Tunnel non numéroté : quelle adresse emprunte-t-il ?

Un tunnel non numéroté saute l’étape où vous inventez un sous-réseau pour l’interface logique, mais il ne saute pas complètement l’adressage. L’implémentation a toujours besoin d’une identité IP locale, elle emprunte donc l’adresse d’une autre interface configurée. Ce donneur fait désormais partie de votre conception : si son adresse change ou si son interface oscille, le comportement IP du tunnel suit. Trois décisions sont confondues dans la plupart des textes, et les séparer évite une configuration qui semble correcte et ne route rien.

Traitez le donneur comme un choix de conception, non comme un détail de syntaxe.

Trois rôles d’adresse, tenus à part

La source externe est l’adresse qui transporte les paquets du tunnel à travers le réseau sous-jacent, et c’est celle que le pair doit pouvoir joindre. L’adresse empruntée est l’identité que l’interface logique non numérotée utilise pour le traitement IP une fois les paquets décapsulés. Les préfixes protégés sont les réseaux LAN dont le trafic est censé traverser le tunnel, et ils sont annoncés par un protocole de routage, non par l’adresse du tunnel. Marquer une interface comme non numérotée n’attribue aucun de ces rôles aux autres.

Cette séparation explique une confusion courante : emprunter une adresse ne remet pas tout le segment Ethernet du donneur au pair distant.

Choisir l’interface donneuse

Une loopback est généralement le meilleur donneur, car son adresse est stable, toujours active et indépendante de tout lien physique particulier. Emprunter à une interface LAN lie le tunnel à l’état et à l’attribution d’adresses de cette interface, ce qui est un autre compromis d’exploitation : pratique en laboratoire, fragile quand le LAN est réadressé. Confirmez que la plateforme prend en charge le fonctionnement non numéroté pour le type de tunnel que vous construisez avant de choisir l’un ou l’autre.

Quel que soit le donneur choisi, documentez-le comme une dépendance dans le journal des changements, à côté de la configuration du tunnel elle-même.

Configurer et relire le tunnel

L’exemple ci-dessous est un tunnel GRE multipoint sur des routeurs de la famille IOS, qui emprunte une loopback et pointe sa source externe vers l’interface sous-jacente. L’identité NHRP est distincte de l’adresse empruntée et doit être configurée explicitement.

interface Loopback0
 ip address 10.255.255.1 255.255.255.255
interface Tunnel0
 ip unnumbered Loopback0
 tunnel source GigabitEthernet0/0
 tunnel mode gre multipoint
 ip nhrp network-id 100
! verify
show interfaces Tunnel0 | include line protocol|Tunnel source
show ip interface brief | include Tunnel|Loopback
show ip nhrp

Lisez d’abord la ligne de l’interface : un tunnel non numéroté qui se déclare down ne routtera pas, quelle que soit l’adresse empruntée. Vérifiez ensuite que le donneur est actif et que son adresse est bien celle que vous vouliez, car une loopback réadressée change silencieusement l’identité que présente le tunnel.

Terminez en vérifiant la table de routage pour les préfixes protégés et l’adjacence par-dessus le tunnel, car un état d’interface correct ne prouve l’accessibilité ni de l’un ni de l’autre.

Ce que l’adresse empruntée ne fournit pas

DMVPN a besoin d’enregistrements et de mappages NHRP pour que les spokes puissent se résoudre mutuellement ; une ligne non numérotée n’en fournit rien. L’authentification, le transfert autorisé et les routes de retour restent nécessaires, et un protocole de routage doit former une adjacence à travers le tunnel avant qu’un préfixe soit échangé. Chacun de ces éléments peut échouer alors que l’interface se déclare active, c’est pourquoi la vérification va de l’adresse au mappage puis à la route.

La syntaxe des commandes et les règles d’adressage varient aussi selon le produit et la version, alors adaptez-vous au modèle d’interface de l’équipement devant vous au lieu de copier une configuration d’une autre plateforme. L’objectif peut être identique alors que les lignes requises ne le sont pas.

Écrivez le donneur, la source externe et les préfixes annoncés dans la documentation du tunnel, puis ajoutez une vérification qui échoue bruyamment si l’adresse du donneur change. Cette vérification unique attrape le mode de défaillance que les conceptions non numérotées ont le plus tendance à masquer.