Brevet FR2980659A1 — publié le 20130329

Procédé et système d'acheminement de flux de communication sécurisés entre sites distants La présente invention a pour objet un procédé et un système 5 d'acheminement, entre des sites distants, de flux de communication sécurisés soumis à des contraintes de diffusion. L'invention concerne le domaine des architectures de réseaux, et notamment les réseaux nécessitant une sécurisation des flux échangés entre les différentes entités qui les composent. 10 L'invention concerne plus précisément les architectures composées d'une pluralité de réseaux locaux distants, ou réseaux LAN (Local Area Network), interconnectés par le biais d'une pluralité de réseaux étendus, ou réseaux WAN (Wide Area Network), encore appelés réseaux d'infrastructure. Chaque réseau local peut être connecté à un ou plusieurs réseaux étendus 15 par un ou plusieurs liens de connexion. De plus, la communication entre réseaux locaux doit être sécurisée. Dans une telle architecture, les réseaux locaux constituent des enclaves au sens où les flux sortant de chacune de ces enclaves sont 20 sécurisés. Les enclaves ne peuvent communiquer entre elles que par l'intermédiaire d'un réseau étendu, par exemple un réseau public Internet géré par un fournisseur d'accès. Un réseau étendu constitue un réseau de transport pour les enclaves au sens où il fournit un accès au medium de communication et un service de transport des paquets permettant d'assurer 25 une connectivité entre enclaves distantes. L'accès, pour un réseau local donné, à plusieurs réseaux de transport redondants permet d'accroître la fiabilité des communications. Cette multiplicité de l'accès à des réseaux de transport, qu'il s'agisse de plusieurs liens vers des réseaux WAN différents ou de plusieurs liens vers un même 30 réseau WAN, constitue une technique communément désignée par le terme anglais « multihoming ». Dans une architecture réseau de ce type, il est possible et souhaitable de mettre en oeuvre une politique de qualité de service permettant d'associer à un flux de données à transmettre le lien de communication le plus adapté à 35 ses besoins et contraintes. L'invention trouve application notamment pour les architectures de réseau mettant en oeuvre la technique dite de « multihoming ». L'invention s'applique en particulier aux réseaux IP. Un problème technique général associé aux réseaux de ce type est le routage et l'acheminement des flux de données entre enclaves distantes de façon à respecter les contraintes de diffusion associées à chacun d'eux. Ce problème est d'autant plus complexe lorsque les données communiquées entre deux enclaves ne doivent pas être transmises en clair à travers les réseaux de transport pour des raisons de confidentialité, et que la capacité des différents réseaux de transport à satisfaire telle ou telle contrainte est méconnue. En effet, les informations concernant les caractéristiques des liens de communication qu'un réseau d'infrastructure fournit ne sont pas rendues disponibles aux enclaves qu'il dessert. 15 Pour répondre à la contrainte de confidentialité, un cloisonnement logique du réseau est réalisé par l'introduction d'un dispositif de chiffrement des flux à l'interconnexion entre chaque réseau LAN enclavé et le(s) réseau(x) WAN. On parle communément de partie rouge pour désigner la zone du réseau où les données sont manipulées en clair et les décisions, 20 notamment de routage et d'acheminement, sont prises. Au contraire, la partie noire désigne la zone du réseau où les données sont chiffrées. Les réseaux locaux sont situés dans la partie rouge du réseau et les réseaux de transport sont situés dans la partie noire du réseau. Les flux émis depuis une enclave source sont ainsi chiffrés par un dispositif de chiffrement avant de traverser 25 un réseau de transport, puis déchiffrés au niveau de l'enclave destination. Un exemple d'architecture de réseau pour lequel l'invention trouve son application est représenté à la figure 1. Deux réseaux locaux distants S1 et S2 sont interconnectés par l'intermédiaire de deux réseaux de transport WAN_M et WAN_C. Les 30 usagers A1_S1,A2_S1 du premier réseau local S1 communiquent avec les usagers B1_S2,B2_S2 du second réseau local S2. Afin de cloisonner les flux entre les parties rouge R et noire N du réseau, un dispositif de chiffrement Z_S1,Z_S2 est disposé entre chaque réseau local S1,S2 et les réseaux de transport auquel il est connecté. Des dispositifs de routage R1_S1,R1_S2 35 sont situés du côté des réseaux locaux, dans la partie rouge, afin de mettre en oeuvre les décisions de choix des chemins permettant d'acheminer un flux transmis depuis le premier réseau local S1 vers le second réseau local S2. Dans la partie noire, de l'autre coté des dispositifs de chiffrement Z_S1,Z_S2, des dispositifs de routage R2_S1,R2_S2 sont utilisés pour sélectionner la sortie associée au lien de transmission choisi pour transmettre les paquets. L'exemple de la figure 1 se limite à deux enclaves directement connectées par le biais de deux réseaux de transport, mais l'invention ne se limite pas à cet exemple. D'avantage de réseaux de transport peuvent être disponibles. Les liens de connexion entre réseaux locaux et réseaux de transport peuvent être de types différents, par exemple liaison ADSL, satellite ou liaison sans fil. Il est également possible que deux enclaves désirant communiquer ne soient pas directement connectées, ou que cette connexion directe ne 15 satisfasse pas ou plus les contraintes imposées. Dans ce cas, la communication entre les deux enclaves distantes ne peut se faire, dans les conditions attendues, qu'en passant par une ou plusieurs enclaves intermédiaires. 20 Un problème existe donc pour acheminer les flux de données entre enclaves distantes, en prenant en compte les contraintes de qualité de service des flux et les caractéristiques des liens de transmission, lorsque les flux transmis à travers les réseaux de transport doivent être chiffrés ou sécurisés. 