Commandes Packet Tracer

Nom, bannière d'avertissement, et la fin des attentes de trente secondes quand on se trompe de commande.

enable
  configure terminal
    hostname R1
    no ip domain-lookup
    banner motd #Acces reserve aux personnes autorisees#
    line console 0
      logging synchronous
    exit
  end
write memory

Sans no ip domain-lookup, chaque faute de frappe est prise pour un nom d'hôte : IOS tente de le résoudre et bloque la console. C'est la première chose à désactiver en TP.

La configuration courante vit en mémoire vive. Sans ça, un redémarrage la perd entièrement.

enable
  write memory

write memory ne pose aucune question. copy running-config startup-config fait la même chose mais demande de confirmer le nom du fichier — une validation de plus à donner.

Le mot de passe du mode privilégié devient un condensat, et ceux qui restent en clair dans la configuration sont brouillés.

enable
  configure terminal
    enable secret cisco
    service password-encryption
  end
write memory

Les deux commandes ne protègent pas pareil. enable secret stocke un condensat : on ne le retrouve pas. service password-encryption applique un chiffrement de type 7, réversible — n'importe quel site le décode en une seconde. Il cache d'un regard par-dessus l'épaule, pas d'un attaquant. C'est exactement ce qu'on vous demandera de distinguer.

Demander un mot de passe à qui branche un câble console.

enable
  configure terminal
    line console 0
      password cisco
      login
      logging synchronous
  end
write memory

Administration à distance chiffrée : la seule à utiliser.

enable
  configure terminal
    hostname R1
    ip domain-name ciel.lan
    username admin privilege 15 secret cisco
    crypto key generate rsa
    1024
    ip ssh version 2
    line vty 0 4
      transport input ssh
      login local
      exec-timeout 10 0
  end
write memory

La ligne 1024 n'est pas une commande : elle répond à la question « How many bits in the modulus » que pose crypto key generate rsa. Collée à la suite, elle est prise comme la réponse. Le nom d'hôte et le nom de domaine doivent être posés avant, sinon la génération de la clé est refusée.

Ce que demandent encore beaucoup de TP — à savoir configurer, et à savoir critiquer.

enable
  configure terminal
    line vty 0 4
      password cisco
      login
      transport input telnet
  end
write memory

Telnet transporte le mot de passe en clair : une capture Wireshark sur le lien le lit tel quel. On le configure en TP parce que l'énoncé le demande ; sur un vrai équipement, c'est SSH.

Une interface de routeur arrive éteinte : sans « no shutdown », elle reste administrativement à l'arrêt.

enable
  configure terminal
    interface gigabitEthernet 0/0
      description LAN
      ip address 192.168.1.1 255.255.255.0
      no shutdown
  end
write memory

Ajustez l'interface et l'adresse à votre topologie. show ip interface brief doit ensuite afficher up / up : le premier mot est l'état administratif, le second l'état du lien.

Une interface qui n'existe que dans le logiciel : elle ne tombe jamais, parce qu'il n'y a aucun câble à débrancher.

enable
  configure terminal
    interface loopback 0
      description Identifiant du routeur
      ip address 1.1.1.1 255.255.255.255
  end
write memory

C'est ce qui en fait le point fixe du routeur. On s'en sert pour trois choses : fixer l'identifiant OSPF ou BGP — qui, sans elle, est tiré de l'adresse physique la plus haute et change au premier lien qui tombe ; joindre l'équipement en SSH par une adresse stable quel que soit le chemin ; et simuler un réseau à annoncer en TP, sans brancher le moindre PC. Le masque est en /32 : une interface virtuelle n'a pas de voisin avec qui partager un sous-réseau. Elle est active dès sa création — pas de no shutdown à taper.

Sur une liaison série, un seul des deux routeurs fournit l'horloge.

enable
  configure terminal
    interface serial 0/0/0
      ip address 10.0.0.1 255.255.255.252
      clock rate 64000
      no shutdown
  end
write memory

show controllers serial 0/0/0 dit de quel côté vous êtes. Sans horloge côté DCE, la ligne reste down et aucune mise à jour de routage ne passe.

