Accueil/Réseaux & Systèmes /Chapitre 08 /Exercices corrigés

Commutation et VLAN — exercices

Les Exolabs et les TP du chapitre, avec les configurations complètes et la méthode de dépannage.

🎯

La question à se poser en permanence

Devant n'importe quel problème VLAN : « est-ce un problème de couche 2 ou de couche 3 ? » Si deux postes du même VLAN ne se parlent pas, c'est la couche 2. S'ils se parlent mais que deux VLAN différents ne communiquent pas, c'est la couche 3. Cette seule question élimine la moitié des pistes.

01Commutation — les concepts

1Comment le commutateur décide Facile

Un commutateur vient d'être allumé, sa table MAC est vide. PC-A envoie une trame à PC-B. Que fait le commutateur, et qu'apprend-il ?
PC-B répond à PC-A. Que fait le commutateur cette fois ?
Combien de temps une entrée reste-t-elle dans la table si l'hôte ne parle plus ?
Quelle est la différence entre store and forward et cut-through ? Laquelle Cisco privilégie-t-il ?

✅ Correction

1. Première trame, table vide

Étape « apprendre » : il lit l'adresse MAC source (celle de PC-A) et l'enregistre dans sa table, associée au port d'arrivée.

Étape « transférer » : il cherche la MAC de destination (PC-B) — elle n'est pas dans la table. Il inonde la trame sur toutes les interfaces sauf celle par laquelle il l'a reçue.

Il a donc appris une seule chose : où se trouve PC-A.

2. La réponse de PC-B

Il apprend la MAC de PC-B et son port. Puis il cherche la destination — PC-A, qu'il connaît maintenant — et transfère la trame sur le seul port concerné. Plus d'inondation.

C'est ainsi qu'un commutateur se « remplit » : deux trames suffisent pour qu'une conversation devienne parfaitement dirigée.

3. Le délai

5 minutes. Chaque nouvelle trame venant d'une adresse déjà connue réinitialise ce délai. Passé ce temps sans activité, l'entrée est supprimée — et la prochaine trame vers cet hôte provoquera à nouveau une inondation.

4. Les deux méthodes

	Store and forward	Cut-through
Attend	La trame entière	Juste la MAC de destination
Vérifie	Oui — le FCS, donc la validité	Non
Latence	Plus élevée	Minimale
Trames corrompues	Arrêtées	Propagées

Cisco privilégie store and forward — c'est « la méthode de commutation LAN principale de Cisco ». Le gain de latence du cut-through ne compense pas le fait de propager des trames abîmées à travers tout le réseau.

⚠️ La règle qu'on oublie de citer

Lors d'une inondation, la trame part sur toutes les interfaces sauf celle d'entrée. Sans cette exception, la trame reviendrait vers son émetteur et créerait une boucle. C'est une règle absolue, et elle vaut un point à chaque fois qu'on décrit le processus.

02Créer et affecter des VLAN

2Le TP du cours Facile

Sur le commutateur S1, écrivez la configuration complète pour :

créer VLAN 10 — Enseignants, VLAN 20 — Student, VLAN 99 — Gestion ;
affecter les ports fa0/4 à fa0/17 au VLAN 20 ;
affecter le port fa0/18 au VLAN 20 ;
configurer l'interface de gestion avec 172.17.99.11/24 et la passerelle 172.17.99.1.

Puis indiquez les commandes de vérification.

✅ Correction

Cisco IOS — S1

S1# configure terminal

! ─── création des VLAN ───────────────────────────────────
S1(config)# vlan 10
S1(config-vlan)# name Enseignants
S1(config-vlan)# exit
S1(config)# vlan 20
S1(config-vlan)# name Student
S1(config-vlan)# exit
S1(config)# vlan 99
S1(config-vlan)# name Gestion
S1(config-vlan)# exit

! ─── affectation des ports ───────────────────────────────
S1(config)# interface range fa0/4 - 18
S1(config-if-range)# switchport mode access
S1(config-if-range)# switchport access vlan 20
S1(config-if-range)# exit

