ASTRA 13040 Réseau IP EES (2017 V1.30)
Avant-propos
Les équipements d’exploitation et de sécurité (EES) sont essentiels à la sécurité dans les tunnels et sur les sections à ciel ouvert du réseau des routes nationales suisses.
Pour pouvoir utiliser et exploiter efficacement les installations concernées, il est nécessaire de disposer d’une infrastructure de communication homogène, performante et hautement disponible.
La présente directive décrit une infrastructure de communication uniforme sur l’ensemble de la Suisse pour les EES.
L’infrastructure mentionnée constitue une base solide et homogène, qui permet à l’OFROU non seulement de développer les EES, mais aussi de réaliser de nouvelles solutions en matière de gestion du trafic ou de mise en réseau des véhicules avec l’infrastructure.
Jürg Röthlisberger Directeur
1 Introduction
1.1 But du document
La présente directive vise à standardiser la création de l’infrastructure de communication pour les EES des routes nationales et à la fonder sur des bases modernes, orientées vers l’avenir.
Elle décrit l’architecture réseau visée pour la dorsale (Backbone) nationale et les infrastructures de communication locales dans les unités territoriales (UT), y compris les interfaces avec les centres de calcul EES (RZ), la VMZ-CH, d’autres UT, les services de base (BD), les réseaux des cantons et de la Confédération, les réseaux de partenaires (par ex. Swisscom), et d’autres réseaux tiers comme Internet.
Le document présente aussi les exigences posées aux équipements réseau et aux services à utiliser dans le réseau IP EES. Les technologies et les protocoles de réseau à utiliser constituent à cet égard la base.
Il prévoit par ailleurs la standardisation de l’adressage IP, l’utilisation de systèmes d’assistance pour la gestion des adresses IP, la configuration de services DNS et DHCP, la sécurité réseau (« network security ») et les exigences en matière de gestion du réseau pour la mise en œuvre et l’exploitation du réseau IP EES.
Le dernier chapitre est consacré aux dispositions et aux exigences opérationnelles.
1.2 Champ d’application
La présente directive s’applique en principe à tous les réseaux de communication pour EES, en particulier dans les cas suivants :
remplacement ou renouvellement de l’ensemble du réseau de communication pour EES d’une UT arrivé en fin de vie ;
renouvellement partiel (ou migration sur IPv6, remplacement du système de gestion de réseau [NMS]) de l’ensemble du réseau de communication pour EES d’une UT ;
développement ou renouvellement d’une partie du réseau de communication pour EES d’une UT (par ex. pour une section), si un investissement préalable paraît judicieux et raisonnable du point de vue économique.
Le réseau IP EES remplace tous les réseaux locaux de communication existant des unités territoriales dans le domaine des EES.
1.3 Destinataires
La présente directive s’adresse aux :
spécialistes de l’OFROU ;
spécialistes des UT ;
bureaux d’ingénieurs et entreprises qui effectuent, à la demande de l’OFROU, des tâches sur les infrastructures de communication pour les EES.
1.4 Entrée en vigueur et modifications
La présente directive entre en vigueur le 07.12.2017. La « liste des modifications » se trouve à la page 44.
2 Architecture de référence
2.1 Définitions
Réseau IP EES VMZ-CH RZ EES B
RZ EES A
Réseau IP EES Backbone
Réseau IP EES BD B Réseau IP EES Réseau IP EES UT BD A
Section IP Section IP Section IP Section IP
Fig. 2.1 Terminologie du réseau IP EES
L’infrastructure de communication pour les EES d’une unité territoriale est appelée « réseau IP EES UT ».
Par « Section IP », on entend un sous-réseau local du réseau IP EES dans une UT, qui fonctionne de manière autonome. C'est-à-dire que dans une section IP, la communication locale entre les installations est assurée.
Le réseau de communication « réseau IP EES VMZ-CH » de la centrale suisse de gestion du trafic est traité de la même manière que le réseau IP EES UT.
Le « réseau IP EES Backbone » est l’infrastructure de communication qui relie les réseaux IP EES UT, les services de base (BD A/B), VMZ-CH (y c. niveau de gestion) et les centres de calcul EES.
On appelle « réseau IP EES » l’ensemble formé par les réseaux IP EES UT, le réseau IP EES VMZ-CH, les réseaux IP EES BD et le réseau IP EES Backbone.
Le niveau d’accès des centres de calcul EES (EES RZ LAN) n’appartient pas au réseau IP EES.
2.2 Délimitation
Le réseau IP EES est conçu comme un réseau de communication OT 1 et utilise le réseau IP EES Backbone. Cette dorsale complète l’offre actuelle de l’administration fédérale en matière de communication (« réseau AF ») par une connexion nationale OT adéquate ; elle est totalement séparée du réseau existant de l’administration fédérale, même si elle assure parfois le raccordement avec les mêmes sites de l’OFROU.
Réseau IP EES Réseau IP EES UT VMZ-CH
Réseau IP EES Réseau IP EES UT Backbone
Réseau AF
Réseau IP EES UT
Réseau IP EES UT Sites du réseau Réseau IP EES BD fédéral des UT
Fig. 2.2 Séparation stricte du réseau IP EES (en vert) et du réseau AF (en bleu)
Le présent document traite exclusivement de la solution globale que constitue le réseau IP EES.
2.3 Délimitation par rapport à la fibre optique (FO)
La présente directive ne décrit pas l’organisation du réseau de FO de l’OFROU, mais elle se fonde, pour la configuration de l’architecture réseau, sur les hypothèses ci-après à ce sujet :
il y a suffisamment de câbles à FO ou de fibres pouvant être utilisés par le réseau IP EES le long des routes nationales ;
de même, il y a suffisamment de câbles à FO libres entre les routes nationales et les sites de l’OFROU nécessaires (par ex. centres d’entretien, centrales de gestion) ;
l’infrastructure des câbles à FO de l’OFROU satisfait certaines exigences qualitatives minimales, par ex. s’agissant du matériel et de la construction, de sorte qu’aucune limitation ne doit être imposée à l’architecture réseau du réseau IP EES.
La directive ASTRA 13022 [6] comporte de plus amples informations sur les installations câblées à FO de l’OFROU.
Les systèmes OT (Operational Technology) ou SCADA (« Supervisory Control and Data Acquisition »), ICS ou DCS (« Industrial » ou « Distributed Control Systems ») sont des systèmes informatiques interconnectés (systèmes de gestion) affectés à la surveillance, au pilotage et à l’optimisation d’installations industrielles.
2.4 Principes et aperçu
Une disponibilité élevée et une protection fiable (Security) sont des exigences centrales pour la définition de l'architecture du réseau IP EES. Les règles de base suivantes en découlent pour l'architecture :
La conception est entièrement redondante au niveau de l'équipement et des liaisons par FO et ne présente aucun composant constituant un point unique de défaillance (« single point of failure ») : ○ une défaillance isolée (par exemple un élément de réseau défectueux ou une coupure d’une fibre optique) ne doit pas entraîner une panne de l'ensemble du réseau IP EES UT ; ○ une défaillance isolée ne doit pas entraîner la défaillance de toute une section IP ; ○ une défaillance isolée entraîne tout au plus une perte de redondance dans le réseau ; ○ une défaillance isolée ne doit pas entraîner une défaillance des applications/équipements connectés de manière redondante dans au niveau d'accès.
une défaillance isolée d'un commutateur d'accès peut entraîner une défaillance des applications/équipements qui sont connectés sans redondance à ce commutateur, comme par exemple les caméras ;
deux défaillances indépendantes peuvent entraîner une interruption de service.
• le réseau lui-même doit présenter un haut degré de résilience en raison de sa structure et de sa topologie. La topologie des fibres optiques doit être prise en compte et adaptée afin de permettre la création ou l'utilisation de redondances.
Le réseau de communication IP EES recouvre l’ensemble de la Suisse et dessert l’ensemble des sites d’infrastructure, des centrales de gestion et des centres de calcul de l’OFROU. Il est structuré comme suit :
Réseau IP EES VMZ-CH Réseau IP EES Backbone
Réseau IP EES UT x Réseau IP EES Police BD A/B DMZ
Tiers
Pare-feu Fournisseur
Fig. 2.3 Structure du réseau IP EES
Les réseaux IP EES UT sont des réseaux autonomes qui desservent exclusivement les EES des routes nationales situés sur le territoire relevant de la compétence de l’UT correspondante.
Le réseau IP EES UT est divisé en différentes sections IP. Ces sections IP assurent la communication locale entre les installations de la section IP et fonctionnent de manière largement autonome.
Les sections IP sont reliées entre elles par les anneaux de raccordement des UT respectives et forment ainsi chacune un réseau IP EES UT.
Le réseau IP EES Backbone assure la liaison entre les réseaux IP EES UT, les services de base (BD), la VMZ-CH, les RZ EES et les réseaux IP EES d'autres UT.
Afin que l'unité territoriale puisse garantir le fonctionnement sûr ses installations, chaque réseau IP EES UT est séparé du réseau IP EES Backbone par un pare-feu.
