1. Introduction
Le présent document décrit les caractéristiques du réseau ainsi que la conception de l’infrastructure de communication et ses composants.
1. 1. Acronymes et abréviations
| Acronymes et abréviations | Explication
| BCU | Unité centrale de secours
| BLNI | Interface nationale locale de secours
| CNI | Interface nationale centrale
| CS | Système central
| CS-VIS | Système central d’information sur les visas
| CU | Unité centrale
| DNS | Serveur de noms de domaine
| FTP | Protocole de transfert de fichier
| HTTP | Protocole de transfert hypertexte
| IP | Protocole internet
| LAN | Réseau local
| LNI | Interface nationale locale
| NI-VIS | Interface nationale
| NTP | Protocole de synchronisation de réseau
| SAN | Réseau de stockage
| SDH | Hiérarchie numérique synchrone
| SMTP | Protocole de transfert de courrier simple
| SNMP | Protocole de gestion de réseau simple
| sTESTA | Services télématiques transeuropéens sécurisés entre administrations, relevant du programme IDABC [fourniture interopérable de services paneuropéens d’administration en ligne aux administrations publiques, aux entreprises et aux citoyens. Décision 2004/387/CE du Parlement européen et du Conseil].
| TCP | Protocole de contrôle de transmission
| VIS | Système d’information sur les visas
| VPN | Réseau privé virtuel
| WAN | Réseau longue distance
2. Architecture physique des interfaces nationales et de l’infrastructure de communication entre le système central d’information sur les visas et les interfaces nationales
Le NI-VIS, défini à l’article 1er, paragraphe 2, de la décision 2004/512/CE du Conseil, comprend:
— une interface nationale locale (ci-après dénommée «LNI») dans chaque État membre, c’est-à-dire l’interface qui établit la connexion physique entre l’État membre et le réseau de communication sécurisé et qui contient les dispositifs de cryptage affectés au VIS. La LNI est située dans l’État membre,
— une interface nationale locale de secours facultative (ci-après dénommée «BLNI») dont le contenu et la fonction sont identiques à ceux de la LNI.
La configuration précise de la LNI et de la BLNI sera convenue avec chaque État membre.
La LNI et la BLNI serviront exclusivement aux fins définies par la législation communautaire applicable au VIS.
L’infrastructure de communication entre le CS-VIS et les NI-VIS se compose:
— du réseau de services télématiques transeuropéens sécurisés entre administrations («s-TESTA») qui offre un réseau crypté, virtuel et privé (vis.stesta.eu) affecté aux données du VIS et aux communications entre États membres, conformément à la législation communautaire relative au VIS, et entre les États membres et l’autorité responsable de la gestion opérationnelle du CS-VIS.
3. Services du réseau
Aux points 3, 5 et 7, lorsque des technologies ou des protocoles sont mentionnés, il est entendu que des technologies ou protocoles équivalents peuvent être utilisés. Le déploiement du réseau tient compte de l’état de préparation des États membres.
3. 1. Structure du réseau
L’architecture du VIS repose sur des services centralisés, qui sont accessibles depuis les États membres. Pour des questions de résilience, ces services centralisés sont dupliqués dans deux sites, à savoir Strasbourg, en France, et St Johann im Pongau, en Autriche, qui hébergent respectivement l’unité centrale principale (CU) et l’unité centrale de secours (BCU) du CS-VIS, conformément à la décision 2006/752/CE de la Commission du 3 novembre 2006 établissant les sites pour le système d’information sur les visas pendant la phase de développement.
Les unités centrales principale et de secours sont accessibles à partir des États membres grâce à des points d’accès au réseau — une LNI et une BLNI — qui relient leur système national au CS-VIS.
La connexion entre le CS-VIS principal et le CS-VIS de secours doit être ouverte aux futures nouvelles architectures et technologies et doit permettre la synchronisation continue entre la CU et la BCU.
3. 2. Bande passante
La bande passante nécessaire à la LNI et à la BLNI facultative peut varier d’un État membre à l’autre.
Pour les connexions aux sites, l’infrastructure de communication offrira des bandes passantes adaptées au volume de trafic attendu. Le réseau doit garantir des vitesses de téléchargement minimales suffisantes dans les deux sens lors de chaque connexion et supporter la largeur globale de la bande passante des points d’accès au réseau.
3. 3. Protocoles supportés
L’infrastructure de communication doit être capable de gérer les protocoles réseau utilisés par le CS-VIS, notamment HTTP, FTP, NTP, SMTP, SNMP, DNS, des protocoles de tunnellisation, des protocoles de duplication SAN et les protocoles propriétaires de connexion «Java to Java» de BEA WebLogic sur IP.
