Accueil/Réseaux & Systèmes /Chapitre 07 /Exercices corrigés

Configuration Cisco — exercices

Des commandes à écrire, des configurations à corriger, des états d'interface à interpréter. Exactement ce qui tombe en TP noté.

🎯

Le conseil qui vaut des points

En épreuve, écrivez le prompt devant chaque commande : S1(config-if)#. Cela prouve au correcteur que vous savez dans quel mode vous vous trouvez — et cela vous évite à vous-même la moitié des erreurs.

01Naviguer dans les modes

1Quel mode, quelle commande ? Facile

Indiquez le mode (et son invite) dans lequel il faut se trouver, et la commande pour y arriver depuis le mode d'exécution utilisateur.

Donner un nom au commutateur
Configurer le mot de passe de la console
Attribuer une adresse IP à l'interface VLAN 1
Enregistrer la configuration
Afficher la table des adresses MAC

✅ Correction

Tâche	Mode	Chemin depuis `Switch>`
1 — Nommer	`(config)#` Configuration globale	`enable` → `configure terminal` → `hostname S1`
2 — Mot de passe console	`(config-line)#` Configuration de ligne	… → `line console 0` → `password X` + `login`
3 — Adresse IP sur VLAN 1	`(config-if)#` Configuration d'interface	… → `interface vlan 1` → `ip address …` + `no shutdown`
4 — Enregistrer	`#` Exécution privilégié	`enable` → `copy running-config startup-config`
5 — Table MAC	`#` Exécution privilégié	`enable` → `show mac address-table`

⚠️ Les commandes show et copy ne sont pas des commandes de configuration

Elles s'exécutent en mode privilégié (#), pas en mode de configuration. Erreur très fréquente : taper copy run start depuis (config)#. IOS répond alors % Invalid input detected.

Le réflexe : end pour remonter au #, puis copy run start.

2Lire les messages d'erreur Facile

Que signifie chacun de ces retours, et que faire ?

a)  S1# show ru
    % Ambiguous command:  "show ru"

b)  S1(config)# interface
    % Incomplete command.

c)  S1(config)# hostnme S1
    % Invalid input detected at '^' marker.

d)  S1# ping 192.168.1.99
    ....."Translating "192.168.1.99"...domain server (255.255.255.255)

✅ Correction

	Signification	Solution
a	L'abréviation correspond à plusieurs commandes — `show running-config`, `show rmon`…	Taper quelques lettres de plus : `show run`
b	La commande est valide mais incomplète : il manque l'interface à configurer	`interface ?` pour voir les possibilités, puis `interface vlan 1`
c	Faute de frappe — `hostnme`. Le `^` pointe l'endroit exact	`hostname S1`
d	IOS tente une résolution DNS et bloque la console une trentaine de secondes	`Ctrl`+`Maj`+`6` pour interrompre, puis `no ip domain-lookup`

🧰 Le cas (d) mérite un mot

Ce message apparaît dès qu'IOS reçoit quelque chose qu'il ne reconnaît pas comme une commande : il suppose que vous vouliez atteindre un hôte et tente de résoudre son nom. Il interroge alors l'adresse de diffusion 255.255.255.255, n'obtient rien, et attend le délai complet.

C'est pourquoi no ip domain-lookup est la première commande que l'on tape sur un équipement de laboratoire : elle supprime définitivement cette perte de temps.

02Configuration complète d'un switch

3De l'état d'usine à l'administration à distance Moyen

Un commutateur sort de son carton. Écrivez la séquence complète de commandes, avec les prompts, pour :

le nommer S1 ;
protéger le mode privilégié par classe456 ;
protéger la console par cisco123 ;
protéger les 16 lignes VTY par vty789 ;
chiffrer tous les mots de passe ;
afficher une bannière d'avertissement ;
lui donner l'adresse 192.168.1.2/24 avec la passerelle 192.168.1.1 ;
désactiver la résolution DNS ;
enregistrer.

