PPPoE : le protocole pour le DNS

Il existe en réalité très peu de dif­fé­rence entre Internet, qui n’est rien de plus qu’un gi­gan­tesque réseau in­for­ma­tique, et un réseau local Local Area Network (LAN). Il ne faut cependant pas gé­né­ra­li­ser : compte tenu de la taille des four­nis­seurs d'accès à Internet et de la place que prennent leurs serveurs, il est devenu né­ces­saire pour le réseau mondial de disposer de sa propre tech­no­lo­gie. Parmi ces tech­no­lo­gies figure le PPPoE, le Point to Point protocol over Ethernet. En quoi consiste exac­te­ment ce protocole ?

Pour pouvoir établir une connexion Internet, votre PC (ou tout autre appareil équi­valent) doit passer par un routeur. L’accès est mis à dis­po­si­tion par un four­nis­seur d’accès à Internet (FAI) qui est également dans l’obli­ga­tion de vérifier que le client dispose d'une au­to­ri­sa­tion pour se connecter. Lorsqu’à l’époque Internet faisait son ap­pa­ri­tion dans les foyers avec l’ISDN, cette vé­ri­fi­ca­tion s'ef­fec­tuait au moyen du Point to Point protocol (PPP). Le pé­ri­phé­rique (modem ou routeur) éta­blis­sait une connexion directe avec le nœud du four­nis­seur d'accès à Internet qui vérifiait les données et au­to­ri­sait l’accès au réseau.

Ce protocole per­met­tait aux four­nis­seurs d’accès à Internet non seulement de contrôler les droits d’accès, mais aussi de fixer la quantité de données trans­fé­rées ainsi que le temps de connexion. Ce protocole s’est avéré très avan­ta­geux pour les pres­ta­taires, car il était fréquent à l’époque de payer à la minute pour utiliser Internet. L'avè­ne­ment de la tech­no­lo­gie DSL ainsi que l’uti­li­sa­tion si­mul­ta­née et de plus en plus fréquente de plusieurs appareils au sein d’un même foyer ont rendu né­ces­saire le recours à de nouvelles tech­no­lo­gies.

Le PPPoE présente les mêmes avantages que le PPP, mais avec une tech­no­lo­gie basée sur l’Ethernet. Cette tech­no­lo­gie filaire s’est désormais gé­né­ra­li­sée et permet d’établir des con­nexions rapides et per­fec­tion­nées. La fameuse séquence PPP du paquet de données est en­cap­su­lée dans la trame Ethernet.

Le PPPoE est l’un des éléments de la pile de pro­to­coles du modèle TCP/IP. Il figure sur la couche la plus basse, celle de l’accès au réseau. Le protocole se déroule en deux phases dis­tinctes qui ont également un impact sur la structure. La première phase est la phase de dé­cou­verte. À ce stade, le protocole détermine l'adresse MAC du nœud afin de pouvoir accéder à Internet. Cette requête se fait par l’in­ter­mé­diaire d’une diffusion : les paquets de données sont envoyés sans but précis sur le réseau. Le nœud, appelé également point de présence (PoP), émet une réponse et établit un niveau de com­mu­ni­ca­tion entre les deux parties con­nec­tées au réseau.

Vient ensuite l’étape de la session PPPoE qui va dans un premier temps traiter les détails. Le nœud vérifie notamment les droits d’accès du client. Vient ensuite l’uti­li­sa­tion pro­pre­ment dite d'In­ter­net qui cor­res­pond toujours à l’étape de la session PPPoE.

Afin de pouvoir iden­ti­fier les dif­fé­rentes phases, il suffit de se reporter aux champs de la trame Ethernet. Le champ « type Ethernet » affiche 0x8863 pour la phase dé­cou­verte ou 0x8864 pour la phase session. Vient ensuite la trame PPPoE, en­cap­su­lée dans le champ de données de la trame Ethernet. Le PPPoE est à nouveau réparti en plusieurs sections. C’est la version du PPPoE qui est transmise en premier lieu. Cependant, comme il n'existe qu'une seule version du protocole, on ne trouve ici que la valeur 1. Vient ensuite le type PPPoE qui cor­res­pond toujours à 1.

