téléphonie IP et routage

Le 17-10-2007, à propos de
téléphonie IP et routage,
Emmanuel Florac écrivait dans fr.comp.securite :

Voilà, ma boîte déménage et nous aurons désormais toute la
téléphonie en IP sur 2 liens, plus 1 lien de secours et 1 lien d'accès
à Internet. Ma problématique est la suivante :

1) je n'ai pas la main sur la configuration des routeurs téléphonie.
2) je n'ai pas envie de m'en remettre à la fiabilité supposée du
réseau de l'opérateur, donc je préférerais mettre les routeurs en
question en DMZ ou plus précisément, hors du réseau interne.
3) du fait des limitations de câblage, les PC des utilisateurs sont
connectés en réseau sur... les téléphones. Donc PCs et téléphones
quoique n'étant pas dans le même réseau (privé) IP, sont sur le même
réseau physique.
4) la liaison secours peut servir de secours à la fois en téléphone et
internet.
5) une partie des utilisateurs ont leurs PCs sur un réseau différent et
que l'on souhaite étanche vis à vis du reste du réseau, mais ils ont
besoin quand même de téléphones...

Est-ce qu'il est possible d'établir un routeur (avec pleins d'interfaces
physiques, éventuellement) qui puisse me refaire la séparation propre
des réseaux? Comment faire?

Je pense que la première chose à faire est un petit schéma en ascii
art par ici, histoire de voir un peu la topologie du réseau que tu
cherches à obtenir et de fixer les idées. Pour ma part, je pense que
rien n'est impossible en terme de routage à un système utilisant
iptables+iproute2. J'ai mis chez un client une Sun U420R avec 12
interfaces ethernet + la HME sur la carte mère, le tout étant
connecté à deux liaisons ADSL, quatre SDSL, un VPN et six LAN, et
contenant des tables de routages pas piquées des vers.

J'aurais tendance à faire un truc dans ce genre :
- connecter les quatre liaisons WAN sur quatres interfaces eth0 à
eth3 ;
- coller les routeurs téléphoniques trafic entrant en DMZ sur eth4,
reconnectés sur eth5 pour router vers les postes clients ;
- utiliser eth6 et 7 pour les deux LAN.

Restent à écrire les tables de routages ;-)

JKB

--
Le cerveau, c'est un véritable scandale écologique. Il représente 2% de notre
masse corporelle, mais disperse à lui seul 25% de l'énergie que nous
consommons tous les jours.

Le Wed, 17 Oct 2007 21:13:33 +0000, JKB a écrit :

Je pense que la première chose à faire est un petit schéma en ascii
art par ici, histoire de voir un peu la topologie du réseau que tu
cherches à obtenir et de fixer les idées.

Tu connais un bon outil de dessin ASCII ? parce que là à la main ça va
être carrément pas facile :)

Pour ma part, je pense que
rien n'est impossible en terme de routage à un système utilisant
iptables+iproute2. J'ai mis chez un client une Sun U420R avec 12
interfaces ethernet + la HME sur la carte mère, le tout étant
connecté à deux liaisons ADSL, quatre SDSL, un VPN et six LAN, et
contenant des tables de routages pas piquées des vers.

Oui je pensais recycler un "vieux" PC pour faire ça, mais c'est au niveau
des tables que j'ai un peu peur :)

J'aurais tendance à faire un truc dans ce genre :
- connecter les quatre liaisons WAN sur quatres interfaces eth0 à
eth3 ;
- coller les routeurs téléphoniques trafic entrant en DMZ sur eth4,
reconnectés sur eth5 pour router vers les postes clients ;
- utiliser eth6 et 7 pour les deux LAN.

Restent à écrire les tables de routages ;-)

Bon, il faut que je me penche sur ce dessin :)

--
Dix grammes d'abstraction valent des tonnes de bricolage.
Loi de Booker.

Le 18-10-2007, à propos de
Re: telephonie IP et routage,
Emmanuel Florac écrivait dans fr.comp.securite :

Le Wed, 17 Oct 2007 21:13:33 +0000, JKB a écrit :

Je pense que la première chose à faire est un petit schéma en ascii
art par ici, histoire de voir un peu la topologie du réseau que tu
cherches à obtenir et de fixer les idées.

