• Les fondamentaux IP
  • Netmask et CIDR
  • Routage
  • ARP / NDP
  • ICMP
  • MTU
• Le réseau sous Linux
  • Network Namespace
  • Interface veth
  • Interface, port et master
  • Bridge Linux
  • VLAN
  • Neighbor Cache
  • Netfilter / Conntrack
• Lab 1 – Comprendre l’adressage IP
  • Calcul des sous-réseaux
  • Compréhension du CIDR
  • Dimensionnement d’un cluster Kubernetes
• Lab 2 – Comprendre le réseau Linux
  • Exploration des interfaces réseau
  • Compréhension du routage
  • Découverte de la résolution ARP
  • Analyse des tables réseau

• Les principes fondamentaux
  • Les 4 règles du réseau Kubernetes
  • Pourquoi Kubernetes ne NAT pas les Pods
• Le plan d’adressage
  • Cluster Network
  • Service Network
  • Node Network
  • HostPrefix
  • Allocation des adresses IP
• Les communications réseau
  • Pod → Pod (même Node)
  • Pod → Pod (Node différent)
  • Pod → Service
  • Pod → Internet
• Les objets réseau Kubernetes
  • Pod
  • Service
  • Endpoints
  • EndpointSlice
  • DNS
• Les composants réseau
  • CNI
  • CoreDNS
  • kube-proxy
  • Pourquoi OVN remplace kube-proxy
• Connecter un Pod au réseau
  • Pourquoi un CNI
  • Architecture CNI
  • Cycle de vie (ADD / DEL / CHECK)
  • Création du Network Namespace
  • Création du veth
  • Rattachement de l’interface au réseau du Node
  • Attribution de l’adresse IP
  • Configuration des routes
  • Introduction à OVN-Kubernetes
• Lab 3 – Explorer le réseau de deux Pods
  • Deux Pods sur deux Nodes
  • Analyse des interfaces réseau
  • Analyse des tables de routage
  • Analyse du Neighbour Cache
  • Validation des quatre règles du réseau Kubernetes
• Lab 4 – Comprendre le modèle réseau Kubernetes
  • Analyse du plan d’adressage du cluster
  • Identification des objets réseau
  • Observation des composants réseau
• Lab 5 – Comprendre le fonctionnement d’un CNI
  • Création d’un Pod
  • Observation de la connexion au réseau
  • Analyse de la configuration réseau appliquée au Pod

• Pourquoi Kubernetes délègue le réseau au CNI
  • Kubernetes décrit un état souhaité.
  • Il ne configure jamais directement le réseau.
  • Le CNI traduit ce modèle en configuration réseau.
• Les grandes familles de CNI
  • Les CNI basés sur un réseau Overlay.
  • Les CNI basés sur un réseau routé (Underlay).
  • Les CNI utilisant eBPF.
  • Les CNI basés sur une architecture SDN.
• Panorama des principaux CNI
  • Flannel
  • Calico
  • Cilium
  • OVN-Kubernetes
• Pourquoi OpenShift utilise OVN-Kubernetes
  • Une architecture SDN complète.
  • Une excellente montée en charge.
  • Un routage distribué.
  • Une intégration native avec OpenShift.
  • Des fonctionnalités réseau avancées (ACL, Load Balancer, MultiNetwork, Interconnect…).
• Transition vers OVN Deep Dive
  • Comprendre l’architecture d’OVN-Kubernetes.
  • Découvrir les composants qui implémentent le modèle réseau Kubernetes.
  • Suivre la transformation d’un objet Kubernetes en configuration réseau.

• Architecture
  • Pourquoi OVN ?
  • Les composants
  • Les bases de données
  • Le control plane
  • Le data plane
• Les objets logiques
  • Logical Switch
  • Logical Router
  • Logical Switch Port
  • Logical Router Port
  • ACL
  • Address Set
  • Port Group
  • Load Balancer
• Comment OVN construit le réseau
  • Création d’un Pod
  • Création des objets logiques
  • Programmation d’Open vSwitch
  • OpenFlow
  • Datapath
• Les flux réseau
  • Pod → Pod (même nœud)
  • Pod → Pod (nœud distant)
  • Pod → Service
  • Pod → Internet
• Le réseau Overlay
  • Geneve
  • Encapsulation
  • Transit
  • MTU
  • Packet Walk
• OVN-Kubernetes à grande échelle
  • Zones
  • Interconnect
  • Chassis
  • Encapsulation
  • Haute disponibilité
  • Debug

• Lab 6 – Explorer l’architecture et les objets logiques OVN
  • Identification des composants et des bases Northbound et Southbound
  • Exploration des Logical Switches, Logical Routers et ports
  • Création d’un Pod et observation des objets associés
  • Correspondance entre objets Kubernetes, objets OVN et ports Open vSwitch
• Lab 7 – Suivre les flux réseau et l’encapsulation Geneve
  • Analyse des communications entre Pods sur un même nœud et sur des nœuds différents
  • Observation des flux vers un Service et vers Internet
  • Capture du trafic Geneve et identification des tunnels
• Lab 8 – Diagnostiquer le réseau OVN-Kubernetes
  • Exploration des zones, des chassis et des interconnexions
  • Analyse des flux logiques avec ovn-trace
  • Inspection des règles OpenFlow et du datapath Open vSwitch
  • Diagnostic d’une rupture de communication et validation du rétablissement

• Les opérateurs réseau
  • Cluster Network Operator
  • DNS Operator
  • Ingress Operator
• Les composants
  • Router
  • Route
  • IngressController
  • Service CA
• Les Routes
  • Edge
  • Passthrough
  • Reencrypt
  • Wildcard
  • TLS
• DNS
  • CoreDNS
  • Wildcard DNS
  • API DNS
• Exploitation
  • oc
  • Debug
  • tcpdump
  • ovn-nbctl
  • ovn-sbctl
• Lab 9 – Comparaison des types de Services
• Lab 10 – Configuration des IngressControllers
• Lab 11 – Résolution DNS et certificats

