Accueil/Réseaux & systèmes /Chapitre 17

Atelier — infrastructure complète : le TP

Sept missions, une seule maquette. Les configurations sont complètes et dans l'ordre où elles se tapent — chacune se colle telle quelle dans la console.

📌

Le contexte

Une société du secteur médical met en place son infrastructure. Le réseau 1 héberge les postes des employés — comptabilité, ingénierie, gestion — et le réseau 2 les serveurs. Un routeur relie l'ensemble à Internet. Il faut monter la connectivité IPv4 et IPv6, sécuriser les commutateurs, router entre les VLAN, faire tourner RIPv2, distribuer les adresses par DHCP, traduire les adresses privées et synchroniser les horloges.

🔑 #VLAN-21 #VLAN-23 #VLAN-99 #dot1Q #RIPv2 #DHCP #NAT-statique #PAT #NTP

01Mission 1 — remise à zéro et paramètres de base

1Repartir d'un équipement vierge Facile

Supprimer les configurations initiales des cinq équipements et les redémarrer, puis poser sur chacun : nom d'hôte, désactivation de la recherche DNS, mot de passe chiffré du mode privilégié (class), mots de passe console et Telnet (cisco), chiffrement des mots de passe restés en clair, et une bannière d'avertissement.

✅ Correction

Effacer, sur chaque équipement :

Cisco IOS

enable
erase startup-config
delete vlan.dat
reload

Le socle, identique partout sauf le nom (exemple pour R1) :

Cisco IOS

enable
configure terminal
hostname R1
no ip domain-lookup
enable secret class
service password-encryption
banner motd #Unauthorized Access is Prohibited!#
line console 0
password cisco
login
logging synchronous
exit
line vty 0 4
password cisco
login
exit
end
write memory

⚠️ enable secret et enable password ne se valent pas

Le sujet demande un mot de passe chiffré du mode privilégié : c'est enable secret, qui stocke un condensat. enable password le laisse en clair, et service password-encryption ne lui applique qu'un chiffrement réversible, décodable en ligne en une seconde.

Si les deux sont posés, c'est enable secret qui gagne — mais l'autre reste visible dans la configuration, ce qui est précisément le défaut qu'on voulait éviter.

02Mission 2 — adressage des trois routeurs

2R1, R2 et R3 en double pile Moyen

Adresser les interfaces des trois routeurs en IPv4 et en IPv6 d'après la topologie, poser les fréquences d'horloge du côté DCE, activer les interfaces, et configurer les routes par défaut. R2 porte en plus une interface de bouclage qui simule le serveur web, et doit activer son serveur HTTP.

✅ Correction

R1 — la liaison vers R2, et la sortie par défaut :

Cisco IOS

enable
configure terminal
ipv6 unicast-routing
interface serial 0/0/0
description Liaison WAN vers R2
ip address 172.16.1.1 255.255.255.252
ipv6 address 2001:DB8:ACAD:1::1/64
clock rate 128000
no shutdown
exit
ip route 0.0.0.0 0.0.0.0 serial 0/0/0
ipv6 route ::/0 serial 0/0/0
end
write memory

R2 — deux liaisons série, la sortie Internet, le serveur web :

Cisco IOS

enable
configure terminal
ipv6 unicast-routing
ip http server
interface serial 0/0/0
description Liaison WAN vers R1
ip address 172.16.1.2 255.255.255.252
ipv6 address 2001:DB8:ACAD:1::2/64
no shutdown
exit
interface serial 0/0/1
description Liaison WAN vers R3
ip address 172.16.2.2 255.255.255.252
ipv6 address 2001:DB8:ACAD:3::2/64
clock rate 128000
no shutdown
exit
interface gigabitEthernet 0/0
description Sortie Internet
ip address 209.165.200.233 255.255.255.248
ipv6 address 2001:DB8:ACAD:2::1/64
no shutdown
exit
interface loopback 0
description Serveur web simule
ip address 10.10.10.10 255.255.255.255
exit
ip route 0.0.0.0 0.0.0.0 gigabitEthernet 0/0
ipv6 route ::/0 gigabitEthernet 0/0
end
write memory

R3 — la liaison vers R2 et les trois réseaux simulés :

Cisco IOS

enable
configure terminal
ipv6 unicast-routing
interface serial 0/0/1
description Liaison WAN vers R2
ip address 172.16.2.1 255.255.255.252
ipv6 address 2001:DB8:ACAD:3::1/64
no shutdown
exit
interface loopback 4
ip address 192.168.4.1 255.255.255.0
exit
interface loopback 5
ip address 192.168.5.1 255.255.255.0
exit
interface loopback 6
ip address 192.168.6.1 255.255.255.0
exit
ip route 0.0.0.0 0.0.0.0 serial 0/0/1
ipv6 route ::/0 serial 0/0/1
end
write memory