Toutes les autres interconexion des réseaux IP EES UT vers les partenaires existants (police, fournisseurs, services de prestataires de services) doivent en principe passer par la DMZ des services de base dans le réseau IP EES BD A/B 2.
Certaines ressources de réseau de la Confédération sont accessibles et utilisables via le réseau IP EES Backbone. Le réseau IP EES Backbone doit également être séparé des autres réseaux de la Confédération par des pare-feux/zones de transit.
Au sein des centres de calcul EES, les zones de réseau pour les applications EES doivent également être séparées des autres zones du centre de calcul par des pare-feux/zones de transit.
2.5 Anneaux de raccordement du réseau IP EES UT
Le réseau IP EES UT se compose des anneaux de raccordement et des niveaux d'accès correspondants, appelées sections IP, auxquelles sont raccordés les EES compatibles IP. Les anneaux de raccordement constituent la couche centrale d'un réseau IP EES UT. Les sections IP constituent la couche d'accès ; on renonce à une couche d'agrégation ou de distribution supplémentaire.
Une connexion au-delà d'une section IP se fait exclusivement via les anneaux de raccordement.
Les anneaux de raccordement et les niveaux d'accès sont réalisés avec des composants actifs distincts. Alors que les composants actifs du niveau d'accès sont affectés à une section IP individuelle et fournissent la connexion réseau pour les équipements terminaux, les composants actifs des anneaux de raccordement rassemblent les cascades de commutateurs d'accès et assurent la communication de niveau supérieur. Aucun équipement terminal ne doit être connecté aux composants des anneaux de raccordement.
Les deux côtés des cascades se terminent sur des routeurs. Géographiquement, leurs emplacements ne doivent pas nécessairement se trouver au début et à la fin d'une section IP, mais seulement être séparés (p. ex. centrale principale et centrale secondaire, locaux séparés ou compartiments coupe-feu différents ou déplacement d'un routeur dans la section IP suivante).
Chaque routeur est relié au moins à deux autres routeurs par des chemins de FO disjoints. Les FO doivent dans tous les cas être disposées de manière redondante et rester aussi éloignées que possible lors de leur entrée et distribution dans les bâtiments.
Les interconnexions locales dans une UT avec, par exemple, une police cantonale sont autorisées tant que les liaisons du réseau canton-Confédération ne sont pas encore migrées sur le nouveau réseau optique des autorités fédérales (OBNB/ROAF).
Fig. 2.4 Architecture des anneaux de raccordement et des niveaux d’accès
Pour la construction des anneaux de raccordement, on utilise les fibres optiques du niveau de transit. On part du principe qu'il y a suffisamment de fibres à disposition et qu'il n'est en général pas nécessaire de construire une infrastructure WDM à usage multiple. Pour fermer les anneaux à la délimitation de l'UT, les UT mettent mutuellement à disposition des fibres optiques et de l'espace de rack pour les composants optiques (p. ex. amplificateurs).
Toutes les cascades 3 sont toujours connectées à deux routeurs géographiquement séparés. Les deux routeurs peuvent être installés dans la même section (design standard selon la figure 2.5) ou répartis sur la section et la section voisine (design standard selon la figure 2.6, c'est-à-dire qu'un routeur dessert deux sections IP).
3 Même avec de nombreuses cascades parallèles dans de longues sections et pour de grands tunnels, deux
routeurs suffisent. L'utilisation de plus de deux routeurs conduit à une conception complexe pour les protocoles standard comme le VRRP ou l’ERPSv2 et doit être évitée.
Fig. 2.5 Terminaison de la cascade : design standard « 2 routers dans la section IP »
Fig. 2.6 Terminaison de la cascade : design standard « 1 router dans la section IP , 1 routeur dans la section voisine», judicieux lorsque l'espace disponible est limité pour une construction géoredondante dans la section IP ou lorsque très peu d'EES doivent être reliés et qu'une construction économique est également judicieuse pour des considérations de disponibilité.
2.6 Accès au réseau IP EES UT section IP
La section IP constitue le niveau d'accès du réseau IP EES UT pour, par exemple, un tunnel, une section à ciel ouvert ou un centre d'entretien. Tous les systèmes OT des EES y sont raccordés. Le niveau d'accès sera à l'avenir réalisé de manière uniforme sur le plan technologique jusqu'au niveau du terrain inclus, ce qui signifie que les solutions de réseau spécifiques aux installations doivent être évitées et migrées vers le niveau d'accès du réseau IP EES UT.
La section IP est conçue comme une cascade ("chaîne", "daisy chain", en allemand "Perlenkette") de commutateurs d'accès traditionnels, qui se terminent sur deux routeurs différents. Les raccordements par une seule connexion ne sont en principe pas autorisés. Au sein d'une section IP, un grand nombre de ces cascades sont construites en parallèle selon les besoins. La mise en cascade des commutateurs d'accès s'effectue via les fibres optiques du niveau objet et du niveau terrain, c'est-à-dire que la desserte ne doit pas s'effectuer via les fibres optiques de transit.
Si, selon la conception standard (Fig. 2.6), une extrémité se termine dans la section voisine, tous les commutateurs d'une chaîne appartiennent toujours à une seule section IP.
Les systèmes EES suivants sont connectés via ces commutateurs :
serveurs de gestion de section (AR) / gestion régionale du trafic (rVL) ;
commandes d’installation (AS);
commandes locales (LS) ;
tous les équipements/systèmes OT câblés et compatibles IP.
Les liaisons avec les composants mentionnés sont assurées via des FO ou des câbles de cuivre. De nombreux équipements/systèmes OT modernes sont alimentés par le biais de PoE (« Power over Ethernet »). Cet élément doit être pris en considération pour les commutateurs : il ne faut pas recourir à des commutateurs PoE dédiés, mais équiper les commutateurs standard des modules PoE nécessaires.
Les réseaux locaux propriétaires au sens d'un LAN au niveau de l'installation ne doivent plus être utilisés. A la place, il faut utiliser le réseau IP EES également au niveau du terrain, des services L2/L3 dédiés (selon la section 3.5) pouvant également être mis en place pour une installation.
Les règles de connexion pour la mise en réseau des installations dans le niveau d'accès sont définies dans la documentation ASTRA 83045 [9].
IP/MPLS
AR
L2/Ethernet
AS/ AS/ AS LS LS LS LS
Communication via le Acteurs / capteurs Routeur réseau IP EES UT réseau IP EES Commande d’installation (AS) / Communication Commutateur d’accès commandes locales (LS) propriétaire réseau IP EES UT Serveur de gestion de section (AR), gestion régionale du trafic (rVL)
Fig. 2.7 Architecture du réseau IP EES UT section
Les cascades de commutateurs sont conçues conformément aux règles suivantes :
aux extrémités, elles se terminent par des routeurs distincts ;
toutes les cascades d’une section IP utilisent les deux mêmes routeurs (voir aussi section 2.5, y compris la note de bas de page) ;
elles comportent au maximum sept commutateurs qui se succèdent, pour deux raisons : ○ pour les applications critiques, la latence ne doit pas dépasser une certaine valeur maximale ; ○ une panne, par ex. suite à des changements de la configuration ou dans la cascade, peut ainsi être mieux limitée à de courts segments.
les équipements terminaux sont toujours reliés aux commutateurs, jamais directement aux routeurs ;
en réalité, plusieurs cascades parallèles sont requises pour une même section IP ;
des niveaux hiérarchiques, des commutateurs à des sous-niveaux ou des réseaux séparés ne sont pas admis.
Les exemples ci-après visent à illustrer les règles ci-dessus :
Édition 2017 | V1.30 15
IP/MPLS Routeur Commutateur L2/Ethernet d’accès
Fig. 2.8 Section à ciel ouvert – une cascade pour les deux sens de circulation
Galerie de sécurité IP/MPLS L2/Ethernet Routeur Commutateur d’accès
Fig. 2.9 Tunnel – une cascade par tube ou galerie de sécurité
Tube 1
Tube 2
IP/MPLS Routeur Commutateur L2/Ethernet d’accès
Fig. 2.10 Tunnel à 2 tubes – une cascade par tube
Plusieurs cascades sont nécessaires pour assurer la connexion à des sections comportant de nombreux commutateurs. Puisqu’on admet qu’il y a suffisamment de fibres disponibles dans un faisceau de FO (câble), plusieurs ordonnancements des commutateurs sur diverses cascades sont envisageables.
IP/MPLS Routeur Commutateur L2/Ethernet d’accès
Fig. 2.11 Répartition séquentielle sur plusieurs cascades, fibres dans le même câble à FO
IP/MPLS Routeur Commutateur L2/Ethernet d’accès
Fig. 2.12 Commutateurs raccordés en étoile, fibres dans le même câble à FO – à la place d’un commutateur, il est possible d’employer jusqu’à sept commutateurs
Les configurations ci-dessus permettent par exemple de séparer des sections en quatre cascades avec 28 commutateurs disposés de façon séquentielle et reliés par quatre fibres différentes via le même faisceau de fibres.
2.7 Niveau d’accès pour les sites centraux
Pour les sites centraux tels que les centres d’entretien, les centres de calculs ou les centrales de gestion, des sections IP sont également définies et les mêmes règles s'appliquent que pour les sections IP des tunnels ou des sections à ciel ouvert.
