Brevet FR2872369A1 — publié le 20051230

PROCEDE DE GESTION D'UNE INTERCONNEXION ENTRE RESEAUX DE TELECOMMUNICATION ET DISPOSITIF METTANT EN OEUVRE CE PROCEDE. La présente invention concerne un procédé de gestion d'une interconnexion entre des réseaux de télécommunication et un dispositif mettant en oeuvre ce procédé. Un réseau de télécommunication comprend un ensemble de dispositifs électroniques, comme par exemple des ordinateurs, des imprimantes ou des dispositifs de stockage d'information, qui s'échangent des données, notamment grâce à des dispositifs d'interconnexion, dénommés noeuds de réseaux, faisant partie du réseau. Ces dispositifs d'interconnexion comprennent généralement des moyens d'interconnexion physiques (ou hardware en anglais), tels que des commutateurs, et des moyens d'interconnexions logiciels (ou software en anglais). Un réseau de télécommunication peut aussi être être en relation avec des dispositifs extérieurs à ce réseau, certains de ses noeuds servant de passerelle de communication vers ces dispositifs extérieurs. Ces noeuds sont alors dénommés dispositifs ou noeuds de passerelle. Chaque dispositif d'un réseau a une adresse propre et unique qui permet de lui adresser des informations. Lorsque ces informations sont transmises d'un premier dispositif vers un deuxième dispositif via des dispositifs tiers du réseau, on dit que ces informations sont routées au travers de ce réseau. Pour permettre un tel routage, toutes les informations de communication dans un réseau donné sont échangées selon un même protocole de routage interne au réseau, dénommé IGP (en anglais 'interior Gateway Protocol' ou Protocole interne à la passerelle). Par ailleurs, des réseaux, dénommés réseaux clients par la suite, peuvent communiquer entre eux via des réseaux tiers de communications, dénommés par la suite réseaux fournisseurs. Pour faciliter l'interconnexion entre les réseaux clients, les réseaux fournisseurs peuvent comprendre des moyens d'interfaçage pour communiquer avec les différents réseaux clients de telle sorte qu'un premier dispositif d'un premier réseau 2872369 2 client puisse communiquer avec un deuxième dispositif d'un deuxième réseau client comme si ce deuxième dispositif était interne au premier réseau client. Le réseau fournisseur devient alors transparent pour les utilisateurs des réseaux clients. On dit alors que le réseau fournisseur offre un service de Réseau Privé Virtuel, dénommé VPN (sigles de 'Virtual Private Network' ou Réseau Privé Virtuel), et qu'on a ainsi créé un réseau privé virtuel entre les différents réseaux clients concernés. Aussi, les réseaux clients reliés de la sorte sont gérés comme s'ils formaient un même réseau (notamment l'ensemble des adresses doit être cohérent et l'ensemble des réseaux clients reliés de la sorte doit utiliser un même protocole de routage interne IGP). L'ensemble de ces réseaux clients interconnectés en VPN forment un seul domaine administratif. Un réseau privé virtuel 100 (Figure 1), dénommé communément VPN, est décrit ci-dessous. Il comprend notamment un réseau 106 client, muni de noeuds 104 et de dispositifs électroniques (non représentés) rattachés au réseau 106, localisé sur un site 102 géographique. Le réseau VPN comprend également un autre réseau 122 client, contenant notamment des noeuds 124 de réseau et des dispositifs électroniques (dispositifs non représentés) rattachés au réseau 122, localisé sur un site 118 géographique. Un réseau 126 fournisseur interconnecte les réseaux 106 et 122 clients. On dit alors que les deux réseaux 106 et 122 clients reliés par le réseau 126 fournisseur forment un seul domaine 128 administratif autonome, dit domaine 128 client. Par ailleurs, le réseau 126 fournisseur comprend notamment des noeuds 112, 114 et 116 qui gèrent des voies de communications internes au réseau 126. Certains de ces noeuds 112 et 116, dénommés noeuds de passerelle fournisseur, ont d'autres fondions, notamment celle de liens entre le réseau 126 et l'extérieur de ce réseau 126. Pour raccorder les réseaux 106 ou 122 clients au réseau 126 fournisseur, un noeud 108 ou 120 de passerelle client est connecté à un noeud 112 ou 116 de passerelle fournisseur grâce à un lien 