Architecture de référence de pontage RFC1483

Introduction

Ce document décrit l'architecture de ligne d'abonné numérique asymétrique (ADSL) de bout en bout lors de l'utilisation du pontage RFC1483. Notez que la plupart des premières versions des modems xDSL étaient des ponts entre Ethernet 10BaseT côté hôte et des trames de pont encapsulées RFC1483 côté WAN. Aujourd'hui encore, la majorité des équipements de locaux client ADSL (CPE) déployés sur le terrain sont en mode de pontage pur.

Hypothèse

L'architecture de base est conçue en supposant que l'abonné final puisse accéder à Internet haut débit à l'aide du modèle de pontage RFC1483 et de l'ATM comme réseau fédérateur principal. Le contenu de ce document est basé sur l'architecture des déploiements existants et certains tests internes.

Présentation technologique

Le document RFC1483 décrit deux méthodes différentes pour acheminer le trafic d’interconnexion de réseau non orienté connexion sur un réseau ATM : unités de données de protocole routées (PDU) et unités de données de protocole pontées.

Le routage permet le multiplexage de plusieurs protocoles sur un seul circuit virtuel ATM. Le protocole d’une unité de données de protocole transportée est identifié en préfixant l’unité de données de protocole à l’aide d’un en-tête LLC (Logical Link Control) IEEE 802.2.

Le pontage effectue le multiplexage de protocole de couche supérieure implicitement par des circuits virtuels ATM. Pour plus d'informations, référez-vous à RFC1483.

Ce document fait uniquement référence aux unités de données de protocole pontées.

Avantages et inconvénients du pontage RFC1483

Voici un résumé des avantages et des inconvénients de l'architecture de pontage RFC1483. Cette architecture présente des inconvénients importants, dont la plupart sont inhérents au modèle de pontage. Certains des inconvénients ont été constatés lors des déploiements ADSL sur les sites des clients.

Avantages

• Simple à comprendre.

  Le pontage est très simple à comprendre et à mettre en oeuvre, car il n'y a pas de problèmes complexes tels que les exigences de routage ou d'authentification pour les utilisateurs.

• Configuration minimale du CPE.

  Le fournisseur de services considère que c'est important car il n'a plus besoin d'un grand nombre de camions et n'a plus besoin d'investir massivement dans le personnel pour la prise en charge de protocoles de niveau supérieur. Le CPE en mode pont agit comme un périphérique très simple. Un dépannage minimal est nécessaire au niveau de l’équipement d’abonné, car tout ce qui provient d’Ethernet passe directement du côté du WAN.

• Facile à installer.

  L'architecture de pontage est facile à installer en raison de sa nature simpliste. Une fois les circuits virtuels permanents (PVC) de bout en bout établis, les activités telles que le protocole IP au niveau des protocoles de couche supérieure deviennent transparentes.

• Prise en charge multiprotocole pour l'abonné.

  Lorsque l’équipement d’abonné est en mode de pontage, il ne s’agit pas de savoir quel protocole de couche supérieure est encapsulé.

• Idéal pour accéder à Internet dans un environnement utilisateur unique.

  Comme le CPE agit comme un décodeur, un dépannage complexe n’est pas nécessaire pour les protocoles de couche supérieure. Les PC finaux ne nécessitent pas d'installation supplémentaire du client.

Inconvénients

• Le pontage dépend largement des diffusions pour établir la connectivité.

  Les diffusions entre des milliers d'utilisateurs sont intrinsèquement inévolutives. La raison en est que la diffusion consomme de la bande passante sur la boucle xDSL de l'utilisateur et que la diffusion nécessite des ressources au niveau du routeur de tête de réseau pour répliquer des paquets pour le support de diffusion sur circuit virtuel permanent ATM (ATM PVC).

• Le pontage est intrinsèquement non sécurisé et nécessite un environnement fiable.

  Les réponses ARP (Address Resolution Protocol) peuvent être usurpées et une adresse réseau détournée. En outre, des attaques de diffusion peuvent être lancées sur le sous-réseau local, refusant ainsi le service à tous les membres du sous-réseau local.

• Le piratage des adresses IP est possible.

