Qu'est-ce qu'une interface virtuelle de tunnel (TVI) ?

Une interface virtuelle de tunnel (TVI) est une interface VOS logique, dont le nom commence par le préfixe « tvi- », qui sert de point de terminaison à un tunnel (tel qu’IPsec, GRE, VXLAN ou un chemin de superposition SD-WAN), plutôt qu’un port physique. Les modèles de workflow les créent automatiquement et leur attribuent un numéro par locataire pour les tunnels du plan de contrôle vers les contrôleurs et les tunnels du plan de données entre les périphériques SD-WAN.

Points clés à retenir

• Un TVI est une interface logique qui marque la fin d'un tunnel, et non un port.
• Les TVI utilisent le préfixe « tvi- » et sont numérotés par organisation locataire.
• Les modèles de workflow créent automatiquement des TVI et leur attribuent des adresses IP par défaut.
• Les interfaces TVI prennent en charge les sous-réseaux /31 et peuvent être réadressées pour éviter les conflits d'adresses.
• Les TVI appariés relient les zones de microsegmentation aux routeurs virtuels.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · TVI et Versa · FAQ

Pourquoi le TVI est-il important ?

Chaque réseau superposé SD-WAN et chaque VPN site à site a besoin d’un point vers lequel acheminer le trafic depuis et vers le tunnel une fois celui-ci établi : une interface vers laquelle une table de routage peut pointer, à laquelle une zone de pare-feu peut être associée, et que peut atteindre une route statique ou une session BGP. Une TVI constitue ce point d’association sur un périphérique VOS : sans elle, un tunnel n’est qu’un chemin chiffré qui n’occupe aucune place dans la logique de transfert du périphérique.

Les TVI étant de nature logique plutôt que physique, un dispositif VOS peut prendre en charge autant de tunnels que le permettent ses politiques et ses licences, quel que soit le nombre de ses ports physiques. C’est ce qui permet à un seul périphérique de succursale de maintenir simultanément une accessibilité résiliente à deux contrôleurs, plusieurs tunnels de site à site vers différents hubs et des chemins de microsegmentation vers une passerelle SASE : chaque tunnel dispose de son propre TVI, de sa propre adresse et de sa propre place dans le routage et la politique de zone.

Qu'est-ce qu'un TVI ?

Une interface TVI représente l'une des extrémités d'un tunnel sur un périphérique VOS. Elle se comporte comme n’importe quelle autre interface de couche 3 en matière de routage et de politiques : elle peut appartenir à un routeur virtuel, transporter une route statique ou apprise via BGP, se trouver dans une zone de sécurité ; mais au lieu d’un câble physique, sa « liaison » est le tunnel lui-même : IPsec, GRE, VXLAN ou un chemin de plan de données SD-WAN vers un autre périphérique VOS.

Les TVI sont désignés par un tvi-<slot>/<number> une convention, par exemple tvi-0/101 ou tvi-15/100. La numérotation s'applique au niveau de chaque organisation locataire, et l'emplacement spécifique utilisé (tvi-0 contre tvi-15) et les plages de numéros varient selon le modèle de déploiement : les interfaces générées à partir de modèles de workflow se réservent leurs propres plages, ce qui permet aux TVI configurées manuellement d'éviter tout conflit avec celles-ci.

Types d'adressage TVI

La plupart des TVI obtiennent leur adresse IP automatiquement. Lorsque les modèles de workflow configurent IPsec pour un périphérique de succursale, Versa Director attribue automatiquement des adresses issues de la plage 169.254.0.0/24 et crée la paire de TVI aux deux extrémités du tunnel ; aucune étape d'adressage manuel n'est donc nécessaire dans le cas de figure habituel.

