Marquage du trafic réseau : qu'est-ce que c'est, comment ça marche et quelles sont les différentes classes

Pour garantir le bon fonctionnement du réseau et offrir un service de haute qualité aux utilisateurs, on utilise la classification du trafic.

Qu’est-ce que la classification du trafic et pourquoi un opérateur en a-t-il besoin ?

La classification du trafic consiste à « marquer » tous les paquets qui transitent par le réseau et à déterminer lesquels sont les plus importants et lesquels peuvent être reportés. Ce mécanisme permet à l’opérateur de voir quelles données transitent par le réseau et de les gérer en fonction de leur priorité. Cela est particulièrement important aux heures de pointe : les routeurs transmettent plus rapidement les paquets provenant d’applications critiques, ce qui réduit la perte de paquets et la gigue, tandis que le trafic moins important est temporairement restreint. Sans cette approche, tout le trafic serait traité de manière égale et, par exemple, un appel Zoom pourrait être ralenti parce que quelqu’un télécharge un torrent.

Une autre tâche essentielle consiste à garantir la qualité de service (QoS). Grâce à la classification, les opérateurs peuvent augmenter la priorité des services critiques tout en réduisant celle du trafic en arrière-plan, comme les téléchargements de fichiers volumineux ou le P2P.

Options de gestion de la qualité de service sur un canal commun :

1. Limitation fixe de la bande passante pour un groupe de protocoles
   Dans ce scénario, une partie fixe du canal est allouée à certaines classes de trafic afin que les services prioritaires disposent toujours d’une bande passante suffisante. Par exemple, vous pouvez définir une règle selon laquelle les torrents n’occupent pas plus de 20 % du canal, libérant ainsi des ressources pour le HTTPS ou le streaming vidéo.
   
2. Contrôle des pics de charge avec déplacement du trafic à faible priorité
   Lorsque le trafic total approche de la limite, le périphérique réseau commence à supprimer ou à retarder les paquets des classes à faible priorité afin de garantir le fonctionnement stable des applications critiques. Cette méthode « lisse » les pics et permet de fixer la limite supérieure à 10-15 % en dessous de la bande passante nominale du canal, sans que les utilisateurs ne remarquent pratiquement aucune restriction.

Quels sont les différents types de classification du trafic ?

Il existe différentes approches pour déterminer comment un réseau doit traiter un paquet de données spécifique.

L’une d’entre elles consiste à classer les paquets en fonction des champs d’en-tête. Des mécanismes tels que CoS (Class of Service) pour les en-têtes VLAN et DSCP (Differentiated Services Code Point) pour les en-têtes IP sont utilisés à cet effet. Les commutateurs et les routeurs analysent les champs de service dans les en-têtes de trames et de paquets et utilisent ces données pour décider comment traiter le trafic. En termes plus simples, DSCP est un système de « balises de couleur » conditionnelles pour les paquets que tous les périphériques réseau comprennent.

Dans le cas du CoS, la priorité est définie par trois bits dans une trame Ethernet. Ils permettent de distinguer huit niveaux, du trafic le plus courant aux messages de contrôle du protocole de routage.

Le DSCP utilise six bits dans l’en-tête IP et offre 64 valeurs de priorité possibles. Cette technologie est considérée comme plus avancée et est la plus couramment utilisée aujourd’hui. Elle est également appelée DiffServ, et nous verrons plus en détail son fonctionnement ci-dessous.

Le DPI permet de classer le trafic par signatures. Les signatures sont un ensemble de caractéristiques qui peuvent être utilisées pour reconnaître un service ou une application spécifique. Il peut s’agir d’une séquence unique d’octets, d’une chaîne dans un protocole, d’un port, d’un nom de domaine dans TLS/SNI, ou même d’adresses IP source et destination spécifiques. En substance, le périphérique « examine l’intérieur » du paquet et le compare à une base de règles pour comprendre quelle application l’a envoyé.

La principale technologie de classification : DiffServ

DiffServ est la méthode la plus flexible et la plus évolutive pour garantir la qualité de service (RFC 2474 et RFC 2475). Son principe repose sur l’attribution d’une étiquette DSCP à chaque paquet, que tous les périphériques réseau rencontrés en chemin examinent afin de décider s’il convient d’accélérer, de retarder ou même de rejeter le paquet.

Le concept clé ici est le comportement par saut (Per-Hop Behavior, PHB) : chaque périphérique du réseau classe indépendamment les paquets entrants et leur applique des politiques en fonction de la valeur DSCP dans l’en-tête IP. En gros, le PHB spécifie ce qu’il faut faire avec un paquet au niveau des nœuds du réseau : le transférer en priorité, le retarder, le supprimer, etc.

