Questions fréquentes

La découverte par tunnel GRE établit une véritable adjacence IGP (OSPF ou IS-IS) : Osprey reçoit la LSDB ou la base de LSP complète et voit les changements en temps réel, au moment où ils surviennent. La découverte par SNMP interroge les routeurs à intervalles réguliers pour parcourir les tables des OSPF-MIB, OSPFv3-MIB ou ISIS-MIB. GRE apporte des mises à jour instantanées ; SNMP n’exige aucune configuration de tunnel côté routeur.

Non. Osprey est strictement passif. Même avec des tunnels GRE, le coût OSPF est fixé haut (1000 par défaut) et la priorité à zéro, si bien qu’Osprey ne devient jamais routeur désigné. Les tunnels GRE IS-IS utilisent la métrique large maximale (16777215) pour empêcher tout usage en transit. La visibilité BGP est purement en réception, via BMP (RFC 7854).

Oui. Une area peut faire tourner simultanément un collecteur GRE et un collecteur SNMP. C’est utile pour combiner les mises à jour GRE en temps réel avec les statistiques de trafic issues de SNMP.

Avec la découverte SNMP, oui : cochez « Crawl multi-area (BFS through ABR neighbors) » sur un équipement de départ et Osprey progresse de proche en proche par les ABR jusqu’à couvrir tout le domaine OSPF. IS-IS dispose de l’équivalent, « Crawl multi-level (BFS through L1L2 neighbors) ». Avec GRE, il vous faut un tunnel par area.

OSPFv2 (IPv4), OSPFv3 (IPv6, y compris les extensions de famille d’adresses IPv4 de la RFC 5838), IS-IS (ISO 10589, en L1 comme en L2, avec les familles d’adresses CLNS, IPv4 et IPv6), EIGRP (en passif via SNMP, IPv4 et IPv6) et BGP (via BMP, RFC 7854). Par-dessus la topologie routée, Osprey découvre les services MPLS (tunnels TE, L3VPN et pseudowires L2VPN) via SNMP, et les instances EVPN via BMP. Un équipement qui fait tourner plusieurs de ces protocoles est corrélé automatiquement de l’un à l’autre. Quand plusieurs protocoles partagent un même lien physique, les arêtes fusionnent sur le canvas, avec une vue à onglets par protocole.

Oui, en lecture seule. EIGRP n’a pas de base de données à état de liens synchronisée dans laquelle établir une adjacence : Osprey le lit donc entièrement en passif depuis la CISCO-EIGRP-MIB, via le collecteur SNMP existant, ce qui implique aussi que la découverte EIGRP se limite aux plateformes Cisco. Vous obtenez les voisins et l’état des interfaces pour IPv4 et IPv6, en mode classique et nommé, par VRF et par AS. Faute de base commune, la topologie est reconstruite à partir des tables de voisinage, exactement comme pour la couche 2, puis raccordée au maillage LLDP/CDP. Les chemins suivent le successeur installé de chaque routeur et rapportent la vraie métrique composite (FD) plutôt qu’un coût IGP emprunté, les équivalents à coût égal étant présentés comme des variantes. La distance administrative, les alertes de perte de voisin et un enregistreur EIGRP que vous ajoutez et activez comme n’importe quel autre protocole sont également inclus, et un domaine EIGRP participe dans les deux sens à l’analyse de chemin entre AS.

Oui. La découverte IS-IS fonctionne par GRE (adjacence réelle avec adressage NET) ou par SNMP (ISIS-MIB, RFC 4444, avec repli sur la ISIS-MIB Cisco pour les IOS anciens). Les routeurs de niveau 1, de niveau 2 et L1/L2 sont pleinement pris en charge, avec des métriques larges (jusqu’à 16 777 215) par défaut. L’extraction des piles d’étiquettes SR-MPLS est disponible pour les chemins IS-IS IPv4/IPv6, via le TLV 242.

