Résumé

  • Dans le modèle de la RFC 5920, le cœur MPLS/GMPLS d'un opérateur constitue sa zone de confiance ; un pair interopérateur peut être autorisé tout en restant non fiable.
  • Authentifier l'identité du pair ne lui donne pas compétence sur tous les protocoles, labels, routes, réservations ou messages OAM qu'une session pourrait transporter.
  • La frontière tient si chaque opérateur limite les usages admis à son ASBR et conserve filtrage, débit, observation et droit de coupure.

Une relation reconnue ne fusionne pas deux domaines

L'accord de peering établit qu'un service donné peut traverser la frontière. Il ne garantit ni la correction de toute configuration distante, ni l'innocuité de tout message issu du réseau partenaire. La RFC 5920 place la limite de la zone de confiance de chaque fournisseur à ses propres ASBR. Le voisin peut être identifié, attendu et autorisé, tout en restant une autorité distincte.

Cette nuance organise le risque. L'interconnexion apporte de la portée aux clients et permet de composer un service entre domaines. Mais elle offre aussi un chemin aux mises à jour usurpées, aux paquets mal formés, aux réservations excessives, aux erreurs de connexion croisée et aux charges susceptibles d'épuiser le plan de contrôle. Une panne ou une compromission chez le pair peut donc devenir une exposition locale sans qu'aucune délégation générale ait été voulue.

Le label MPLS ne vaut pas signature. Selon la RFC 5920, sa signification est locale et le plan de données MPLS ne contient pas, dans ce modèle, d'identifiant de source permettant d'authentifier l'émetteur. La présence d'un label plausible ne prouve ni l'origine du paquet ni son droit au traitement demandé. Il faut d'abord établir l'identité par le mécanisme adapté, puis appliquer la politique d'autorisation de la liaison.

Authentifier n'est ni autoriser ni faire confiance

L'authentification répond à « qui parle ? ». L'autorisation répond à « que peut faire ce pair identifié ? » : activer un protocole, annoncer une route, établir une classe de LSP, émettre une opération OAM, réserver une quantité de bande passante ou consommer une part de capacité. La confiance répond encore à une autre question : quel comportement acceptera-t-on sans contrôle supplémentaire ?

Si ces niveaux sont confondus, la capacité technique devient un pouvoir implicite. Une session authentifiée finit par légitimer tout ce qu'elle sait encoder. Un service autorisé finit par faire croire que le cœur distant appartient au domaine de confiance. Le modèle de la RFC 5920 impose au contraire des décisions séparées sur les sources, les protocoles, les volumes et les ressources.

Le dispositif est composé : authentification des sessions, politique de routage, filtres entrants et sortants, traitement des paquets mal formés, limitation par interface ou fournisseur, possibilité de désactiver un protocole et surveillance. La cryptographie protège l'identité et l'intégrité, mais ne supprime pas tous les épuisements de CPU ou de bande passante ; elle ajoute aussi gestion de clés et charge opérationnelle. Le filtrage réduit l'exposition mais peut interrompre une reprise légitime. Les limites de débit protègent la capacité tout en risquant d'aggraver une pointe de trafic.

Gouverner consiste à assumer ces arbitrages.

Les bénéficiaires ne supportent pas seuls les coûts

Les clients profitent de la continuité entre domaines. Les opérateurs élargissent leur couverture. En revanche, les équipes qui exploitent les ASBR portent les coûts de configuration, de capacité, de clés, de télémétrie, d'exercices conjoints et de faux positifs. Une règle stricte peut sauver le cœur et couper un circuit ; une règle trop souple peut préserver le trafic à court terme et laisser passer un état dangereux.

L'incitation de l'émetteur est d'obtenir une acceptation rapide ; le récepteur porte le risque immédiat du traitement. L'accord doit donc décrire les protocoles admis, les objets et débits permis, l'autorité de changement, les traces conservées et le droit d'isoler le lien. L'identité du partenaire n'apporte aucune réponse automatique à ces questions.

Le contre-factuel révèle la délégation cachée

Supprimer l'interconnexion éliminerait cette exposition, mais aussi le service interopérateur. Le contre-factuel utile est une liaison maintenue où « autorisé » signifie « digne de confiance ». Tant que tout va bien, elle paraît plus simple. Lors d'une erreur ou d'une compromission, l'état externe peut alors devenir plus facilement état interne, épuisement de ressources ou panne étendue.

Le voisin autorisé mais non fiable n'est pas traité comme un adversaire. Il est reconnu comme une autorité séparée. Le récepteur n'admet que ce qui sert l'objet convenu, surveille les écarts et garde la possibilité de contenir l'événement. Les contrôles internes du pair ne remplacent jamais la responsabilité locale à la frontière.

Preuves et limites

Les faits techniques viennent de la RFC 5920 ; la RFC 5921 apporte le contexte MPLS-TP et la RFC 5718 distingue ce sujet du précédent article sur le canal de gestion en bande. La RFC 5920 est un document d'information. Le partage des responsabilités et les recommandations de changement sont l'analyse d'Elias Ward.

Aucune accusation ne vise un opérateur, un fournisseur ou un réseau. Les sources n'établissent ni le déploiement actuel, ni la configuration d'une organisation nommée, ni la fréquence des incidents, ni l'efficacité mesurée des contrôles, ni la suite cryptographique à employer aujourd'hui. Ces points restent inconnus sans preuves opérationnelles contemporaines.

Sources