TD de révision — la synthèse — QCM

1Comment un switch, équipement de couche 2, peut-il segmenter un domaine de broadcast ?

Le VLAN n'est pas une fonction de routage : c'est une cloison logique à l'intérieur du switch, qui applique une règle d'appartenance de port. Aucune adresse IP n'est lue, il reste bien en couche 2. C'est aussi pourquoi le VLAN ne suffit pas à faire communiquer deux services : cloisonner n'est pas router.

2Que segmente un switch, et que segmente un routeur ?

Chaque port d'un switch est son propre domaine de collision — les machines n'y disputent plus le média. Le domaine de broadcast, lui, est l'ensemble des machines qu'atteint une diffusion : il est segmenté par un routeur, ou par un VLAN. C'est le couple à retenir.

3Un service a besoin de 500 hôtes. Quel masque retenir, et pourquoi ?

On cherche la plus petite puissance de 2 qui couvre le besoin plus deux adresses — réseau et broadcast. En contrôle, écrivez toujours le masque immédiatement inférieur et pourquoi il ne suffit pas : c'est ce qui prouve que le masque choisi est le plus petit possible, et non le premier qui marche.

4Quel est le contrôle le plus rapide d'un découpage VLSM ?

172.16.1.255 + 1 = 172.16.2.0, puis 172.16.2.127 + 1 = 172.16.2.128 : chaque bloc commence exactement là où le précédent finit. Si ce n'est pas le cas, il y a un trou ou un recouvrement. Et l'on sert toujours du plus gros au plus petit, sans quoi le découpage laisse des espaces inutilisables.

5Pourquoi configure-t-on une adresse IP sur interface vlan 1 d'un switch de couche 2 ?

Cette adresse ne sert pas à commuter : c'est une porte d'entrée de couche 3 pour qu'on puisse parler à l'équipement. Le switch reste de couche 2. ip default-gateway complète le dispositif : sans elle, on ne peut l'administrer que depuis son propre sous-réseau.

6service password-encryption protège-t-elle vraiment les mots de passe ?

Elle protège d'un regard par-dessus l'épaule, pas d'un attaquant : des outils publics rendent le clair instantanément. La vraie protection est enable secret, qui hache. La formule à retenir : service password-encryption est un cache-misère, enable secret une vraie protection.

7Le VLAN 30 est oublié dans switchport trunk allowed vlan. Quel est le symptôme ?

Les trames sont silencieusement jetées à l'entrée du trunk. Le VLAN existe, les ports sont affectés, le ping intra-VLAN passe — mais rien ne sort. C'est la panne la plus vicieuse du TD, parce qu'elle ressemble à un problème de routage. Toujours passer par show interfaces trunk avant de soupçonner le routeur.

8Après avoir créé les sous-interfaces d'un router-on-a-stick, que faut-il faire sur l'interface physique ?

no ip address : ce sont les sous-interfaces qui portent les adresses, une adresse restante entrerait en conflit. no shutdown : les sous-interfaces sont portées par la physique — si le tronc est éteint, les trois le sont aussi, quoi qu'on ait configuré dessus. C'est la deuxième cause de « le ping inter-VLAN ne passe pas ».

9Trois SVI sont configurées sur un switch de niveau 3 et le trafic ne passe toujours pas d'un VLAN à l'autre. Que manque-t-il ?

Un switch de niveau 3 sort d'usine avec le routage désactivé : il se comporte en switch de couche 2. Une seule commande, et on l'oublie tout le temps. Contrôle : show ip route doit lister les trois réseaux marqués C — connectés.

10Quel est l'argument décisif contre le router-on-a-stick quand le trafic inter-VLAN devient important ?

Un fichier du VLAN 10 vers le VLAN 20 voyage SW → R puis R → SW : un lien à 1 Gb/s ne laisse que 500 Mb/s utiles. Ce n'est pas une question de goût, c'est une division par deux. Le switch de niveau 3 commute en matériel, dans le fond de panier — bien plus cher, mais sans ce goulot.

11Pourquoi éviter le VLAN 1 pour les ports d'accès ?

Trois raisons, dans l'ordre : c'est le VLAN par défaut de tout le monde, donc potentiellement celui des interfaces d'administration ; il porte CDP, DTP, STP et VTP, qu'on n'expose pas au trafic utilisateur ; et un attaquant le sait — c'est le premier essayé, y compris pour le VLAN hopping. La pratique : VLAN 1 inutilisé, administration dans un VLAN dédié.

12Dans quel ordre diagnostique-t-on une maquette qui ne ping pas ?

show ip interface brief (up/up), show vlan brief, show interfaces trunk, show ip route, puis le ping intra-VLAN avant l'inter-VLAN. Si l'intra échoue, le problème est en couche 2 et le routeur n'y est pour rien. Inutile de chercher une erreur de routage si le câble est sur le mauvais port.