Les sections IP sont conçues comme des cascades de commutateurs LAN traditionnels, qui se terminent à chaque extrémité par deux routeurs différents pour la fermeture de l'anneau. Au sein d'une section IP, au moins deux de ces cascades seront construites, ce nombre pouvant bien sûr être augmenté si nécessaire. Ainsi, les infrastructures informatiques pour les systèmes de contrôle supérieure et d'autres systèmes OT peuvent être raccordées de manière redondante.
IP/MPLS
L2/Ethernet
virtualisation
infrastructure des serveurs du Data Center
Système OT / Communication via le Routeur réseau IP EES UT Capacités de calcul réseau IP EES Poste de travail de Commutateur d’accès l'administrateur réseau IP EES UT
Fig. 2.13 Exemple d’architecture d’une section IP pour un centre de calcul (Data Center)
2.8 Utilisation des réseaux IP EES par des tiers
La connexion d’équipements ou de réseaux de tiers au réseau IP EES UT est admise si des services L1 ou L2 transparents sont utilisés. Un concept SIPD doit toutefois obligatoirement être élaboré.
Sont des « services transparents » les liaisons point-à-point statiques, qui n’échangent aucune donnée de contrôle avec le réseau IP EES UT, mais utilisent seulement ce dernier comme « câble virtuel » pour le transport de données. Des câbles à FO ou des services Ethernet du réseau IP EES UT peuvent être employés à cette fin.
Exemple d’utilisation : • radio (DAB) : antennes émettrices dans les tunnels.
2.9 Réseau local sans fil (WLAN)
Du point de vue de l’architecture réseau, rien ne s’oppose à une autorisation et à une utilisation du WLAN dans le domaine des EES.
3 Composants du réseau IP EES
3.1 Généralités
L’ensemble des composants du réseau IP EES (par ex. routeurs, commutateurs, serveurs, transformateurs de tension, disjoncteurs, ventilateurs) doivent satisfaire aux conditions ambiantes du lieu de montage et du transport sans présenter un taux de défaillance plus élevé. Ce sont essentiellement la température, l’humidité, les vibrations et la qualité de l’alimentation qui doivent être déterminées.
L'équipement réseau répond aux exigences physiques des opérateurs (carrier-class), avec un minimum de "NEBS level 3" selon les normes Telcordia GR-63-CORE et GR-1089- CORE. Le "NEBS niveau 1" est visé. D'autres normes comparables (notamment ETSI et CEI/EN) sont autorisées tant que l'équivalence peut être explicitement garantie en ce qui concerne les conditions environnementales (poussière, température et humidité).
Les équipements doivent par ailleurs être conformes aux exigences légales locales, notamment aux dispositions fédérales fixées en matière d’informatique verte (« Green IT ») et qui prescrivent la réduction de la consommation énergétique.
3.2 Technologie
La technologie utilisée dans les routeurs des anneaux de raccordement est IP/MPLS ou, en tant que développement, le segment routing (SR) 4. Les éléments réseau des anneaux de raccordement (routeurs) sont des routeurs MPLS ou des routeurs SR qui transmettent entre eux au moins 25 Gbit/s. En cas de besoin, une extension à 100 Gbit/s doit être possible.
La technologie MPLS/SR ne sera pas étendue au niveau d'accès : La technologie utilisée dans le niveau d'accès est l’Ethernet et ses extensions pour la segmentation virtuelle (VLAN) et pour la garantie de la qualité ainsi que de la capacité de transmission (QoS et Policing).
Les commutateurs Ethernet doivent être réalisés avec une gestion active, c'est-à-dire qu'ils doivent pouvoir être administrés et configurés à distance via le NMS. Les simples commutateurs sans gestion ou les commutateurs configurés de manière statique ne sont pas autorisés.
Dans le niveau d’accès, les commutateurs 10 Gbit/s sont disposés en cascade. En cas de besoin, plusieurs interfaces sont associées pour augmenter la bande passante (agrégation de liens Ethernet par LAG). Pour les commutateurs de terrain nécessitant moins de bande passante, des cascades de 1 Gbit/s sont également autorisées. On ne prévoit pas les 100 Gbit/s dans le niveau d’accès.
3.3 Redondance interne des composants de réseau
Le terme « redondance interne » sert à désigner la redondance de l’alimentation électrique, des cartes de contrôleurs et des cartes d’interface. Il s’agit d’une protection contre la défaillance d’un seul module de l’élément réseau ou d’un brin de l’alimentation.
On cherche à garantir la simplicité des équipements et on observe les règles ci-après s’agissant des routeurs et des commutateurs :
4 En tant que développement du MPLS, toutes les variantes telles que SRv6 ou SR-MPLS sont également
autorisées pour le routage de segment. Des protocoles simples et cohérents pourraient constituer un avantage par rapport à IP/MPLS.
une redondance interne des composants actifs (par ex. deux cartes de contrôleurs ou deux interfaces réseau) ou la présence de deux éléments réseau distincts ne sont pas requises ;
une redondance de l’alimentation électrique (deux brins) est recherchée, mais elle n’est obligatoire que pour les routeurs et dans le niveau d’accès où les systèmes EES raccordés présentent eux-mêmes une alimentation électrique redondante.
3.4 Interfaces réseau
3.4.1 NNI à la dorsale (Backbone-NNI)
L’interface qui assure la liaison avec les autres UT, les centres de calcul (RZ), les services de base (BD) et la VMZ-CH présente un niveau de fonctionnalité volontairement faible. Elle est néanmoins conçue pour une bande passante élevée, de manière à pouvoir faire face telle quelle aux développements futurs attendus.
L’interface Backbone-NNI est définie en détail par le prestataire de services de la Confédération. Ses principales caractéristiques sont les suivantes :
la Backbone-NNI est basée physiquement sur Ethernet. Une seule interface 10 GBit/s est utilisée par site. Un regroupement ou des vitesses d'interface plus élevées sont utilisés pour des largeurs de bande plus importantes ;
la Backbone-NNI transmet l'ensemble du trafic utile sans subdivision logique mais avec une priorisation dans un seul VPN L3 ;
elle prend en charge l’Ethernet-CFM (« Connectivity Fault Management » selon la norme IEEE802.1ag/Y.1731) pour permettre une surveillance directe de la connectivité par les UT ;
pour l'échange des informations cohérentes de temps et d'horloge, l'Ethernet Synchrone doit être disponible avec les fonctions PTP (Precise Timing Protocol selon IEEE 1588) correspondantes ;
aucun cryptage n’est exigé.
Du point de vue du réseau IP EES UT, l’interface Backbone-NNI apparaît comme une interface externe, c’est-à-dire que ni les protocoles spécifiques à MPLS/SR ni les protocoles de routage généraux ne sont activés pour l’échange interne de données de la topologie réseau. Afin d’optimiser les processus de travail, une configuration de routage purement statique est toutefois abandonnée. À la Backbone-NNI, le protocole eBGP permet d’annoncer la topologie entre les UT, les centres de calcul (RZ), les sites BD et la VMZ-CH.
3.4.2 NNI du routeur
Entre les routeurs d'une UT, qui relient les sections entre elles et assurent la connectivité WAN au sein de l'UT, la communication est réalisée via le NNI du routeur.
L’interface NNI des routeurs est spécifiée comme suit :
elle est basée physiquement sur Ethernet. Une seule interface 25/40 Gbit/s est utilisée et doit (si possible) permettre une transmission via les câbles à FO de l’UT sans amplification optique ;
pour l'échange des informations cohérentes de temps et d'horloge, l'Ethernet Synchrone doit être disponible avec les fonctions PTP (Precise Timing Protocol selon IEEE 1588) correspondantes;
aucun cryptage n’est exigé ;
l’interface supporte la répartition logique de l’interface par MPLS ou SR ;
à l’interface NNI, les protocoles pour la topologie MPLS/SR (par ex. protocoles IS-IS, LDP et RSVP) ainsi que ceux pour la topologie IP sont activés. Si les protocoles à utiliser ne sont pas imposés, ils doivent soutenir efficacement l’ensemble des services réseaux.
3.4.3 Access-Uplink (Access-NNI)
Entre les routeurs et le niveau d’accès, lequel est réalisé comme une structure de couche 2 sans MPLS/SR, l’interface « Acess-Uplink » définit l’interaction des deux niveaux du réseau.
L’interface pour l’Access-Uplink est spécifiée comme suit : • l’Access-Uplink est basée physiquement sur Ethernet. Une seule interface 10 Gbit/s ou
1 Gbit/s est utilisée et permet une transmission via les câbles à FO de l’UT sans
amplification ou régénération des signaux;
aucun cryptage n’est exigé ;
l’interface supporte la répartition logique (par le VLAN selon les standards 802.1Q et QinQ issus de la norme IEEE802.1ad) ;
des réseaux logiques (VLAN) sont définis pour le trafic de gestion et de contrôle ;
l’Access-Uplink est une interface de couche sans protocoles de routage ;
la redondance est basée sur la connexion à deux routeurs. Pour la commutation sur la couche 2, on utilise le Shortest Path Bridging (SPB selon IEEE 802.1aq) ou l'Ethernet Ring Protection Switching (ERPSv2 selon ITU-T G.8032 avec CFM)5 .
