Sécurisation des ports sous Packet Tracer¶

1. Objectif du cours¶

Comprendre et appliquer la sécurisation des ports d'un commutateur Cisco sous Packet Tracer en modes statique, dynamique et rémanent (sticky). Savoir vérifier et désactiver des ports inutilisés.

2. Notions et définitions essentielles¶

Port-security : mécanisme limitant les adresses MAC autorisées sur un port afin d'empêcher l'accès non autorisé et la collecte d'informations.
Adresses MAC sécurisées statiques : configurées manuellement et ajoutées au running-config.
Adresses MAC sécurisées dynamiques : apprises automatiquement et stockées uniquement dans la table d'adresses MAC ; effacées au redémarrage.
Adresses MAC sécurisées rémanentes (sticky) : apprises dynamiquement puis enregistrées dans le running-config si l'apprentissage rémanent est actif.

3. Fonctionnement et principes¶

Un port doit être en mode accès pour pouvoir activer la sécurité des ports ; le mode dynamique par défaut empêche cette configuration.
Les adresses MAC statiques sont persistantes car inscrites dans le running-config ; les dynamiques sont temporaires (table MAC seule).
Le mode rémanent convertit (ou enregistre) les adresses apprises dynamiquement en entrées persistantes dans la configuration en cours. Si ces adresses rémanentes sont sauvegardées dans le fichier de configuration, elles survivront aux redémarrages.
Si l'apprentissage rémanent est désactivé après avoir été actif, les adresses rémanentes restent dans la table MAC mais sont retirées du running-config.
Entrer une commande sticky alors que l'apprentissage rémanent est désactivé provoque une erreur et n'ajoute pas l'adresse à la configuration.

4. Commandes et manipulations¶

Groupées par procédure (extraits tels qu'ils figurent dans le PDF) :

Accès CLI et choix d'interface :
enable
configure terminal (ou conf t)
interface fastEthernet 0/18 (exemple)
interface fa0/5
interface range fastEthernet 0/1-5 (sélection de plage)
Mettre un port en mode accès et activer la sécurité des ports :
switchport mode access
switchport port-security
Configurer une adresse MAC sécurisée statique :
switchport port-security mac-address MAC
Configurer une adresse MAC sécurisée dynamique :
(activer port-security après avoir mis le port en mode access ; l'adresse est alors apprise automatiquement)
Configurer des adresses rémanentes (sticky) et limite :
switchport port-security maximum 10
switchport port-security mac-address sticky
no switchport port-security mac-adress sticky (présent dans le document pour l'arrêt de l'apprentissage rémanent)
Vérification et fin de configuration :
end
Vérification des paramètres et des adresses sécurisées :
show port-security [interface id_interface]
Désactivation de ports (ports inutilisés) :
interface range ...
shutdown

(Remarque : ne pas reproduire ici de longs scripts complets ; utiliser ces commandes dans l'ordre logique indiqué dans le document.)

5. Sécurité et bonnes pratiques¶

Toujours limiter le nombre d'adresses MAC par port pour réduire la surface d'attaque.
Mettre les ports dédiés aux hôtes en mode accès avant d'activer la sécurité des ports.
Désactiver (shutdown) les ports non utilisés via interface range pour éviter les connexions non autorisées.
Enregistrer les adresses rémanentes dans la configuration (si souhaité) pour garantir leur persistance après redémarrage ; sinon elles peuvent disparaître.
Attention aux incohérences : activer/désactiver l'apprentissage rémanent influence la présence des adresses dans le running-config et peut générer des erreurs si on tente d'ajouter des sticky alors que l'apprentissage est désactivé.

6. Points essentiels à retenir pour le TSSR¶

Trois types d'adresses sécurisées : statiques, dynamiques et rémanentes (sticky).
Le port doit être en mode access pour activer switchport port-security.
Adresses statiques → stockées dans le running-config ; dynamiques → uniquement dans la table MAC ; rémanentes → peuvent être persistantes si enregistrées.
sticky convertit ou enregistre les adresses apprises dynamiquement en entrées persistantes.
Les adresses dynamiques sont perdues au redémarrage ; les rémanentes le sont seulement si elles n'ont pas été sauvegardées.
Utiliser show port-security pour vérifier l'état des ports sécurisés et les adresses associées.
Désactiver les ports inutilisés (interface range + shutdown) est une mesure simple et efficace.
S'assurer de la cohérence entre apprentissage rémanent activé/désactivé pour éviter erreurs ou pertes d'entrées.
La commande switchport port-security mac-address permet d'implémenter des MAC statiques explicitement.
La limitation du nombre d'adresses (maximum) permet de contrôler les connexions par port.

7. Tableau récapitulatif¶

Type d'adresse MAC	Stockage principal	Persistance au redémarrage	Mode d'obtention
Statique	running-config	Persistante	Configuration manuelle
Dynamique	Table d'adresses MAC	Non persistante	Apprentissage automatique
Rémanente (sticky)	Table MAC + running-config (si enregistrée)	Peut être persistante si sauvée	Apprise puis enregistrée
Port non utilisé	—	Sécurisation par désactivation	interface range + shutdown

8. Vérifications pratiques¶

Vérifier les paramètres de sécurité d'un switch ou d'une interface : show port-security [interface id_interface]
Vérifier la liste des adresses MAC sécurisées configurées sur toutes les interfaces ou une interface spécifique : show port-security [interface id_interface]
Confirmer qu'un port non utilisé est administrativement down après shutdown sur la range : contrôle d'état via le CLI (commande show appropriée mentionnée ci‑dessus).

9. Flashcards Anki¶

Quels sont les trois types d'adresses MAC sécurisées ? :: Statique, dynamique, rémanente (sticky) Où s'effectuent les commandes de configuration évoquées ? :: Dans le CLI du switch Pourquoi sécuriser les ports d'un commutateur ? :: Pour limiter les adresses MAC par port et empêcher collecte d'infos/attaques Quel mode d'interface est requis pour activer la sécurité des ports ? :: Mode access Où sont stockées les adresses MAC dynamiques ? :: Dans la table d'adresses MAC uniquement Que fait l'option rémanente (sticky) ? :: Elle enregistre les adresses apprises dynamiquement dans la configuration en cours Que se passe-t-il aux adresses dynamiques au redémarrage du switch ? :: Elles sont supprimées Quelle commande permet d'afficher les paramètres de sécurité d'un port ? :: show port-security [interface id_interface] Comment désactiver rapidement des ports inutilisés ? :: Utiliser interface range puis shutdown Qu'arrive-t-il si l'apprentissage rémanent est désactivé après avoir été actif ? :: Les adresses rémanentes restent dans la table MAC mais sont effacées du running-config