problème de routage sur un meme brin ethernet

Eric Belhomme wrote:

C'est pour les mêmes raisons qu'il faut séparer les réseaux
logiquement et physiquement.

quand on en a les moyens, ce qui n'est pas le cas présentement, mes
switches n'etant pas VLAN, je suis physiquement bridé par
l'architecture déployée

avant c'était, bridé financierement, aujourd'hui, c'est bridé
physiquement. Linux a couté 0 eur, aller voir dans votre cave, vous
trouverez une autre machine linux a utiliser et une bonne carte réseau
coute 20 Eur.

Linux ne fait pas tout. Il ne peut rien contre l'absence de slot PCI
disponible pour une carte ethernet supplémentaire. Il ne peut rien non
plus contre le fait que les switches en place ne supportent pas les VLAN.

On essaye de trouver ou de comprendre votre probleme.

Ah non, c'est fini ça. Eric a annoncé qu'il avait trouvé et corrigé la
cause du problème. Maintenant on profite du fil pour discuter de nos
conceptions des réseaux IP. :-)

oui, c'est le routeur qui emet les messages ICMP REDIRECT et vers qui
? vers lui même.

non ! vers la machine cible !

Eric !! c'est bien toi qui a écris le message suivant dans le post de ce
matin à 8h54 ????

++++++++++++++++++++++++++++++++
En plus je comprends pas le message icmp redirect 192.168.1.125 to
192.168.1.125 ???
++++++++++++++++++++++++++++++++

je ne peux pas comprendre ce qu'il y a dans votre tete, je peux
simplement essayer de comprendre ce que vous écrivez.

Et apparamment vous n'avez pas compris ce qui était écrit. Reprenons le
texte complet de la capture de paquet qui figurait quelques ligne plus
haut :

IP 192.168.100.254 > 192.168.100.100: icmp 68: redirect
192.168.1.125 to host 192.168.1.125

192.168.100.254 (le routeur) envoie à 192.168.100.100 (l'émetteur du
paquet echo reply en réponse au ping de 192.168.1.125) un message ICMP
lui suggérant de faire transiter les paquets destinés à 192.168.1.125
par la passerelle 192.168.1.125.

[...]

vous n'avez pas remarquer que personne ne vous a rien dit lorsque vous
avez envoyé un message avec la connerie comme si il suffit d'empecher
l'utilisateur de vos machines de changer l'adresse ip est c'est réglé
pour empecher la machine d'un réseau de communiquer avec une autre du
second réseau !!!????

Peut-être parce que ce n'était pas une connerie, justement. Elle est où
la connerie ?

Vous n'avez pas compris...

Je souhaite sincèrement avoir mal compris.

on ne parle pas de routage dans ce paragraphe.

Quand on parle d'IP, le routage n'est jamais loin.

On parle uniquement d'une machine qui se trouve dans un
réseau A et voudrait communiquer directement sans passer par le routeur
à une machine dans le réseau B.

Sous-entendu que ces réseaux A et B cohabitent sur le même lien réseau,
n'est-ce pas ?

Dans ce cas, la couche TCP/IP va devoir
ignorer sans aucune négociation les trames provenant de l'autre machine
avec un plan d'adressage IP différent.

C'est faux. Non seulement rien dans les RFC ne commande un tel
comportement, mais en plus c'est expérimentalement erroné. Si un tel
paquet est émis et reçu, il sera accepté.

Des messages ICMP REDIRECT n'agiront jamais sur le cache du routage s'il
n'y a pas un service de routage activée sur la machine en question.

Alors je suis très heureux d'apprendre que mes stations Windows et
Linux, qui prennent en compte les ICMP Redirect, font toutes tourner des
services de routage ! :-)

Au fait, quand on parle de "service de routage", on parle bien d'un
service qui gère les routes avec un protocole de routage, n'est-ce pas ?
Et pas de la simple fonction de routage qui consiste à retransmettre les
paquets reçus non destinés à une adresse locale ?

je n'ai pas l'impression que vous lisez tous les posts...
le snif de Eric montre clairement qu'un message redirect est envoyé par
le routeur et au routeur.