Tu connais un bon outil de dessin ASCII ? parce que là à la main ça va
être carrément pas facile :)

Non (ou alors en passant pas une libcaca ? ;-) )...

Pour ma part, je pense que
rien n'est impossible en terme de routage à un système utilisant
iptables+iproute2. J'ai mis chez un client une Sun U420R avec 12
interfaces ethernet + la HME sur la carte mère, le tout étant
connecté à deux liaisons ADSL, quatre SDSL, un VPN et six LAN, et
contenant des tables de routages pas piquées des vers.

Oui je pensais recycler un "vieux" PC pour faire ça, mais c'est au niveau
des tables que j'ai un peu peur :)

Personnellement, je recycle mes vieilles sparcs pour ça (voire
j'achète des U60 à 600 euros HT chez mon broker favori avec des
cartes quad ethernet). Je trouve cela plus fiables sur le long terme
(par de petits ventilateurs de merde qui lâchent, stabilité à toute
épreuve, et tenue de charge... Bref, des machines qu'on oublie...
J'en ai une qui route plusieurs liens gigabits de LAN sans aucun souci).

Les tables de routage se font très bien. Il faut écrire les règles
une à une, mais _après_ avoir défini les routes par défaut de
iproute2 (s'il y a plusieurs routes par défaut dans le système). Je
veux bien te faire ça, mais je suis _très_ cher ;-)

J'aurais tendance à faire un truc dans ce genre :
- connecter les quatre liaisons WAN sur quatres interfaces eth0 à
eth3 ;
- coller les routeurs téléphoniques trafic entrant en DMZ sur eth4,
reconnectés sur eth5 pour router vers les postes clients ;
- utiliser eth6 et 7 pour les deux LAN.

Restent à écrire les tables de routages ;-)

Bon, il faut que je me penche sur ce dessin :)

N'est-ce pas ;-)

JKB

--
Le cerveau, c'est un véritable scandale écologique. Il représente 2% de notre
masse corporelle, mais disperse à lui seul 25% de l'énergie que nous
consommons tous les jours.

Le 18/10/2007 09:16, Emmanuel Florac disait:

Bon, il faut que je me penche sur ce dessin :)

Tu peux le dessiner sur ce site (plug Flash ou Shockwave obligatoire):
http://www.best4c.com/
Mais il y a (avait?) un défaut d'encodage de caractères, donc à la fin
tu fais un Impr.Ecran
Exp.: http://www.lavillerose.com/XXI/imagesxxi/mon_reseau.JPG

--
Steph
Enlever l'.adressebidon.invalid pour m'écrire en privé
Mon site est laid. Mon site en en cours de reconstruction.

Le Thu, 18 Oct 2007 08:23:47 +0000, Steph a écrit :

Tu peux le dessiner sur ce site (plug Flash ou Shockwave obligatoire):
http://www.best4c.com/

Ah oui mais non : le but c'est de faire un dessin en ascii art pour poster
ici, parce que sinon des softs pour faire des miquets, j'ai.

--
Pluralitas non est ponenda sine necessitate.
Guillaume d'Ockham.

On 18 Oct 2007 07:16:04 GMT, Emmanuel Florac <eflorac@imaginet.fr>:

Tu connais un bon outil de dessin ASCII ? parce que là à la main ça va
être carrément pas facile :)

Au pire, tu uploades une image sur cjoint.com ou autre...

* Emmanuel Florac <eflorac@imaginet.fr> in fr.comp.securite:

Tu connais un bon outil de dessin ASCII ?