! ─── interface de gestion (SVI) ──────────────────────────
S1(config)# interface vlan 99
S1(config-if)# ip address 172.17.99.11 255.255.255.0
S1(config-if)# no shutdown
S1(config-if)# exit
S1(config)# ip default-gateway 172.17.99.1
S1(config)# end

! ─── ENREGISTRER ─────────────────────────────────────────
S1# copy running-config startup-config

Les vérifications

Cisco IOS

S1# show vlan brief                       ← les VLAN et leurs ports
S1# show interfaces fa0/18 switchport     ← le détail d'un port
S1# show ip interface brief               ← l'état du SVI

🧰 interface range — l'économie de temps

interface range fa0/4 - 18 applique les commandes suivantes aux 15 ports d'un coup. Les espaces autour du tiret sont obligatoires dans la syntaxe Cisco.

Variantes utiles : interface range fa0/4 - 10 , fa0/15 - 18 pour des plages non contiguës.

⚠️ Le SVI est sur le VLAN 99, pas sur le VLAN 1

interface vlan 99 — pas interface vlan 1. C'est tout l'objet de la recommandation de sécurité : le trafic de gestion doit être séparé du trafic utilisateur, et surtout ne pas rester sur le VLAN par défaut.

Corollaire : le VLAN 99 doit exister (créé plus haut) et être autorisé sur les trunks, sinon la gestion ne sera joignable que depuis le commutateur lui-même.

03Exolab CAVELAN

3Trois services, trois étages Moyen

L'entreprise CAVELAN édite des logiciels et compte trois services : ADMINISTRATIF, DEVELOPPEMENT, COMMERCIAL. Les bureaux sont dispersés sur trois étages sans regroupement géographique, et aucune communication n'est prévue entre les services.

Plan d'adressage imposé :

Service	Réseau	VLAN
ADMINISTRATIF	`192.168.110.0/24`	110
DEVELOPPEMENT	`192.168.120.0/24`	120
COMMERCIAL	`192.168.130.0/24`	130

Les postes ont une adresse de .11 à .99 ; le serveur principal de chaque service est en .200.

Configuration identique sur tous les switchs 2960 (24 ports) :

ports 1 à 6 → VLAN 110
ports 7 à 12 → VLAN 120
ports 13 à 18 → VLAN 130
ports 19 et 20 → VLAN par défaut, pour ajustement
ports 21 à 24 → TRUNK, pour l'interconnexion entre switchs

Écrivez la configuration complète d'un switch, et expliquez comment vérifier l'étanchéité des VLAN.

✅ Correction

Cisco IOS — configuration identique sur chaque switch

Switch# configure terminal
Switch(config)# hostname SW1

! ─── création des VLAN — noms en MAJUSCULES (auto-correction) ───
SW1(config)# vlan 110
SW1(config-vlan)# name ADMINISTRATIF
SW1(config-vlan)# exit
SW1(config)# vlan 120
SW1(config-vlan)# name DEVELOPPEMENT
SW1(config-vlan)# exit
SW1(config)# vlan 130
SW1(config-vlan)# name COMMERCIAL
SW1(config-vlan)# exit

! ─── ports d'accès ─────────────────────────────────────────────
SW1(config)# interface range fa0/1 - 6
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 110
SW1(config-if-range)# exit

SW1(config)# interface range fa0/7 - 12
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 120
SW1(config-if-range)# exit

SW1(config)# interface range fa0/13 - 18
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 130
SW1(config-if-range)# exit

! ─── ports 19 et 20 : on ne touche à rien (VLAN 1 par défaut) ──

! ─── ports trunk pour l'interconnexion ─────────────────────────
SW1(config)# interface range fa0/21 - 24
SW1(config-if-range)# switchport mode trunk
SW1(config-if-range)# switchport trunk allowed vlan 110,120,130
SW1(config-if-range)# exit
SW1(config)# end

SW1# copy running-config startup-config

Vérifier l'étanchéité des VLAN

Deux méthodes, complémentaires :

Par le ping. Un poste ADMIN doit joindre les autres postes ADMIN — y compris sur un autre étage, grâce aux trunks — et ne doit joindre aucun poste DEV ni COMMERCIAL. L'échec est ici le résultat attendu.
Par le mode simulation de Packet Tracer. On observe la diffusion des trames ARP : elles doivent apparaître uniquement sur les ports du VLAN concerné. C'est la vérification explicitement demandée par l'énoncé, et la plus convaincante : elle montre l'isolation du domaine de diffusion, pas seulement l'absence de réponse au ping.