25 Les solutions connues permettant de mettre en oeuvre des méthodes de routage pour des réseaux tels que décrit ci-dessus sont plurales. La publication [1] concerne les techniques dites de « multihoming ». Dans cet article, les auteurs démontrent les bénéfices que l'exploitation de 30 multiples moyens de connectivité peut apporter en termes de performances. La problématique du choix du lien de sortie d'une enclave en fonction de différents critères de performance des liens et des caractéristiques des flux transmis est introduite. La diversité des liens peut provenir d'un unique opérateur ou de plusieurs opérateurs différents. Cependant, le choix du lien 35 de sortie au niveau d'une enclave source ne permet pas, à lui seul, de mettre en oeuvre une stratégie de routage via une enclave intermédiaire pour joindre une enclave destination indirectement connectée. Pour ce faire il est nécessaire de pouvoir contrôler non seulement le lien de sortie, mais aussi tous les suivants, et ainsi mettre en place un chemin complet. Dans la publication [2], les auteurs proposent des mécanismes pour mettre en place un réseau logique de type « overlay » et assurer le routage de flux non chiffrés entre les noeuds qui le composent. Le terme « overlay » désigne une topologie de réseau construite à partir de liens logiques entre les noeuds de ce réseau. Un lien logique correspond à un chemin d'accès possible entre deux noeuds et est différent d'un lien physique de transmission entre deux noeuds. En particulier, un lien logique peut consister en l'agrégation de plusieurs liens physiques contigus. Le mécanisme de routage proposé permet de court-circuiter le routage standard utilisé dans un réseau tel que l'Internet afin d'améliorer les performances et d'assurer une meilleure résilience en cas de problème. Cependant, de tels mécanismes requièrent que les noeuds communiquent entre eux afin de maintenir le réseau logique et d'échanger des informations de performances sur les liens logiques. Les deux références précitées ne prennent pas en compte les contraintes liées au chiffrement des flux transmis entre enclaves distantes et ne proposent pas de mécanisme permettant l'acheminement de communications sécurisées. Les méthodes de routage proposées ne peuvent pas fonctionner pour des flux chiffrés sans qu'un mécanisme ne permette de piloter le plan de contrôle de la partie noire afin d'assurer l'acheminement de ces communications vers les noeuds du réseau logique auxquels elles sont destinées. En outre la référence [1] ne permet pas d'assurer un acheminement entre enclaves distantes en passant par une ou plusieurs enclaves intermédiaires. On connaît également la demande de brevet française du demandeur déposée sous le numéro 1005089. Cette demande porte notamment sur un système de gestion de flux sécurisés entre deux enclaves interconnectées via plusieurs réseaux de 35 transport. L'invention décrite permet d'apporter une première solution au problème d'acheminement de flux chiffrés mais présente certaines limitations. Elle présuppose notamment la mise en oeuvre d'un maillage complet entre les enclaves susceptibles de communiquer. De ce fait, les fonctionnalités proposées ne peuvent pas s'appliquer dans le cas où deux enclaves, source et destination, ne sont pas directement interconnectées par au moins un réseau de transport. Ce cas de figure est susceptible d'apparaître pour plusieurs raisons. L'optimisation des coûts peut justifier de tels choix d'architecture, mais cette situation peut aussi se produire lorsqu'une ou plusieurs liaison(s) existante(s) ne permettent pas (ou plus) d'acheminer les flux dans les conditions attendues, par exemple pour des problèmes de perte de connectivité, ou de dégradation des caractéristiques de qualité de service. Les mécanismes proposés dans cette demande de brevet ne supportent donc pas d'éventuelles défaillances des liens causées par une rupture de connectivité, une erreur de configuration, ou une dégradation des performances sur un chemin initialement sélectionné. La présente invention vise à remédier aux limitations des solutions précitées en proposant un mécanisme d'acheminement de flux chiffrés entre 20 enclaves distantes qui prend en compte les situations où toutes les enclaves ne sont pas directement reliées par un ou plusieurs réseaux de transport. L'invention adresse également les situations où une connexion directe existe entre deux enclaves mais où cette connexion n'est pas ou plus capable de satisfaire les contraintes associées à certains flux à transmettre. 25 Dans ces cas de figure, il est nécessaire de mettre en place un système qui permet d'acheminer le trafic en provenance d'une enclave source vers une enclave destination en passant par une ou plusieurs enclaves intermédiaires. Ainsi, l'invention permet, par la mise en oeuvre de mécanismes d'ingénierie de trafic, d'acheminer les flux chiffrés en exploitant 30 au mieux l'ensemble des ressources réseaux disponibles, et d'assurer la qualité de service requise pour des flux définis comme vitaux en cas d'insuffisance ou d'indisponibilité partielle des ressources. L'invention a pour objet un dispositif d'interconnexion et de routage entre un réseau local enclavé et au moins un réseau de transport caractérisé en ce qu'il comprend : - des premiers moyens adaptés à sélectionner, pour un flux de communication en provenance dudit réseau local source, au moins un chemin vers le réseau enclavé auquel il est destiné et à associer ce chemin à une valeur de marquage, - des moyens d'insertion de la valeur de marquage dans un champ d'en-tête des paquets dudit flux, - des moyens de chiffrement de l'intégralité dudit flux à l'exception desdits champs d'en-tête, - des seconds moyens adaptés à aiguiller ledit flux chiffré vers le réseau de transport directement connecté audit réseau local source et situé sur le chemin sélectionné, en fonction de la valeur de marquage lue dans le champ d'en-tête desdits paquets, - une passerelle pour communiquer auxdits seconds moyens, l'association entre la valeur de marquage et l'aiguillage à appliquer en fonction du chemin sélectionné par lesdits premiers moyens. Dans une variante de réalisation de l'invention, lesdits premiers moyens sont en outre adaptés à : - établir et maintenir au moins un graphe de connectivité de la topologie logique globale du réseau contenant l'ensemble des liens logiques reliant les réseaux locaux enclavés entre eux et au moins une information relative à la qualité de transmission sur lesdits liens, - sélectionner le chemin d'accès au