Dans le scénario défini dans la Section 3, « Topologie Hub & Spoke - Protocole PPPoE », un routeur de site d'extrémité ou Spoke ne peut accéder aux autres réseaux que via le routeur Hub. Son interface WAN joue donc le rôle de route par défaut pour le réseau local des hôtes hébergé sur un site distant.
Les paquets ppp sont installés sur chaque routeur Spoke via l'accès réseau temporaire. Il faut donc éditer et appliquer les modifications faites dans le fichier /etc/netplan/enp0s1.yaml.
sudo apt -y install ppp
Le fichier /etc/ppp/chap-secrets contenant les authentifiants pour l'établissement de la session PPP est complété.
# Secrets for authentication using CHAP
# client server secret IP addresses
"spoke_site1" * "0r4ng3_1" *
# Secrets for authentication using CHAP
# client server secret IP addresses
"spoke_site2" * "0r4ng3_2" *
Le fichier /etc/ppp/peers/pppoe-provider de définition du profil de session PPP est créé.
Avertissement
Le nom d'utilisateur doit correspondre à l'entrée du fichier /etc/ppp/chap-secrets !
Le numéro de VLAN de la sous-interface doit désigner le bon côté du triangle de la topologie !
cat << 'EOF' | sudo tee /etc/ppp/peers/pppoe-provider
# Le nom d'utilisateur désigne l'entrée du fichier /etc/ppp/chap-secrets
user spoke_siteX
# Chargement du module PPPoE avec les détails dans la journalisation
plugin rp-pppoe.so rp_pppoe_ac BRAS rp_pppoe_verbose 1
# Interface (VLAN) utilisé pour l'établissement de la session PPP
enp0s1.VVV
# Les adresses sont attribuées par le "serveur" PPPoE
noipdefault
# L'adresse de résolution DNS est aussi fournie par le serveur PPPoE
usepeerdns
# La session PPP devient la route par défaut du routeur Spoke
defaultroute
# Demande de réouverture de session automatique en cas de rupture
persist
# Le routeur Spoke n'exige pas que le routeur Hub s'authentifie
noauth
# Messages d'informations détaillés dans la journalisation
debug
# Utilisation du protocole IPv6
+ipv6
# Options préconisées par la documentation
noaccomp
default-asyncmap
nodeflate
nopcomp
novj
novjccomp
lcp-echo-interval 10
EOF
Les unités systemd sont créées et activées sur chaque routeur Spoke.
Avertissement
Le numéro de VLAN de la sous-interface doit désigner le bon côté du triangle de la topologie !
Une fois la session PPP établie, n'oubliez pas de désactiver l'accès réseau temporaire et s'assurer que c'est bien cette session qui sert de route par défaut pour accéder à tous les autres réseaux.
Il faut donc éditer à nouveau et appliquer les modifications faites dans le fichier /etc/netplan/enp0s1.yaml.
Voici un exemple de test lancé sur le second routeur Spoke de la maquette.
ip route get 9.9.9.9
9.9.9.9 dev ppp0 src 10.44.3.2 uid 1000
cache
On doit éditer le fichier /etc/systemd/resolved.conf sur chaque routeur Spoke pour affecter directement l'adresse de résolution DNS.
Attention
L'affectation de l'adresse IPv4 ou IPv6 de résolution DNS pose problème. En effet, si le démon pppd propose bien deux adresses via l'option usepeerdns, ces propositions ne sont pas prises en charge par le service systemd-resolved.
On contourne cette difficulté en affectant une adresse IPv4 directement au service systemd-resolved.
N'oubliez pas de relancer le service pour prendre en compte les modifications du fichier.
sudo systemctl restart systemd-resolved
À ce stade de la configuration, les sessions PPP des deux routeurs Spoke sont en place et on peut analyser les messages présents dans les journaux système et identifier les traitements réalisés par les différentes fonctions des protocoles.
Q10.
Comment vérifier que le protocole PPPoE a bien permis d'identifier les extrémités en communication dans le réseau de diffusion (VLAN orange) avant de lancer l'ouverture de session PPP ?
Rechercher les options de la commande journalctl pour faire afficher les messages utiles de la journalisation système.
Dans le but de minimiser le nombre de lignes affichées, on peut combiner les commandes journalctl et grep. Les possibilités sont très diverses. Voici un exemple côté routeur Spoke.
L'extrait ci-dessus montre la séquence spécifique au protocole PPPoE :
Découverte avec émission de la trame PADI depuis le routeur Spoke.
Offre avec réception de la trame PADO depuis le routeur Hub.
Requête avec émission de la trame PADR depuis le routeur Spoke pour accepter l'offre.
Ouverture de session avec la trame PADS quand les deux extrémités de la liaison point à point sont en accord.
Côté routeur Hub, les journaux de chaque unité de service pppoe-serverX permettent de vérifier que les adresses MAC correspondent bien au bon routeur Spoke pour chaque côté du triangle de la topologie.
Voici deux exemples pour la maquette de rédaction de ce document.
journalctl -u pppoe-server1.service -n 100 | grep created
hub pppoe-server[621]: Session 1 created for client b8:ad:ca:fe:00:06 (10.44.1.2) on enp0s1.441 using Service-Name ''
journalctl -u pppoe-server2.service -n 100 | grep created
hub pppoe-server[673]: Session 1 created for client b8:ad:ca:fe:00:07 (10.44.3.2) on enp0s1.443 using Service-Name ''
Q11.
Quels sont les messages des journaux système qui montrent que la session PPP a bien été établie ?
Après avoir consulté la page Point-to-Point Protocol repérer les messages relatifs aux deux sous-couches LCP et NCP du protocole PPP.
Les messages PPP sont présents sur tous les routeurs de la topologie. Voici deux exemples prélevés côté Hub et côté Spoke.
extrait des négociations de paramètres et de l'authentification dans la sous-couche LCP côté Hub.
Dans l'exemple ci-dessus, on repère immédiatement le dernier message qui conclue la phase d'authentification du routeur Spoke auprès du routeur Hub avec succès.
Plus haut, on repère aussi l'identité utilisée pour cette authentification : spoke_site2.
Extrait des mêmes négociations de paramètres et de l'authentification dans la sous-couche LCP côté Spoke.
Le point important ici, c'est relever le statut des scripts d'application des routes par défaut vers la liaison PPP pour les routeurs Spoke. En l'état actuel de la configuration, l'attribution de la route par défaut IPv6 ne se fait pas. Il faudra donc corriger ça dans la partie suivante.
![[Avertissement]](/images/warning.png)
![[Attention]](/images/caution.png)