FR 2961365 A1 20111216 FR 1002522 A 20100614 Méthode de gestion de flux sécurisés entre plusieurs sites et routeur- chiffreur associé La présente invention concerne une méthode de gestion de flux sécurisés entre plusieurs sites, et par exemple de type campus, et un dispositif de routage et de chiffrement ou « routeur chiffreur » permettant de mettre en oeuvre ladite méthode. Les architectures de télécommunications des réseaux et notamment les réseaux militaires se distinguent notamment par le fait qu'elles s'interconnectent au travers de réseaux militaires à fortes capacités de résilience pour l'acheminement des flux sensibles au profit des usagers vitaux et qu'elles disposent également de moyens civils pour assurer l'acheminement des flux non sensibles au profit des usagers non vitaux. Par flux sensibles, on entend aussi bien les flux à caractère de confidentialité que de contraintes d'acheminement ou à caractère opérationnel. La protection en confidentialité des flux est assurée par les applicatifs ou par d'autres moyens mis en oeuvre dans les réseaux de dessertes (campus) et qui n'influent pas directement sur l'architecture du système. Le transport dans les dessertes (c'est-à-dire des LAN, « Local Area Network » pour réseau locaux et/ou des MAN, « Metropolitan Area Network » pour réseaux métropolitains) des flux sensibles et non sensibles se caractérise par le fait que l'ensemble des flux est véhiculé sur un MAN unique non sensible (les flux non sensibles sont par nature plus volumineux et touchent un plus grand nombre d'usagers). Pour assurer la protection d'acheminement sur les WAN (« Wide Area Network ») de l'ensemble des flux (sensibles et non sensibles), ces derniers sont transportés chiffrés sur les WAN par l'intermédiaire de tunnels IPsec (« Internet Protocol Security »). Les moyens à fortes capacités de résilience sont des moyens d'infrastructure terrestres à grande capacité de ressources ou des moyens d'infrastructure satellitaires à plus faible capacité de ressources et ayant des contraintes de qualité de service (désignée aussi par l'acronyme QoS pour « Quality of Service) par exemple en termes de temps de latence, de temps de transit, de perte de paquets. La communication entre les usagers situés dans les dessertes est contrainte par l'emploi de chiffreurs IPsec et elle obéit à des règles de communications établies généralement de manières statiques, ces règles définissent les ayant droits à communiquer (généralement des sous réseaux) et les sites distants (les équipements de sécurité IPsec) que ces ayant droits peuvent atteindre. Ces informations sont contenues dans une base de donnée appelée SPD (« Security Policy Database »). La SPD n'est pas modifiable dynamiquement et nécessite des opérations manuelles de configuration de la part d'un opérateur. L'ensemble des règles inscrites dans la SPD est appelée la « politique de sécurité des flux ». Les flux entre les campus sont de natures différentes, ils sont 1 o identifiés par une classe de trafic au sens DiffServ, le champ DiffServ étant un champ de l'en-tête d'un paquet IP. Les équipements en bordure de réseaux n'effectuent pas de traitement sur les flux en fonction de la classe de trafic, mais par rapport à une classe de service, une classe de service étant un regroupement d'un ensemble de classes de trafic. Ce principe permet de 15 procéder à un traitement égalitaire sur les flux ayant des contraintes techniques identiques comme le temps de transit par exemple. Avec les systèmes actuels, comme illustré en figure 16a, le chiffrement s'effectue avant le routage. II est nécessaire de disposer de deux plans de routage, un plan de routage dans le rouge (avant les chiffreurs) et 20 un plan de routage dans le noir (après les chiffreurs). Par contre il n'est pas possible de faire une corrélation entre ces deux plans de routage, car le plan de routage noir est masqué et inaccessible du fait de l'emploi de VPN IPsec (« Virtual Private Network Internet Protocol Security »). Une technique connue est d'utiliser les deux réseaux WAN en 25 fonction « backup » c'est à dire que le second WAN ne sera utilisé que si le premier est en défaut de connectivité. Dans les autres cas et notamment en cas de saturation du WAN, les flux continuent à emprunter le WAN saturé. Enfin, pour permettre un usage simultané des deux WAN, il est nécessaire de rétablir une topologie de routage à partir du plan de routage 30 rouge, cette solution utilise un tunneling des flux par l'emploi de tunnels GRE qui permettent de rétablir une connectivité entre les équipements routeurs rouges et d'élaborer le plan de routage rouge par l'utilisation d'un IGP (OSPF par exemple). L'art antérieur nécessite la mise en oeuvre de plusieurs produits 35 distincts (Switch, Firewall, Routeur et Chiffreur). Les opérations de gestion et de sécurité sont distinctes et nécessite une corrélation entre les opérateurs pour définir l'établissement des politiques de sécurité et celle du routage (tunnels GRE). L'exploitation est rendue complexe sur les réseaux important puisqu'il est nécessaire d'établir des tunnels GRE entre tous les sites. La mise en oeuvre d'une politique de gestion des flux est très limitée par le simple fait qu'il y a une visibilité limitée sur le contenu des paquets (champ DSCP) et non sur l'origine et la destination des flux. Ce qui implique de prendre les décisions de routage en amont (plan rouge). L'offset engendré par les tunnels IPsec ne permet pas d'assurer 1 o un SLA cohérent entre les réseaux MAN (usagers) et WAN (transit), c'est pourquoi, il est nécessaire d'avoir un routeur (appelé dans certains cas routeur QoS) entre les WAN et les chiffreurs dont l'objectif principal est d'assurer une cohérence entre les flux en provenance du WAN et à destination des MAN et inversement. 15 Plusieurs problèmes demeurent non résolus par les systèmes de l'art antérieur. Notamment, l'élongation variable de la taille des paquets (overhead) apportée par le chiffreur ne permet pas d'avoir une cohérence sur la QoS. La politique de gestion des flux n'est pas effectuée selon le type de flux opérationnel. II n'y a pas de politique de répartition des flux entre les 20 WAN. II n'y a pas de réservation et préemption des ressources sur les WAN qui mettent en oeuvre des protocoles comme RSVP. Les équipements de bordure de réseaux intègrent des fonctionnalités de gestion des classes de services par l'utilisation de plusieurs files d'attente et ils associent à ces files d'attente un processus 25 particulier qui garantit aux usagers de ces services un traitement approprié de leurs flux lors des congestions dans les réseaux. Ces principes de QoS et les règles associées sont appelées « la politique de traitement des flux ». La figure 1 présente cette architecture générique et localise les problèmes identifiés. 