réseau enclavé destination à partir desdites informations de qualité et d'au moins une contrainte d'acheminement dudit flux à transmettre, de sorte à respecter cette contrainte, - communiquer le chemin sélectionné et la valeur de marquage associée aux réseaux locaux enclavés situés sur ledit chemin. Dans une variante de réalisation de l'invention, lesdits seconds moyens sont en outre adaptés à modifier la valeur du champ d'entête des paquets reçus en provenance d'un réseau de transport à laquelle est 35 associée le chemin sélectionné. Dans une variante de réalisation de l'invention, lesdits premiers moyens sont mis en oeuvre par un premier routeur, lesdits seconds moyens sont mis en oeuvre par un second routeur, et la passerelle est réalisée par un 5 canal de communication fourni par les moyens de chiffrement. Dans une variante de réalisation de l'invention, les réseaux sont des réseaux IP et le champ d'en-tête est le champ DSCP du paquet IP. Dans une variante de réalisation de l'invention, les moyens de chiffrement mettent en oeuvre le protocole IPSec. 10 L'invention a également pour objet un procédé d'acheminement d'un flux chiffré dans un réseau comportant une pluralité de réseaux locaux enclavés interconnectés via au moins un réseau de transport caractérisé en ce qu'il consiste, pour acheminer ledit flux chiffré d'un réseau enclavé source vers un réseau enclavé destination, à : 15 - établir et maintenir au moins un graphe de connectivité de la topologie logique globale dudit réseau contenant l'ensemble des liens logiques reliant les réseaux locaux enclavés entre eux et au moins une information relative à la qualité de transmission sur lesdits liens, 20 - sélectionner, à partir desdites informations de qualité et d'au moins une contrainte d'acheminement dudit flux, au moins un chemin d'accès au réseau enclavé destination permettant de respecter cette contrainte, - associer au chemin sélectionné, pour chaque réseau enclavé situé 25 sur ledit chemin, une valeur de marquage et communiquer cette association aux autres réseaux enclavés situés sur ledit chemin, - insérer cette valeur dans un champ de l'en-tête des paquets dudit flux, - chiffrer l'intégralité desdits paquets à l'exception dudit champ d'en- 30 tête, - pour chaque réseau enclavé recevant lesdits paquets chiffrés, déterminer la destination suivante dudit flux par lecture de la valeur dudit champ d'en-tête et interprétation du chemin associé, sans déchiffrement desdits paquets. 35 Dans une variante de réalisation, le procédé selon l'invention consiste en outre à réserver les ressources disponibles sur ledit chemin d'accès sélectionné, pour la transmission dudit flux. Dans une variante de réalisation, le procédé selon l'invention consiste 5 en outre, pour chaque réseau enclavé recevant lesdits paquets, à modifier la valeur du champ d'en-tête des paquets par une valeur de marquage spécifique audit réseau enclavé. Dans une variante de réalisation, lesdites informations de qualité comprennent au moins la bande passante ou le délai ou la gigue ou le taux 10 de pertes de paquets. Dans une variante de réalisation, lesdites contraintes d'acheminement comprennent au moins des contraintes de qualité de service, des contraintes de criticité du service, des contraintes de priorité ou des contraintes géographiques. 15 Dans une variante de réalisation, un chemin alternatif est sélectionné en secours du chemin principal. Dans une variante de réalisation, la sélection dudit chemin d'accès prend en compte une interruption programmée de la connectivité sur au moins un lien fourni par au moins un réseau de transport. 20 D'autres caractéristiques et avantages de l'invention apparaîtront à l'aide de la description qui suit faite en regard de dessins annexés qui représentent : la figure 1, un premier exemple d'architecture réseau composée 25 d'enclaves interconnectées par le biais de plusieurs réseaux de transport, la figure 2, un second exemple d'architecture réseau illustrant la problématique d'acheminement de flux chiffrés entre deux enclaves distantes, 30 la figure 3, un synoptique fonctionnel du dispositif de routage de flux chiffrés selon l'invention. La figure 2 illustre, sur un schéma, la problématique d'acheminement de flux chiffrés d'une enclave à une autre dans une architecture réseau telle 35 que celle présentée à la figure 1. Un premier réseau local enclavé E_201 est interconnecté avec deux autres réseaux locaux enclavés E_202, E_203 de la façon suivante. Le premier réseau local E_201 est connecté au deuxième réseau local E_202 par l'intermédiaire d'un premier réseau de transport T_204. Le premier réseau local E_201 est également connecté au troisième réseau local E_203 par l'intermédiaire d'un deuxième réseau de transport T_205. Les deuxième et troisième réseaux locaux E_202, E_203 sont connectés par l'intermédiaire d'un troisième réseau de transport T_206. Pour établir une connexion depuis le premier réseau local E_201 vers le troisième réseau local E_203, le chemin le plus direct consiste à passer par le deuxième réseau de transport T_205. Cependant, la connexion assurée par ce réseau de transport T_205 peut être défaillante, par exemple pour des raisons de perte de connectivité ou de limitation de la bande passante. Dans ce cas, il est nécessaire de mettre en place un système permettant d'acheminer le trafic en provenance du premier réseau local E 201 vers le troisième réseau local E 203 en le faisant transiter par une ou plusieurs enclaves intermédiaires. Dans l'exemple de la figure 2, un chemin logique possible consiste à 20 transmettre le flux de trafic vers le premier réseau de transport T_204 à destination du deuxième réseau local E_202, puis vers le troisième réseau de transport T_206 à destination du troisième réseau local E_203. La figure 2 schématise en outre les dispositifs d'interconnexion et de routage D_211, D_212, D_213, situés entre chaque réseau local et chaque 25 réseau de transport ou groupe de réseaux de transport auquel il est connecté, qui sont nécessaires pour séparer la partie rouge et la partie noire du réseau et qui visent, notamment, à sécuriser, par chiffrement, les flux émis depuis chaque enclave, et respectivement, par déchiffrement, les flux reçus par chaque enclave. 