Résoudre le chevauchement d’adresses IP dans un environnement multicloud

F5

L’adressage IP privé est l’une des fonctionnalités les plus utiles du protocole. Cet espace d’adressage est destiné à une utilisation non réglementée à l’échelle locale — au sein d’une organisation, sans connexion via Internet — et a permis de créer librement des réseaux internes de grande envergure.

Cependant, cette flexibilité a un prix : lorsque l’on tente de connecter deux réseaux IP privés auparavant distincts, certaines adresses IP peuvent avoir été utilisées dans les deux réseaux. Comme les adresses IP doivent être uniques au sein de chaque réseau ou domaine de routage, ces doublons rendent instable l’accès au réseau vers et depuis les zones qui se chevauchent. Bien qu’il existe des solutions de contournement traditionnelles pour en limiter les effets, F5 Volterra permet d’éviter complètement ce problème.

Pourquoi le chevauchement pose problème

Lorsque deux parties distinctes d’un réseau se chevauchent et utilisent la même plage d’adresses de sous-réseau IP, deux problèmes majeurs se posent. Tout d’abord, ces deux sous-réseaux ne peuvent absolument pas communiquer entre eux, car aucun des appareils ne saura que l’adresse n’est pas destinée à un terminal local. Si ces sous-réseaux sont tous deux réservés aux clients et regroupent uniquement des utilisateurs, ce problème peut être simple à résoudre. En revanche, si l’un d’eux héberge des services réseau, ceux-ci seront totalement inaccessibles depuis l’autre. De plus, le chevauchement d’adresses IP affecte l’ensemble du trafic à destination de ces sous-réseaux, quelle que soit son origine dans le réseau. Comme les routeurs du réseau échangent des informations, les deux sous-réseaux seront annoncés, mais depuis deux emplacements différents. Les connexions peuvent alors être acheminées vers le mauvais emplacement à tout moment, même lorsqu’elles ont été établies avec succès.

L’essor moderne du chevauchement d’adresses IP

La cause la plus fréquente de chevauchement d’adresses IP dans les réseaux bien administrés est la connexion ou la fusion de deux réseaux auparavant distincts. Ce scénario est facile à imaginer lorsque deux organisations fusionnent, en particulier si le service informatique de chacune d’elles utilisait une convention d’attribution d’adresses similaire, par exemple 10/8 pour les terminaux et 172.16/12 pour l’infrastructure. Toutefois, les chevauchements sont de plus en plus fréquents lors de la connexion à un ou plusieurs clouds. Les plus grands réseaux individuels appartiennent à des acteurs hyperscale tels que les fournisseurs de cloud public, qui utilisent nécessairement un adressage IP privé. Lorsque chaque serveur héberge un grand nombre de machines virtuelles, voire davantage de conteneurs, une seule rangée peut consommer un réseau /16 entier. À mesure que la demande de services cloud augmentait, les besoins d’accès se sont eux aussi accrus, passant des VPN client-site aux VPN site à site, aux solutions de mise en réseau multicloud et même aux connexions WAN directes vers les centres de données cloud. Les VPN site à site et les liaisons WAN connectent de fait certaines parties du réseau cloud au réseau du client et, comme la plupart des réseaux clients reposent également sur des adresses IP privées, il en résulte de plus en plus souvent des chevauchements d’adresses IP.

Contourner le chevauchement d’adresses IP ou le résoudre

À mesure que les applications modernes distribuées se généralisent, les connexions entre applications, telles que celles entre cloud hybride, entre clouds et entre périphérie et cloud, se multiplieront également. Les architectures évolutives nécessiteront une méthode de gestion des chevauchements d’adresses IP qui puisse être facilement automatisée. De nombreux administrateurs réseau se tournent d’abord vers le NAT : après tout, c’est lui qui permet aux adresses IP privées de se connecter à l’Internet public. Cependant, le NAT ne fait que déplacer le problème au lieu de le résoudre : l’abstraction ne s’étend pas à l’intérieur du sous-réseau, ce qui reporte sur les applications et les services la gestion des cas particuliers, comme les réseaux distants utilisant la même plage de sous-réseau. En outre, le NAT nuit à la visibilité en créant un décalage entre les événements collectés à l’intérieur et à l’extérieur du sous-réseau. Les coûts d’exploitation récurrents induits par le NAT ne se justifient que lorsque les autres solutions, telles que la renumérotation, sont moins avantageuses.

Volterra VoltMesh de F5 offre une solution efficace au chevauchement d’adresses IP. Le chevauchement ne pose problème que lorsque les connexions reposent sur la couche L3. VoltMesh dissocie donc les adresses L3 des transactions effectuées aux couches L4 ou L7, en s’appuyant sur les mêmes méthodes de mise à disposition des applications auxquelles les clients de F5 font confiance depuis 25 ans. VoltMesh apporte toutefois une fonctionnalité unique : grâce à la distribution de ses fonctions, les équipes informatiques peuvent choisir n’importe quelle adresse IP, où qu’elle se trouve dans le maillage, pour mettre l’application à disposition. De plus, l’intégration de ces fonctions garantit une visibilité complète de bout en bout sur le réseau, la sécurité et même l’application. Avec VoltMesh, il est même possible de mettre un service distant à disposition dans un sous-réseau local avec une adresse IP locale, quelle que soit son adresse IP réelle. Aucune modification du réseau n’est donc nécessaire : ni NAT, ni ouverture ponctuelle dans le pare-feu, ni modification du routage. VoltMesh offre un contrôle total et une visibilité complète sans perturber le réseau, pour une résolution optimale du chevauchement d’adresses IP.

À l’ère du multicloud, les réseaux continuent de s’étendre et de s’interconnecter grâce à l’adressage IP privé. Le chevauchement d’adresses IP restera donc problématique tant que l’on continuera de privilégier les modes de connectivité traditionnels. Que ce soit sur site ou entre différents clouds, F5 Volterra VoltMesh permet de fournir des services en toute sécurité en dissociant les applications de la couche réseau, en assurant leur accessibilité sans connectivité directe et en garantissant une séparation nette afin que les réseaux privés restent privés.

Pour en savoir plus, veuillez consulter « Journey to the Multi-Cloud Challenges » sur le site DevCentral de F5, ainsi que « Get Complete Multi-Cloud Management » avec F5.

À propos de l’auteur

F5

Autres articles de F5