🧰 Pourquoi observer l'ARP plutôt que l'ICMP

Un ping vers une machine d'un autre VLAN échoue de toute façon, ne serait-ce que parce que l'adresse est dans un autre sous-réseau. Cela ne prouve pas que les VLAN sont étanches.

La requête ARP, elle, est une diffusion : elle part vers tout le domaine de diffusion. Voir qu'elle s'arrête aux frontières du VLAN démontre directement que la segmentation fonctionne. C'est la preuve, pas l'indice.

⚠️ Trois détails qui font échouer l'auto-correction

Les noms de VLAN en MAJUSCULES — l'énoncé le précise explicitement.
Le raccordement des postes aux premiers ports de chaque VLAN : serveur ADMIN sur le port 1, serveur DEV sur le port 7, ADM11 sur le port 1 de switch1, ADM12 sur le port 2, DEV11 sur le port 7…
Ne pas toucher aux ports 19 et 20 : ils doivent rester sur le VLAN par défaut. Les configurer, même « proprement », s'écarte du cahier des charges.

🌍 Pourquoi ce cahier des charges est réaliste

« Les bureaux sont dispersés sur les 3 étages, sans réel regroupement géographique » — c'est exactement la situation qui justifie les VLAN. Sans eux, il faudrait un réseau physique par service, donc un câblage par service dans chaque étage.

Avec des VLAN par port, on garde un seul câblage et l'on rattache chaque prise au bon service par configuration. Quand un développeur déménage au 3^e étage, on change une ligne dans le switch au lieu de tirer un câble. C'est la « flexibilité par rapport à l'emplacement géographique » demandée par l'énoncé.

04Trunk et VLAN natif

4Comprendre l'étiquetage Moyen

Quelle est la taille de l'en-tête 802.1Q, et pourquoi le FCS doit-il être recalculé deux fois ?
Sur combien de bits est codé le VID, et combien de VLAN peut-on réellement utiliser ?
Un trunk relie S1 et S2. S1 est configuré native vlan 99, S2 est resté par défaut. Que se passe-t-il ?
Pourquoi le cours recommande-t-il de choisir un VLAN natif autre que le VLAN 1 ?

✅ Correction

1. Taille et double recalcul du FCS

L'en-tête IEEE 802.1Q fait 4 octets. Il est inséré au milieu de la trame Ethernet, entre l'adresse MAC source et le champ Type.

Or le FCS est une somme de contrôle calculée sur tout le contenu de la trame. Modifier ce contenu invalide le FCS. D'où deux recalculs :

à l'ajout de l'étiquette, en entrant sur le trunk ;
à la suppression de l'étiquette, en sortant vers un périphérique terminal — pour que le FCS retrouve sa valeur d'origine.

Un PC ordinaire ne comprend pas les trames étiquetées : l'étiquette n'existe que sur le trunk.

2. Le VID

12 bits, soit 2¹² = 4096 valeurs codables (0 à 4095). Mais deux sont réservées — le 0 (priorité sans VLAN) et le 4095 (réservé à l'implémentation).

Le nombre de VLAN réellement utilisables est donc 4094, de 1 à 4094.

🔧 Nuance par rapport au cours

Le diaporama annonce « jusqu'à 4096 ID de VLAN ». C'est exact pour le nombre de valeurs que le champ peut coder, mais si la question porte sur le nombre de VLAN créables, la réponse attendue est 4094. Précisez la distinction : cela montre que vous savez d'où vient le chiffre.

3. VLAN natifs différents des deux côtés

S1 envoie les trames du VLAN 99 sans étiquette. S2, dont le VLAN natif est le 1, reçoit ces trames non étiquetées et les considère comme appartenant au VLAN 1.