Avec Emacs, les modes Artist et Picture.

http://www.cinsk.org/emacs/emacs-artist.html

--
DW

Le Thu, 18 Oct 2007 07:16:04 +0000, Emmanuel Florac a écrit :

Tu connais un bon outil de dessin ASCII ? parce que là à la main ça va
être carrément pas facile :)

Bon ben j'ai rien trouvé de bien, alors à l'arrache :

net
/-------^--------
phonie--
/------------^------------
------- ------- --------- -------
|voip1| |voip2| |secours| | net |
------- ------- --------- -------
| | | |
_ / ____/
/ /
------------------
| mon routeur |
------------------
/ |
/ |
------------ ---------------------------
| switch2 | | switch 1 |
------------ ---------------------------
| |
| |
| |
| |
| ( | (
| | phone (reseau 1,172...) | | phone (reseau 1, 172....)
|--(/ |--(/
| __ | __
| |--| | |--|
|_| | PC (reseau 3, 10...) |_| | PC (reseau 2, 192....)
|__| |__|



Les postes PC du reseau 1 et 3 ne doivent pas se voir du tout, par contre
les téléphones des uns et des autres sont par la force des choses dans
le même réseau. Par ailleurs je ne sais pas comment se fait
l'équilibrage de charge entre les deux routeurs voip 1 et 2 et/ou
secours, je sais seulement ne pas pouvoir changer la configuration du
réseau téléphonique. Je suppose que les 3 routeurs partagent une IP
tournante ou un truc de ce genre, mais je n'en sais rien et naturellement
le mec de B3G qui l'installe n'en sait rien non plus.

Le point délicat c'est que les routeurs doivent voir les téléphones et
vice-versa, en ignorant être ponté et/ou routé. En plus, dans l'idéal
je devrais pouvoir laisser une machine en DMZ pour pouvoir me connecter en
ssh depuis l'extérieur au réseau 2.

C'est jouable ou pas? Est-ce que j'aurai besoin de configuration
ésotériques, et/ou d'options spéciales dans le noyau pour faire tout
ça? C'est ce qui m'inquiète...

--
Désormais, pour les nations et pour les peuples, une goutte de pétrole
a la valeur d'une goutte de sang.
Georges Clémenceau.

Le 18-10-2007, à propos de
Re: telephonie IP et routage,
Emmanuel Florac écrivait dans fr.comp.securite :

Le Thu, 18 Oct 2007 07:16:04 +0000, Emmanuel Florac a écrit :

Tu connais un bon outil de dessin ASCII ? parce que là à la main ça va
être carrément pas facile :)

Bon ben j'ai rien trouvé de bien, alors à l'arrache :

net
/-------^--------
phonie--
/------------^------------
------- ------- --------- -------
|voip1| |voip2| |secours| | net |
------- ------- --------- -------
| | | |
_ / ____/
/ /
------------------
| mon routeur |
------------------
/ |
/ |
------------ ---------------------------
| switch2 | | switch 1 |
------------ ---------------------------
| |
| |
| |
| |
| ( | (
| | phone (reseau 1,172...) | | phone (reseau 1, 172....)
|--(/ |--(/
| __ | __
| |--| | |--|
|_| | PC (reseau 3, 10...) |_| | PC (reseau 2, 192....)
|__| |__|



Les postes PC du reseau 1 et 3 ne doivent pas se voir du tout, par contre
les téléphones des uns et des autres sont par la force des choses dans
le même réseau. Par ailleurs je ne sais pas comment se fait
l'équilibrage de charge entre les deux routeurs voip 1 et 2 et/ou
secours, je sais seulement ne pas pouvoir changer la configuration du
réseau téléphonique. Je suppose que les 3 routeurs partagent une IP
tournante ou un truc de ce genre, mais je n'en sais rien et naturellement
le mec de B3G qui l'installe n'en sait rien non plus.

Putain'g B3G... La dernière fois que je les ai vus, je les ai virés
à coup de pompe ! Bon, si tu veux que ça fonctionne, déjà , il te
faut un paramètre de plus, de la QoS (sinon, tes téléphones Swisscom
planteront et n'arriveront pas à se connecter à leur serveur). Par
ailleurs, il faudra que tu sniffe le réseau VOiP pour voir les ports
effectivement utilisés par ce truc (je n'ai jamais eu
l'information). Tes routeurs doivent être des netopias 3346 ou
similiaires qui forment un routeur virtuel, donc les deux routeurs
sont normalement connectés ensemble sur une seule broche de ton
routeur, sauf si tu veux effeectivement utiliser un lien de
redondance auquel cas, il faut bridger en niveau 2 trois interfaces
de ton routeur.