30 Les architectures de communications mettant en oeuvre plusieurs WAN protégés par des tunnels IPsec comprennent notamment les problèmes décrit ci-après. Premier problème L'aiguillage des flux vers les différents WAN en tenant compte de critères nécessitent soit d'analyser les applicatifs qui sont au dessus de la couche IP, soit de recourir à une identification précise de la source et de la destination des flux. Ces fonctions qui doivent être implémentées sur des équipements routeur de bordure R1_S1, R1_S2 nécessitent des configurations matérielles supportant ces fonctionnalités, ce qui est souvent incompatible d'un déploiement sur des petits sites. Les sites hébergent des usagers ayant des fonctions administratives ou opérationnelles, ces usagers sont considérés soit comme des usagers vitaux (en nombre restreint) ou non io vitaux et ils génèrent des flux sensibles et non sensibles. II n'existe pas de corrélation entre usagers vitaux et flux sensibles, un usager non vital peut générer des flux sensibles. Les flux en provenance des LAN et/ou MAN peuvent être chiffrés pour des raisons de niveau de sécurité de ces flux. Dans ce cas, l'analyse ne 15 peut être réalisée que sur le champ DSCP (« Differentiated Services Code Point ») du paquet IP, qui bénéficie d'une recopie intégrale sans altération de la part des équipements de chiffrement. Aussi, l'aiguillage des flux vers l'un ou l'autre des WAN ne peut être réalisé qu'à partir de ce champ DSCP. Ce premier problème est référencé PB1 sur la figure 1. L'actuelle politique de 20 traitement des flux est limitée aux fonctionnalités de gestion des files d'attente sur le champ DSCP et à la méthode DiffServ. Deuxième problème Les chiffreurs IPsec en mode tunnel introduisent un surdébit, ou 25 « overhead », sur les paquets IP d'origine. Ce surdébit peut être important par rapport aux flux d'origine si ce dernier est un flux voix par exemple. Le routeur RW1 à l'entrée du WAN infrastructure met en oeuvre une politique de qualité de service basée sur le policing et le shaping ce qui permet de traiter les problèmes de congestion et de garantir le respect de la qualité de service 30 requise vis à vis des usagers de la desserte, ou SLA (« Service Level Agreement »). Le routeur R1_S1 n'a pas de connaissance des mesures prises par le routeur RW1 en termes de politique de traitement des flux (QoS), sachant que ces deux routeurs sont dans des domaines d'administration différents, ce qui nécessite une coordination entre les deux 35 administrateurs et qu'ils sont dans des mondes différents (rouge/noir). Si les deux routeurs disposent d'interfaces au même débit, le surdébit engendré par le chiffreur peut occasionner de la part du routeur RW1 une politique de qualité de service allant jusqu'au rejet des paquets IP dans le sens R1_S1 vers RW1, le débit en entrée du routeur WAN étant supérieur à celui admissible par ce routeur. Le routeur RW1 remet les paquets IP au chiffreur en effectuant un lissage de ces derniers jusqu'au débit maximum de son contrat de trafic. Le chiffreur après déchiffrement des paquets remet ces derniers au routeur R1_S1, le débit en entrée de ce routeur étant inférieur au débit de sortie du routeur RW1. Il n'y a pas de cohérence (QoS/SLA) et de prise en compte du surdébit introduit par IPsec dans les routeurs RW1 et R1_S1. Ce deuxième problème est référencé PB2 sur la figure 1. Troisième problème La mise en oeuvre de tunnels IPsec rend opaque tous les flux en provenance des dessertes ce qui rend les protocoles fonctionnant au dessus d'IP (par exemple, le protocole ESP « Encapsulating Security Payload ») invisibles des WAN. Les protocoles en provenance des chiffreurs et compréhensibles par les WAN sont les protocoles du standard IPsec. Par construction, les chiffreurs IPsec ne sont pas des routeurs, dans le sens où ils ne mettent pas en oeuvre de protocoles de routage IGP (« Interior Gateway Protocol ») ou EGP (« Exterior Gateway Protocol ») et qu'ils ne participent pas au routage. L'utilisation de tunnel IPsec ne pose pas de problème particulier si cette utilisation est réalisée d'un site A vers un site unique B, les opérations de routage se limitant à communiquer les adresses noires des extrémités du tunnel au WAN pour qu'il puisse router cette adresse vers le destinataire. Dans une utilisation qui met en oeuvre plusieurs sites maillés entre eux par des tunnels IPsec devant emprunter des WAN différents, il se pose le problème de choisir l'interface de sortie du routeur R1_S1, R1_S2 pour atteindre le destinataire via les WAN au travers de tunnels IPsec. Le protocole OSPF (« Open Shortest Path First ») à topologie de liens permet d'établir la route de moindre coût entre un routeur source et un destinataire. Un lien est une liaison directe entre deux routeurs ; on désigne alors un routeur directement relié à un autre par le terme « d'adjacent ». Dans l'exemple, le voisin du routeur R1_S1 est un chiffreur qui n'implémente pas le protocole OSPF ; il est donc nécessaire d'établir des liens directs pour mettre en oeuvre OSPF entre les routeurs R1_S1, R1_S2. Ces liens sont établis en utilisant le protocole GRE (« Generic Routing Encapsulation ») et en installant des tunnels GRE entre les routeurs R1_S1, R1_S2. Le protocole OSPF peut alors établir une topologie entre l'ensemble des routeurs concernés en considérant chaque tunnel GRE comme une pseudo interface physique permettant à un routeur de générer des « hello » vers ses adjacents, de manière à entretenir et vérifier la connectivité avec ses voisins OSPF. Cette architecture à base de tunnels GRE ne garantit pas l'extensibilité du modèle qui souffre d'un facteur d'échelle. En effet, sur les grosses architectures, il convient d'établir des tunnels GRE en maillage intégral ; le nombre de routes est donc égal à n*(n-1)/2, n étant le nombre de routeurs, ce qui nécessite que les routeurs R1_S1, R1_S2 soient des routeurs capables de gérer cette charge. Ce troisième problème est référencé PB3 sur la figure 1. Quatrième problème L'utilisation du protocole OSPF en tant que protocole de routage permet de router les flux en fonction du coût des liens. Dans l'exemple, le coût des liens se résume au coût du lien de la pseudo interface physique « tunnel GRE », qui prend comme valeur de coût celle de l'interface sur laquelle est monté le tunnel GRE. Les protocoles de routage IGP implémentés dans les WAN n'ont aucune interaction avec le protocole de routage OSPF des routeurs R1_S1, R1_S2 ; en effet, ils sont masqués par les tunnels IPsec. Aussi, les incidents qui interviennent dans les différents WAN ne seront pris en compte au niveau des routeurs R1_S1, R1_S2 que sur détection par le protocole OSPF d'un dysfonctionnement (en utilisant un protocole messages « Hello »). Le dysfonctionnement observé par le routeur pour changer le routage est une rupture du lien, c'est à dire une rupture du tunnel GRE. Dans ce cas, le protocole OSPF peut router les flux vers un autre WAN. Le partage de charge entre les différents WAN peut se faire à condition que les coûts des liens soient identiques. Ce fonctionnement en actif / backup ne permet pas de router intelligemment les flux en tenant compte de critères sur l'un et l'autre des WAN. Il ne permet pas non plus d'optimiser la capacité en transit des WAN. Cela revient à n'utiliser que les WAN en deçà de leur capacité de transit ou à provisionner de la ressource en excédant sur l'un ou l'autre des WAN. Ce quatrième problème est référencé PB4 sur la figure 1. Cinquième problème Le traitement des congestions doit être observé à plusieurs 10 niveaux de l'architecture : - le traitement de la congestion sur les routeurs R1_S1, R1, S2 ; - le traitement de la congestion sur les routeurs RWx ; - le traitement de la congestion dans les WAN. Le traitement des congestions peut être abordé sous deux 15 aspects différents : - d'une part, le traitement des congestions relatives à l'engorgement momentané de ressources (c'est-à-dire de routeurs) sur le chemin des communications ; - d'autre part, le traitement des congestions relatives à la pénurie de 20 ressources dues à un incident ou une dégradation durable dans les réseaux WAN. Le traitement de ces congestions momentanées, qualifiées également de « micros congestions », est relativement bien implémenté dans les équipements de réseaux par les technologies de Policing et de Shaping 25 ainsi que sur les fonctions relatives à la gestion des files d'attente. Dans l'architecture du système selon l'invention, les routeurs R1_S1, R1_S2 et RWx implémentent ces fonctions. Le traitement de ce type de congestion dans les WAN est propre à chaque WAN selon ses caractéristiques et sa politique de traitement des flux (gestion de la qualité de service). 