Résumé

  • À RIPE 93, le directeur technique de RIPE NCC, Sjoerd Wolthers, a présenté le remplacement prévu d’une architecture de niveau 2 étirée entre deux centres proches par deux centres complets et autonomes en Europe occidentale. Le fonctionnement serait actif-actif à l’intérieur de chaque site, actif-secours entre les sites.
  • Le projet prévoit des réseaux séparés, Proxmox, des grappes Ceph indépendantes, des liaisons chiffrées et des sauvegardes dans un troisième lieu. La conception détaillée et les achats sont en cours ; l’achèvement est visé au second semestre 2028.

Il y a deux façons d’avoir deux centres de données. On peut construire deux salles et les relier si étroitement qu’elles continuent à se comporter comme une seule. Ou l’on peut leur donner chacune les moyens de travailler et de tomber en panne séparément. Les diapositives présentées par Sjoerd Wolthers à RIPE 93 montrent le passage que RIPE NCC prépare entre ces deux modèles. Le schéma de l’existant, volontairement simplifié, étire un même réseau de niveau 2 sur deux sites proches. L’architecture prévue rompt ce domaine commun et donne à chaque centre son propre réseau, son calcul et son stockage.

Ce détail d’ingénierie a une conséquence éditoriale très simple : compter les bâtiments ne suffit plus pour compter les voies de secours. Dans l’architecture actuelle, une partie des dépendances traverse la frontière physique. RIPE NCC cite l’âge du matériel, certaines liaisons proches de leur capacité maximale, les contraintes du stockage et des sauvegardes, ainsi que la dépendance à un fournisseur de virtualisation. Le nouveau montage doit régler un problème précis : isoler davantage les environnements et rendre le scénario de reprise compréhensible service par service.

La géographie proposée a désormais des contours. Deux centres complets seraient installés en Europe occidentale, sur un modèle standard reproductible dans d’autres lieux. Chacun aurait une redondance N+1 et deux ensembles actifs en son sein. Entre les centres, le choix est actif-secours. RIPE NCC invoque la latence entre sites pour ce choix. Des circuits rapides loués et chiffrés de bout en bout relieraient les installations ; un système de répartition du trafic dirigerait les requêtes vers le site chargé du service. Voilà une décision technique qui engage bien davantage qu’un changement de fournisseur de serveurs.

Car « secours » n’est pas un verbe automatique. Un point d’entrée peut être déplacé vers le second centre ; les données, elles, doivent avoir atteint un état utilisable et une autorité claire. Un opérateur doit savoir qui autorise la mise en service du site de secours, quel retard de réplication reste acceptable et dans quel ordre le service revient. Pour un registre de ressources Internet, les machines portent des enregistrements et des chemins de publication auxquels d’autres acteurs se fient. Le public n’a pas besoin d’une promesse vague de disponibilité. Il a besoin de savoir quelle version des faits le service rendra après la bascule.

Le nouveau plan descend jusqu’aux composants. Il prévoit des réseaux distincts par centre, des routeurs, commutateurs, pare-feu et équipements redondants chargés de répartir les requêtes applicatives, une segmentation entre les couches applicatives, une configuration du réseau par code, la prise en charge d’IPv6 et des pare-feu configurés pour bloquer par défaut. Pour le calcul, RIPE NCC nomme Proxmox ; pour le stockage, Ceph, avec des grappes indépendantes dans chaque centre, à la fois pour les machines virtuelles et pour une baie de stockage. RIPE NCC présente ici une architecture à construire.

Le troisième site remplit une autre fonction. La diapositive consacrée aux sauvegardes annonce des copies chiffrées et immuables selon une stratégie « 3-2-1-1-0 ». Les volumes Ceph seraient répliqués entre les deux centres selon les objectifs de point de reprise, puis protégés aussi dans un troisième lieu. Le serveur de sauvegarde Proxmox et les besoins propres aux machines physiques sont distingués. Un centre en attente peut reprendre une activité ; une sauvegarde permet de revenir à un état antérieur si l’erreur a déjà voyagé avec les données. Un site de secours et une copie de sauvegarde répondent donc à deux pannes différentes.

Le calendrier évite de prendre ce plan pour une photographie. L’évaluation de l’existant et la définition des besoins sont faites. Les plans détaillés sont en cours ; le choix des sites et la négociation des équipements restent à conclure. Ensuite viendront l’installation et la migration des applications. RIPE NCC vise la deuxième moitié de 2028. Les diapositives ne donnent pas encore de procédure de mise en service du site de secours propre à chaque service, de délai chiffré de reprise ni de résultat d’exercice. Le premier journal public d’une bascule contrôlée, avec l’état des données et le service concerné, sera plus instructif qu’un nouveau schéma des salles.

Dans son explication de juin, RIPE NCC disait vouloir réduire sa dépendance aux grands fournisseurs externes après des années de priorité donnée au cloud. À RIPE 93, ce principe reçoit une forme physique. Deux salles proches et liées deviennent deux sites qui doivent pouvoir décider séparément. Le prix de l’indépendance apparaît alors en pleine lumière : quelqu’un devra prendre la décision de bascule, et le registre devra montrer que ses données l’ont suivie.

Sources : présentation officielle de RIPE 93 ; fiche officielle de l’intervention ; explication de RIPE NCC publiée en juin.