Atelier — infrastructure complète — QCM

1R3 porte trois réseaux sans qu'aucun commutateur n'y soit branché. Comment ?

Une loopback simule un réseau distant sans acheter le matériel. Elle ne tombe jamais, ce qui en fait aussi le meilleur endroit où poser l'identifiant d'un routeur. En atelier, elle évite surtout d'avoir à dessiner trois LAN de plus.

2Pour 192.168.21.0/24, quelle est « la première adresse disponible » ?

.0 désigne le réseau lui-même et ne se pose sur aucune interface. Même piège à l'autre bout : la dernière disponible est .254, pas .255 qui est la diffusion. C'est une des fautes les plus fréquentes quand le sujet dit « utilisez la première adresse disponible ».

3Le sujet demande 209.165.200.225 comme passerelle du serveur Internet, qui porte .238 sur le lien 209.165.200.232/29. Pourquoi est-ce impossible ?

Sur 209.165.200.232/29, les adresses utilisables vont de .233 à .238 ; .225 appartient à 209.165.200.224/29. Une passerelle est toujours dans le même sous-réseau que la machine : c'est donc .233, l'interface G0/0 de R2. Le .225 vient d'ailleurs — c'est la première adresse du pool NAT. Le réflexe qui sauve : une adresse annoncée se teste contre son masque.

4Dans quel ordre monte-t-on l'infrastructure ?

Chaque étage suppose le précédent et ne peut être testé que si celui du dessous fonctionne. Un service testé trop tôt semble toujours cassé : c'est ce qui transforme un atelier de trois heures en chasse au fantôme.

5Un poste du VLAN 21 tombe en 169.254.x.x alors que la configuration DHCP est correcte. Que faut-il en conclure ?

L'APIPA est un constat d'échec, jamais un diagnostic de DHCP. Si la sous-interface G0/1.21 n'est pas montée, ou si le trunk ne laisse pas passer le VLAN 21, la demande n'atteint jamais le serveur — et l'on accuse une configuration qui est pourtant juste. C'est l'étage 3 qui manquait, pas l'étage 5.

6Pourquoi erase startup-config ne suffit-elle pas à remettre un commutateur à zéro ?

Il faut delete vlan.dat en plus, puis reload. Oublier la seconde commande laisse des VLAN fantômes du binôme précédent, qui réapparaissent après le redémarrage — et l'on cherche longtemps d'où ils viennent.

7Où se place ip dhcp excluded-address ?

C'est une commande globale : elle n'appartient à aucun pool et réserve les adresses aux configurations statiques — passerelle, imprimantes, serveurs. Sans elle, le premier poste qui démarre peut recevoir 192.168.21.1, l'adresse de la passerelle : le VLAN entier perd sa sortie, et le symptôme n'a l'air d'avoir aucun rapport avec DHCP.

8À quoi servent respectivement la NAT statique et la NAT dynamique dans cette maquette ?

Une seule adresse publique fixe — 209.165.200.229 — rend le serveur web joignable de l'extérieur. Un pool de .225 à .228 laisse les réseaux privés sortir. Et dans les deux cas, rien ne se traduit tant que ip nat inside et ip nat outside ne sont pas posés : show ip nat translations reste alors désespérément vide.

9Pourquoi NTP figure-t-il dans un atelier d'infrastructure et pas seulement dans un chapitre de confort ?

Quand un incident survient, on recoupe les journaux de plusieurs équipements pour reconstituer l'ordre des événements. Quelques minutes d'écart, et une intrusion peut paraître antérieure à la faille qui l'a permise. Le niveau de strate dit à quelle distance on est d'une horloge de référence : un client d'un serveur de strate 5 sera en strate 6.

10En IPv6, les interfaces ont leurs adresses, les voisins se voient, et rien ne traverse le routeur. Que manque-t-il ?

Contrairement à IPv4, le routage IPv6 est désactivé par défaut sur un routeur Cisco : sans cette ligne, l'équipement n'est qu'un hôte. Une seule commande, en configuration globale, et elle s'oublie systématiquement.

11Une interface affiche down / down. Qu'est-ce que cela signale ?

