ALEXANDRINE Daniel 2015 BTS SIO MISE EN PLACE DU PROTOCOLE DE SECURITE VRRP (REDONDANCE) OU GLBP (H A) SUR LE ROUTEUR DE LA M2L [Sous titre du document]
Table des matières Contexte... 2 Présentation du réseau actuel de la M2L... 2 Modification du réseau (mise en place du protocole VRRP ou GLBP sur le réseau)... 2 Principe de fonctionnement du protocole VRRP (Virtual Router Redundancy Protocol)... 3 Routeur virtuel Passerelle virtuelle... 3 Un Master et des backups... 3 Transparence aux yeux des hôtes du réseau... 4 Pas de répartition de charge possible pour le protocole standard VRRP... 4 Répartition de charge sur le protocole propriétaire Cisco GLBP... 4 Configuration du protocole standard VRRP... 4 Configuration du protocole propriétaire Cisco GLBP... 5 ADMIN 1
Contexte Tout le réseau de la M2L est basé au tour du seul routeur présent au rez de chaussée du bâtiment B. En effet, l interconnexion des VLANs se fait par ce routeur. Le routage du réseau 176.12.0.0/16 vers le réseau 10.54.0.0/24 est assuré par ce routeur. Les serveurs DHCP, DNS, TFTP, WEB, rsyslog, etc, passe par ce seul et unique routeur pour offrir les services nécessaires et indispensables aux utilisateurs du réseau. En cas de panne de ce routeur les utilisateurs ne pourront pas bénéficier des services que proposent les serveurs présents derrière ce seul routeur. Il serait bon de rajouter une couche de sécurité en mettant en place une redondance sur ce routeur afin de se préserver d une éventuelle panne du routeur actuel. Présentation du réseau actuel de la M2L Voici la topologie du réseau actuel de la M2L sans redondance sur le routeur : R1/Eth1 R1/Eth0 Modification du réseau (mise en place du protocole VRRP ou GLBP sur le réseau) Voici une modification du réseau de la M2L avec la redondance sur le routeur : ADMIN 2
Vlan 20 Vlan 10 R1/Eth1 VRRP/GLBP R2/Eth1 R1_Master R2_Backup R1/Eth0 VRRP/GLBP R2/Eth0 Principe de fonctionnement du protocole VRRP (Virtual Router Redundancy Protocol) Le but de ce protocole est d'augmenter la disponibilité de la passerelle par défaut des hôtes d'un même réseau. Routeur virtuel Passerelle virtuelle Cela se fait par la mise en commun du fonctionnement de plusieurs routeurs physiques (au minimum deux) qui, de manière automatique, assurerons la relève entre eux d un routeur à un autre. Plus précisément, la technologie VRRP permettra aux routeurs situés dans un même groupe (que l on nomme «standby group») de former un routeur virtuel qui sera l unique passerelle des hôtes du réseau local. En se «cachant» derrière ce routeur virtuel aux yeux des hôtes. Les routeurs garantissent en fait qu il y est toujours un routeur qui assure le travail de l ensemble du groupe. Un routeur dans ce groupe est donc désigné comme «actif» et ce sera lui qui fera passer les requêtes d un réseau à un autre. Un Master et des backups Pendant que le routeur actif nommé «MASTER» travail, il envoie également des messages aux autres routeurs nommés «BACKUP» indiquant qu il est toujours «vivant» et opérationnel. Si le routeur principal (élu MASTER) vient à tomber, il sera automatiquement remplacé par un routeur qui était alors jusque là «BACKUP» et lui aussi membre du groupe VRRP créé. ADMIN 3
Transparence aux yeux des hôtes du réseau Aux yeux des utilisateurs cette réélection et ce changement de passerelle sera totalement invisible car ils auront toujours pour unique passerelle le routeur virtuel que forment les routeurs membres du groupe VRRP créé. Le routeur virtuel aura donc toujours la même IP et adresse MAC aux yeux des hôtes du réseau même si en réalité il y a un changement du chemin par lequel transitent les paquets. Pas de répartition de charge possible pour le protocole standard VRRP Malheureusement la répartition de charge n est pas supportée par le protocole standard VRRP. Ce qui oblige le routeur maître nommé «MASTER» à se farcir tous le travail