Configuration de base Cisco IOS
Les commandes qui reviennent dans tous les TP réseau — celles qu'il faut taper sans réfléchir pour garder son attention sur le reste.
Résumé flash
On accède à un équipement Cisco par la console (première configuration)
ou par SSH (à distance, sécurisé). IOS impose des
modes emboîtés : > utilisateur, # privilégié,
(config)# global. La configuration active vit dans la
RAM volatile : sans copy running-config startup-config,
tout est perdu au redémarrage.
🔑
#IOS #console #SSH #Telnet
#enable #configure-terminal #hostname
#enable-secret #line-vty #banner-motd
#running-config #startup-config #NVRAM
#SVI #default-gateway
01Accéder à Cisco IOS
| Méthode | Principe | Sécurité | Quand l'utiliser |
|---|---|---|---|
| Console | Port de gestion physique, câble bleu roulé (rollover) | Accès physique requis | Configuration initiale, maintenance, récupération d'un mot de passe perdu |
| SSH | Connexion CLI à distance par une interface virtuelle, sur le réseau | Chiffrée | La méthode recommandée pour se connecter à distance |
| Telnet | Connexion CLI distante, sur le réseau | En clair | À éviter — identifiants, mots de passe et commandes circulent en clair |
Un équipement neuf n'a aucune adresse IP : impossible de le joindre par le réseau. La console est le seul moyen d'entrer la toute première configuration. C'est aussi le seul recours quand on a perdu le mot de passe, ou qu'une mauvaise commande a coupé l'accès distant.
Retenez la formule : on configure par la console, on administre par SSH.
Les émulateurs de terminal
Ce sont les programmes utilisés pour se connecter à un périphérique réseau, par le port de console ou par SSH/Telnet : PuTTY, Tera Term, SecureCRT.
Telnet transmet tout en clair, y compris le mot de passe
enable secret que vous venez de taper. N'importe qui capturant le trafic avec
Wireshark le lit en clair. C'est la raison pour laquelle il figure encore au programme :
non pour l'utiliser, mais pour comprendre pourquoi on ne l'utilise plus — et pour
le reconnaître dans une capture de trames en épreuve.
02Les modes de commande
| Mode | Invite | Ce qu'on y fait |
|---|---|---|
| Exécution utilisateur | Switch> |
N'autorise l'accès qu'à un nombre limité de commandes de surveillance de base |
| Exécution privilégié | Switch# |
Permet d'accéder à toutes les commandes et fonctionnalités |
| Configuration globale | Switch(config)# |
Accéder aux options de configuration de l'appareil |
| Configuration de ligne | Switch(config-line)# |
Configurer l'accès par console, SSH, Telnet ou AUX |
| Configuration d'interface | Switch(config-if)# |
Configurer un port de commutateur ou une interface de routeur |
Switch> enable ← passer en mode privilégié
Switch# configure terminal ← passer en configuration globale
Switch(config)# line console 0 ← configuration de ligne
Switch(config-line)# exit ← revenir au mode précédent
Switch(config)# interface fastethernet 0/1
Switch(config-if)# end ← revenir DIRECTEMENT au mode privilégié
Switch# disable ← redescendre en mode utilisateurexit, end ou Ctrl+Z ?exit— remonte d'un seul niveau.end— remonte directement au mode d'exécution privilégié, quel que soit le niveau où l'on se trouve.- Ctrl+Z — identique à
end.
Le réflexe qui fait gagner du temps : depuis (config-if)#, tapez
end plutôt que deux exit.
03Syntaxe, aide et raccourcis
La structure d'une commande
Switch(config-if)# ip address 192.168.10.5 255.255.255.0
└────┬────┘ └─────┬────┘
MOTS-CLÉS ARGUMENTS
• Mot-clé : un paramètre spécifique défini dans le système d'exploitation
• Argument : une valeur ou variable définie par L'UTILISATEURLes deux formes d'aide
| Forme | Ce qu'elle apporte |
|---|---|
Aide contextuelle — le ? |
Quelles commandes sont disponibles dans ce mode ? Lesquelles commencent par tel groupe de caractères ? Quels arguments et mots-clés accepte cette commande ? |
| Vérification de syntaxe | Contrôle que la commande saisie est valide. Si l'interpréteur ne comprend pas, il affiche un commentaire décrivant le problème |
Switch# ? ← toutes les commandes de ce mode
Switch# sh? ← toutes celles commençant par « sh »
Switch# show ? ← tous les mots-clés acceptés après « show »
Switch# show ip ? ← et ainsi de suite
Switch# show ru
% Ambiguous command ← plusieurs commandes commencent ainsi
Switch# show running
% Incomplete command ← il manque un argument
Switch# shwo running-config
% Invalid input detected at '^' ← faute de frappe : le ^ pointe l'erreur% Ambiguous command— votre abréviation correspond à plusieurs commandes. Tapez quelques lettres de plus.% Incomplete command— la commande est juste mais incomplète. Ajoutez?pour voir ce qui manque.% Invalid input detected at '^'— il y a une erreur, et le^pointe exactement l'endroit fautif.