30 La pénurie de ressources sur les routeurs R1_S1, R1_S2 et RWx peut être palliée par des solutions consistant à dupliquer les équipements, les interfaces et à mettre en oeuvre des mécanismes de gestions de ces principes (agrégation de liens, protocole VRRP ou solution VSS). Ces fonctions sont actuellement bien maîtrisées et ne soulèvent 35 pas, a priori, de problème particulier. Certains flux sensibles nécessitent une garantie d'acheminement, les techniques actuelles basées sur DiffServ/DSCP et la gestion des files d'attente ne traitent qu'une partie du problème, c'est à dire la congestion momentanée des flux de trafic. Une autre solution consiste à provisionner de la bande passante sur les WAN pour pallier aux éventuelles congestions, mais ce principe n'est pas économiquement viable et impossible à mettre en oeuvre dès lors que la ressource de transit est une ressource du type satellitaire. La congestion peut être due à une indisponibilité (plus ou moins longue) des ressources de transit WAN qui provoque en amont de cette indisponibilité une contrainte dans l'acheminement des flux. Le protocole OSPF ne disposant d'aucune information sur l'état de congestion du réseau sous jacent, les flux continuent à être routés sur les liens congestionnés, à charge des équipements réseaux sur le chemin de la communication à traiter ces problèmes de congestion, même si cette route est de très mauvaise qualité et ce tant que la route ne devient pas indisponible (c'est-à-dire tant que le tunnel GRE n'est pas rompu). En cas d'incident aboutissant à la rupture de connectivité entre routeur OSPF, un processus de reroutage des tunnels GRE/lPsec est mis en oeuvre jusqu'à élire une route entre les deux équipements. Ce principe de fonctionnement est incompatible d'un besoin d'acheminement de flux ayant un caractère obligatoire en termes de qualité de service, de délais d'acheminement et de latence, notamment. Ce cinquième problème est référencé PB5 sur la figure 1. Sixième problème Les phénomènes de pénurie de ressources peuvent perdurer si les WAN sont sous capacitifs lors d'un incident important, il n'y a pas de résilience des communications. L'acheminement de certains flux sensibles n'est plus garanti. Ce sixième problème est identifié PB6 sur la figure 6. Des méthodes mises en oeuvre pour résoudre ou s'approcher de la résolution des problèmes précités sont indiquées ci-après. Certaines méthodes, présentées ci-après en regard de la figure 2, résolvent une partie des problèmes mais génèrent d'autres contraintes qui peuvent être techniques ou administratives (organisationnelles, par exemple). Le système de la figure 2 reprend la topologie de la figure 1. II comprend des usagers de la desserte d'un premier site S1, qui sont respectivement les abonnés A1_S1 et abonnés A2_S2. Ces usagers disposent d'adresses IP différentes dans le plan d'adressage de la défense, identifiables par leur préfixe. Les usagers du site S2 disposent également d'adresses différentes entre abonnés B1 S2 et B2 S2 et vis à vis du site S1. Le système comprend également des réseaux locaux LAN/MAN qui ont pour principale activité de véhiculer les flux entre les usagers des sites S1 ou S2 et vers le routeur de sortie R1_S1, R1_S2. Le système comprend également un routeur de sortie R1_S1, R1, S2 de MAN. Ce routeur R1_S1 aiguille les flux vers les chiffreurs Z1_S1 ou Z2_S1 en fonction la politique de traitement des flux qui consiste à router les flux sensibles vers le WAN_M et les flux non sensibles vers le WAN_C. Cette politique est réalisée en fonction de l'adressage des usagers du site S1. Le rôle du routeur R1_S2 est identique à celui du site S1 pour les flux en provenance des LAN/MAN du site S2. Quant aux flux en provenance des chiffreurs Z1_S2 et Z2_S2, ceux-ci sont dirigés vers les destinataires au travers les LAN/MAN du site S2. Le système de la figure 2 comprend également des chiffreurs Z1_S1, Z2_S1. Le chiffreur Z1_S1 assure une protection des flux en provenance du routeur R1_S1 à destination du WAN_M et le chiffreur Z2_S1 assure une protection des flux en provenance du routeur R1_S1 à destination du WAN_C. La protection est assurée par la mise en oeuvre du protocole IPsec en mode tunnels. La politique de sécurité affectée à chaque chiffreur permet de cloisonner les flux en provenance de la desserte site S1 à destination des usagers du site S2. L'encapsulation IPsec permet de masquer au WAN_M et au WAN_C les adresses des sites Si et S2. Les adresses IP sur l'interface noire des chiffreurs sont les seules adresses visibles par les WAN_M et WAN_C. Ce sont ces adresses qui sont utilisées par ces WAN pour router les flux en provenance et à destination des routeurs R1_Sx. Le WAN_M véhicule les flux entre le site S1 et S2 selon un routage propre à ce WAN. Le WAN_C réalise les mêmes fonctions de routage en fonction de ces propres paramètres (topologie, protocoles de routage, QoS, etc.). Dans l'exemple, le système comprend seulement deux WAN WAN_M, WAN_C, mais il pourrait s'appliquer également à un plus grand nombre de WAN WAN_M, WAN_C. Avec l'architecture du système de la figure 2, le premier problème PB1 peut être considéré comme partiellement résolu avec des méthodes comme, par exemple, PfR (Performance Routing) et PBR (« Policy Based Routing ») de la société CISCO qui mettent en oeuvre un contrôle de routage sur un trafic applicatif. Ce trafic est défini par des préfixes et/ou par des « traffic classes » qui sont une combinaison contenant le préfixe, le protocole, les numéros de ports et le champ DSCP. Des fonctionnalités comme Netflow 1 o sont également associées à PfR/PBR et mises à contribution pour disposer d'une vision topologique et qualitative du routage des flux. Cependant, dans l'architecture selon l'invention, seuls les flux non sensibles seraient en mesures d'être soumis à ces fonctionnalités. Les flux sensibles étant protégés par chiffrement, les informations utiles à l'analyse 15 ne sont pas accessibles, le seul champ utile est le champ DSCP. Cette architecture ne solutionne donc que partiellement le premier problème PB1. Le deuxième problème PB2 est partiellement résolu en introduisant un routeur QoS1_S1, QoS1_S2, QoS2_S1, QoS2_S2 supplémentaire dans l'architecture, comme illustré en figure 3. Ces routeurs 20 _S1, QoSl_S2, QoS2_S1, QoS2_S2 sont insérés entre les chiffreurs et les routeurs RWx. Ces routeurs sont inclus dans l'architecture et, hormis leur fonction de raccordement au réseau WAN WAN_M, WAN_C, raccordement qui peut être réalisé par de l'agrégation de liens pour assurer une meilleure 25 disponibilité d'accès au WAN, ces routeurs assurent la fonction de qualité de service vis à vis des dessertes, c'est-à-dire des sites S1 et S2, et du WAN. Un des problèmes à résoudre est que l'emploi de chiffreurs en mode tunnels provoque obligatoirement une encapsulation des flux IP d'origine en flux ESP, ce qui se traduit par un surdébit sur les flux origines. 