Les TVI manuelles et réadressées sont importantes dans deux cas de figure. Premièrement, comme cette plage par défaut se trouve dans le VRF LAN du locataire, elle doit rester unique au sein de l’organisation ; si deux succursales ou deux tunnels site à site aboutissent sur la même passerelle VOS avec des adresses TVI qui se chevauchent, la passerelle rejette la configuration et les TVI doivent être réadressées – Versa prend en charge les sous-réseaux /31 à cet effet, ce qui permet de maintenir l’espace d’adressage de chaque tunnel au minimum. Deuxièmement, certaines architectures associent délibérément deux TVI : l’une se connecte à un réseau LAN, tandis que la seconde se connecte au routeur virtuel utilisé pour détecter les réseaux de confiance ; les deux sont ajoutées conjointement au LAN-VR du locataire et aux zones orientées client – ce modèle sert à acheminer le trafic à accès sécurisé via un portail captif à des fins de microsegmentation.

TVI & Versa

Les TVI apparaissent partout où un périphérique VOS termine un tunnel. Dans Intégration entre le SD-WAN et le hub SSE, Les passerelles gérées par Concerto (VCG) se voient attribuer par défaut une numérotation TVI lors de la configuration des tunnels de site à site, tandis que le client gère la numérotation TVI sur le concentrateur SSE côté Director – généralement dans le tvi-15/<number> plage, jusqu'à tvi-15/19999 – et établit directement des liaisons EBGP entre les adresses IP TVI afin de créer des chemins de trafic en mode actif-veille ou actif-actif.

Dans Secure SD-WAN intégration avec SSE d'Versa, la configuration IPsec d'un périphérique de succursale vers un VCG crée un tvi-0/<number> interface dotée d'une adresse 169.254.0.x attribuée automatiquement ; lorsque cette plage par défaut entre en conflit avec une adresse existante au sein de l'organisation, la succursale et ses routes statiques doivent être réadressées ensemble. Dans Microsegmentation basée sur l'EIP pour le SD-LAN, des TVI appariées relient un réseau LAN orienté client et son routeur virtuel de détection de réseau de confiance à une passerelle SASE , le chemin étant complété par une route statique transitant par la TVI appariée.

Questions fréquentes

Que signifie le préfixe « tvi- » dans le nom d'une interface ?

Cela permet de définir l'interface comme une interface virtuelle de tunnel, c'est-à-dire un point d'extrémité logique pour un tunnel plutôt qu'un port physique. Le nombre qui suit la barre oblique, tel que tvi-0/101, permet de distinguer plusieurs TVI sur un même appareil et s'applique à chaque locataire.

Un TVI nécessite-t-il une configuration manuelle de l'adresse IP ?

En général, non. Les modèles de workflow attribuent automatiquement des adresses TVI, généralement issues de la plage 169.254.0.0/24, lorsqu’ils configurent IPsec pour une succursale ou une passerelle. L’attribution ou la réattribution manuelle d’adresses est principalement nécessaire pour résoudre les conflits lorsque cette plage par défaut est déjà utilisée ailleurs au sein de l’entreprise.

Pourquoi faudrait-il réattribuer une adresse à deux interfaces TVI ?

Les adresses TVI doivent être uniques au sein du VRF LAN du locataire. Si deux succursales, ou deux tunnels site à site aboutissant à la même passerelle, se voient attribuer automatiquement la même plage par défaut, la passerelle rejette la configuration en double ; les TVI en conflit doivent donc être déplacées vers une autre plage d'adresses unique.

Qu'est-ce qu'une interface TVI appariée ?

Une configuration TVI en paire utilise deux TVI : l'un relie un réseau LAN à un routeur virtuel, tandis que l'autre relie ce routeur virtuel à un chemin de détection de réseau de confiance. Les deux sont ajoutés au LAN-VR du locataire ainsi qu'aux zones concernées, un modèle utilisé pour le routage à accès sécurisé microsegmenté.

Un TVI peut-il acheminer à la fois le protocole BGP et des routes statiques ?

Oui. Une TVI est une interface de couche 3 routable ; elle peut donc acheminer une route statique vers un saut suivant via le tunnel, ou établir une connexion entre pairs via EBGP en utilisant sa propre adresse IP comme adresse de voisin – ce qui correspond au modèle utilisé pour le routage dynamique entre les passerelles SD-WAN et les hubs SSE.

En savoir plus sur les TVI

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux TVI, voici quelques liens qui pourraient vous intéresser.