Alors que les deux premières versions n’étaient codées que sur 4 bits chacune, le code champ qui suit est de 1 octet (c'est-à-dire 8 bits). Ce champ est par­ti­cu­liè­re­ment important pour la phase de dé­cou­verte du PPPoE. En effet, il indique aux deux parties à quel stade de la com­mu­ni­ca­tion elles se trouvent. Si vous êtes déjà en phase session, le champ affiche sim­ple­ment la valeur 0x00. La phase de dé­cou­verte peut cependant comporter 5 valeurs dif­fé­rentes :

• 0x09 Le paquet de dé­cou­verte « Ini­tia­li­sa­tion » (PADI)
• 0x07 Le paquet de dé­cou­verte « Offre » (PADO)
• 0x19 Le paquet de dé­cou­verte « Requête » (PADR)
• 0x65 Le paquet de dé­cou­verte « Con­fir­ma­tion de session » (PADS)
• 0xa7 Le paquet de dé­cou­verte « Ter­mi­nai­son » (PADT)

La phase de dé­cou­verte débute avec la diffusion (PADI). Au cours de cette étape, le client transmet également sa propre adresse MAC afin de pouvoir obtenir une réponse. Dans le paquet de données suivant émis par le PoP, le PoP com­mu­nique sa propre adresse MAC ainsi que son nom (PADO). Il est tout à fait possible que plusieurs nœuds répondent à la diffusion du client. L'or­di­na­teur ou le routeur local doit alors choisir, en fonction du nom, le PoP qu’il souhaite contacter. Il en informe le nœud par une autre diffusion (PADR). Le point de présence (PoP) contacte alors à nouveau l'abonné du réseau, confirme la connexion et attribue à l'ap­pa­reil un iden­ti­fiant de session (PADS). La connexion Internet est désormais établie. Si l’une des parties souhaite mettre fin à la connexion, elle en informe l'autre appareil au moyen d’un paquet de données indiquant que la session est terminée (PADT).

Une fois que la connexion a été établie et que le point de présence a attribué un iden­ti­fiant de session, c’est au tour des autres champs de la trame d’in­ter­ve­nir. Il faut tout d’abord saisir l’iden­ti­fiant de la session qui va permettre d'iden­ti­fier tous les paquets de données qui suivront. On définit ensuite la longueur dé­fi­ni­tive du champ de la charge utile. Cette in­for­ma­tion va permettre de s’assurer qu’aucune in­for­ma­tion ne sera perdue pendant le transfert. Le champ de protocole qui suit indique le type de protocole employé pour la charge utile, par exemple, IPv4 ou IPv6. Ces trois champs ont chacun une longueur de 2 octets. Fi­na­le­ment, le champ charge utile contient les données réelles destinées à être trans­mises. La durée de cette section peut varier (l’in­for­ma­tion aura été com­mu­ni­quée au préalable) et finalise la trame du PPPoE.

Le Point to Point protocol over Ethernet est fortement lié au dé­ve­lop­pe­ment de la tech­no­lo­gie DSL ainsi qu’à la gé­né­ra­li­sa­tion d’Internet. Son pré­dé­ces­seur, le PPP avait été conçu à l’origine pour les lignes commutées comme l’ISDN. Avec la tech­no­lo­gie DSL, l'Ether­net s’est gé­né­ra­lisé un peu partout. Il a donc fallu mettre à jour l’ancien protocole qui jusqu’alors ren­con­trait un fort succès. Ethernet permet également à plusieurs appareils de partager la même connexion pour accéder à Internet. Ce qui n’était jusqu’à présent pas le cas avec le Point to Point protocol.

La plupart du temps, le routeur est chargé d’établir la connexion directe avec le four­nis­seur d’accès et permet ainsi d’accéder à Internet. En revanche, le PPPoE permet à un appareil in­di­vi­duel de com­mu­ni­quer di­rec­te­ment avec le PoP. Il suffit d'activer le PPPoE-Pass­through sur le routeur. Le routeur transmet alors di­rec­te­ment la demande de connexion de l'ap­pa­reil. Les phases de dé­cou­verte et de session se déroulent donc entre le PC (par exemple) et le PoP.

Le PPPoE a également un côté positif que le PPP avait déjà : c’est un protocole qui permet de vérifier assez fa­ci­le­ment les droits d'accès du client. Il existe plusieurs méthodes pour y parvenir : le moyen le plus simple pour demander un mot de passe est le protocole d'au­then­ti­fi­ca­tion par mot de passe (PAP) qui consiste tout sim­ple­ment à demander au client un mot de passe connu de lui seul. Cette technique n'est cependant plus très fiable, même si dans l’absolu elle donne de bons résultats. En effet, lors de la trans­mis­sion, le mot de passe n'est pas chiffré et pourrait par con­sé­quent être lu par un tiers.

Le protocole CHAP (Challenge Handshake Au­then­ti­ca­tion Protocol) offre davantage de sécurité. Il repose sur l'échange d’une com­bi­nai­son chiffrée du mot de passe et d’une valeur dé­ter­mi­née. Étant donné que le serveur de l'opé­ra­teur réseau connaît le mot de passe, il peut donc dé­chif­frer la com­bi­nai­son et vérifier ainsi l'au­to­ri­sa­tion. Il existe une troisième pos­si­bi­lité d'au­then­ti­fi­ca­tion appelée EAP (Ex­ten­sible Au­then­ti­ca­tion Protocol). Il s'agit d'une sorte de cadre qui propose plusieurs options d'au­then­ti­fi­ca­tion.