Pendant des années, un Point d’Échange Internet (IXP) a été décrit comme un gigantesque commutateur Ethernet auquel les opérateurs, fournisseurs de contenu et réseaux d’entreprise connectent leurs routeurs pour échanger du trafic directement. Cette explication reste utile, mais elle s’avoue insuffisante pour des infrastructures telles que DE-CIX, LINX ou AMS-IX : derrière la LAN de peering, existent aujourd’hui des architectures distribuées entre de nombreux centres de données, avec EVPN, MPLS, VXLAN, automatisation et liaisons de 100 et 400 GbE.

Les clés de l’architecture des grands IXPs en 30 secondes

• Un IXP fournit une infrastructure commune de couche 2 sur laquelle ses membres établissent des sessions BGP.
• Les route servers facilitent le peering multilatéral, mais ne transportent pas le trafic utilisateur.
• DE-CIX a achevé en 2022 la migration de sa plateforme Apollon vers EVPN tout en maintenant le service opérationnel.
• LINX utilise actuellement EVPN sur MPLS à LON1 et EVPN sur VXLAN à LON2.
• Il n’existe pas une architecture unique : AMS-IX continue de documenter une plateforme MPLS/VPLS pour son échange à Amsterdam.

Cette distinction est importante car Internet ne fonctionne pas comme une succession de circuits privés entre chaque paire d’opérateurs. Lorsque deux systèmes autonomes souhaitent échanger du trafic, ils peuvent établir un peering, évitant que ces paquets transitent nécessairement par un fournisseur de transit IP.

Un IXP crée justement l’endroit technique pour faire cela.

Que se passe-t-il réellement lorsqu’un réseau se connecte à un IXP ?

Du point de vue du membre, le fonctionnement peut sembler assez simple.

L’opérateur connecte un ou plusieurs ports de son routeur à l’infrastructure de l’IXP. Il reçoit des adresses IPv4 et IPv6 appartenant à la LAN de peering et, sur ce réseau, établit des sessions eBGP avec d’autres organisations.

Par exemple, un même IXP peut avoir simultanément relié :

Tous peuvent se retrouver sur la même infrastructure Ethernet de l’échange, même si cela ne signifie pas que tous échangent des routes entre eux.

La décision relève toujours de BGP.

Un opérateur peut maintenir un peering direct avec Google et Cloudflare, utiliser un route server pour échanger des routes avec des centaines d’autres réseaux, sans accepter de routes spécifiques d’un participant donné.

L’IXP assure la connectivité. Chaque membre définit sa politique.

Cela corrige également une idée répandue : l’IXP ne décide pas de la circulation du trafic entre ses participants.

Ce sont les routeurs de chaque système autonome qui prennent ces décisions en utilisant BGP.

Le route server élimine des centaines de sessions BGP

Les route servers sont l’une des pièces maîtresses des grands points d’échange.

Imaginez un IXP avec 800 participants. Si un réseau voulait établir un peering bilatéral avec chacun d’eux, il devrait gérer des centaines de sessions BGP indépendantes.

Le route server simplifie cette situation.

Le membre établit une session avec un ou généralement deux serveurs de routes. Ceux-ci reçoivent les routes annoncées par autres participants reliés au service et les redistribuent selon les politiques en place.

L’essentiel est que le route server ne devient pas le prochain saut du trafic.

Voici comment cela fonctionne en résumé :

1. L’ISP A annonce ses préfixes au route server.
2. Le fournisseur B annonce également ses routes.
3. Le route server communique les routes de B à l’ISP A.
4. Le routeur de l’ISP A apprend comment atteindre B.
5. Lorsque du trafic existe, les paquets circulent directement entre les routeurs A et B via la LAN de l’IXP.

Le route server participe au plan de contrôle, mais pas au plan de données.

Dans beaucoup d’IXPs, ces systèmes ne sont pas de simples routeurs physiques. Il est courant d’utiliser des logiciels comme BIRD sur des serveurs Linux, leur rôle principal étant de traiter les sessions et politiques BGP.

DE-CIX utilise par exemple BIRD dans son service GlobePEER.

Le vrai problème commence lorsque l’IXP occupe plusieurs dizaines de bâtiments

Un petit point d’échange installé dans un seul centre de données peut fonctionner avec une architecture relativement simple.

L’enjeu change totalement lorsque l’IXP s’étend sur de nombreux centres de données.

Un participant peut se connecter depuis un centre situé au nord d’une ville, et un autre depuis une installation différente à plusieurs kilomètres. Depuis les deux routeurs, une expérience de peering quasiment identique doit être maintenue.

Une façon plus claire de visualiser cela dans WordPress est avec le flux suivant :

CD P A

Routeur du FAI A → nœud d’accès de l’IXP

CD P B

Routeur du FAI B → nœud d’accès de l’IXP

CD P C

Routeur du fournisseur de contenu → nœud d’accès de l’IXP

Les trois nœuds d’accès sont reliés par le réseau interne distribué de l’IXP.

