Mise en place d’un VPN MPLS
Introduction
Dans le cadre de ma préparation pour l’examen écrit, j’ai presque fini de lire « MPLS Fundamentals » de Luc de Ghein.
Ce livre m’a beaucoup aidé à démystifier MPLS et ses différents mécanismes et d’un en particulier dont nous allons parler aujourd’hui: les VPN MPLS.
Je vais concentrer le sujet de ce billet sur l’implémentation de la technologie qui reste, une fois qu’on a assimilé les concepts inhérents, très logique à faire et à suivre.
Comme d’habitude, on commence par une topologie diabolique(ou pas…) faite maison:
Plusieurs précisions s’avèrent nécéssaires pour la bonne compréhension de ce schéma.
Plan de lecture avant l’examen écrit
Aujourd’hui, petit point sur mon avancement de la préparation de l’écrit.
Plongé dans les livres depuis un moment, j’ai depuis peu repensé mon plan de lecture nottament avec l’ajout de quelques livres!
Je me suis fixé une échéance pour l’examen écrit d’ici mars 2012 ce qui est pour le moment très enviseageable.
J’ai déjà certains livres que j’ai finis de lire depuis un moment :
- CCIE Official Certification Guide de Wendell Odom
- Routing TCP/IP Volume 1 de Jeff Doyle
Le plan d’attaque comme décrit ici (CCIE planning) pour les prochains est le suivant :
- QoS Exam Certification Guide(pour fin 2011)
- MPLS Fundamentals(pour fin janvier 2012)
- TCP/IP Routing Volume II(fin février 2012)
- CCIE Quick Reference (fin février 2012)
Protocoles de transition IPv6 : 6to4
Introduction
Comme vous le savez, nous sommes « à court » d’IPv4 publiques depuis le début de l’année.
Autant dire que cet évènement va, je l’espère, accélérer la transition inéluctable vers une architecture plus portée vers l’IPv6.
Maintenant vous pouvez vous poser la question légitimement, comment passer « en douceur » à l’IPv6 sans forcément bannir IPv4 de votre réseau interne et externe et remettre en question votre architecture entière.
C’est là où les protocoles de transition rentrent en jeu et notamment celui que nous allons voir dans ce post : 6to4.
6to4
Le postulat de ces protocoles de transition reste assez simple. Il s’agit de permettre à du traffic de type IPv6 de passer à travers un réseau IPv4 classique. Cela est rendu possible grâce au routeur qui encapsule notre paquet IPv6 dans la zone de données du paquet IPv4(c’est-à-dire le payload) et ainsi l’envoyer à travers un réseau IPv4 dans perdre aucune information IPv6.
Remarquez que l’on pourra aisément distinguer ce type de paquet grâce au Type 41 dans le header de notre paquet IPv4.
6to4 va vous permettre d’établir des tunnels de type point-to-multipoint de façon totalement dynamique.
La force de cette technologie est de pouvoir par exemple, ajouter 100 routeurs dans votre topologie sans pour autant remettre en cause la configuration de vos routeurs existants puisque tout s’établit de façon dynamique!
Ce protocole utilise la range 2002::/16 pour pouvoir fonctionner.
L’inconvénient principal néanmoins de 6to4 est qu’il ne prend pas en charge les IGP, ce qui n’est pas nécéssairement un problème si vous restez dans un environnement 6to4.
Mirroring de port avec SPAN & RSPAN
Aujourd’hui, un client que je suis depuis un moment m’a contacté pour exprimer un besoin assez spécifique: permettre à un IDS de détecter une potentielle tentative d’attaque en général en provenance d’Internet et/ou du routage inter-VLAN en utilisant une solution basée sur Snort.
L’entreprise ne voulant pas faire de frais supplémentaires en achetant des équipements ou extensions IDS/IPS, nous allons devoir respecter cette contrainte et faire avec ce que nous avons, des équipements réseaux Cisco.
Topologie
Voici la topologie type à laquelle nous avons à faire:
Le routeur que vous voyez ici a déjà des sous-interfaces de configurées pour assurer le routage inter-VLAN. Il permet également aux hôtes via du NAT de pouvoir accéder à Internet.
