Internet is Coming

• Internet is Coming (partie 1) | https://julien.vaubourg.com/files/internet-is-coming-1.mp4 ;
  
  
• Internet is Coming (partie 2) | https://julien.vaubourg.com/files/internet-is-coming-2.mp4 ;

Un talk en deux parties.

• La première, pas trop technique, explique très bien, de manière pédagogue comment fonctionne Internet, ce que sont un Fournisseur d'Accès à Internet (FAI), du transit, du peering, de la collecte, le dégroupage ADSL, les points d'échange, BGP, etc. Je la trouve complémentaire à la partie explicative du tome 2 du guide d'autodéfense numérique qui n'évoque pas les réseaux de collecte ni la complexité d'Internet. J'en recommande vivement le visionnage.
  
  
• La deuxième partie, orienté technique, explique concrètement comment monter un petit FAI et notamment comment configurer BIRD, l'une des implémentations de routeur logiciel sous licence libre.

Quelques corrections et remarques (déjà transmises à l'auteur) :

Partie 1 :

• Sur l'aspect physique d'Internet, voir aussi :

  • Hardware porn ;
    
    
  • Économie et géopolitique autour des fibre trans-océaniques. Mes notes sur cette émission.

• ARCEP :

  • Il n'y a plus besoin de déclarer annuellement le chiffre d'affaires du FAI à l'ARCEP, mais il s'agit d'une dispense bancale désirée par l'ARCEP pour se simplifier la vie (l'ARCEP envoie la demande de déclaration aux FAI dont elle sait déjà qu'ils dépassent le seuil d'imposition et si tu viens à dépasser, t'es prié de te signaler), mais pas ce qui est prévu dans les textes.
    
    
  • Si le FAI veut faire du Wi-Fi comme dans le premier cas présenté, il faut également cocher « Etablir / Exploiter des réseaux de communications électroniques ouverts au public » sur la déclaration ARCEP.

• L'auteur dit que les datacenters sont des lieux sécurisés. Mouiiii, c'est très très relatif : TH2 est plus sécurisé que le DC low-cost situé dans une grande ville. Tous comme les NRA/NRO ne sont pas les forteresses que l'on décrit. Il faut désacraliser ces endroits : ils n'ont rien de différents d'un hangar aménagé, il n'y a pas forcément un service de gardiennage, etc.
  
  

• Lorsqu'il évoque la facturation du transit IP, l'auteur explique qu'il n'y a pas de forfait. Or, les commit (engagement sur le minimum mensuel qui sera facturé, qu'il soit consommé ou non) sont des forfaits. Quelle différence entre 50 Mbps pour 180 €/mois (Cogent) ou 36 €/mois le 1er Mbps (Gitoyen) et mon forfait téléphonique 2h d'appel pour 2 €/mois ?
  
  

• L'auteur dit que le DSLAM est le premier nœud IP. Ça dépend. Chez Free, oui, le DSLAM fait aussi routeur IP donc tu le vois dans un traceroute. Chez SFR et Orange, le premier nœud IP est le LNS (bien que le DSLAM soit manageable à distance en IP, au moins chez SFR).
  
  

• L'authentification RADIUS ne se fait pas à l'intérieur du tunnel L2TP car c'est elle qui permet de filer les paramètres disant "ok, je connais ce client, montes-moi un tunnel L2TP vers ici, stp". En gros, le BRAS SFR interroge son RADIUS qui, grâce à la forme du realm (une partie de l'identifiant de l'utilisateur, pour faire simple) sait qu'il faut interroger le RADIUS de Nerim qui sait, grâce au realm, qu'il faut interroger FDN qui sait qu'il faut interroger Starknet qui autorise le client. C'est ensuite que le L2TP est monté.
  
  

• Slide 54 : l'AS_PATH le plus à gauche est faux et devrait être : AS20766, AS60630, AS2200.
  
  

• Slide 56 : « On choisit le transitaire qui coûte le moins cher au Mb/s (à qualité égale) ». Bah pas vraiment. 1) t'es FAI donc tu reçois depuis Internet plus que ce que tu émets vers Internet. Or, tu ne contrôle pas le chemin emprunté par les autres opérateurs qui constituent Internet pour t'envoyer du trafic donc le contrôle du coût est tout relatif. 2) pour contrôler le coût à "qualité" (que je choisis d'interpréter comme "longueur de route") égale, ça ne se fait pas avec la localpref (qui intervient en amont de la longueur de la route) mais avec les critères suivants dans l'algo BGP genre la métric IGP.
  
  

• Slide 63 : les coûts de branchement à l'IX, qui est pourtant largement évoqué dans cette partie du talk, ne sont pas indiqués.

Partie 2 :

• Slide 21 : on exporte uniquement notre allocation IP globale à nos pairs BGP externes un peu comme les panneaux, sur les autoroutes indiquent les grandes villes mais ni les bleds paumés ni chaque quartier de chaque ville : leur signalisation sera effectuée à l'interieur de la ville. Simple granularité de l'information transmise afin de ne pas saturer les mémoires des routeurs. L'auteur l'expliquera très bien plus loin.
  
  
• Slide 24 : le bout de sysctl.conf pour activer le transfert de paquets IPv6 d'une interface réseau à une autre est erroné il s'agit de « net.ipv6.conf.all.forwarding=1 ».
  
  
• Dans un fichier interfaces, tu n'as pas besoin d'indiquer une ligne « netmask » : « address 192.0.2.1/29 » fonctionne très bien. \o/
  
  
• Le filtre BGP présenté n'est pas à jour : il ne faut pas ignorer les annonces pour 2001::/32 ni pour 2002::/16 (pour ce dernier, c'est le check « len < 19 » qui va l'ignorer). Je conseille aussi la lecture du guide de configuration de BGP de l'ANSSI.
  
  
• L'auteur dit plusieurs fois que si la localpref et l'AS_PATH sont égaux, alors la route sera choisie au pif. Certainement pas : BGP est déterministe, toujours. D'autres critères seront utilisés jusqu'à ce qu'il ne reste qu'une seule route : ancienneté de la session BGP, identifiant du routeur, etc. Quand il y a plusieurs routeurs : en sortie du réseau du FAI, le critère « eBGP > iBGP » l'emportera donc ton routeur émettra toujours sur transit/peering, il ne passera jamais la patatee à l'autre routeur interne. En entrée, ça dépend du prestataire : soit son routeur préférera le routeur ayant la session BGP la plus ancienne, soit il utilise ECMP + BGP multipath et le trafic sera alors réparti entre les deux routeurs.
  
  
• Slide 58 : l'auteur dit très brièvement que l'on pourrait utiliser OSPF à la place de BGP entre les 2 routeurs de bordure du FAI : N-O-N. 1) iBGP permet de synchroniser les choix genre la localpref, ce que ne permet pas OSPF. 2) mettre la fullview dans OSPF, ça fonctionnera très mal puisque OSPF est à état de liens : tu écrouleras ton lien d'interco et tes CPU. OSPF s'utilise entre les routeurs de bordure et les routeurs internes (et entre routeurs internes, bien entendu).