Journal Rapport sur la résilience de l'Internet en France

19
27
juin
2012

Hier a vu la publication du premier « Rapport sur la résilience de l'Internet en France ».
Il s'agit d'étudier quantitativement la résilience de l'Internet dans ce pays (oui, je sais, l'Internet est mondial, mais il faut bien commencer quelque part). Le rapport définit donc un certain nombre d'indicateurs puis les mesure et publie le résultat.

Le rapport est un travail commun de l'ANSSI et de l'AFNIC. Il comprend deux grandes parties, une sur le protocole BGP et une sur le DNS. Dans le futur, d'autres protocoles pourront être étudiés. Espérons que cette édition 2011 sera suivie de bien d'autres.

Ce travail a déjà été présenté (en anglais) à une réunion OARC. Il sera évoqué rapidement au prochain Frnog et surtout à la Journée du Conseil Scientifique de l'AFNIC le 4 juillet.

  • # Résilience -- 3 points 1 question

    Posté par . Évalué à 4. Dernière modification le 27/06/12 à 10:22.

    1) le lien
    http://www.ssi.gouv.fr/fr/menu/actualites/l-anssi-et-l-afnic-publie-un-etat-des-lieux-de-l-internet-francais.html
    est cassé.

    2) Si j'en crois Résilience

    en informatique, la résilience est la capacité d'un système ou d'une architecture réseau à continuer de fonctionner en cas de panne ;

    La résilience c'est la résistance à la panne.

    3) Il me parait douteux d'étudier la "panne d'internet". Mais c'est peut-être car j'ai l'esprit mal tourné.
    Internet c'est une somme de trucs (réseaux, serveurs…) et dans ces trucs il y en a toujours certains qui sont en panne.
    Du coup Internet ne me parait pas pouvoir être en panne.
    Ma connexion à Internet peut être défaillante pour moi (plus quelques uns) mais Internet continue de fonctionner normalement, même sans moi. Il ne s'agit pas d'une panne de l'Internet mais juste de ma connexion.

    Ou alors, ne peut-on pas plutôt considérer qu'Internet est toujours en panne et que du coup on a un POC généralisé de la résilience depuis vingt ans.

    Par contre Internet by Orange (ou by Free) ça… ça peut être en panne.


    Même si je trouve ce rapport très intéressant, il me vient une question :

    c'est quoi l'état normal de l'Internet ?

    • [^] # Re: Résilience -- 3 points 1 question

      Posté par . Évalué à 5.

      Par contre Internet by Orange (ou by Free) ça… ça peut être en panne.

      Même si je trouve ce rapport très intéressant, il me vient une question :

      c'est quoi l'état normal de l'Internet ?

      Ça dépênd: de quel internet parle-t-on? Il y a Internet, et Internet par Orange!

      ----------->[ ]

    • [^] # Re: Résilience -- 3 points 1 question

      Posté par . Évalué à 10.

      Il y a quand même des bouts de réponse. Si le "DNS" en France ne marche pas (hypothèse: Tous, absolument tous les serveurs sont DOWN), alors internet ne marche pas, ou tellement mal que cela est insatisfaisant.
      Donc, comment fonctionne le DNS? Est-ce qu'une panne unique peut toucher tous les serveurs DNS simultanément (panne, attaque informatique, bug, panne hardware genre un coup de pelleteuse qui coupe les cables d'un datacenter), etc..
      Idem avec BGP. Bortz (Monsieur Bortzmeyer) avait fait un très bon article sur des pannes BGP et une conf au SSTIC là dessus.
      Internet, à la base, ça devait résister aux attaques nucléaires et continuer à fonctionner même si on ampute un grand bout de son réseau. Puis on a eu quelques cas réels de pannes. Il y a eu la mamie au sécateur dans un pays de l'Est, la pelleteuse chez nous, et on se rend compte que l'histoire de l'internet qui se répare tout seul ne fonctionne pas toujours. La faute à la centralisation, le peu de redondances de liens, etc..

      Ensuite, on peux aussi sans doute calculer la dépendance à l'internet. Si Internet disparait pendant une certaine durée dans un lieu (entreprise, administration, ville, état etc..), quelles en serait les conséquences?
      Pour une mairie, plus d'internet pendant une semaine, c'est viable? La catastrophe? Un drame? Un retour au papier possible? Plausible? Généralisable? Et pour un hôpital? Etc…

      Tout ça pose beaucoup de questions, le papier commence à y répondre, c'est très administratif, ça fait très "patrimoine immatériel" donc ça ne m'étonne pas que ce soit l'état qui travaille là dessus. Quoi qu'il en soit, c'est à lire je pense.

      • [^] # Légende urbaine détectée

        Posté par . Évalué à 3.

