Vincent DELOVE
Olivier LACROIX
CIRIL – Centre Interuniversitaire de Ressources Informatiques de Lorraine
Rue du doyen Roubault – 54500 Vandœuvre-lès-Nancy
Résumé
Le réseau lorrain Lothaire regroupe aujourd'hui près de 900 commutateurs appartenant à divers établissements. Pour des raisons de sécurité et de cohérence de gestion, ces équipements qui peuvent quelquefois être mutualisés sont administrés exclusivement par l'équipe réseau du CIRIL. Les correspondants informatiques des établissements doivent cependant rester maîtres de la définition des paramètres à appliquer à chaque port de leurs commutateurs.
Afin de faciliter ces opérations de paramétrages, le CIRIL a développé SW, une interface d'administration centralisée à travers le Web. Ce logiciel permet aux correspondants des sites de visualiser et de modifier les principaux paramètres des commutateurs avec un maximum d'autonomie et selon des droits d'accès définis par les établissements. Au travers d'un simple navigateur, les correspondants effectuent ainsi les modifications des informations de configuration (vitesse, vlan, 802.1X, description, etc.) qui sont ensuite automatiquement appliqués sur leurs équipements.
La démonstration a pour but de faire découvrir le produit et de le partager.
Mots clefs
Administration de switchs, gestion partagée
Le réseau régional Lothaire est mutualisé. Il est opéré par le CIRIL et interconnecte 98 sites de l'enseignement supérieur et de la recherche. Le CIRIL fournit et gère tous les équipements d'interconnexion jusqu'à l'entrée des sites, soit actuellement 83 routeurs et quelques 200 commutateurs. Dans chaque site, l'architecture de niveau 2 est virtualisée ce qui permet d'associer n'importe quel réseau à chacune des prises physiques indépendamment de leur implantation géographique à l'intérieur du site. Par extension, cette architecture permet également de mutualiser les routeurs qui, dans les réseaux métropolitains, sont amenés à gérer plus de 100 vlans.
Fort de son expérience, l'équipe réseau du CIRIL s'est vue demander par plusieurs établissements de prendre en charge l'administration de leurs commutateurs. Elle en gère ainsi aujourd'hui près de 900, se chargeant de leur supervision et de leur mise à jour logicielle.
Pour des raisons de sécurité et de cohérence de gestion, les commutateurs opérés par le CIRIL sont gérés exclusivement par l'équipe réseau. Les correspondants informatiques des établissements doivent cependant rester maîtres de la définition des paramètres à appliquer à chaque port des commutateurs dont ils ont la responsabilité.
Depuis le début du déploiement des commutateurs, il s'est posé le problème de permettre aux correspondants des sites d'accéder à la configuration de leurs équipements. Dès 2002, une interface Web a été mise en place afin que ceux-ci puissent accéder en lecture à quelques paramètres : la liste des vlans disponibles, l'affectation de ceux-ci sur les ports, la vitesse et le duplex, etc. Mais cette solution n'était pas suffisante, car elle obligeait les correspondants à envoyer des courriers électroniques à l'équipe réseau pour toute modification. Plusieurs échanges étaient parfois nécessaires avant que la modification soit réellement effective.
Pour faciliter et accélérer ces opérations de paramétrages, le CIRIL a développé SW, une interface Web écrite en PERL pour la gestion des commutateurs.
Un exemple de l'interface est montré sur le graphique ci-dessous.
Celle-ci ne fonctionne pour l'instant qu'avec une seule marque de commutateurs, mais elle ne demande qu'à évoluer.
Ce logiciel permet aux correspondants des sites, désignés par les établissements, de visualiser et de modifier les principaux paramètres des commutateurs les concernant avec un maximum d'autonomie. Autrement dit, qu'ils puissent configurer ces derniers sans passer par un intermédiaire et sans accès direct aux équipements.
Au travers d'un simple navigateur, SW permet aux correspondants informatiques de visualiser et modifier divers paramètres sur les ports des commutateurs de leurs sites :
description ;
vitesse et duplex ;
vlan (dynamique si utilisation d'un serveur VMPS1) ou mode « trunk » ;
pour le mode trunk, les vlans autorisés à transiter et le vlan natif ;
port actif ou non ;
sécurisation (802.1X).
SW ne pouvant pas gérer la totalité des options de configuration des ports, l'interface permet d'afficher l'ensemble des paramètres présents et non gérés. Pour des raisons de sécurité, les modifications concernant les ports en mode « trunk » font l'objet de courriers envoyés à l'équipe réseau. Ceci permet de vérifier que les actions demandées ne couperont pas la chaîne des commutateurs. Cependant, dans un objectif de rapidité d'action, le message envoyé fournit les changements demandés et indique les lignes de commande à appliquer.
SW permet également de donner accès à diverses informations collectées sur les équipements :
modèle d'équipement, versions logicielles ;
éléments de configuration globale (serveurs vmps, domaine vtp, …) ;
commutateurs voisins, informations récupérées par le protocole CDP2 ;
puissance consommée pour les équipements supportant le PoE3.
Cette liste de paramètres est exhaustive, car le logiciel évolue au fur et à mesure des technologies et des besoins.
SW a été écrit en PERL. Pour l'instant, il ne fonctionne qu'avec des commutateurs de marque Cisco, mais il a été développé en utilisant le mécanisme d'objets de PERL. Ainsi il sera possible d'intégrer d'autres types de matériels. Il « suffit » d'écrire de nouveaux modules surchargeant les fonctions de récupération des informations.