Câble, équipement éteint, ou horloge manquante côté DCE d'une liaison série. À distinguer de administratively down — il manque no shutdown — et de up / down, où le lien physique existe mais où le protocole ne s'établit pas. La première colonne est ce que vous avez décidé, la seconde ce que le câble constate.

12Un ping reste sans réponse entre deux postes. Qu'écarte-t-on avant de conclure que le chemin est cassé ?

Le sujet le répète trois fois. Règle générale de dépannage : avant de conclure qu'un chemin est cassé, vérifiez que la réponse avait le droit de revenir. Un ping sans réponse ne prouve rien tant que ce point n'a pas été écarté.

13Le sujet demande « mot de passe chiffré en mode d'exécution privilégié ». Quelle commande ?

enable secret range une empreinte non réversible : le mot de passe n'apparaît plus nulle part dans la configuration. Son faux jumeau enable password l'écrit en clair. Quand un sujet dit « chiffré », il désigne toujours secret.

14À quoi sert exactement service password-encryption ?

Elle applique un codage de type 7, qui se défait en ligne en une seconde. Elle décourage le regard par-dessus l'épaule ; elle ne protège de personne. Le mot de passe du mode privilégié, lui, est déjà protégé par enable secret. Trois commandes, trois niveaux : secret protège, password-encryption masque, enable password ne fait ni l'un ni l'autre.

15Le sujet demande clock rate 128000 sur R1 S0/0/0 et sur R2 S0/0/1. Qu'est-ce que cela nous apprend ?

Sur une liaison série, un seul équipement cadence le lien : celui qui porte le câble DCE. L'endroit où le sujet demande l'horloge désigne donc le DCE. Si elle manque, l'interface reste down / down alors que le câble est branché et les adresses justes — le défaut le plus déroutant de l'atelier, parce que rien n'a l'air faux.

16Sur la sous-interface G0/1.21 de R1, dans quel ordre vient encapsulation dot1Q 21 ?

Une sous-interface sans encapsulation dot1Q ne sait pas quelle étiquette 802.1Q lire : IOS refuse l'adresse, ou l'accepte sans rien router. Le numéro qui suit dot1Q est celui du VLAN, pas celui de la sous-interface — ils sont identiques ici par convention, et c'est ce qui rend l'erreur invisible quand on les sépare.

17Les trois sous-interfaces de R1 sont configurées et aucun poste ne sort de son VLAN. Que vérifier en premier ?

Les sous-interfaces suivent leur parente : g0/1 laissée éteinte éteint les trois d'un coup. Le symptôme ressemble pourtant à une panne DHCP, puisque les postes n'obtiennent plus rien. Ce montage s'appelle un router-on-a-stick : un seul câble physique, trois réseaux logiques qui s'y croisent.

18Sur le commutateur S1, comment déclare-t-on la sortie vers le reste du réseau ?

Un commutateur de niveau 2 ne route rien : il n'a pas de table de routage, donc pas de ip route. Il porte une adresse pour qu'on puisse l'administrer, et ip default-gateway lui dit par où joindre un autre réseau. default-router existe aussi, mais c'est une commande de pool DHCP : elle dit aux clients quelle passerelle prendre.

19Où vit l'adresse 192.168.99.2 de S1 ?

C'est une SVI, une interface virtuelle de VLAN. Elle ne monte que si le VLAN 99 existe et qu'au moins un port actif le porte — une agrégation suffit, et c'est pour cela que les deux commutateurs se joignent par f0/3. Un VLAN déclaré mais sans aucun port actif laisse la SVI obstinément down.

20Pourquoi le sujet impose-t-il switchport trunk native vlan 1 sur les deux extrémités d'une agrégation ?

Le VLAN natif est celui qui traverse l'agrégation sans étiquette. Si les deux bouts ne sont pas d'accord, les trames non étiquetées d'un côté sont rangées dans le mauvais VLAN de l'autre : les deux réseaux communiquent sans qu'on l'ait demandé. IOS proteste dans ses journaux, et le message passe inaperçu.

21En RIP, quelle forme prend la commande network pour la liaison 172.16.1.0/30 ?

network n'accepte pas de masque : elle attend une adresse de réseau par classe. Une seule ligne couvre donc les deux liaisons série 172.16.1.0/30 et 172.16.2.0/30, qui appartiennent au même 172.16.0.0. Sur R3 en revanche, les trois loopbacks font trois lignes : chaque /24 privé est une classe C distincte.