Déjà répondu dans un autre message. Apprenez à lire une capture de paquet.

Encore une fois, on parle du cas sans routage car les machines sont sur
le même réseau physique,

Au contraire, on parle de routage. Le routage n'est pas l'apanage des
routeur mais de tout hôte IP. Avoir un paquet à envoyer et répondre à la
question "comment envoyer ce paquet" en consultant une table de routage,
c'est faire une décision de routage.

et dans ce cas là, les hosts recepteurs
ignorent les messagent provenant d'un host situé sur un autre plan
d'adresse IP.

C'est faux, je le répète.

Rahan <Rahan@rahan.net> wrote in
news:455355ca$0$2804$426a74cc@news.free.fr:

avant c'était, bridé financierement, aujourd'hui, c'est bridé
physiquement. Linux a couté 0 eur, aller voir dans votre cave, vous
trouverez une autre machine linux a utiliser et une bonne carte réseau
coute 20 Eur.

non, je suis bridé par le fait que je ne peux pas cabler un 2e sous-

réseau physiquement, c'est dû à plein de paramètres, tels que le cablage
déjà en place dans l'immeuble, les différentes rocades cuivres dont je
dispose, etc.
Séparer physiquement mes réseaux nécessiterait une refonte totale de la
topologie réseau du site, ce qui est inacceptable pour pleins de raison,
dont le coût n'est que le moindre des problème.

Comme l'a si bien dit Eric Masson, il y a la théorie, et la vraie vie...

On essaye de trouver ou de comprendre votre probleme. Vous pouvez
poster un autre message pour nous expliquer que le TCP et IP sont deux
choses.

pas besoin de l'expliquer tout le monde ici le saitL Là n'est pas le

propos

vous etes sensible à l'utilisation du terme TCP/IP et pas à
l'utilisation de deux réseaux logiques sur le même physique.

Concevoir ce type d'architecture dans certains domaines (temps réel,
sécurité, banque... etc) c'est considerer comme faute grave et vous
serai renvoyer.

Bien que ca semble vous choquer profondément, ca n'a pourtant rien ni

d'extraordinaire. Vous avez parfaitement raison en affirmant que ce n'est
pas "secure", mais comme je l'ai déjà mentionné, c'est hors de propos
dans mon contexte d'utilisation.
Quant à mon secteur d'activité... Il se trouve que je travaille justement
dans le secteur bancaire ;) La question de la sécurité, c'est avant tout
une affaire de contexte : chez moi ma porte d'entrée dispose de 3 points
d'ancrage, en revanche ma porte de sale de bain n'a pas de serrure.
Pourtant je n'ai pas viré l'architecte qui a osé ne mettre qu'une bête
porte post-formée sans serrure dans ma salle de bain pour me protéger de
ma femme qui voudrait venir abuser de moi alors que je me frotte le dos !
(merci à lui :)

Eric !! c'est bien toi qui a écris le message suivant dans le post de
ce matin à 8h54 ????

[...]

si vous écrivez quelque chose et vous dites le contraire, ben voyons,
il est certain que 90% des lecteurs auront du mal à vous comprendre :)
en plus vous nous le reprocher, quel culo.

Merci a Pascal d'avoir déjà répondu à ça... Il semble que vous

représentiez 90% des lecteurs à vous tout seul !

votre problème concerne deux réseaux situés sur la même interface
réseau de votre routeur. Le reste on s'en fou si votre routeur soit
équipé d'autres cartes pour acceder ou donner accès à d'autres
réseau... rien à cirer.

oui et non, il y a peut-etre des effets de bord ?

n'oublier pas que nous lisons votre post pour essayer d'apporter des
pistes, des solutions, orienter... etc Pour qu'on puisse le faire, il
faudra dire quelque chose et essayer de ne pas dire le contraire
quelques heures apres, ou simplement corriger l'erreur.

je ne me suis pas contredit, tout au plus ai-je été difficile à

comprendre ? je ne sais pas, il faudrait demander aux autres
contributeurs ?

avant de donner des leçons aux gens, apprenez à dire merci pour l'aide
gracieuse qui vous est fournit dans ce forum et essayer d'etre un peu
plus poli.

