Comment les FAI gèrent l’attribution des adresses IP à grande échelle

Les pools d’adresses permettent d’organiser un service autour de ses utilisateurs. Le plan doit toutefois correspondre au réseau qui les relie.

Un nouveau client se connecte, un autre déménage et un troisième a besoin d’une adresse stable pour un service hébergé. À l’échelle d’un fournisseur d’accès à Internet, ces changements sont permanents. La gestion des adresses doit relier chaque demande client à la capacité disponible, au routage et à un enregistrement que la prochaine personne chargée de l’exploitation pourra comprendre.

Le bon point de départ est le réseau en fonctionnement : quels services doivent rester joignables, comment les adresses sont mises à disposition des clients et quels changements peuvent être effectués sans perturber les connexions existantes.

Distinguer l’obtention de l’espace d’adressage de son utilisation

L’inventaire d’adresses d’un FAI peut comprendre des ressources détenues de longue date, des ressources issues de transferts enregistrés, de l’espace loué et de l’espace fourni par un autre prestataire. Les modalités applicables diffèrent. Une fois la ressource disponible pour l’opérateur, il faut encore un plan interne, des routes opérationnelles et un provisionnement pour les clients.

Un enregistrement dans un registre et une annonce de route remplissent des fonctions différentes. L’enregistrement consigne des informations de coordination ; les routeurs acheminent le trafic selon leur configuration et les routes qu’ils acceptent. La cohérence entre ces couches est importante pour l’exploitation. Considérer que la couche administrative est propriétaire de tous les réseaux sous-jacents constitue une affirmation politique supplémentaire, que Lu Heng conteste dans la Note 67.

Répartir l’espace en fonction du service

Affectez des pools aux régions de desserte, aux catégories de clients ou aux fonctions d’infrastructure, en prévoyant délibérément une marge pour la croissance et la reprise après incident. CIDR décrit les blocs au moyen d’une longueur de préfixe : un /24 IPv4 contient 256 valeurs d’adresse. Ce seul calcul ne dit pas combien de clients une architecture peut desservir.

Certains clients ont besoin d’une adresse individuelle ; d’autres, d’un préfixe routé contenant de nombreuses adresses. Les réservations pour le réseau, la diffusion et les besoins du fournisseur dépendent de l’architecture. Évitez de prendre la population d’une ville ou l’étiquette « FAI national » comme raccourci pour choisir la taille d’un bloc.

Le modèle de routage et d’agrégation de CIDR explique également pourquoi un plan d’adressage cohérent peut réduire le nombre de routes annoncées séparément. L’agrégation doit néanmoins correspondre aux chemins réels : un inventaire bien ordonné ne peut pas rendre joignable une destination qui ne l’est pas.

Assurer la traçabilité de chaque attribution

Consignez le client ou le service, le préfixe ou l’adresse, le nœud d’accès, le contexte de routage, la méthode d’attribution et les dates et heures de début et de fin pertinentes. Les sessions dynamiques et les attributions statiques ont des cycles de vie différents. Les baux DHCP, les systèmes de gestion des sessions d’accès et les API de provisionnement doivent alimenter les données utilisées par les équipes d’exploitation.

Avant d’agrandir un pool, comparez les attributions prévues à la demande observée aux heures de pointe. Une allocation totale importante peut masquer l’épuisement d’un pool local. À l’inverse, une plage apparemment vide peut être réservée au basculement en cas de panne plutôt qu’avoir été oubliée.

Choisir délibérément le partage et les protocoles pris en charge

Avec la traduction d’adresses et de ports, souvent appelée NAPT et généralement englobée sous le terme « NAT », plusieurs clients ou appareils peuvent partager de l’espace IPv4 public. Le NAT à grande échelle impose des exigences d’exploitation supplémentaires, notamment en matière de planification de capacité, de compatibilité applicative et d’enregistrement horodaté des correspondances. Une seule adresse publique peut alors correspondre à plusieurs utilisateurs.

IPv6 offre un espace d’adressage beaucoup plus vaste et permet d’autres plans d’attribution de préfixes aux clients. Il ne donne pas automatiquement accès à une destination disponible uniquement en IPv4. Évaluez les architectures en IPv4 natif, en double pile et avec traduction en fonction des services que les clients utilisent réellement, ainsi que de l’effort d’assistance et du comportement lors de la reprise après incident. Aucun de ces choix ne devrait se réduire à un slogan.

Préserver la continuité lors des changements courants

Le départ d’un client est un petit changement qui comporte plusieurs dépendances. Confirmez que l’attribution a pris fin, supprimez ou mettez à jour les enregistrements de routage et de noms concernés, vérifiez les références restantes dans les services, puis remettez la ressource dans un pool approprié. Conservez l’historique des attributions précédentes au lieu de l’écraser.

La surveillance du routage, le filtrage des adresses sources et la sécurité du DNS répondent à des modes de défaillance différents. DNSSEC authentifie les données DNS ; il ne valide pas une attribution IP et n’arrête pas toutes les attaques contre le routage. Une vue d’exploitation utile présente ces signaux distincts sans prétendre qu’un seul mécanisme répond à tous les problèmes.

Mettre la coordination au service des personnes qui exploitent le réseau

Les équipes régionales peuvent gérer leurs pools tout en tenant un registre partagé et consultable. L’organisation doit disposer d’un moyen de corriger les erreurs, d’exporter des données exploitables et de remplacer un prestataire de gestion défaillant. Une hiérarchie servant à organiser des ressources numériques ne confère pas, à elle seule, un mandat pour exercer un pouvoir politique sur toutes les personnes qui les utilisent.

Pour découvrir la frontière que Lu Heng propose entre coordination nécessaire et contrôle institutionnel, lisez la Note 72. Pour des vérifications pratiques au sein d’une organisation, poursuivez avec les erreurs courantes de gestion des ressources IP.