Ces trois messages disent trois choses différentes. Les distinguer fait gagner un temps considérable en TP — et c'est une question fréquente à l'oral.
Les raccourcis clavier
| Frappe | Effet |
|---|---|
| Tab | Complète un nom de commande entré partiellement |
| Retour arrière | Efface le caractère à gauche du curseur |
| ← ou Ctrl+B | Curseur d'un caractère vers la gauche |
| → ou Ctrl+F | Curseur d'un caractère vers la droite |
| ↑ ou Ctrl+P | Rappelle les commandes antérieures, de la plus récente à la plus ancienne |
| Ctrl+C | Quitte le mode de configuration, retour au mode privilégié |
| Ctrl+Z | Idem |
| Ctrl+Maj+6 | Séquence de coupure : annule un ping, un traceroute, une recherche DNS |
Entrée à l'invite --More-- | Affiche la ligne suivante |
Espace à l'invite --More-- | Affiche l'écran suivant |
Vous lancez un ping vers une adresse injoignable, ou une commande déclenche une
recherche DNS qui prend trente secondes. La console semble figée et
Ctrl+C ne fait rien.
C'est la séquence de coupure qu'il faut : Ctrl+Maj+6. Elle interrompt l'opération en cours et rend la main immédiatement. Utile aussi après une faute de frappe : IOS croit que vous avez tapé un nom d'hôte et tente de le résoudre.
04La configuration de base
Le nom du périphérique
La première commande de configuration sur n'importe quel périphérique doit
être de lui donner un nom d'hôte unique. Par défaut, tous les périphériques
portent un nom d'usine — Switch pour un commutateur Cisco IOS.
- débuter par une lettre ;
- ne contenir aucun espace ;
- se terminer par une lettre ou un chiffre ;
- ne comporter que des lettres, chiffres et tirets ;
- faire moins de 64 caractères.
Switch> enable
Switch# configure terminal
Switch(config)# hostname S1
S1(config)# ← l'invite change IMMÉDIATEMENT
S1(config)# no hostname ← revenir au nom d'usine « Switch »no, la commande la plus utile d'IOSPresque toute commande IOS s'annule en la répétant précédée de no :
no hostname, no shutdown, no ip domain-lookup,
no service password-encryption. C'est un principe général, pas une exception :
il évite d'avoir à mémoriser une seconde commande pour défaire la première.
05Sécuriser les accès
L'utilisation de mots de passe faibles ou facilement devinés est un problème de sécurité. Tous les périphériques réseau doivent limiter l'accès administratif en sécurisant l'accès d'exécution, l'accès utilisateur et l'accès Telnet à distance. Tous les mots de passe doivent être chiffrés, et des notifications légales doivent être fournies.
- plus de 8 caractères ;
- une combinaison de majuscules, minuscules, chiffres et caractères spéciaux ;
- ne pas réutiliser le même mot de passe sur tous les périphériques ;
- éviter les mots courants, faciles à deviner.
Les trois accès à protéger
! ── 1. Accès CONSOLE (mode d'exécution utilisateur) ──
S1(config)# line console 0
S1(config-line)# password cisco123
S1(config-line)# login ← ACTIVE la demande de mot de passe
S1(config-line)# exit
! ── 2. Accès au mode d'exécution PRIVILÉGIÉ ──
S1(config)# enable secret classe456 ← « secret », pas « password »
! ── 3. Accès distant par les lignes VTY (Telnet / SSH) ──
S1(config)# line vty 0 15 ← les 16 lignes virtuelles, de 0 à 15
S1(config-line)# password vty789
S1(config-line)# login
S1(config-line)# exitLes lignes VTY (terminal virtuel) activent l'accès à distance en utilisant Telnet ou SSH. La plupart des commutateurs Cisco prennent en charge jusqu'à 16 lignes VTY, numérotées de 0 à 15.
login, le mot de passe ne sert à rienpassword définit le mot de passe ; login
active la demande. Configurer l'un sans l'autre laisse l'accès totalement
ouvert — et c'est l'oubli le plus fréquent en TP, parce que rien ne signale l'erreur.