3. 4. Spécifications techniques
3. 4.1. Adressage IP
L’infrastructure de communication doit disposer d’une gamme d’adresses IP réservées ne pouvant être utilisées qu’au sein de ce réseau. Dans cette gamme réservée, le CS-VIS utilisera une série unique d’adresses IP qui ne seront pas employées ailleurs.
3. 4.2. Support pour IPv6
Les réseaux locaux de la plupart des sites utiliseront IPv4 mais il se peut que certains utilisent IPv6. Les points d’accès au réseau doivent donc pouvoir faire office de portail IPv4/IPv6. Une coordination avec les États membres évoluant vers IPv6 sera nécessaire pour assurer une transition sans heurts.
3. 4.3. Débit soutenu
Tant que l’unité principale ou l’unité de secours affiche un taux de charge inférieur à 90 %, un État membre donné doit pouvoir maintenir en permanence 100 % de sa bande passante.
3. 4.4. Autres caractéristiques techniques
Pour supporter le CS-VIS, l’infrastructure de communication doit être conforme à une série minimale de caractéristiques techniques.
Le délai de transit doit (y compris pendant les heures de pointe) être inférieur ou égal à 150 ms pour 95 % des paquets, et inférieur à 200 ms pour 100 % des paquets.
La probabilité de perte de paquets doit (y compris durant les heures de pointe) être inférieure ou à égale à 10-4 pour 95 % des paquets, et inférieure à 10-3 pour 100 % des paquets.
Les spécifications susmentionnées s’appliquent à chaque point d’accès individuellement.
La connexion entre l’unité principale et l’unité de secours doit comporter un temps de transmission aller-retour inférieur ou égal à 60 ms.
3. 5. Résilience
L’infrastructure de communication doit offrir une haute disponibilité, en particulier pour les composants suivants:
— le réseau fédérateur (backbone),
— les dispositifs de routage,
— les points de présence,
— les connexions à la boucle locale (y compris le câblage redondant),
— les dispositifs de sécurité (dispositifs de cryptage, pare-feu, etc.),
— tous les services génériques (DNS, etc.),
— la LNI et la BLNI facultative.
Des mécanismes de redondance seront installés, si nécessaire, en coordination avec le niveau «applications», pour garantir une disponibilité maximale du VIS dans son ensemble.
4. Suivi
Pour faciliter le suivi, les outils de surveillance de l’infrastructure de communication doivent pouvoir s’intégrer aux dispositifs de surveillance destinés à la gestion opérationnelle du CS-VIS.
5. Services génériques
L’infrastructure de communication doit pouvoir proposer les services génériques facultatifs suivants: DNS, relais de courrier et NTP.
6. Disponibilité
La disponibilité des points de connexion jusqu’au LAN de l’infrastructure de communication doit être de 99,99 % sur une période continue de 28 jours.
7. Services de sécurité
7. 1. Cryptage du réseau
Aucune information liée au VIS ne peut circuler sur l’infrastructure de communication sans cryptage.
Pour maintenir un niveau élevé de sécurité, l’infrastructure de communication doit permettre la gestion des certificats/clés utilisés par la solution de cryptage du réseau. La gestion et la surveillance à distance des boîtiers de cryptage doivent être possibles.
Les algorithmes de cryptage symétrique (3DES 128 bits ou mieux) et de cryptage asymétrique (module RSA 1 024 bits ou mieux) les plus avancés seront utilisés.
7. 2. Autres dispositifs de sécurité
Outre les points d’accès du réseau VIS (LNI et BLNI), l’infrastructure de communication doit aussi protéger les services génériques facultatifs. Si ces services sont proposés, ils doivent faire l’objet de mesures de protection comparables à celles du CS-VIS. Par ailleurs, les dispositifs liés aux services génériques et les mesures de protection qui s’y rapportent doivent faire l’objet d’une surveillance permanente.
Pour maintenir un niveau élevé de sécurité, l’infrastructure de communication doit permettre de signaler rapidement chaque incident de sécurité. Tous les incidents de sécurité doivent être signalés régulièrement, par exemple par des rapports mensuels et ponctuels.
8. Services d’assistance et de support
Des services d’assistance et de support seront mis en place et seront en mesure d’interagir avec le CS-VIS.
9. Interaction avec d’autres systèmes
L’infrastructure de communication doit garantir qu’aucune fuite de données vers d’autres systèmes ou d’autres réseaux n’aura lieu sur le réseau.