Du point de vue des participants, tous restent connectés à la même LAN de peering. Toutefois, en interne, l’opérateur de l’échange doit faire transiter ce service entre plusieurs bâtiments, liaisons et équipements réseau.

C’est là qu’interviennent des technologies telles que MPLS, VPLS, VXLAN et EVPN.

DE-CIX a migré son réseau vers EVPN avec du trafic en fonctionnement

DE-CIX offre l’un des cas les plus remarquables.

En décembre 2022, elle annonçait avoir achevé la plus grande mise à jour de son réseau, avec sa plateforme Apollon évoluant vers Peering LAN 2.0, basée sur l’Ethernet Virtual Private Network (EVPN).

La migration est particulièrement impressionnante car elle a été effectuée sans interrompre le fonctionnement des échanges.

Le processus a commencé à Phoenix et Francfort, puis s’est étendu aux autres sites utilisant cette architecture.

Avant de modifier l’infrastructure réelle, DE-CIX a reproduit virtuellement les LAN de peering pour tester le comportement du nouveau design.

Un des objectifs était de réduire ce qui, dans un petit réseau, importe peu mais peut devenir problématique avec des milliers de participants : ARP et Neighbor Discovery.

Lorsqu’un routeur souhaite connaître quelle adresse MAC correspond à une IP, il envoie normalement une requête pouvant atteindre de nombreux équipements dans le domaine de la couche 2.

Avec des centaines ou milliers de routeurs connectés, ce trafic ne peut plus être considéré comme insignifiant.

EVPN permet de distribuer l’information IP-MAC via son plan de contrôle et d’appliquer Proxy ARP et Proxy Neighbor Discovery, réduisant la nécessité d’inonder continuellement la LAN de ces requêtes.

DE-CIX a aussi participé à l’élaboration du RFC 9161, qui porte précisément sur l’utilisation opérationnelle de Proxy ARP/ND sur EVPN.

L’entreprise a même indiqué que certains clients ont constaté des réductions allant jusqu’à 25 % de la charge CPU de leurs routeurs après la migration, grâce à la diminution du bruit généré par ARP et NDP.

Comment fonctionne EVPN dans un IXP

EVPN introduit un changement majeur par rapport à l’Ethernet traditionnel.

Dans un domaine Ethernet classique, les commutateurs apprennent principalement quelles adresses MAC existent en observant le trafic qu’ils reçoivent.

Lorsqu’ils ne connaissent pas la destination, ils peuvent recourir au flooding.

EVPN intègre un plan de contrôle basé sur MP-BGP permettant de distribuer cette information de façon explicite entre les équipements.

Le fonctionnement simplifié est le suivant :

L’utilisateur voit toujours une LAN Ethernet.

La complexité est dissimulée dans le réseau de l’IXP.

LINX démontre que EVPN peut être construit de différentes manières

Un autre exemple pertinent est LINX, l’échangeur Internet de Londres.

Son réseau londonien est divisé en deux grandes plateformes, LON1 et LON2, utilisant des architectures différentes.

LON1 emploie EVPN sur MPLS.

Son infrastructure actuelle inclut des équipements Juniper et Nokia, répartis dans plusieurs centres de données londoniens.

LON2 adopte une autre configuration :

EVPN + VXLAN + architecture leaf-spine.

LINX fut l’un des premiers grands IXPs à miser sur ce modèle décomposé, et durant 2026, il continue de renouveler sa plateforme avec des équipements Nokia IXR et SR Linux.

Pour simplifier, voici un aperçu :

Le service fourni au participant peut être similaire, même si les architectures internes diffèrent.

Cela est particulièrement intéressant pour les administrateurs et architectes réseau, car cela démontre que EVPN n’impose pas l’utilisation d’un seul sous-jacent.

AMS-IX rappelle que VPLS n’a pas encore disparu

Il serait incorrect d’affirmer que les trois grands IXPs européens fonctionnent déjà tous sur EVPN.

La documentation actuellement publiée par AMS-IX pour sa plateforme à Amsterdam continue de décrire une architecture basée sur MPLS/VPLS.

AMS-IX utilise des équipements Juniper MX10008, Juniper ACX7100 et Extreme SLX-9540 dans différentes parties de son infrastructure, tandis que le noyau utilise aussi des systèmes Juniper.

Les membres peuvent commander des interfaces de 10, 100 ou 400 GbE.

Ils disposent toujours d’une infrastructure Ethernet commune. Le réseau MPLS/VPLS transporte ce service entre les différents sites d’AMS-IX.

Cet exemple est important car il évite de faire de l’EVPN une solution universelle.

Les réseaux d’opérateurs évoluent constamment, et une architecture existante peut rester valable de nombreuses années si elle répond aux exigences de capacité, stabilité, automatisation et sécurité.