130 ou 132 frontière de telle sorte que les données circulent donc entre le réseau 106 et le réseau 122 au travers du réseau 126. Il est également connu d'utiliser un protocole de routage interne, ou IGP, pour communiquer dans le domaine administratif 128 client. Certains IGP connus sont, par exemple: - le Protocole du Calcul du Plus Court Chemin ou OSPF (en anglais 'Open 5 Shortest Path First'), - le Protocole IS-IS (en anglais 'Intermediate System to Intermediate System', soit Protocole de système intermédiaire à système intermédiaire) - le Protocole de routage RIP, (en anglais 'Routing Information Protocol', soit Protocole d'Informations de Routage). En dehors du domaine administratif du client 128, les communications utilisent un protocole de routage externe dénommé EGP (en anglais 'Externat Gateway Protocol'). Un des EGP utilisé est par exemple le Protocole de Passerelle de Frontière, dénommé BGP (en anglais 'Border Gateway Protocol'). Un problème pour le réseau 126 réside dans la mise en oeuvre de moyens logiciels et matériels assurant un transport des données satisfaisant, et notamment en assurant leur cohérence -par exemple en respectant l'ordre des paquets de transmission si les données sont transportées par paquets , leur intégrité -lorsque ces données sont cryptées - et leur destination - en interprétant les adresses provenant du système de communication du client. Une norme utilisée pour la gestion d'un réseau VPN est la norme 2547bis (de l'organisme IETF (en anglais 'Internet Engineering Task Force') aussi dénommée BGP/MPLS (en anglais 'Border Gateway Protocol' / 'Multiprotocol Label Switching', soit Protocole de Passerelle de Frontière / Procédé de Communication de Commutation Multiprotocole par Etiquette). De fait, la norme BGP/MPLS résulte de l'association du protocole BGP et du Procédé de Communication de Commutation Multiprotocole par Etiquette, dénommé MPLS (procédé pour mettre en place un ou des circuits virtuels ou tunnel MPLS, dans le réseau 126). Si le protocole de routage interne dans le domaine administratif du client 128 est le protocole RIP et qu'un VPN 2547bis est utilisé pour la gestion du réseau, alors un noeud de passerelle fournisseur, comme le noeud 112 ou le noeud 116, peut 2872369 4 communiquer avec le noeud de passerelle client correspondant, respectivement le noeud 108 ou le noeud 120, en utilisant ce protocole RIP. La présente invention résulte de la constatation que, dans le cadre de la norme 2547bis, il n'est pas possible de mettre en communication deux noeuds de passerelle client (comme le noeud 108 et le noeud 118) appartenant au même domaine utilisant le protocole RIP, tout en assurant que le réseau fournisseur soit transparent pour l'utilisateur des réseaux clients. De fait, selon une constatation propre à l'invention, il apparaît que le protocole BGP ne peut pas inclure tous les paramètres requis par le protocole RIP nécessaires au bon acheminement des données. Notamment, le protocole BGP ne prévoit pas actuellement des paramètres ou des objets spécifiques pour encapsuler les informations concernant les points de passage de l'information dans un réseau utilisant le protocole RIP, alors que cette information est contenue dans les données circulant dans un réseau utilisant le protocole RIP, ce qui provoque une perte d'information lors de l'interfaçage RIP / BGP. Un tel défaut de compatibilité peut avoir des conséquences importantes. Par exemple, pour des motifs de sécurité, il peut être imposé que tous les messages entrants dans le domaine 128 administratif passe par un serveur 136 de sécurité (dénommé en anglais 'firewall') situé dans le réseau 122. Or il se peut qu'un de ces messages entrants soit destiné à un dispositif 138 électronique situé dans le réseau 104. Ce message arrivant à un point d'entrée quelconque du domaine 128 est redirigé vers le serveur 136. Une fois que le message passe par le serveur 136 et, s'il n'y a pas de problèmes de sécurité, le message est alors redirigé vers le noeud 120 passerelle client puis vers le noeud 116 passerelle fournisseur. Ensuite, le message est transporté par le réseau 126 fournisseur jusqu'au noeud 112 passerelle fournisseur puis au noeud 108 passerelle client. Comme le protocole BGP n'a pas les extensions pour contenir, entre autres, les points de passage du message, alors le noeud 108 passerelle client ne peut pas déterminer que le message est déjà passé (et donc a été filtré) par le serveur 136 de sécurité. 