Qu'est-ce qu'une interface de gestion ?

Une interface de gestion est une interface réseau dédiée – physique ou virtuelle – qu'un périphérique utilise à des fins d'accès administratif et de surveillance, distincte des interfaces acheminant le trafic de production. Elle prend généralement en charge les protocoles SSH, SNMP et autres protocoles similaires, et reste accessible même en cas d'interruption du trafic au niveau du plan de données.

Points clés à retenir

• Les interfaces de gestion séparent l'accès administratif du trafic de production.
• Les architectures « hors bande » restent accessibles même en cas de défaillance du plan de données.
• Les protocoles de gestion courants comprennent l'accès via SSH, SNMP, HTTPS et Telnet.
• Les appareils VOS mettent à disposition une interface préfixée par « eth » pour l'accès SSH et SNMP.
• L'isolation du trafic de gestion réduit la surface d'attaque sur les réseaux de production.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Interfaces de gestion et Versa · FAQ

Pourquoi une interface d'administration est-elle importante ?

Tout périphérique en réseau doit permettre à un administrateur de se connecter, de vérifier son état et d’appliquer des modifications de configuration. Si cet accès emprunte les mêmes interfaces que le trafic utilisateur, deux problèmes en découlent : une faille de sécurité, car toute personne ayant accès au plan de données peut potentiellement accéder à des protocoles tels que SSH ou SNMP ; et un problème de disponibilité, car une panne du plan de données (mauvaise configuration, défaillance d’une liaison, saturation du trafic) entraîne la perte de l’accès de l’administrateur lui-même.

Une interface de gestion dédiée résout ces deux problèmes. L'isolation du trafic administratif sur un port, un VLAN ou une adresse IP distincts permet de garantir l'accessibilité de la surveillance indépendamment du trafic de production, et offre aux administrateurs la possibilité de restreindre l'accès aux protocoles de gestion à certains réseaux uniquement. C'est pourquoi la plupart des équipements d'entreprise sont équipés d'un port de gestion distinct, et pourquoi les recommandations de sécurité préconisent d'isoler le trafic de gestion sur un réseau hors bande dédié.

Qu'est-ce qu'une interface d'administration ?

Une interface de gestion désigne toute interface (port physique, port virtuel ou point d'extrémité défini par logiciel) qu'un périphérique réserve à l'accès administratif plutôt qu'au transfert du trafic utilisateur. Elle dispose généralement de sa propre adresse IP et, souvent, de son propre VLAN, ce qui permet de séparer les sessions de gestion du plan de données.

Les interfaces de gestion prennent généralement en charge les protocoles conçus pour l'administration des périphériques : SSH et Telnet pour l'accès en ligne de commande, HTTPS pour les consoles Web, et SNMP pour l'interrogation de l'état et la configuration par les systèmes de gestion. Certains périphériques utilisent également cette interface pour se connecter à l'infrastructure de soutien : serveurs NTP, syslog, RADIUS/TACACS+ et DNS.

Ce qui la caractérise, ce n'est pas le support physique, mais sa finalité : une interface est considérée comme une interface de gestion lorsque sa fonction consiste à permettre l'administration d'un périphérique, indépendamment des interfaces chargées du transfert proprement dit.

Types d'interfaces de gestion

Les interfaces de gestion se répartissent généralement en quelques modèles. La gestion « hors bande » (OOB) utilise un port physiquement distinct doté de sa propre adresse – le port Ethernet dédié classique que l’on trouve sur la plupart des routeurs et commutateurs – de sorte que l’accès reste assuré même en cas de panne totale du plan de données. La gestion « en bande » réutilise un port de données standard pour le trafic administratif, restreint par des listes de contrôle d’accès (ACL) ou un VLAN dédié ; cette solution est moins coûteuse en termes de câblage, mais elle partage le sort du plan de données qu’elle surveille. Les interfaces de gestion virtuelles n’existent qu’au niveau logiciel – sous la forme d’une sous-interface marquée par un VLAN ou d’une structure de type « loopback » – superposées à du matériel partagé afin de séparer le trafic de gestion sans recourir à un port dédié. Les interfaces de gestion hébergées dans le cloud, telles que le portail web d’un fournisseur, délocalisent l’interface hors du périphérique, celle-ci étant alors accessible via Internet.