30 Or le routeur R1_S1, R1_S2 ne dispose pas d'une fonction permettant de prendre en compte ce surdébit dans les fonctions de qualité de service (que ce soit du Policing ou du Shaping). Le chiffreur ne dispose pas de fonctions de qualité de service élaborées permettant de traiter ce problème, ce qui se traduit implicitement par l'ajout d'un routeur uniquement destiné à traiter la 35 qualité de service. Ce problème est partiellement résolu car il permet d'assurer une cohérence au niveau de la qualité de service, mais il engendre des coûts supplémentaires (le déploiement d'un routeur) et une contrainte sur les domaines d'administration. Cette solution ne satisfait donc que partiellement le deuxième problème PB2. Par ailleurs, les troisième, quatrième, cinquième et sixième problèmes PB3, PB4, PB5, PB6 ne sont pas résolus. Les différents éléments cités ci-dessus appartiennent à des domaines d'administration différents. II faut en effet distinguer le domaine d'administration du premier WAN_M, le domaine d'administration du deuxième WAN_C, et le domaine d'administration du ou des sites S1, S2. (Selon l'étendue du périmètre de chacun de ces sites S1, S2, il peut y avoir plusieurs domaines d'administration différents). Il est fait l'hypothèse que le domaine d'administration comprend l'administration de la partie sécurité c'est à dire les chiffreurs qui sont partie intégrante des domaines d'administration des sites. Ces domaines forment au sens de l'Internet des Systèmes Autonomes (SA), comme illustré en figure 4. Ce qui implique l'usage de protocoles standardisés IGP et EGP pour les échanges inter domaines. Un problème supplémentaire est identifié dans cette architecture, il concerne le routeur QoS (QoS_S1 par exemple). Ce routeur est du domaine SA de la desserte du premier site S1 et en tant que tel, il est configuré, supervisé et maintenu par le personnel du premier site S1. Mais le chiffreur qui encapsule tous les flux en provenance du routeur R1_S1 ne permet pas d'atteindre le routeur QoS1_S1. Pour permettre l'administration du routeur QoS1_S1, il est nécessaire de mettre en oeuvre une configuration spécifique sécurisée pour garantir l'intégrité du premier site S1 au travers de chiffreurs dédiées à cette fonction. Ce septième problème est référencé PB7. Chaque système autonome met en oeuvre des protocoles IGP et EGP pour router les flux, dans notre architecture les protocoles utilisés sont BGP (« Border Gateway Protocol ») en tant que protocole EGP et OSPF en tant que protocole IGP. La topologie de routage, représentée en figure 5 est décrite ci-après. Les systèmes autonomes représentant les sites S1, S2, mettent oeuvre le protocole OSPF, ce domaine de routage comprend le routeur R1_S1, R1_S2 mais exclut les chiffreurs Z1_S1, Z1_S2. Les chiffreurs n'implémentent pas le protocole OSPF, ils ne routent pas le protocole OSPF et ils ne sont pas capables d'établir une topologie de routage à partir de la source (eux mêmes) vers les destinataires. Le routage des flux dans les chiffreurs est réalisé par la politique de routage Security Policy (SP) et Security Association (SA), informations contenues dans la SPD (« Security Policy Database »). Les routeurs QoS_Sx mettent en oeuvre le protocole OSPF pour permettre de prendre en compte dans les architectures complexes une entité indépendante administrativement du site principal (représentée par l'usager A3_S1), mais utilisant les ressources communes aux différents WAN. Les routeurs QoS étant gérés (Administration / Supervision) par l'entité du site principal. L'ensemble des routeurs QoS des sites de la même entité organisationnelle forment un fédérateur de transit vis à vis des sites de desserte qu'ils raccordent et ceci pour une catégorie de flux donné (sensibles ou non sensibles). Le protocole BGP est implémenté entre les routeurs QoS_Sx et 20 les WAN_M et WAN_C. II permet de communiquer aux différents WAN les préfixes des sous réseaux présents dans les dessertes. Les WAN implémentent un protocole de routage (OSPF par exemple). Il assure le routage des flux entre les différentes dessertes interconnectées. Ce protocole permet d'établir une topologie de routage en 25 affectant des coûts aux chemins empruntés. Le choix de la route étant celui de moindre coût. Les préfixes indiqués dans les tables de routage des routeurs des WAN sont les préfixes des adresses noires de chiffreurs, les adresses du plan usager étant masquées par les chiffreurs. Le protocole OSPF est un protocole à état de liens, pour 30 fonctionner, il nécessite que les routeurs qui utilisent ce protocole soient adjacents, ce que l'on peut traduire par « être connexe par un lien direct », or, les chiffreurs ne permettent pas d'avoir un lien direct entre une entité non protégée et une entité protégée. Pour rétablir une connectivité entre les routeurs R1_S1, R1_S2, il est nécessaire d'utiliser des tunnels GRE, puis de 35 faire tourner un OSPF sur ces « interfaces GRE ». Les tunnels GRE sont implémentés en surcouche de la couche IPsec (protocole ESP) et ils génèrent un surdébit (overhead) de 4 octets supplémentaires. De lors il est possible de reconstruire une topologie de routage OSPF entre les dessertes au travers les tunnels GRE. La gestion de la qualité de service est implémentée dans les routeurs QoS (respectivement QoS1_S1 et QoS2_S1 pour le site Si). Dans chaque routeur elle doit être conforme à la politique de qualité de service vis-à-vis des réseaux WAN, WAN_M et WAN_C ainsi que celle des routeurs Rx_S1 installés sur le site au profit des entités administratives. La cohérence globale de la qualité de service au profit d'un usager collectif qui doit véhiculer des flux sensibles et non sensibles n'est réalisable que par des opérations de configuration indépendantes des routeurs QoS, chaque routeur a à traiter des flux sensibles ou non sensibles. En résumé, les architectures existantes souffrent notamment les 15 problèmes non résolus suivants : - le premier problème PB1 d'aiguillage des flux en fonction d'une politique de gestion des flux ; - le deuxième problème PB2 de prise en compte du surdébit provoqué par l'encapsulation IPsec ; 20 - le troisième problème PB3 d'extensibilité des tunnels GRE ; - le quatrième problème PB4 d'utilisation en simultanéité des différents WAN ; - le cinquième problème PB5 de traitement des congestions en cas de pénuries de ressources ; 25 - le sixième problème PB6 de traitement de la pénurie de ressources sur les WAN ; - le septième problème PB7 d'administration des routeurs QoS derrière les chiffreurs IP. Un but de l'invention est résoudre au moins un des problèmes 30 précités. La solution proposée permet de prendre les décisions de routage avant de chiffrer les informations et d'intégrer dans un seul et même produit toutes les fonctions nécessaires à l'interconnexion du MAN aux WANs. Les tunnels IPsec sont établis entre chiffreurs (Z) des sites adjacents. La fonction routeur rouge (avant Z) permet d'avoir une visibilité 35 sur la topologie de routage et d'aiguiller les flux (dans les tunnels) en fonctions des caractéristiques des usagers des dessertes (MAN) et leurs services associés. Cette solution met en oeuvre également l'Ingénierie de Trafic (TE) par l'emploi de MPLS-TE et des protocoles de routage associés RSVP-TE, OSPF-TE, notamment. L'utilisation du dispositif selon l'invention, illustrée en figure 16b, permet également de réserver des ressources dans le WAN Militaire par une coopération entre le routeur rouge et le WAN militaire. Cette fonctionnalité utilise le procédé objet du brevet français publié sous le numéro FR 2924552 déposée pour Thales. La fonction d'aiguillage implémentée dans le routeur rouge réalise un aiguillage intelligent des flux et réalise une répartition de charge des trafics en fonctions de multiples critères. Des mécanismes de contrôle sont implémentés dans le produit pour éviter des situations de bagotement lors de variations rapides des états 15 des connexions. La fonction de firewall assure une intégrité aux flux en provenance des dessertes et une protection des flux en provenance du WAN Civil. Les dessertes sont protégées vis-à-vis de ces flux, par le fait qu'ils sont opposés à un équipement de chiffrement à contrario de la solution antérieure ou ces 20 même flux étaient opposés à un équipement routeur, donc potentiellement faillible. La fonction switch permet de raccorder des organismes différents sur la même machine physique tout en assurant à ces derniers un cloisonnement en termes de SLA et d'exploitation. 