🧰 D'où viennent ces adresses

calcul

172.16.1.0/30  →  masque 255.255.255.252
   deux adresses utilisables seulement : .1 et .2
   R1 prend .1 (topologie), R2 prend « la suivante disponible » : .2

209.165.200.232/29  →  masque 255.255.255.248
   utilisables de 209.165.200.233 à 209.165.200.238
   le serveur Internet occupe .238
   R2 prend « la première disponible » : .233

10.10.10.10/32  →  masque 255.255.255.255
   un /32 désigne UNE machine : c'est l'usage normal d'une boucle locale

🔧 Corrigé — la passerelle du serveur Internet

Le tableau de tâches du sujet indique 209.165.200.225 comme passerelle par défaut du serveur Internet. Cette adresse n'appartient pas au 209.165.200.232/29 du lien, mais au 209.165.200.224/29 voisin — celui du pool NAT. La passerelle correcte est l'interface G0/0 de R2, soit 209.165.200.233.

Le détail de la démonstration est dans le cours, section 2. Avec 209.165.200.225, le serveur ne joint rien du tout : sa passerelle n'est pas sur son propre segment.

⚠️ Le côté DCE, et lui seul, porte l'horloge

Sur une liaison série, clock rate ne se pose que d'un côté — celui où le câble DCE est branché. Posée des deux côtés, la commande est simplement ignorée par le DTE ; oubliée du côté DCE, la liaison reste down / down et RIP n'a rien à annoncer.

Cisco IOS

show controllers serial 0/0/0 | include DCE|DTE     ← quel côté suis-je ?

03Mission 3 — VLAN, agrégations et inter-VLAN

3Les commutateurs, puis le routeur sur un bâton Moyen

Créer la base VLAN sur S1 et S3 d'après la clé de VLAN (21 Comptabilité, 23 Engineering, 99 Gestion), attribuer l'adresse d'administration et la passerelle, imposer l'agrégation sur les liens qui la demandent avec le VLAN 1 en VLAN natif, passer tous les autres ports en mode accès, placer F0/6 dans le VLAN 21 sur S1 et F0/18 dans le VLAN 23 sur S3, et éteindre les ports inutilisés. Puis créer les sous-interfaces 802.1Q sur R1.

✅ Correction

S1 — deux agrégations : vers R1 (F0/5) et vers S3 (F0/3) :

Cisco IOS

enable
configure terminal
vlan 21
name Comptabilite
vlan 23
name Engineering
vlan 99
name Gestion
exit
interface vlan 99
ip address 192.168.99.2 255.255.255.0
no shutdown
exit
ip default-gateway 192.168.99.1
interface range fastEthernet 0/3, fastEthernet 0/5
switchport mode trunk
switchport trunk native vlan 1
no shutdown
exit
interface range fastEthernet 0/1 - 2, fastEthernet 0/4, fastEthernet 0/6 - 24
switchport mode access
exit
interface fastEthernet 0/6
switchport access vlan 21
no shutdown
exit
interface range fastEthernet 0/1 - 2, fastEthernet 0/4, fastEthernet 0/7 - 24
shutdown
end
write memory

S3 — une seule agrégation, vers S1 :

Cisco IOS

enable
configure terminal
vlan 21
name Comptabilite
vlan 23
name Engineering
vlan 99
name Gestion
exit
interface vlan 99
ip address 192.168.99.3 255.255.255.0
no shutdown
exit
ip default-gateway 192.168.99.1
interface fastEthernet 0/3
switchport mode trunk
switchport trunk native vlan 1
no shutdown
exit
interface range fastEthernet 0/1 - 2, fastEthernet 0/4 - 24
switchport mode access
exit
interface fastEthernet 0/18
switchport access vlan 23
no shutdown
exit
interface range fastEthernet 0/1 - 2, fastEthernet 0/4 - 17, fastEthernet 0/19 - 24
shutdown
end
write memory

R1 — une sous-interface par VLAN, sur le même câble :