Je donne des leçons quand mes quelques compétences me le permettent, mais

j'en prends aussi beaucoup, en particulier sur Usenet où il y a nombre de
gens bien plus compétents que moi. Eric Masson, par exemple, que je lis
depuis des années ici-même et sur d'autres groupes liées de près ou de
loin aux réseaux, a beaucoup plus à m'apprendre que je n'en saurais sans
doute jamais.

et dans tous les cas, quel principe vous pousse a nous demander de
lire tout vos messages... même si votre interlocuteur n'est pas prie
la peine de lire tous vos message ce qui n'est même pas le cas, alors,
ayez le reflexe de rester poli et essayer de rester objectif en
prenant ce que vous trouvez utile pour vous.

Si vous prenez la peine de répondre à un post, alors prenez la peine de

lire le thread en entier _avant_ ! Ca vous évitera :
1) de faire des contresens,
2) de donner une réponse qui a été déjà postée

C'est aussi du savoir vivre. Pour le reste, je n'ai pas le sentiment
d'avoir été impoli, mais si c'est le cas, je m'en excuse, car ce n'etait
pas le but !

pour vous, la liste est longue avant que je vous renvoi vers le modele
OSI.

C'est votre compréhension du modele OSI qui vous pousse à concevoir ce
type d'architecture ? en plus vous affirmer que vous avez opter pour
cette solution pour séparer vos deux réseau !!!?? vous n'avez rien
séparer avec cette solution.

Bien sur que si ! j'ai séparé mes machines logiquement avec 2 sous-

réseaux IP. LE fait que vous ne puissiez comprendre ca me convainc que
vous avez des sérieuses lacunes de compréhension de ce qu'est un réseau
en couches... tel que le décrit le modèle OSI : Vous restez focalisé sur
le fait que puisque le lien physique (1ere couche OSI) est le même, alors
le lien réseau (3e couche OSI) est la même !
Pourtant, ma 1ere couche est une paire de cuivre, ma 3e couche est IP, et
entre les 2, j'ai Ethernet ! Mon lien ethernet poiurrait bien e^tre un
conglomérat de ATM, cuivre torsadé, RS482, et fibre optique aggrégé en 1
seul lien de niveau 2 sans que ca change quo que ce soit...

vous n'avez pas remarquer que personne ne vous a rien dit lorsque vous
avez envoyé un message avec la connerie comme si il suffit d'empecher
l'utilisateur de vos machines de changer l'adresse ip est c'est réglé
pour empecher la machine d'un réseau de communiquer avec une autre du
second réseau !!!???? personne n'a répondu car ce n'est pas le sujet.

et ou est la "connerie" ??? C'est le principe d'IP, de ne pouvoir joindre
_directement_ des hotes situés sur un réseau _IP_ distinct ! Pour cela,
il faut _router_ le paquet... cqfd

--
Rico

Le jeu, 09 nov 2006 at 15:17 GMT, Eric Belhomme <{rico}+no/spam@ricospirit.net> a écrit :

Rahan <Rahan@rahan.net> wrote in
news:45532005$0$17231$426a74cc@news.free.fr:

C'est pour les mêmes raisons qu'il faut séparer les réseaux
logiquement et physiquement.

quand on en a les moyens, ce qui n'est pas le cas présentement, mes

switches n'etant pas VLAN, je suis physiquement bridé par l'architecture
déployée

On trouve facilement du C*sco (pa rexemple, des 2924 xl en) d'occasion
sur Ebay, qui partent en général autour de 150 à 200E.

[...]

toujours lié à votre conception du réseau 2 en 1.

j'ai le sentiment en vous lisant que pour vous, ethernet et IP sont

intimement lié ? Si c'est bien votre conception des réseaux, vous
feriez bien de tout reprendre à la base... Le modèle OSI, ca vous dit
quelque chose ?