Vérifiez toujours en vous déconnectant puis en vous reconnectant : si aucun mot de passe
n'est demandé, il manque login.
Chiffrer les mots de passe
Les fichiers startup-config et running-config affichent la plupart
des mots de passe en texte clair. La commande
service password-encryption les chiffre.
S1# show running-config ← vérifier : les mots de passe sont EN CLAIR
password cisco123
S1(config)# service password-encryption
S1# show running-config ← vérifier : ils sont maintenant chiffrés
password 7 0822455D0A16enable secret et service password-encryption ne protègent pas pareilenable secret | service password-encryption | |
|---|---|---|
| Protège | Le mot de passe du mode privilégié | Tous les autres mots de passe du fichier |
| Méthode | Hachage (type 5 ou 9) | Chiffrement type 7 |
| Réversible ? | Non | Oui, en quelques secondes |
Le « chiffrement » de type 7 est trivialement réversible : des outils en ligne le décodent instantanément. Il n'empêche que la lecture par-dessus l'épaule, pas une vraie attaque.
C'est pourquoi on utilise enable secret et jamais
enable password : le premier hache, le second se contente du type 7. Si la
question tombe, la formule attendue est : « secret est haché, donc irréversible ;
password-encryption est réversible et ne protège que de la lecture accidentelle ».
Le message de bannière
Un message de bannière est important pour avertir le personnel non autorisé tentant d'accéder à l'appareil. Il s'affiche lors des tentatives de connexion.
S1(config)# banner motd #Acces reserve au personnel autorise. Toute
tentative non autorisee fera l'objet de poursuites.#
↑ ↑
délimiteur délimiteurMOTD signifie Message Of The Day. Le # est le
caractère de délimitation : il est placé avant et après le message.
Une bannière n'est pas décorative : elle a une portée juridique. Écrire « Bienvenue » sur un équipement peut être interprété comme une invitation à s'y connecter, ce qui affaiblit les poursuites en cas d'intrusion. La bannière doit énoncer que l'accès est réservé et que toute tentative non autorisée est répréhensible. Elle ne doit pas non plus révéler le modèle, la version ou la fonction de l'équipement — autant d'informations offertes à un attaquant.
06Enregistrer la configuration
Deux fichiers système stockent la configuration des périphériques. La différence entre les deux est la source d'erreur numéro un en TP.
copy running-config startup-config.running-config | startup-config | |
|---|---|---|
| Stocké dans | RAM | NVRAM |
| Contenu | La configuration actuelle | Les commandes utilisées au démarrage ou redémarrage |
| Effet d'une modification | Immédiat sur le fonctionnement | Aucun avant le prochain démarrage |
| À la mise hors tension | Tout est perdu — mémoire volatile | Conservé — mémoire non volatile |
S1# copy running-config startup-config ← ENREGISTRER (la commande à ne jamais oublier)
S1# copy run start ← abréviation courante
S1# write memory ← ancienne syntaxe, équivalente
S1# show running-config ← voir la configuration active
S1# show startup-config ← voir la configuration enregistréeAnnuler des modifications
| Situation | Solution | Conséquence |
|---|---|---|
| Modifications non enregistrées à annuler | Supprimer les commandes une à une avec no, ou
recharger avec reload |
reload déconnecte brièvement l'appareil et
interrompt le réseau |
| Modifications indésirables déjà enregistrées | erase startup-config puis reload |
Efface toute la configuration : l'appareil revient à l'état d'usine |
Vous configurez pendant une heure, tout fonctionne, vous êtes satisfait. Vous éteignez la
machine virtuelle ou le poste. Le lendemain, tout a disparu : le
commutateur s'appelle à nouveau Switch et aucun mot de passe n'est demandé.
La configuration vivait en RAM et n'a jamais été copiée en NVRAM. Prenez le réflexe de taper
copy run start après chaque bloc de configuration réussi, pas
à la fin de la séance.
07L'adressage du commutateur
Pourquoi un commutateur a besoin d'une adresse IP
Un commutateur commute en couche 2 et fonctionne parfaitement sans aucune adresse IP. L'adresse ne sert qu'à une chose : l'administrer à distance, par SSH ou Telnet.
Cette adresse ne se place pas sur un port physique — un commutateur en a des dizaines — mais sur une interface virtuelle, la SVI (Switch Virtual Interface).
S1(config)# interface vlan 1 ← l'interface virtuelle
S1(config-if)# ip address 192.168.1.2 255.255.255.0
S1(config-if)# no shutdown ← ACTIVER l'interface
S1(config-if)# exit
S1(config)# ip default-gateway 192.168.1.1 ← la passerelle par défautLe commutateur doit être configuré avec une passerelle par défaut s'il doit être géré à distance depuis des réseaux connectés indirectement.
no shutdown — l'oubli qui rend fouPar défaut, l'interface VLAN 1 est administratively down.