Un commutateur travaille en couche 2 : cette adresse ne sert qu'à l'administrer, pas à commuter.

enable
  configure terminal
    interface vlan 1
      ip address 192.168.1.2 255.255.255.0
      no shutdown
    exit
    ip default-gateway 192.168.1.1
  end
write memory

La passerelle se pose avec ip default-gateway, et non avec une route : un commutateur de couche 2 n'a pas de table de routage. Si votre VLAN d'administration n'est pas le 1, remplacez vlan 1 — mais le VLAN doit exister, sinon l'interface reste éteinte.

Trois VLAN nommés, d'un coup.

enable
  configure terminal
    vlan 10
      name VENTES
      vlan 20
        name GESTION
        vlan 99
          name ADMIN
  end
write memory

Un VLAN créé mais sans aucun port reste invisible dans show vlan brief côté machines : c'est normal, il existe, il est simplement vide.

Huit ports d'un coup, au lieu de huit fois la même chose.

enable
  configure terminal
    interface range fastEthernet 0/1 - 8
      switchport mode access
      switchport access vlan 10
      no shutdown
  end
write memory

switchport mode access avant switchport access vlan : sans lui, le port reste en mode automatique et peut basculer en agrégation face à un voisin bavard.

Le lien entre deux commutateurs, ou vers le routeur : il porte tous les VLAN étiquetés.

enable
  configure terminal
    interface fastEthernet 0/24
      switchport mode trunk
      switchport trunk native vlan 99
      switchport trunk allowed vlan 10,20,99
      no shutdown
  end
write memory

Le VLAN natif doit être le même des deux côtés. Sinon IOS affiche %CDP-4-NATIVE_VLAN_MISMATCH — un message qu'on croit anodin et qui explique pourquoi la moitié du trafic disparaît.

Une sous-interface par VLAN, chacune passerelle de son réseau.

enable
  configure terminal
    interface gigabitEthernet 0/0
      no ip address
      no shutdown
    exit
    interface gigabitEthernet 0/0.10
      encapsulation dot1Q 10
      ip address 192.168.10.1 255.255.255.0
    exit
    interface gigabitEthernet 0/0.20
      encapsulation dot1Q 20
      ip address 192.168.20.1 255.255.255.0
    exit
    interface gigabitEthernet 0/0.99
      encapsulation dot1Q 99 native
      ip address 192.168.99.1 255.255.255.0
  end
write memory

L'interface physique reste sans adresse mais doit être allumée : c'est elle qui porte les sous-interfaces. Le VLAN natif se déclare avec le mot-clé native — l'oublier fait tomber le trafic non étiqueté.

Une route précise vers un réseau connu, puis la route « tout le reste ».

enable
  configure terminal
    ip route 192.168.3.0 255.255.255.0 192.168.2.2
    ip route 0.0.0.0 0.0.0.0 192.168.2.2
  end
write memory

0.0.0.0 0.0.0.0 se lit « n'importe quelle destination » : c'est la route de dernier recours, celle qui sort vers Internet. Elle n'est consultée que si aucune route plus précise ne correspond.

Le routage dynamique du programme : on annonce ses réseaux, les voisins apprennent le reste.

enable
  configure terminal
    router rip
      version 2
      no auto-summary
      network 192.168.1.0
      network 192.168.2.0
      passive-interface gigabitEthernet 0/0
  end
write memory

version 2 et no auto-summary ne sont pas facultatifs : sans eux, RIP résume aux anciennes classes A/B/C et casse tout découpage en sous-réseaux. On annonce l'adresse de réseau, pas celle de l'interface.

Les machines du LAN reçoivent adresse, passerelle et DNS toutes seules.

enable
  configure terminal
    ip dhcp excluded-address 192.168.1.1 192.168.1.10
    ip dhcp pool LAN
      network 192.168.1.0 255.255.255.0
      default-router 192.168.1.1
      dns-server 8.8.8.8
      domain-name ciel.lan
  end
write memory

ip dhcp excluded-address se pose avant le pool : c'est ce qui réserve les adresses fixes — passerelle, imprimante, serveur. Oubliée, la plage distribue l'adresse de la passerelle à un poste, et le réseau tombe.

