Le modèle OSI et TCP/IP, l'encapsulation et les ports

Objectif

Savoir décrire ce qui se passe quand un poste d'agence envoie une requête au serveur du siège : quelles couches interviennent, ce qu'on ajoute au message à chaque étape, et sur quel port le serveur répond. C'est le vocabulaire de base de toute la formation.

L'essentiel

• Le modèle OSI découpe la communication en 7 couches ; le modèle TCP/IP, celui qu'on utilise vraiment, en 4.
• Chaque couche ajoute un en-tête au message de la couche du dessus : c'est l'encapsulation. À l'arrivée, chaque couche retire le sien.
• IP (couche 3) achemine les paquets d'une machine à l'autre ; TCP et UDP (couche 4) les livrent à la bonne application grâce au port.
• TCP est fiable et ordonné (connexion, accusés de réception) ; UDP est léger et sans connexion (DNS, DHCP, VoIP, WireGuard).
• Retenez une poignée de ports : 22 SSH, 53 DNS, 80/443 HTTP(S), 25/587 SMTP, 67/68 DHCP, 3306 MySQL, 51820 WireGuard.

Pourquoi des couches ?

Imaginez la Banque Atlas (banque fictive qui nous suivra tout au long du cours) : un siège à Casablanca, des agences à Fès et à Tanger, des conseillers en télétravail. Quand un guichetier de Fès consulte un compte, il se passe beaucoup de choses : le navigateur fabrique une requête HTTPS, le système la découpe, la carte réseau la transforme en signaux électriques ou radio, des routeurs d'opérateur la transportent jusqu'à Casablanca…

Personne ne pourrait concevoir tout cela d'un bloc. On a donc découpé le problème en couches : chacune rend un service à celle du dessus et utilise celle du dessous, sans connaître les détails des autres. Le navigateur ne sait pas si la liaison passe par la fibre ou la 4G ; la carte Wi-Fi ne sait pas qu'elle transporte du HTTPS.

Le modèle OSI (7 couches)

Moyen mnémotechnique (de 1 à 7) : « Pour Le Réseau, Tout Se Passe Automatiquement ».

Les couches 5 et 6 existent surtout sur le papier : dans la pratique, l'application les gère elle-même. Les techniciens parlent pourtant tous les jours en numéros de couche : « un problème de couche 1 » (câble débranché), « un commutateur de niveau 3 » (qui sait aussi router), « un répartiteur de charge de couche 7 » (qui lit les URL).

Le modèle TCP/IP (4 couches)

C'est ce modèle que suivent Linux, Windows et le cloud. Dans Azure, par exemple, un réseau virtuel vous laisse choisir des adresses IP, des sous-réseaux et des routes (couche 3) et filtrer par ports (couche 4) ; la couche physique, elle, est entièrement gérée par Microsoft.

L'encapsulation, étape par étape

Le guichetier de Fès ouvre https://compte.atlas.lan. Voici comment le message descend les couches :

[ Données HTTP chiffrées par TLS ]                                    couche 7
[ En-tête TCP | Données ]                    port source 51544 → port 443   couche 4
[ En-tête IP | En-tête TCP | Données ]       10.21.10.25 → 10.20.1.10        couche 3
[ En-tête Ethernet | IP | TCP | Données | FCS ]  MAC du poste → MAC du routeur   couche 2
0101100101…                                   signaux sur le câble          couche 1

À chaque saut (routeur d'agence, réseau de l'opérateur, routeur du siège), la trame (couche 2) est retirée puis refaite pour le lien suivant ; le paquet IP (couche 3), lui, voyage de bout en bout. Au serveur, le chemin se fait à l'envers : chaque couche lit son en-tête, le retire et passe le reste à la couche du dessus. C'est la désencapsulation.

Des tailles à connaître

Le plus gros morceau de données TCP qui tient dans une trame s'appelle le MSS : 1500 − 20 − 20 = 1460 octets en IPv4. Ces calculs reviendront avec les VPN : un tunnel ajoute ses propres en-têtes, il faut donc réduire la MTU à l'intérieur du tunnel, sinon les gros paquets sont fragmentés ou perdus. Les clouds publics publient d'ailleurs leurs recommandations de MTU pour les machines virtuelles.

TCP ou UDP ?

La poignée de main TCP en trois temps :

Poste de Fès                       Serveur du siège
   SYN  (je veux parler, port 443)  ─────────►
        ◄─────────  SYN-ACK (d'accord)
   ACK  (c'est parti)               ─────────►
   … données …
   FIN / ACK pour fermer

Pourquoi WireGuard choisit UDP ? Parce qu'il transporte lui-même du TCP : mettre du TCP dans du TCP provoque des retransmissions en cascade dès que la 4G d'un télétravailleur perd quelques paquets.