25 Le routage étant opéré avant le chiffrement, le contenu des paquets est visible, les adresses des utilisateurs origines et destinations sont exploitables, les protocoles de signalisation (SIP pour la téléphonie par exemple), sont également exploitable et de ce fait il est possible de prendre des décisions de routage en tenant compte d'une part de ces éléments et 3o d'autre part en analysant les caractéristiques des réseaux WAN, obtenus soit par les protocoles de routage ou de réservation de ressources ou par la mise en oeuvre de mécanismes de QoS (sondes actives) . De ce fait, une politique de gestion des flux peut être mise en oeuvre en se basant sur les critères suivants : 35 - QoS (paquet) - Type de flux session (Voix, données, image) - Type de flux opérationnel (Vital, non vital) - Contrat de trafic SLA (Débit max, Gigue, délais, etc.) - Coût réseau WAN en fonction de la topologie. - Résilience : Congestion des réseaux, perte de liens, de connectivité, utilisation simultané des WAN, répartition de trafic entre les WAN. Le modèle de réseaux et de services appliqué aux applications de défense se caractérise par : - un besoin de protection des échanges d'informations entre les applications, ce qui est mis en oeuvre par les applications tierces parties (SIC, SIAG, SIOC). - un besoin de protection des flux de trafic échangés entre les entités fonctionnelles de la strate transport, ce qui est réalisé par la mise en oeuvre de VPN IPSec au niveau des réseaux de transit et/ou d'accès (protection en sortie d'enclave). - un besoin d'interfonctionnement entre des réseaux métropolitains et de théâtre qui ont des caractéristiques d'emploi différentes, ce qui se traduit par des besoins fonctionnels ayant des caractéristiques techniques, fonctionnels et organisationnels différentes. - un besoin en services voix, données et vidéo ayant des contraintes particulières en termes de qualité de service, de disponibilité, de résilience, etc. ce qui se traduit par un ajout fonctionnel aux bases COTS. - un besoin de séparer d'un point de vue organisationnel les fonctions de sécurité des fonctions de gestion, ce qui se traduit par la mise en oeuvre des centres SOC et NOC. Contrairement aux systèmes classiques, le dispositif de routage et de chiffrement selon l'invention : - renverse la prise de décision entre chiffrement et routage ; - travaille au « niveau protocolaire 2 » (MPLS) sans mettre en oeuvre de tunnels GRE entre les routeurs rouges installés dans les dessertes, ce qui simplifie l'administration ; - fait coopérer les instances de chiffrement (la zone rouge du chiffreur) et le routeur qui prend la décision de routage par l'intermédiaire d'un module de décision ; - ne fait pas intervenir les équipements de la desserte dans la prise de décision. Un avantage de la solution proposée est de pouvoir réaliser l'interconnexion d'un MAN avec des WANs en apportant des fonctions de résilience opérationnelles. L'emploi du routeur selon l'invention pour gérer des flux sécurisés de données comporte notamment les avantages suivants : - permettre une coopération entre les plans de routage rouge et l'établissement des tunnels IPsec ; - permettre un usage simultané des deux réseaux WAN en tenant 1 o compte des caractéristiques « instantanées » de ces WAN, taux d'occupation des ressources, délais de transit des paquets, gigue (QoS indicateurs) ; - aiguiller les flux en provenance des dessertes en fonctions des états des WAN et selon le caractère de ces flux (priorité, type de flux, etc.) ; 15 - garantir l'acheminement d'une certaine catégorie de flux (flux vitaux) ; - garantir la qualité de service de bout en bout, d'usager à usager ; - offrir des fonctions de résilience opérationnelles ; - assurer une cohérence du routage de bout en bout sur les réseaux VPN sécurisé ; 20 - optimiser les ressources de transit. D'autres caractéristiques apparaîtront à la lecture de la description détaillée donnée à titre d'exemple et non limitative qui suit faite en regard de dessins annexés qui représentent : 25 - la figure 1, un exemple d'une architecture d'un système selon l'art antérieur ; - la figure 2, un deuxième exemple de système selon l'art antérieur ; - la figure 3, un troisième exemple de système selon l'art antérieur ; - la figure 4, une illustration des domaines d'administration formant des 30 systèmes autonomes au sein d'une architecture selon l'art antérieur ; - la figure 5, une illustration du routage des flux de données ; - la figure 6, une illustration de l'architecture générale du système selon l'invention ; - la figure 7, un exemple de mise en oeuvre d'une première fonction F1 35 du procédé selon l'invention, - la figure 8, un exemple de mise en oeuvre d'une deuxième fonction F2 du procédé selon l'invention, - la figure 9, un exemple de mise en oeuvre d'une troisième fonction F3 du procédé selon l'invention, - la figure 10, un exemple de mise en oeuvre d'une quatrième fonction F4 du procédé selon l'invention, - la figure 11, un exemple de mise en oeuvre d'une cinquième fonction F5 du procédé selon l'invention, - la figure 12, un exemple de mise en oeuvre d'une sixième fonction F6 io du procédé selon l'invention, - la figure 13, un exemple de mise en oeuvre d'une septième fonction F7 du procédé selon l'invention, - la figure 14, un exemple de mise en oeuvre d'une huitième fonction F8 et d'une neuvième fonction F9 du procédé selon l'invention, 15 - la figure 15, un schéma illustrant le problème de gestion de flux sécurisés de données, - la figure 16a, une architecture selon l'art antérieur, la figure 16b, une illustration de l'utilisation d'un dispositif de routage et de chiffrement selon l'invention dans un réseau, 20 - la figure 17, un illustration d'un réseau utilisant le dispositif de routage et de chiffrement selon l'invention, la figure 18, la position du dispositif de routage et de chiffrement selon l'invention dans un réseau, - la figure 19, la position du dispositif de routage et de chiffrement selon 25 l'invention dans un réseau de télécommunications. Le transfert de données par les réseaux IP n'est soumis à aucune garantie d'acheminement et de remise de ces données à un usager final, ce mode de fonctionnement en Best Effort est le mode de fonctionnement 30 nominal des réseaux IP. A part quelques fonctionnalités spécifiques bâties sur le traitement du champ DSCP du paquet IP, associées à une gestion de files d'attente permettant un acheminement