Quand le serveur DHCP est dans un autre réseau que les machines.

enable
  configure terminal
    interface gigabitEthernet 0/0
      ip helper-address 192.168.100.10
  end
write memory

La demande DHCP est une diffusion, et un routeur ne fait pas passer les diffusions. ip helper-address la transforme en message unique vers le serveur. La commande se pose sur l'interface côté clients, pas côté serveur.

Le cas normal : un seul lien vers l'extérieur, tout le LAN derrière.

enable
  configure terminal
    interface gigabitEthernet 0/0
      ip nat inside
    exit
    interface serial 0/0/0
      ip nat outside
    exit
    access-list 1 permit 192.168.1.0 0.0.0.255
    ip nat inside source list 1 interface serial 0/0/0 overload
  end
write memory

Le mot-clé overload est le PAT : sans lui, une seule machine à la fois pourrait sortir. Marquer les interfaces inside et outside n'est pas décoratif — sans ces deux lignes, aucune traduction ne se produit et show ip nat translations reste vide.

Un serveur interne joignable depuis l'extérieur, toujours à la même adresse publique.

enable
  configure terminal
    ip nat inside source static 192.168.1.10 209.165.201.5
    interface gigabitEthernet 0/0
      ip nat inside
    exit
    interface serial 0/0/0
      ip nat outside
  end
write memory

La liste d'accès utilise un masque générique : 0.0.0.255, l'inverse de 255.255.255.0. C'est la confusion la plus courante de l'épreuve.

Le port n'accepte que les adresses MAC qu'il a apprises, et réagit au-delà.

enable
  configure terminal
    interface fastEthernet 0/1
      switchport mode access
      switchport port-security
      switchport port-security maximum 2
      switchport port-security mac-address sticky
      switchport port-security violation restrict
  end
write memory

sticky apprend la MAC présente et l'écrit dans la configuration. restrict bloque le trafic en trop et journalise ; shutdown, le réglage par défaut, éteint le port jusqu'à intervention humaine. En TP, restrict évite de se couper soi-même.

Un port allumé dans un couloir est une prise réseau offerte.

enable
  configure terminal
    interface range fastEthernet 0/9 - 23
      switchport mode access
      switchport access vlan 999
      shutdown
  end
write memory

On les place aussi dans un VLAN sans issue plutôt que dans le VLAN 1 : un port éteint qu'on rallume par erreur ne doit pas retomber dans le réseau d'administration.

L'état des interfaces, la table de routage, la configuration complète.

enable
  terminal length 0
  show ip interface brief
  show ip route
  show running-config

terminal length 0 supprime la pagination --More-- : la sortie défile d'un coup et se copie en entier. Indispensable pour coller une configuration dans un compte rendu.

Les VLAN, les agrégations, la table des adresses MAC.

enable
  terminal length 0
  show ip interface brief
  show vlan brief
  show interfaces trunk
  show mac address-table

show interfaces trunk est la commande qui règle la moitié des pannes de VLAN : elle dit quel VLAN natif et quels VLAN autorisés chaque lien porte réellement.

Le voisinage, la traduction d'adresses, les baux distribués.

enable
  terminal length 0
  show cdp neighbors detail
  show ip nat translations
  show ip dhcp binding
  show version

La configuration de démarrage et la base des VLAN, puis redémarrage.

enable
  erase startup-config
  delete vlan.dat
  reload

Ce bloc pose trois questions — une pour l'effacement, deux pour le fichier des VLAN, plus la confirmation du redémarrage. Validez-les avec Entrée. delete vlan.dat n'existe que sur un commutateur : sur un routeur, la ligne renvoie une erreur sans conséquence. Et effacer startup-config ne touche pas à la configuration courante : c'est le redémarrage qui fait le vide.