2872369 5 Donc le noeud 108 renvoie le message vers le serveur 136. Ainsi, le message est mis dans une boucle permanente de laquelle il ne peut sortir: on obtient une boucle perpétuelle. Ce problème majeur entraîne d'autres problèmes qui se posent pour faire cohabiter un domaine administratif utilisant le protocole RIP avec la norme VPN 2547bis, notamment lors d'un remplacement d'un réseau de transport utilisant le protocole RIP par une solution VPN BGP/MPLS (par exemple dans le cadre d'une offre de service fournisseur vers un client utilisant RIP), a savoir: - Les administrateurs d'un domaine administratif doivent être formés et doivent utiliser des protocoles de passerelles autres que le protocole de routage RIP utilisé comme protocole de routage interne dans leur domaine, - Les noeuds de passerelle clients doivent pouvoir communiquer avec d'autres protocoles que celui qu'ils utilisent vis-à-vis du domaine client pour s'interfacer avec les noeuds de passerelle fournisseur. La présente invention vise à remédier au moins à un des problèmes identifiés ci-dessus. C'est pourquoi, l'invention concerne un procédé de gestion d'un réseau de télécommunication, dénommé réseau fournisseur, mis en oeuvre pour transmettre des données entre au moins deux réseaux clients de télécommunication afin de créer un réseau privé virtuel entre les réseaux clients, chacun de ces réseaux clients utilisant un protocole interne de communication, dénommé protocole interne client, et chacun de ces réseaux clients ayant au moins un dispositif d'interconnexion client communiquant avec au moins un dispositif d'interconnexion fournisseur du réseau fournisseur, caractérisé en ce que le réseau fournisseur utilise un protocole de communication, dénommé protocole fournisseur, comprenant des extensions pour le stockage des informations relatives aux points de passage des données dans les réseaux clients. Grâce à cette invention, il est possible d'assurer une communication point à point entre les noeuds de passerelles de différents réseaux clients au travers du réseau fournisseur en assurant l'intégrité des données transmises par le réseau fournisseur, et notamment des données relatives aux points de passage. En effet, un procédé conforme à l'invention met en oeuvre des moyens qui permettent d'intégrer toutes les données propres au protocole RIP. 2872369 6 Une boucle perpétuelle dans la communication d'une donnée, telle que décrite avec l'art antérieur, ne peut pas se produire, de telle sorte que l'acheminement de cette donnée est garanti. Aussi, les fournisseurs de service peuvent fournir des services VPN pour créer un réseau privé virtuel reliant au moins deux réseaux clients, appartenant à un même domaine utilisant un protocole interne tel que le protocole RIP sans que les administrateurs de ces réseaux clients n'aient à prendre en compte d'autres protocoles que leur protocole interne. De façon analogue, les noeuds de passerelles clients utilisent uniquement le protocole interne du réseau client considéré. De plus, et grâce aux avantages de cette invention cités ci-dessus, il est très aisé de changer un réseau fournisseur utilisant un protocole tel que le protocole RIP en un réseau fournisseur utilisant un procédé conforme à l'invention puisque, grâce à cette invention, aucun changement n'est requis au niveau des réseaux clients. Selon une réalisation, le protocole interne client utilisé par les réseaux clients est le Protocole d'Informations de Routage. Dans une réalisation, les extensions contiennent des informations identifiant le réseau privé virtuel vis-à-vis du réseau fournisseur. Selon une réalisation, on utilise le Procédé de Communication de Commutation Multiprotocole par Etiquette dans le réseau fournisseur. Dans une réalisation, on interface le protocole fournisseur et le Procédé de Communication de Commutation Multiprotocole par Etiquette. L'invention concerne aussi un dispositif d'interconnexion. Conformément à cette invention, le dispositif d'interconnexion comprend des moyens pour mettre en oeuvre le procédé selon l'une des réalisations précédentes. Selon une réalisation, le dispositif d'interconnexion comprend un routeur. Dans une réalisation, le dispositif d'interconnexion comprend un serveur. Selon une réalisation, le dispositif d'interconnexion comprend des moyens d'ouverture, gestion et fermeture d'une ou plusieurs sessions du protocole interne client. 