prioritaire de certains paquets IP par rapport à d'autres. Pour garantir l'acheminement des données, il est implicitement 35 nécessaire d'une part, d'établir une relation permanente entre les deux extrémités (usagers) pendant la durée de la communication. Seul un mode de fonctionnement connecté permet de garantir cette relation et d'autre part de procéder à une réservation de ressources sur les réseaux WAN correspondant aux besoins de la communication sur le trajet de celle-ci. Ces ressources étant réservées dans chaque équipement impliqué par la communication. Les protocoles de routage et notamment OSPF bien qu'étant un protocole distribué sur l'ensemble des équipements qui participent au routage, ne permettent pas d'influer sur le choix d'une route établie de io manière dynamique en tenant compte d'événements (congestion, caractéristiques des flux, événements, etc.) qui n'affectent pas la disponibilité de la route (rupture). L'architecture d'un système selon l'invention met en oeuvre des 15 fonctions permettant, d'une part d'assurer un fonctionnement cohérent du système, et d'autre part de résoudre les problèmes PB1, PB2, PB3, PB4, PB5, PB6, PB7 identifiés précédemment. Une fonction F1 assure la protection IPsec des flux en provenance des interfaces 11 et à destination des interfaces 12 et 13. La fonction F1 est 20 décomposée en sous fonctions F11 à F1 n, n représentant le nombre de WAN en interface avec le procédé. Une interface lx est affectée à une sous fonction F1 n. Une fonction F2 assure l'établissement des liaisons point à point entre le procédé local et les procédés distants. 25 Une fonction F3 assure l'aiguillage des flux en provenance et à destination de l'interface 11. L'aiguillage des flux sépare les flux en mode session des autres flux (flux non sessionés). Une fonction F4 assure le traitement des flux en mode session. Une fonction F5 assure le traitement des relations entre la fonction 30 F1 et la fonction F4. Elle permet notamment d'indiquer la fonction F1, les débuts et fins de sessions ainsi que les N° des sessions. Une fonction F6 assure le traitement des aspects de congestions et le traitement des aspects relatifs au Trafic Engineering (TE). Une fonction F7 assure l'interfonctionnement avec les WAN noirs, elle a en charge de récupérer les informations de TE des WAN noirs, de les synthétiser et de les communiquer à la fonction F1. Une fonction F8 assure l'administration des fonctions réseaux. Les 5 fonctions F2, F3, F4 et F5 sont des fonctions réseau. Une fonction F9 assure le traitement des fonctions sécurité. La fonction F1 est une fonction de sécurité. Des bases de données sont associées à ces fonctions, elles permettent de stocker les informations propres aux fonctions réseaux, 10 sécurité ou des informations communes à ces deux fonctions. Ces MIB (« Management Information Base ») sont les suivantes : - une MIB BD1 qui est dédiée aux opérations d'administration et de supervision des fonctions réseaux, accessible en lecture et écriture par la fonction F8. 15 - une MIB BD2 qui est dédiée aux opérations d'administration et de supervision des fonctions sécurité, accessible en lecture et écriture par la fonction F9. - une MIB BD3, commune aux fonctions réseaux et sécurité, accessible en lecture uniquement. 20 La figure 7 présente un exemple de mise en oeuvre de la première fonction F1 du procédé selon l'invention. Les flux entrant et sortant des MAN sur les interfaces 11 nécessitent une protection. Cette protection est assurée par la mise en oeuvre de la fonction F1. La fonction F1 est une fonction IPsec 25 en mode tunnels. Les tunnels sont établis dynamiquement entre les fonctions F1 n et l'ensemble des fonctions F1 n distantes implémentées dans les procédés distants. La fonction F1 met en oeuvre un procédé de découverte automatique des procédés distants. Elle assure l'authentification des procédés distants, l'entretient de la connectivité des tunnels IPsec entre les 30 entités F1 n locales et distantes. La figure 8 présente un exemple de mise en oeuvre de la deuxième fonction F2 du procédé selon l'invention. La fonction F2 permet la résolution du troisième problème PB3. L'utilisation de tunnels IPsec établis au travers de WAN nécessite de positionner d'autres tunnels GRE en overlay 35 de ces tunnels IPsec, ce principe n'est pas extensible sur des topologies réseaux importantes. Pour pallier ce défaut, la solution proposée est d'utiliser une fonction « underlay », c'est à dire de travailler au niveau inférieur à IPsec pour établir les relations entre entités distantes. Cette fonction désignée F2 permet d'établir une liaison point à point entre deux unités distantes, le protocole MPLS (« Multi-Protocol Label Switching ») est un des protocoles qui permet de satisfaire cette fonction. D'autres techniques comme les VLAN peuvent également satisfaire la fonction F2. Les liaisons entre les fonctions F2 sont établies sur les interfaces 12 et 13. Les informations émises ou reçues par cette fonction F2 empruntent les interfaces 12 et 13. La figure 9 présente un exemple de mise en oeuvre de la troisième fonction F3 du procédé selon l'invention. La fonction F3 est en relation full duplex avec l'interface 11, c'est-à-dire en communication bidirectionnelle. Les flux en provenance de l'interface 11 sont aiguillés selon leurs caractéristiques vers la fonction F4 ou vers la fonction F2. Les flux en mode session, comme le protocole SIP (« Session InitiationProtocol ») par exemple, sont aiguillés vers la fonction F4, les autres flux sont aiguillés vers la fonction F2. La fonction F3 permet également de prolonger vers le procédé les caractéristiques de cloisonnement entre usagers, comme les VLAN (« Virtual Local Area Network », réseaux locaux virtuels) ou les VRF (« Virtual Routing and Forwarding Table »). Ces caractéristiques peuvent être acheminées par le procédé local vers les procédés distants. La figure 10 présente un exemple de mise en oeuvre de la quatrième fonction F4 du procédé selon l'invention. La fonction F4 permet la 25 résolution du sixième problème PB6. La fonction F4 reçoit uniquement les flux en mode session en provenance de la fonction F3 (par exemple le protocole SIP). La fonction F4 interprète le protocole « session » et elle identifie dans le protocole le champ qui porte les informations MLPP indiquant la priorité de la session, ces 30 informations ont été forgées dans le champ concerné (le champ RP dans le cas du protocole SIP) par des entités fonctionnelles du MAN. Une requête RSVP (« Resource ReSerVation Protocol ») ou RSVP-TE (« Resource ReSerVation Protocol -Trafic Extension ») selon le WAN sous jacent est générée vers la fonction F4 du procédé distant destinataire de la session par 35 l'intermédiaire de la fonction F3. La fonction F4 met en oeuvre un IGP (« Interior Gateway Protocol ») ayant la capacité à établir une topologie de liens incluant des métriques de disponibilité de bande passante, de bande occupée, notamment. Le protocole OSPF-TE est un de ces protocoles qui peut convenir pour cette partie de fonction. Associé à ce protocole IGP, une sous fonction de calcul de meilleur chemin tenant compte des métriques évoquées ci-dessus permet de définir les meilleures routes pour joindre les procédés distants. La sous fonction C-SPF est une des fonctions permettant de satisfaire ce calcul. Les informations issues de C-SPF sont indiquées comme paramètres dans la requête RSVP-TE. La fonction F4 génère des requêtes RSVP ou RSVP-TE que