Le routeur se charge du mapping des structures logiques (y compris QoS) dans les anneaux de raccordement (au moyen de MPLS ou SR) sur les structures de réseau logiques dans l'accès (au moyen de VLAN). Il termine ses structures logiques (services L2/L3) et les met à disposition des commutateurs d'accès en tant que prolongation de la couche 2. Pour les services L3, les routeurs agissent comme des instances VRRP afin de garantir la redondance sans que les équipements terminaux ou les commutateurs d'accès ne doivent supporter des protocoles spéciaux.
3.5 Interface utilisateur (Userport)
L’interface est toujours une interface Ethernet, permettant une connexion par câble de cuivre ou par FO monomode (vitesses allant jusqu’à 10 Gbit/s). Comme interface de service, il est possible d’utiliser aussi bien l’ensemble de l’interface physique qu’une interface VLAN logique sur celle-ci (selon le standard IEEE 802.IQ). Pour les terminaux situés en dehors des locaux de serveurs, 1000Base-T est la norme pour les interfaces galvaniques et 1000Base-LX la norme pour les interfaces optiques.
Dans les locaux des serveurs, il faut également prévoir des interfaces optiques 10GE (10GBASE-LR) et des interfaces galvaniques multigigabit.
Le réseau IP EES UT ne prend en charge que des services basés sur Ethernet. Il n’offre pas de services patrimoniaux (« legacy services », par ex. lignes louées E1 ou RS-232).
Les services réseaux ci-après sont disponibles au sein des UT.
Services Ethernet (« services L2 ») :
connexion point à point entre deux ports (« Virtual Leased Lines », VLL) ;
commutateur couche 2 réparti ; communication entre de nombreux ports et un point central, mais sans communication directe entre eux (« Ethernet Virtual Private Tree » ou « E-Tree ») ;
commutateur couche 2 réparti ; communication entre de nombreux ports sans restriction (« Ethernet Virtual Private LAN » ou « E-LAN »).
5 Le protocole « Spanning Tree » (STP selon les normes IEEE 802.1D, 802.1w ou 802.1s) est admis seulement
pour la connexion de niveaux d’accès patrimoniaux pour lesquels une migration est impossible et dont les commutateurs de niveau 2 ne peuvent être remplacés.
connectivité multipoint à point « Hub and Spoke » (entre de nombreux points distants et un point central) ;
connectivité multipoint à multipoint « Any to any » (routeurs virtuels répartis géographiquement).
connectivité multipoint à point « Hub and Spoke » (entre de nombreux points distants et un point central) ;
connectivité multipoint à multipoint « Any to any » (routeur virtuel réparti).
Services IP en double pile (« services L3 en IPv6 et IPv4 ») :
connectivité multipoint à point « Hub and Spoke » (entre de nombreux points distants et un point central) ;
connectivité multipoint à multipoint « any to any » (routeur virtuel réparti).
Des services de réseau inter-UT via le réseau IP EES Backbone ne peuvent pas être mis en œuvre directement au moyen de MPLS ou SR.
3.6 Qualité de service (QoS)/largeurs de bande selon SLA
En principe, tous les services disposent de la largeur de bande garantie dans le SLA 6 (« committed information rate »). Si cette valeur n’est pas dépassée, la latence et sa variance (« jitter ») sont minimes (latence inférieure à 10 ms, variance inférieure à 2 ms). Le taux de perte de paquet est inférieur à 10-6.
Pour les services dont le trafic varie fortement et pour lesquels la latence et les éventuelles pertes de paquets sont moins critiques, une largeur de bande supplémentaire (« peak information rate ») peut être prévue dans le SLA. Le réseau IP EES UT essaie de garantir ce niveau plus élevé pour la transmission ou l’enregistrement temporaire des données.
Les valeurs exactes pour chaque UT sont spécifiées dans le SLA, car les latences en particulier dépendent de la répartition géographique du réseau IP EES UT.
3.7 Durcissement
Le durcissement des composants du réseau s'effectue en principe conformément aux prescriptions de la directive ASTRA 13030 « Sécurité informatique des systèmes de commande et de gestion des équipements d'exploitation et de sécurité »[2].
6 SLA = Service Level Agreement ou accord sur les niveaux de service. On admet que les exigences posées au
réseau sont spécifiées pour chaque service requis.
3.8 Distribution de temps et d’horloge
Tous les éléments réseau dans les anneaux de raccordement du réseau IP EES permettent la distribution d'informations précises sur le temps et l'horloge via les interfaces NNI par les protocoles PTP et SyncE. La dorsale du réseau IP EES transmet SyncE et PTP des deux sites des services de base (BD) à tous les réseaux partiels.
Fig. 3.14 Distribution nationale de temps et d’horloge
Les éléments réseau des anneaux de connexion distribuent les informations d'horloge et de temps au sein des sous-réseaux via les interfaces NNI des routeurs dans le réseau IP EES UT, VMZ ou RZ.
Les informations temporelles sont obtenues par tous les systèmes connectés, les éléments réseau du niveau d'accès et les systèmes terminaux, via NTP (ou dans le futur PTP). Les informations relatives à l'horloge peuvent être enregistrées sur les routeurs des anneaux d'accès dans la section si nécessaire. Ni SyncE ni PTP ne doivent être pris en charge par les éléments réseau du niveau d'accès.
En raison de la problématique de la seconde intercalaire, il faut travailler à l’interne non pas avec le temps universel coordonné (« Universal Time Coordinated », UTC), mais avec le temps atomique international (TAI) dans tous les éléments réseau.
La documentation ASTRA 83044 [7] décrit la mise en œuvre.
4 Dorsale du réseau IP EES
Le réseau IP EES Backbone est une dorsale IP exploitée par l'OFIT (Office fédéral de l'informatique et de la télécommunication), qui repose sur un réseau de transport optique (réseau optique des autorités fédérales, OBNB/ROAF) exploité par la BAC (Base d'aide au commandement). Pour l'interconnexion des nœuds optiques (infrastructure WDM) dans l'OBNB/ROAF, on utilise des fibres optiques de l'OFROU (le long des routes nationales) ainsi que des fibres optiques de la BAC (Réseau de conduite).
Le réseau IP EES Backbone est construit selon une topologie "Hub & Spoke". La dorsale permet de relier les 11 unités territoriales (UT), le centre de gestion du trafic (VMZ-CH) ainsi que les centres de calcul des équipements d'exploitation et de sécurité (RZ EES) et les services de base du réseau IP EES (BD A/B).
Pour chaque UT, la VMZ-CH et les RZ EES, deux sites (sites A et B) sont réalisés en tant que site «Spoke». Les sites civils du groupement RZ de l’OFIT (RZ PRIMUS et RZ CAMPUS) sont utilisés comme sites «Hub». Dans la mesure où le trafic de données ne quitte pas le réseau IP EES Backbone, le trafic d'un site «Spoke» est transmis à chaque fois à un autre site «Spoke» via un site «Hub». Si le trafic de données quitte le backbone du réseau IP EES, il passe soit par une sortie sur le site «Spoke», de préférence par les sites des services de base (p. ex. trafic de données OFROU vers le corps de police cantonal), soit par le site «Hub» (p. ex. trafic de données vers d'autres zones des réseaux de la Confédération).
5 Adressage IP
5.1 Principes
Tous les équipements fixes qui sont connectés au réseau IP EES sont pourvus d’adresses fixes. Le protocole IP est utilisé dans sa version 6 (IPv6) pour l’ensemble du réseau IP EES. L’utilisation d’IPv6 pour l’adressage des éléments du réseau et pour la création des sous-réseaux IP/MPLS est obligatoire. Le réseau IP EES lui-même doit être à double pile
Il est requis d’utiliser IPv6 pour la communication aux niveaux de la gestion, de la région
Comme des équipements divers sur le terrain (LS/acteurs/capteurs) ne prennent pas en charge IPv6, l’utilisation du protocole IPv4 est exceptionnellement permise pour la communication entre lesdits équipements. Étant donné que l’adressage IPv4 est déjà en place dans les sous-systèmes locaux, seul le concept d’adressage pour IPv6 sera traité dans le présent chapitre ; il est valable pour l’ensemble des équipements du réseau IP EES.
5.2 Concept d’adressage IPv6
Le présent document ne fournit pas d’explications sur le format d’adresse IPv6, mais cellesci figurent dans la norme RFC 4291.
Les principes ci-après s’appliquent à la structure de l’adresse IPv6 :
On part du principe que l’OFROU ne gère qu’un seul domaine (nationalstrassen.admin.ch) et que la plage d’adresse assignée par la Confédération peut être entièrement utilisée pour ce domaine ;
La plage d’adresse IPv6 mise à la disposition de l’OFROU par la Chancellerie fédérale est la suivante :
La structure des adresses IPv6 est basée sur l'architecture de base du réseau IP EES, les sections EES selon SA-CH et le zonage du réseau IP EES.