Les ports

Une adresse IP désigne une machine ; un port (0 à 65535) désigne une application sur cette machine. Le couple « adresse IP + port + protocole » est une socket.

• 0 à 1023 : ports bien connus, réservés aux services standard (il faut être root pour les ouvrir sous Linux).
• 1024 à 49151 : ports enregistrés (3306 MySQL, 5432 PostgreSQL, 1194 OpenVPN…).
• 49152 à 65535 : ports éphémères, choisis au hasard par le client pour chaque connexion sortante.

Sur un système Linux, le fichier /etc/services donne la correspondance nom ↔ numéro :

grep -w 443 /etc/services       # https 443/tcp
getent services ssh             # ssh 22/tcp

Voir les couches sur une machine Linux

ip link show                    # couche 2 : interfaces, adresses MAC, MTU
ip address show                 # couche 3 : adresses IP de chaque interface
ip route show                   # couche 3 : par où partent les paquets
ss -tulpn                       # couche 4 : ports TCP/UDP en écoute et programmes associés
curl -I https://exemple.ma      # couche 7 : une vraie requête HTTP

Un dépannage efficace suit les couches de bas en haut : le câble ou le Wi-Fi est-il connecté (1-2) ? La machine a-t-elle une adresse et une route (3) ? Le port répond-il (4) ? Le service fonctionne-t-il (7) ? Cette méthode est détaillée dans la leçon 4.1.

Exercice guidé : nommer les couches

Pour chaque situation de l'agence de Tanger, dites la couche concernée.

1. Le câble du poste de la caissière a été arraché par une chaise. → couche 1.
2. Deux machines ont la même adresse IP. → couche 3.
3. Le pare-feu bloque le port 3389. → couche 4.
4. Le site interne répond « 404 page introuvable ». → couche 7.
5. Le poste est branché sur le mauvais VLAN du commutateur. → couche 2.

Les protocoles courants en un coup d'œil

Exercice : lire un paquet

Voici, simplifié, ce qu'affiche un outil de capture pour un paquet capturé au siège, juste devant le serveur :

Ethernet  src 52:54:00:aa:10:25  dst 52:54:00:bb:00:01
IPv4      src 10.21.10.25        dst 10.20.1.10       ttl 63  proto TCP
TCP       sport 51544            dport 443            flags [S]

Questions et réponses :

1. Quelle machine a envoyé le paquet ? → 10.21.10.25 (un poste de l'agence).
2. Quel service est demandé ? → port de destination 443, donc HTTPS.
3. Que signifie le drapeau [S] ? → SYN : c'est le premier paquet de la poignée de main TCP.
4. Le port 51544 est-il un service ? → non, c'est un port éphémère choisi par le client.
5. Le TTL vaut 63 : que s'est-il passé ? → le poste l'a envoyé avec un TTL de 64 (valeur habituelle sous Linux) ; chaque routeur traversé retire 1 : un routeur l'a déjà fait suivre. Dans un VPN, tout le trajet chez l'opérateur est caché dans le tunnel et ne compte pas.

Pièges fréquents

• Confondre adresse et port : 10.20.1.10:443 désigne le service HTTPS de la machine 10.20.1.10. Ouvrir le port sur le pare-feu ne sert à rien si le service n'écoute pas.
• Croire que DNS n'utilise que UDP : les grosses réponses et les transferts de zone passent en TCP 53. Un pare-feu qui ne laisse passer que UDP 53 crée des pannes étranges.
• Oublier la MTU dans un tunnel : le site s'ouvre mais les gros fichiers bloquent. C'est presque toujours une MTU trop grande.
• Penser « OSI » pour configurer : on raisonne avec OSI, mais on configure avec TCP/IP (interface, IP, route, port, service).

Lab

Vous allez écrire vos fiches de révision dans /root/reseau : la liste des sept couches, les ports à connaître, le calcul du MSS à partir de la MTU, puis un petit script shell qui donne la couche d'un protocole. Le script est vraiment exécuté par la vérification : il doit afficher le bon numéro pour chaque protocole.

Quiz

1. Combien de couches comptent le modèle OSI et le modèle TCP/IP ?
2. À quelle couche travaillent un commutateur classique et un routeur ?
3. Qu'est-ce que l'encapsulation ?
4. Pourquoi le DNS utilise-t-il surtout UDP, et dans quel cas passe-t-il en TCP ?
5. Quel est le MSS habituel d'une connexion TCP en IPv4 sur Ethernet ?

Sources de référence : documentations officielles Microsoft Learn (Windows Server, Azure) et Red Hat. Texte original MasterLinux.