Accueil/Réseaux & Systèmes /Chapitre 16

TD de révision — la synthèse

Un seul scénario, et toute la 1^re année dedans : adressage, VLAN, trunk, routage. C'est là qu'on voit si les briques tiennent ensemble.

📌

Résumé flash

Une PME, un routeur R1, un switch SW1, trois VLAN : 10 DIRECTION, 20 COMPTABILITE, 30 INVITES. Les ports des postes sont en access, le lien vers le routeur en trunk 802.1Q. Le routage entre VLAN se fait soit par router-on-a-stick (sous-interfaces sur R1), soit par SVI sur un switch de niveau 3. Trois commandes suffisent à tout diagnostiquer : show vlan brief, show interfaces trunk, show ip route.

🔑 #OSI #encapsulation #VLSM #VLAN #access #trunk #802.1Q #router-on-a-stick #sous-interface #SVI #ip-routing #show-vlan-brief #packet-tracer

01Le scénario fil rouge

Tout le TD s'appuie sur une seule maquette, à monter dans Packet Tracer. La comprendre d'un coup d'œil fait gagner la moitié du temps.

🔍 Trois VLAN, c'est trois switchs qu'on n'a pas achetés

Un VLAN découpe un switch physique en plusieurs switchs logiques. Les postes du VLAN 10 se comportent exactement comme s'ils étaient seuls sur leur propre switch : ils ne voient pas le broadcast du VLAN 20.

Et le trunk, c'est le câble unique qui relie ces switchs imaginaires au routeur, en étiquetant chaque trame pour dire de quel VLAN elle vient.

D'où la conséquence qui surprend toujours : deux VLAN ne se parlent pas tant qu'un équipement de couche 3 ne les met pas en relation.

02OSI, TCP/IP, encapsulation

Nº	Couche OSI	PDU	Exemple	TCP/IP (4 couches)
7	Application	Données	HTTP, DNS, FTP	Application
6	Présentation		TLS, encodage, compression
5	Session		ouverture/fermeture de dialogue
4	Transport	Segment (TCP) Datagramme (UDP)	TCP, UDP	Transport
3	Réseau	Paquet	IP, ICMP, routeur	Internet
2	Liaison	Trame	Ethernet, MAC, switch	Accès réseau
1	Physique	Bit	câble, signal	Accès réseau

🧰 Les réponses de la partie 1, en une ligne chacune

Switch ou routeur ?	Le switch commute des trames d'après les adresses MAC (couche 2) ; le routeur achemine des paquets d'après les adresses IP (couche 3).
MAC ou IP ?	La MAC est gravée dans la carte, valable sur le lien local. L'IP est attribuée, valable de bout en bout : c'est elle qui identifie un hôte sur Internet.
ARP	Trouve l'adresse MAC correspondant à une adresse IP sur le réseau local.
Domaine de broadcast	L'ensemble des machines qu'atteint une diffusion. Segmenté par un routeur — ou par un VLAN.
Domaine de collision	L'ensemble des machines qui se disputent le média. Segmenté par un switch : chaque port est son propre domaine.
Test de connectivité	ICMP, employé par `ping` et `traceroute`.

Retenez le couple : le switch segmente les collisions, le routeur (ou le VLAN) segmente les broadcasts.

🤔 Pourquoi un VLAN segmente-t-il un domaine de broadcast alors qu'un switch est un équipement de couche 2 ?

Parce que le VLAN n'est pas une fonction de routage : c'est une cloison logique à l'intérieur du switch. Le switch refuse simplement de recopier une trame de broadcast vers les ports qui n'appartiennent pas au même VLAN.

Il reste donc bien en couche 2 — il ne lit aucune adresse IP. Il applique une règle d'appartenance de port.

C'est aussi pour cela que le VLAN ne suffit pas à faire communiquer deux services : cloisonner n'est pas router.

03Le plan d'adressage

Le réseau de départ

Réseau	Masque	Broadcast	Plage utilisable	Hôtes
`192.168.10.0/24`	`255.255.255.0`	`192.168.10.255`	`192.168.10.1` → `192.168.10.254`	254 (2⁸ − 2)

Le VLSM demandé : 500, 100 et 20 hôtes dans 172.16.0.0/16

🎯 La règle d'or du VLSM : du plus gros au plus petit

Découper dans le désordre laisse des trous inutilisables. On sert donc le service le plus gourmand en premier, puis on enchaîne les blocs sans laisser d'espace.