5.3 Adresses IPv6 parties réseau et hôte
Les 128 bits d’une adresse IPv6 sont répartis dans une partie réseau (les premiers 64 bit) et une partie hôte (les 64 bit restants) et sont définis pour le réseau IP EES comme suit :
Network Interface Identifier (64 bit) (64 bit)
préfixe réseau zone section Anlagetyp Host
réseau type OFROU EES section IP de la Host / Interface partiel zone de (d’une partie) Präfix (UT, réseau route nationale Identifier 2a07:2900:80 d’installation VMZ,.)
40 bit 4 bit 4 bit 8 bit 8 bit 64 bit
Fig. 5.1 Structure de l’adresse IPv6
La partie réseau de l’adresse IPv6 se dérive des éléments suivants :
Elément Longueur Remarques préfixe 40 bit préfixe statique accordé par la Confédération réseau 4 bit reseau partiel (des UT, du RZ, des BD et de la VMZ-CH) zone 4 bit zone du réseau (processus, administration, …) section 8 bit IP-Abschnitte: in sich autonom funktionierende Teilnetze, sodass in einem IP-Abschnitt die lokale Kommunikation zwischen den Anlagen sichergestellt ist. installation 8 bit sous-réseau («VLAN/segment») d’une installation ou d’une partie d’installation en s'appuyant sur 13013 AKS-CH aspect, produit, niveaux de classification 1 et 2: La structure IPv6 divise les équipements d'exploitation et de sécurité en sous-réseaux spécifiques aux installations partielles ou aux installations. C'est-à-dire que dans chaque section BSA, les deux routeurs de section gèrent en général un sous-réseau distinct pour chaque commande d'installation. hôte 64 bit l’adresse de l’hôte resp. Interface Identifier Adresse à déterminer librement
Fig. 5.2 Structure de l’adresse IPv6
Les détails sont spécifiés dans la documentation OFROU 83040 Adressage IP [3].
6 DNS, DHCP et gestion des adresses IP
6.1 Gestion des adresses IP
Les règles ci-après s’appliquent à la gestion des adresses IPv4/v6 :
la gestion des adresses IPv4 et IPv6 doit se faire via l’outil central IPAM/DDI ;
le système DNS doit être utilisé pour l’attribution de noms d’hôte aux adresses. Chaque hôte doit être clairement identifiable par son nom DNS ;
les noms d’hôte doivent en principe toujours permettre l’accès aux équipements. Cette règle vaut en particulier pour l’accès de l’équipement terminal des utilisateurs finaux à d’autres équipements. Exceptionnellement, l’accès peut se faire directement par les adresses IP ;
étant donné qu’en général les noms d’hôte sont repris dans la configuration liée à l’établissement d’une connexion, il faut assurer leur transcription en une adresse. Cette opération se réalise par l’intermédiaire du serveur DNS ou du fichier hôte sur le terminal ;
si la résolution se fait par l’intermédiaire du serveur DNS, l’accessibilité de ce dernier doit être constamment garantie selon les exigences de disponibilité des systèmes OT ;
dans le cas d’une résolution par l’intermédiaire du fichier hôte, il faut garantir que celuici corresponde toujours aux contenus du serveur DNS, qui est déterminant pour l’attribution de noms d’hôtes aux adresses.
6.2 Architecture IPAM/DDI
Les services DNS, les services DHCP et la gestion des adresses IP sont étroitement liés. Pour que la gestion des services nécessaires puisse être réalisée de manière efficace et aussi correcte que possible, il faut utiliser un outil intégré DNS, DHCP et IMAP (outil IPAM/DDI).
Structure centralisée
Gestion des adresses IP (Data Master)
DNS DHCP
Réseau IP EES UT
Fig. 6.1 Architecture IPAM/DDI
L’outil IPAM/DDI (« Data Master ») pour la gestion des adresses IP est conçu de manière centralisée. Les services DNS et DHCP sont configurés par l’intermédiaire de l’outil IPAM/DDI. Les serveurs DNS et DHCP sont conçus de manière redondante dans les UT et réutilisés pour autant que l’infrastructure disponible puisse être administrée par l’outil IPAM.
6.3 Exigences envers l’outil IPAM/DDI
Les exigences ci-après sont posées à l’outil IPAM/DDI :
Gestion automatisée des adresses IP Il doit être possible de scanner automatiquement les adresses IP et d’établir ainsi un inventaire actuel des adresses IP utilisées et libres. À cette fin, la gestion des adresses IPv4, IPv6 et des blocs d’adresse doit être possible sur le même réseau.
Gestion intégrée des serveurs DHCP et DNS Les réservations DHCP et les entrées DNS doivent pouvoir être gérées par l’intermédiaire d’une console centralisée. La gestion individuelle des données se fait localement sur les différents serveurs DHCP et DNS.
Reconnaissance des conflits IP L’outil IPAM/DDI doit signaler les conflits IP, les sous-réseaux/domaines épuisés ou des entrées DNS divergentes et générer les alarmes ou les rapports correspondants.
Délégation de la gestion Il doit être possible de déléguer la gestion de certaines plages d’adresse IP et de tâches à différents rôles. Les UT doivent pouvoir gérer leurs plages d’adresse et assurer l’administration des serveurs DNS et DHCP de manière autonome.
6.4 Mise en place et exploitation de l’outil IPAM/DDI
La documentation ASTRA 83041 [4] va régir la mise en place et l’exploitation de l’outil IPAM/DDI.
7 Sécurité (security) et zones de réseau
Les exigences de la directive ASTRA 13030 [2] s'appliquent à la sécurité du réseau IP EES.
Un modèle de zones de réseau doit désormais être mis en œuvre conformément aux directives de la Confédération (Si001 - Protection informatique de base dans l'administration fédérale du 1er mars 2022). Le modèle de zone du réseau IP EES est adapté aux besoins des EES et sera décrit dans la documentation ASTRA 83042 Network Security Policy (NSP) du réseau IP EES [5]. Cette documentation règle la mise en place et l'exploitation des zones de réseau et décrit les mesures techniques et d'exploitation.
8 Contrôle de l’accès au réseau (Network
Access Control, NAC)
Le raccordement d'équipement sur le réseau IP EES sera réglé dans la documentation ASTRA 83042 Network Security Policy (NSP) du réseau IP EES [5] et fait partie de différentes mesures visant à augmenter la sécurité sur le réseau IP BSA. Il est renoncé à un système spécifique de contrôle d'accès au réseau (NAC) en tant que système autonome.
9 Système de gestion de réseau (Network
Management System, NMS)
Un système de gestion de réseau (NMS) doit être utilisé pour gérer un réseau IP EES UT et en surveiller l’exploitation 7. Les tâches du NMS sont résumées par le sigle FCAPS 8 : ○ F : Fault Management (gestion des défauts); ○ C : Configuration Management (gestion de la configuration); ○ A : Accounting Management (gestion de l’administration); ○ P : Performance Management (gestion des performances); ○ S : Security Management (gestion de la sécurité).
9.1 Gestion des défauts (Fault Management)
La gestion des défauts est la partie la plus importante de la gestion de réseau, avec la gestion de la configuration. Les erreurs doivent être reconnues à temps pour ainsi augmenter la disponibilité du réseau.
Exigences spécifiques posées à la gestion des défauts:
surveillance de bout en bout de tous les services du réseau IP EES UT;
monitoring de tous les composants du réseau et des médias (liaisons FO) au sein du réseau IP EES UT;
visualisation en temps réel du réseau (logiquement et physiquement);
possibilité d’attribuer aux services de réseau les alarmes de composants physiques ou logiques;
Les alarmes doivent être mises en corrélation et les alarmes subséquentes doivent pouvoir être masquées par une analyse performante (analyse « Root-Cause »), laquelle doit être réalisable sans interruptions sur l’ensemble du réseau;
mise en évidence des rapports entre les erreurs, possibilité de naviguer rapidement entre l’alarme et la cause ainsi qu’entre les éléments affectés et les services;
possibilité de classifier et filtrer les alarmes;
possibilité de disposer de plusieurs fenêtres d’alarme actives en même temps;
possibilité de naviguer directement des fenêtres d’alarme jusqu’aux objets physiques déclencheurs/concernés (équipement/port) et aux objets logiques (services);
archivage des erreurs durant 12 mois et possibilité de visualiser celles-ci durant ce laps de temps dans l’interface utilisateur graphique (GUI ; consignation des erreurs).
9.2 Gestion de l’administration (Accounting Management)
Comme les réseaux IP UT ne font pas l’objet d’un décompte, le terme « administration » est utilisé en lieu et place de « comptabilité » (« accounting »). L’administration comprend la gestion des utilisateurs, des mots de passe et des autorisations d’accès.
7 Si certaines fonctions doivent être réalisées en dehors du NMS ou sont déjà disponibles, cela est explicitement
autorisé dans la mesure où la fonctionnalité requise peut être garantie. Exemple : il est permis de réaliser l’enregistrement des accès d'un administrateur via un système de logging dédié.