Chaque nœud suit les mêmes règles qui associent les valeurs DSCP aux classes de trafic (ceci afin de maintenir la cohérence du réseau). Des marquages spéciaux sont utilisés à cette fin : la valeur de priorité est inscrite dans les champs IP, MPLS et 802.1q de l’en-tête du paquet. Les nœuds suivants peuvent utiliser cette étiquette afin de ne pas avoir à réanalyser le contenu du paquet.

Selon les normes RFC, il existe quatre modèles PHB dans DiffServ :

1. Default/Best Effort (BE). Comme son nom l’indique, le dispositif fera de son mieux pour transmettre le paquet, mais ne fournit aucune garantie, car tout le trafic est traité de manière uniforme sans priorisation. Pour cette classe, la valeur DSCP est définie sur 000000. Ce mécanisme s’applique également à tous les paquets qui n’ont pas été classés. Il existe une variante de ce PHB, appelée Lower Effort, qui n’est pas normalisée et peut être utilisée pour le trafic dont la priorité est encore plus faible que celle du Best Effort.
2. Class Selector (CS). Ce modèle est responsable de la hiérarchisation basée sur les classes. Les paquets de classe supérieure doivent être traités et transmis avec moins de retard que les paquets de classe inférieure. Le niveau de priorité est déterminé par les trois bits les plus significatifs du code DSCP. Il existe huit classes au total (de CS0 à CS7). Dans le même temps, les bits 2 à 4 sont définis sur 0.
3. Assured Forwarding (AF). Ce modèle implémente toutes les fonctionnalités du DSCP. Il permet d’attribuer une classe de service de trafic et de déterminer la probabilité de rejet de paquets au sein de celle-ci, par exemple lorsque le canal est surchargé. La structure du code DSCP pour l’AF est aaa dd 0, où :
   • aaa est le numéro de classe (AF1, AF2, AF3, AF4) ;
   • dd est la probabilité de rejet.

   Le modèle est adapté au streaming et à la communication vidéo (RFC 2597).

4. Expedited Forwarding (EF). Désigné par le code DSCP 101110. Ces paquets bénéficient de la priorité la plus élevée, de la file d’attente la plus courte et leur probabilité de perte est minime. Il s’agit essentiellement d’un modèle de transfert d’urgence pour le trafic critique en termes de retards, de gigue et de pertes. Il est souvent utilisé pour les communications vocales, la VoIP et l’accès à distance (RFC 2598).

Classification du trafic dans Stingray DPI

Dans la solution Stingray DPI, l’opérateur peut non seulement distribuer les paquets par classes de trafic, mais aussi gérer de manière flexible les vitesses de sessions spécifiques. À cette fin, un service distinct de contrôle des sessions est fourni : il permet de définir la vitesse d’une connexion spécifique, ainsi que de remplacer les classes de trafic. La configuration s’effectue à l’aide d’un fichier décrivant les classes, dans lequel chaque paquet se voit attribuer une valeur DSCP. L’étiquette peut être spécifiée dans différents formats : numérique (décimal, hexadécimal ou octal) ou à l’aide d’une abréviation textuelle.

De plus, toute la logique de fonctionnement s’articule autour de deux scénarios de marquage :

1. Sans marquage : le trafic est classé uniquement à l’intérieur de l’appareil, mais conserve ses étiquettes d’origine à la sortie. Huit classes sont utilisées à cet effet.
2. Avec marquage : les paquets reçoivent de nouvelles valeurs DSCP à la sortie, qui sont spécifiées dans les paramètres. Les 64 classes peuvent être utilisées ici.

Prenons un exemple de hiérarchisation basée sur l’en-tête IP. Pour le DSCP, 8 bits sont alloués (2 sont réservés), ce qui laisse 6 bits actifs, soit 64 combinaisons possibles. Dans un schéma simplifié, seuls les 3 bits les plus significatifs sont souvent utilisés, soit un total de 8 classes (de CS0 à CS7). Des protocoles et services spécifiques peuvent être attribués à chaque classe. Par exemple :

En combinant ces classes, les opérateurs peuvent élaborer des plans tarifaires pour différents scénarios. Pour les joueurs, il existe un profil avec priorité ICMP, tandis que pour les clients professionnels, l’accent est mis sur les messageries instantanées et la VoIP.

En résumé

La classification du trafic est le fondement sur lequel repose le fonctionnement prévisible et gérable du réseau. Dans Stingray, elle est mise en œuvre grâce au marquage des paquets, à l’utilisation du DSCP, à des classes de services flexibles et à la police. Tout cela permet à l’opérateur d’ajuster les priorités et les vitesses pour des scénarios spécifiques : qu’il s’agisse de paquets premium pour les gamers, de profils stables pour les clients professionnels ou de la protection des canaux contre la surcharge due aux téléchargements en arrière-plan.

Cette approche contribue non seulement à améliorer la qualité des services pour les utilisateurs, mais aussi à utiliser plus efficacement les ressources du réseau. L’opérateur dispose ainsi d’un outil qui améliore l’expérience client tout en réduisant les coûts de développement de l’infrastructure.