Dans le scénario défini dans la Section 2,
« Topologie Hub & Spoke - Protocole PPPoE », un
routeur de site d'extrémité ou Spoke ne
peut accéder aux autres réseaux que via le routeur Hub. Son interface WAN joue donc le rôle de route par défaut pour
le réseau local des hôtes hébergé sur un site distant.
Les paquets ppp sont installés
sur chaque routeur Spoke via l'accès
réseau temporaire. Il faut donc éditer et appliquer les
modifications faites dans le fichier /etc/netplan/enp0s1.yaml.
sudo apt -y install ppp
Le fichier /etc/ppp/chap-secrets
contenant les authentifiants pour l'établissement de la session
PPP est complété.
# Secrets for authentication using CHAP
# client server secret IP addresses
"spoke_site1" * "0r4ng3_1" *
# Secrets for authentication using CHAP
# client server secret IP addresses
"spoke_site2" * "0r4ng3_2" *
Le fichier /etc/ppp/peers/pppoe-provider de définition du
profil de session PPP est
créé.
Avertissement
Le nom d'utilisateur doit correspondre à l'entrée du fichier
/etc/ppp/chap-secrets !
Le numéro de VLAN de la
sous-interface doit désigner le bon côté du triangle de la
topologie !
cat << 'EOF' | sudo tee /etc/ppp/peers/pppoe-provider
# Le nom d'utilisateur désigne l'entrée du fichier /etc/ppp/chap-secrets
user spoke_siteX
# Chargement du module PPPoE avec les détails dans la journalisation
plugin rp-pppoe.so rp_pppoe_ac BRAS rp_pppoe_verbose 1
# Interface (VLAN) utilisé pour l'établissement de la session PPP
enp0s1.VVV
# Les adresses sont attribuées par le "serveur" PPPoE
noipdefault
# L'adresse de résolution DNS est aussi fournie par le serveur PPPoE
usepeerdns
# La session PPP devient la route par défaut du routeur Spoke
defaultroute
# Demande de réouverture de session automatique en cas de rupture
persist
# Le routeur Spoke n'exige pas que le routeur Hub s'authentifie
noauth
# Messages d'informations détaillés dans la journalisation
debug
# Utilisation du protocole IPv6
+ipv6
# Options préconisées par la documentation
noaccomp
default-asyncmap
nodeflate
nopcomp
novj
novjccomp
lcp-echo-interval 10
EOF
Les unités systemd sont créées
et activées sur chaque routeur Spoke.
Avertissement
Le numéro de VLAN de la
sous-interface doit désigner le bon côté du triangle de la
topologie !
Une fois la session PPP
établie, n'oubliez pas de désactiver l'accès réseau temporaire et
s'assurer que c'est bien cette session qui sert de route par défaut
pour accéder à tous les autres réseaux.
Il faut donc éditer à nouveau et appliquer les modifications
faites dans le fichier /etc/netplan/enp0s1.yaml.
Voici un exemple de test lancé sur le second routeur Spoke de la maquette.
ip route get 9.9.9.9
9.9.9.9 dev ppp0 src 10.44.3.2 uid 1000
cache
On doit éditer le fichier /etc/systemd/resolved.conf sur chaque routeur
Spoke pour affecter directement
l'adresse de résolution DNS.
Attention
L'affectation de l'adresse IPv4 ou IPv6
de résolution DNS pose problème.
En effet, si le démon pppd propose bien deux adresses
via l'option usepeerdns, ces
propositions ne sont pas prises en charge par le service
systemd-resolved.
On contourne cette difficulté en affectant une adresse
IPv4 directement au service
systemd-resolved.
N'oubliez pas de relancer le service pour prendre en compte les
modifications du fichier.
sudo systemctl restart systemd-resolved
À ce stade de la configuration, les sessions PPP des deux routeurs Spoke sont en place et on peut analyser les
messages présents dans les journaux système et identifier les
traitements réalisés par les différentes fonctions des
protocoles.
Q10.
Comment vérifier que le protocole
PPPoE a bien permis d'identifier
les extrémités en communication dans le réseau de diffusion
(VLAN orange) avant de lancer
l'ouverture de session PPP ?
Rechercher les options de la commande journalctl pour faire afficher
les messages utiles de la journalisation système.
Dans le but de minimiser le nombre de lignes affichées, on peut
combiner les commandes journalctl et grep. Les possibilités sont très
diverses. Voici un exemple côté routeur Spoke.
L'extrait ci-dessus montre la séquence spécifique au protocole
PPPoE :
Découverte avec émission de la trame PADI depuis le routeur Spoke.
Offre avec réception de la trame PADO depuis le routeur Hub.
Requête avec émission de la trame PADR depuis le routeur Spoke pour accepter l'offre.
Ouverture de session avec la trame PADS quand les deux extrémités de la liaison
point à point sont en accord.
Côté routeur Hub, les journaux de
chaque unité de service pppoe-serverX permettent de vérifier que les
adresses MAC correspondent bien
au bon routeur Spoke pour chaque côté du
triangle de la topologie.
Voici deux exemples pour la maquette de rédaction de ce
document.
journalctl -u pppoe-server1.service -n 100 | grep created
hub pppoe-server[621]: Session 1 created for client b8:ad:ca:fe:00:06 (10.44.1.2) on enp0s1.441 using Service-Name ''
journalctl -u pppoe-server2.service -n 100 | grep created
hub pppoe-server[673]: Session 1 created for client b8:ad:ca:fe:00:07 (10.44.3.2) on enp0s1.443 using Service-Name ''
Q11.
Quels sont les messages des journaux
système qui montrent que la session PPP a bien été établie ?
Après avoir consulté la page Point-to-Point Protocol repérer les messages
relatifs aux deux sous-couches LCP et NCP
du protocole PPP.
Les messages PPP sont
présents sur tous les routeurs de la topologie. Voici deux exemples
prélevés côté Hub et côté Spoke.
extrait des négociations de paramètres et de l'authentification
dans la sous-couche LCP côté
Hub.
Dans l'exemple ci-dessus, on repère immédiatement le dernier
message qui conclue la phase d'authentification du routeur
Spoke auprès du routeur Hub avec succès.
Plus haut, on repère aussi l'identité utilisée pour cette
authentification : spoke_site2.
Extrait des mêmes négociations de paramètres et de
l'authentification dans la sous-couche LCP côté Spoke.
Le point important ici, c'est relever le statut des scripts
d'application des routes par défaut vers la liaison PPP pour les routeurs Spoke. En l'état actuel de la configuration,
l'attribution de la route par défaut IPv6 ne se fait pas. Il faudra donc corriger ça
dans la partie suivante.
![[Avertissement]](/images/warning.png)
![[Attention]](/images/caution.png)