vers les WAN qui acceptent ces requêtes. La figure 11 présente un exemple de mise en oeuvre de la cinquième fonction F5 du procédé selon l'invention. La fonction F5 permet le dialogue entre les fonctions F4 et chaque entité F1.x. Cette fonction est une fonction de commande qui émet et/ou reçoit des messages en provenance ou à destination des fonctions F4 et F1. Les messages sont véhiculés par le protocole UDP (« User Datagram Protocol »). Les principaux messages permettent d'envoyer et de recevoir des informations sur les sessions de communications à ouvrir, à fermer ou sur le comportement à tenir vis-à-vis des communications en fonctions de paramètres issus de la fonction F1 et notamment de sa partie « interface noire ». La fonction F5 permet de faire le lien entre le numéro de session (par exemple, un numéro de LSP) et un contexte IPsec (par exemple un numéro de SPI, « Security Parameter Index »), informations contenues dans la SDP. La figure 12 présente un exemple de mise en oeuvre de la sixième fonction F6 du procédé selon l'invention. La fonction F6 permet la résolution du premier problème PB1, du quatrième problème PB4 et du cinquième problème PB5. La fonction F6 est en relation avec les fonctions F3, F4. Elle met en oeuvre plusieurs moyens et mécanismes pour gérer les congestions ou influer sur le traitement des flux, les opérations mises en oeuvre par les fonctions F4 et F6 étant dénommées « politique de traitement des flux ». La fonction F4 dispose de l'ensemble des contextes des sessions établies et en cours d'établissement, ainsi que des niveaux de priorité de ces sessions. En fonctionnement nominal, les flux sont routés vers les WAN présents en mode « actif - actif » c'est à dire que le routage choisit un des WAN selon les types de flux à router et les contraintes associées à ces flux. Ce principe permet d'utiliser toutes les capacités des WAN en même temps sans fonctionnement du type « actif - backup ». En cas de congestion signalée à la fonction F6, les principales méthodes utilisées pour influer sur le traitement des flux sont les suivantes, cette liste n'étant pas exhaustive : - Mode DiffServ : le routage des flux est réalisé en fonction du champ DSCP et selon un nombre de classes de service ; - Mode Bit ECN : Une congestion signalée sur positionnement du bit ECN sur une session ou une classe de service du type « données » provoque un changement du chemin de routage des flux concernés par cette congestion ; - Mode SAA : La fonction met en oeuvre des outils permettant de mesurer certaines caractéristiques des flux au travers des WAN. Ces outils permettent de mesurer la gigue, le délai de transit, la latence et ceci sur chacun des WAN. L'analyse des résultats peut provoquer un changement du chemin de routage des flux concernés par l'analyse des métriques, si ces derniers sont dans des valeurs hors des limites prescrites dans le SLA ; - Mode « déni de service ». Une attaque en déni de service est détectée par la fonction F1 et signalée à la fonction F4 au travers la fonction F5 est retransmisse à la fonction F6 qui provoque un changement du chemin de routage des flux concernés par cette attaque. La figure 13 présente un exemple de mise en oeuvre de la septième fonction F7 du procédé selon l'invention. La fonction F7 permet la résolution du deuxième problème PB2. Les flux entrant et sortant de et vers les WAN sur les interfaces 12, 13 et In1 sont véhiculés vers ces interfaces par la fonction F7. La fonction F7 est dupliquée en autant de fonctions (F7.1 à F7.n) qu'il existe de WAN, cette duplication permet de rendre les actions et traitements indépendants sur les WAN. La fonction F7, assure plusieurs sous fonctions et notamment : - une sous-fonction de gestion du surdébit IPsec. La fonction F7 prend en compte le surdébit imposé par le chiffrement IPsec de manière 35 implicite par une commande de gestion communiquée par la fonction F6. Le surdébit est exprimé en un nombre octets supplémentaires à prendre en compte dans le calcul de la qualité de service. La fonction F7 exprime un besoin utilisateur en bande passante correspondant au SLA (« Service Level Agreement », ou contrat de niveau de service) demandé par l'usager, cette expression de besoin est réalisée selon les classes de services. Un calcul est réalisé par la fonction F7 pour vérifier la cohérence entre les débits physiques des interfaces MAN et WAN, et les demandes exprimées par l'usager dans les classes de services exprimées. - une sous fonction de calcul des meilleurs chemins à utiliser sur le WAN à partir de la fonction F7.x concernée et en tenant compte des métriques de TE (OSPF-TE et MPLS-TE). - une sous fonction en relation avec le Bit ECN pour le calcul de la congestion, nombre de paquets en congestion, numéro de session incriminée, etc. Les informations obtenues sont spécifiées dans un message à destination de la fonction F5. La fonction F1 retranscrit ces informations vers la fonction F5. Les messages sont du type TLV, la fonction étant représentée par le champ « T » (Type). La figure 14 présente un exemple de mise en oeuvre de la huitième fonction F8 et de la neuvième fonction F9 du procédé selon l'invention. Les fonctions F8 et F9 permettent la résolution du septième problème PB7. Toutes les fonctions F1, F2, F3, F4, F5, F6 et F7 sont implémentées sur une base matérielle et logicielle commune. Les fonctions d'administration NOC et SOC peuvent cohabiter plus aisément, ce qui permet d'avoir des MIB dédiées à un domaine d'exploitation, une MIB réseau et une MIB sécurité ainsi qu'une MIB commune contenant les informations « réseaux » et les informations « sécurité non sensibles ». Les informations sensibles comme les éléments de cryptologie (clés) sont contenues dans la MIB dédiée à la sécurité. De ce fait les informations de sécurité sont toujours accessibles et elles ne nécessitent aucun équipement supplémentaire pour leurs accessibilités. Le procédé regroupe l'ensemble des fonctions. Il appartient à un 35 seul et unique système autonome (SA). Son administration est assurée par un système autonome WAN ou par un système autonome MAN. Pour faciliter le suivi des SLA, des informations issues de la MIB d'administration réseau et sécurité (MIB commune) sont accessibles en lecture seulement par le système autonome qui n'a pas la responsabilité de l'administration du procédé, afin de fournir une vision de la qualité de service au système autonome qui n'assure pas cette administration. La fonction F8 est en relation avec les fonctions F2, F3, F4, F5 et F6 pour réaliser les opérations d'administration (configuration) et de supervision de ces fonctions. La fonction F9 est en relation avec la fonction F1 et F7 pour réaliser les opérations d'administration (configuration) et de supervision de cette fonction. La fonction F8 est en relation avec la base de données BD1. La base de données BD1 est en mode lecture et écriture. La fonction F9 est en relation avec la base de données BD2 et la base de données BD2 est en mode lecture et écriture. Enfin, la base de données BD3 reçoit des informations de la base de données DB1 et BD2, la base de données BD3 étant en mode lecture uniquement. En résumé, selon une mise en oeuvre de la méthode de gestion des flux sécurisés selon l'invention les étapes suivantes sont exécutées : - Utiliser le protocole IPsec en mode tunnel pour mettre en oeuvre la fonction F1 et les sous fonctions F1 .x ; - Utiliser un protocole de niveau 2 point à point entre la fonction F2 du