De façon assez logique, pour permettre le bon travail de cette solution, il faudra vous assurer que l’IDS recevra systématiquement une copie des trames qui émanent ou sont destinées au routeur(traffic Internet et routage inter-VLAN).
Examens et stratégie d’attaque
Avant de parler des différentes stratégies envisageables pour se préparer pour la CCIE, je vais juste vous parler rapidement des deux examens nécéssaires à la validation du titre CCIE.
Vous le savez, pour devenir CCIE, vous devez passer par deux examens:
- passer un examen écrit
- durée de 120 minutes(plus le bonus pour les non-natives english de 30 minutes).
- de 90 à 110 questions peuvent se trouver dans votre examen
- coût de 350€ H.T. environ
- pré-requis: aucun
- passer un examen pratique
- lab de 8h avec 2h de troubleshooting et 6h de configuration
- coût de 1200€ environ
- rajouter dans ce coût les frais d’hébergements et autres(le plus proche centre de passage en partant de Paris est celui de Bruxelles)
- pré-requis: avoir l’examen écrit réussi en poche
Que cela soit pour le premier ou le second, vous pouvez imaginer ô combien votre temps est précieux et sera je pense un des facteurs clef de votre réussite.
Étrangement, Cisco ne vous demande pas pour devenir CCIE de passer par la voie classique CCNA+CCNP. Aucun pré-requis n’est donc sur le papier nécessaire même si Cisco vous recommande d’avoir suivi les cursus précédent ce titre.
Passage d’un rack CCNP à CCIE
On ne parle pas de CCIE sans parler obligatoirement d’expériences pratiques.
Depuis le commencement de mon parcours CCNP Routing & Switching et jusqu’à son obtention il y a quelques semaines maintenant, je me suis fabriqué un « rack maison » qui m’a permis en complément de la théorie de pratiquer sur du matériel Cisco dont j’ai l’habitude de me servir quand je réalise des déploiements.
Le dilemme posé au départ pour la préparation pratique de cette certification m’offrait deux options distintes: me construire un rack Cisco entier ou me faire une architecture virtuelle à l’aide de simulateurs. J’ai choisi la première option après mûre réfléxion avec ses avantages et ses inconvéniants :
- + Charge CPU quasi nulle
- + Expériences sans limites
- + Moins de bug
- – Coût
- – Fléxibilité
Même si l’investissement que j’ai réalisé a été important(de l’ordre de 4000€ pour le matériel ici), la pratique sur du vrai matériel ne peut pas être égalée par un quelquonque simulateur. Néanmoins, on enlève de la fléxibilité à l’expérience puisque je ne peut pas réaliser mes labs quand je suis par exemple en déplacement surtout quand ceux-ci incluent du câblage à réaliser.
Ouverture de ce blog
Bonjour à tous.
Laissez-moi me présenter pour ceux qui ne connaîtrait pas encore, je m’appelle Julien Berton. Je suis actuellement étudiant dans l’école SUPINFO International University en 4ème année(Master 1).
Je me suis passionné depuis le plus jeune âge pour l’informatique et grâce en grande partie aux cursus de mon école et à mes différents stages en entreprise, j’ai pu développer mes compétences et me spécialiser dans les réseaux de télécommunications.
J’ai concrétisé cet intérêt en passant plusieurs certifications Cisco notamment CCNA, CCNA Security et plus récemment CCNP dans l’objectif en majeure partie de développer mes compétences mais aussi de pouvoir me différencier en prouvant celles-ci à un employeur.
L’objet de ce blog représentera ma prochaine étape dans cette démarche dans ma quête d’une des certifications que je respecte personnellement le plus, la CCIE.
C’est un challenge pour moi qui est encore étudiant mais « le jeu en vaut largement la chandelle » d’un côté pour continuer de développer mes connaissances dans ce domaine qui désormais me passionne mais qui me permettra également de pouvoir à long terme occuper un poste aux responsabilités et aux enjeux importants.
Ce blog deviendra pour moi un journal de bord pour suivre mes progressions et mes interrogations mais également je l’espère, un espace où je pourrais avec d’autres, échanger et partager sur des thèmes aussi passionnants les uns que les autres.
Bonne visite sur ce blog.
– Julien