        Internet, à la base, ça devait résister aux attaques nucléaires

        Pas du tout. Voir la Brève histoire d'Internet de l'Internet Society :

        It was from the RAND study that the false rumor started claiming that the ARPANET was somehow related to building a network resistant to nuclear war. This was never true of the ARPANET, only the unrelated RAND study on secure voice considered nuclear war. However, the later work on Internetting did emphasize robustness and survivability, including the capability to withstand losses of large portions of the underlying networks.

      • [^] # Re: Résilience -- 3 points 1 question

        Posté par . Évalué à 1.

        En général, suite à une coupure de cable, le traffic est rerouter par ailleurs. Mais ce par ailleurs, fonctionnant à 60% de ses capacité, n'est pas prévus pour voir doubler son traffic d'un coup, et cela coince.

        D'ailleurs pour éviter ça, ovh fait de la redondance optique, pour éviter les routeurs de la mort quand il s'agit de lien 100gbps qui tombe.

        "La première sécurité est la liberté"

        • [^] # Re: Résilience -- 3 points 1 question

          Posté par . Évalué à 7.

          En général, suite à une coupure de cable, le traffic est rerouté par ailleurs.

          Voilà je pense tout l’intérêt du document. Tu dis: "en général" Est-ce vrai? Ensuite le trafic est rerouté. Oui, mais comment? Et est-ce fiable? C'est rerouté via des annonces BGP. Et si c'est BGP qui casse (http://www.bortzmeyer.org/bgp-attribut-99.html ) etc etc..
          Dans le vrai monde et la vraie réalité pas générale du tout, lorsqu'une pelleteuse coupe 1 fibre optique, il n'y a pas de reroutage et pas mal de gros sites sont HS (de mémoire TF1 et le site du ministère de la défense). http://www.zdnet.fr/blogs/infra-net/une-pelleteuse-coupe-le-site-web-du-ministere-de-la-defense-et-beaucoup-d-autres-39760750.htm
          Tout ça donne donc des indicateurs à mesurer, internet ça fonctionne bien, mais rien n'est magique derrière et il n'y a que des bouts de codes et des interventions humaines.

          • [^] # Re: Résilience -- 3 points 1 question

            Posté par . Évalué à 0.

            C'est vrai que j'ai été étonné que les gros routeurs utilisent BGP qui est configuré à la main, et qu'il n'existe pas de routage automatique. Je sais que le problème est np-complet, mais on parle de quelques milliers de routeurs de haut niveau et sans doute 10x plus de liens. Même un algo stupide doit pouvoir faire la recherche de l'optimal en quelques minutes.

            "La première sécurité est la liberté"

            • [^] # Re: Résilience -- 3 points 1 question

              Posté par . Évalué à 2.

              Je crois me rappeler qu'il y a quelques années une fibre entre l'Europe et les US est tombée en rade. BGP a mis plus de six heures à converger, foutant de fait l'internet par terre pendant plus d'une demi journée. Ca vient peut-être de la ?

            • [^] # Re: Résilience -- 3 points 1 question

              Posté par (page perso) . Évalué à 7.

              C'est vrai que j'ai été étonné que les gros routeurs utilisent BGP qui est configuré à la main,

              La conf des routeurs est avant tout une question de politique commerciale et de gestion des frais généraux. C'est aussi la gestion de la qualité des liens qui est une notion souvent subjective et impalpable (on sait d’expérience que ça marche mieux par cette route, que tel peer ne vaut pas plus qu'un backup …). C'est enfin des bons usages non exprimables de façon algorithmique (on évite de saturer le voisin, on l'aide durant les dos …). BGP répond bien à ces exigences avec les local prefs et l'AS-prepend. Bref la force de BGP est de pouvoir tricher.

              • [^] # Re: Résilience -- 3 points 1 question

                Posté par . Évalué à 0.

                Le gros algo automatique pourrait être le cas d'erreur, en cas de grosse panique, histoire de gagner qq heures d'uptime ?

                "La première sécurité est la liberté"

                • [^] # Re: Résilience -- 3 points 1 question

                  Posté par . Évalué à 3.

                  Et si le gros algo automatique ne fait qu'empirer les choses ? Sans le tester en grandeur nature, on ne peut pas savoir.

                  Et puis même ton gros algo automatique a probablement besoin d'un minimum de configuration (par exemple la métrique des liens dans les protocoles type IS-IS), et on retombe sur le constat que BGP sert à implémenter des règles politiques et commerciales.

                • [^] # Re: Résilience -- 3 points 1 question

                  Posté par (page perso) . Évalué à 5.

                  Le gros algo automatique pourrait être le cas d'erreur, en cas de grosse panique, histoire de gagner qq heures d'uptime ?

