Aller au contenu

Maintenir et sécuriser les accès à Internet et les interconnexions des réseaux

1. Objectif du cours

Apprendre à segmenter un réseau par VLAN avec un plan TCP/IP optimisé (VLSM) et à autoriser la communication inter‑VLAN via routage (routeur ou commutateur de niveau 3), en tenant compte des aspects de maintenance et de sécurité.

2. Notions et définitions essentielles

  • VLSM : Variable Length Subnet Masking — technique de sous‑réseaux avec masques de longueurs variables pour optimiser l'utilisation d'adresses IP.
  • VLAN : Virtual Local Area Network — segmentation logique d'un réseau physique en domaines de diffusion indépendants, identifiés par un ID (0–4095) et un nom.
  • Trunk (IEEE 802.1Q) : mécanisme permettant de transporter plusieurs VLANs sur un même lien physique par étiquetage (encapsulation dot1Q).
  • Routage inter‑VLAN (router‑on‑a‑stick) : utilisation de sous‑interfaces virtuelles sur une seule interface physique du routeur pour acheminer le trafic entre VLANs.
  • Limite opérationnelle : recommandation Cisco de maximum ~50 sous‑interfaces virtuelles par carte réseau physique.

3. Fonctionnement et principes

  • Planification TCP/IP avec VLSM : classer les besoins par taille, déterminer X tel que 2^X ≥ (nombre d'hôtes + 2), calculer le nouveau préfixe (/CIDR = 32 − X), puis définir adresse réseau, broadcast et plage d'hôtes.
  • VLAN : isolent les domaines de diffusion ; chaque VLAN correspond à un réseau logique distinct (même infrastructure physique).
  • Trunking : en mode trunk (IEEE 802.1Q), les trames sont taggées pour identifier le VLAN d'origine afin que plusieurs VLANs traversent un même lien entre commutateurs ou entre commutateur et routeur.
  • Routage inter‑VLAN : possibilité d'utiliser soit une carte physique par VLAN (coûteux), soit des sous‑interfaces virtuelles sur une seule carte (économie). Pour ces sous‑interfaces, on applique l'encapsulation dot1Q et on assigne une IP de passerelle pour chaque VLAN.

4. Commandes et manipulations

Regroupe les commandes présentées dans le PDF selon procédure (extraits, pas de scripts complets) :

  • Création de VLANs (ex. VLAN 10/20/30)
  • Switch>enable
  • Switch#configure terminal
  • Switch(config)#VLAN 10
  • Switch(config-VLAN)#name Service1

  • Rôle : créer un VLAN et lui donner un nom.

  • Associer un VLAN à un port (mode access)

  • Switch(config)#interface gigabitEthernet 0/1
  • Switch(config-if)#switchport mode access
  • Switch(config-if)#switchport access VLAN 10

  • Rôle : définir un port en access et le placer dans un VLAN donné.

  • Afficher la table des VLANs et ports associés

  • Switch#show VLAN

  • Rôle : lister les VLANs configurés et les ports membres.

  • Créer un lien Trunk sur commutateur

  • Switch(config)#interface fastEthernet 0/24
  • Switch(config-if)#switchport mode trunk

  • Rôle : configurer une interface pour transporter plusieurs VLANs (IEEE 802.1Q).

  • Création de sous‑interfaces virtuelles sur routeur (router‑on‑a‑stick)

  • Router>enable
  • Router#configure terminal
  • Router(config)#interface gigabitEthernet 0/0.10
  • Router(config-subif)#encapuslation dot1q 10
  • Router(config-subif)#ip address 172.23.0.62 255.255.255.192
  • Rôle : créer une sous‑interface taggée pour un VLAN, appliquer dot1Q et assigner l'adresse de passerelle.