Cisco IOS

enable
configure terminal
interface gigabitEthernet 0/1
no ip address
no shutdown
exit
interface gigabitEthernet 0/1.21
description LAN Comptabilite
encapsulation dot1Q 21
ip address 192.168.21.1 255.255.255.0
exit
interface gigabitEthernet 0/1.23
description LAN Engineering
encapsulation dot1Q 23
ip address 192.168.23.1 255.255.255.0
exit
interface gigabitEthernet 0/1.99
description LAN Gestion
encapsulation dot1Q 99
ip address 192.168.99.1 255.255.255.0
end
write memory

⚠️ Ici le VLAN natif est 1, donc aucune sous-interface ne porte « native »

Le sujet impose le VLAN 1 comme VLAN natif. Le VLAN natif circule non étiqueté sur l'agrégation, et n'a donc pas de sous-interface dédiée. Le mot-clé native après encapsulation dot1Q ne s'emploierait que si le VLAN natif était l'un des trois — 99, par exemple, comme dans d'autres sujets.

Écrire encapsulation dot1Q 99 native ici casserait le VLAN de gestion : R1 attendrait du trafic non étiqueté là où les commutateurs en envoient de l'étiqueté.

⚠️ L'interface physique reste sans adresse, mais allumée

G0/1 ne porte aucune adresse IP : ce sont ses sous-interfaces qui en ont. Mais elle doit être no shutdown, sinon toutes les sous-interfaces restent éteintes avec elle — et rien dans leur affichage ne dit pourquoi.

🧭 Vérifier avant de passer à la suite

Cisco IOS

show vlan brief              ← les trois VLAN existent, F0/6 est bien dans le 21
show interfaces trunk        ← VLAN natif 1, et 21/23/99 autorisés
show ip interface brief      ← les sous-interfaces de R1 en up/up

Puis un ping de S1 vers 192.168.99.1. S'il passe, le VLAN de gestion et l'agrégation fonctionnent tous les deux — deux étages validés d'un coup.

04Mission 4 — routage dynamique RIPv2

4Annoncer, sans bavarder Moyen

Configurer RIP version 2 sur les trois routeurs, annoncer les réseaux directement connectés, désactiver le récapitulatif automatique, et passer toutes les interfaces LAN en mode passif. Sur R2, ne pas annoncer le réseau de l'interface G0/0.

✅ Correction

Cisco IOS

R1 :
enable
configure terminal
router rip
version 2
no auto-summary
network 172.16.0.0
network 192.168.21.0
network 192.168.23.0
network 192.168.99.0
passive-interface gigabitEthernet 0/1.21
passive-interface gigabitEthernet 0/1.23
passive-interface gigabitEthernet 0/1.99
end
write memory

Cisco IOS

R2 :
enable
configure terminal
router rip
version 2
no auto-summary
network 172.16.0.0
passive-interface loopback 0
default-information originate
end
write memory

Cisco IOS

R3 :
enable
configure terminal
router rip
version 2
no auto-summary
network 172.16.0.0
network 192.168.4.0
network 192.168.5.0
network 192.168.6.0
passive-interface loopback 4
passive-interface loopback 5
passive-interface loopback 6
end
write memory

⚠️ « network » prend l'adresse classful, pas le sous-réseau

Les deux liaisons série sont 172.16.1.0/30 et 172.16.2.0/30. On n'écrit pourtant qu'une seule ligne : network 172.16.0.0. RIP ramène l'argument à la classe — ici la classe B 172.16.0.0 — et active le protocole sur toutes les interfaces qui tombent dedans.

C'est aussi pourquoi no auto-summary est obligatoire : sans lui, RIP annoncerait 172.16.0.0/16 au lieu des deux /30, et le découpage en sous-réseaux serait perdu.

💡 À quoi sert « passive-interface »

Une interface passive reçoit les mises à jour mais n'en émet plus. Sur un LAN où il n'y a que des postes, émettre des annonces de routage toutes les trente secondes est inutile — et c'est une information offerte à qui écoute le réseau.

Le réseau reste annoncé aux autres routeurs : c'est network qui le publie, passive-interface ne fait que taire le bavardage local.

⚠️ La route par défaut ne se propage pas toute seule

R2 est le seul à connaître la sortie Internet. Sans default-information originate, R1 et R3 ne l'apprennent jamais par RIP — et leurs postes n'atteignent pas Internet, alors que tout le routage interne fonctionne.

Symptôme : un ping entre VLAN passe, un ping vers 209.165.200.238 échoue, et show ip route sur R1 n'affiche aucune ligne R* 0.0.0.0/0.

05Mission 5 — DHCP

5Deux pools sur R1 Facile

Configurer R1 comme serveur DHCP pour les VLAN 21 et 23. Réserver les vingt premières adresses de chaque réseau pour les configurations statiques. Les pools se nomment ACCT et ENGNR, le serveur DNS est 10.10.10.10 et le nom de domaine ccna-sa.com.