On ne peut pas complètement le séparer.
Dans le cas présent, ce qui cause l'émission d'un paquet icmp redirect,
c'est précisément le fait que les 2 réseaux ip sont sur le même réseau
physique. Le routeur, lui, le sait, puisqu'ils sont attachés à la même
interface. Il envoie donc l'icmp redirect pour s'"économiser" des
forces, vu qu'il sait qu'il n'est pas indispensable dans la transaction.

La seule solution (sans séparer les réseaux, soit physiquement, soit
avec des vlans), je pense, est celle à laquelle tu es arrivée, c'est à
dire désactiver l'émission d'icmp redirect sur le routeur.


Dom

Rahan <Rahan@rahan.net> wrote in
news:455355ca$0$2804$426a74cc@news.free.fr:

avant c'était, bridé financierement, aujourd'hui, c'est bridé
physiquement. Linux a couté 0 eur, aller voir dans votre cave, vous
trouverez une autre machine linux a utiliser et une bonne carte réseau
coute 20 Eur.

non, je suis bridé par le fait que je ne peux pas cabler un 2e sous-

réseau physiquement, c'est dû à plein de paramètres, tels que le cablage
déjà en place dans l'immeuble, les différentes rocades cuivres dont je
dispose, etc.
Séparer physiquement mes réseaux nécessiterait une refonte totale de la
topologie réseau du site, ce qui est inacceptable pour pleins de raison,
dont le coût n'est que le moindre des problème.

On peut toujours faire un cloisonnement au niveau 2 à coup de VLAN,
c'est plus rapide à faire qu'au niveau du câble, moins cher et très
souple à l'usage.


--
Zythum

Le routeur reçoit un paquet à router qu'il doit
réémettre par la même interface, il y a donc un chemin plus court
qu'il signale à l'émetteur par un ICMP Redirect.

c'est là que je décroche : comment le routeur peut estimer qu'il y a un
chemin plus court alors qu'il voit bien que les 2 sous-domaines à joindre
ne peuvent pas communiquer directement, puisque sur des plages CIDR
différentes et incompatibles ???

En fait je crois qu'il ne le voit pas, tout simplement.
J'ai remué ma flemme, fouillé dans quelques RFC et trouvé ça, extrait de
l'indispensable RFC 1812 "Requirements for IP Version 4 Routers" :


Routers MUST NOT generate a Redirect Message unless all the following
conditions are met:

o The packet is being forwarded out the same physical interface that
it was received from,

o The IP source address in the packet is on the same Logical IP
(sub)network as the next-hop IP address, and

o The packet does not contain an IP source route option.


Manifestement Linux ne respecte pas la deuxième condition puisqu'il
envoie un Redirect avec une adresse de passerelle qui n'appartient pas
au même sous-réseau IP que l'adresse source du paquet reçu. Je soupçonne
que la raison est que Linux est tout bonnement incapable de faire cette
vérification car il ignore fondamentalement la notion même de
sous-réseau. Tout ce qu'il a pour décider, en gros, c'est sa table de
routage qui contient des destinations, pas des sous-réseaux.

Eric Belhomme wrote:

Rahan <Rahan@rahan.net> wrote in
news:455355ca$0$2804$426a74cc@news.free.fr:

avant c'était, bridé financierement, aujourd'hui, c'est bridé
physiquement. Linux a couté 0 eur, aller voir dans votre cave, vous
trouverez une autre machine linux a utiliser et une bonne carte réseau
coute 20 Eur.

non, je suis bridé par le fait que je ne peux pas cabler un 2e sous-
réseau physiquement, c'est dû à plein de paramètres, tels que le cablage
déjà en place dans l'immeuble, les différentes rocades cuivres dont je
dispose, etc.
Séparer physiquement mes réseaux nécessiterait une refonte totale de la
topologie réseau du site, ce qui est inacceptable pour pleins de raison,
dont le coût n'est que le moindre des problème.

Comme l'a si bien dit Eric Masson, il y a la théorie, et la vraie vie...

