Atelier — infrastructure complète

Pour 192.168.21.0/24, la première adresse disponible est 192.168.21.1 — 192.168.21.0 désigne le réseau lui-même et ne se pose sur aucune interface.

Même piège à l'autre bout : la dernière disponible est .254, pas .255, qui est la diffusion.

Un poste du VLAN 21 demande une adresse par diffusion. Si la sous-interface G0/1.21 de R1 n'est pas encore montée, ou si le trunk ne laisse pas passer le VLAN 21, la demande n'atteint jamais le serveur DHCP.

Le poste tombe alors en APIPA — une adresse en 169.254.x.x qu'il s'attribue lui-même. On accuse la configuration DHCP, qui est pourtant juste : c'est l'étage 3 qui manquait.

Une adresse en 169.254 ne dit jamais « DHCP est mal configuré ». Elle dit « aucun serveur DHCP n'a répondu » — ce qui est le plus souvent un problème de chemin, pas de service.

ip dhcp excluded-address n'appartient à aucun pool : c'est une commande globale, qui réserve les adresses pour les configurations statiques — passerelle, imprimantes, serveurs. Le sujet demande de réserver les vingt premières adresses de chaque VLAN.

VLAN 21 — réseau 192.168.21.0/24

  adresses exclues   de 192.168.21.1 à 192.168.21.20
  passerelle         192.168.21.1   (dans la plage exclue : c'est le but)
  premier bail       192.168.21.21

Oubliez l'exclusion, et le premier poste qui démarre reçoit 192.168.21.1 — l'adresse de la passerelle. Le VLAN entier perd sa sortie, et le symptôme n'a l'air d'avoir aucun rapport avec DHCP.

Déclarer un pool et une liste d'accès ne suffit pas. Le routeur doit savoir quelle interface regarde l'intérieur et laquelle regarde l'extérieur : ip nat inside d'un côté, ip nat outside de l'autre.

Symptôme caractéristique : show ip nat translations reste désespérément vide alors que tout le reste semble juste. C'est presque toujours une de ces deux lignes qui manque.

Contrairement à IPv4, le routage IPv6 est désactivé par défaut sur un routeur Cisco. Les interfaces prennent bien leurs adresses, les voisins se voient, mais rien ne traverse. C'est une seule ligne, en mode de configuration globale, et elle s'oublie systématiquement.

Le sujet le répète trois fois : il peut être nécessaire de désactiver le pare-feu du PC pour que les requêtes ping aboutissent. Un ping sans réponse ne prouve donc rien tant que ce point n'a pas été écarté.

Règle générale de dépannage : avant de conclure qu'un chemin est cassé, vérifiez que la réponse avait le droit de revenir.

Le sujet écrit « mot de passe chiffré en mode d'exécution privilégié ». C'est enable secret, qui range une empreinte non réversible. Son faux jumeau, enable password, écrit le mot de passe en clair dans la configuration.

service password-encryption est encore autre chose : il brouille les mots de passe restés en clair — console, vty — avec un codage de type 7, qui se défait en ligne en une seconde. Il décourage le regard par-dessus l'épaule, il ne protège de personne.

Trois commandes, trois niveaux : enable secret protège, service password-encryption masque, enable password ne fait ni l'un ni l'autre.

1 · La commande tapée dans le mauvais mode. C'est la plus fréquente, et la plus coûteuse en TP. enable secret et service password-encryption appartiennent à la configuration globale. Si on oublie le exit qui ferme line console 0, elles arrivent en mode line, qui ne les connaît pas : elles sont refusées, et l'équipement reste sans mot de passe privilégié. Dans un bloc à plat, les deux versions se ressemblent trait pour trait ; une fois indentées, la fautive est décalée d'un cran — on la voit sans la lire.

2 · Le délimiteur de bannière refermé trop tôt. banner motd prend pour délimiteur le premier caractère non blanc qui suit, et s'arrête au suivant identique. Écrire banner motd #banner motd #Message!# — ce qui arrive vite en recopiant un énoncé — enregistre donc la bannière « banner motd », et le message lui-même n'y est pas. Choisir un délimiteur absent du texte, et ne le taper que deux fois.

3 · La route par défaut qui ne nomme que l'interface. ip route 0.0.0.0 0.0.0.0 s0/0/0 est juste sur une liaison série : elle est point à point, il n'y a qu'un voisin possible. Sur un lien Ethernet, la même écriture oblige le routeur à chercher en ARP chaque destination du monde, et elle ne marche que si le voisin répond en proxy ARP. Sur un Ethernet, on nomme l'adresse du voisin : ip route 0.0.0.0 0.0.0.0 <adresse du routeur d'en face>.

Les trois se repèrent à l'œil sur un script indenté. C'est la raison d'être de la mise en forme : elle n'est pas décorative, elle est un contrôle.

Sur une liaison série, un seul équipement cadence le lien : celui qui porte le câble DCE. Le sujet le dit sans le dire — il demande clock rate 128000 sur R1 S0/0/0 et sur R2 S0/0/1. Donc R1 est DCE face à R2, et R2 est DCE face à R3.

Si l'horloge manque, l'interface reste down / down alors que le câble est branché et que les deux adresses sont justes. C'est le défaut le plus déroutant de l'atelier, parce que rien n'a l'air faux.

L'encapsulation se déclare avant l'adresse. Une sous-interface sans encapsulation dot1Q ne sait pas quelle étiquette lire : IOS refuse l'adresse, ou l'accepte et ne route rien.

L'interface physique doit être allumée. Les sous-interfaces suivent leur parente : g0/1 restée shutdown éteint les trois d'un coup, et le symptôme ressemble à une panne DHCP.

On appelle ce montage un router-on-a-stick : un seul câble physique, trois réseaux logiques qui s'y croisent.

Son adresse vit sur une interface virtuelle de VLAN — ici interface vlan 99 — et sa sortie se déclare avec ip default-gateway, pas avec ip route. Un commutateur de niveau 2 ne route rien : il a une adresse pour qu'on puisse l'administrer, c'est tout.

Et cette interface ne monte que si le VLAN 99 existe et qu'au moins un port actif le porte. Une agrégation suffit — c'est pour cela que les deux commutateurs se joignent par le f0/3.

On écrit network 172.16.0.0, pas network 172.16.1.0 /30 : la commande attend une adresse de réseau par classe. Une seule ligne couvre donc les deux liaisons série 172.16.1.0/30 et 172.16.2.0/30.

no auto-summary répare l'effet de bord : sans elle, RIP annonce aux voisins 172.16.0.0/16 au lieu des deux /30 réels, et les routes se chevauchent.

Sur R3, network 192.168.4.0, .5.0 et .6.0 font bien trois lignes : chaque /24 est une classe C distincte.

Régler l'heure n'est pas configurer l'équipement : c'est une commande du mode d'exécution privilégié, R2#, et elle est refusée depuis R2(config)#. La date s'écrit à l'anglaise : 5 march 2016.

Et la synchronisation ne se voit pas tout de suite : show ntp status annonce unsynchronized pendant quelques minutes avant de basculer. Ce n'est pas une panne, c'est le protocole qui mesure.