de routage. Les autres routeurs «BACKUP» du même groupe ne font que le regarder travailler!!! Répartition de charge sur le protocole propriétaire Cisco GLBP Contrairement au protocole standard VRRP, le protocole propriétaire de Cisco GLBP permet, évidemment, d assurer une couche de sécurité sur les routeurs du groupe mais également de bénéficier de la fonctionnalité de répartition des charges. En effet, grâce à ce protocole les routeurs du groupe se répartissent le travail de routage. Configuration du protocole standard VRRP Important : Comme mentionné dans le principe de fonctionnement du protocole VRRP, les routeurs doivent s échanger des informations pour savoir l état de l un par rapport aux autres. Il est donc, essentiel que les 2 routeurs du réseau M2L soient directement connectés par un câble croisé. Configuration de la sous interface fastethernet 0/1.2 sur le routeur R1 (Master) : R1_Master(config)#interface fastethernet 0/1.2 R1_Master(config-subif)#encapsulation dot1q 2 R1_Master(config-subif)#ip address 192.168.2.252 255.255.255.0 R1_Master(config-subif)#vrrp 2 ip 192.168.2.254 R1_Master(config-subif)#vrrp 2 priority 110 R1_Master(config-subif)#ip helper-address R1_Master(config-subif)# -Encapsulation de la sousinterface 1.2 en dot1q avec pour ID vlan l ID 2. -Affectation d une @IP physique à la sous-interfaces 0/1.2 -Activation de protocole VRRP dans le group 2 ayant comme @IP -Définition de la priorité VRRP pour ce routeur. Configuration de la sous interface fastethernet 0/1.2 sur le routeur R2 (Backup) : ADMIN 4
R2_Backup(config)#interface fastethernet 0/1.2 R2_Backup(config-subif)#encapsulation dot1q 2 R2_Backup(config-subif)#ip address 192.168.2.253 255.255.255.0 R2_Backup(config-subif)#vrrp 2 ip 192.168.2.254 R2_Backup(config-subif)#ip helper-address R2_Backup(config-subif)# -Encapsulation de la sous-interface 1.2 en dot1q avec pour ID vlan l ID 2. -Affectation d une @IP physique à la sous-interfaces 0/1.2 -Activation de protocole VRRP dans le group 2 ayant comme @IP Configuration du protocole propriétaire Cisco GLBP Pour la configuration du protocole GLBP il n est pas nécessaire d affecter une @IP physique à l interface concerné, contrairement au protocole standard VRRP. Configuration de la sous interface fastethernet 0/1.2 sur le routeur R1 (Master) : R1_Master(config)#interface fastethernet 0/1.2 R1_Master#encapsulation dot1q 2 R1_Master(config-subif)#glbp 2 ip 192.168.2.254 R1_Master(config-subif)#glbp 2 preempt R1_Master(config-subif)#glbp 2 priority 110 R1_Master(config-subif)#glbp 2 load-balancing round-robin R1_Master(config-subif)#ip helper-address R1_Master(config-subif)# -Encapsulation de la sous-interface 1.2 en dot1q avec pour ID vlan l ID 2. -Activation de protocole GLBP dans le group 2 ayant comme @IP La commande «preempt» permet d'accélérer le processus d'élection entre les routeurs du groupe 2. -Définition de la priorité GLBP pour ce routeur. -Activation de la fonctionnalité «load balancing» en mode «roundrobin» (c est à dire que chaque routeur va recevoir des traitements de paquet de façon équitable) ADMIN 5
Configuration de l interface logique fastethernet 0/1.2 sur le routeur R2 (Backup) : R2_Backup(config)#interface fastethernet 0/1.2 R2_Backup(config-subif)#encapsulation dot1q 2 R2_Backup(config-subif)#glbp 2 ip 192.168.2.254 R2_Backup(config-subif)#glbp 2 preempt R2_Backup(config-subif)#glbp 2 load-balancing round-robin R2_Backup(config-subif)#ip helper-address R2_Backup(config-if)# -Encapsulation de la sous-interface 1.2 en dot1q avec pour ID vlan l ID 2. -Activation de protocole GLBP dans le group 2 ayant comme @IP La commande «preempt» permet d'accélérer le processus d'élection entre les routeurs du groupe 2. -Activation de la fonctionnalité «load balancing» en mode «roundrobin» (c est à dire que chaque routeur va recevoir des traitements de paquet de façon équitable) ADMIN 6