On essaye de trouver ou de comprendre votre probleme. Vous pouvez
poster un autre message pour nous expliquer que le TCP et IP sont deux
choses.

pas besoin de l'expliquer tout le monde ici le saitL Là n'est pas le
propos

vous etes sensible à l'utilisation du terme TCP/IP et pas à
l'utilisation de deux réseaux logiques sur le même physique.

Concevoir ce type d'architecture dans certains domaines (temps réel,
sécurité, banque... etc) c'est considerer comme faute grave et vous
serai renvoyer.

Bien que ca semble vous choquer profondément, ca n'a pourtant rien ni
d'extraordinaire. Vous avez parfaitement raison en affirmant que ce n'est
pas "secure", mais comme je l'ai déjà mentionné, c'est hors de propos
dans mon contexte d'utilisation.
Quant à mon secteur d'activité... Il se trouve que je travaille justement
dans le secteur bancaire ;) La question de la sécurité, c'est avant tout
une affaire de contexte : chez moi ma porte d'entrée dispose de 3 points
d'ancrage, en revanche ma porte de sale de bain n'a pas de serrure.
Pourtant je n'ai pas viré l'architecte qui a osé ne mettre qu'une bête
porte post-formée sans serrure dans ma salle de bain pour me protéger de
ma femme qui voudrait venir abuser de moi alors que je me frotte le dos !
(merci à lui :)

Eric !! c'est bien toi qui a écris le message suivant dans le post de
ce matin à 8h54 ????

[...]

si vous écrivez quelque chose et vous dites le contraire, ben voyons,
il est certain que 90% des lecteurs auront du mal à vous comprendre :)
en plus vous nous le reprocher, quel culo.

Merci a Pascal d'avoir déjà répondu à ça... Il semble que vous
représentiez 90% des lecteurs à vous tout seul !

votre problème concerne deux réseaux situés sur la même interface
réseau de votre routeur. Le reste on s'en fou si votre routeur soit
équipé d'autres cartes pour acceder ou donner accès à d'autres
réseau... rien à cirer.

oui et non, il y a peut-etre des effets de bord ?

n'oublier pas que nous lisons votre post pour essayer d'apporter des
pistes, des solutions, orienter... etc Pour qu'on puisse le faire, il
faudra dire quelque chose et essayer de ne pas dire le contraire
quelques heures apres, ou simplement corriger l'erreur.

je ne me suis pas contredit, tout au plus ai-je été difficile à
comprendre ? je ne sais pas, il faudrait demander aux autres
contributeurs ?

avant de donner des leçons aux gens, apprenez à dire merci pour l'aide
gracieuse qui vous est fournit dans ce forum et essayer d'etre un peu
plus poli.

Je donne des leçons quand mes quelques compétences me le permettent, mais
j'en prends aussi beaucoup, en particulier sur Usenet où il y a nombre de
gens bien plus compétents que moi. Eric Masson, par exemple, que je lis
depuis des années ici-même et sur d'autres groupes liées de près ou de
loin aux réseaux, a beaucoup plus à m'apprendre que je n'en saurais sans
doute jamais.

et dans tous les cas, quel principe vous pousse a nous demander de
lire tout vos messages... même si votre interlocuteur n'est pas prie
la peine de lire tous vos message ce qui n'est même pas le cas, alors,
ayez le reflexe de rester poli et essayer de rester objectif en
prenant ce que vous trouvez utile pour vous.

Si vous prenez la peine de répondre à un post, alors prenez la peine de
lire le thread en entier _avant_ ! Ca vous évitera :
1) de faire des contresens,
2) de donner une réponse qui a été déjà postée

C'est aussi du savoir vivre. Pour le reste, je n'ai pas le sentiment
d'avoir été impoli, mais si c'est le cas, je m'en excuse, car ce n'etait
pas le but !

pour vous, la liste est longue avant que je vous renvoi vers le modele
OSI.

C'est votre compréhension du modele OSI qui vous pousse à concevoir ce
type d'architecture ? en plus vous affirmer que vous avez opter pour
cette solution pour séparer vos deux réseau !!!?? vous n'avez rien
séparer avec cette solution.