Interfaces de gestion & Versa

Sur les appareils équipés du système d’exploitation « Versa » (VOS), l’interface de gestion est une interface hors bande, dont le nom commence par le préfixe « eth », utilisée pour se connecter via SSH et effectuer des opérations SNMP indépendamment du trafic de données – elle se distingue ainsi des interfaces VNI qui acheminent le trafic WAN et LAN. Lors de l’activation de l’appareil, un administrateur effectuant un débogage du provisionnement sans intervention (ZTP) basé sur une URL vérifie qu’un port est bien configuré en tant qu’interface eth0 avant d’atteindre le nœud contrôleur de transit.

Versa étend cette même séparation aux commutateurs SD-LAN. La configuration d’une interface de gestion de commutateur sur un périphérique SD-WAN de succursale offre aux commutateurs SD-LAN un chemin dédié – via un VLAN natif (4091 par défaut) et une instance de routage Switch-Management-VR – vers le nœud contrôleur, sans entrer en concurrence avec le trafic de production. Ces mêmes modèles de workflow permettent d’accéder aux serveurs globaux tels que NTP, syslog, RADIUS et DNS via les contrôleurs ou via l’interface de gestion.

Questions fréquentes

Quelle est la différence entre la gestion « in-band » et la gestion « out-of-band » ?

La gestion « in-band » utilise les ports de données standard de l'appareil pour le trafic administratif, généralement isolés à l'aide de listes de contrôle d'accès (ACL) ou d'un VLAN. La gestion « out-of-band » utilise un port et une adresse physiquement distincts, ce qui permet aux administrateurs d'accéder à l'appareil pour le dépannage même en cas de défaillance du plan de données.

Pourquoi les interfaces de gestion doivent-elles disposer de leur propre adresse IP ?

Une adresse IP distincte permet aux administrateurs d'acheminer le trafic de gestion via un chemin séparé – souvent un VLAN différent – et d'appliquer des règles de pare-feu qui n'autorisent les protocoles tels que SSH et SNMP qu'à partir de réseaux de gestion de confiance, plutôt que depuis n'importe quel point d'adressage du plan de données accessible.

Quels protocoles fonctionnent sur une interface de gestion ?

Le plus souvent, SSH et Telnet sont utilisés pour l'accès via l'interface en ligne de commande (CLI), HTTPS pour les consoles Web, et SNMP pour la surveillance et la configuration. Les appareils utilisent également souvent cette interface pour se connecter à des serveurs NTP, DNS, syslog, RADIUS, TACACS+ et LDAP, ce qui permet d'éviter que le trafic de support n'encombre les liaisons de production.

Une interface de bouclage est-elle la même chose qu'une interface de gestion ?

Non. Une interface de bouclage est virtuelle ; elle est toujours opérationnelle, quel que soit l'état de la liaison physique, et sert généralement d'adresse stable pour les protocoles de routage. Une interface de gestion se définit par sa fonction – l'accès administratif – et peut être physique, basée sur un VLAN ou de type bouclage.

Versa utilise-t-il une interface d'administration dédiée sur ses appareils ?

Oui. Les appareils VOS mettent à disposition une interface de gestion préfixée par « eth » pour la connexion SSH et le protocole SNMP, distincte des interfaces VNI qui acheminent les données WAN et LAN. Les commutateurs SD-LAN disposent d’un chemin d’accès équivalent – une interface de gestion du commutateur – vers le nœud contrôleur, indépendant du trafic de production.

En savoir plus sur les interfaces de gestion

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux interfaces de gestion, celles-ci méritent que vous y jetiez un œil.