La commande traceroute : analyse des routes réseau à partir de la console ou de l’interface graphique

La vie, du moins dans le domaine des technologies de l’information, est ce qui se passe entre les pannes de système et de réseau. Et lorsqu’un service est en panne ou que la connectivité est interrompue, la question qui se pose est la suivante : où se situe la panne ? En effet, un ping vous indique si le service est en vie ou non, mais cela ne sert pas à grand-chose. Pour localiser les goulets d’étranglement et l’endroit où se trouve l’erreur spécifique, nous disposons de la commande traceroute, que nous analyserons en profondeur.
Elle nous enseignera toutes ces choses poétiques sur le fait que l’important dans un voyage, c’est le voyage et non la destination.

Qu’est-ce que la commande traceroute (ou tracert) ?

Traceroute (sous Linux/macOS) et tracert (sous Windows) sont des outils de diagnostic qui identifient l’itinéraire spécifique suivi par les paquets IP depuis votre ordinateur jusqu’à une destination.
L’objectif est celui, très cinématographique, de « suivre cette voiture », de révéler chaque saut intermédiaire qu’elle effectue (routeur, pare-feu, passerelle) jusqu’à ce qu’elle arrive à destination.
En plus d’être un outil de diagnostic, traceroute peut être utilisé dans d’autres aspects informatiques, tels que la sécurité, en détectant les pare-feu ou en cartographiant l’infrastructure. Ou dans le cadre de l’optimisation, pour vérifier si ce CDN permet réellement d’économiser des sauts et des millisecondes, en passant par la route optimale entre la source et la destination.
Cependant, nous nous concentrerons aujourd’hui sur les principes fondamentaux.

Fonctionnement de traceroute : TTL, ICMP et sauts

Le mécanisme de traceroute est ingénieux, car il exploite une propriété des paquets, à savoir le fait que la norme IP impose l’inclusion d’une valeur TTL (Time To Live).
Cela n’a pas été fait pour les tracer, mais le TTL détermine le nombre de sauts, au maximum, qui peuvent être effectués jusqu’à la destination. Ainsi, un TTL=1 signifie que notre paquet s’arrêtera au premier saut intermédiaire (ou à la destination si nous l’atteignons en un seul saut, ce qui est peu probable).
C’est ce que fait traceroute pour connaître le chemin d’un paquet :

• Un paquet est envoyé avec TTL = 1. Le premier routeur à le recevoir soustrait 1 et le TTL passe à 0, rejette le paquet et renvoie un message ICMP « Time Exceeded ».
• Traceroute enregistre l’adresse IP et le temps de réponse de ce routeur.
• Maintenant, le processus est répété en augmentant progressivement le TTL du paquet (2, 3, 4…) jusqu’à ce que la destination soit atteinte.
• La destination finale répond par un « Echo Reply » ICMP (s’il n’est pas bloqué).

Ainsi, grâce à la propriété TTL, traceroute envoie des paquets, chaque fois avec un TTL plus élevé, qui tracent le chemin, en montrant chaque saut (chaque appareil du réseau qui touche le paquet).
Quelle est la différence entre traceroute et tracert ? Eh bien, hormis le système d’exploitation…

• Traceroute (Linux/Unix) : utilise le protocole UDP par défaut et cible les ports élevés (33434 à 33534), bien qu’il soit polyvalent et que vous puissiez le définir pour utiliser TCP, ICMP Echo Request…
• Tracert (Windows) : Utilise les paquets ICMP Echo Request.

Grâce à cela, nous pouvons détecter des problèmes tels que :

• Boucles d’itinéraires : un paquet piégé entre les routeurs.
• Blocages du pare-feu : sauts qui renvoient * * * * (délais d’attente).
• Goulets d’étranglement à forte latence : sauts avec des temps de réponse excessifs.
• Perte de paquets : indiquée par le pourcentage de perte dans certains résultats.
• Itinéraires inefficaces : Détours ou sauts géographiques inutiles.

Comment exécuter traceroute depuis la console

Voyons comment procéder, en commençant par Windows.

Windows (tracert)

Sur notre machine, on lance PowerShell et on tape, par exemple :
tracert google.com

On obtient un résultat comme celui-ci :

1 1 ms <1 ms <1 ms router.maison [192.168.1.1]
2 15 ms 14 ms 16 ms dsl-10-20-30-40.fai.com [10.20.30.40]
3 * * * Délai d’attente de la requête dépassé.
4 30 ms 29 ms 28 ms core-router.par.fai.fr [80.40.200.1]

Nous analyserons cette sortie un peu plus loin. Passons maintenant à Linux et aux systèmes Unix.
Dans le terminal, on exécute :
traceroute google.com

Ou si on souhaite utiliser ICMP comme sous Windows :
traceroute -I google.com

Voici quelques autres options utiles :

• -n : Évite la résolution DNS (plus rapide).
• -m 30 : Définit le nombre maximal de sauts.
• -q 2 : Définit le nombre de tentatives par saut (3 par défaut).

Interprétation de la sortie précédente :

• Sauts numérotés : comme 192… ou 10.20… Chaque ligne représente un équipement sur la route. Si on utilise -n, seuls les IP s’affichent.
• Trois temps (en ms) : la latence aller pour chaque essai (plus c’est bas et constant, mieux c’est).
• * * * : Les astérisques indiquent qu’aucune réponse n’a été reçue. Ils sont cruciaux pour diagnostiquer les problèmes (tout comme les latences élevées), mais ne signifient pas toujours la même chose.