Pour chaque service : chercher la plus petite puissance de 2 qui couvre le besoin plus deux adresses — celle du réseau et celle du broadcast.

Service	Besoin	Bloc	Masque	Réseau	Plage utilisable	Broadcast	Hôtes
A	500	`/23`	`255.255.254.0`	`172.16.0.0`	`172.16.0.1` → `172.16.1.254`	`172.16.1.255`	510
B	100	`/25`	`255.255.255.128`	`172.16.2.0`	`172.16.2.1` → `172.16.2.126`	`172.16.2.127`	126
C	20	`/27`	`255.255.255.224`	`172.16.2.128`	`172.16.2.129` → `172.16.2.158`	`172.16.2.159`	30

🧰 Justifier chaque masque, en une ligne

500 hôtes	/24 = 254 → insuffisant · /23 = 510 ✔
100 hôtes	/26 = 62 → insuffisant · /25 = 126 ✔
20 hôtes	/28 = 14 → insuffisant · /27 = 30 ✔

En contrôle, écrivez le masque immédiatement inférieur et pourquoi il ne suffit pas : c'est ce qui prouve que le masque choisi est le plus petit possible, et non le premier qui marche.

💡 Les blocs s'enchaînent sans trou

172.16.1.255 + 1 = 172.16.2.0 · 172.16.2.127 + 1 = 172.16.2.128. Chaque bloc commence exactement là où le précédent finit.

C'est le contrôle le plus rapide d'un VLSM : le broadcast de l'un, plus un, donne le réseau du suivant. Si ce n'est pas le cas, il y a un trou ou un recouvrement.

Le plan du scénario

VLAN	Nom	Réseau	Masque	Passerelle	Plage utilisable
10	DIRECTION	`192.168.10.0`	`/24`	`192.168.10.1`	`.2` → `.254`
20	COMPTABILITE	`192.168.20.0`	`/24`	`192.168.20.1`	`.2` → `.254`
30	INVITES	`192.168.30.0`	`/24`	`192.168.30.1`	`.2` → `.254`
—	Administration	`192.168.99.0`	`/24`	`192.168.99.1`	`.2` → `.254`

🔧 Corrigé — la passerelle : première ou dernière adresse ?

L'énoncé demande de justifier la convention « passerelle = dernière adresse utilisable ». Mais la partie 5 du même TD configure les sous-interfaces en 192.168.10.1, 192.168.20.1, 192.168.30.1 — c'est-à-dire la première.

Les deux conventions existent et aucune n'est techniquement supérieure : la passerelle est une adresse d'hôte comme une autre. Ce qui compte est d'être constant sur tout le réseau, pour qu'un technicien puisse deviner la passerelle sans consulter la documentation.

Le tableau ci-dessus suit la configuration réelle du TD — première adresse. Si votre professeur impose la dernière, remplacez .1 par .254 partout, y compris dans les sous-interfaces.

04La configuration de base

Cisco IOS — SW1, configuration initiale

Switch> enable
Switch# configure terminal
Switch(config)# hostname SW1
SW1(config)# enable secret cisco123

SW1(config)# line console 0
SW1(config-line)# password consolepass
SW1(config-line)# login
SW1(config-line)# exit

SW1(config)# line vty 0 4
SW1(config-line)# password vtypass
SW1(config-line)# login
SW1(config-line)# exit

SW1(config)# service password-encryption
SW1(config)# banner motd # Acces reserve au personnel autorise #

SW1(config)# interface vlan 1
SW1(config-if)# ip address 192.168.1.2 255.255.255.0
SW1(config-if)# no shutdown
SW1(config-if)# exit
SW1(config)# ip default-gateway 192.168.1.1
SW1(config)# exit