Conséquence : le trafic change de VLAN en traversant le câble. Les deux domaines de diffusion fusionnent partiellement — c'est une fuite, et une faille de sécurité.

Cisco détecte l'incohérence via CDP et affiche %CDP-4-NATIVE_VLAN_MISMATCH. Si ce message apparaît en TP, c'est exactement ce problème.

4. Pourquoi éviter le VLAN 1 comme VLAN natif

Parce que c'est la valeur par défaut, donc connue de tous. Cela ouvre la voie à l'attaque dite du double étiquetage : l'attaquant place deux étiquettes dans sa trame, la première correspondant au VLAN natif. Le premier commutateur retire cette étiquette — puisque le VLAN natif n'est pas étiqueté — et la trame poursuit sa route avec la seconde, vers un VLAN auquel l'attaquant n'a pas accès.

Déplacer le VLAN natif vers un VLAN inutilisé supprime cette possibilité, puisque aucun port d'accès n'y est rattaché.

05Router-on-a-stick

5Exolab — découverte du routage inter-VLAN Exigeant

Une maquette comporte 9 PC et 2 serveurs répartis sur trois VLAN : Invité (10), Administratif (20), Commercial (30). Les commutateurs sont déjà configurés, les trunks en place, la communication intra-VLAN fonctionne. Le routeur n'est pas configuré du tout.

Plan d'adressage : 172.27.10.0/24 pour le VLAN 10, 172.27.20.0/24 pour le 20, 172.27.30.0/24 pour le 30. Les passerelles sont en .1.

Écrivez la configuration du routeur pour assurer le routage entre les trois VLAN via une seule connexion physique, ainsi que la configuration du port de commutateur qui lui fait face.

✅ Correction

Côté commutateur — le port vers le routeur

Cisco IOS — SW

SW(config)# interface fa0/24                      ← le port relié au routeur
SW(config-if)# switchport mode trunk
SW(config-if)# switchport trunk allowed vlan 10,20,30
SW(config-if)# end

Côté routeur — une sous-interface par VLAN

Cisco IOS — R1

R1# configure terminal

R1(config)# interface g0/0.10
R1(config-subif)# encapsulation dot1q 10
R1(config-subif)# ip address 172.27.10.1 255.255.255.0
R1(config-subif)# exit

R1(config)# interface g0/0.20
R1(config-subif)# encapsulation dot1q 20
R1(config-subif)# ip address 172.27.20.1 255.255.255.0
R1(config-subif)# exit

R1(config)# interface g0/0.30
R1(config-subif)# encapsulation dot1q 30
R1(config-subif)# ip address 172.27.30.1 255.255.255.0
R1(config-subif)# exit

! ─── ACTIVER l'interface physique ───────────────────────
R1(config)# interface g0/0
R1(config-if)# no shutdown
R1(config-if)# end

R1# copy running-config startup-config

Vérifications

Cisco IOS

R1# show ip interface brief      ← les 3 sous-interfaces doivent être up/up
R1# show ip route                ← 3 réseaux « C » (directement connectés)
SW# show interfaces trunk        ← le trunk porte bien 10, 20 et 30

! depuis un PC :
ipconfig                         ← vérifier la PASSERELLE PAR DÉFAUT
ping 172.27.10.1                 ← sa propre passerelle
ping 172.27.20.72                ← un poste d'un AUTRE VLAN

⚠️ Les quatre erreurs qui font échouer ce montage

no shutdown oublié sur l'interface physique g0/0. Les sous-interfaces peuvent être parfaites : si le port physique est éteint, rien ne passe. Sur un routeur, toutes les interfaces sont éteintes par défaut.
Numéro de sous-interface ≠ numéro de VLAN. Ce n'est pas une obligation technique — g0/0.1 avec encapsulation dot1q 10 fonctionnerait — mais c'est une convention universelle. S'en écarter rend la configuration illisible, et les grilles d'auto-correction s'y attendent.
VLAN manquant dans allowed vlan sur le trunk : le routeur ne recevra jamais le trafic de ce VLAN.
Passerelle par défaut absente sur les postes. Le routeur a beau être parfait, un PC sans passerelle ne lui enverra jamais rien. C'est la cause n°1 quand « le routeur est bien configuré mais ça ne marche pas ».

