Remote Transit IP VeryCloud : architecture, tunnels et choix d'implémentation

Introduction

Le Remote Transit IP consiste à livrer du transit BGP à distance via un tunnel L3/L2 entre le réseau VeryCloud (AS198825, Telehouse 3 Paris) et ton infrastructure, où qu'elle soit hébergée. Concrètement : tu gardes tes serveurs où ils sont, mais tu annonces tes préfixes IP via VeryCloud, qui les route sur Internet via son backbone multi-homé (2 Tier 1 FR + peering FranceIX et IX européens).

C'est utile pour :

• Protéger des serveurs home hosting derrière l'Anti-DDoS Netrix
• Garder ses propres préfixes IPv4/IPv6 même en changeant d'hébergeur
• Ajouter de la redondance multi-homing à une infra existante
• Tester du BGP en lab avec du transit réel

Prérequis

• Un compte client VeryCloud avec une offre Remote Transit IP active
• Une IP publique côté client (statique, ou dynamique avec DDNS si tu fais du tunneling)
• Du matériel ou un soft capable de monter un tunnel (Linux, OPNsense, Cisco, Arista, Mikrotik...)
• Un AS public ou privé pour ton côté (peut être un AS privé 64512-65534 si tu n'as pas le tien)
• Tes préfixes IPv4/IPv6 (jusqu'à 10 par défaut, 25 en option)

Étape 1 : Comprendre le schéma global

   Tes serveurs                         Internet
   ┌────────────┐                          │
   │ 192.0.2.0/24, ─┐                      │
   │ 2001:db8::/48  │     Tunnel           │
   │ AS65000        ├─────────────────┐    │
   └────────────────┘   (GRE/VXLAN/   │    │
                        WireGuard)    ▼    │
                                   ┌──────────┐
                                   │ VeryCloud│
                                   │ AS198825 │◄─── Anti-DDoS Netrix
                                   │ TH3 Paris│
                                   └────┬─────┘
                                        │
                                  Tier 1 + FranceIX

Côté client : tu encapsules ton trafic dans le tunnel, et tu établis une session BGP par-dessus ce tunnel avec un router VeryCloud. Cette session sert à annoncer tes préfixes et recevoir une default route (ou une full table en option).

Étape 2 : Les 4 transports possibles

Recommandation par cas :

• Tu as un VPS / serveur dédié avec IP publique fixe → GRE
• Tu es derrière une box résidentielle (Bbox Bouygues, Livebox...) → WireGuard ou VXLAN (proto 47 souvent bloqué)
• Tu utilises du Mikrotik → EoIP si tu restes Mikrotik des deux côtés (VeryCloud sait faire)
• Tu veux étendre un broadcast L2 → VXLAN

Étape 3 : Plan d'adressage du tunnel

VeryCloud te fournit un plan d'adressage IP du tunnel typiquement en /30 (IPv4) et /127 (IPv6), exemple :

Tunnel IPv4 : 169.254.X.0/30
  - VeryCloud side : 169.254.X.1
  - Client side    : 169.254.X.2

Tunnel IPv6 : 2a0e:XXXX:XXXX::/127
  - VeryCloud side : 2a0e:XXXX:XXXX::0
  - Client side    : 2a0e:XXXX:XXXX::1

Ces IPs sont uniquement pour la session BGP, pas pour ton trafic productif. Le trafic productif passera par les préfixes que tu annonces.

Étape 4 : Plan d'adressage BGP

Étape 5 : Préparer ta commande

Quand tu commandes un Remote Transit IP, VeryCloud te demande :

1. Type de tunnel : GRE, VXLAN, EoIP, ou WireGuard
2. Endpoint client : ton IP publique fixe (sinon discuter d'une solution DDNS / réservation)
3. Sessions BGP : v6 incluse par défaut, v4 ou combo +19,99€/mois
4. Préfixes : tes ressources IPv4 (RIPE / ARIN / APNIC) et IPv6, ou des préfixes loués
5. Routes reçues : default route incluse, full BGP table en option +9,99€/mois

Après commande, l'équipe revient sous 24h avec un mail technique contenant : config tunnel côté client, plan d'adressage, ASN, peer-IPs et password MD5 si choisi.