procédé local et les procédés distants. Le protocole MPLS est un protocole candidat à cette fonction ; - Utiliser un protocole de niveau 2 entre la fonction F2 et la fonction F1. Le protocole 802.1Q (VLAN) est ce protocole. Le numéro de VLAN permet d'établir une correspondance avec le numéro de SPI, identificateur du contexte de chiffrement de la session ; - Aiguiller les flux en provenance des LAN/MAN vers la fonction F4 30 et/ou vers la fonction F2. L'aiguillage vers la fonction F4 concerne les flux en mode session ; - Générer par l'intermédiaire de la fonction F4 des requêtes RSVP vers la fonction F1. La fonction F1 interprète cette requête, la dirige vers le distant au travers du tunnel IPsec considéré et la fonction F1 génère vers le WAN noir la requête RSVP qui porte les attributs du contexte de la session ; - Utiliser un protocole de communication entre les fonctions F1 et la fonction F5 pour autoriser l'échange de messages de signalisation entre ces fonctions et notamment les informations relatives aux numéros des sessions entre procédé local et distant ; - Communiquer à la fonction F4 et F6 par l'intermédiaire de la fonction F5 les informations en provenance de la fonction F1 ; - Utiliser, par la fonction F6, les informations issues de la fonction F7 et des sous fonctions F7.x retransmises par l'intermédiaire de la fonction F1. Ces informations sont véhiculées sous formes de messages et contiennent les informations de Qualité de Service issue des WAN noirs ; - Procéder à l'analyse des informations en provenance des WAN noirs par l'intermédiaire de la fonction F7 et des sous fonctions F7.x. Communiquer ces informations à la fonction F1 ; - Aiguiller les flux vers les fonctions F1.x en fonction de l'analyse des informations reçues ou procéder à la préemption des sessions en cours pour libérer des ressources ; - Filtrer les informations en provenance de la fonction F7 par la fonction F1 et communiquer ces informations à la fonction F5 ; - Administrer les informations réseaux des fonctions F2, F3, F4, F5 et F6 par l'intermédiaire de la fonction F8 et stocker ces informations dans une base de données (BD1). Rendre ces informations accessibles en mode lecture et écriture par les fonctions désignées ; - Administrer les informations sécurité des fonctions F1, F7 par l'intermédiaire de la fonction F9 et stocker ces informations dans une base de données (BD2). Rendre ces informations accessibles en mode lecture et écriture par les fonctions désignées ; - Faire communiquer les bases de données réseau (BD1) et sécurité (BD2) pour extraire les informations communes et les stocker dans une base de données (BD3). Rendre ces informations accessibles en mode lecture uniquement par les fonctions désignées ; les fonctions F1 à F9 étant intégrées sur une plateforme matérielle et 35 logicielle unique. La répartition des fonctions F1 à F9 peut également être réalisée avec des plateformes matérielles et logicielles différentes. Le protocole de communication entre ces plateformes est un protocole de niveau 2. Selon une mise en oeuvre de la méthode selon l'invention, 5 l'aiguillage des flux vers la fonction F4 concerne tous les flux en mode session et les tous les flux en mode non sessionné. Selon une mise en oeuvre de la méthode selon l'invention, les informations issues de la fonction F7 concernant des informations de Traffic Engineering (TE) sont transmises vers la fonction F6 par l'intermédiaire de la 1 o fonction F1. Selon une mise en oeuvre de la méthode selon l'invention, l'administration des informations réseaux et de sécurité est consolidée dans une base de données unique. La méthode selon l'invention comporte de multiples avantages 15 - une amélioration de la résilience des communications et des services ; - une optimisation des ressources de transmission louées (VPN Opérateurs) ; - la possibilité de mettre en oeuvre des mécanismes de préemption des flux vitaux et donc assurer la garantie d'acheminement des flux 20 vitaux ; - une amélioration de la qualité de service à l'ensemble des flux en discriminant les types de flux en fonction des usages. Elle réalise les opérations de routage et notamment le choix de la route pour atteindre la cible avant de réaliser les opérations de chiffrement 25 en tenant compte de critères qualitatifs sur l'état des chemins empruntés (qualité de service, délais de transit, taux d'occupation des ressources, perte de paquets, par exemple). Elle nécessite une collaboration étroite entre les entités de chiffrement et l'entité de routage. 30 Dispositif routeur chiffreur Pour mettre en oeuvre la méthode de sécurisation précitée, il est également proposé un dispositif de routage et de chiffrement ou « routeur chiffreur » permettant d'interconnecter des MAN à des WAN tout en offrant une amélioration de la résilience, un meilleur niveau de sécurité, et une 35 réduction des coûts. L'originalité de ce dispositif est d'aiguiller les flux vers les WAN avant de chiffrer, les solutions actuellement déployées routant des flux déjà chiffrés. L'aiguillage des flux se fait donc en fonction de leur contenu. Dès lors, il est possible de mettre en oeuvre des politiques de gestion des flux au niveau des WAN ce qui permet par exemple de garantir l'acheminement des flux vitaux et d'optimiser les besoins en bande passante sur les WAN. Le routeur chiffreur peut être redondé. La figure 17 présente une architecture NGN appliquée à la Défense et le positionnement du dispositif de routage et de chiffrement selon 10 l'invention. Comme illustré en figure 18, le dispositif de routage et de chiffrement selon l'invention est positionné à la frontière entre différents réseaux qui sont administrés par des entités ayant des responsabilités distinctes. 15 La figure 19 présente les fonctions des trois entités fonctionnelles du dispositif de routage selon l'invention. II se décompose en : une fonction qui a pour rôle d'identifier les voisins IDP-RIP6, d'entretenir la connexité entre ces voisins, de monter les tunnels entre voisins, d'apprendre les S/R visibles derrière ces voisins. Cette fonction est 20 réalisée par la fonction Inter Red Routing d'IDP-RIP6. Cette fonction est implémentée dans l'entité fonctionnelle « chiffreur rouge ». - une macro fonction qui a pour rôle d'établir entre voisins PI WAN des LSP et de les entretenir en fonction de l'environnement local, des événements distants PI WAN et des événements du transit ND. Cette 25 macro fonction est implémentée dans l'entité fonctionnelle « routeur rouge ». - une macro fonction qui a pour rôle d'entretenir une table de routage de labels (LIB), d'effectuer le mapping SPI vers labels, de mettre à jour la FIB. Cette macro fonction est implémentée dans l'entité 30 fonctionnelle « routeur rouge ». - une macro fonction qui a pour rôle d'émettre en clair vers le transit ND des requêtes RSVP et d'entretenir localement et de gérer la table des ressources disponibles sur le transit ND. Cette macro fonction est implémentée dans l'entité fonctionnelle « routeur noir ». Un objectif est d'obtenir un plan MPLS entre les routeurs rouges des PI WAN, d'obtenir un plan VPN entre les chiffreurs noirs des PI WAN, d'obtenir un plan de routage dynamique entre les routeurs rouges des PI WAN et d'obtenir un plan de contrôle des ressources entre les chiffreurs noirs des PI WAN et le transit ND. L'objectif est de contrôler des ressources à partir des informations obtenues et mettre en oeuvre les mécanismes de préemption sur les flux préemptables.