Modèle OSI : fonctionnement détaillé des sept couches
Le modèle OSI découpe une communication réseau en sept couches aux responsabilités distinctes. Bien le maîtriser permet de situer un protocole, un équipement ou une panne avec précision.
Le modèle OSI (Open Systems Interconnection) est un modèle de référence publié par l'ISO sous la norme ISO/IEC 7498-1. Il ne décrit pas un protocole que l'on installe, mais une manière de découper une communication en responsabilités. Chaque couche rend un service à la couche supérieure et s'appuie sur la couche inférieure.
Dans la pratique, Internet repose sur la pile TCP/IP, plus compacte. Pourtant, le vocabulaire OSI reste partout : on parle de « commutateur de niveau 2 », de « pare-feu de niveau 7 » ou de « problème de couche 1 ». Cet article détaille chaque couche, les unités de données associées et la façon d'utiliser le modèle pour diagnostiquer une panne.
Objectif : savoir associer un protocole, un équipement ou un symptôme à la bonne couche, et utiliser cette grille pour structurer un dépannage.
Pourquoi un modèle en couches ?
Une communication réseau mobilise des problèmes très différents : transmettre des signaux électriques, désigner un destinataire sur un segment local, trouver un chemin à travers plusieurs réseaux, garantir la livraison des données, puis les présenter à une application. Les regrouper dans un seul bloc rendrait chaque évolution coûteuse.
Le découpage en couches apporte trois bénéfices :
- L'indépendance : on peut remplacer le cuivre par de la fibre (couche 1) sans modifier HTTP (couche 7).
- L'interopérabilité : deux fabricants respectant la même interface entre couches peuvent communiquer.
- Le diagnostic : une panne est localisée dans une couche, ce qui réduit l'espace de recherche.
L'encapsulation : comment les couches coopèrent
À l'émission, chaque couche ajoute ses propres informations de contrôle — un en-tête, parfois une queue — aux données reçues de la couche supérieure. C'est l'encapsulation. À la réception, chaque couche lit et retire l'en-tête qui la concerne : c'est la désencapsulation.
Chaque couche possède son unité de données, appelée PDU (Protocol Data Unit) :
| Couche | Nom | PDU usuelle | Exemples de protocoles | Équipement typique |
|---|---|---|---|---|
| 7 | Application | Données | HTTP, DNS, SMTP, SSH | Proxy, pare-feu applicatif |
| 6 | Présentation | Données | Encodage, compression, chiffrement (TLS est souvent rangé ici ou en 5) | — |
| 5 | Session | Données | Gestion de dialogue, points de reprise | — |
| 4 | Transport | Segment (TCP) / datagramme (UDP) | TCP, UDP | Pare-feu à états, répartiteur L4 |
| 3 | Réseau | Paquet | IPv4, IPv6, ICMP | Routeur, commutateur L3 |
| 2 | Liaison de données | Trame | Ethernet, 802.11, PPP | Commutateur, point d'accès |
| 1 | Physique | Bits | Câblage, fibre, radio | Câble, répéteur, transceiver |
Les couches 5 et 6 sont rarement implémentées comme des protocoles séparés dans la pile TCP/IP : leurs fonctions sont généralement assurées par l'application ou par des bibliothèques comme TLS. Le classement de TLS dans une couche précise fait d'ailleurs débat ; retenez surtout qu'il se situe entre le transport et l'application.
Couche 1 — Physique
La couche physique transporte des bits sous forme de signaux : tensions sur une paire torsadée, impulsions lumineuses dans une fibre, ondes radio pour le Wi-Fi. Elle définit les connecteurs (RJ45, LC), les débits, les distances maximales et les codages de ligne.
Symptômes typiques : voyant de lien éteint, interface down/down sur un équipement Cisco, erreurs CRC en hausse, débit négocié anormalement bas (100 Mbit/s au lieu de 1 Gbit/s), signal Wi-Fi trop faible.
Vérifications : câble et connecteurs, module SFP compatible, longueur du câble (100 m maximum pour l'Ethernet cuivre en paire torsadée), compteurs d'erreurs de l'interface.
Couche 2 — Liaison de données
La couche 2 organise les bits en trames et assure la livraison sur un même segment local. Ethernet y utilise des adresses MAC de 48 bits. Un commutateur apprend sur quel port se trouve chaque adresse MAC et transmet les trames uniquement vers le port concerné.
On y trouve aussi les VLAN (IEEE 802.1Q), le protocole Spanning Tree qui évite les boucles, et la détection d'erreurs grâce au champ FCS en fin de trame.
Symptômes typiques : poste dans le mauvais VLAN, boucle de commutation qui sature le réseau, conflit d'adresse MAC, port bloqué par une fonction de sécurité.
Pour approfondir : Ethernet, adresses MAC et commutation et VLAN : principes et segmentation logique.