🧰 Lire show ip route sur le routeur

C    172.27.10.0/24 is directly connected, GigabitEthernet0/0.10
C    172.27.20.0/24 is directly connected, GigabitEthernet0/0.20
C    172.27.30.0/24 is directly connected, GigabitEthernet0/0.30

Les trois lignes C (connected) sont la preuve que le montage fonctionne : le routeur considère les trois réseaux comme directement connectés, il peut donc router entre eux sans aucune route supplémentaire.

Si une ligne manque, la sous-interface correspondante est down — presque toujours à cause du no shutdown oublié sur l'interface physique.

🌍 « Le routeur n'est pas du tout configuré » — et c'est voulu

L'énoncé précise que le routeur est présent physiquement mais vierge, « pour permettre l'autocorrection de l'activité, qui se base sur le nom de ce routeur ». Ne le renommez donc pas : la grille d'évaluation l'identifie par son nom d'usine.

L'énoncé signale aussi que « la maquette comporte des parties variables aléatoires dans le plan d'adressage, d'où le X ». Relevez les adresses réelles sur votre maquette avec ipconfig sur les postes avant d'écrire quoi que ce soit : les valeurs données ici sont un exemple.

06Dépannage

6Cinq symptômes Exigeant

Pour chaque situation, identifiez la cause la plus probable et la commande qui le confirme.

PC-A et PC-C sont tous deux dans le VLAN 20, sur le même commutateur, avec des adresses cohérentes. Le ping échoue.
PC-A (VLAN 20, sur S1) ne joint pas PC-E (VLAN 20, sur S2). Sur S1, tout le VLAN 20 communique.
Tous les VLAN se routent correctement, sauf le VLAN de gestion 99 qui reste injoignable.
Après erase startup-config et reload, les anciens VLAN sont toujours présents.
Un poste vient d'être déplacé dans un VLAN qui a été supprimé. Il n'a plus de réseau du tout.

✅ Correction

#	Cause probable	Commande de confirmation
1	Pare-feu Windows bloquant l'ICMP, ou un port mal affecté malgré les apparences	`show vlan brief` — puis tester le ping dans l'autre sens
2	Le trunk entre S1 et S2 n'existe pas, ou le VLAN 20 n'est pas dans `allowed vlan`	`show interfaces trunk`
3	La sous-interface du routeur pour le VLAN 99 manque le mot-clé `native`	`show running-config \| section g0/0.99`
4	Les VLAN sont dans `vlan.dat`, pas dans le `startup-config`	`delete vlan.dat` puis `reload`
5	Un port dont le VLAN a été supprimé devient inactif	`show vlan brief` — le port n'apparaît dans aucun VLAN

🧰 Le détail du cas n° 1

Deux postes du même VLAN, même sous-réseau, même commutateur : la couche 2 et la couche 3 sont hors de cause. Le suspect principal est le pare-feu.

Le test qui tranche : pinguer dans l'autre sens. Si B ping A alors que A ne ping pas B, c'est le pare-feu de A qui bloque l'ICMP entrant — comportement par défaut de Windows. Aucun problème réseau ne produit cette asymétrie.

⚠️ Le cas n° 4 surprend tout le monde

On efface la configuration de démarrage, on recharge, et les VLAN sont encore là. Ce n'est pas un bug : les VLAN de plage normale ne sont pas dans le startup-config, ils vivent dans vlan.dat en mémoire flash.

Pour une remise à zéro complète, le cours donne la procédure : débrancher tous les câbles de données, effacer la configuration de démarrage, supprimer vlan.dat, puis recharger.

⚠️ Le cas n° 5 est une leçon de méthode

Supprimer un VLAN sans réaffecter ses ports les laisse orphelins : ils appartiennent à un VLAN qui n'existe plus et cessent de transmettre, sans qu'aucun message ne prévienne.

La règle du cours : avant de supprimer un VLAN, réaffectez tous ses ports membres à un autre VLAN. C'est aussi valable en production, où l'on découvre la panne par les appels des utilisateurs.