Sécurité réseau — Sécuriser les communications Kubernetes/OpenShift

• Les principes de sécurité réseau
  • Zero Trust et principe du moindre privilège
  • Micro-segmentation des applications
  • Namespaces et isolation réseau
  • Isolation multi-tenant
• Les NetworkPolicies
  • Sélection des Pods et des Namespaces
  • Politiques Ingress et Egress
  • Isolation par défaut : Default Deny
  • Autorisation explicite des communications
  • Gestion des accès DNS
• Le contrôle des communications
  • Contrôle des flux Est-Ouest entre applications
  • Contrôle des sorties réseau : Egress control
  • Autorisation des destinations et des ports nécessaires
• La sécurité avec un Service Mesh
  • Principes du Service Mesh networking
  • Chiffrement des communications avec mTLS
  • Identité des services et autorisation des échanges
  • Complémentarité avec les NetworkPolicies
• Le diagnostic des politiques réseau
  • Vérification des labels et des sélecteurs
  • Analyse des règles et des politiques cumulées
  • Observation des flux autorisés et bloqués
  • Diagnostic des problèmes DNS et de connexion
  • Impact des connexions existantes et de Conntrack
• Lab 12 – Isolation des applications et des tenants
  • Mise en place de plusieurs Namespaces
  • Application de politiques Default Deny
  • Autorisation des communications nécessaires
  • Validation de l’isolation entre applications et tenants
• Lab 13 – Contrôle des flux Est-Ouest et des sorties
  • Segmentation d’une application en plusieurs tiers
  • Contrôle des échanges entre les composants
  • Restriction des sorties réseau
• Lab 14 – Sécurisation des échanges avec un Service Mesh
  • Activation du mTLS entre services
  • Application de règles d’autorisation
  • Vérification des communications autorisées et refusées
  • Combinaison avec les NetworkPolicies

• Architecture Datacenter
  ◦ LAN
  ◦ DMZ
  ◦ Firewall
  ◦ VLAN
  ◦ VRF
• Load Balancers
  ◦ F5
  ◦ NetScaler
  ◦ HAProxy
• Publication
  ◦ NodePort
  ◦ LoadBalancer
  ◦ Ingress
  ◦ Reverse Proxy
• Sécurité
  ◦ Firewall
  ◦ WAF
  ◦ IPS
  ◦ IDS
  ◦ TLS
• Sortie Internet
  ◦ NAT
  ◦ EgressIP
  ◦ Proxy
  ◦ SSL Inspection
• Haute disponibilité
  ◦ BGP
  ◦ ECMP
  ◦ Anycast
  ◦ GSLB
• Lab 15 – Publication avec MetalLB

• Pourquoi Gateway API
• Architecture
  ◦ GatewayClass
  ◦ Gateway
  ◦ Listener
• Les Routes
  ◦ HTTPRoute
  ◦ TCPRoute
  ◦ TLSRoute
  ◦ UDPRoute
  ◦ GRPCRoute
• Traffic Management
  ◦ Load Balancing
  ◦ Header Rewrite
  ◦ URL Rewrite
  ◦ Redirect
• Sécurité
  ◦ TLS
  ◦ mTLS
  ◦ Authentification
  ◦ Rate Limiting
• Cas d’usage
• Lab 16 – Déploiement d’une Gateway
• Lab 17 – Publication avec HTTPRoute
• Lab 18 – Sécurisation avec TLS et mTLS
• Lab 19 – Publication d’un service TCP

• Pourquoi plusieurs réseaux
• Multus
  ◦ NAD
  ◦ Interfaces secondaires
• UDN
  ◦ Primary UDN
  ◦ Secondary UDN
  ◦ CUDN
• Types de réseaux
  ◦ Layer2
  ◦ Layer3
  ◦ Localnet
• Communication
  ◦ UDN → UDN
  ◦ UDN → Cluster
  ◦ UDN → Physique
• Sécurité
  ◦ MultiNetworkPolicy
  ◦ Isolation
  ◦ ACL
• Lab 20 – Création d’un réseau secondaire avec Multus
• Lab 21 – Déploiement d’un User Defined Network
• Lab 22 – Connexion à un réseau physique (Localnet)
• Lab 23 – Isolation entre plusieurs réseaux
• Lab 24 – Configuration d’un EgressIP sur un UDN

• Architecture
  ◦ VM
  ◦ VMI
  ◦ virt-launcher
• Interfaces réseau
  ◦ Masquerade
  ◦ Bridge
  ◦ SR-IOV
  ◦ Passt
• Réseau VM
  ◦ VM ↔ VM
  ◦ VM ↔ Pod
  ◦ VM ↔ Physique
• VLAN
  ◦ Trunk
  ◦ Access
  ◦ Bridge Linux
• Services
  ◦ Live Migration
  ◦ DHCP
  ◦ DNS
  ◦ Services Kubernetes
• Cas d’entreprise
  ◦ Migration VMware
  ◦ Réseaux Legacy
  ◦ Bare Metal
  ◦ Haute disponibilité
• Lab 25 – Découverte du réseau des machines virtuelles
• Lab 26 – Comparaison des modes réseau (Masquerade / Bridge / Passt)
• Lab 27 – Connexion d’une VM à un VLAN physique
• Lab 28 – Communication entre VM et Pods
• Lab 29 – Publication d’une machine virtuelle
• Lab 30 – Live Migration et analyse des flux réseau