TD de révision — fiche

⚡ OSI de bas en haut

Nº	Couche	PDU	Équipement
1	Physique	Bit	câble, hub
2	Liaison	Trame	switch
3	Réseau	Paquet	routeur
4	Transport	Segment	TCP / UDP
5-7	Session · Présentation · Application	Données	HTTP, DNS

Le switch segmente les collisions · le routeur et le VLAN segmentent les broadcasts.

MAC · IP · ARP

MAC — physique, 48 bits, valable sur le lien local.
IP — logique, hiérarchique, identifie l'hôte de bout en bout.
ARP — trouve la MAC à partir de l'IP, sur le réseau local.
ICMP — ping, traceroute.

⚡ VLSM — du plus gros au plus petit

Besoin	Bloc	Masque	Hôtes
500	`/23`	`255.255.254.0`	510
100	`/25`	`255.255.255.128`	126
20	`/27`	`255.255.255.224`	30
2 (liaison)	`/30`	`255.255.255.252`	2

Contrôle : broadcast d'un bloc + 1 = réseau du suivant. Sinon : trou ou recouvrement.

Justifier le masque en écrivant celui du dessous et pourquoi il ne suffit pas.

Le découpage de 172.16.0.0/16

resultat

A  172.16.0.0/23     .0.1   -> .1.254    bc .1.255
B  172.16.2.0/25     .2.1   -> .2.126    bc .2.127
C  172.16.2.128/27   .2.129 -> .2.158    bc .2.159

Configuration de base

Cisco IOS

enable
configure terminal
hostname SW1
enable secret cisco123
line console 0
 password consolepass
 login
line vty 0 4
 password vtypass
 login
service password-encryption
interface vlan 1
 ip address 192.168.1.2 255.255.255.0
 no shutdown
ip default-gateway 192.168.1.1
end
copy running-config startup-config

service password-encryption = type 7, réversible : ça masque, ça ne protège pas. Seul enable secret est haché.

VLAN · access et trunk

Cisco IOS

vlan 10
 name DIRECTION

interface range fa0/1 - 5
 switchport mode access
 switchport access vlan 10

interface g0/1
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30

access = 1 VLAN, sans étiquette · trunk = plusieurs VLAN, étiquetés 802.1Q (4 octets, 12 bits → 4 094 VLAN).

Sur un 2960, switchport trunk encapsulation n'existe pas : passer directement à switchport mode trunk.

⚡ Routage inter-VLAN

router-on-a-stick — R1

interface g0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0

interface g0/0
 no ip address
 no shutdown

SVI — switch L3

ip routing
interface vlan 10
 ip address 192.168.10.1 255.255.255.0
 no shutdown

Les deux lignes qu'on oublie : no shutdown sur l'interface physique (elle porte les sous-interfaces) et ip routing sur le switch L3 (sans lui, rien ne route).

Stick ou L3 ?

	Stick	Switch L3
Coût	faible	élevé
Débit	÷ 2 — aller ET retour sur le même lien	commutation matérielle
Croissance	goulot d'étranglement	excellente

L'argument : sur un lien à 1 Gb/s, il reste 500 Mb/s utiles de trafic inter-VLAN.

⚡ Diagnostiquer de bas en haut

show ip interface brief → up / up ?
show cdp neighbors → qui est en face ?
show vlan brief → VLAN et ports
show interfaces trunk → VLAN autorisés
show ip route → 3 réseaux en C
ping intra, puis inter
copy running-config startup-config

administratively down = il manque no shutdown.
up/up mais pas de ping = chercher en couche 3.

⚠️ Les cinq pièges

Interfaces du routeur éteintes par défaut.
VLAN absent d'allowed vlan : trames jetées en silence, on accuse le routeur à tort.
no ip address oublié sur la physique du stick.
ip routing oublié sur le switch L3.
Mauvais masque : une partie du réseau répond, l'autre non.

En production

VLAN 1 inutilisé — c'est le défaut de tout le monde, il porte CDP/DTP/ STP/VTP, et c'est le premier essayé par un attaquant.
Administration dans un VLAN dédié (99).
VLAN natif du trunk changé — il circule sans étiquette.
ACL après le routage : le VLAN sépare, le routeur relie, l'ACL arbitre.
Une ACL sans permit final bloque tout : deny any implicite.