✅ Correction

Cisco IOS

Switch> enable
Switch# configure terminal

! ─── 1. nom d'hôte ───────────────────────────────────────────
Switch(config)# hostname S1

! ─── 8. confort : plus d'attente sur les fautes de frappe ────
S1(config)# no ip domain-lookup

! ─── 2. mode privilégié ──────────────────────────────────────
S1(config)# enable secret classe456

! ─── 3. console ──────────────────────────────────────────────
S1(config)# line console 0
S1(config-line)# password cisco123
S1(config-line)# login
S1(config-line)# exit

! ─── 4. lignes VTY (accès distant) ───────────────────────────
S1(config)# line vty 0 15
S1(config-line)# password vty789
S1(config-line)# login
S1(config-line)# exit

! ─── 5. chiffrement des mots de passe ────────────────────────
S1(config)# service password-encryption

! ─── 6. bannière d'avertissement ─────────────────────────────
S1(config)# banner motd #Acces reserve au personnel autorise.
Toute tentative non autorisee fera l'objet de poursuites.#

! ─── 7. adressage pour l'administration distante ─────────────
S1(config)# interface vlan 1
S1(config-if)# ip address 192.168.1.2 255.255.255.0
S1(config-if)# no shutdown
S1(config-if)# exit
S1(config)# ip default-gateway 192.168.1.1
S1(config)# end

! ─── 9. ENREGISTRER ──────────────────────────────────────────
S1# copy running-config startup-config

🧰 Les cinq points qui font la différence à la correction

enable secret et non enable password — le premier est haché.
login après chaque password — sans lui, aucun mot de passe n'est demandé.
line vty 0 15 — les 16 lignes, pas seulement la première.
no shutdown sur l'interface VLAN — sinon elle reste administratively down.
copy run start — sinon tout disparaît au redémarrage.

⚠️ L'ordre a une conséquence pratique

service password-encryption chiffre les mots de passe présents au moment où on la tape, et tous ceux entrés ensuite. La placer avant les password fonctionne donc aussi.

En revanche, no ip domain-lookup gagne à être tapée tôt : c'est justement pendant qu'on saisit beaucoup de commandes qu'on fait des fautes de frappe.

03TP — lire les états d'interface

4Le relevé du TP Moyen

Voici le relevé obtenu avec show ip interface brief sur les deux commutateurs du TP « Sécurité des équipements réseaux » :

Interface	S1 — État	S1 — Protocole	S2 — État	S2 — Protocole
`F0/1`	up	up	up	up
`F0/6`	up	up	down	down
`F0/18`	down	down	up	up
`VLAN 1`	administratively down	down	administratively down	down

Questions de réflexion :

Pourquoi certains ports FastEthernet sont-ils activés tandis que d'autres sont hors service ?
Qu'est-ce qui pourrait empêcher l'envoi d'une requête ping entre des ordinateurs ?
Pourquoi VLAN 1 est-il administratively down sur les deux commutateurs, et comment le corriger ?

✅ Correction

1. Pourquoi certains ports sont-ils actifs et d'autres non

Un port FastEthernet passe à up/up uniquement quand un équipement allumé est raccordé par un câble en bon état. Les ports down/down correspondent donc à :

des ports sur lesquels rien n'est branché — le cas le plus fréquent ;
un câble débranché, coupé ou du mauvais type ;
un équipement distant éteint ou dont la carte réseau est désactivée.

On observe la symétrie du montage : F0/6 est actif sur S1 mais pas sur S2, F0/18 l'inverse. Chaque commutateur a un poste sur un port différent, et F0/1 est actif des deux côtés — c'est la liaison entre S1 et S2.