Le point délicat c'est que les routeurs doivent voir les téléphones et
vice-versa, en ignorant être ponté et/ou routé. En plus, dans l'idéal
je devrais pouvoir laisser une machine en DMZ pour pouvoir me connecter en
ssh depuis l'extérieur au réseau 2.

C'est possible avec du bridge ethernet sur une interface virtuelle.

C'est jouable ou pas? Est-ce que j'aurai besoin de configuration
ésotériques, et/ou d'options spéciales dans le noyau pour faire tout
ça? C'est ce qui m'inquiète...

Non, pas a priori, mais de quelques litres de café ;-)

Dans l'ordre, je commancerais par bridger les interfaces d'entrée
en écrivant quelques scripts, et à peaufiner une utilisation
d'iproute2 parce que tu risque d'avoir deux routes par défaut, l'une
vers ton routeur virtuel VoIP, l'autre pour internet. Après, ce sont
deux réseaux sur le même support avec un interface virtuelle par
LAN. Bref, rien de bien ésotérique AMHA.

Cordialement,

JKB

--
Le cerveau, c'est un véritable scandale écologique. Il représente 2% de notre
masse corporelle, mais disperse à lui seul 25% de l'énergie que nous
consommons tous les jours.

Le Thu, 18 Oct 2007 11:09:12 +0000, JKB a écrit :

Putain'g B3G... La dernière fois que je les ai vus, je les ai virés
à coup de pompe ! Bon, si tu veux que ça fonctionne, déjà , il te
faut un paramètre de plus, de la QoS (sinon, tes téléphones Swisscom
planteront et n'arriveront pas à se connecter à leur serveur). Par
ailleurs, il faudra que tu sniffe le réseau VOiP pour voir les ports
effectivement utilisés par ce truc (je n'ai jamais eu
l'information).

Ce sont des téléphones SIP, on peut même utiliser des softphones genre
openwengo si on veut, donc de ce point de vue je ne m'inquiète pas.

Tes routeurs doivent être des netopias 3346 ou
similiaires qui forment un routeur virtuel, donc les deux routeurs
sont normalement connectés ensemble sur une seule broche de ton
routeur, sauf si tu veux effeectivement utiliser un lien de
redondance auquel cas, il faut bridger en niveau 2 trois interfaces
de ton routeur.

Les trois interfaces des trois routeurs, alors? On peut bridger en niveau
deux avec iptables/iproute???? Je l'ai seulement utilisé en firewall
basique avec un peu de NAT...

Le point délicat c'est que les routeurs doivent voir les téléphones et
vice-versa, en ignorant être ponté et/ou routé. En plus, dans l'idéal
je devrais pouvoir laisser une machine en DMZ pour pouvoir me connecter en
ssh depuis l'extérieur au réseau 2.

C'est possible avec du bridge ethernet sur une interface virtuelle.

Ah ouais, donc sur l'interface qui est du côté du switch, je fais une
interface virtuelle qui bridge avec les interfaces côté routeurs, c'est
affreux j'ai déjà mal à la tête!!!

C'est jouable ou pas? Est-ce que j'aurai besoin de configuration
ésotériques, et/ou d'options spéciales dans le noyau pour faire tout
ça? C'est ce qui m'inquiète...

Non, pas a priori, mais de quelques litres de café ;-)

Dans l'ordre, je commancerais par bridger les interfaces d'entrée
en écrivant quelques scripts, et à peaufiner une utilisation
d'iproute2 parce que tu risque d'avoir deux routes par défaut, l'une
vers ton routeur virtuel VoIP, l'autre pour internet. Après, ce sont
deux réseaux sur le même support avec un interface virtuelle par
LAN. Bref, rien de bien ésotérique AMHA.

Au niveau route il faudra que j'écrive un script pour basculer rapidement
la connectivité internet sur le routeur de secours en cas de pain, mais
ça n'a pas besoin d'être automatique, bien sûr, on n'a pas de services
critiques en local.

Merci, je pense que ça va pas mal m'avancer déjà! :)

--
It is better to remain silent and be thought a fool than to open one's
mouth and remove all doubt.
Abraham Lincoln.