8 Selon la norme ISO/IEC 7498-4 « Systèmes de traitement de l’information – Interconnexion de systèmes ouverts
– Modèle de référence de base -- Partie 4 : Cadre général de gestion »
Exigences posées à la gestion de l’administration :
gestion des droits d’utilisateurs (accès, limites et priorités) pour les composants de réseau comme les routeurs ou les commutateurs ;
prise en charge des modèles de rôles avec leurs droits d’accès respectifs ;
possibilité de définir des droits d’accès aussi bien au niveau fonctionnel que pour certains éléments de réseau (les utilisateurs ne devraient par ex. pouvoir voir que leurs propres éléments) ;
documentation.
9.3 Gestion de la configuration (Configuration Management)
La gestion de la configuration comprend toutes les fonctions liées à la configuration du réseau et de ses composants.
Exigences spécifiques posées à la gestion de la configuration :
La configuration des éléments matériels comme les interfaces du réseau ou les ports ; la configuration 'un élément réseau via l'interface de ligne de commande (CLI) de celuici doit être évitée dans la mesure du possible. Alternativement, les configurations CLI sont autorisées tant que la configuration s'effectue selon le principe des 4 yeux ;
les configurations des nouveaux services du réseau se font par préférence au moyen d’opérations graphiques simples de bout en bout. Des modèles prédéfinis et adaptables doivent être disponibles à cette fin (choisir le service ou les modèles, choisir les points terminaux, vérifier et procéder au provisionnement automatique du chemin primaire et aussi secondaire). Alternativement, les configurations CLI basées sur des schémas prédéfinis sont autorisées, à condition que la configuration soit effectuée selon le principe des 4 yeux ;
il faut aussi qu’en cas de remplacement de composants du réseau, des fonctions de copie soient disponibles pour reprendre la configuration existante et procéder à une adaptation rapidement ;
simulation et vérification de configurations, indication de l’utilisation des largeurs de bande sur chaque chemin et lien physique ;
« Traffic Shaping » (analyse du réseau, optimisation du réseau) ;
tout l’équipement du réseau doit pouvoir être inventorié : ○ routeurs, commutateurs ; ○ câbles, connexions au réseau ; ○ pares-feux (« firewalls »).
la gestion des versions des configurations et des logiciels est effectuée pour chaque équipement.
9.4 Gestion de la performance (Performance Management)
La gestion de la performance consiste à traiter des résultats de mesure quantitatifs afin de fournir des informations qualitatives.
Les exigences spécifiques posées à la gestion de la performance sont les suivantes :
les largeurs de bande (conservées sur les chemins redondants et effectivement utilisées) doivent pouvoir être représentées ;
la perte de paquets, la latence ainsi que sa variance, etc. doivent pouvoir être surveillés ;
les changements de ces données doivent pouvoir être présentés sur n’importe quelle fenêtre temporelle ;
en cas de dépassements des valeurs limites, les alarmes doivent pouvoir être exécutées ;
les statistiques doivent être disponibles sous forme de graphique et de tableau ;
les rapports doivent pouvoir être exportés sur MS-Office (CSV, XLSX, DOCX).
9.5 Gestion de la sécurité (Security Management)
La gestion de la sécurité consiste à contrôler et protéger l’autorisation d’accès aux données du réseau.
Les exigences spécifiques posées à la gestion de la sécurité sont les suivantes :
tant les utilisateurs que les systèmes externes doivent s’identifier pour l’ensemble des activités ;
la capacité d’audit doit être garantie dans tout le système. Des événements comme les interventions physiques sur le matériel ainsi que les accès via la CLI ou le terminal local en particulier doivent pouvoir être visibles dans les logs.
10 Exploitation
10.1 Niveaux de service (Standard Service Levels)
Les exigences posées à l’exploitation du réseau IP EES et à ses systèmes de support opérationnel sont définies par des niveaux de service standardisés.
10.1.1 Heures de service
Les heures de service sont les heures qui ont été définies pour la prestation de services. Le service fourni au point d’accès au service (« Service Access Point », SAP) est surveillé de manière proactive ou réactive.
Le temps de maintenance (fenêtre de maintenance) est une période définie dans le cadre des paramètres de niveau de service, durant laquelle des travaux de maintenance pour un service donné sont effectués et où la fourniture de service n’est donc pas prévue.
Valeur de mesure Valeur Méthode de mesure / remarques
Service 7x24 7x24h • Lundi – dimanche 00 h 00 – 24 h 00, y compris (365 jours fériés nationaux. jours) • Aucune interruption planifiée, à savoir aucune fenêtre de maintenance périodique avec interruption de service, mais des maintenances prévues et annoncées.
Les maintenances et les changements impliquant une interruption de service se font seulement après entente.
Les travaux impliquant une interruption de service sont autorisés dans le cadre d’une procédure spéciale qui inclut les utilisateurs (min. 15 jours ouvrables à l’avance). Tableau 10.2 Heures de service standard
Les heures de service pour l’ensemble des installations et des services des EES sont toujours 7x24h. Aucune heure de service alternative ne sera définie.
10.1.2 Heures d’assistance
Les heures d’assistance sont la période (périodes dans la journée, jours de la semaine et jours fériés nationaux) durant laquelle l’assistance pour le service offert au SAP est garantie. Durant les heures d’assistance, un ticket d’incident est ouvert dans l’espace du temps de réaction prévu dans le contrat pour lancer sans délai la procédure de rétablissement du service.
L’attribut temps de réaction est défini comme la période entre l’annonce de dysfonctionnement du service (par le client ou le système de surveillance) et la première information au client et l’ouverture d’un ticket d’incident dans le système.
Valeur de mesure Valeur Méthode de mesure / remarques
Heures 7x24h • Lundi – dimanche 00 h 00 – 24 h 00, y compris d’assistance 7x24 (365 les jours fériés nationaux. jours) • Temps de réaction du Service Desk ou du service de piquet en cas d’avis de dysfonctionnement : max. 15 minutes. Tableau 10.3 Heures d’assistance standard
Les heures d’assistance pour l’ensemble des installations et des services des EES sont toujours 7x24h. Aucune heure d’assistance alternative ne sera définie.
10.1.3 Disponibilité
La disponibilité est une caractéristique du niveau de service d’un service ou d’un élément de service, qui décrit de quelle manière la fonctionnalité exigée et convenue doit être assurée à un moment donné ou sur une période définie.
Dans ce contexte, l’indisponibilité (« downtime 9 ») est la somme de toutes les interruptions de service en heures et en minutes dans l’espace de la période de mesure définie, durant lesquelles un service n’est pas disponible au SAP correspondant dans les heures d’assistance convenues et, partant, où la fonctionnalité minimale n’est pas assurée.
Le niveau de service du paramètre de la disponibilité peut être choisi selon différents niveaux de qualité.
Valeur de mesure Valeur Méthode de mesure / remarques
Downtime 2h ≤ 2h par an • Ne peut être atteint que par des connexions redondantes.
Mesuré par an et raccordement redondant (SAP redondants).
La perte de redondance, à savoir la perte d’une connexion, doit être corrigée dans l’espace de 24h.
Est admise au max. 1 défaillance par an.
Downtime 8h ≤ 8h par • Mesuré par trimestre et raccordement (SAP) trimestre • Sont admises au max. 2 défaillances par trimestre.
Downtime Best pas de • L’objectif est de corriger une défaillance dans Effort prescription les 24h.
Tableau 10.4 Aperçu de la disponibilité
10.1.4 Autonomie de courant
L’autonomie de courant indique le temps durant lequel un système doit encore fonctionner avec sa propre alimentation électrique de secours en cas de coupure de courant du réseau public.
L’autonomie de courant sur le réseau IP EES doit permettre d’atteindre durant encore un certain temps les appareils et systèmes connectés au réseau IP EES en cas de coupure de courant. Pour certaines installations, il est fort probable qu’une autonomie de courant plus élevée soit nécessaire.
9 Les interruptions de service dues à des cas de force majeure, tels que des catastrophes naturelles ou des
événements extraordinaires imprévisibles et incontrôlables qui ne peuvent pas être évités même en faisant preuve de la plus grande diligence (p. ex. accident grave de la circulation, sabotage, etc.), ne sont pas prises en compte dans le temps d’indisponibilité.
Valeur de mesure Valeur Méthode de mesure / remarques
Autonomie de courant 1h > 1h • Mesurée par événement.
Autonomie de courant Best Pas • n.a. Effort d'exigence
Tableau 10.5 Aperçu de l’autonomie de courant
10.2 Attribution des niveaux de service du réseau IP EES
Le tableau ci-après montre l’attribution de chaque niveau de service aux différents éléments du réseau IP EES.
