Projet TechShop — fiche de révision

⚡ Du besoin métier à la technique

Le sujet dit…	…donc	Où
« broadcasts excessifs »	VLAN	commutateurs
« confidentialité », « RGPD »	VLAN + ACL	+ routeur
« accès contrôlé aux serveurs »	ACL	R-STICK
« site distant »	routage statique	les 2 routeurs
« publier le serveur »	NAT statique	R-STICK
« adressage dynamique »	DHCP + `helper`	serveur + R-STICK

Les 3 critères d'acceptation : DHCP cohérent par VLAN · communication inter-VLAN et entrepôt · serveur inventaire joignable via NAT.

Plan d'adressage

VLAN 10 VENTE	`192.168.10.0/24`
VLAN 20 ADMIN	`192.168.20.0/24`
VLAN 30 TECH	`192.168.30.0/24`
Entrepôt	`192.168.50.0/24`
WAN	`10.0.0.0/30`
Internet	`203.0.113.0/24`

Passerelle en .1 · serveurs .2–.20 · DHCP à partir de .21 → 234 adresses.

⚡ Le /30 des liens point à point

hôtes = 2^{(32−préfixe)} − 2

`/30`	255.255.255.252	2 hôtes
`/29`	255.255.255.248	6
`/28`	255.255.255.240	14
`/27`	255.255.255.224	30
`/24`	255.255.255.0	254

10.0.0.0/30 : réseau .0, hôtes .1 et .2, broadcast .3. Zéro adresse perdue.

Les serveurs

`192.168.20.10`	fichiers (VLAN 20)
`192.168.20.11`	DHCP + DNS (VLAN 20)
`192.168.30.10`	inventaire (VLAN 30)
`203.0.113.20`	façade publique de l'inventaire

Adresse fixe sur la machine et exclue du pool DHCP. Les deux, sinon conflit.

Access ou trunk

access	un poste, un serveur 1 VLAN, sans étiquette
trunk	vers un switch ou le routeur N VLAN, étiquetés 802.1Q

Cisco IOS

interface range fa0/6-15
 switchport mode access
 switchport access vlan 10

interface fa0/1
 switchport mode trunk
 switchport trunk native vlan 99
 switchport trunk allowed vlan 10,20,99

⚡ Un trunk se configure par paire

La même liste allowed et le même VLAN natif aux deux extrémités — VLAN natif inclus dans la liste.

Un VLAN autorisé d'un seul côté est élagué : il se comporte comme un VLAN interdit, sans le moindre message d'erreur.

On ne termine jamais un côté
sans faire l'autre

⚡ Lire `show interfaces trunk`

1^er bloc	le lien est-il monté ? `trunking`, natif
2^e bloc	Vlans allowed = ce que j'ai demandé
3^e bloc	…forwarding state and not pruned = ce qui circule vraiment

En dépannage, seul le 3^e compte. La plupart des étudiants s'arrêtent au premier.

Sécurité des commutateurs

VLAN natif en 99, dédié et vide → contre le VLAN hopping
allowed vlan explicite (pruning) : un lien ne porte que le nécessaire
ports inutilisés → VLAN 999 parking et shutdown
enable secret + service password-encryption
line con 0 et line vty 0 4 avec login
copy running-config startup-config

Un port laissé en VLAN 1 est une porte d'entrée.

⚡ Router-on-a-Stick

Cisco IOS

interface g0/0
 no shutdown          ← le PHYSIQUE d'abord

interface g0/0.10
 encapsulation dot1q 10
 ip address 192.168.10.1 255.255.255.0

Les 3 erreurs : interface physique éteinte · encapsulation oubliée · port d'en face en access.

Un seul VLAN marche ?
→ le MODE du port en face

⚡ `ip helper-address`

Un routeur bloque les broadcasts. Le DHCPDISCOVER d'un poste sans adresse part vers 255.255.255.255 et meurt sur la sous-interface.

Cisco IOS

interface g0/0.10
 ip helper-address 192.168.20.11
interface g0/0.30
 ip helper-address 192.168.20.11
!  g0/0.20 : RIEN — le serveur y est déjà

Le relais fait deux choses : broadcast → unicast, et il inscrit l'adresse de la sous-interface dans le champ giaddr — c'est lui qui dit au serveur dans quel pool puiser.

Sur les VLAN sans serveur DHCP

Routage : deux cas

Cisco IOS

! siège : plusieurs sorties → précise
ip route 192.168.50.0 255.255.255.0 10.0.0.2

! entrepôt : une seule sortie → défaut
ip route 0.0.0.0 0.0.0.0 10.0.0.1

Réseau d'extrémité (stub) → route par défaut. Nœud à plusieurs sorties → routes précises.

Toujours vérifier le retour : un aller sans retour ne donne aucun ping.

Lire `show ip route`

`C`	Connected — interface active
`L`	Local — l'adresse du routeur, en /32
`S`	Static — écrite à la main
`S*`	route par défaut
`[1/0]`	distance admin. 1 (statique) / métrique 0

Distances : direct 0 · statique 1 · RIP 120. Un C manquant = interface éteinte.

⚡ NAT : trois blocs, pas un

Cisco IOS

ip nat inside source static 192.168.30.10 203.0.113.20

interface g0/1
 ip nat outside
interface g0/0.30
 ip nat inside

Sans inside/outside, rien ne se passe — et show running-config paraît correct.

Le diagnostic :
show ip nat statistics

Statique ou PAT

Statique	PAT (overload)
1 privée ↔ 1 publique	N privées → 1 publique
flux entrant	flux sortant
permanente	durée de la session
publier un serveur	faire sortir des clients

Table : Inside local = l'adresse privée réelle · Inside global = la façade publique.