Considérations relatives à la mise en œuvre

Examinez les questions suivantes avant de mettre en oeuvre l'architecture de pontage RFC1483.

• Quel est le nombre actuel et le nombre prévu d'abonnés à traiter ?

• Les abonnés doivent-ils communiquer entre eux ?

• Ces abonnés sont-ils des clients résidentiels à un seul utilisateur ? Assistez-vous à des clients de petits bureaux, de bureaux à domicile (SOHO) qui peuvent disposer d'un petit réseau local derrière le CPE ?

• Quel est le déploiement et le provisionnement des CPE, des multiplexeurs d’accès à la ligne d’abonné numérique (DSLAM) et des protocoles POP (Post Office Protocol) d’agrégation ?

• Le fournisseur d'accès réseau (NAP) et le fournisseur de services réseau (NSP) sont-ils identiques ? Le modèle commercial du PAN implique-t-il également la vente de services de gros tels que l'accès sécurisé à l'entreprise et les services à valeur ajoutée tels que la voix et la vidéo ?

• Le NSP souhaite-t-il offrir des fonctionnalités de sélection de services ?

• Comment est-ce possible d'établir la comptabilité et la facturation ? Est-ce par utilisation, par bande passante ou par service ?

• Le modèle commercial de l'entreprise est-il celui d'un opérateur de services locaux indépendant (ESLT), d'un opérateur de services locaux concurrentiel (ESLC) ou d'un fournisseur de services Internet (FAI) ?

• Quels types d'applications le NSP souhaite-t-il proposer à l'abonné final ?

• Quel est le volume de flux de données en amont et en aval ?

Ces points étant pris en compte, vous trouverez ci-après une description de la manière dont l'architecture de pontage RFC1483 s'adaptera et s'adaptera aux différents modèles commerciaux.

Architecture réseau

Pontage RFC1483 : Architecture réseau

Considérations de conception

Comme indiqué précédemment, l'architecture de pontage RFC1483 présente des problèmes inhérents.

La fonctionnalité de pontage des abonnés IOS permet de résoudre certains de ces problèmes. L'application sélective de stratégies d'abonné à un groupe de pontage contrôle l'inondation des ARP, des paquets inconnus et d'autres sur chaque boucle ADSL. Par exemple, en empêchant la diffusion des ARP, un utilisateur hostile ne peut pas découvrir l'adresse IP d'un autre utilisateur.

Une autre solution consiste à placer tous les abonnés dans une seule sous-interface. Le comportement de pontage normal ne transfère pas les trames au port sur lequel elles ont été reçues. Essentiellement, ceci impose un type de pontage d'abonné dans lequel tous les paquets entre abonnés sont filtrés. Toutefois, cette approche présente les défauts suivants :

• La stratégie d'abonné n'est appliquée qu'entre les sous-interfaces. Pour appliquer des stratégies d'abonné entre deux utilisateurs différents, chaque utilisateur doit se trouver dans une sous-interface ATM différente.

• Comme le mappage d'adresses de couche 2 à couche 3 est appris (via ARP), les utilisateurs hostiles peuvent toujours détourner la connexion d'autres utilisateurs. Pour ce faire, il génère du trafic ARP avec l'adresse IP d'un autre utilisateur et en utilisant une adresse MAC différente.

Le deuxième scénario est plus grave pour le fournisseur de services Internet ou le fournisseur de services Internet. Dans ce cas, tout utilisateur peut attribuer une mauvaise adresse à un PC ou à un périphérique Ethernet tel qu'une imprimante et provoquer des problèmes de connexion pour un autre utilisateur. Ces erreurs ou attaques sont difficiles à identifier et à corriger, car le délinquant ne peut être suivi qu’en retraçant l’adresse MAC du délinquant.

Certains opérateurs tentent de contourner ce problème en séparant les utilisateurs entre les groupes de pontage et en mettant en oeuvre le pontage des abonnés entre les sous-interfaces. Dans ce cas, lorsque le routage et le pontage intégrés (IRB) est requis, chaque utilisateur se voit attribuer un groupe de pontage unique et une interface BVI (Bridge Group Virtual Interface) unique. Cette approche utilise deux interfaces par abonné et peut être difficile à gérer.