Bien sur que si ! j'ai séparé mes machines logiquement avec 2 sous-
réseaux IP. LE fait que vous ne puissiez comprendre ca me convainc que
vous avez des sérieuses lacunes de compréhension de ce qu'est un réseau
en couches... tel que le décrit le modèle OSI : Vous restez focalisé sur
le fait que puisque le lien physique (1ere couche OSI) est le même, alors
le lien réseau (3e couche OSI) est la même !
Pourtant, ma 1ere couche est une paire de cuivre, ma 3e couche est IP, et
entre les 2, j'ai Ethernet ! Mon lien ethernet poiurrait bien e^tre un
conglomérat de ATM, cuivre torsadé, RS482, et fibre optique aggrégé en 1
seul lien de niveau 2 sans que ca change quo que ce soit...

vous n'avez pas remarquer que personne ne vous a rien dit lorsque vous
avez envoyé un message avec la connerie comme si il suffit d'empecher
l'utilisateur de vos machines de changer l'adresse ip est c'est réglé
pour empecher la machine d'un réseau de communiquer avec une autre du
second réseau !!!???? personne n'a répondu car ce n'est pas le sujet.

et ou est la "connerie" ??? C'est le principe d'IP, de ne pouvoir joindre
_directement_ des hotes situés sur un réseau _IP_ distinct ! Pour cela,
il faut _router_ le paquet... cqfd

on vois bien que vous avez beaucoup de temps pour ne rien dire et ne
rien foutre.

à présent, j'ai autre chose à foutre que de vous lire.

à présent, j'ai autre chose à foutre que de vous lire.

Pour votre DMZ, je lui souhaite bonne chance. Même chose pour votre
employeur puisque il a un salarié incapable de faire un travail propre
sous pretexte que c'est bridé physiquement, en plus grande gueule
pourtant ce n'est pas une option.

et si ce n'est pas un pb financier, c'est les 35h.

SVP !! n'essayer pas d'expliquer la conception d'une DMZ sur votre CV et
n'essayer surtout pas de changer d'entreprise tant ça marche pour
vous... sécteur bancaire.

j'espere pour les clients de votre banque que vous intervenez que dans
les espaces où tout est bridé logiquement et physiquement.

Cordialement,

Eric Belhomme <{rico}+no/spam@ricospirit.net> writes:

'Lut,

<Snip prose>

Merci pour le compliment, je n'ai pas l'habitude.

Les groupes techniques de usenet-fr sont un repaire de chercheurs,
développeurs, admins réseaux, admins système, et autres touche-à-tout
divers et variés dont le niveau de compétence général fait qu'il est
possible d'apprendre énormément des discussions auxquelles ils
participent. Il m'arrive régulièrement de me trouver inculte face à des
interlocuteurs dont les compétences dépassent largement les miennes.

C'est tout l'intérêt de ce petit monde, avec les rencontres auxquelles
il peut amener :)

--
Tout sa ma l'air très compliquer, il na pas selemtn une place ou on peu
clicker sur une chose genre "créé un groupe de discussion" et que il
deamdne le titre et des choses come sa et que sase cré tout seul?
-+- T in GNU -+- fufe95 "pour les nuls" -+-

Pascal Hambourg <boite-a-spam@plouf.fr.eu.org> writes:

'Lut,

Je soupçonne que la raison est que Linux est tout bonnement incapable
de faire cette vérification car il ignore fondamentalement la notion
même de sous-réseau. Tout ce qu'il a pour décider, en gros, c'est sa
table de routage qui contient des destinations, pas des sous-réseaux.

Euh, normalement dans une table de routage la notion de découpage réseau
est explicite (masque) depuis la généralisation de CIDR, non ?
Ou alors je n'ai pas compris le sens de ta phrase.

--
Je possède un T28S, et j'en suis content. Problème : mon chien aime
aussi ce téléphone, particulièrement son mode d'emploi. Il l'a bouffé,
et je me retrouve avec des notices anglaise, hollandaise et espagnole
-+- JLP in <www.le-gnu.net> : Utiliser une alimentation équillibrée -+-