SW1# copy running-config startup-config

🧰 Les trois questions du TD, répondues

Pourquoi une IP sur `interface vlan 1` si le switch est en couche 2 ?	Cette adresse ne sert pas à commuter : elle sert à administrer le switch — SSH, Telnet, SNMP. Le switch reste un équipement de couche 2 ; il a seulement une « porte d'entrée » en couche 3 pour qu'on puisse lui parler.
À quoi sert `ip default-gateway` ?	À permettre au switch de répondre à une machine située dans un autre réseau. Sans elle, on ne peut l'administrer que depuis son propre sous- réseau. Elle n'est utile que tant que `ip routing` est désactivé.
Que fait `service password-encryption` ? Est-ce suffisant ?	Elle chiffre les mots de passe en clair de la configuration avec l'algorithme type 7 — réversible, et cassé en quelques secondes par des outils publics. Elle protège d'un regard par-dessus l'épaule, pas d'un attaquant. Le vrai mot de passe est celui d' `enable secret`, haché.

Retenez la formule : service password-encryption est un cache-misère, enable secret une vraie protection.

Cisco IOS — R1

Router> enable
Router# configure terminal
Router(config)# hostname R1
R1(config)# enable secret cisco123

R1(config)# interface gigabitEthernet 0/0
R1(config-if)# description LAN vers SW1
R1(config-if)# ip address 192.168.1.1 255.255.255.0
R1(config-if)# no shutdown
R1(config-if)# exit

R1(config)# interface gigabitEthernet 0/1
R1(config-if)# description Vers Internet (simule)
R1(config-if)# ip address 203.0.113.1 255.255.255.252
R1(config-if)# no shutdown

⚠️ no shutdown : l'oubli qui coûte le plus de temps

Sur un routeur, toutes les interfaces sont éteintes par défaut. Sur un switch, elles sont allumées. C'est la cause numéro un des « ça ne ping pas » en TP.

La vérification tient en une commande :

Cisco IOS

R1# show ip interface brief

Deux colonnes à lire : Status (la couche 1, le câble) et Protocol (la couche 2). Il faut up / up.

administratively down signifie exactement une chose : il manque un no shutdown.

💡 203.0.113.0/30 n'est pas une adresse au hasard

Ce bloc est réservé par la RFC 5737 à la documentation — comme 192.0.2.0/24 et 198.51.100.0/24. Il ne sera jamais routé sur Internet, ce qui en fait l'adresse idéale pour simuler un lien opérateur.

Et le /30 est le masque classique d'une liaison point à point : 4 adresses, dont 2 utilisables — une à chaque bout, sans gaspillage.

05VLAN : access et trunk

Cisco IOS — créer les VLAN

SW1(config)# vlan 10
SW1(config-vlan)# name DIRECTION
SW1(config-vlan)# exit
SW1(config)# vlan 20
SW1(config-vlan)# name COMPTABILITE
SW1(config-vlan)# exit
SW1(config)# vlan 30
SW1(config-vlan)# name INVITES
SW1(config-vlan)# exit

SW1(config)# do show vlan brief

Cisco IOS — affecter les ports (mode access)

SW1(config)# interface range fastEthernet 0/1 - 5
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 10
SW1(config-if-range)# exit

SW1(config)# interface range fastEthernet 0/6 - 10
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 20
SW1(config-if-range)# exit

SW1(config)# interface range fastEthernet 0/11 - 15
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 30

Cisco IOS — le lien trunk vers R1

SW1(config)# interface gigabitEthernet 0/1
SW1(config-if)# switchport trunk encapsulation dot1q
SW1(config-if)# switchport mode trunk
SW1(config-if)# switchport trunk allowed vlan 10,20,30

	Port access	Port trunk
On y branche	un poste, une imprimante, un téléphone	un autre switch, ou un routeur
VLAN transportés	un seul	plusieurs
Trames	sans étiquette	étiquetées 802.1Q
Le poste connecté	ignore tout du VLAN	doit savoir lire les étiquettes

🔍 L'étiquette 802.1Q, c'est l'adresse sur l'enveloppe

Sur un lien trunk, un seul câble transporte les trames de trois VLAN. Sans marquage, le destinataire n'aurait aucun moyen de savoir laquelle vient d'où.

802.1Q insère 4 octets dans la trame Ethernet, dont un identifiant de VLAN sur 12 bits — d'où 4 094 VLAN utilisables (2¹² − 2 : les identifiants 0 et 4095 sont réservés).