Grâce à la mise en œuvre d'une convention de nommage des équipements et l'utilisation d'expressions régulières, le logiciel permet de définir facilement la liste des équipements auxquels chaque personne a le droit d'accéder. Il donne également la possibilité de mettre en place une limitation à certains ports des commutateurs. La notion de droits permet pour chaque port d'un commutateur d'autoriser la modification des paramètres, de le voir en lecture seule, de pouvoir uniquement couper la connectivité du port ou de n'avoir aucune information sur celui-ci.
Les commutateurs gérés vont de 24 ports à plusieurs centaines. Dans ce dernier cas, une relecture complète de tous les paramètres utiles à l'interface peut être très longue. Afin de limiter l'attente, SW s'appuie sur une base de données dans laquelle il stocke toutes les informations qui sont récupérées soit par SNMP, soit dans la configuration des équipements. La collecte totale des informations n'est ainsi réalisée que lors du premier accès à un commutateur. Le mécanisme vérifie ensuite si les informations ont changées en comparant la date de dernière modification lue sur le commutateur à celle stockée dans la base de données. S'il n'y a eu aucun changement, il se contente de vérifier l'état des ports ce qui réduit d'autant le temps de réponse.
Pour éviter d'être pénalisé lors des « premiers accès », un processus scrutant chaque commutateur est lancé toutes les nuits. Celui-ci utilisant également le mécanisme de vérification des changements, le temps de parcours de l'ensemble des équipements est limité (habituellement une trentaine de minutes pour un peu moins de 900 commutateurs). La charge induite sur le réseau et les équipements est minime.
Pour modifier la configuration des équipements, SW utilise TFTP, seule solution actuellement commune à tous les équipements. Cette méthode n'est pas sans comporter des risques, puisque SW doit disposer d'un compte (login et mot de passe) avec un fort privilège pour accéder aux équipements. Indépendamment du logiciel, il est donc nécessaire de mettre en place une sécurité forte :
sur la machine hébergeant SW en limitant les accès à celle-ci et en activant un firewall ;
sur les commutateurs, en limitant les machines ayant le droit de s'y connecter, de faire des requêtes SNMP et en ayant un mécanisme permettant de changer rapidement le mot de passe d'accès ;
sur le chemin réseau emprunté entre la machine et les commutateurs.
Au CIRIL, le compte d'accès aux commutateurs est géré par un serveur radius et nous avons ajouté une barrière supplémentaire en « proxifiant » l'application : le serveur qui donne accès à SW n'est pas celui qui l'exécute.
La collecte et le stockage des informations a un autre intérêt. Les données de chaque commutateur et de chaque port étant stockées dans une base de données, il est facile d'interroger la base pour fournir diverses informations par de simple requête SQL. Outre les données statistiques (combien de commutateurs, combien de ports gérés), il est possible de savoir instantanément, par exemple, sur quels ports de quels commutateurs est affecté un vlan. La connaissance des voisins de proche en proche pourrait également permettre de constituer facilement la cartographie d'un campus. Par ailleurs la connaissance des droits associés à chaque port permet de mettre à disposition des correspondants un outil de recherche dynamique en respectant les domaines distincts de responsabilité de chaque entité.
Au fur et à mesure, les correspondants des sites, utilisant ce logiciel, expriment leurs nouveaux besoins. À titre d'exemple, SW a évolué pour inclure actuellement la possibilité d'avoir des correspondants n'ayant que des droits de lecture de tous les paramètres. Il s'est également vu ajouter une fonction permettant de définir un type de correspondants n'ayant comme seule possibilité la désactivation des ports de commutateurs, cette fonctionnalité intéressant des personnes gérant des salles, avec « accès Internet », mises à disposition temporairement pour des réunions, des congrès, etc.
SW donne à l'équipe réseau du CIRIL une meilleure réactivité et un gain de temps considérable dans le traitement des modifications apportées aux commutateurs. Cette délégation d'actions a également permis d'automatiser l'archivage des configurations des équipements : chaque changement est consigné et permet, toutes les heures, à un processus de se charger de copier et d'archiver la configuration de tous les commutateurs ayant subi des modifications.
Bien qu'utilisant principalement une seule marque de commutateurs, l'équipe réseau du CIRIL a décidé d'écrire SW de façon modulaire dans l'optique de permettre l'inclusion d'autres types d'équipements dans l'avenir.
Cette démonstration a pour finalité d'ouvrir le code du logiciel. Celui-ci peut permettre de faire économiser du temps de développement à des structures ayant les mêmes besoins que le CIRIL.
SW reste cependant perfectible : il ne traite actuellement qu'une marque de commutateurs, les possibilités des commutateurs évoluent régulièrement et de nouvelles demandes de fonctionnalités apparaissent régulièrement. L'ouverture du code à l'ensemble de la communauté est donc également l'occasion d'obtenir de nouvelles contributions permettant à ce logiciel d'évoluer. Il n'est pour l'instant maintenu que par deux personnes et les développements sont axés sur un unique besoin. L'investissement de nouvelles personnes dans ce projet permettrait :
d'améliorer ou corriger le code existant ;
développer de nouvelles fonctionnalités ;
d'étendre le logiciel à d'autres marques de commutateurs.
Le choix du mode de diffusion et de la licence n'est pas encore pleinement défini. Pour la licence, il est cependant fort probable que ce soit CeCILL4, licence dérivée de la GNU GPL et adaptée au droit français. Pour la distribution, le CIRIL attend de connaître l'intérêt des utilisateurs pour ce produit. Son mode sera défini en conséquence.
1 VMPS : VLAN Management Policy Server
2 CDP : Cisco Discovery Protocol
3 PoE : Power over Ethernet
4www.cecill.info