30 De façon générale, il existe, dans un tel réseau, un besoin d'un mécanisme d'acheminement de flux chiffrés permettant de sélectionner et d'établir le chemin logique le plus adapté à la transmission d'un flux de données, en fonction des contraintes du flux et des caractéristiques de 35 qualité de service offertes par les différents chemins logiques potentiels. L'invention vise à proposer une solution qui répond à ce problème en adaptant les dispositifs d'interconnexion et de routage D_211, D_212, D_213 pour qu'ils mettent en oeuvre un mécanisme d'acheminement de flux chiffrés. La figure 3 schématise, sur un synoptique fonctionnel, le dispositif d'acheminement de flux chiffrés selon l'invention. Un tel dispositif D est positionné en sortie de chaque enclave réseau, de façon à assurer une interconnexion entre une enclave E_S et les différents réseaux de transports T1,T2,T3 auxquels elle est connectée, tel 10 que représenté à la figure 2. Le dispositif D selon l'invention communique avec l'enclave E_S en clair, c'est-à-dire que les flux de données transmis entre le dispositif D et l'enclave E_S ne sont pas sécurisés. Au contraire la communication entre le dispositif D et les réseaux de transport T1,T2,T3 est sécurisée puisque les 15 flux sortants ou entrants du dispositif D et à destination ou en provenance des réseaux de transport T1,T2,T3 sont chiffrés. Le dispositif D est adapté à mettre en oeuvre un mécanisme de routage permettant l'acheminement, dans des conditions optimales de qualité de service, d'un flux en provenance de l'enclave E_S et à destination 20 d'une enclave distante E_D. Le dispositif D comprend un premier module 311 d'élaboration d'une décision d'acheminement d'un flux f en provenance de l'enclave E_S et à destination d'une enclave distante E_D. Le premier module 311 communique 25 directement avec l'enclave E_S et est situé dans la partie logique rouge du réseau. Le dispositif D comprend également un module 321 d'interface chargé notamment d'appliquer la décision d'acheminement en faisant transiter le flux en provenance de l'enclave E_S sur le lien de communication et le réseau de transport T1,T2,T3 choisis. Ce module d'interface 321 est 30 situé dans la partie logique noire du réseau. Un dispositif 331 de chiffrement/déchiffrement est situé entre le premier module 311, duquel il reçoit ou auquel il transmet un flux de données en clair, et le module d'interface 321, duquel il reçoit ou auquel il transmet un flux au moins partiellement chiffré. Le dispositif de chiffrement 331 met en oeuvre, par 35 exemple, le protocole de chiffrement IPSec. La méthode de chiffrement mise en oeuvre est adaptée à chiffrer l'intégralité du paquet à l'exception d'au moins un champ de l'entête du paquet servant à apposer un marquage. Une passerelle 341 relie également la partie rouge (module 311) et la partie noire (module 321) du dispositif afin d'assurer un cloisonnement sécurisé des communications entre les deux parties tout en permettant d'informer le module d'interface 321 des choix d'aiguillages déterminés par le premier module 311. Le module 311 d'élaboration d'une décision d'acheminement est 10 composé de plusieurs sous-fonctions qui interagissent afin d'associer à un flux f à transmettre le chemin logique le plus optimal pour atteindre sa destination en fonction de plusieurs contraintes. Une première fonction 312 réalise la découverte et la surveillance des 15 liens logiques du réseau dans un voisinage proche de l'enclave E_S et élabore des informations de qualité pour chaque lien qui relie l'enclave E_S à ses enclaves voisines. Par enclaves voisines, on entend les réseaux locaux situés à un bond de l'enclave E_S, c'est-à-dire qui peuvent être atteintes depuis l'enclave E_S en traversant un seul réseau de transport. 20 Les liens surveillés sont des liens logiques point à point entre deux réseaux locaux interconnectés via un réseau de transport. Les liens logiques sont par exemple constitués de tunnels entre deux réseaux locaux. La découverte des liens logiques est, par exemple, réalisée par la lecture d'éléments de configuration de l'enclave E_S. Les tunnels existants au sein 25 du réseau n'existent que si les deux enclaves associées sont autorisées à monter un tunnel entre elles et sont configurées à cet effet. Un tunnel est considéré comme un lien logique, ou lien dit « overlay », dans la mesure où il est fait abstraction des liens et équipements physiques sous-jacents qui sont traversés pour atteindre l'extrémité d'un tunnel. 30 La surveillance peut être réalisée selon deux approches. Une surveillance passive consiste à élaborer des informations de qualité en fonction du trafic utile envoyé ou reçu sur chaque lien de communication surveillé. Une surveillance active consiste à sonder le réseau en générant du trafic de sonde dédié à cette surveillance entre enclaves voisines. Ces 35 échanges générés permettent de déterminer des informations de qualité sur les liens de communications. Les informations de qualité incluent notamment la bande passante disponible sur un lien, le délai de transmission, la gigue ou encore le taux de perte de paquets sur ce lien. Une deuxième fonction 313 assure la diffusion des informations de topologie et de qualité des liens logiques de manière à informer chaque réseau local enclavé de la topologie logique du réseau dans sa globalité et des caractéristiques associées à chaque lien. A cet effet, la fonction d'échange d'informations 313 transmet vers les 10 enclaves voisines, c'est-à-dire celles qui sont directement connectées à l'enclave présente à travers un lien logique, les caractéristiques des liens logiques dont elle a connaissance. En outre, la fonction 313 reçoit des informations équivalentes de la part des enclaves voisines. De cette façon, chaque dispositif D associé à 15 chaque enclave peut reconstituer, à partir des informations reçues de ses enclaves voisines après itérations successives, la topologie globale du réseau logique avec les caractéristiques de qualité associées à chaque lien. Les échanges entre les fonctions 313 de chaque dispositif D du réseau ont lieu à intervalles de temps régulier afin que la connaissance des 20 informations caractérisant chaque lien reste à jour au niveau de chaque enclave. L'exemple non limitatif suivant permet