Les équipements internes ne sont pas simplement des commutateurs

Une autre idée qu’il convient de mettre à jour est que, dans un grand IXP, seuls existent des commutateurs Ethernet simples.

Le service fourni au participant est essentiellement de couche 2, mais cela ne signifie pas que le matériel utilisé en interne soit dépourvu de capacités de routage.

LINX utilise, par exemple, Juniper MX10008 et Nokia 7750 SR, tandis qu’AMS-IX emploie aussi des plateformes MX10008.

Ce sont des systèmes capables d’exécuter MPLS, BGP, EVPN, télémétrie et de nombreuses fonctions propres aux réseaux d’opérateur.

La différence essentielle ne réside pas dans ce que la boîte peut faire physiquement, mais dans la fonction qu’elle remplit au sein de l’architecture de l’échange.

Le routeur du participant continue d’exécuter son BGP.

L’infrastructure interne se charge de faire transiter les trames jusqu’au participant correct.

EVPN réduit le flooding et améliore la convergence

Un des avantages les plus évidents d’EVPN apparaît quand on compare l’apprentissage traditionnel des MAC avec un modèle basé sur le plan de contrôle.

Dans une LAN classique, une adresse MAC inconnue peut provoquer du trafic de découverte ou de flooding.

Avec EVPN, l’information sur l’emplacement de chaque MAC est distribuée via le plan de contrôle, et dans certains designs, il est aussi connu l’adresse IP associée.

Modèle Ethernet traditionnel

Routeur A doit localiser une IP → envoie ARP → la requête peut atteindre plusieurs équipements → la cible répond.

Modèle EVPN avec Proxy ARP

Routeur A doit localiser une IP → le nœud EVPN connaît déjà l’association IP/MAC → répond localement ou contrôle la requête.

Le bénéfice augmente avec la taille.

Avec dix participants, cela a peu d’impact. Avec des centaines ou des milliers de routeurs connectés à une même plateforme, la différence de trafic de contrôle peut être importante.

EVPN fournit aussi des mécanismes pour multihoming, retrait rapide des MAC et une gestion plus déterministe des pannes.

Cela explique pourquoi des technologies originellement associées aux grands réseaux de fournisseurs et centres de données trouvent aujourd’hui naturellement leur place dans les Points d’Échange Internet.

Ce qu’un sysadmin ou ingénieur réseau peut apprendre des IXPs

Les architectures de ces échanges illustrent une tendance également présente dans les centres de données et réseaux de fournisseurs.

Ethernet est toujours là.

Ce qui a changé, c’est la façon de construire un réseau Ethernet distribué et à grande échelle.

Au lieu d’étendre des domaines de couche 2 en utilisant uniquement des mécanismes traditionnels, de nombreux opérateurs construisent d’abord une infrastructure de transport, puis déploient les services nécessaires via EVPN.

Sous-jacent, il peut y avoir MPLS.

Il peut également y avoir VXLAN.

Dans certains cas, VPLS continue d’être utilisé.

Le résultat livré au client peut rester exactement le même : une interface Ethernet permettant d’établir un BGP.

Pour ceux qui étudient le CCIE Service Provider ou travaillent dans le domaine des réseaux d’opérateurs, cela rend des concepts comme MP-BGP, MPLS, EVPN, VXLAN, Proxy ARP/ND et route servers beaucoup moins académiques.

Ces technologies fonctionnent chaque seconde dans certains des nœuds les plus importants d’Internet.

Un IXP moderne peut se résumer de façon plus précise que simplement un « grand switch » :

Offrant une LAN Ethernet à l’extérieur, il peut fonctionner en interne comme un réseau opérateur sophistiqué, réparti entre dizaines de centres de données.

Questions fréquentes

Qu’est-ce qu’un Point d’Échange Internet (IXP) ?

Un IXP est une infrastructure où différents systèmes autonomes peuvent échanger du trafic directement. Les participants connectent leurs routeurs à une plateforme commune et utilisent BGP pour définir leurs politiques de peering.

Le route server transporte-t-il le trafic Internet ?

Non. Le route server facilite l’échange de routes BGP, mais les paquets des utilisateurs circulent directement entre les routeurs des participants via l’infrastructure de l’IXP.

Tous les grands IXPs utilisent-ils EVPN ?

Non. DE-CIX et LINX utilisent EVPN sur plusieurs de leurs principales plateformes, tandis qu’AMS-IX continue de documenter MPLS/VPLS pour son infrastructure à Amsterdam.

Pourquoi EVPN est-il utile dans un IXP ?

Il permet de distribuer des informations Ethernet via un plan de contrôle, de réduire certains types de flooding, d’utiliser Proxy ARP/ND et d’améliorer la gestion de la redondance et de la convergence dans les infrastructures distribuées.