                  Je ne suis pas sûr que le gros du downtime soit lié au protocole lui même ou a des erreurs d’architecture. Le dogme veut que les annonces soient faites par les routeurs de bordure. Du coup combien de routeurs continent d'annoncer des routes qu'ils n'ont plus (typiquement routeur à th2 serveurs à Courbevoie, lien th2 / Courbevoie tombé). Ce problème s'évite pourtant très simplement en faisant les annonces depuis Courbevoie et en les relayant à th2. Mais c'est contre le dogme.

                  Pareillement l'injection d'une route par défaut en dur dans le noyau permet d'éviter les pannes en cas de plantage des daemon de routage.

                  Enfin en général les gens essayent de tout faire passer par un ou deux énormes routeurs proprios alors qu'en divisant astucieusement leur réseau ils pourraient se contenter d'équipements plus légers, plus divers et minimiser l'impact des pannes.

                  Je ne suis pas expert mais je pense qu'a la base des grandes pannes, il y a toujours une erreur d'architecture ou un manque de diversité. Le protocole est secondaire.

            • [^] # Re: Résilience -- 3 points 1 question

              Posté par . Évalué à 2.

              Je sais que le problème est np-complet, mais on parle de quelques milliers de routeurs de haut niveau et sans doute 10x plus de liens.

              Tu prends comme hypothèse d'avoir une connaissance globale du réseau, ce n'est pas vraiment envisageable dans ce contexte.

              Tous les contenus que j'écris ici sont sous licence CC0 (j'abandonne autant que possible mes droits d'auteur sur mes écrits)

              • [^] # Re: Résilience -- 3 points 1 question

                Posté par . Évalué à 1.

                Et même simplement 5 hop à la ronde ?, et utiliser des metric comme le temps de réponse ou la taille du tuyau ? Un peu comme ce qui se fait avec les réseau p2p et un réseau ethernet.

                "La première sécurité est la liberté"

        • [^] # Re: Résilience -- 3 points 1 question

          Posté par (page perso) . Évalué à 6.

          Encore faut-il qu'il y a des câbles alternatifs ! Comme cela coûte cher, ce n'est pas toujours le cas. En prime, lorsque les câbles alternatifs passent dans la même tranchée, une seule pelleteuse coupe tout (cas de la coupure « tramway » du datacenter de Prosodie dans les Yvelines).

          Et cela ne couvre que les pannes matérielles. Mais les pannes logicielles peuvent potentiellement avoir des conséquences plus graves (pensez au nombre incroyable de zones DNS qui n'utilisent que BIND : en cas de bogue BIND, on peut planter beaucoup de domaines).

      • [^] # Re: Résilience -- 3 points 1 question

        Posté par . Évalué à 2.

        Je trouve dommage que le document n'étudie justement pas la redondance des liens physique.
        Quelqu'un a une étude sur l'état d'interconnexion physique des différents GIX français ?

      • [^] # Re: Résilience -- 3 points 1 question

        Posté par (page perso) . Évalué à 2.

        Si le "DNS" en France ne marche pas (hypothèse: Tous, absolument tous les serveurs sont DOWN), alors internet ne marche pas, ou tellement mal que cela est insatisfaisant

        Je me souviens d'une panne il y a quelques années, à cause d'un différent commercial entre CogentCo et Telia qui avait mit un bazar monstre. Du boulot j'accédais à tout les serveurs de la boîte, mais les serveurs situé chez un hébergeur ne pouvaient accéder aux serveurs chez un autre hébergeur, parce que ces hébergeurs étaient géographiquement mal placés, chacun branché à l'un des deux mécontents.

        ce commentaire est sous licence cc by 4 et précédentes

    • [^] # Re: Résilience -- 3 points 1 question

      Posté par (page perso) . Évalué à 0.

      2) Si j'en crois Résilience

      en informatique, la résilience est la capacité d'un système ou d'une architecture réseau à continuer de fonctionner en cas de panne ;
      
      

      Mais internet, est-ce de l'informatique ou de l'utilisation de l'informatique… Dans ce dernier cas, une autre définition de la résilience prend tout son sens:

      en écologie, la résilience est la capacité d'un écosystème ou d'une espèce à récupérer un fonctionnement ou un développement normal après avoir subi une perturbation ;

      Cette idée de revenir à un état normal après une perturbation est intéressante. La perturbation "internet par Orange" permet elle un retour à la normale, en combien de temps, avec quelles conséquences, quels efforts… Mais ici c'est bien sur plus un approche politique que technique :-)

      • [^] # Re: Résilience -- 3 points 1 question

        Posté par . Évalué à 1.

        Ça dit exactement la même chose modulo le périmètre d'application. Une espèce ne tombe pas en panne, elle subit une perturbation. Tout comme elle ne continue pas à fonctionner mais retrouve un développement normal.