d'illustrer le rôle de la fonction 313. Une enclave A est connectée à une enclave B au travers d'un lien 25 logique bénéficiant d'une bande passante de 20 Mbits/s. L'enclave B est elle-même connectée à une enclave C au travers d'une liaison dont la bande passante disponible est égale à 30 Mbits/s. A partir des informations collectées par la fonction de surveillance 312, un message contenant les informations de connectivité et de topologie est généré par la fonction 313 et 30 envoyé aux autres extrémités des liaisons. Un message est ainsi transmis de l'enclave A vers l'enclave B, de l'enclave B vers les enclaves A et C et de l'enclave C vers l'enclave B. Une fois cette étape terminée, l'enclave B a la connaissance complète de la topologie globale du réseau formé par les enclaves A, B et C. Une seconde étape est nécessaire afin de communiquer 35 aux enclaves A et C les informations acquises par l'enclave B. Alternativement, la diffusion des informations de topologie peut être mise en oeuvre par l'utilisation d'une ou plusieurs enclave(s) dédiée(s) à la fonction de relai pour communiquer les informations vers toutes les enclaves. Dans le cas où plusieurs enclaves relais sont utilisées, chaque enclave relai ne communique les informations de topologie qu'aux enclaves qui dépendent d'elle. Lorsque cette alternative est utilisée, les échanges d'informations réalisés par la fonction 313 ne se font plus entre enclaves voisines, de proche en proche, mais par l'intermédiaire d'une enclave relai qui retransmet ensuite les informations agrégées aux enclaves dont elle a la responsabilité. Toute autre méthode permettant d'assurer l'échange et la diffusion d'informations de topologie entre enclaves distantes du réseau est compatible avec l'invention. Les sous-fonctions 312 et 313 du module 311 permettent ainsi de 15 construire et de maintenir, dans la partie rouge de chaque enclave, une vue complète et à jour de la topologie logique du réseau. Cette topologie est matérialisée par un graphe de connectivité de l'ensemble des ressources disponibles au sein du réseau et stockée dans une base de données 314. Dans une variante de réalisation de l'invention, plusieurs graphes 20 peuvent être stockés et maintenus, chacun représentant la solution optimale selon un ou plusieurs critères particuliers. Lorsqu'un flux à transmettre depuis l'enclave E_S apparaît, les paquets arrivent dans le module 311 et traversent tout d'abord le module de 25 marquage 317. Ce module a pour fonction d'associer à tous les paquets de ce flux une valeur de marquage X, d'apposer ce marquage dans l'en-tête de chaque paquet, et de transmettre une copie des paquets à une fonction 315 d'analyse et d'élaboration d'une décision d'acheminement. Dans le cas d'une technologie IP, le champ d'en-tête utilisé pour apposer le marquage X peut 30 être le champ DSCP (Differentiated Services Code Point) de l'en-tête IP. Ce champ est codé sur 6 bits, et c'est la seule partie de l'en-tête IP qui reste lisible après chiffrement. Ainsi, ce marquage est un repère qui constitue le seul moyen de reconnaître, dans la partie noire, les paquets appartenant à un flux lorsque qu'ils sont chiffrés. Les paquets originaux sont quant à eux 35 transférés vers le dispositif de chiffrement 331. L'opération de chiffrement réalisée par la fonction 331 consiste à chiffrer l'intégralité des données des paquets transmis à l'exception d'au moins le champ d'entête précité. A partir du ou des graphes stockés dans la base de données 314, la fonction 315 de décision analyse la copie des paquets et sélectionne le chemin optimal pour acheminer un flux f vers une enclave destination en fonction des caractéristiques des liens logiques du réseau et des contraintes d'acheminement du flux. Ces contraintes portent notamment sur la qualité de service associée au flux, c'est-à-dire le débit nécessaire pour transmettre le flux, le délai d'acheminement tolérable, la gigue ou encore le taux de pertes acceptable. Les contraintes d'acheminement peuvent également porter sur la criticité du service associé au flux à transmettre et la priorité d'acheminement à accorder à ce flux. Des contraintes géographiques peuvent également exister, traduites par exemple par une interdiction de transit par un réseau de transport donné. Enfin des contraintes de coût d'accès aux réseaux de transport, potentiellement différents, peuvent également entrer en compte dans la prise de décision réalisée par la fonction 315. Deux cas de figures apparaissent lors de l'élaboration d'une décision relative à l'acheminement d'un flux à transmettre. Si un chemin direct satisfaisant les contraintes d'acheminement du flux existe entre l'enclave source et l'enclave destination, alors ce chemin est choisi. Ce cas de figure ne nécessite aucune signalisation préalable à 25 l'acheminement du flux. La passerelle 341 permet de communiquer entre les parties rouge et noire pour informer le module d'aiguillage 342 de la correspondance entre le marquage du champ d'entête et la sortie du dispositif D qui doit être utilisée. Les différentes sorties du dispositif D correspondent aux différents liens de 30 communication, chacun étant potentiellement relié à différents réseaux de transport. Ainsi, lorsque le module d'aiguillage 342 reçoit un paquet de données à transmettre, il assure l'aiguillage du paquet vers la sortie précédemment associée à la valeur lue dans le champ d'entête du paquet, conformément à 35 la décision d'acheminement. Le module d'aiguillage 342 est situé dans la partie noire du réseau et n'a donc pas connaissance des données du paquet qui sont chiffrées, ni de la destination finale du paquet, ni encore du chemin qui sera emprunté pour acheminer ce paquet à sa destination. Ainsi, un cloisonnement sécurisé des échanges entre la partie noire et la partie rouge est réalisé. Seul le champ d'en-tête associé au chemin sélectionné n'est pas chiffré lors de l'étape de chiffrement, ce qui permet un acheminement du paquet vers sa destination sans nécessiter d'accès aux informations chiffrées contenues dans le paquet. Dans le cas où un chemin direct n'existe pas entre les enclaves source et destination, ou s'il existe mais qu'il ne satisfait pas les contraintes d'acheminement du flux, la décision d'acheminement aboutit