2872369 7 Dans une réalisation, le dispositif d'interconnexion comprend des moyens d'interfaçage entre le protocole interne client des réseaux clients et le protocole fournisseur. Selon une réalisation, le dispositif d'interconnexion comprend des moyens d'interfaçage entre le protocole fournisseur et le Procédé de Communication de Commutation Multiprotocole par Etiquette. II convient de noter que l'invention prévoit que les communications transmises par le réseau fournisseur prévoit une extension qui est mise en oeuvre uniquement lorsque le réseau client utilise un protocole déterminé, à savoir un protocole mémorisant les points de passage des données. Une telle approche va à l'encontre d'une optimisation du débit du traffic dans le réseau fournisseur puisque, lorsque le réseau client utilise un protocole ne mémorisant pas les points de passage des données, cette extension ne transmet pas d'informations et limite la performance du réseau fournisseur. Toutefois, l'invention présente le trait inventif qui résulte dans le choix de privilégier la fiabilité du réseau VPN par rapport au débit transmis par ce réseau. Par ailleurs, il convient également de noter que le réseau fournisseur ne mémorise pas les points de passage dans le réseau fournisseur afin que ce dernier demeure transparent à l'égard de des utilisateurs des réseaux clients. D'autres caractéristiques et avantages de l'invention apparaîtront avec la description effectuée ci-dessous, à titre non limitatif, en référence aux figures ci-jointes sur lesquelles: la figure 1 déjà décrite représente schématiquement un réseau privé virtuel de l'art antérieur, - la figure 2 représente schématiquement un réseau privé virtuel reliant deux réseaux clients conformément à l'invention, et - la figure 3 est une représentation schématique du traitement des données pour leur transport dans un réseau privé virtuel selon un procédé conforme à l'invention. La figure 2 représente schématiquement une réalisation de l'invention. Un réseau fournisseur 232 est utilisé pour réaliser un réseau VPN 200 entre deux réseaux 204 et 222 clients, respectivement sur les sites géographiques 202 et 228. 2872369 8 Le réseau 204 comprend un noeud 206 passerelle client. Le réseau 222 client comprend deux noeuds 220 et 221 passerelles clients. Pour offrir le service VPN, le réseau 232 fournisseur (qui peut être une série de réseaux interconnectés), contenant notamment, dans sa partie 234 de transport des données une série de noeuds de réseaux utilisant la Commutation Multiprotocole par Etiquette MPLS pour le transport de données entre un premier dispositif 208 d'interconnexion conforme à l'invention, dénommé aussi noeud 208 passerelle fournisseur et deuxième dispositif 215 d'interconnexion, dénommé aussi noeud 215 de passerelle fournisseur conforme à l'invention. Conformément à l'invention, de nouvelles extensions sont ajoutées au protocole BGP, qui devient alors le protocole BGP RIP, pour lui permettre notamment de véhiculer toutes les informations nécessaires contenues dans une communication utilisant le protocole RIP ainsi que, entre autres, les informations nécessaires pour l'identification du VPN 200. Le noeud 208 passerelle fournisseur contient notamment: des moyens 210 logiciels et matériels d'ouverture, gestion et fermeture d'une ou plusieurs sessions RIP, dénommés moyens 210 sessions RIP, des moyens 212 logiciels et matériels d'interface entre les protocoles RIP et BGP_RIP, les moyens 212 étant dénommés moyens 212 RIP/BGP_RIP, des moyens 214 logiciels et matériels, dénommés moyens 214 BGP RIP/MPLS d'adaptation entre les protocoles BGP RIP et MPLS comprenant notamment la mise en place de l'étiquette MPLS, afin de mettre en place un tunnel