Tables de routage et gateways : diriger le trafic réseau

Une machine dans le cloud ne décide pas elle-même par où sortir : c'est la table de routage attachée à son sous-réseau qui l'impose. Comprendre cette table, et les passerelles vers lesquelles elle pointe, c'est comprendre pourquoi un serveur « avec une adresse publique » reste parfois injoignable, et pourquoi une ligne de facture apparaît le mois où l'on a branché un accès Internet. Cette page reprend les notions de routage vues en local et les applique aux objets du cloud, avec un lab rejouable sans compte.

Ce que vous allez apprendre

Lire une table de routage cloud et prédire où part un paquet.
Distinguer la passerelle Internet de la passerelle NAT, qui ne font pas le même travail.
Rendre un sous-réseau public, et savoir exactement ce que cela change.
Chiffrer ce que coûte chaque type de sortie avant de la brancher.
Diagnostiquer les trois pannes de routage les plus fréquentes.

Prérequis

Les leçons sur l'adressage et le routage et sur le réseau privé et ses sous-réseaux.

La table de routage, version cloud

Dans le cloud, vous n'écrivez pas les routes dans les machines : vous les écrivez dans un objet que le fournisseur applique à tout un sous-réseau. La logique reste celle du réseau classique, la route la plus spécifique l'emporte, mais le point d'écriture change.

Une table de routage cloud contient toujours au moins une entrée, créée pour vous et non supprimable : la route locale, qui dit que les adresses du réseau privé se joignent directement, sans passerelle.

Destination	Cible	Ce que ça veut dire
`10.20.0.0/16`	local	Tout ce qui est dans mon réseau, je le joins sans intermédiaire
`0.0.0.0/0`	passerelle Internet	Tout le reste part vers Internet

Ces deux lignes suffisent à définir un sous-réseau public. Retirez la seconde, le sous-réseau devient privé. C'est aussi simple que cela, et c'est pour cette raison que « public » n'est pas une case à cocher mais une conséquence.

Devant une machine injoignable, ne commencez pas par le pare-feu. Posez les trois questions dans l'ordre, elles éliminent les causes de la plus fréquente à la plus rare.

La table de routage du sous-réseau contient-elle une route 0.0.0.0/0 ? Sans elle, rien ne sort ni n'entre, quelle que soit l'adresse publique.
La machine porte-t-elle réellement une adresse publique ? Une adresse allouée mais non attachée ne sert à rien et continue d'être facturée.
Le pare-feu autorise-t-il le port visé, dans le bon sens ?

Dans mon expérience, l'ordre des causes est presque toujours celui-là. On suspecte le pare-feu en premier parce qu'il est le plus visible, alors que la route manquante est plus fréquente et plus silencieuse : rien dans la console ne signale son absence.

Deux passerelles, deux métiers

La passerelle Internet et la passerelle NAT sont souvent confondues, alors qu'elles répondent à des besoins opposés. La première ouvre un chemin dans les deux sens, la seconde n'en ouvre qu'un, vers l'extérieur. Les mélanger produit soit une base de données joignable depuis Internet, soit une application incapable de télécharger ses mises à jour.

Une précision qui compte, et que ce cours tient d'un bout à l'autre : une passerelle Internet n'expose rien à elle seule, et le NAT n'est pas un dispositif de sécurité. La première ne fait qu'ouvrir un chemin, encore faut-il une adresse publique et une règle de pare-feu qui laisse passer. Le second empêche les connexions entrantes comme effet de son fonctionnement, pas comme politique : il ne filtre rien, ne journalise rien, et disparaît en IPv6 où les adresses ne manquent plus. Votre contrôle d'accès reste le pare-feu, jamais la traduction d'adresses.

	Passerelle Internet	Passerelle NAT
Sens du trafic	entrant et sortant	sortant uniquement
Adresse publique de la machine	obligatoire	inutile
Usage typique	répartiteur de charge, serveur de rebond	serveurs applicatifs, bases
Coût habituel	gratuit ou négligeable	facturé à l'heure et au gigaoctet

La passerelle Internet est un simple point de sortie du réseau. Elle n'effectue aucune traduction : la machine doit porter sa propre adresse publique, et le trafic peut circuler dans les deux sens. C'est ce qui rend un sous-réseau exposé.

La passerelle NAT effectue une traduction d'adresses, comme la box décrite dans la première leçon. Les machines gardent une adresse privée, sortent en empruntant l'adresse publique de la passerelle, et restent injoignables depuis l'extérieur. C'est le montage par défaut pour tout ce qui n'a pas besoin d'être exposé, c'est-à-dire l'écrasante majorité de vos serveurs.

Chez les hyperscalers, elle est facturée deux fois : un tarif horaire tant qu'elle existe, et un tarif au gigaoctet traité. Elle tourne en continu, y compris sur les environnements que personne n'utilise la nuit et le week-end.

Trois décisions font baisser cette facture sans rien dégrader :

Ne pas en mettre partout. Un environnement de test qui n'a besoin de sortir que pour installer des paquets peut se contenter d'un miroir interne, ou d'une passerelle allumée à la demande.
Court-circuiter le stockage objet. Le trafic vers le stockage du même fournisseur peut emprunter un point de terminaison privé, souvent gratuit, au lieu de traverser la passerelle. Sur une application qui écrit beaucoup, c'est le plus gros poste qui disparaît, et le mécanisme est détaillé dans exposer une application.
Compter les zones. Le schéma résilient demande une passerelle par zone de disponibilité : trois zones, trois passerelles, trois lignes.