L'étiquette est ajoutée à l'entrée du trunk et retirée à la sortie : le poste final ne la voit jamais.

⚠️ Si le VLAN 30 manque dans allowed vlan

Ses trames sont silencieusement jetées à l'entrée du trunk. Le VLAN 30 existe, ses ports sont bien affectés, le ping intra-VLAN fonctionne — mais aucun invité ne sort, et rien n'apparaît dans les journaux.

Cisco IOS — la commande qui le dit

SW1# show interfaces trunk

C'est la panne la plus vicieuse du TD, parce qu'elle ressemble à un problème de routage. Toujours vérifier les VLAN autorisés avant de soupçonner R1.

🔧 switchport trunk encapsulation dot1q n'existe pas partout

Cette commande ne s'accepte que sur les switchs qui savent faire autre chose que du 802.1Q — c'est-à-dire l'ancien ISL de Cisco. Sur un 2960, qui ne connaît que le 802.1Q, elle est refusée : il faut passer directement à switchport mode trunk.

Si Packet Tracer répond % Invalid input detected sur cette ligne, ce n'est pas une faute de frappe : c'est le modèle de switch. Sautez-la.

06Le routage inter-VLAN

Trois VLAN correctement cloisonnés ne communiquent pas. Pour qu'ils se parlent, il faut un équipement de couche 3. Deux méthodes.

Méthode 1 — router-on-a-stick

Le routeur reçoit tout le trafic par un seul lien physique, découpé en sous-interfaces — une par VLAN.

Cisco IOS — R1

R1(config)# interface gigabitEthernet 0/0.10
R1(config-subif)# encapsulation dot1Q 10
R1(config-subif)# ip address 192.168.10.1 255.255.255.0
R1(config-subif)# exit

R1(config)# interface gigabitEthernet 0/0.20
R1(config-subif)# encapsulation dot1Q 20
R1(config-subif)# ip address 192.168.20.1 255.255.255.0
R1(config-subif)# exit

R1(config)# interface gigabitEthernet 0/0.30
R1(config-subif)# encapsulation dot1Q 30
R1(config-subif)# ip address 192.168.30.1 255.255.255.0
R1(config-subif)# exit

R1(config)# interface gigabitEthernet 0/0
R1(config-if)# no ip address
R1(config-if)# no shutdown

⚠️ Les deux lignes de la fin ne sont pas facultatives

no ip address sur l'interface physique — elle ne doit plus porter d'adresse : ce sont les sous-interfaces qui en portent. Une adresse restante entrerait en conflit.
no shutdown sur l'interface physique — les sous-interfaces sont portées par elle. Si la physique est éteinte, les trois sous-interfaces le sont aussi, quoi qu'on ait configuré dessus.

C'est la seconde cause de « le ping inter-VLAN ne passe pas » : tout est juste, sauf que le tronc est éteint.

Méthode 2 — SVI sur un switch de niveau 3

Cisco IOS — switch L3

SW1(config)# ip routing

SW1(config)# interface vlan 10
SW1(config-if)# ip address 192.168.10.1 255.255.255.0
SW1(config-if)# no shutdown

SW1(config)# interface vlan 20
SW1(config-if)# ip address 192.168.20.1 255.255.255.0
SW1(config-if)# no shutdown

SW1(config)# interface vlan 30
SW1(config-if)# ip address 192.168.30.1 255.255.255.0
SW1(config-if)# no shutdown

⚠️ Sans ip routing, rien ne route

Un switch de niveau 3 sort d'usine avec le routage désactivé : il se comporte en switch de couche 2. Les trois SVI peuvent être parfaitement configurées, le trafic ne passera pas d'un VLAN à l'autre.

Une seule commande, et on l'oublie tout le temps. Contrôle : show ip route doit lister les trois réseaux en C — connectés.

Laquelle choisir ?