à la sélection d'un autre chemin logique, qui nécessite un transit du flux par une ou plusieurs enclaves intermédiaires. Les enclaves intermédiaires traversées doivent alors être configurées de sorte que l'acheminement choisi soit effectivement mis en oeuvre pour le flux considéré. La fonction 316 a pour rôle de générer et communiquer les messages de signalisation préalables à la transmission d'un flux de communication 20 nécessitant un acheminement par une enclave intermédiaire. Plusieurs variantes de réalisation de cette fonction de signalisation 316 sont possibles. Dans un premier mode de réalisation, la sélection de la totalité du chemin, composé d'une succession de liens logiques et d'enclaves intermédiaires, est réalisée par la sous-fonction 315 du dispositif D attaché à 25 l'enclave source, émettrice du flux f à transmettre. Les informations concernant le chemin sélectionné sont associées à la valeur de marquage X précédemment apposée par le module 317. De la même façon que lorsqu'un chemin direct est sélectionné, le module d'aiguillage 342 du dispositif attaché à l'enclave source est configuré de sorte 30 que les paquets du flux f à transmettre soient envoyés sur le lien permettant d'atteindre la première enclave intermédiaire. Un message de signalisation est ensuite généré et contient les informations nécessaires à l'identification du chemin complet, ainsi que les informations de qualité requise pour le flux et la valeur X de marquage associée. Le message de signalisation est transmis à la première enclave intermédiaire sur le chemin sélectionné, c'est-à-dire l'enclave voisine de l'enclave source, afin de lui communiquer les informations associées à la valeur de marquage X du champ d'en-tête des paquets qui composent le flux 5 f à transmettre. Sur réception de ce message de signalisation, la fonction 316 de signalisation de cette première enclave intermédiaire (partie rouge) prend connaissance du chemin à associer à la valeur du champ d'en-tête et met à jour une table de correspondance, puis configure le module d'aiguillage 342 pour indiquer l'action d'acheminement à réaliser pour les paquets marqués 10 avec cette valeur X et qui proviennent de l'enclave source. Cette opération est ensuite répétée de proche en proche pour chaque enclave intermédiaire située sur le chemin sélectionné. Outre la mise en oeuvre de l'acheminement des flux chiffrés, cette signalisation peut également permettre la réservation des ressources nécessaires à cet 15 acheminement. Les paquets de données chiffrées du flux f sont ensuite transmis vers l'enclave voisine constituant le premier saut du chemin choisi. Ces paquets contiennent à cet effet, dans leur en-tête, l'adresse destination de cette 20 première enclave. En se référant à l'exemple de la figure 2, les paquets du flux f sont transmis du dispositif D_211 vers le dispositif D_212 de façon sécurisée. Grâce à l'étape de signalisation effectuée au préalable, la sous-fonction d'aiguillage 342 du dispositif D_212, située dans la partie noire, sait 25 associer la valeur du champ d'en-tête lue dans les paquets chiffrés reçus à un chemin particulier dans le réseau. Ainsi, le dispositif D_212 peut acheminer les paquets vers leur destination finale, à savoir l'enclave E_203, sans qu'il soit nécessaire de les déchiffrer, et donc sans qu'ils n'atteignent la partie rouge du dispositif D_212. Ainsi, une enclave intermédiaire n'est pas 30 en mesure d'intercepter les flux qui ne lui sont pas destinés. Dans une variante de réalisation de l'invention, la valeur X du champ d'entête peut être modifiée, lors de l'étape de signalisation, par le dispositif D attaché à une enclave intermédiaire. En effet, si, par exemple, cette valeur X 35 est déjà associée à une autre opération, elle peut être modifiée en une nouvelle valeur Y. Il est aussi possible d'imposer que la valeur du champ soit spécifique à chaque enclave. Dans ce cas, chaque dispositif D attaché à chaque enclave intermédiaire associe, pour la même stratégie d'acheminement, une valeur du champ d'en-tête potentiellement différente 5 dont la signification est propre à l'enclave. Lorsque le flux transmis est reçu par une enclave intermédiaire, c'est la fonction d'aiguillage 342 qui réalise la modification de la valeur du champ d'en-tête. La fonction 342, dans la partie noire du réseau, sait réaliser cette opération de modification du marquage, qui lui a été notifiée par le module de 10 signalisation lors de l'étape de configuration de la partie noire. Ainsi, l'action à opérer lors de la réception de paquets comportant une valeur de marquage X donnée consiste en la modification du marquage et l'acheminement sur le prochain lien constituant le chemin logique. 15 Dans une autre variante de réalisation de l'invention, le chemin global permettant d'acheminer le flux f de l'enclave source E_201 vers l'enclave destination E_203 n'est pas décidé par le dispositif D attaché à l'enclave source E_201 mais le module de décision de chaque enclave intermédiaire E 202 est sollicité, lors de la phase de signalisation, pour décider, de proche 20 en proche, du meilleur lien logique à sélectionner pour poursuivre l'acheminement des paquets vers leur destination finale. On décrit à présent le procédé d'acheminement selon l'invention mis en oeuvre pour l'exemple de la figure 2. 25 Un flux de communication f est émis depuis l'enclave réseau E_201 à destination de l'enclave réseau E_203. Les réseaux de transports T 204,T_205,T_206 sont situés dans la partie noire du réseau. Ainsi, les flux transitant à travers ces différents réseaux de transports doivent être sécurisés afin que l'accès à leur contenu soit rendu impossible. 