Ces problèmes sont abordés et résolus de certaines manières par la fonctionnalité RBE (Routed Bridged Encapsulation) introduite dans le logiciel Cisco IOS® Version 12.0(5)DC sur le Cisco 6400.

Compte tenu de certains des inconvénients du pontage, on peut se demander pourquoi l'architecture de pontage serait un jour implémentée. La réponse est simple. La plupart des CPE ADSL installés sur le terrain ne peuvent transmettre que des trames pontées. Dans ces cas, le PNRS doit mettre en oeuvre le pontage.

Aujourd'hui, les CPE peuvent effectuer le protocole point à point sur ATM (PPPoA), le pontage RFC1483 et le routage RFC1483. Le NSP détermine s'il faut faire un pontage ou un PPP. La décision est fondée sur les considérations de mise en oeuvre mentionnées précédemment, en plus des avantages et des inconvénients de chaque architecture.

Même avec les inconvénients de l'architecture de pontage, elle peut convenir à un petit FAI (qui ne correspond peut-être pas au NAP) ou à un NAP/NSP desservant un plus petit nombre d'abonnés. Dans ces scénarios, le NAP transfère généralement l'ensemble du trafic d'abonnés au FAI/NSP, qui termine ces abonnés. Le NAP peut choisir de fournir le trafic des abonnés à l’aide d’ATM ou de Frame Relay comme protocole de couche 2.

Les NAP utilisant des DSLAM de génération actuelle peuvent uniquement transporter le trafic des abonnés à l’aide d’ATM. Dans ce cas, le FAI doit raccorder les circuits virtuels permanents ATM (PVC) à un routeur.

Si le FAI/NSP ne dispose pas de l’interface ATM, une interface série standard avec encapsulation ATM Data Exchange Interface (DXI) (éventuellement sur un périphérique supplémentaire) peut être utilisée pour accepter les PDU pontées entrantes.

Dans les deux scénarios, le NSP/ISP peut devoir configurer IRB sur le routeur (sauf lors de l’utilisation de l’encapsulation ATM DXI ou dans le cas d’un pontage transparent). Aujourd'hui, la pratique la plus courante pour terminer les abonnés pontés sur le routeur NSP/ISP consiste à implémenter IRB. (Il est prévu que les fournisseurs de services migreront progressivement vers RBE.)

En raison de certaines des limitations mentionnées ci-dessus, le NSP/ISP peut choisir de configurer des groupes de ponts distincts pour chaque ensemble d'abonnés ou de configurer tous les abonnés d'un groupe de ponts. La pratique courante consiste à configurer quelques groupes de ponts, puis à configurer tous les abonnés sous des interfaces multipoints distinctes. Comme mentionné précédemment, les abonnés de la même interface multipoint peuvent ne pas pouvoir communiquer entre eux. Si certains utilisateurs doivent communiquer, configurez ces abonnés sous différentes interfaces (ils peuvent toujours se trouver dans le même groupe de ponts).

Pour un petit FAI/NSP, les routeurs les plus utilisés pour terminer les abonnés pontés sont les Cisco 3810, Cisco 3600 et Cisco 7200. Pour un FAI/NSP disposant d'une grande base d'abonnés, le Cisco 6400 est préféré. Avant de calculer les besoins en mémoire de ces routeurs, tenez compte des mêmes facteurs que pour tout autre environnement : nombre d’utilisateurs, bande passante et ressources du routeur.

Points clés de cette architecture

Voici les points clés de l'architecture.

CPE

Cisco propose différents CPE qui fonctionnent avec des DSLAM Cisco et non-Cisco. La configuration de chacun de ces CPE est sans problème et ne nécessite aucune entrée de la part de l'abonné. L’exigence principale est que l’équipement d’abonné définisse un identificateur de chemin virtuel ATM/identificateur de canal virtuel (VPI/VCI). Cela permet au CPE de s’entraîner avec le DSLAM et de commencer à transmettre le trafic. Dans la plupart des cas, le NAP choisit de configurer le même VPI/VCI pour tous les abonnés. Le NAP préprovisionne généralement le CPE avant de le déployer sur le site de l'abonné.