Oui, en passif, via BMP (BGP Monitoring Protocol, RFC 7854). Vos routeurs poussent l’état des sessions et les mises à jour de RIB vers le serveur BMP d’Osprey sur le port TCP 11019, sans aucune interrogation. Osprey prend en charge les modes loc_rib (meilleurs chemins du routeur), adj_rib_in_post (toutes les routes reçues après politique) ainsi que la supervision des seules sessions. Les routes BGP se recherchent par préfixe exact, plus longue correspondance ou préfixes couverts, et l’analyse ECMP est intégrée. La vue BGP AS-Flow anime le déplacement des routes entre systèmes autonomes au fil du temps, avec une comparaison des mouvements et une exploration par AS, et l’historique du meilleur chemin de n’importe quel préfixe se rejoue pas à pas. Si l’enregistrement de l’historique est activé, Time Travel montre les meilleurs chemins et les sessions tels qu’ils étaient à l’instant choisi. Les routeurs incapables d’exporter BMP voient leurs sessions BGP découvertes via SNMP.

Oui. Les tunnels MPLS-TE (RFC 3812), les L3VPN (RFC 4364/4382) et les pseudowires L2VPN (RFC 5601, y compris le dialecte Cisco antérieur à la norme) sont découverts via SNMP dans le cycle d’interrogation habituel, sans autre configuration qu’un accès SNMP. Les VRF de chaque PE sont regroupées en L3VPN par route-target, avec classement en maillage complet ou en étoile, et les pseudowires en liaisons VPWS et instances VPLS. Sélectionner un service met ses membres en évidence sur le canvas. La découverte se pilote par réseau avec un réglage auto / activé / désactivé ; les reroutages de tunnel et les pertes de VRF ou de pseudowire alimentent la corrélation d’incidents.

Oui. Si votre fabric fait tourner EVPN, Osprey le reprend depuis le même flux BMP sans configuration supplémentaire : instances E-LAN et EVPN-VPWS (RFC 7432), encapsulation VXLAN ou MPLS, compteurs MAC/IP par PE et Ethernet Segments. La mobilité MAC (un hôte qui passe d’un PE à un autre) et la sortie d’un PE d’une instance remontent comme symptômes d’incidents corrélés, avec une protection contre les tempêtes pour qu’une tempête de diffusion ne devienne jamais un déluge d’événements.

Oui. Quand la source et la destination se trouvent dans des AS ou des réseaux de locataires différents, l’outil de chemin assemble les segments IGP le long de la chaîne d’AS BGP : chaque segment porte son propre coût et son niveau de confiance (résolu, déduit ou opaque), et les transitions eBGP sont dessinées sur le canvas. La distance administrative est respectée d’un protocole à l’autre exactement comme vos routeurs la respectent. À l’intérieur d’un domaine, le chemin est une chaîne de transmission saut par saut : chaque saut est la décision de la table de routage du routeur concerné, et non un plus court chemin calculé depuis la source, avec sa métrique, son type de route et l’ensemble complet des chemins à coût égal installés, plus des explications par saut, le traceroute CLNS pour IS-IS et les piles d’étiquettes SR-MPLS. Posez une question en IPv6 et vous obtenez une réponse en IPv6, ou une explication de l’absence de chemin IPv6, jamais un chemin IPv4 présenté comme étant celui d’IPv6.

Oui. Les voisins LLDP et CDP sont découverts automatiquement par parcours SNMP. Osprey rapproche les voisins L2 de la topologie L3 à l’aide d’une cascade d’identité à cinq niveaux (identifiant de châssis, IP de gestion, identifiant de routeur, IP d’interface, nom d’hôte). Une superposition L2 activable montre les commutateurs et les liens de couche 2 sur le canvas, aux côtés de la topologie IGP. L’exploration des commutateurs se fait en largeur d’abord, avec un filtrage par plateforme qui exclut les points d’accès, les téléphones et les interconnexions de fabric.

SNMPv2c et SNMPv3. Pour la v3, tous les niveaux de sécurité sont pris en charge : noAuthNoPriv, authNoPriv et authPriv. L’authentification couvre MD5 et toute la famille SHA-2 (SHA-1, SHA-224, SHA-256, SHA-384, SHA-512) ; le chiffrement couvre DES ainsi qu’AES-128, AES-192 et AES-256, si bien que vous n’êtes jamais renvoyé vers des algorithmes obsolètes.

