmask 255.255.255.0 {
  range 203.0.113.10 203.0.113.30;
  option domain-name-servers 192.0.2.1;
  option routers 203.0.113.1;
  option broadcast-address 203.0.113.255;
}

Pour la partie IPv6, on fait appel au paquet radvd pour l'autoconfiguration des hôtes en mode SLAAC (Document RFC4862 IPv6 Stateless Address Autoconfiguration). On vérifie que le paquet est bien installé :

# aptitude search ~iradvd
i   radvd                - Démon d'information de routeur

Voici ensuite une copie du fichier /etc/radvd.conf du système hôte.

interface vlan10
{
   AdvSendAdvert on;
   prefix fd6e:c073:b4a3:a::/64
   {
       AdvOnLink on;
       AdvAutonomous on;
       AdvRouterAddr on;
   };

   RDNSS 2001:db8:fe00:8175::1
   {
   };
};

interface vlan20
{
   AdvSendAdvert on;
   prefix fd6e:c073:b4a3:14::/64
   {
       AdvOnLink on;
       AdvAutonomous on;
       AdvRouterAddr on;
   };

   RDNSS 2001:db8:fe00:8175::1
   {
   };
};

Les tables de routage font apparaître les correspondances entre les préfixes réseau définis plus haut et les interfaces configurées sur le commutateur Open vSwitch dsw-host.

La table de routage IPv4 est :

$ ip route ls
default via 192.0.2.1 dev vlan1 
192.0.2.0/26 dev vlan1  proto kernel  scope link  src 192.0.2.29 
198.51.100.0/24 dev vlan10  proto kernel  scope link  src 198.51.100.1 
203.0.113.0/24 dev vlan20  proto kernel  scope link  src 203.0.113.1

La table de routage IPv6 est :

$ ip -6 route ls
2001:db8:fe00:8175::/64 dev vlan1  proto kernel  metric 256  pref medium
fd6e:c073:b4a3:a::/64 dev vlan10  proto kernel  metric 256  pref medium
fd6e:c073:b4a3:14::/64 dev vlan20  proto kernel  metric 256  pref medium
fe80::/64 dev vlan1  proto kernel  metric 256  pref medium
fe80::/64 dev eth0  proto kernel  metric 256  pref medium
fe80::/64 dev vlan10  proto kernel  metric 256  pref medium
fe80::/64 dev vlan20  proto kernel  metric 256  pref medium
fe80::/64 dev tap0  proto kernel  metric 256  pref medium
fe80::/64 dev tap1  proto kernel  metric 256  pref medium
default via 2001:db8:fe00:8175::1 dev vlan1  metric 1024  pref medium

Les VLANs Orange et Vert utilisent des préfixes réseau non routables sur l'Internet. On a donc recours à un artifice pour accéder au réseau public : la traduction des adresses sources (S-NAT) avec les deux protocoles IPv4 et IPv6.

Voici une copie des fichiers de règles pour les deux protocoles de couche réseau.

#
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT
#
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -p tcp -m tcp --syn -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
-A POSTROUTING -o vlan1 -j SNAT --to-source 192.0.2.29
COMMIT

#
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT
#
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -p tcp -m tcp --syn -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
-A POSTROUTING -o vlan1 -s fd00::/8 -j SNAT --to-source 2001:db8:fe00:8175::1d
COMMIT

De façon usuelle, il faut «surveiller» les compteurs associés à chaque règle pour en mesurer l'utilisation. À partir des deux jeux de règles donnés ci-dessus, on obtient les résultats suivants.

# iptables -t nat -vnL POSTROUTING
Chain POSTROUTING (policy ACCEPT 10 packets, 975 bytes)
 pkts bytes target     prot opt in     out     source       destination         
    7   420 TCPMSS     tcp  --  *      *       0.0.0.0/0    0.0.0.0/0    tcp flags:0x17/0x02 tcpmss match 1400:1536 TCPMSS clamp to PMTU
  143  9668 SNAT       all  --  *      vlan1   0.0.0.0/0    0.0.0.0/0    to:192.0.2.29

# ip6tables -t nat -vnL POSTROUTING
Chain POSTROUTING (policy ACCEPT 117 packets, 11199 bytes)
 pkts bytes target     prot opt in     out     source       destination         
   94  7520 TCPMSS     tcp      *      *       ::/0         ::/0         tcp flags:0x17/0x02 tcpmss match 1400:1536 TCPMSS clamp to PMTU
   12  1112 SNAT       all      *      vlan1   fd00::/8     ::/0         to:2001:db8:fe00:8175::1d

On lance deux instances de systèmes virtuels dans chacun des deux VLANs Orange et Vert à l'aide du script suivant :

#!/bin/bash

../scripts/ovs-startup.sh orange.qed 1024 0
../scripts/ovs-startup.sh green.qed 1024 1

Le code du script de lancement d'une machine virtuelle raccordée à un commutateur Open vSwitch est donné dans le guide Virtualisation système et enseignement.

Dans ce script, l'instance orange.qed utilise le cordon de brassage tap0. Ce cordon a été brassé sur un port en mode accès associé au VLAN 10. Son adresse MAC est générée automatiquement en fonction du numéro du cordon : ba:ad:ca:fe:00:00.

De la même façon, l'instance green.qed utilise le cordon de brassage tap1. Ce cordon a été brassé sur un autre port en mode accès associé au VLAN 20. Son adresse MAC est générée automatiquement en fonction du numéro du cordon : ba:ad:ca:fe:00:01.

On visualise l'état des connexions en consultant la table CAM ( Content-addressable memory) du commutateur dsw-host.

$ sudo ovs-appctl fdb/show dsw-host
 port  VLAN  MAC                Age
    4    20  ba:ad:ca:fe:00:01    3
    5    10  66:d2:01:39:4a:21    3
    3    10  ba:ad:ca:fe:00:00    3
    6    20  ee:8f:84:8e:cb:a8    3
    1     0  de:56:80:40:1d:ed    0
    2     0  42:d9:5d:6c:89:d8    0

Depuis le système virtuel dans le VLAN Orange, on effectue une série de tests ICMP et HTTP.

Enfin, il est possible de faire des tests de performances réseau avec l'outil iperf. Voici un échantillon de mesures entre les deux VLANs Orange et Vert.