2. Ce qui peut empêcher un ping

Il faut balayer les couches, de la plus basse à la plus haute :

Couche	Cause possible	Comment le vérifier
1 — Physique	Câble débranché, défectueux, port `down/down`	`show ip interface brief`
2 — Liaison	Interface `administratively down`, VLAN différents sur les deux ports	`show interfaces status`
3 — Réseau	Adresses IP dans des sous-réseaux différents, masque erroné, passerelle absente	`ipconfig` sur les postes
Autre	Pare-feu du poste bloquant l'ICMP — Windows le fait par défaut	Désactiver temporairement, ou pinguer dans l'autre sens

⚠️ La réponse à ne pas donner

« Le PC n'est pas connecté à Internet » n'explique rien : deux machines du même réseau local se pinguent sans aucun accès Internet. Le ping local ne quitte jamais le LAN.

La bonne réponse mentionne le plan d'adressage — mêmes sous-réseau et masque — et le pare-feu, qui est la cause la plus fréquente quand tout le reste semble correct. Sous Windows, le pare-feu bloque l'ICMP entrant par défaut : le PC A ne répond pas au PC B, alors que B répond très bien à A.

3. VLAN 1 `administratively down`

C'est l'état d'usine. L'interface VLAN 1 existe sur tout commutateur Cisco, mais elle est désactivée par défaut : tant qu'on n'a pas besoin d'administrer l'équipement à distance, elle ne sert à rien.

Le mot administratively est la clé : ce n'est pas une panne, c'est un choix de configuration — ici, celui d'usine.

Cisco IOS

S1(config)# interface vlan 1
S1(config-if)# ip address 192.168.1.2 255.255.255.0
S1(config-if)# no shutdown              ← la commande qui lève l'état
S1(config-if)# end
S1# show ip interface brief             ← Vlan1 doit passer à up / up

Attention : l'interface ne passera à up/up que si au moins un port physique du VLAN 1 est actif. Une SVI sans aucun port actif dans son VLAN reste down, même après no shutdown.

04Corriger une configuration

5Six erreurs à trouver Exigeant

Un camarade vous montre sa configuration. Elle ne fonctionne pas comme prévu : personne ne lui demande de mot de passe, il ne peut pas joindre le commutateur à distance, et tout disparaît au redémarrage. Trouvez les six erreurs.

Switch(config)# hostname S 1
Switch(config)# enable password classe456
S1(config)# line console 0
S1(config-line)# password cisco123
S1(config-line)# exit
S1(config)# line vty 0
S1(config-line)# password vty789
S1(config-line)# login
S1(config-line)# exit
S1(config)# interface vlan 1
S1(config-if)# ip address 192.168.1.2 255.255.255.0
S1(config-if)# exit
S1(config)# end
S1#

✅ Correction

#	Erreur	Conséquence	Correction
1	`hostname S 1` — un espace dans le nom	Refusé : les règles de nommage interdisent les espaces	`hostname S1`
2	`enable password` au lieu de `secret`	Mot de passe protégé par un chiffrement réversible	`enable secret classe456`
3	`login` manquant sur la console	Aucun mot de passe n'est demandé à la connexion console	Ajouter `login` après `password`
4	`line vty 0` au lieu de `0 15`	Seule la première session distante est protégée ; les 15 autres sont ouvertes	`line vty 0 15`
5	`no shutdown` manquant sur l'interface VLAN	L'interface reste `administratively down` : impossible de joindre le commutateur	Ajouter `no shutdown`
6	`copy run start` manquant	Toute la configuration disparaît au redémarrage	`copy running-config startup-config`

🧰 Une septième amélioration, non comptée comme erreur

Il manque aussi ip default-gateway 192.168.1.1. Sans elle, le commutateur est joignable depuis son propre sous-réseau, mais pas depuis un réseau distant. Ce n'est une erreur que si l'énoncé demande une administration depuis l'extérieur — mais c'est une bonne pratique systématique.

Et service password-encryption reste à ajouter : sans elle, un show running-config affiche cisco123 et vty789 en clair à quiconque regarde l'écran.

⚠️ Les erreurs 3 et 6 sont les plus vicieuses

Elles ne produisent aucun message d'erreur. IOS accepte la configuration sans broncher ; tout semble parfait dans show running-config. On ne découvre le problème qu'à la reconnexion — ou le lendemain, quand tout a disparu.