Oui, de trois façons. OpenID Connect (Entra ID, Okta, Keycloak ou tout fournisseur conforme à OIDC) utilise un flux Authorization Code côté serveur avec PKCE obligatoire. SAML 2.0 est pris en charge en tant que fournisseur de service, avec connexion initiée par le SP, requête signée et validation complète de l’assertion : signature, audience, expiration et vérification que la réponse correspond bien à la requête réellement émise par Osprey, de sorte que les assertions non sollicitées ou rejouées sont refusées. Les comptes LDAP et Active Directory se connectent depuis le formulaire habituel nom d’utilisateur / mot de passe, sans bouton séparé : LDAPS ou StartTLS, appartenance aux groupes via memberOf, filtre de recherche de groupes pour les annuaires dépourvus de la surcouche, et groupes AD imbriqués. Dans les trois cas, les utilisateurs sont créés à la première connexion et leur rôle suit votre correspondance de groupes.

Oui, TOTP pour les comptes locaux, avec n’importe quelle application d’authentification standard. L’enrôlement se fait en libre-service à partir d’un QR code généré par le serveur — le secret ne transite jamais par un service externe — et des codes de récupération à usage unique sont affichés une seule fois lors de la configuration. C’est inclus sans supplément, dans chaque licence, évaluation gratuite comprise.

Oui, via SCIM 2.0 (RFC 7644). Votre fournisseur d’identité peut créer, mettre à jour et désactiver les comptes Osprey au fil des arrivées, des changements de rôle et des départs. SCIM s’authentifie avec un jeton porteur dédié, distinct des cookies de session et des clés d’API, qui porte à la fois une date d’expiration et un indicateur de révocation.

Les comptes locaux continuent de fonctionner aux côtés de n’importe quel fournisseur configuré, et Osprey livre une ligne de commande de récupération prévue exactement pour ce cas : une panne du fournisseur d’identité, une configuration erronée ou la perte d’un compte administrateur ne vous enferme jamais dehors de votre propre supervision.

Oui. Connexion, échec de connexion (avec le motif), déconnexion, changement de mot de passe et tentatives de rejeu d’un jeton de rafraîchissement atterrissent tous dans le journal d’audit, filtrable par utilisateur, action, objet et période, et exportable en CSV. Les sessions ouvertes sont visibles dans l’administration avec leur adresse IP et leur agent utilisateur, et peuvent être fermées de force une par une ou pour un utilisateur entier.

Cinq services systemd : le moteur (traitement de la topologie, SPF, corrélation d’événements), le serveur d’API (API REST, WebSocket, proxy SSH), le gestionnaire de collecteurs (tunnels GRE et adjacences IGP), le collecteur SNMP (découverte, compteurs de trafic, exploration L2, MPLS et EIGRP) et le serveur BMP (voisins et RIB BGP sur le port TCP 11019). Les échanges entre services passent par NATS. Tous les services sont gérés comme un seul groupe via osprey.target.

Toutes les données sont stockées dans PostgreSQL sur votre serveur. Osprey est entièrement auto-hébergé : aucune donnée ne quitte votre infrastructure.

Osprey propose une sauvegarde et une restauration complètes de la base de données dans la section Administration. Vous pouvez aussi exporter une sauvegarde de configuration portable qui contient toutes les définitions de hiérarchie, les utilisateurs et les réglages.

Oui. Osprey est indépendant des constructeurs : il fonctionne avec tout équipement qui parle OSPF, IS-IS, BGP (BMP), LLDP ou CDP. Cela couvre Cisco, Juniper, Arista, Nokia, Mikrotik et, dans les faits, toute plateforme réseau moderne. La seule exception est EIGRP, protocole Cisco lu depuis la MIB EIGRP de Cisco : la découverte EIGRP ne couvre donc que les plateformes Cisco.

S’il a été installé via APT, il suffit de lancer sudo apt update && sudo apt upgrade osprey. Le paquet prend en charge automatiquement les migrations de base de données et le redémarrage des services.