Dans l'architecture de pontage, la principale considération pour le CPE et son déploiement est la manière dont le NAP gérera le CPE après son installation sur le terrain. Ce problème est dû au fait que le pontage ne nécessite pas d’adresse IP pour l’équipement d’abonné. Cependant, les CPE Cisco peuvent être provisionnés avec une adresse IP en mode pontage. Le NAP peut utiliser cette fonctionnalité pour établir une connexion Telnet avec le CPE afin de collecter des statistiques ou d'aider l'abonné à résoudre les problèmes. Pour permettre la gestion des CPE via les DSLAM, de nouvelles fonctionnalités d'élément proxy sont ajoutées.

En mode pontage, si aucune adresse IP de gestion n'est attribuée au CPE, l'opérateur peut gérer le CPE uniquement via le port de gestion du CPE. Si une adresse IP de gestion est attribuée, l'opérateur peut utiliser un navigateur HTTP (Hypertext Transfer Protocol) pour gérer le périphérique. Cependant, cette option n'est généralement pas disponible.

Lorsque le CPE est en mode de pontage, la destination du service (qui pourrait être le NSP/ISP) doit fournir une adresse IP qui sera utilisée comme passerelle par défaut pour les PC derrière le CPE. Ces PC doivent être définis sur la passerelle par défaut correcte. Sinon, même si le modem est formé (ce qui signifie que la couche physique est bonne entre le CPE et le DSLAM), l'abonné peut ne pas pouvoir transmettre le trafic. Ce n'est pas un problème si le protocole DHCP (Dynamic Host Configuration Protocol) est utilisé pour attribuer des adresses DHCP aux abonnés, car le routeur par défaut est renvoyé par le serveur DHCP.

Gestion IP

Pontage RFC1483 : Gestion IP

Dans un environnement ponté, les adresses IP sont attribuées aux stations d’extrémité par un serveur DHCP situé à la destination du service, généralement dans le réseau NSP/ISP. Il s'agit de l'approche la plus courante et elle est mise en oeuvre par la plupart des fournisseurs de services réseau/FAI utilisant ce modèle.

Une autre approche consiste à fournir des adresses IP statiques aux abonnés. Dans ce cas, un sous-réseau d'adresses IP ou une adresse IP unique est attribué par abonné, selon les besoins de l'abonné. Par exemple, les abonnés qui souhaitent héberger un serveur Web ou un serveur de messagerie auront besoin d'un ensemble d'adresses IP plutôt que d'une seule adresse IP. Le problème est que le NSP/ISP doit fournir des adresses IP publiques et peut rapidement en manquer.

Certains NSP/ISP ont fourni des adresses IP privées à leurs abonnés. Ils exécutent ensuite la traduction d’adresses de réseau (NAT) sur le routeur de destination du service.

Les NSP/ISP qui fournissent un sous-réseau complet pour un groupe de pontage (avec plusieurs abonnés) doivent savoir qu’un utilisateur peut attribuer la mauvaise adresse à un PC ou à un périphérique Ethernet, tel qu’une imprimante, et causer des problèmes de connexion à un autre utilisateur.

Il est également possible pour un NSP/ISP de limiter le nombre d'ordinateurs pouvant accéder au service à la fois. Pour ce faire, vous devez configurer le nombre maximal d’utilisateurs sur l’interface Ethernet.

Cependant, cette méthode présente les défauts suivants. Si trois ordinateurs sont configurés pour utiliser le service et que l'un des abonnés ajoute une imprimante réseau (qui a sa propre adresse MAC) au cours d'une période où l'un des ordinateurs est inactif, l'adresse MAC du PC disparaîtra de l'entrée ARP du CPE.

Si l'imprimante devient active alors qu'un ordinateur est inactif, l'adresse MAC de l'imprimante est saisie dans l'entrée ARP. Lorsqu'un utilisateur décide d'utiliser ce PC pour accéder à Internet, il ne sera pas disponible car le CPE a déjà autorisé trois entrées MAC. La stratégie consistant à limiter les utilisateurs sur le CPE peut être utilisée, mais il convient de prendre soin de fixer les numéros.

