Virtualisation et réseau : VM, conteneurs, VRF et cloud

Une grande partie des « équipements » d'un réseau moderne n'existe plus physiquement : des commutateurs dans les hyperviseurs, des routeurs dans des conteneurs, des réseaux entiers créés par une API dans le cloud. Les principes restent ceux des leçons précédentes (trames, adresses, routes), mais ils s'appliquent à des objets logiciels. C'est aussi ce qui fait tourner les labs de cette filière.

Ce que vous saurez à la fin : expliquer comment une machine virtuelle et un conteneur se branchent au réseau, ce qu'est un commutateur virtuel, une interface veth et un namespace réseau, à quoi sert une VRF, et retrouver ces notions dans un réseau cloud (VPC, sous-réseaux, groupes de sécurité).

1. Les machines virtuelles

Un hyperviseur fait tourner plusieurs machines virtuelles (VM) sur un serveur physique :

Type	Principe	Exemples
Type 1 (bare metal)	Directement sur le matériel	VMware ESXi, Microsoft Hyper-V, KVM (dans le noyau Linux), Proxmox
Type 2 (hébergé)	Une application sur un système existant	VirtualBox, VMware Workstation

Chaque VM a une ou plusieurs cartes réseau virtuelles, avec leur propre adresse MAC. Elles se branchent sur un commutateur virtuel (vSwitch) de l'hyperviseur, qui fonctionne exactement comme un commutateur physique : table MAC, VLAN, ports. Les cartes physiques du serveur sont les liens montants de ce commutateur vers le réseau de l'entreprise, souvent en trunk pour transporter plusieurs VLAN.

2. Les conteneurs : namespaces et veth

Un conteneur n'est pas une VM : il partage le noyau de la machine. Son isolation réseau vient d'un namespace réseau, une pile réseau complète et séparée (interfaces, adresses, table de routage, règles de pare-feu).

Pour le relier au reste, Linux crée une paire veth : un câble virtuel à deux bouts, l'un dans le namespace du conteneur (souvent nommé eth0), l'autre sur la machine, branché sur un bridge (le commutateur logiciel de Linux, docker0 pour Docker, cni0 pour certains Kubernetes).

ip netns add r1                                # un namespace réseau : une « machine » vide
ip link add v1 type veth peer name v2          # un câble virtuel
ip link set v1 netns r1                        # un bout dans r1
ip -n r1 addr add 10.1.0.1/30 dev v1
ip -n r1 link set v1 up
ip netns exec r1 ip route                      # la table de routage propre à r1

C'est exactement ainsi que sont construits les labs de cette filière : chaque routeur est un namespace réseau qui fait tourner FRRouting, et les liens de la topologie sont des paires veth. Ce que vous configurez se comporte comme sur du matériel.

3. Les VRF : plusieurs tables de routage dans un routeur

Une VRF (Virtual Routing and Forwarding) découpe un routeur en plusieurs routeurs logiques, chacun avec sa propre table de routage. Deux clients peuvent alors utiliser les mêmes adresses privées (10.0.0.0/24 chacun) sur le même équipement sans jamais se voir.

Usage	Exemple
Opérateurs	Une VRF par client sur les routeurs MPLS
Entreprise	Séparer le réseau d'administration du réseau de production
Datacenter	Isoler des environnements (production, recette)

! Cisco IOS
vrf definition CLIENT-A
 address-family ipv4
interface Gi0/2
 vrf forwarding CLIENT-A
 ip address 10.0.0.1 255.255.255.0
show ip route vrf CLIENT-A

Linux et FRRouting ont aussi des VRF (ip link add CLIENT-A type vrf table 10) ; le namespace réseau va plus loin encore, en isolant aussi les interfaces et le pare-feu.

4. Le réseau dans le cloud

Dans un cloud public, le réseau est un service qu'on décrit par API ou par code (Terraform, OpenTofu). Les noms changent, les principes restent :

Notion du cloud	Équivalent classique
VPC ou VNet : un réseau privé isolé, avec son bloc d'adresses (10.20.0.0/16)	Le réseau d'un site, une VRF
Sous-réseau (subnet), souvent un par zone de disponibilité	Un VLAN avec son sous-réseau IP
Table de routage associée aux sous-réseaux	La table de routage du routeur
Passerelle Internet et passerelle NAT	Le routeur de sortie et son NAT
Groupe de sécurité (security group)	Un pare-feu à état, attaché à chaque machine
Appairage (peering), VPN, liaison dédiée	Les liens WAN entre sites

Le découpage en sous-réseaux de la leçon 4 s'y applique tel quel : un /16 pour le VPC, un /24 par sous-réseau, sans chevauchement avec les réseaux de l'entreprise qu'on voudra relier un jour.

5. SDN : piloter le réseau par logiciel

Le SDN (Software-Defined Networking) sépare le plan de contrôle (décider des chemins) du plan de données (transmettre les paquets). Un contrôleur central programme les équipements par des API (southbound), et les outils d'automatisation pilotent le contrôleur par d'autres API, souvent REST (northbound). Le Wi-Fi d'entreprise (contrôleur et points d'accès), Cisco Catalyst Center ou les réseaux du cloud fonctionnent ainsi. La filière y reviendra avec l'automatisation : interroger des routeurs en JSON et les configurer par script.