Critère	Router-on-a-stick	Switch L3 (SVI)
Coût	faible — on réutilise le routeur existant	élevé — un switch L3 coûte bien plus cher
Performance	limitée : tout le trafic inter-VLAN passe deux fois sur le même câble, à l'aller et au retour	très élevée : commutation matérielle, dans le fond de panier
Montée en charge	le lien unique devient vite le goulot d'étranglement	excellente, des dizaines de VLAN sans peine
Cas d'emploi	petite structure, peu de trafic entre services, budget serré	trafic inter-VLAN important, cœur de réseau, croissance prévue

💡 « Deux fois sur le même câble » : la vraie limite

Un poste du VLAN 10 qui envoie un fichier au VLAN 20 fait voyager chaque paquet deux fois sur le lien trunk : SW1 → R1, puis R1 → SW1. Un lien à 1 Gb/s ne laisse donc que 500 Mb/s utiles de trafic inter-VLAN.

C'est l'argument à donner en question de synthèse : ce n'est pas une question de goût, c'est une division par deux.

07Vérifier, dans l'ordre

🎯 On remonte les couches : physique, liaison, réseau

Un diagnostic se fait de bas en haut. Inutile de chercher une erreur de routage si le câble est sur le mauvais port.

Ordre	Commande	Ce qu'elle prouve
1	`show ip interface brief`	l'interface est `up / up` — câble et protocole
2	`show cdp neighbors`	qui est réellement en face, et sur quel port
3	`show vlan brief`	les 3 VLAN existent et les bons ports y sont affectés
4	`show interfaces trunk`	le trunk est actif, avec les bons VLAN autorisés
5	`show ip route`	les 3 réseaux apparaissent, marqués `C`
6	`ping` intra-VLAN puis inter-VLAN	le cloisonnement, puis le routage
7	`copy running-config startup-config`	la configuration survivra au redémarrage

Le ping intra-VLAN avant l'inter-VLAN : si le premier échoue, le problème est en couche 2 et R1 n'y est pour rien.

⚠️ copy running-config startup-config, ou tout est perdu

running-config vit en mémoire vive. Un redémarrage — ou une coupure — et deux heures de TP disparaissent. startup-config est en mémoire non volatile.

Prenez l'habitude de sauvegarder après chaque étape qui fonctionne, pas seulement à la fin.

08Les réflexes de production

💡 Pourquoi désactiver le VLAN 1 sur les ports d'accès

C'est la question ouverte de fin de séance. Trois raisons, dans l'ordre d'importance :

C'est le VLAN par défaut de tout le monde. Un équipement branché sans configuration se retrouve dans le VLAN 1 — donc potentiellement avec les interfaces d'administration des switchs.
Il porte le trafic de service (CDP, DTP, STP, VTP). Le mélanger avec du trafic utilisateur expose ces protocoles.
Un attaquant le sait. Le VLAN 1 est le premier essayé, y compris pour le VLAN hopping par le VLAN natif d'un trunk.

La pratique courante : laisser le VLAN 1 inutilisé, mettre l'administration dans un VLAN dédié (ici le 99), et affecter tous les ports d'accès à un VLAN métier.

🧰 Les trois prolongements proposés

Prolongement	Ce qu'il apporte	Chapitre
ACL interdisant au VLAN 30 d'atteindre le VLAN 10	le cloisonnement logique ne suffit plus dès qu'on a routé : il faut refiltrer ce qu'on vient d'ouvrir	cybersécurité
DHCP par VLAN, en pools locaux ou par `ip helper-address`	un serveur central sert plusieurs VLAN, parce que le DHCP fonctionne en broadcast et ne traverse pas un routeur	11 — DHCP
VLAN natif modifié sur le trunk	le VLAN natif circule sans étiquette : c'est la porte du VLAN hopping	08 — VLAN

Le premier est le plus formateur : il montre que router et filtrer sont deux décisions distinctes.

🤔 Le VLAN 30 (Invités) peut joindre le VLAN 10 (Direction). Est-ce normal ?

C'est techniquement normal, et fonctionnellement inacceptable.

Dès que le routage inter-VLAN est actif, tous les VLAN se joignent : c'est précisément ce qu'on a demandé au routeur. Le cloisonnement de couche 2 a été volontairement percé en couche 3.

Un VLAN Invités n'a aucune raison d'atteindre la Direction. Il lui faut une ACL sur R1 : accès à Internet, refus vers les réseaux internes.

Retenez la phrase : le VLAN sépare, le routeur relie, l'ACL arbitre. Les trois sont nécessaires.