⚡ ACL — l'ordre est la règle

Cisco IOS

ip access-list extended PROTECT_ADMIN
 permit ip 192.168.10.0 0.0.0.255 host 192.168.20.10
 permit ip 192.168.10.0 0.0.0.255 host 192.168.20.11
 deny   ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
 permit ip any any

interface g0/0.20
 ip access-group PROTECT_ADMIN out

Lue de haut en bas, s'arrête à la première correspondance. Exceptions (host) d'abord, refus large ensuite.

Le permit ip any any final contre le deny implicite — sans lui, tout est bloqué.

Masques génériques

générique =
255.255.255.255 − masque

`/24`	`0.0.0.255`
`/26`	`0.0.0.63`
une machine	`host x.x.x.x`
n'importe qui	`any`

0 = ce bit doit correspondre · 1 = libre. in = protéger l'émetteur · out = protéger la ressource.

Les commandes de vérification

Commande	Où	Ce qu'on y lit
`show vlan brief`	switch	VLAN actifs et ports affectés
`show interfaces trunk`	switch	trunk monté, natif, et le 3^e bloc
`show interfaces fa0/1 switchport`	switch	access ou trunk — tranche le doute
`show ip interface brief`	routeur	interfaces up/up et leurs adresses
`show ip route`	routeur	les `C`, le `S`, la passerelle par défaut
`show ip nat statistics`	routeur	inside / outside bien posés
`show ip nat translation`	routeur	la traduction, avant et après trafic
`show access-lists`	routeur	l'ordre réel, par numéros de séquence
`show run \| include excluded`	routeur	les exclusions DHCP réellement en place
`ipconfig /all`	poste	IP, masque, passerelle, DHCP, DNS

⚡ Diagnostiquer une adresse

`169.254.x.x`	APIPA — aucune réponse DHCP : port en mauvais VLAN, `helper` absent, serveur arrêté
bon format, mauvais réseau	le port d'accès est dans le mauvais VLAN — pas le serveur
adresse < `.21`	plage mal bornée, ou saisie manuelle → risque de conflit

Lire un ping

`Reply from` la cible	ça marche dans les deux sens
`Reply from` la passerelle : `host unreachable`	un routeur refuse (ACL) ou ne sait pas router
`Request timed out`	perdu à l'aller, ou pas de route de retour

TTL : part de 128 (Windows), −1 par routeur traversé. 126 = deux routeurs.

⚡ Check-list « nouveau VLAN »

créer le VLAN sur chaque switch traversé
affecter les ports d'accès
l'ajouter aux listes allowed de tous les trunks — l'oubli n° 1
sous-interface routeur : encapsulation dot1q + IP
reporter ip helper-address, ip nat inside, ACL
créer le pool DHCP

Trunk oublié = les postes se voient entre eux mais ne sortent pas du switch.

⚡ Les pièges vus sur ce projet

no ip dhcp excluded-address — le no supprime l'exclusion : le pool peut distribuer la passerelle
dns-server pointant vers une machine inexistante — les pings par IP passent, les noms non
VLAN 99 absent de la liste allowed d'un côté du trunk
VLAN 999 annoncé dans le rapport, jamais créé sur le switch
rapport décrivant une version antérieure à la maquette livrée

⚡ Prouver — une capture par critère

Critère	La capture	Ce qu'elle démontre
DHCP	`ipconfig /all` d'un poste VLAN 30	le bail et le relais, d'un coup
Inter-VLAN	`ping` VLAN 10 → VLAN 30	le Router-on-a-Stick route
Site distant	`ping` entrepôt → siège	les deux routes ; TTL 126 = 2 routeurs
NAT	`show ip nat translation` avant / après	la traduction est vivante
Ossature	`show ip route` sur R-STICK	sous-interfaces montées, route statique posée
ACL	2 pings : un refus + un succès	elle filtre sans tout couper
DNS	`ping` par nom	l'adresse entre crochets = résolution OK

Un test qui réussit toujours ne prouve rien. Tous les pings du projet visaient des adresses IP : la panne DNS y était invisible.

L'oral — quoi · pourquoi · limite

Question	Le cœur de la réponse
VLAN plutôt que réseaux physiques ?	même isolation, un seul matériel, réaffectation par commande. Limite : dépend de la configuration.
VLAN natif en 99 ?	le natif circule sans étiquette ; en VLAN 1 il ouvre au VLAN hopping.
`ip helper-address` ?	un routeur bloque les broadcasts ; le relais convertit et renseigne giaddr.
Deux types de routes ?	stub → défaut ; nœud à plusieurs sorties → précises.
Statique plutôt que PAT ?	le besoin est entrant. Limite : aucun poste ne sort — il faudrait PAT + route par défaut.
Votre faiblesse ?	SW-COEUR est un SPOF → EtherChannel + HSRP. Lien unique vers l'entrepôt, non chiffré.

C'est la troisième colonne — la limite — qui fait la différence. Savoir où une solution cesse de convenir prouve qu'on l'a choisie.

⚡ Du besoin métier à la technique

Plan d'adressage

⚡ Le /30 des liens point à point

Les serveurs

Access ou trunk

⚡ Un trunk se configure par paire

⚡ Lire show interfaces trunk

Sécurité des commutateurs

⚡ Router-on-a-Stick

⚡ ip helper-address

Routage : deux cas

Lire show ip route

⚡ NAT : trois blocs, pas un

Statique ou PAT

⚡ ACL — l'ordre est la règle

Masques génériques

Les commandes de vérification

⚡ Diagnostiquer une adresse

Lire un ping

⚡ Check-list « nouveau VLAN »

⚡ Les pièges vus sur ce projet

⚡ Prouver — une capture par critère

L'oral — quoi · pourquoi · limite

⚡ Lire `show interfaces trunk`

⚡ `ip helper-address`

Lire `show ip route`