✅ Correction

Cisco IOS

enable
configure terminal
ip dhcp excluded-address 192.168.21.1 192.168.21.20
ip dhcp excluded-address 192.168.23.1 192.168.23.20
ip dhcp pool ACCT
network 192.168.21.0 255.255.255.0
default-router 192.168.21.1
dns-server 10.10.10.10
domain-name ccna-sa.com
exit
ip dhcp pool ENGNR
network 192.168.23.0 255.255.255.0
default-router 192.168.23.1
dns-server 10.10.10.10
domain-name ccna-sa.com
end
write memory

🧰 Ce que chaque poste recevra

calcul

VLAN 21 — réseau 192.168.21.0/24

  réservées      de 192.168.21.1 à 192.168.21.20   (20 adresses)
  distribuées    de 192.168.21.21 à 192.168.21.254 (234 adresses)
  passerelle     192.168.21.1
  DNS            10.10.10.10

254 adresses utilisables dans un /24, moins les 20 réservées : il en reste 234 à distribuer. De quoi voir venir.

🧭 Aucun relais ici — et c'est ce qu'il faut comprendre

ip helper-address n'apparaît nulle part dans cette maquette, et ce n'est pas un oubli : le serveur DHCP est le routeur qui porte les passerelles des deux VLAN. La diffusion n'a aucune frontière à franchir.

Le relais devient nécessaire dès que le serveur DHCP est ailleurs — sur un serveur dédié dans le réseau 2, par exemple. On le pose alors sur l'interface côté clients.

⚠️ Un poste en 169.254.x.x n'accuse pas DHCP

C'est une adresse APIPA, que la machine s'attribue quand aucune réponse n'est revenue. Avant de relire la configuration DHCP, vérifiez que le poste est dans le bon VLAN, que l'agrégation laisse passer ce VLAN, et que la sous-interface correspondante est en up/up.

06Mission 6 — NAT statique et dynamique

6Entrer et sortir Moyen

Sur R2 : créer une NAT statique rendant le serveur web joignable depuis Internet à l'adresse 209.165.200.229, puis une NAT dynamique autorisant les réseaux de comptabilité et d'ingénierie ainsi que les réseaux de bouclage de R3, avec un pool nommé INTERNET allant de 209.165.200.225 à 209.165.200.228.

✅ Correction

Cisco IOS

enable
configure terminal
ip nat inside source static 10.10.10.10 209.165.200.229
interface serial 0/0/0
ip nat inside
exit
interface serial 0/0/1
ip nat inside
exit
interface gigabitEthernet 0/0
ip nat outside
exit
access-list 1 permit 192.168.21.0 0.0.0.255
access-list 1 permit 192.168.23.0 0.0.0.255
access-list 1 permit 192.168.4.0 0.0.3.255
ip nat pool INTERNET 209.165.200.225 209.165.200.228 netmask 255.255.255.248
ip nat inside source list 1 pool INTERNET
end
write memory

🧰 Le récapitulatif des trois réseaux de R3, calculé

calcul

Les trois réseaux à couvrir :
   192.168.4.0/24 · 192.168.5.0/24 · 192.168.6.0/24

En binaire, le troisième octet :
   4  =  000001 00
   5  =  000001 01
   6  =  000001 10
   7  =  000001 11     ← inclus par le regroupement
         ↑↑↑↑↑↑
         6 bits communs

24 bits (les deux premiers octets) + 6 bits communs = 22 bits fixes
Récapitulatif : 192.168.4.0/22
Masque de sous-réseau : 255.255.252.0
Masque générique      : 0.0.3.255

Le regroupement couvre aussi 192.168.7.0/24, qui n'existe pas dans la maquette. C'est le prix d'un récapitulatif : il est toujours au moins aussi large que ce qu'on voulait couvrir.

⚠️ Le masque générique est l'inverse du masque de sous-réseau

Une liste d'accès ne prend pas 255.255.252.0 mais son complément, 0.0.3.255. Un 0 dans un masque générique signifie « ce bit doit correspondre », un 1 signifie « peu importe » — exactement l'inverse de la lecture d'un masque de sous-réseau.

calcul

masque de sous-réseau   255.255.252.0
masque générique          0.  0.  3.255      ← 255 − 255, 255 − 255, 255 − 252, 255 − 0

⚠️ Les deux interfaces série sont « inside », pas seulement une

Le trafic à traduire vient de deux directions : les VLAN via R1 (S0/0/0) et les réseaux de bouclage via R3 (S0/0/1). Marquer une seule des deux fait sortir la moitié du réseau et pas l'autre — une panne qui ressemble à un problème de routage alors qu'elle n'en est pas un.