Chez OUTSCALE, OVHcloud et Scaleway, le trafic sortant vers Internet est compris dans l'offre, ce qui change l'arbitrage. Les chiffres par fournisseur sont dans le coût du transfert sortant.

Le même montage, selon les fournisseurs

Le vocabulaire diffère, la logique non.

Une Internet Gateway s'attache au VPC, puis une route 0.0.0.0/0 la vise dans la table du sous-réseau à exposer. Une NAT Gateway vit dans un sous-réseau public et porte une adresse élastique ; les sous-réseaux privés la visent par leur propre route 0.0.0.0/0.

Une Internet Service s'attache au Net, puis une Route Table porte la route 0.0.0.0/0 vers elle. Le NAT Service joue le rôle de la passerelle NAT et se place dans un subnet public.

Le montage est différent et plus intégré : une Public Gateway s'attache à un réseau privé, avec deux options qui portent tout le sens. masquerade active la traduction d'adresses, donc la sortie ; push_default_route décide si la route par défaut est poussée aux machines du réseau.

Lab : brancher une sortie Internet, sans compte cloud

Ce lab poursuit celui de la leçon précédente sur l'émulateur feint. Vous allez créer une passerelle, l'attacher, et observer les deux options qui décident du comportement.

Reprendre l'environnement
Fenêtre de terminal
```
feint serve
```
Dans un second terminal :
Fenêtre de terminal
```
eval "$(feint env scaleway)"
```

Créer la passerelle publique

scw vpc-gw gateway create name=lab-nat type=VPC-GW-S

ID              e7d982c6-7e9d-4c61-9de8-e2516ddd62a1
Type            VPC-GW-S
Status          running
Name            lab-nat
BastionEnabled  false

Le champ Type désigne la taille de la passerelle, et c'est lui qui détermine le tarif horaire chez le vrai fournisseur.

L'attacher au réseau privé, avec traduction d'adresses

scw vpc-gw gateway-network create \
  gateway-id=<ID_PASSERELLE> \
  private-network-id=<ID_RESEAU_PRIVE> \
  enable-masquerade=true

ID                 98f8080e-e0b5-4a0a-a583-94dd4d0f7539
MacAddress         02:00:0a:14:02:02
MasqueradeEnabled  true
Status             ready
PushDefaultRoute   false
Zone               fr-par-1

Lire les deux champs qui comptent

MasqueradeEnabled: true signifie que la traduction d'adresses est active : les machines du réseau privé peuvent sortir en empruntant l'adresse de la passerelle.

PushDefaultRoute: false signifie que la route par défaut n'est pas distribuée aux machines. Autrement dit, la passerelle est prête, mais les machines ne savent pas encore qu'elles doivent passer par elle.

Ces deux champs répondent à deux questions distinctes, et beaucoup les confondent.

masquerade répond à « la passerelle sait-elle traduire ? ». push_default route répond à « les machines savent-elles qu'elle existe ? ».

Une passerelle avec masquerade activé et la route non poussée est un cas courant et déroutant : tout semble configuré côté fournisseur, et aucune machine ne sort. Le diagnostic passe par la machine elle-même, avec la commande de la première leçon :

ip route show

S'il n'y a pas de ligne default, le problème n'est pas la passerelle, c'est la distribution de la route.

Trois pannes de routage, et leur signature

Les pannes de routage se ressemblent toutes vue de l'application : « ça ne répond pas ». Les distinguer demande de regarder au bon endroit, et chacune a une signature reconnaissable.

Symptôme	Cause la plus probable	Vérification
La machine ne sort pas du tout, même vers une adresse IP	Pas de route `0.0.0.0/0`, ou route non poussée	`ip route show` sur la machine
La machine sort vers une adresse IP mais pas vers un nom	Le routage est bon, le DNS ne l'est pas	`dig` vers un nom, puis `ping` vers l'adresse obtenue
La machine sort, mais rien n'entre	Passerelle NAT au lieu de passerelle Internet, ou pas d'adresse publique	Nature de la passerelle, et adresse réellement attachée

La deuxième ligne mérite une seconde d'attention : une panne DNS ressemble exactement à une panne réseau pour qui regarde depuis l'application. Le test qui les sépare tient en deux commandes, et il évite de chercher une heure du mauvais côté.

À retenir

La table de routage s'attache au sous-réseau, pas à la machine. C'est là que se décide la sortie.
La route locale est créée et non supprimable : les adresses du réseau se joignent toujours directement.
Un sous-réseau est public parce qu'une route 0.0.0.0/0 vise une passerelle Internet. Retirez la route, il redevient privé.
La passerelle Internet ouvre les deux sens, la NAT le sens sortant seulement. Aucune des deux n'est un contrôle de sécurité : c'est le pare-feu qui filtre.
La passerelle NAT se facture à l'heure et au gigaoctet, par zone. C'est un vrai poste, pas un détail.
Le trafic vers le stockage objet du même fournisseur peut éviter la passerelle par un point de terminaison privé, souvent gratuit.
Devant une machine injoignable, vérifiez la route avant le pare-feu. C'est la cause la plus fréquente et la plus silencieuse.

Prochaines étapes

Sécurité réseau : groupes et listes de contrôle La troisième condition pour être joignable : le filtrage.

Connectivité hybride : VPN et interconnexion Relier ce réseau à un datacenter ou à un autre cloud.

Le coût du transfert sortant Chiffrer les sorties avant de les brancher.

Pratiquer sans compte cloud Rejouer ce lab autant de fois que nécessaire, sans facture.