Couche 3 — Réseau
La couche réseau permet d'atteindre une machine située sur un autre réseau. Elle utilise un adressage logique (IPv4, IPv6) et le routage : chaque routeur examine l'adresse de destination d'un paquet et choisit l'interface de sortie selon sa table de routage.
ICMP appartient aussi à cette couche : c'est lui qu'utilisent ping et, selon les implémentations, traceroute.
Symptômes typiques : passerelle par défaut absente ou erronée, masque de sous-réseau incorrect, route manquante, filtrage d'ICMP qui fausse un diagnostic.
Couche 4 — Transport
La couche transport assure la communication de bout en bout entre deux applications, identifiées par des numéros de port. Deux protocoles dominent :
- TCP : orienté connexion, fiable, ordonné, avec contrôle de flux et de congestion.
- UDP : sans connexion, léger, sans garantie de livraison ni d'ordre.
Symptômes typiques : port fermé ou filtré, connexion TCP réinitialisée (RST), délais d'attente dépassés, saturation d'une table de sessions sur un pare-feu.
Voir TCP et UDP : différences, cas d'utilisation et diagnostic.
Couches 5 et 6 — Session et Présentation
La couche session organise le dialogue : ouverture, maintien, synchronisation et fermeture d'échanges entre applications. La couche présentation traite la représentation des données : jeux de caractères, sérialisation, compression, chiffrement.
Dans un environnement moderne, ces fonctions apparaissent dans des composants concrets : un certificat expiré empêche l'établissement d'une session TLS ; un problème d'encodage UTF-8 corrompt l'affichage des données. Ce sont des pannes « hautes » même si le réseau sous-jacent fonctionne parfaitement.
Couche 7 — Application
La couche application fournit les services réseau directement utilisés par les logiciels : HTTP pour le Web, DNS pour la résolution de noms, SMTP et IMAP pour la messagerie, SSH pour l'administration distante.
Symptômes typiques : erreur HTTP 502 renvoyée par un proxy, nom DNS qui ne se résout pas, authentification refusée. Le réseau « répond au ping », mais le service ne fonctionne pas.
Utiliser le modèle OSI pour dépanner
Le modèle devient un outil concret lorsqu'on l'applique méthodiquement. Trois approches existent :
- Du bas vers le haut : on vérifie le lien physique, puis la couche 2, puis l'adressage IP, etc. C'est la méthode la plus sûre lorsque le symptôme est vague (« Internet ne marche pas »).
- Du haut vers le bas : on part de l'application qui échoue. Utile si d'autres applications fonctionnent sur le même poste.
- Diviser pour régner : on teste directement une couche intermédiaire, par exemple avec un
pingvers la passerelle. S'il réussit, les couches 1 à 3 locales sont validées et l'on cherche plus haut.
Exemple de diagnostic structuré
Un utilisateur ne peut pas ouvrir l'intranet intranet.exemple.local.
Couche 1 : le voyant de la carte réseau est allumé ? -> oui
Couche 2 : le poste a-t-il une adresse MAC apprise sur le bon port ?
(show mac address-table sur le commutateur) -> oui, VLAN 20
Couche 3 : ip / ipconfig : adresse 10.20.0.57/24, passerelle 10.20.0.1
ping 10.20.0.1 -> réussi
Couche 7 : nslookup intranet.exemple.local -> échec
La panne se situe dans la résolution DNS : inutile de redémarrer le commutateur ou de changer le câble. La méthode complète est décrite dans Méthodologie de dépannage d'un réseau informatique.
Erreurs courantes avec le modèle OSI
- Confondre modèle et implémentation. OSI est une grille de lecture ; TCP/IP est la pile réellement déployée. Le modèle TCP/IP regroupe les couches 5 à 7 en une seule.
- Croire qu'un équipement n'opère qu'à une seule couche. Un commutateur de niveau 3 commute et route ; un pare-feu moderne inspecte de la couche 3 à la couche 7.
- Conclure trop vite qu'un ping réussi valide tout. Il valide la couche 3 vers une destination donnée, pas un service TCP ni une application.
- Oublier que des fonctions de sécurité agissent à toutes les couches : filtrage MAC, ACL IP, filtrage de ports, inspection applicative.
Implications de sécurité
Chaque couche présente une surface d'attaque spécifique : écoute physique, usurpation ARP ou saturation de table MAC en couche 2, usurpation d'adresse IP en couche 3, balayage de ports en couche 4, injections en couche 7. La défense en profondeur consiste à placer des contrôles à plusieurs niveaux : sécurité des ports des commutateurs, segmentation, filtrage, chiffrement et durcissement applicatif. Voir Principes fondamentaux de la sécurité réseau.
Conclusion
Le modèle OSI n'est pas un vestige théorique : c'est un langage commun et une méthode. Retenez la correspondance couche/PDU/équipement, appliquez-la systématiquement lors d'une panne, et vous gagnerez un temps considérable en évitant de chercher au mauvais niveau.
