MPLS, BGP et iBGP
de la commutation au routage, avec des routeurs 100G

Commuter ou router : le vrai arbitrage

Un routeur lit l'adresse de destination de chaque paquet et consulte une table qui contient, sur un opérateur, de l'ordre du million de préfixes. C'est un travail par paquet, en mémoire, avec des mises à jour permanentes. Un commutateur, lui, regarde une étiquette courte et repart. Le premier décide, le second transporte.

Toute l'architecture d'un réseau d'opérateur tient dans cette phrase : router là où la décision est nécessaire, commuter là où elle ne l'est plus. C'est exactement ce que fait MPLS.

MPLS, sans la légende

MPLS (Multi-Protocol Label Switching) insère une étiquette de 20 bits devant chaque paquet. Les routeurs du cœur, les LSR ne lisent plus l'adresse IP : ils échangent une étiquette contre une autre (swap) et expédient. Aux bords du réseau, les LER ajoutent (push) ou retirent (pop) l'étiquette.

Le chemin emprunté par une étiquette s'appelle un LSP. Deux façons de le construire :

• LDP la distribution automatique, calée sur le routage IP existant. Simple, robuste, mais sans contrôle sur le chemin réellement pris.
• RSVP-TE l'ingénierie de trafic : on décrit un chemin explicite, avec une bande passante réservée et une protection. Plus puissant, plus exigeant en exploitation.

Ce que MPLS apporte réellement :

• La séparation des clients chaque client vit dans sa VRF, avec ses propres tables de routage. Deux clients peuvent utiliser les mêmes adresses privées sans se voir.
• Les services de bout en bout VPN de niveau 3 (le client nous confie son routage) ou de niveau 2 (VPLS : son réseau nous est transparent).
• La qualité de service par classe la voix, la vidéo et la sauvegarde ne partagent pas la même file d'attente, même quand le lien est saturé.
• La reprise rapide avec TE et protection, un lien coupé se contourne sans attendre que BGP reconverge.

Ce que MPLS ne fait pas : il ne chiffre rien, il n'ajoute pas de bande passante, et il ne rend pas un réseau simple. Un cœur MPLS mal conçu reste un cœur mal conçu, avec une couche de complexité en plus.

Le trajet d'un paquet, d'un site client à l'autre

Le client remet ses paquets à un routeur de bord, le CE, qui les passe au routeur d'entrée de l'opérateur, le PE. Celui-ci cherche la route dans la VRF du client, empile deux étiquettes, une pour le service, une pour le transport, et envoie dans le cœur. Les LSR intermédiaires échangent l'étiquette de transport sans jamais regarder l'adresse du client. À l'autre bout, le PE retire l'étiquette de service et remet le paquet au CE distant, qui ne s'est rendu compte de rien.

C'est ce mécanisme qui permet à un opérateur de vendre « un lien entre vos deux sites » alors que ces deux sites peuvent avoir des adresses privées identiques à ceux d'un autre client.

BGP : la politique avant la technique

BGP est le protocole qui échange les routes entre opérateurs : chacun annonce les préfixes qu'il sait joindre, avec son numéro d'AS en tête de chemin. C'est un protocole de politique, pas de plus court chemin : on ne choisit pas la route la plus rapide, on choisit celle qui respecte un accord commercial et des règles de filtrage.

Trois réflexes valent plus que toutes les options :

• Filtrer ce qu'on reçoit n'accepter que les préfixes que le voisin est légitime à annoncer, via les objets IRR et la validation RPKI. Sans cela, une erreur de configuration chez un voisin peut détourner une partie d'Internet.
• Annoncer le moins possible un préfixe de plus est une responsabilité de plus ; les fuites de routes commencent par une annonce trop large.
• Se raccorder à un point d'échange c'est là que plusieurs réseaux se joignent en une seule connexion, et qu'un serveur de routes peut mutualiser le travail. D'où l'importance d'un IX local, dont nous parlions dans cette note.

iBGP : le même protocole, mais à l'intérieur

À l'intérieur d'un même AS, BGP devient iBGP. Deux règles changent tout : une route apprise en iBGP n'est pas réannoncée à un autre voisin iBGP (pour éviter les boucles), et le next-hop n'est pas modifié. Conséquence : un maillage complet serait nécessaire, n(n-1)/2 sessions. Sur vingt routeurs, cela fait 190 sessions à maintenir ; sur cent, 4 950.

La solution est le route reflector : un ou deux routeurs reçoivent toutes les routes et les reflètent aux autres. Deux pièges classiques : un next-hop qui reste inaccessible parce qu'on a oublié next-hop-self sur le réflecteur, et un réflecteur unique qui devient un point de panne, d'où la paire, avec des identifiants de cluster distincts.

Et les routeurs MikroTik 100G, dans tout ça

Le matériel n'est plus le facteur limitant pour un opérateur régional. Deux références MikroTik tiennent le haut de gamme à un prix qui n'a rien à voir avec les châssis historiques :

Sources : fiches produit MikroTik (mikrotik.com) et documentation d'exploitation.

RouterOS 7 sait faire ce qu'un opérateur demande : BGP avec plusieurs instances et familles d'adresses, MPLS (LDP, TE, VPLS, VPN de niveau 3), VRF, EVPN/VXLAN, et un déchargement matériel du routage sur certains modèles. Les limites sont connues et documentées : le déchargement ne couvre pas toutes les fonctions, activer certaines options le désactive, et une table de routage complète demande de la mémoire.

C'est précisément pour cela que nous les utilisons là où ils sont bons : un laboratoire d'interconnexion, une agrégation de site, un banc d'essai BGP/MPLS avant de toucher à la production. Pas pour remplacer un châssis opérateur sur un cœur de dix mille sessions sans avoir mesuré ce qu'on lui demande.

Ce qu'il faut retenir

• Commuter vite, router intelligemment et router seulement là où une décision doit être prise.
• MPLS cache le client à l'opérateur, pas au réseau : il isole les tables de routage, il ne chiffre pas le trafic.
• BGP est un contrat le filtrage et la politique comptent plus que le réglage des temporisateurs.
• iBGP sans réflecteur ne passe pas l'échelle deux réflecteurs valent mieux qu'un maillage complet.