30 Le procédé selon l'invention vise à déterminer le chemin optimal permettant d'acheminer le flux f sécurisé vers l'enclave destination en prenant en compte les caractéristiques des différents liens en regard des contraintes associées à ce flux. Il comporte principalement les étapes suivantes exécutées par les dispositifs d'interconnexion et de routage 35 D 211,D_212,D_213 réalisant l'interface entre chaque réseau local enclavé et la partie noire du réseau constituée des différents liens de communication et réseaux de transports. Le dispositif D_211 attaché à l'enclave source E_201 réalise une découverte du réseau. Il découvre ainsi que l'enclave E_201 est connectée à 5 l'enclave E_202 par l'intermédiaire du réseau de transport T_204 et que le réseau de transport T_205 reliant les enclaves E_201 et E_203 est défaillant. Il communique ces informations au dispositif D_212 attaché à l'enclave E 202 selon le mécanisme associé à la fonction 312 décrite précédemment. Le dispositif D_212 découvre à son tour que l'enclave E_202 10 est reliée à l'enclave E_203 par l'intermédiaire du réseau de transport T_206. De proche en proche et par itérations successives, tous les dispositifs D 211 D 212 D 213 découvrent ou maintiennent leur connaissance de la topologie du réseau ainsi que des caractéristiques de chaque lien de communication. Cette topologie est stockée et maintenue sous la forme d'un 15 ou plusieurs graphes de connectivité dans une base de données 314. Alternativement, la communication des informations de topologie du réseau est réalisée par le biais d'une ou plusieurs enclaves qui reçoivent l'ensemble des informations pour les diffuser ensuite à l'ensemble des enclaves distantes de manière agrégée. 20 Le dispositif D_211 effectue ensuite un choix du meilleur chemin permettant d'acheminer le flux f de l'enclave source E_201 vers l'enclave destination E_203. Compte tenu de la défaillance du réseau de transport T_205 qui assure une liaison directe entre ces deux enclaves, le dispositif D 211 sélectionne le chemin indirect passant par le dispositif D_212 de 25 l'enclave E_202. Une phase de signalisation est ensuite engagée. Un message de signalisation est généré contenant les informations permettant d'identifier le chemin sélectionné, ses caractéristiques de transmission (bande passante, délai, gigue, taux d'erreurs) et la valeur X de 30 marquage associée à ce chemin. Ce message est transmis, saut par saut, aux enclaves situées sur le chemin sélectionné. A réception du message de signalisation, chaque dispositif de routage D_212 met à jour une table de correspondance entre les valeurs de marquage et le chemin associé, et configure le module d'aiguillage 342 situé dans la partie noire pour réaliser 35 l'acheminement adéquat. Dans une variante de réalisation, la valeur de marquage X des paquets est spécifique à chaque enclave. Une fois la phase de signalisation terminée, toutes les enclaves situées sur le chemin sélectionné savent quelle opération d'acheminement effectuer à réception d'un paquet chiffré dont la valeur du champ d'en-tête, par exemple le champ DSCP, correspond à une valeur identifiée dans la table de correspondance. Chaque dispositif d'interconnexion et de routage D_212 achemine alors le paquet chiffré reçu, en fonction de cette valeur de champ d'en-tête, vers la prochaine enclave du chemin identifié grâce à cette valeur, et ainsi de suite jusqu'à ce que le paquet arrive à sa destination. Cette opération est réalisée par le module 321 du dispositif D_212 situé dans la partie noire du réseau, de sorte à acheminer les paquets sans effectuer de déchiffrement. Lorsque le dispositif D_213 reçoit le paquet, le module 321 correspondant sait, du fait de l'absence de correspondance entre la valeur de marquage et une action d'acheminement, que celui-ci est arrivé à sa destination, et peut donc le transmettre au module 331 pour déchiffrement, puis au module de routage 317 qui achève l'acheminement du paquet jusqu'à la destination dans l'enclave E_203. Dans une variante de réalisation, le chemin global reliant l'enclave source à l'enclave destination n'est pas déterminé totalement par le dispositif de routage attaché à l'enclave source mais est déterminé de proche en proche par chacun des dispositifs de routage attachés à chaque enclave du réseau. Grâce à l'invention, des flux sécurisés initialement acheminés entre deux enclaves directement connectées peuvent être redirigés via des enclaves intermédiaires lorsqu'un problème survient sur une liaison directe. Les évènements susceptibles de déclencher ce mécanisme de redirection peuvent être des pertes de connectivité dans le réseau d'opérateur assurant cette liaison directe, mais également des dégradations de performances, ces événements étant détectés grâce au module de surveillance 312 du dispositif selon l'invention. L'invention a pour avantage de permettre l'acheminement de flux sécurisés entre deux enclaves distantes en passant par une ou plusieurs 35 enclaves intermédiaires sans qu'il soit nécessaire de les déchiffrer lors de leur transit. Les mécanismes mis en oeuvre par l'invention, en particulier le cloisonnement entre partie rouge et noire du dispositif d'interconnexion et de routage selon l'invention, permettent de réaliser une stratégie d'acheminement optimale tout en conservant un haut degré de sécurisation du flux lors de son transit par les différentes entités situées sur son chemin. Lorsqu'une redirection a lieu, les ressources nécessaires à l'acheminement de l'ensemble des flux redirigés ne sont pas forcément disponibles. Dans ce cas une fonction de préemption permet d'acheminer une partie du trafic seulement, en donnant la priorité aux flux dont la criticité est élevée. L'invention permet également de mettre en oeuvre un mécanisme de protection et de restauration. Lorsqu'un chemin est sélectionné, il est possible de prévoir et d'établir un chemin alternatif de secours sur lequel des flux, en particulier des flux critiques, peuvent être instantanément redirigés en cas de problème sur le chemin utilisé initialement. De plus, dans le cas où une interruption de la connectivité fournie par un réseau de transport est prévue, par exemple pour des raisons de maintenance, l'invention permet de mettre en oeuvre un mécanisme de type « Make before Break » qui consiste à établir un autre chemin et à rediriger les flux sur ce chemin avant même que l'interruption n'ait lieu. L'invention s'applique à tout réseau d'infrastructure nécessitant un haut degré de sécurisation et de résilience. Le dispositif selon l'invention peut être implémenté dans un unique équipement bénéficiant de ressources importantes, ou peut comporter un premier dispositif de routage 311 adapté à la mise en oeuvre des traitements dans la partie rouge du réseau, un second dispositif de routage 321 adapté à la mise en oeuvre des traitements dans la partie noire du réseau et un dispositif de chiffrement 331 assurant la liaison entre les deux. La passerelle 341 peut être réalisée par un canal de communication implémenté par le dispositif de chiffrement et dédié à cet effet. Références [1] A. Akella et al., « On The Perfomance Benefits of Multihoming Route Control », IEEE/ACM Transactions on Networking, vol. 16 (1), 2008, p. 91104. [2] D. G. Andersen et al., « Resilient Overlay Networks », in Proceedings of the 18th ACM Symposium on Operating Systmes Principles (SOSP'01), 2001, p. 131-145. 