Administrer un VPS implique tôt ou tard de toucher à sa configuration réseau, que ce soit pour relier deux serveurs entre eux ou pour diagnostiquer un problème de connectivité. Deux notions reviennent constamment dans ce contexte : la table de routage et l'adresse IP privée. Voici ce qu'elles signifient concrètement.
La table de routage, en clair
Chaque machine connectée à un réseau conserve une table de routage, qui indique vers quelle « porte de sortie » envoyer un paquet selon sa destination. Sur Linux, elle s'affiche avec la commande ip route (ou l'ancienne commande netstat -rn). La ligne la plus importante est la passerelle par défaut (default gateway) : c'est l'adresse vers laquelle part tout le trafic dont la destination ne correspond à aucune règle plus spécifique, en général la porte de sortie vers Internet. Sur un VPS, cette table est généralement configurée automatiquement par l'hébergeur à la création de la machine, mais elle devient cruciale à comprendre dès qu'on ajoute une interface réseau supplémentaire, par exemple un réseau privé entre plusieurs serveurs.
Les plages d'adresses IP privées
Certaines plages d'adresses IPv4 sont réservées par la norme (RFC 1918) pour un usage interne, non routable directement sur Internet :
- 10.0.0.0/8
- 172.16.0.0/12
- 192.168.0.0/16
Ces adresses sont utilisées pour le trafic qui n'a pas besoin de sortir sur Internet : communication entre un serveur d'application et sa base de données, entre plusieurs nœuds d'un même cluster, ou entre des VPS situés dans le même centre de données. Beaucoup d'hébergeurs proposent justement un réseau privé entre leurs VPS, basé sur ces plages, en plus de l'adresse IP publique habituelle.
Pourquoi cette distinction compte pour la sécurité
Faire transiter le trafic sensible (connexion à la base de données, réplication, API interne) sur une IP privée plutôt que sur l'IP publique réduit directement la surface d'attaque exposée sur Internet : un service qui n'écoute que sur l'interface privée n'est simplement pas atteignable depuis l'extérieur, même en cas d'erreur de configuration du pare-feu. C'est une pratique recommandée dès qu'une architecture dépasse un seul serveur :
- Base de données sur un serveur séparé de l'application : connexion via IP privée uniquement.
- Serveur de cache (Redis, Memcached) : jamais exposé sur l'IP publique.
- Communication entre plusieurs serveurs d'un même projet, par exemple derrière un répartiteur de charge.
Un exemple concret : isoler sa base de données
Prenons une architecture à deux serveurs : un VPS qui exécute l'application web, et un second VPS dédié à la base de données MySQL. Plutôt que de faire transiter chaque requête SQL par l'adresse IP publique du serveur de base de données, la bonne pratique consiste à :
- Activer un réseau privé entre les deux VPS, proposé par l'hébergeur, qui attribue à chacun une adresse dans une plage privée comme 10.0.0.0/8.
- Configurer MySQL pour n'écouter que sur l'interface réseau privée, et non sur l'adresse IP publique.
- Restreindre le pare-feu du serveur de base de données pour n'accepter le port 3306 que depuis l'adresse privée du serveur d'application.
Résultat : même en cas d'erreur de configuration ailleurs dans la chaîne, la base de données reste simplement injoignable depuis Internet, ce qui élimine d'un coup toute une catégorie de tentatives d'intrusion directes.
Pour visualiser concrètement les interfaces réseau actives sur un VPS, la commande ip addr show liste chacune d'entre elles avec son adresse IP associée, qu'il s'agisse de l'interface publique principale ou d'une interface secondaire reliée au réseau privé. Une interface et une adresse IP restent deux notions distinctes : une même interface physique ou virtuelle peut, dans certains cas, porter plusieurs adresses IP simultanément, ce qui explique pourquoi la table de routage raisonne bien en règles de destination plutôt qu'en simple liste d'interfaces.
Une IP privée peut-elle être atteinte depuis Internet ?
Non, par construction : ces plages ne sont pas routées sur Internet public. Elles ne sont accessibles que depuis le réseau interne auquel elles appartiennent, ce qui en fait un bon choix par défaut pour tout trafic qui n'a pas besoin de sortir.
Faut-il configurer soi-même la table de routage sur un VPS standard ?
Pour un usage simple avec une seule interface réseau, non : la configuration par défaut suffit. Elle devient pertinente à vérifier dès qu'on ajoute une deuxième interface réseau, par exemple pour un réseau privé entre plusieurs machines.
Les offres VPS Linux et serveur dédié de VSP TECH permettent ce type d'architecture multi-serveurs avec réseau privé entre machines. Pour évaluer la configuration la plus adaptée à votre projet, une demande de devis permet d'en discuter directement avec notre équipe technique.