        Maintenant faut voir, peut être que "Internet par Orange" peut simplement être assimilé à une panne. Quelqu'un pour téléphoner à leur SAV et signaler la panne ? :D

    • [^] # Re: Résilience -- 3 points 1 question

      Posté par (page perso) . Évalué à 5.

      Désolé pour le lien, linuxfr a considéré que le guillemet fermant en faisait partie. Le bon lien est http://www.ssi.gouv.fr/fr/menu/actualites/l-anssi-et-l-afnic-publie-un-etat-des-lieux-de-l-internet-francais.html

      Concernant la possibilité d'une panne majeure de l'Internet (qui ne touche pas qu'une ville ou un site Web mais une grande partie de l'Internet), je trouve très imprudent d'affirmer « du coup Internet ne me parait pas pouvoir être en panne ». Certes, cela ne s'est jamais produit. Mais, si on ne fait pas attention, cela pourrait arriver un jour. Si tout le monde utilise des Cisco et qu'une faille premier-jour d'IOS est exploitée par un méchant… il peut planter une bonne partie de l'Internet. Des alertes sérieuses ont déjà eu lieu. http://www.bortzmeyer.org/bgp-attribut-99.html

      • [^] # Re: Résilience -- 3 points 1 question

        Posté par . Évalué à 3.

        Question bête est-ce que les logiciels de routeur ont des certifications comme le code embarqué dans les trains, les avions, les bateaux ? (DO178, EN50128,…)

        Même si il est difficile d'imaginer des pertes humaines pour ce genre de code, la perte financière peut être encore plus importante que la chute d'un avion.

        "La première sécurité est la liberté"

    • [^] # Re: Résilience -- 3 points 1 question

      Posté par . Évalué à 2.

      Il y a quelques années, il y a eu un problème entre France Telecom et Google.
      Pour ceux qui étaient chez Orange, impossible de visiter google.com et tous les sites qui avaient des pubs de google chez eux, ce qui faisaient pas mal de monde et donc de problèmes.

  • # How to destroy the Internet

    Posté par . Évalué à 1.

    J' suis tombé là dessus une fois, mais je n'ai pas encore pris le temps de tout lire :
    http://gizmodo.com/5912383/how-to-destroy-the-internet

    Je ne sais pas si c'est vraiment pertinent, à vous de voir.

    • [^] # Re: How to destroy the Internet

      Posté par . Évalué à 7.

      En résumé, si on coupe les principaux câbles intercontinentaux, qu'on fait péter les bâtiments hébergeant les 13 root DNS et les 8 plus gros datacenters du monde, internet rame. Le tout au même moment bien sûr.

      A mon avis, ça demande un poil de logistique.

      • [^] # Re: How to destroy the Internet

        Posté par . Évalué à 1.

        Sans doute guère plus que de coordonner le détournement de 4 avions de ligne dans le but de les faire s'écraser sur les principaux symboles de la puissance américaine…

      • [^] # Re: How to destroy the Internet

        Posté par . Évalué à 6.

        Si tu passes l'étape du sarcasme, les câbles sont un vrai problème pour les non américains et non-européens. Ce ne sont pas les exemples de coupures ayant eu des impacts très significatifs (de down quelques jours à dégradés plusieurs mois) qui manque dans la dernière décennie.

        Et pour foutre vraiment le bordel sur ASIE - US, ou US - Europe je prends le pari qu'il faut beaucoup moins de logistique que tu le penses. Par exemple c'est pas comme si l'immense majorité de la bande passante transatlantique arrivaient dans la même région en UK.

  • # AS étudiés

    Posté par . Évalué à 4.

    L'étude s'intéresse à quatre AS français, qui sont anonymisés dans le rapport. Il serait intéressant de savoir ce qui a mené au choix de ces AS : sont-ce les quatre plus gros ? (selon quelle métrique : préfixes annoncés ? bande passante ? chiffre d'affaires ?) sont-ce les quatre plus connectés ?

    Ce serait encore mieux avec leur nom, bien sûr :)
    (Orange ? Proxad ? SFR ? OVH ?)

  • # Bug ?

    Posté par . Évalué à 3.

    "Nombre dʼAS par zone"

    Le but est de déterminer s’il existe des AS « importants » dont la panne affecterait
    sérieusement les zones sous .fr. On voit que deux AS hébergent les deux tiers des
    serveurs de noms sous .fr.

    En réalité, les "deux AS" totalisant deux tiers sur le camembert sont "AS x" (36 %) et "Autres" (30 %). Je présume que "Autres" contient plus d'un AS, démentant ainsi l'affirmation.

    (par contre si on prend "AS x", "AS t", "AS u" et "AS z", quatre AS hébergent les deux tiers des serveurs de noms sous .fr)

Suivre le flux des commentaires

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.