Projet TechShop — QCM

1Le cahier des charges parle d'« interruptions dues aux broadcasts excessifs ». Quelle décision technique en découle ?

Le sujet ne donne pas de commandes, il donne des besoins métier — c'est à vous d'en déduire la technique, et c'est la lecture qu'attend le jury. « Confidentialité, RGPD » → VLAN puis ACL ; « site distant » → routage statique ; « publier le serveur » → NAT statique ; « adressage dynamique » → DHCP, et ip helper-address si le serveur est ailleurs.

2Pourquoi le lien entre les deux routeurs est-il en /30 ?

255.255.255.252 → 2² − 2 = 2 hôtes. Sur 10.0.0.0/30 : .0 est le réseau, .1 et .2 les deux extrémités, .3 le broadcast. Zéro adresse gaspillée. Un /24 fonctionnerait aussi et gâcherait 252 adresses : sur un lien point à point, le /30 est la norme professionnelle.

3Pourquoi exclure l'adresse d'un serveur de la plage DHCP alors qu'elle est déjà fixée sur le serveur ?

Les deux précautions sont nécessaires, pas l'une ou l'autre. L'oubli de l'exclusion donne un symptôme déroutant : tout marche pendant des semaines, puis un portable branché au hasard « vole » l'adresse du serveur de fichiers. Dans le projet, .1 à .20 sont réservées et le DHCP ne distribue qu'à partir de .21.

4Dans show interfaces trunk, quel bloc indique ce qui circule réellement ?

Le premier dit que le lien est monté, le deuxième ce qu'on a demandé, le troisième seul ce qui passe. Un VLAN autorisé mais élagué — faute d'être actif des deux côtés — se comporte exactement comme un VLAN interdit : on peut relire sa configuration une heure sans rien y voir d'anormal.

5Un seul VLAN fonctionne à travers le Router-on-a-Stick. Que regarde-t-on en premier ?

C'est l'erreur la plus fréquente : un port d'accès ne livre qu'un seul VLAN, sans étiquette — les sous-interfaces ne reconnaissent rien, et le VLAN natif semble marcher, ce qui rend le diagnostic trompeur. Les deux autres pièges : l'interface physique restée shutdown, et croire que le .10 du nom compte — seul encapsulation dot1q 10 fait foi.

6Sur quelle interface pose-t-on ip helper-address ?

Le routeur y fait deux choses : il transforme le DHCPDISCOVER diffusé en unicast vers le serveur, et il inscrit l'adresse de la sous-interface d'entrée dans le champ giaddr — c'est ce champ qui dit au serveur dans quelle plage puiser. Le VLAN qui héberge le serveur n'en a pas besoin : les postes et lui partagent déjà le même domaine de broadcast.

7Pourquoi le routeur de l'entrepôt reçoit-il une route par défaut et non une route précise ?

Énumérer les destinations depuis un stub n'aurait aucun sens : il faudrait ajouter une ligne à chaque VLAN créé au siège. Le siège, lui, a deux sorties — le WAN et Internet — donc une route par défaut vers l'entrepôt y enverrait aussi le trafic Internet : il faut y désigner précisément le réseau 192.168.50.0/24.

8La ligne ip nat inside source static est bien présente, et rien n'est traduit. Quelle commande tranche ?

C'est une panne silencieuse : la configuration paraît complète, mais sans ip nat inside et ip nat outside, le routeur ne sait pas de quel côté est le dedans et laisse passer les paquets tels quels. La sortie de cette commande liste les Inside Interfaces et les Outside Interfaces : si l'une des deux lignes est vide, la cause est trouvée.

9Dans l'ACL PROTECT_ADMIN, on intervertit le permit vers le serveur de fichiers et le deny vers tout le réseau ADMIN. Que se passe-t-il ?

Une ACL se lit de haut en bas et s'arrête à la première règle qui correspond : le deny vers 192.168.20.0/24 englobe l'hôte .10, qui est refusé avant d'avoir rencontré son autorisation. La règle générale : les exceptions d'abord, les refus larges ensuite — du plus précis au plus général.

10À quoi sert le permit ip any any placé en fin d'ACL ?

Toute ACL se termine par un deny any any que l'on ne voit nulle part dans la configuration. Sans cette quatrième ligne, l'ACL posée en sortie du VLAN ADMIN bloquerait tout ce qui y entre : le pôle TECH, l'entrepôt, les réponses du serveur DHCP. Le réseau paraîtrait cassé au hasard.

11Un ping depuis VENTE vers un poste ADMIN répond « Destination host unreachable », et la réponse vient de 192.168.10.1. Que prouve ce détail ?

La réponse vient de la passerelle, pas de la destination : le routeur a reçu le paquet, l'a refusé et l'annonce par un ICMP unreachable. « Request timed out » serait tout autre chose — personne ne répond, le paquet se perd. Et la contre-épreuve est indispensable : le ping vers le serveur de fichiers doit réussir, sinon l'ACL coupe tout au lieu de filtrer.

12Un ping de l'entrepôt vers le siège revient avec TTL=126. Que confirme ce chiffre ?

128 (Windows) − 126 = 2 routeurs : R-ENTREPOT puis R-STICK. Le chiffre confirme le trajet à lui seul. Un ping dans le même VLAN reviendrait à 128 — aucun routeur, rien que de la commutation. Mentionner cette lecture dans un compte rendu montre qu'on ne s'est pas contenté de voir « Reply ».