22Que corrige no auto-summary ?

Sans elle, RIP annonce aux voisins 172.16.0.0/16 au lieu des deux /30 réellement présents, et les routes se chevauchent. C'est l'héritage du RIPv1, où le masque n'était pas transmis du tout. RIPv2 sait le transmettre — encore faut-il lui demander d'arrêter de résumer.

23Une interface déclarée passive-interface en RIP, que fait-elle encore ?

Le réseau reste annoncé — c'est network qui en décide — mais plus aucune mise à jour n'est émise sur ce segment. Sur un LAN d'utilisateurs, personne n'écoute RIP : ces diffusions sont du bruit toutes les trente secondes, et un renseignement offert à qui pose un analyseur de trames. Même raisonnement pour les loopbacks : il n'y a personne au bout d'une interface logique.

24Le sujet demande d'ignorer le réseau G0/0 dans le RIP de R2. Pourquoi ?

RIP est un protocole intérieur : il sert à ce que les routeurs de l'entreprise se connaissent entre eux. Annoncer le lien public n'apprendrait rien d'utile à R1 et R3, et exposerait la topologie interne vers l'extérieur. Ce qui sort passe par la route par défaut et par la NAT, pas par RIP.

25Quelle commande affiche l'identifiant de processus RIP, les réseaux annoncés et les interfaces passives ?

show ip protocols est la fiche d'identité des protocoles de routage actifs : version, réseaux annoncés, interfaces passives, distance administrative, voisins entendus. Les deux autres questions du sujet se répondent par show ip route rip — rien que les routes RIP — et show running-config | section rip — la section RIP de la configuration en cours.

26Dans un pool DHCP, quelle commande annonce la passerelle aux postes ?

default-router se tape dans le pool et voyage jusqu'aux clients. ip default-gateway est son homonyme trompeur : elle est globale, et elle sert à l'équipement lui-même, pas à ses clients. Les noms imposés par le sujet, ACCT et ENGNR, sont sensibles à la casse.

27access-list 1 permit 192.168.4.0 0.0.3.255 autorise quels réseaux ?

Un masque générique est l'inverse d'un masque de sous-réseau : un 0 veut dire « ce bit doit correspondre », un 1 veut dire « peu importe ». 0.0.3.255 laisse varier les deux derniers bits du troisième octet, soit 4, 5, 6 et 7. Le bloc ne se referme qu'à 7 : résumer les trois loopbacks de R3 en autorise forcément un quatrième, qui n'existe pas.

28Que fait ip nat inside source static 10.10.10.10 209.165.200.229 ?

La NAT statique est une correspondance fixe et permanente : c'est ce qui permet d'entrer. La NAT dynamique, elle, pioche dans le pool INTERNET pour laisser sortir les réseaux privés. Dans les deux cas, rien ne se traduit tant que ip nat inside et ip nat outside ne sont pas posés sur les interfaces : show ip nat translations reste alors désespérément vide.

29Où se tape clock set 09:00:00 5 march 2016 ?

Régler l'heure n'est pas configurer l'équipement : c'est une commande du mode privilégié, et elle est refusée depuis R2(config)#. Beaucoup de candidats la cherchent dans la configuration et concluent qu'elle n'existe pas. La date s'écrit à l'anglaise : 5 march 2016.

30R2 est configuré en ntp master 5. En quelle strate se trouve R1, son client ?

La strate mesure la distance à l'horloge de référence : chaque saut en ajoute un. Une horloge atomique est en strate 0, l'équipement qui lui est directement raccordé en strate 1, et ainsi de suite. Un client de strate 5 est donc en strate 6 — et show ntp status l'affiche, après quelques minutes d'unsynchronized qui ne sont pas une panne.

31Pourquoi commence-t-on presque toujours par no ip domain-lookup ?

IOS croit que toute commande inconnue est un nom de machine à joindre, et part chercher un serveur DNS qui n'existe pas. On ne peut rien taper pendant ce temps, et cela arrive à chaque faute de frappe. La commande ne désactive aucun service : elle dit seulement à l'équipement de ne pas résoudre les noms.