Le modèle OSI : les 7 couches expliquées
Le modèle OSI divise la communication réseau en sept couches, du câble physique (couche 1) à l'application (couche 7). Chaque couche a une seule mission et ne dialogue qu'avec les couches situées immédiatement au-dessus et en dessous. Ce modèle est un outil pédagogique et de dépannage ; l'internet réel repose sur le modèle TCP/IP à quatre couches, plus simple.
Les sept couches
Côté émetteur, les données descendent à travers les couches et chacune ajoute son propre en-tête. C'est ce que l'on appelle l'encapsulation. Le récepteur retire les en-têtes dans l'ordre inverse. L'unité de données de chaque couche s'appelle une PDU (protocol data unit).
| Couche | Nom | PDU | Exemples de protocoles | Équipements typiques |
|---|---|---|---|---|
| 7 | Application | Données | HTTP, DNS, SMTP, SSH | Proxy, pare-feu applicatif |
| 6 | Présentation | Données | TLS (en partie), encodages de caractères, MIME | - |
| 5 | Session | Données | RPC, session NetBIOS, TLS (en partie) | - |
| 4 | Transport | Segment (TCP) ou datagramme (UDP) | TCP, UDP | Pare-feu, répartiteur de charge |
| 3 | Réseau | Paquet | IP, ICMP, OSPF | Routeur, commutateur de couche 3 |
| 2 | Liaison de données | Trame | Ethernet, Wi-Fi (802.11), ARP | Commutateur, point d'accès |
| 1 | Physique | Bit | Câblage Ethernet, fibre, radio | Câble, concentrateur (hub), répéteur |
OSI comparé à TCP/IP
Le modèle TCP/IP comporte quatre couches et reflète la façon dont les protocoles ont réellement été construits. La correspondance est approximative :
| Couche TCP/IP | Couches OSI |
|---|---|
| Application | 7, 6, 5 |
| Transport | 4 |
| Internet | 3 |
| Liaison (accès réseau) | 2, 1 |
Certains ouvrages présentent TCP/IP avec cinq couches, en scindant la couche liaison en liaison de données et physique. Dans le travail quotidien, on parle toujours de « commutateur de couche 2 » ou de « pare-feu de couche 7 » avec la numérotation OSI ; il est donc utile de connaître les deux modèles.
Ce qui se passe quand vous ouvrez un site web
Imaginez que vous saisissiez https://example.com dans votre navigateur.
- Couche 7 : le navigateur a besoin d'une adresse ; il envoie donc une requête DNS pour example.com. Plus tard, il envoie une requête HTTP.
- Couche 6/5 : une négociation (handshake) TLS convient des clés de chiffrement et vérifie le certificat du serveur.
- Couche 4 : TCP ouvre une connexion vers le port 443 avec une négociation en trois étapes (SYN, SYN-ACK, ACK) et découpe les données en segments.
- Couche 3 : IP place les adresses source et destination dans les paquets. Les routeurs les transmettent saut par saut.
- Couche 2 : sur chaque liaison, le paquet est placé dans une trame avec des adresses MAC. Sur les réseaux IPv4, ARP trouve l'adresse MAC du saut suivant.
- Couche 1 : la trame devient des signaux électriques, des impulsions lumineuses ou des ondes radio.
Sur le serveur, les mêmes étapes se déroulent dans l'ordre inverse, de la couche 1 à la couche 7.
Quelle couche chaque outil teste-t-il ?
Chaque vérification réseau prouve que les couches jusqu'à un certain niveau fonctionnent. Le tableau montre où se situent nos outils.
| Outil | Couche | Ce que cela prouve |
|---|---|---|
| Ping | 3 (ICMP) | L'hôte est joignable au niveau IP, et la durée d'un aller-retour |
| Traceroute | 3 | Quels routeurs se trouvent sur le chemin et où commencent le délai ou la perte |
| Testeur de ports | 4 (TCP) | Une connexion TCP vers un port donné peut être ouverte |
| Vérificateur SSL | 6/5, au-dessus de 4 | La négociation TLS fonctionne et le certificat est valide |
| En-têtes HTTP | 7 | Le serveur web répond, avec quel statut et quels en-têtes |
| Vérificateur DNS | 7 | Les serveurs de noms renvoient les enregistrements attendus |
Trois points demandent de l'attention :
- TLS ne tient pas dans une seule couche. Dans le modèle OSI, il est souvent placé à la couche 6 (chiffrement et présentation), parfois à la couche 5 (session). Dans le modèle TCP/IP, il fait simplement partie de la couche application, au-dessus de TCP. Pour le dépannage, il suffit de savoir que TLS intervient après TCP et avant HTTP.
- Le ping peut échouer sur un hôte qui fonctionne. De nombreux pare-feu bloquent les requêtes ICMP echo. Un ping qui échoue ne signifie pas toujours que l'hôte est hors service ; testez donc aussi le port. De plus, traceroute utilise le champ TTL des paquets IP et les réponses ICMP « time exceeded », et certains routeurs ne répondent pas, ce qui apparaît comme un trou dans le résultat.
- Le DNS fonctionne à la couche 7 même s'il est nécessaire avant tout le reste. Il utilise normalement le port UDP 53, et le port TCP 53 pour les réponses volumineuses et les transferts de zone.
Dépanner de bas en haut
Une méthode fiable consiste à partir de la couche 1 et à remonter. Chaque étape élimine tout un groupe de causes possibles.
- Couche 1 : Le câble est-il branché, le Wi-Fi activé, le voyant de liaison allumé ?
- Couche 2 : L'appareil a-t-il une liaison avec le commutateur ou le point d'accès ? Le VLAN est-il correct ? Recherchez des adresses MAC en double ou un mauvais mot de passe Wi-Fi.
- Couche 3 : L'appareil a-t-il une adresse IP, un masque et une passerelle valides ? Peut-il envoyer un ping à la passerelle, puis à une adresse extérieure comme
192.0.2.1? Utilisez traceroute si le chemin s'interrompt en route. Consultez ce qu'est une adresse IP et le découpage en sous-réseaux pour les erreurs d'adressage courantes. - Couche 4 : Le port est-il ouvert et non bloqué par un pare-feu ? Consultez les ports courants.
- Couches 5-6 : La négociation TLS réussit-elle ? Recherchez un certificat expiré, un nom incorrect ou une version de protocole non prise en charge.
- Couche 7 : Le nom est-il résolu, et l'application renvoie-t-elle une réponse correcte ?
En pratique, vous pouvez aussi travailler de haut en bas ou couper le problème en deux : si un test de port réussit, les couches 1 à 4 sont en bon état et vous pouvez vous concentrer sur l'application.