Causes possibles des astérisques :

• Le routeur est surchargé, ou des politiques QoS priorisent d’autres types de trafic. Cela peut déjà signaler un problème.
• Il y a une panne de connectivité.
• Des configurations réseau empêchent les paquets traceroute d’être traités correctement.
• On tombe sur des filtres ou pare-feu qui bloquent les réponses. Attention : ils ne bloquent pas toujours le passage du paquet (bien qu’ils puissent le faire), mais peuvent empêcher uniquement les réponses ICMP. Si le TTL est suffisant, on peut voir les sauts suivants malgré tout.

À partir de là, tu peux enquêter sur ce qui se passe en cas de problème.
Par exemple, on peut reconfigurer notre « sonde » traceroute façon Star Trek et l’envoyer avec l’option -I, car certaines machines laissent tomber les paquets UDP pour des raisons de politique de sécurité. Cela permet de voir ce qu’il en est de ces astérisques.
On peut aussi utiliser -w suivi d’un temps en secondes (par exemple 15), au cas où le nœud est bien actif, mais met simplement trop de temps à répondre.
S’il ne répond toujours pas, il se peut que ce soit un pare-feu configuré pour ne pas envoyer de réponse.
Le problème, c’est que pour le diagnostic et le support dans des infrastructures même modérément complexes, ces outils en ligne de commande (CLI) présentent les limitations habituelles : affichage peu lisible et verbeux, besoin éventuelle de droits d’administration, pas d’intégration d’autres métriques, comme le jitter, par exemple…

Alternatives graphiques et en ligne

Si tu n’es pas fan de contempler l’abîme noir du terminal, que tu as besoin de plus de fonctionnalités ou que tu veux simplement t’épargner des complications, il existe des outils traceroute graphiques ou accessibles en ligne.
Une recherche rapide fournit des outils en ligne comme celui-ci ou celui-là, mais leur utilité reste limitée, car ils exécutent le traceroute depuis leurs propres serveurs, pas les tiens. Et certains sont tellement restreints par des filtres qu’on y voit plus d’astérisques que dans ton mot de passe.
C’est pourquoi l’une des options les plus pratiques est d’utiliser Pandora MINI, une application 100 % gratuite pour Windows. Il en existe d’autres, comme MyTraceroute, mais elles sont bien plus limitées en termes de fonctionnalités.

Analyse des routes avec Pandora MINI

Pandora MINI te simplifie la vie grâce à ses différents outils de supervision et de diagnostic, y compris la possibilité d’exécuter un traceroute de manière simple et visuelle.
Une fois installé comme n’importe quel autre logiciel Windows, il te suffit de sélectionner l’option Tools dans le menu supérieur, puis dans le menu déroulant, de choisir Check Traceroute.
Dans l’écran qui s’affiche, tu pourras facilement configurer le processus sans avoir à manipuler de paramètres en ligne de commande.
Tu verras alors de façon intuitive les sauts dans l’ordre, la latence de chacun, et toutes les informations fournies par traceroute, le tout sans terminal ni privilèges élevés.

Autres fonctions réseau utiles dans Pandora MINI

Cependant, l’avantage principal de Pandora MINI est qu’il intègre toute une boîte à outils d’analyse et de supervision réseau.
Traceroute est très utile, bien qu’il ne constitue qu’un point de départ dans le diagnostic réseau. Grâce aux autres outils inclus, tu pourras effectuer un diagnostic bien plus complet avec :

• La capacité de superviser en temps réel, et de manière graphique via ping, si les services posant problème sont inaccessibles ou non.
• La supervision de la perte de paquets.
• Le calcul du jitter sur le réseau.
• Des vérifications web et bien plus encore, notamment une calculatrice IP ou un navigateur MIB, dans un véritable couteau suisse d’outils réseau.

Ainsi, tu as à portée de main de nombreux outils supplémentaires lorsque traceroute signale un problème.

Cas d’usage courants

Imagine que tu dois t’assurer qu’un service fonctionne parfaitement. La première chose à faire est de le superviser avec un ping, ce qui nous indiquera s’il est disponible et quelle est sa latence.

• Tu ajoutes le service à ta supervision en temps réel depuis Monitoring > Ping, en remplissant facilement les données et en cliquant sur « Add ».
• Tu obtiendras alors un graphique de disponibilité en temps réel, mais, comme dit le proverbe, le bonheur dure peu chez les pauvres… et chez les administrateurs IT aussi. Tu remarqueras donc rapidement qu’un problème survient, comme par exemple une latence élevée.
• Dans ce cas, sans quitter Pandora MINI, nous pouvons utiliser traceroute pour localiser les sauts problématiques.

Un autre cas courant est la perte de paquets.

• Nous pouvons superviser un service, comme l’application interne app.entreprise.com, en l’ajoutant au tableau de bord principal de supervision depuis Monitoring > Packet loss.
• Nous constatons alors une perte de paquets, ce qui nécessite une investigation.
• Depuis Pandora MINI, tu peux exécuter un traceroute pour obtenir un indice supplémentaire sur ce qui se passe.

Comme nous le voyons, traceroute/tracert est un outil indispensable pour tout technicien.
Si tu es un magicien du terminal et du scripting, ou si tu as simplement besoin d’un contrôle rapide, tu peux tout à fait l’utiliser en ligne de commande. Personnellement, je passe souvent par le terminal — pas seulement pour fuir le monde, mais aussi pour retrouver une nostalgie factice où tout semblait moins bruyant.
Cependant, dans des contextes de support rapide, d’audits sur site ou lorsque la ligne de commande (CLI) est moins familière, un outil graphique comme Pandora MINI offre les avantages de la simplicité et du tout-en-un que nous avons présentés.