Étape 6 : RPKI et IRR

Avant même de monter ton tunnel, prépare :

• ROA RPKI sur tes préfixes via ton RIR (RIPE NCC, ARIN, etc.) — autorise AS198825 à annoncer tes préfixes
• route(6)-objects IRR dans la DB de ton RIR — beaucoup d'opérateurs filtrent sur IRR
• AS-SET si tu as plusieurs ASN sous-jacents

Sans ROA ni IRR, tes annonces seront filtrées par une bonne partie d'Internet, et le Remote Transit IP ne sert à rien.

Étape 7 : Vérification avec le Looking Glass

VeryCloud publie un Looking Glass à https://lg.verycloud.fr/ (vérifie l'URL exacte sur la doc commerciale). Tu peux y :

• Voir si AS198825 reçoit bien tes annonces
• Tester un ping ou traceroute depuis le backbone VeryCloud vers une IP donnée
• Vérifier les chemins BGP utilisés

C'est ton premier outil de troubleshooting une fois la session établie.

Étape 8 : Plan pour la suite

Une fois ton Remote Transit IP livré, la chaîne typique pour mettre en prod est :

1. Monter le tunnel (GRE/VXLAN/WireGuard) et vérifier ping sur les IPs du tunnel
2. Configurer BGP (BIRD / FRR / Cisco / Arista...) et établir la session
3. Annoncer tes préfixes (network statement + route-map filter)
4. Recevoir la default route et vérifier que ton trafic sort par VeryCloud
5. Tester en condition réelle : ping de l'extérieur vers tes préfixes
6. Sécuriser : MD5, max-prefix, GTSM, RPKI
7. Monitorer : alerting sur session DOWN

Chaque étape a son tuto dédié sur la doc.

Dépannage à anticiper

Le tunnel monte mais BGP ne s'établit pas — souvent un firewall qui drop TCP/179 sur les IPs internes du tunnel. Vérifie iptables/conntrack.

Latence anormale — la latence dépend du chemin physique entre toi et Paris (TH3). Comptez ~5-10ms si tu es en France, ~25-40ms ailleurs en Europe.

MTU et fragmentation — un tunnel ajoute des headers. Effective MTU dans le tunnel : MTU physique - 24 (GRE) ou 50 (VXLAN) ou 80 (WireGuard). Voir tutos dédiés.

Préfixes pas annoncés sur Internet — vérifie ton ROA RPKI et tes route-objects IRR. C'est presque toujours là.

Commandes utiles

# Voir les annonces de ton AS depuis l'exterieur
whois -h whois.radb.net AS65000

# Verifier un ROA RPKI
rpki-client -d /var/db/rpki-client

# Voir les routes reçues par AS198825 sur tes prefixes
# -> Looking Glass VeryCloud

Conclusion

Le Remote Transit IP, c'est ouvrir une porte propre vers Internet via AS198825, sans bouger tes serveurs. Un tunnel + une session BGP, et tu hérites du backbone VeryCloud, du multi-homing Tier 1 et de l'Anti-DDoS Netrix. La complexité est dans les détails : ROA, IRR, MTU, sécurité. Les 9 tutos suivants de ce pack te couvrent.

Pour aller plus loin : choisir entre GRE, VXLAN, WireGuard selon ta contrainte ; configurer BIRD ou FRR ; durcir la session BGP avec RPKI et MD5.

Ressources

• RFC 4271 — A Border Gateway Protocol 4 (BGP-4)
• RFC 2784 — Generic Routing Encapsulation (GRE)
• RFC 7348 — VXLAN
• RIPE NCC — Manage ROAs
• VeryCloud — Remote Transit IP