MPLS le long du réseau 234 de transport. De façon équivalente, le noeud 215 passerelle fournisseur contient notamment: - des moyens 218 logiciels et matériels analogues aux moyens 210 sessions RIP, dénommés moyens 218 sessions RIP (par exemple la figure 2 montre deux sessions RIP ouvertes entre les moyens 218 sessions RIP et les noeuds passerelle client 220 et 221), des moyens 217 RIP/BGP_RIP analogues aux moyens 212 RIP/BGP_RIP, 2872369 9 des moyens 216 BGP RIP/MPLS analogues aux moyens 214 BGP RIP/MPLS. Plus précisément, la figure 3 décrit schématiquement le traitement d'un message 300 utilisant le protocole RIP provenant d'un site du client pour se rendre sur un autre site client via le réseau fournisseur. Dans le domaine administratif du client 230, le message 300 a, par exemple, une structure regroupant des informations 304 à transporter par le réseau et des données 302 de gestion propres au domaine de gestion du client 230, comprenant notamment l'adresse de destination des informations 304. Il convient de noter que l'ensemble de ces données est conforme au protocole utilisé par le client, à savoir le protocole RIP dans cet exemple. Si le destinataire de ce message 300 est, par exemple, sur le site 228, alors que l'émetteur est sur le site 202, le message 300 doit utiliser le fournisseur 232 pour atteindre l'autre site 228, où il est dirigé vers son destinataire. En effet, cet autre site 228, faisant partie du même domaine administratif, utilise le même protocole RIP et un même système commun d'adressage et de routage que le site 202 d'émission. Pour cela, dans une étape 308 se déroulant dans les moyens 212 RIP/BGP_RIP internes au noeud passerelle fournisseur 208, après que le message 300 soit arrivé au noeud 208 au travers des moyens 210 sessions, les données 302 conformes au protocole RIP sont placées dans des modules 310 mis en oeuvre dans le cadre du protocole BGP, déjà décrit, et dans de nouvelles extensions 312, notamment des nouveaux objets, qu'on ajoute à ce protocole BGP dans le cadre de cette invention. L'ensemble 314 des modules 310 et des extensions 312 forment les paramètres du nouveau protocole BGP RIP, comprenant les éléments propres au protocole BGP et les extensions nouvelles nécessaires au transport complet des informations de RIP. Ensuite, dans une étape 318 réalisée dans les moyens 214 conforme au protocole BGP R1P/MPLS, on réalise l'adaptation de l'ensemble des données 316 au protocole MPLS, notamment en ajoutant une étiquette 320 propre au protocole MPLS 2872369 10 qui va servir à construire le circuit virtuel ou tunnel de MPLS jusqu'au noeud passerelle fournisseur 215. Au niveau de ce noeud 215, les moyens 216 BGP_RIP/MPLS réalisent l'étape 318 inversée sur l'ensemble 322 de données. Puis les moyens 217 d'interface conformes au protocole RIP/BGP RIP réalisent l'étape 308 inversée. Ainsi, les moyens 218 sessions RIP peuvent transmettre au noeud passerelle client 220 ou au noeud passerelle client 221 le message 300 établi selon le protocole RIP qui arrive donc à son destinataire. Bien entendu, le VPN 200 rend le même service dans l'autre sens entre le site 228 et le site 202. Ainsi, grâce à l'invention, on peut vérifier notamment que: - les administrateurs d'un domaine administratif client utilisent seulement et ne doivent connaître que le protocole de routage RIP utilisé comme protocole de routage interne dans leur domaine, - les noeuds de passerelle client utilisent seulement le protocole de routage client comme protocole de routage externe vers le noeud de passerelle fournisseur. Par ailleurs, il convient de noter qu'on peut ouvrir plusieurs sessions selon le protocole RIP dans les noeuds passerelles fournisseurs. De plus, on peut placer toutes les informations pertinentes pour le protocole RIP dans un message codé selon le protocole BGP RIP car ce protocole BGP RIP est doté d'extensions supplémentaires disponibles à cet effet. Grâce à ce dernier point, notamment en incluant dans les données utilisant le protocole BGP RIP les informations concernant les points de passage de l'information, on évite la création de boucles perpétuelles ou fermées de données. En effet, en reprenant l'exemple considéré pour