Starlink : Un service de secours pour la maintenance de nos équipements réseau

L'année dernière, nous présentions notre mise en place des équipements Starlink chez Aqua Ray. Pour rappel, conçu par SpaceX, Starlink est un système internet haut débit à faible latence le plus avancé du monde. Dans notre article, nous abordions le matériel déployé ainsi que les quelques tests de fonctionnement et évoquions l'utilisation de ce réseau pour accéder à nos équipements indépendamment du nôtre.
Depuis, qu’en est-il de cette utilisation ?

Nous avons conçu notre infrastructure réseau pour être résiliente, c'est-à-dire que la perte d'un lien ne doit pas entraîner de coupure.
Nous avons ainsi déployé plusieurs chemins de fibre pour relier nos data centers entre eux. Chaque chemin est physiquement indépendant des autres et ne suit pas le même tracé. Chacun des data centers est relié à au moins deux autres par le biais de ces fibres.

Ces fibres peuvent transporter plusieurs longueurs d'onde, permettant de créer plusieurs liens logiques entre nos équipements. Une de ces longueurs d'onde transporte par exemple le trafic réseau des serveurs dédiés de nos clients, tandis qu’une autre, celui de nos services internes. Par ailleurs, une de ces longueurs d'onde transporte le trafic d'un réseau un peu différent : l’Out-of-Band (OOB).

Lorsque nous subissons une attaque visant à saturer notre réseau, l'accès à nos équipements permettant de répondre à cette attaque est perturbé. Nous avons décidé de mettre en place un réseau secondaire, en parallèle du principal, dédié à joindre uniquement nos équipements réseau et quelques services associés lorsque c’est nécessaire.
L'OOB est raccordé au sein d'un réseau logiquement indépendant (aucune adresse IP de ce réseau n'est utilisée ailleurs). Il est porté entre les data centers par une longueur d'onde dédiée et à l'intérieur d'un data center par un VLAN (Virtual Local Area Network) dédié également.
Dans ce réseau, on retrouve plusieurs services de surveillance et de configuration de nos équipements, comme Observium ou Andrisoft Wanguard. Ces services sont rendus accessibles à nos équipes via une passerelle accessible sur notre VPN.
Enfin, un serveur « bastion » (connecté à la fois à l'OOB et au réseau public Starlink) est configuré pour se connecter régulièrement à un équipement hébergé chez un de nos confrères. Cette configuration permet l’ouverture d’un tunnel entre les deux différents réseaux. Cet équipement est accessible par nos équipes sur un nom de domaine dédié et enregistre les changements d'adresse IP de notre lien Starlink.

Si notre réseau interne n'est pas joignable, nous pouvons nous connecter à cet équipement externe et emprunter le tunnel ouvert pour joindre nos équipements réseau pour les dépanner.

Contrairement à ce que nous annoncions dans le premier article, nous n'avons pas mis en place de routeur tiers, ni de système basé sur un DNS dynamique pour de ne pas dépendre d'un prestataire externe supplémentaire. Finalement, nous avons préféré rester sur les options officiellement supportées par Starlink. Notre réseau Out-of-Band nous permet, par le biais de Starlink, de toujours pouvoir joindre et administrer nos équipements efficacement et ce même si notre réseau principal n'est pas fonctionnel.