Linux / Commande ip : interfaces, adresses, routes et voisins réseau

ip, fourni par iproute2, consulte et modifie les interfaces, les adresses IP, les routes et les voisins réseau de Linux. Pour un diagnostic, séparez ces objets : une adresse affichée ne prouve ni une route vers la destination ni une résolution de nom correcte. Les formes show consultent l’état ; add, del, set ou flush peuvent modifier réellement la configuration.

Identifier les objets et lire les adresses

IP signifie Internet Protocol. IPv4 et IPv6 sont deux versions de ce protocole ; une interface peut porter plusieurs adresses et plusieurs familles à la fois. La notation générale est :

ip [OPTIONS] OBJET COMMANDE [ARGUMENTS]

ip -br address show
ip -4 address show
ip -6 address show

-br, ou -brief, donne une vue compacte pour les consultations prises en charge. -4 et -6 limitent ici les adresses à la famille demandée. Les noms d’interface dépendent de la machine : eth0 n’est qu’un exemple, et des noms tels que enp1s0 peuvent être utilisés.

Exemple fictif de sortie compacte :

lo      UNKNOWN  127.0.0.1/8 ::1/128
eth0    UP       192.0.2.10/24

lo est l’interface de boucle locale. La colonne d’état décrit le fonctionnement rapporté de l’interface ; UNKNOWN ne suffit pas à diagnostiquer une panne, notamment sur une interface qui ne fournit pas un état opérationnel détaillé. Le /24 de l’adresse IPv4 indique une longueur de préfixe de 24 bits.

192.0.2.10 et 192.0.2.1, utilisés ici, appartiennent au bloc réservé aux exemples par la RFC 5737. Ils ne représentent ni votre configuration ni un serveur public à tester.

Distinguer interface, adresse et voisin

ip link show
ip neigh show

link décrit les interfaces et leurs attributs. L’état administratif indique l’intention de l’administrateur ; l’état opérationnel et les indicateurs du lien apportent d’autres informations. Une interface activée administrativement ne prouve pas qu’un câble, une association ou l’authentification du réseau est prêt. La documentation des états opérationnels du noyau distingue ces notions.

neigh consulte les associations de voisins sur le lien. Elles servent notamment à la résolution entre adresses IP et adresses de lien via ARP, Address Resolution Protocol, en IPv4, et la découverte de voisins NDP, Neighbor Discovery Protocol, en IPv6. Une entrée présente n’atteste pas que tous les services de ce voisin répondent ; un cache vide peut simplement refléter l’absence d’échange récent.

Lire les routes et demander une sélection de chemin

ip route show
ip -6 route show
ip route get 192.0.2.1

La première consultation montre habituellement les routes IPv4 de la table principale ; la seconde choisit IPv6. Pour un réseau utilisant plusieurs tables et des règles de routage, cette seule table ne décrit pas toute la politique appliquée. Les mots default, via et dev indiquent respectivement une route par défaut, le prochain saut et l’interface de sortie lorsqu’ils sont présents.

route get demande au noyau de résoudre le chemin pour la destination fournie, avec les paramètres de cette requête. Il peut indiquer une interface et une adresse source sélectionnées, ou signaler l’absence de route. Il ne transmet pas de paquet de test : une réponse ne prouve pas que la destination est joignable à travers les pare-feu et les réseaux traversés.

L’absence de route par défaut n’interdit pas toute communication : des routes locales ou spécifiques peuvent encore correspondre à certaines destinations. Vérifiez le chemin nécessaire à votre application, plutôt que de déclarer tout le réseau fonctionnel ou défaillant à partir d’une seule ligne.

Pour progresser dans un diagnostic, contrôlez dans cet ordre :

1. L’interface et ses états, puis les adresses et préfixes attendus.
2. La route vers la destination pertinente et les voisins nécessaires sur le lien.
3. La résolution de nom par le service DNS, Domain Name System, utilisé par l’application.
4. La réponse du protocole applicatif attendu, avec un test autorisé dans votre environnement.

Un outil de résolution tel que resolvectl, lorsqu’il correspond au résolveur de la distribution, répond à une question différente d’ip route. De même, un test ping réussi ne valide pas tous les ports d’une application, et un ping filtré n’établit pas à lui seul qu’aucun service n’est accessible.

Respecter la portée avant une modification

Les consultations ci-dessus ne demandent généralement pas les droits administrateur. Les commandes de changement, en revanche, peuvent couper immédiatement une session distante : mettre un lien down, retirer une adresse ou remplacer la route utilisée par SSH modifie le chemin de votre propre accès.

Avant de modifier, relevez la configuration, confirmez l’interface et la politique visées, préparez une console de secours et les commandes de rétablissement adaptées aux valeurs initiales. Ne reprenez pas un exemple de nom d’interface ou d’adresse comme une configuration à appliquer.

Une modification directe via ip est généralement liée à l’état courant du noyau. Un gestionnaire réseau peut la remplacer et un redémarrage peut la perdre. La configuration persistante doit donc suivre le système de gestion réellement utilisé par la distribution, avec ses profils, règles et validations.

Consultez le manuel ip de iproute2, le manuel des adresses et le manuel des routes pour les objets, familles et paramètres pris en charge par votre version.