l'art antérieur, il peut être imposé pour des motifs de sécurité que tous les messages entrant dans le domaine administratif chez le client 230 passe par un serveur 236 de sécurité situé dans le réseau 222 du client 230. Et il est possible que ce message entrant soit destiné à un dispositif électronique relié au noeud 238 situé dans le réseau 204. Dans ce cas, un message arrivant à un point d'entrée quelconque du client 230 est redirigé vers le serveur 236. Une fois que le message passe par le serveur 236, le message est redirigé vers le noeud passerelle client 220 puis vers le noeud passerelle fournisseur 215. Ensuite, le message est transporté par le réseau 234 fournisseur jusqu'au noeud passerelle fournisseur 208 puis au noeud passerelle client 206. Comme le protocole BGP RIP a les extensions pour contenir entre autres les points de passage du message, alors le noeud passerelle client 206 sait que le message est passé (et a donc été filtré) par le serveur 236 de sécurité. Le noeud 206 peut alors laisser passer le message en le dirigeant vers le dispositif électronique associé au noeud 238 de destination. Cette invention est susceptible de multiples variantes. Notamment, les moyens 210 sessions conformes au protocole RIP, les moyens 212 conformes au protocle RIP/BGP RIP et les moyens 214 d'adaptation conforme au protocole BGP RIP/MPLS peuvent faire partie du même dispositifs, être associés par paire dans un même dispositif ou bien alors être chacun d'entre eux intégrés dans des dispositifs différents. REVENDICATIONS 1. Procédé de gestion d'un réseau (232) de télécommunication, dénommé réseau (232) fournisseur, mis en oeuvre pour transmettre des données entre au moins deux réseaux (204, 222) clients de télécommunication afin de créer un réseau privé virtuel (200) entre les réseaux (204, 222) clients, chacun de ces réseaux (204, 222) clients utilisant un protocole interne de communication, dénommé protocole interne client, et chacun de ces réseaux (204, 222) clients ayant au moins un dispositif (206, 220, 221) d'interconnexion client communiquant avec au moins un dispositif (208, 215) d'interconnexion fournisseur du réseau (232) fournisseur, caractérisé en ce que le réseau (232) fournisseur utilise un protocole de communication, dénommé protocole fournisseur, comprenant des extensions (312) pour le stockage des informations relatives aux points de passage des données dans les réseaux (204, 222) clients. 2. Procédé selon la revendication 1, caractérisé en ce que le protocole interne client utilisé par les réseaux (204, 222) clients est le Protocole d'Informations de Routage. 3. Procédé selon la revendication 1 ou 2, caractérisé en ce que les extensions (312) contiennent des informations identifiant le réseau privé virtuel (200) vis-à-vis du réseau (232) fournisseur. 4. Procédé selon la revendication 1, 2 ou 3, caractérisé en ce qu'on utilise le Procédé de Communication de Commutation Multiprotocole par Etiquette dans le réseau (232) fournisseur. 5. Procédé selon la revendication 4, caractérisé en ce qu'on interface le protocole fournisseur et le Procédé de Communication de Commutation Multiprotocole par Etiquette. 6. Dispositif (208,215) d'interconnexion, caractérisé en ce qu'il comprend des moyens pour mettre en oeuvre le procédé selon l'une des revendications 1 à 5. 7. Dispositif (208, 215) d'interconnexion selon la revendication 6, caractérisé en ce qu'il comprend un routeur. 2872369 13 8. Dispositif (208, 215) d'interconnexion selon la revendication 6 ou 7, caractérisé en ce qu'il comprend un serveur. 9. Dispositif selon la revendication 6, 7 ou 8, caractérisé en ce qu'il comprend des moyens (210, 218) d'ouverture, gestion et fermeture d'une ou 5 plusieurs sessions du protocole interne client. 10. Dispositif selon la revendication 6, 7, 8 ou 9, caractérisé en ce qu'il comprend des moyens (212, 217) d'interfaçage entre le protocole interne client des réseaux (222, 204) clients et le protocole fournisseur. 11. Dispositif selon la revendication 6, 7, 8, 9 ou 10, caractérisé en ce qu'il comprend des moyens (214, 216) d'interfaçage entre le protocole fournisseur et le Procédé de Communication de Commutation Multiprotocole par Etiquette.