D'où les deux vérifications systématiques en fin de TP : se déconnecter et se reconnecter pour contrôler que le mot de passe est bien demandé, et taper copy run start avant de quitter.

05Cas de synthèse

6Le commutateur injoignable Exigeant

Le commutateur S1 a été configuré avec l'adresse 192.168.1.2/24 sur son interface VLAN 1, et no shutdown a bien été tapé. Un technicien tente de s'y connecter en SSH depuis un poste du réseau 192.168.5.0/24, à travers un routeur. La connexion échoue.

Depuis un poste du réseau 192.168.1.0/24, la connexion SSH fonctionne parfaitement.

Quelle est la cause ?
Quelle commande la corrige ?
Comment auriez-vous pu diagnostiquer cela sans avoir accès au poste distant ?

✅ Correction

1. La cause

La passerelle par défaut n'est pas configurée sur le commutateur.

Le raisonnement : depuis le même sous-réseau, ça marche — donc l'adresse IP, la SVI et le service SSH sont corrects. Depuis un autre sous-réseau, ça échoue. Le problème n'est donc pas la demande qui arrive, mais la réponse qui ne repart pas.

Un commutateur de couche 2 ne route pas : il ne sait pas où envoyer un paquet destiné à 192.168.5.x. La requête SSH lui parvient bien — le routeur la lui a livrée —, mais il ignore par où renvoyer la réponse et l'abandonne.

2. La correction

Cisco IOS

S1(config)# ip default-gateway 192.168.1.1
S1(config)# end
S1# copy running-config startup-config

C'est exactement ce que dit le cours : « le commutateur doit être configuré avec une passerelle par défaut s'il doit être géré à distance depuis des réseaux connectés indirectement ».

3. Le diagnostic depuis le commutateur seul

Cisco IOS

S1# show ip interface brief
    Vlan1   192.168.1.2   up   up            ← l'interface est bonne

S1# show running-config | include default-gateway
                                             ← AUCUNE ligne : c'est le diagnostic

S1# ping 192.168.5.10                        ← échoue : le switch ne sait pas sortir
S1# ping 192.168.1.1                         ← réussit : la passerelle est joignable

Le test décisif est le troisième : si le commutateur ne peut pas pinguer une adresse hors de son sous-réseau alors qu'il ping sa passerelle, c'est qu'il n'a pas de route par défaut.

🧰 Le filtre | include

show running-config | include default-gateway n'affiche que les lignes contenant ce texte. Sur une configuration de plusieurs centaines de lignes, c'est ce qui permet de vérifier un point précis en une seconde au lieu de tout parcourir.

Autres usages courants : | include password, | section interface, | begin line vty.

🌍 Pourquoi un switch a besoin d'une passerelle alors qu'il ne route pas

Il ne route pas le trafic des autres — il commute en couche 2. Mais pour son propre trafic — répondre à un SSH, envoyer un journal vers un serveur syslog, interroger un serveur NTP —, il se comporte comme n'importe quel hôte IP. Et comme tout hôte, il lui faut une passerelle pour sortir de son sous-réseau.

La formule à retenir : un switch route pour lui-même, jamais pour les autres.

01Naviguer dans les modes

1Quel mode, quelle commande ? Facile

2Lire les messages d'erreur Facile

02Configuration complète d'un switch

3De l'état d'usine à l'administration à distance Moyen

03TP — lire les états d'interface

4Le relevé du TP Moyen

1. Pourquoi certains ports sont-ils actifs et d'autres non

2. Ce qui peut empêcher un ping

3. VLAN 1 administratively down

04Corriger une configuration

5Six erreurs à trouver Exigeant

05Cas de synthèse

6Le commutateur injoignable Exigeant

1. La cause

2. La correction

3. Le diagnostic depuis le commutateur seul

3. VLAN 1 `administratively down`