Heures d’assistance 7x24 Autonomie de courant 1h
Heures de service 7x24 Autonomie de courant
Downtime Best Effort (par trimestre) Downtime 2h
Downtime 8h Best Effort
(365 jours)
(365 jours)
(par an) Raccordement de la dorsale de l’UT / VMZ-CH / RZ EES X -- X X X -- -- (raccordement redondant, sur deux routeurs)
Raccordement de la connexion en cascade du réseau IP EES UT section X -- X X X -- -- IP (raccordement redondant, sur deux routeurs)
Access Switch X (X) X X -- X (X)
PTP/NTP X -- X X X -- --
DMZ UT/VMZ-CH X -- X X -- X --
NMS UT/VMZ-CH X -- X X -- X --
Outil IPAM/DDI X -- X X -- X --
DHCP / DNS X -- X X -- X --
X = Standard (X) = peut être utilisé dans des cas justifiés Tableau 10.6 Attribution des niveaux de service pour le réseau IP EES
10.3 Exploitation centralisée et décentralisée
Les éléments du réseau IP EES sont exploités de différentes manières.
• L’exploitation des éléments ci-après reste sous la responsabilité des UT et elle est gérée par celles-ci : ○ réseau IP EES UT ; ○ Network Management System (NMS) ; ○ serveurs DNS (configurés par l’outil IPAM/DDI) ; ○ serveurs DHCP (configurés par l’outil IPAM/DDI) ;
L’infrastructure nécessaire est disponible pour chaque UT ; une organisation d’exploitation correspondante existe également pour chaque UT.
• Les éléments ci-après sont gérés de manière centralisée : ○ outil IPAM/DDI ; ○ outil E2E-Service Monitoring ; ○ synchronisation de temps et d'horloge (référence nationale de l’OFROU de temps et d'horloge) ; ○ systèmes d'inventaire.
L’infrastructure nécessaire est mise en place de manière centralisée, mais utilisée de manière décentralisée. L'organisation opérationnelle pour l'exploitation et l'entretien des systèmes est donc mise en place une seule fois. La gestion des données des utilisateurs est de la responsabilité des unités territoriales.
Les documentations ASTRA correspondantes doivent être consultées pour la mise en œuvre concrète.
11 Gestion du réseau IP EES
La gestion du réseau IP EES se fait de manière centralisée par le Product Management (gestion de produit) du réseau IP EES. Le Product Management assume les tâches suivantes :
Le Product Management définit et assume la responsabilité de l’ensemble de l’architecture du réseau IP EES selon les spécifications de SA-CH et en étroite concertation avec SA-CH, y compris les systèmes d’assistance nécessaires, les services de base ainsi que les outils centraux et les adapte continuellement aux besoins ;
Le Product Management entretient un contact étroit avec les partenaires internes ou externes et avec les organisations, et clarifier leurs besoins et leurs exigences en ce qui concerne les services de communication EES ;
Il prend en considération les exigences posées au réseau IP EES aux services de base ainsi que les outils centraux et définit en étroite concertation avec SA-CH les directives pour disposer d’une infrastructure de communication homogène, performante et hautement disponible ;
Il définit le degré de standardisation du réseau, les systèmes d’assistance nécessaires et les services en étroite collaboration avec les personnes chargées de l’exploitation dans les filiales/UT et de l’exploitation des systèmes d’assistance centraux ;
Le Product Management définit selon les spécifications de SA-CH et en étroite concertation avec SA-CH la stratégie ce qui doit être produit à l’interne et ce qui doit être obtenu comme prestation externe (commande de service). Cela se fait tenant compte des directives de l’OFROU et de la Confédération. Il définit les concepts correspondants en matière d’acquisition ;
Le Product Management coordonne et soutient les filiales lors de toutes les activités qui concernent la planification de la migration et la mise en œuvre des directives.
Glossaire
Terme/abréviation Begriff/Abkürzung Définition AKS-CH AKS-CH structure et désignation des équipements d’exploitation et de sécurité anneau de Erschliessungsring structure de réseau supérieure qui relie tous les segments raccordement IP d'une UT. Mise en œuvre technologique par le MPLS ou le SR (Segment Routing). architecture du Systemarchitektur modèle d'un système qui décrit la relation et les propriétés système des différents éléments et de leurs fonctions. backbone/BB Backbone/BB interconnexion nationale de tous les réseaux partiels mise à disposition par la Confédération (L3 par l'OFIT, transmission par la BAC), dorsale. BD (services de base) BD (Basisdienste) services de base pour le réseau (outil IPAM, DNS, sources d’horloge/temps, …) pour l’ensemble du réseau IP EES BGP BGP protocole de routage IP offrant de multiples fonctions pour (iBGP/eBGP) l'échange d'informations topologiques complexes. Dans ce contexte, iBGP est utilisé comme protocole interne au réseau et eBGP à la transition externe vers les réseaux tiers (de l'anglais : Border Gateway Protocol). client/hôte Client/Host termes génériques TIC, sans signification particulière pour serveur Server les EES, utilisation dans le contexte des protocoles standardisés. Concept SIPD ISDS-Konzept le concept de sûreté de l’information et de protection des données est la base de la définition des mesures de sûreté de l’information et de protection des données. Il indique quels sont les risques résiduels liés à l’exploitation du système informatique et à l’organisation. Il décrit le concept d’urgence. Commande AS abréviation de l’allemand « Anlagesteuerung » d’installation commutateur Switch signifie toujours les éléments réseau L2 du niveau d'accès, autrement mentionné explicitement DAB DAB radiodiffusion numérique (de l’anglais « Digital Audio Broadcoasting ») DDI DDI DNS, DHCP and IP Address Management DHCP DHCP protocole de communication dans la technique informatique, permettant à un serveur d’attribuer une configuration réseau à des clients et défini dans la norme RFC 2131 et s’est vu attribuer les ports UDP 67 et 68 par l’IANA (« Internet Assigned Numbers Authority ») (de l’anglais « Dynamic Host Configuration Protocol »). DMZ DMZ zone de sécurité située en amont qui permet l'accès de l'extérieur dans des conditions moins rigoureuses que les zones intérieures situées en aval avec des exigences de
protection plus élevées (zone démilitarisée). DNS DNS le « système de noms de domaine » (de l’anglais « Domain Name System ») est l’un des services les plus importants pour de nombreux réseaux IP. Sa tâche principale est de répondre à des requêtes de résolution de noms. Il fonctionne comme un service de renseignement téléphonique. domaine Domäne Le domaine sert à organiser ou à regrouper des éléments. Ses utilisations à l’OFROU sont les suivantes :
espace de noms : espace dans lequel les identités sont univoques, c’est-à-dire que chaque ressource possède sa propre identité ;
domaine de fonctions : regroupement de différentes fonctions ;
Édition 2017 | V1.30 39
Terme/abréviation Begriff/Abkürzung Définition
domaine métier : regroupement de différents services métier ;
domaine de processus : regroupement de différents processus. EES BSA équipements d’exploitation et de sécurité élément réseau Netzwerkelement limité à l’équipement actif de communication (routeur ou commutateur) équipement Ausrüstung/Gerät toute sorte d’équipement actif dans un contexte large des EES (même sans connexion au réseau IP EES) équipement réseau Netzwerkausrüstung équipement actif et composant passifs dans un contexte large de réseau (inclus les firewalls, systèmes de gestion, sources d’horloge). équipement terminal Endgerät toute sorte d’équipement connecté à un Userport du réseau IP EES ERPS ERPS Ethernet Ring Protection Switching, ou ERPS, est un protocole standard selon ITU-T G.8032 sur la couche 2 pour garantir des temps de commutation de redondance déterministes inférieurs à 50 ms dans des structures en anneau complexes. F/filiale F/Filiale filiale (cinq structures régionales de l’OFROU firewall/pare-feu Firewall un pare-feu est un système de sécurité qui protège un réseau informatique ou un équipement individuel contre les accès indésirables au réseau GUI GUI Interface utilisateur graphique (de l’anglais « Graphical User Interface » IEC/CEI IEC l'organisation internationale de normalisation chargée des domaines de l'électricité, de l'électronique. Pour des beaucoup d’applications industrielles elle intègre la technologie réseau dans ses normes. IEEE IEEE l’Institute of Electrical and Electronics Engineers est une association professionnelle qui crée entre autres activités des standards pour la technologie, le hardware et le software. En particulier dans le domaine de la technologie Ethernet l’IEEE est l’organisation déterminante. IETF IETF l’Internet Engineering Task Force (IETF) élabore et promeut des standards Internet, en particulier les standards qui composent la suite de protocoles Internet. De facto l’IETF est l’organisation de la standardisation de toute la technologie IP. IP IP Internet Protokoll IPAM IPAM IP Address Management ITU-T/UIT-T ITU-T l'Union internationale des télécommunications ou UIT (en anglais : International Telecommunication Union ou ITU) est l'agence des Nations unies pour le développement spécialisé dans les technologies de l'information et de la communication. Le secteur ITU-T crée des normes pour la