5. Sécurité et bonnes pratiques

  • Segmentation par VLAN pour isoler et protéger les services : réduit les domaines de diffusion et limites l'exposition des données sensibles.
  • Utiliser le routage + listes de contrôle d’accès (ACL) pour réguler et filtrer les flux entre VLANs et vers l'extérieur (piste recommandée pour aller plus loin).
  • Respecter la recommandation de Cisco : ne pas dépasser ~50 sous‑interfaces virtuelles par carte réseau physique afin d'éviter des instabilités liées au trafic concentré.

6. Points essentiels à retenir pour le TSSR

  • VLSM : classer d'abord les besoins par ordre décroissant, calculer X (2^X ≥ hôtes+2), déterminer /CIDR, adresse réseau, broadcast et plage d'hôtes.
  • Exemples fournis : 32 hôtes → /26 (172.23.0.0/26), 20 hôtes → /27 (172.23.0.64/27), 5 hôtes → /29 (172.23.0.96/29).
  • VLAN : sert à segmenter et isoler logiquement des réseaux sur la même infrastructure physique.
  • Trunk (IEEE 802.1Q) : permet de faire traverser plusieurs VLANs sur un seul lien en taggant les trames.
  • Routage inter‑VLAN : deux approches (une carte physique par VLAN ou sous‑interfaces virtuelles); la seconde est économique mais limitée en nombre de sous‑interfaces.
  • Choix d'adresse de passerelle : le cours illustre l'utilisation de la dernière IP disponible pour la passerelle du routeur dans chaque VLAN.
  • Vérifier et documenter les plans IP avant déploiement (éviter chevauchements).
  • Pour filtrer ou limiter les communications entre VLANs, utiliser ACLs.

7. Tableau récapitulatif

Concept Rôle principal Avantage clé
VLAN Segmentation logique d'un LAN Isolation et réduction domaines de diffusion
Trunk (802.1Q) Transporter plusieurs VLANs sur 1 lien Économie de câblage entre équipements
Access port Port membre d'un seul VLAN Simplicité pour terminaux
Router‑on‑a‑stick Routage inter‑VLAN via sous‑interfaces Économie matérielle (1 NIC)
VLSM Optimisation des adresses IP Adapter masque à besoin réel d'hôtes

8. Vérifications pratiques

  • Afficher la table des VLAN et les ports associés pour vérifier la création et l'affectation des VLANs (commande listée dans le cours).
  • Vérifier les plans IP calculés : adresse réseau, broadcast et plages d'hôtes pour chaque VLAN (valeurs d'exemple fournies dans le document).
  • Confirmer la création des sous‑interfaces et l'association des VLANs sur le routeur par revue de la configuration (méthode décrite dans le cours, sans reproduire la commande ici).

9. Flashcards Anki

Qu'est‑ce que VLSM ? :: Technique de sous‑réseau permettant des masques de longueurs variables pour optimiser l'utilisation des adresses IP.
Quelles sont les étapes pour calculer un plan TCP/IP avec VLSM ? :: Classer par besoin, calculer le masque (X tel que 2^X ≥ hôtes+2), donner adresse réseau, adresse diffusion, et étendue IP.
Quel masque CIDR pour 32 périphériques selon l'exemple ? :: /26.
Quelle est l'adresse réseau attribuée au service de 20 périphériques dans l'exemple ? :: 172.23.0.64/27.
Quelle est l'adresse de diffusion du service de 32 périphériques dans l'exemple ? :: 172.23.0.63/26.
Quelle est l'étendue IP du service de 5 périphériques dans l'exemple ? :: 172.23.0.97 à 172.23.0.102.
Définition succincte d'un VLAN :: Réseau logique qui segmente et isole un réseau physique en domaines de diffusion séparés.
Quel est le rôle principal d'un lien Trunk ? :: Permettre la circulation de plusieurs VLANs sur un seul lien physique.
Quelle norme régit l'encapsulation dot1Q ? :: IEEE 802.1Q.
Quelle est la limite recommandée de sous‑interfaces virtuelles par carte réseau ? :: Maximum 50 sous‑interfaces (recommandation Cisco).