Résumé

  • Le route server de DE-CIX rend le peering multilatéral moins coûteux, tout en intégrant ses règles de redistribution et de validation à la politique de chaque membre.
  • La bonne discipline consiste à tenir un registre de délégation : portée par défaut, exceptions, sources de filtrage, motifs de rejet observables, tests de changement et issue bilatérale pour les pairs critiques.

Sur un point d’échange, le premier coût n’est pas toujours la capacité. C’est souvent la répétition. Chaque relation bilatérale réclame un contact, une lecture de politique, une configuration, une surveillance et des interventions futures. Le route server mutualise une partie de ce travail : quelques sessions donnent accès aux annonces de dizaines, voire de centaines de réseaux.

Cette économie n’est pas neutre. Dès qu’un réseau reçoit et diffuse des routes par ce service, une règle détermine quelles annonces passent, lesquelles sont écartées et quels participants sont inclus sans négociation supplémentaire. La simplicité opérationnelle devient ainsi une délégation de politique.

Le produit vendu est aussi une baisse du coût de transaction

DE-CIX présente la connexion aux route servers et les sessions bilatérales directes comme deux choix compatibles. Son guide de mise en œuvre souligne le temps économisé grâce à l’accès à un grand nombre de réseaux. Le même document rappelle que certains participants, dont la politique est sélective ou restrictive, ne passent pas par le route server pour toutes leurs relations.

Ce contraste évite une confusion fréquente. Recevoir la route d’un participant par le serveur ne crée pas, à lui seul, un accord commercial bilatéral. Cela rend néanmoins l’échange de reachabilité beaucoup moins coûteux. Une relation standard peut exister sans le travail administratif d’une session séparée ; une exception, elle, doit être exprimée et entretenue.

Le réglage par défaut agit donc comme une règle de marché. Il ne commande pas mécaniquement le trafic, mais il modifie le prix organisationnel d’une acceptation, d’un refus ou d’une négociation spécifique.

Ne rien préciser sélectionne encore une politique

La description technique publiée de GlobePEER indique que, si aucune communauté de contrôle n’est appliquée, l’annonce à tous les pairs constitue le comportement par défaut. DE-CIX documente en parallèle des communautés permettant d’autoriser ou de bloquer la redistribution vers un ASN donné, vers tous les pairs et, selon les sites, par commutateur, métropole, pays ou continent.

Ces possibilités montrent ce que fait réellement le route server. Il ne répète pas une seule conversation BGP. Il fabrique, à partir des annonces reçues, des vues adaptées à de multiples clients. Une absence de communauté n’est donc pas une absence de choix : c’est le choix de la règle commune.

La direction utile doit pouvoir répondre à quatre questions simples. Quels préfixes sont remis au service ? Qui peut les recevoir ? Qu’accepte le réseau en retour ? Où sont enregistrées les exceptions ? Si les réponses n’existent que dans la configuration d’un routeur, la délégation économique échappe au contrôle de l’organisation.

Le filtre transforme une preuve publique en permission opérationnelle

DE-CIX explique utiliser les bases IRR et la validation RPKI pour filtrer les annonces. Son guide invite les membres à consulter le looking glass afin de comparer les préfixes annoncés et acceptés, puis de lire les motifs de rejet. La configuration minimale de GlobePEER exige aussi un AS-SET pour construire les règles de filtrage.

Le service convertit donc des enregistrements externes en décisions de propagation. Un objet de route manquant, un AS-SET périmé ou une autorisation d’origine incompatible peut empêcher une annonce de circuler alors que la session BGP reste parfaitement établie. Le voyant vert de la session ne prouve pas que la politique voulue est exécutée.

La RFC 7948 décrit le compromis : limiter les fuites de préfixes protège de dommages collatéraux, mais maintenir des filtres précis demande du travail administratif. Elle laisse aussi au client la responsabilité d’aligner sa politique publiée et ses annonces. La sécurité mutualisée a donc une valeur ; elle dépend toutefois de la qualité des données, du délai de mise à jour et d’un rejet intelligible.

Deux serveurs ne donnent pas deux jugements indépendants

DE-CIX annonce deux route servers par métropole et recommande deux sessions pour IPv4 comme pour IPv6. La RFC 7948 recommande elle aussi plusieurs serveurs offrant une information de reachabilité équivalente. Cette redondance protège le service contre la défaillance d’une instance.

Elle ne garantit pas une diversité de politique. Deux systèmes équivalents peuvent reproduire le même filtre périmé, la même interprétation d’une communauté ou la même erreur côté membre. Additionner les sessions revient alors à mesurer la disponibilité du mécanisme, pas l’indépendance de la décision.

Le support de GRACEFUL_SHUTDOWN fournit une preuve plus riche. Le membre peut demander une préférence locale nulle, laisser converger un autre chemin lorsqu’il existe, puis interrompre la connectivité de couche 2. Une transition observée vaut davantage qu’un simple dessin de redondance.

La dernière décision reste chez le membre

Les sources publiques ne permettent pas de connaître les routes acceptées par un membre particulier, sa répartition de trafic, ses conditions commerciales ou ses incidents. Elles ne prouvent aucune panne de DE-CIX. Ces limites doivent rester visibles.

Elles suffisent pourtant à tracer la frontière de responsabilité. DE-CIX fournit les sessions partagées, la validation, les commandes de redistribution et des outils d’observation. Le membre choisit ses annonces, ses importations, les registres qu’il entretient, le calendrier de ses changements et les relations qui méritent aussi une session directe.

Il ne s’agit pas de refuser le route server parce qu’il concentre des fonctions. Il s’agit de rendre cette concentration explicite, mesurable et réversible.

Sources