🧭 Comment savoir que ça marche

Cisco IOS

show ip nat translations     ← la table doit se remplir dès qu'un poste sort
show ip nat statistics       ← compteur « Hits » qui augmente
clear ip nat translation *   ← purge les entrées dynamiques pour repartir propre

Un tableau vide après un ping sortant signifie presque toujours qu'il manque ip nat inside ou ip nat outside quelque part. Commencez par là, avant de relire la liste d'accès.

07Mission 7 — NTP

7Une horloge de référence Facile

Régler la date et l'heure sur R2, le configurer en serveur NTP de strate 5, puis faire de R1 un client NTP de R2 et lui demander de mettre à jour son calendrier matériel. Vérifier la synchronisation.

✅ Correction

Cisco IOS

R2 — le serveur de temps :
enable
clock set 09:00:00 5 March 2016
configure terminal
ntp master 5
end
write memory

Cisco IOS

R1 — le client :
enable
configure terminal
ntp server 172.16.1.2
ntp update-calendar
end
write memory

Cisco IOS

Vérification, sur R1 :
show ntp status         ← « Clock is synchronized, stratum 6 »
show ntp associations   ← le serveur 172.16.1.2, avec un * devant
show clock              ← l'heure doit correspondre à celle de R2

⚠️ « clock set » se tape en mode privilégié, pas en configuration

C'est une commande d'exécution, pas de configuration : régler une horloge n'est pas un paramètre qu'on enregistre, c'est une action. Tapée après configure terminal, elle est refusée.

Corollaire : elle ne figure pas dans running-config et ne survit pas à un redémarrage — sauf si ntp update-calendar a écrit l'heure dans le calendrier matériel.

💡 La strate se compte en sauts

Une horloge de référence — atomique, GPS — est en strate 0. Le serveur qui y est directement relié est en strate 1, son client en strate 2, et ainsi de suite. R2 annonce ntp master 5, donc R1 se retrouvera en strate 6.

Plus la strate est haute, moins l'horloge est fiable. Au-delà de 15, NTP considère la source comme inutilisable.

08Les questions du sujet

8Trois commandes de vérification RIP Facile

Quelle commande permet d'afficher l'identifiant de processus RIP, les récapitulations d'adresse, les réseaux annoncés et les interfaces passives configurées ? Quelle commande n'affiche que les routes RIP ? Quelle commande affiche la section RIP de la configuration courante ?

✅ Correction

Question	Commande
processus, récapitulations, réseaux, interfaces passives	`show ip protocols`
uniquement les routes apprises par RIP	`show ip route rip`
la section RIP de la configuration courante	`show running-config \| section rip`

show ip protocols est la commande la plus rentable des trois : elle dit en un écran si version 2 est actif, si auto-summary a bien été désactivé, quels réseaux sont annoncés et quelles interfaces se taisent. Quatre vérifications d'un coup.

9Le tableau de tests, rempli Moyen

Le sujet fournit plusieurs tableaux de connectivité à compléter. Quelles adresses y inscrire, et dans quel ordre mener les tests ?

✅ Correction

Les tests, du plus proche au plus lointain
#	Origine	Cible	Adresse	Ce qu'un échec dénonce
1	R1	R2, S0/0/0	`172.16.1.2`	horloge DCE, masque, `no shutdown`
2	R2	R3, S0/0/1	`172.16.2.1`	idem, sur la seconde liaison
3	Serveur Internet	sa passerelle	`209.165.200.233`	adresse ou passerelle hors du /29
4	S1	R1, VLAN 99	`192.168.99.1`	agrégation, sous-interface .99
5	S3	R1, VLAN 99	`192.168.99.1`	agrégation entre S1 et S3
6	PC-A	PC-C	bail DHCP du VLAN 23	inter-VLAN, ou pare-feu du poste
7	PC Internet	serveur web	`209.165.200.229`	NAT statique, `inside`/`outside`

🧭 S'arrêter au premier échec

Un test qui échoue rend tous les suivants ininterprétables. Si le test 4 ne passe pas, inutile de tenter le 6 : on ne saurait pas si c'est l'inter-VLAN ou l'agrégation qui manque.

C'est ce que le tableau du sujet impose implicitement, et c'est la méthode de dépannage attendue en épreuve E5.