IGMP snooping : Le processus d’ob­ser­va­tion du trafic multicast

Les con­nexions multicast sont un excellent moyen d'envoyer un même paquet de données à de nom­breuses machines des­ti­na­taires au sein de réseaux IP sans avoir à adresser et livrer sé­pa­ré­ment chacune de ces machines. L’ex­pé­di­teur du paquet répartit cette tâche entre les dif­fé­rents nœuds des sous-réseaux impliqués et économise ainsi de pré­cieuses res­sources. Utilisées par de nombreux uti­li­sa­teurs, les ap­pli­ca­tions Internet en temps réel profitent notamment de cette forme de con­nexions mul­ti­points établies à l’aide de groupes multicast spé­ci­fiques.

Le protocole IGMP joue un rôle con­si­dé­rable dans l’or­ga­ni­sa­tion de ces groupes et constitue le fondement d’une com­mu­ni­ca­tion multicast IPv4 sans accroc entre l’ex­pé­di­teur, les routeurs et les des­ti­na­taires. D’autre part, le trafic multicast peut être filtré à l’aide des messages IGMP afin de décharger les dif­fé­rents réseaux de des­ti­na­tion. Si tel est le cas, on parle également d’IGMP snooping.

Dans leur parcours jusqu’à l’hôte cible, les paquets multicast passent souvent par plusieurs stations. Les routeurs utilisent le processus Protocol In­de­pen­dent Multicast (PIM) afin de dé­ter­mi­ner le chemin optimal et de relayer le flux de données de manière aussi efficace que possible. En revanche, les com­mu­ta­teurs réseau ou les routeurs Internet mul­ti­fonc­tions des foyers privés ont nettement plus de dif­fi­cul­tés à trans­mettre des paquets multicast : puisque tenter d’attribuer des paquets de la façon ha­bi­tuelle – à l’aide de l’adresse MAC indiquée – se traduit par un échec (fonc­tionne uni­que­ment pour les con­nexions Unicast), les machines relayent les paquets entrants à toutes les machines dis­po­nibles du sous-réseau concerné, faute d’al­ter­na­tive.

C’est ici que l’IGMP snooping (parfois également appelé « multicast snooping ») entre en jeu : ce processus, que l’on peut traduire lit­té­ra­le­ment par « es­pion­nage IGMP », est à la hauteur de son nom : il observe l’ensemble du trafic IGMP échangé entre les routeurs multicast et les hôtes. Les com­mu­ta­teurs ou les routeurs Internet maî­tri­sant l’IGMP snooping et ayant cette option activée sont donc en mesure de sur­veil­ler les activités multicast des dif­fé­rents par­ti­ci­pants au réseau. Con­crè­te­ment, cela signifie que les machines sont informées lorsqu’un hôte intègre un groupe multicast (« requête multicast ») ou le quitte (« message leave » ; uni­que­ment à partir de la version IGMPv2). Sur la base de ces in­for­ma­tions, il est possible de créer ou de supprimer une entrée dans le tableau d’adresses MAC pour l’interface réseau connectée à l’hôte.

Le multicast snooping permet aux com­mu­ta­teurs et aux routeurs Internet un ache­mi­ne­ment par­ti­cu­liè­re­ment efficace des flux de données multicast vers la ou les cible(s) souhaitée(s). La valeur d’une telle méthode de filtrage des trans­mis­sions mul­ti­points devient évidente lorsqu’elle fait défaut : dans ce cas, les paquets multicast entrants sont envoyés à tous les hôtes du réseau ayant atteint le com­mu­ta­teur ou le routeur Internet. Dans les réseaux de plus grande envergure en par­ti­cu­lier, cette procédure permet d’éviter un trafic inu­ti­le­ment élevé, qui peut également entraîner une surcharge du réseau. Les cy­ber­cri­mi­nels peuvent même tirer profit de cette situation et submerger des hôtes in­di­vi­duels ou l’in­té­gra­lité du réseau de façon ciblée avec des paquets multicast afin de les détruire, comme dans le cas d’une attaque DoS/DDoS classique.

L’ac­ti­va­tion de l’IGMP snooping permet d’exclure les problèmes de con­ges­tion et les scénarios d’attaque de ce type. Chacun des hôtes du réseau reçoit uni­que­ment le trafic multicast auquel il a souscrit au préalable par requête de groupe. L’uti­li­sa­tion de cette technique d’« écoute » est donc utile à chaque fois que des ap­pli­ca­tions né­ces­si­tant une très grande bande passante sont utilisées. On peut citer à titre d’exemple les services IPTV et les autres services de streaming, ainsi que les solutions de con­fé­rence Web. Toutefois, les réseaux comptant uni­que­ment quelques par­ti­ci­pants et un faible trafic multicast ne profitent pas de cette procédure de filtrage. Même si le com­mu­ta­teur ou le routeur dispose de la fonc­tion­na­lité de multicast snooping, elle doit être dé­sac­ti­vée dans un tel cas afin d’empêcher les activités d’écoute inutiles.