L'adresse IP est bien configurée, tout semble correct dans show running-config,
et pourtant rien ne répond au ping.
Le TP de configuration de base montre exactement cela dans son tableau de relevé :
VLAN 1 — administratively down. Ce terme est explicite : ce n'est pas une
panne, c'est vous (ou l'état d'usine) qui l'avez laissée désactivée. La
commande no shutdown est la seule à la lever.
ip default-gateway ou ip route ?- Sur un commutateur de couche 2 :
ip default-gateway. Il ne route pas ; il a juste besoin de savoir à qui remettre ses propres paquets sortants. - Sur un routeur :
ip route 0.0.0.0 0.0.0.0 <suivant>. C'est une véritable route par défaut dans sa table de routage.
Utiliser ip default-gateway sur un routeur n'a aucun effet — la commande est
ignorée dès que le routage IP est actif.
Adresser les périphériques finaux
Les périphériques terminaux ont besoin d'une adresse IP pour communiquer. Elle peut être saisie manuellement, ou attribuée automatiquement par DHCP — ce qui est le comportement par défaut de la plupart des postes.
Sous Windows : Panneau de configuration → Centre Réseau et partage → Modifier les paramètres de la carte, clic droit sur la carte → Propriétés → Protocole Internet version 4 (TCP/IPv4) → Propriétés. On y saisit l'adresse, le masque et la passerelle, ou l'on coche Obtenir une adresse IP automatiquement.
S1(config)# no ip domain-lookupElle désactive la résolution DNS. Sans elle, la moindre faute de frappe — IOS croit que vous avez tapé un nom d'hôte — déclenche une recherche DNS qui bloque la console une trentaine de secondes. C'est la première commande que tapent les habitués en arrivant sur un équipement de laboratoire.
08Vérifier son travail
| Commande | Ce qu'elle affiche |
|---|---|
show version | Quel IOS le commutateur exécute, le modèle, la mémoire |
show ip interface brief | Un résumé pour toutes les interfaces : adresse, état, protocole |
show interfaces status | Le statut des interfaces connectées : vitesse, duplex, VLAN |
show running-config | La configuration active complète |
show startup-config | La configuration enregistrée |
show mac address-table | La table d'apprentissage des adresses MAC |
Lire show ip interface brief
S1# show ip interface brief
Interface IP-Address OK? Method Status Protocol
Vlan1 192.168.1.2 YES manual up up
FastEthernet0/1 unassigned YES unset up up
FastEthernet0/6 unassigned YES unset down down
FastEthernet0/18 unassigned YES unset administratively down down
└──────┬─────────┘ └──┬──┘
couche 1 (physique) couche 2 (liaison)| Status / Protocol | Signification | Que faire |
|---|---|---|
up / up | Tout fonctionne | Rien |
down / down |
Problème physique : rien n'est branché, câble défectueux, ou l'équipement d'en face est éteint | Vérifier le câble et l'équipement distant |
administratively down / down |
L'interface a été désactivée par configuration — ou n'a jamais été activée | no shutdown |
up / down |
Le lien physique existe, mais la couche 2 ne s'établit pas — encapsulation ou protocole incompatible | Vérifier l'encapsulation des deux côtés |
C'est le tableau de diagnostic le plus rentable du chapitre : il permet de séparer une panne de câble d'une erreur de configuration en une seule commande.
Sur un commutateur, show ip interface brief affiche
FastEthernet0/6 — down / down alors qu'un PC est branché dessus et allumé. Et
Vlan1 — administratively down alors que vous venez de lui donner une adresse IP.
Quelles sont les deux causes, et sont-elles de même nature ?
Non, elles sont de nature complètement différente — et c'est tout l'intérêt de la question.
1. FastEthernet0/6 — down / down : un problème physique.
Le port ne détecte aucun signal. Causes possibles : câble débranché ou défectueux, mauvais
type de câble, carte réseau du PC désactivée, ou port du PC éteint. Aucune commande sur le
commutateur ne corrigera cela : c'est du matériel.
2. Vlan1 — administratively down : une omission de
configuration. Le mot administratively le dit : c'est volontaire, ou
c'est l'état d'usine. Configurer une adresse IP n'active pas l'interface. Il manque :
S1(config)# interface vlan 1
S1(config-if)# no shutdownLa règle de lecture : administratively down signale
toujours une action manquante de votre part. Un simple down signale
un problème extérieur au commutateur.