10 REVENDICATIONS1. Dispositif (D) d'interconnexion et de routage entre un réseau local 5 enclavé (E_201) et au moins un réseau de transport (T_204,T_205,T_206) caractérisé en ce qu'il comprend : - des premiers moyens (311) adaptés à sélectionner, pour un flux de communication en provenance dudit réseau local (E_201) source, au moins un chemin vers le réseau enclavé (E203) auquel il est 10 destiné et à associer ce chemin à une valeur de marquage (X), - des moyens (317) d'insertion de la valeur de marquage (X) dans un champ d'en-tête des paquets dudit flux, - des moyens de chiffrement (331) de l'intégralité dudit flux à l'exception desdits champs d'en-tête, 15 - des seconds moyens (321) adaptés à aiguiller ledit flux chiffré vers le réseau de transport (T_204) directement connecté audit réseau local source (E_201) et situé sur le chemin sélectionné, en fonction de la valeur de marquage (X) lue dans le champ d'en-tête desdits paquets, 20 - une passerelle (341) pour communiquer auxdits seconds moyens (342), l'association entre la valeur de marquage (X) et l'aiguillage à appliquer en fonction du chemin sélectionné par lesdits premiers moyens (311). 25 2. Dispositif (D) selon la revendication 1 caractérisé en ce que lesdits premiers moyens (311) sont en outre adaptés à : - établir et maintenir (312,313) au moins un graphe de connectivité (314) de la topologie logique globale du réseau contenant l'ensemble des liens logiques reliant les réseaux locaux enclavés 30 entre eux et au moins une information relative à la qualité de transmission sur lesdits liens, - sélectionner (315) le chemin d'accès au réseau enclavé destination (E_203) à partir desdites informations de qualité et d'au moins une contrainte d'acheminement dudit flux à transmettre, de 35 sorte à respecter cette contrainte,- communiquer (316) le chemin sélectionné et la valeur de marquage (X) associée aux réseaux locaux enclavés situés sur ledit chemin. 3. Dispositif (D) selon l'une des revendications précédentes caractérisé en ce que lesdits seconds moyens (342) sont en outre adaptés à modifier la valeur, associée le chemin sélectionné, du champ d'entête des paquets reçus en provenance d'un réseau de transport. 4. Dispositif (D) selon l'une des revendications précédentes caractérisé en ce que lesdits premiers moyens (311) sont mis en oeuvre par un premier routeur, lesdits seconds moyens (321) sont mis en oeuvre par un second routeur, et la passerelle (341) est réalisée par un canal de communication fourni par les moyens de chiffrement (331). 5. Dispositif (D) selon l'une des revendications précédentes caractérisé en ce que les réseaux sont des réseaux IP et le champ d'en-tête est le champ DSCP du paquet IP. 6. Dispositif (D) selon la revendication 5 caractérisé en ce que les moyens de chiffrement (331) mettent en oeuvre le protocole IPSec. 7. Procédé d'acheminement d'un flux chiffré (f) dans un réseau comportant une pluralité de réseaux locaux enclavés (E_201, E_202, E_203) interconnectés via au moins un réseau de transport (T_204,T_205,T_206) caractérisé en ce qu'il consiste, pour acheminer ledit flux chiffré d'un réseau enclavé source (E_201) vers un réseau enclavé destination (E_203), à : - établir et maintenir (312,313) au moins un graphe de connectivité (314) de la topologie logique globale dudit réseau contenant l'ensemble des liens logiques reliant les réseaux locaux enclavés entre eux et au moins une information relative à la qualité de transmission sur lesdits liens, - sélectionner (315), à partir desdites informations de qualité et d'au moins une contrainte d'acheminement dudit flux (f), au moins unchemin d'accès au réseau enclavé destination (E_203) permettant de respecter cette contrainte, - associer au chemin sélectionné, pour chaque réseau enclavé situé sur ledit chemin, une valeur de marquage (X) et communiquer (316) cette association aux autres réseaux enclavés situés sur ledit chemin, - insérer cette valeur (X) dans un champ de l'en-tête des paquets dudit flux (f), - chiffrer (331) l'intégralité desdits paquets à l'exception dudit champ o d'en-tête, - pour chaque réseau enclavé recevant lesdits paquets chiffrés, déterminer la destination suivante dudit flux (f) par lecture de la valeur dudit champ d'en-tête et interprétation du chemin associé, sans déchiffrement desdits paquets. 15 8. Procédé d'acheminement selon la revendication 7 caractérisé en ce qu'il consiste en outre à réserver les ressources disponibles sur ledit chemin d'accès sélectionné, pour la transmission dudit flux. 20 9. Procédé d'acheminement selon l'une des revendications 7 ou 8 caractérisé en ce qu'il consiste en outre, pour chaque réseau enclavé recevant lesdits paquets, à modifier la valeur du champ d'en-tête des paquets par une valeur de marquage (Y) spécifique audit réseau enclavé. 25 10. Procédé d'acheminement selon l'une des revendications 7 à 9 caractérisé en ce que lesdites informations de qualité comprennent au moins la bande passante ou le délai ou la gigue ou le taux de pertes de paquets. 11. Procédé d'acheminement selon l'une des revendications 7 à 10 30 caractérisé en ce que lesdites contraintes d'acheminement comprennent au moins des contraintes de qualité de service, des contraintes de criticité du service, des contraintes de priorité ou des contraintes géographiques. 12. Procédé d'acheminement selon l'une des revendications 7 à 11 35 caractérisé en ce qu'un chemin alternatif est sélectionné (315) en secours du chemin principal. 13.Procédé d'acheminement selon l'une des revendications 7 à 12 caractérisé en ce que la sélection (315) dudit chemin d'accès prend en compte une interruption programmée de la connectivité sur au moins un lien fourni par au moins un réseau de transport.10