télécommunication. LDP LDP un protocole pour gérer et distribuer sur l'ensemble d’un réseau MPLS les chemins logiques (en anglais : label switched paths). De l’anglais Label Distribution Protocol. LS LS commande locale (abréviation de l’allemand « Lokalsteuerung ») monitoring Monitoring surveillance et visualisation des fonctions techniques des installations et des systèmes MPLS MPLS Multi-Protocol Label Switching NAC NAC Network Access Control (contrôle de l’accès au réseau) niveau d’accès Access-Bereich structure L2, mettant à disposition les interfaces d’accès (Userport) aux équipements terminaux. niveau gestion Leitebene voir niveau processus
Terme/abréviation Begriff/Abkürzung Définition niveau gestion Betriebsleitebene ce niveau propose la surveillance et l'utilisation de toutes les installations au moyen de serveur de gestion de l'exploitation, d'une part par la police en ce qui concerne les événements et les aspects particuliers de l'exploitation, d'autre part par le service d'entretien en ce qui concerne la disponibilité fonctionnelle des installations. Les ordinateurs de gestion d'exploitation sont reliés aux AR par un réseau de communication. Autre désignation : niveau de contrôle supérieur niveau management Management-Ebene niveau gestion central supérieur (ou ME) (oder ME)
niveau processus Prozessleitebene terme issu de la technique de contrôle-commande : à ce niveau, la surveillance et l'utilisation de toutes les commandes de l'installation et la commande supérieure (réflexes du tunnel) ont lieu à l'intérieur d'une section au moyen d'un AR NMS NMS Network Management System NNI NNI La network-to-network interface (NNI) est l’interface entre (anneau de (Erschliessungsring) deux éléments réseau dans l’anneau de raccordement. raccordement) Contrairement aux Userports les NNI n’acceptent ni des commutateurs du niveau d’accès ni des équipements terminaux. (partie d’)installation (Teil-)Anlage limité au sens strict des définitions de l’AKS QoS QoS La « qualité de service » (de l’anglais « Quality of Service ») décrit la qualité d’un service de communication du point de vue de l’utilisateur, à savoir à quel point la qualité du service correspond aux exigences de ce dernier. région EES BSA-Region Anlagenspezifisch definierte Region, in der es eine regional übergeordnete Steuerung gibt réseau IP EES IP-Netz BSA le réseau national pour les EES comprenant les éléments UT GE (réseaux partiels) suivants : UT section GE Abschnitt - 11 réseaux IP EES UT ;
la dorsale nationale (réseau IP EES Backbone) ; BD BD
le réseau de la VMZ-CH ; VMZ VMZ
l’interconnexion aux RZ BSA (centre de calculs EES) ; Backbone Backbone
les services de base (BD) sur deux sites. RFC RFC Les requests for comments (RFC), littéralement « demande de commentaires », sont une série numérotée de documents officiels décrivant les aspects et spécifications techniques d'Internet, ou de différents matériels informatiques. Peu de RFC sont des standards qui représentent un consensus de l’industrie, mais tous les documents publiés par l'IETF sont des RFC. routeur Router signifie toujours les routeurs (IP/MPLS ou SegementRouting) des anneaux de raccordement, autrement (p.e. routeur Spoke-Site) mentionné explicitement routeur Router les routeurs (ou routeurs de réseau) sont des éléments réseau qui peuvent transmettre des paquets IP entre plusieurs réseaux informatiques p.e. les segments du réseau IP EES). RSVP RSVP plus précisément RSVP-TE (en anglais : Resource Reservation Protocol - Traffic Engineering) sert à l’établissement des chemins (en anglais : path) pour la technologie MPLS qui est à la base du Réseau IP EES. rVDE rVDE Regionale Verkehrsdatenerfassung
rVL rVL Gestion régionale du trafic (abréviation de « regionale Verkehrslenkung ») RZ(-EES) RZ(-BSA) centre de calcul EES (de l’allemand: Rechenzentrum BSA)
Édition 2017 | V1.30 41
Terme/abréviation Begriff/Abkürzung Définition SAP SAP dans le réseau IP EES, les « points d’accès au service » (de l’anglais « Service Access Point ») sont en général des ports physiques d’un commutateur ou d’un routeur section Abschnitt la section logique, pas le tronçon physique section EES BSA-Abschnitt section de route nationale géré par un serveur de gestion de section section (IP) (IP) Abschnitt la section logique du réseau, pas le tronçon physique. segment (de réseau) (Netzwerk-)Segment segments selon ASTRA 83040 par (partie d’)installation, usuellement réalisés par des VLAN Segment Routing/SR Segment Routing/SR SR est un successeur possible de MPLS qui permet la transmission de paquets le long d'un chemin préalablement établi pour former des réseaux virtuels L2 et L3 Serveur de gestion AR Serveur de gestion section (abréviation de l’allemand « section Abschnittsrechner ») service Dienst/Service Terme générique qui s’applique tant aux services métier qu’aux services de base. Les services implémentent les logiques d’accès et de traitement, mais ne disposent pas d’une interface utilisateur. SLA SLA Service Level Agreement SPB SPB le Shorted Path Bridging, ou SPB, est un protocole standard selon IEEE 802.1aq sur la couche 2 pour garantir des temps de commutation de redondance déterministes dans n'importe quelle topologie et pour utiliser les ressources de manière optimale. système de Leittechnik Funktionen und Komponenten, die der Überwachung und commande/gestion Leitung von Anlagen dienen. système de gestion Leitsystem sert aux opérateurs pour la surveillance et la commande des installations. système SCADA SCADA-System système informatique interconnecté (système de gestion) affecté à la surveillance, à la commande et à l’optimisation d’installations industrielles (de l’anglais « Supervisory Control and Data Acquisition ») UeLS UeLS Übergeordnetes Leitsystem ULA ULA adresse locale unique (de l’anglais « Unique Local Address ») UNI UNI les User-Netzwerk-Interfaces (UNI) sont les interfaces des (anneau de (Erschliessungsring) éléments de réseau dans l'anneau de raccordement avec raccordement) les commutateurs du niveau d'accès.
uplink Uplink l'interface Ethernet du niveau d'accès (Uplink du (niveau accès) (Access-Layer) commutateur) pour la connexion à l'UNI du routeur dans l'anneau de raccordement. userport Userport l'interface Ethernet physique au niveau d'accès pour (niveau accès) (Access-Layer) connecter les équipements terminaux au réseau IP EES.
UT GE unité territoriale (11 structures supracantonales, exploitant leur réseau IP EES UT). VM-CH VM-CH Gestion du trafic en Suisse (abréviation de l’allemand « Verkehrsmanagement Schweiz ») VMZ(-CH) VMZ(-CH) Centrale suisse de gestion du trafic (abréviation de l’allemand « Verkehrsmanagementzentrale Schweiz ») WDM WDM utilisation multiple (multiplex) d’une FO par plusieurs longueurs d’ondes optiques (engl. Wavelength Division Multiplex) zone (de réseau) (Netzwerk-)Zone selon la NSP de la Confédération Si003 (séparées par la PEZ).
Bibliographie
Directives et documentations de l’OFROU [1] Office fédéral des routes OFROU, «Structure et désignation des équipements d’exploitation et de sécurité (AKS-CH)», directive ASTRA 13013, www.astra.admin.ch [2] Office fédéral des routes OFROU, «Sécurité des systèmes de commande et de gestion des équipements d’exploitation et de sécurité», directive ASTRA 13030, www.astra.admin.ch [3] Office fédéral des routes OFROU, «Adressage IP EES», documentation 83040, www.astra.admin.ch [4] Office fédéral des routes OFROU, «Mise en œuvre et exploitation de l’outil IPAM/DDI pour EES», documentation 83041, (pas encore publié) [5] Office fédéral des routes OFROU, «Network Security Policy (NSP) réseau IP EES», documentation 83042, (pas encore publié) [6] Office fédéral des routes OFROU, «Installations de câblage des routes nationales», directive ASTRA 13022, , www.astra.admin.ch [7] Office fédéral des routes OFROU, «Distribution de temps et d’horloge dans le réseau IP EES», documentation 83044, www.astra.admin.ch [8] Office fédéral des routes OFROU, «Manuel technique Équipements d’exploitation et de sécurité (FHB BSA)», manuel 23001 [9] Office fédéral des routes OFROU, «Réseau IP EES - Raccordement des systèmes de tronçon», documentation 83045, www.astra.admin.ch
Édition 2017 | V1.30 43
Liste des modifications
Édition Version Date Modifications 2017 1.30 10.08.2022 Outre de nombreuses petites adaptations et précisions, cette révision comprend surtout les points suivants :
Tous les chapitres : textes et illustrations complétés par le réseau IP EES BD ou les services de base.
Chap. 2.5 : Précision de l'architecture des anneaux de raccordement, insertion de designs standards
Chap. 2.6 précisé
Chap. 3 : protocoles de réseau étendus au routage de segment et à ERPS, chapitre précisé en général
Chap. 3.8 harmonisé avec la documentation 83044
Chap. 4 complété
Chap. 5 harmonisé avec la documentation 83040
Chap. 7 et 8 harmonisés avec la nouvelle version de la directive 13030
Chap. 10.1.3 : Indisponibilité adaptée
Chap.11 adapté à la stratégie de gestion de produit 2017 1.20 15.04.2019 Modifications formelles : le mot « tronçon » a été remplacé par « section » dans la version française. 2017 1.10 15.12.2018 Précisions dans les chapitres 1.2 champ d’application, 2.5 raccordement, 2.6 accès pour la section, 5.2 et 5.3 adressage IP et compléments dans le glossaire. Publication de la version française. 2017 1.00 07.12.2017 Entrée en vigueur de l’édition 2017.