Comment une destination de service est atteinte

Pontage RFC1483 : PVC de bout en bout

Dans une architecture PVC de bout en bout avec pontage, la destination du service est atteinte par la création de circuits virtuels permanents entre chaque saut. Toutefois, la gestion de ces circuits virtuels permanents peut être difficile pour le PAN/PNS. En outre, le nombre de circuits virtuels permanents pouvant être définis via le cloud ATM est limité. Cette limitation affecte de nombreux PAN/NSP qui adoptent un modèle PVC de bout en bout. Pour chaque abonné, il y aura un ensemble fixe et unique de VPI/VCI le long de l'ensemble du chemin. Les circuits virtuels commutés (SVC) aident à surmonter certains de ces problèmes, et de nombreux fournisseurs d'accès migrent vers des réseaux centraux IP pour résoudre le problème de l'épuisement des circuits virtuels.

Le NSP/ISP peut également utiliser la fonctionnalité Cisco Service Selection Gateway (SSG) pour fournir différents services aux abonnés.

Dans cette architecture, l'accès sécurisé à une passerelle d'entreprise est obtenu en terminant le trafic d'abonné PVC directement dans le routeur d'entreprise au niveau de la couche 2. Les architectures basées sur PVC sont intrinsèquement sécurisées lors du partage de données avec d'autres destinations de services.

Description opérationnelle

Pontage RFC1483 : Description opérationnelle

Le CPE Cisco 6xx est configuré par défaut en mode de routage. Par conséquent, lorsqu'il est configuré pour le mode de pontage et installé à l'emplacement de l'abonné avec les séparateurs/microfiltres nécessaires, il s'entraîne automatiquement lors de la mise sous tension. Lorsque le CPE s'entraîne vers le haut, cela indique que la couche physique entre le CPE et DSLAM est correcte. En fonction de la configuration de l'adresse IP de la station d'extrémité (c'est-à-dire, qu'elle soit attribuée via un serveur DHCP ou qu'il s'agisse d'une adresse IP statique avec des informations de passerelle par défaut), elle peut alors communiquer avec la destination du service.

Voici une description du flux de paquets.

Les données de l'utilisateur sont encapsulées dans la norme IEEE 802.3 à partir du PC et entrent dans l'équipement CPE Cisco 6xx. Il est ensuite encapsulé dans un en-tête LLC/SNAP (Logical Link Control/Subnetwork Access Protocol), qui à son tour est encapsulé dans la couche d’adaptation ATM 5 (AAL5) et remis à la couche ATM.

Les cellules ATM sont ensuite modulées par la technologie de transmission ADSL, la modulation d’amplitude et de phase (CAP) sans porteuse ou DMT (Discrete Multi-Tone), et envoyées sur le câble au DSLAM. Au niveau du DSLAM, ces signaux modulés sont d’abord reçus par le séparateur POTS, qui vérifie si la fréquence du signal est inférieure ou supérieure à 4 kHz. Après avoir identifié les signaux au-dessus de 4 kHz, il les transmet à l’unité de transmission ADSL - Central Office (ATU-C) dans le DSLAM.

L’ATU-C démodule le signal et récupère les cellules ATM, qui sont ensuite transmises à la carte d’interface réseau (NIC) du périphérique de multiplexage (MUX). La carte réseau examine les informations VPI/VCI côté abonné dans l’en-tête ATM et prend la décision de commutation à un autre VPI/VCI qui sera transféré au routeur de destination du service. Une fois que le routeur de destination de service a reçu ces cellules sur une interface ATM particulière, il les réassemble, examine la couche supérieure et transmet les informations à l’interface BVI. L’interface BVI examine les informations de couche 3 et décide de l’emplacement de transmission du paquet.

Conclusion

Le modèle de pontage RFC1483 convient davantage aux petits FAI ou aux accès d'entreprise pour lesquels l'évolutivité ne pose pas de problème. Comme il est très simple à comprendre et à mettre en oeuvre, il est devenu le choix de nombreux petits FAI. Cependant, en raison de certains problèmes de sécurité et d'évolutivité, l'architecture de pontage perd de sa popularité. Les NSP/ISP optent pour RBE ou se dirigent vers PPPoA ou PPPoE, qui sont hautement évolutifs et très sécurisés, mais plus complexes et difficiles à mettre en oeuvre.

Informations connexes

• Support technique DSL
• Support technique - Cisco Systems