Digital Agency's Page de profil

Sécuriser l’accès aux commutateurs Avant toute configuration réseau, il est essentiel de protéger l’accès aux équipements. La première ligne de défense consiste à désactiver les accès en texte clair et à activer le protocole SSH. La configuration d’un nom d’hôte, d’un domaine et d’une paire de clés RSA permet d’établir une session chiffrée. Ensuite, il faut définir des mots de passe forts pour les lignes console et VTY, en s’assurant qu’ils respectent les bonnes pratiques de complexité. Le Port Security vient renforcer la protection au niveau des ports d’accès. En limitant le nombre d’adresses MAC autorisées et en définissant une action de violation, on empêche les appareils non autorisés de se connecter. Il est recommandé de définir une adresse MAC statique pour chaque port qui accueille un dispositif connu, tout en conservant la possibilité de détecter les tentatives de connexion non prévues. Le durcissement du commutateur passe également par la désactivation des services inutiles, comme le protocole CDP ou le service HTTP non sécurisé. La mise en place d’un filtre d’accès qui ne permet que les adresses de gestion connues réduit la surface d’exposition. Segmenter le réseau avec les VLANs Les VLANs permettent de diviser un même réseau physique en plusieurs réseaux logiques distincts. Chaque VLAN possède son propre domaine de diffusion, ce qui améliore la performance et la sécurité. La création d’un VLAN se fait avec une simple commande qui associe un identifiant à un nom descriptif, puis en attribuant ce VLAN aux ports d’accès concernés. Une fois les VLANs créés, il faut les connecter entre eux via des liens trunk. Le protocole 802.1Q ajoute un tag à chaque trame pour indiquer le VLAN d’appartenance. La configuration du trunk consiste à spécifier les VLANs autorisés à traverser le lien et à activer l’encapsulation 802.1Q sur les interfaces concernées. Pour simplifier la gestion des VLANs, les protocoles VTP (VLAN Trunking Protocol) et DTP (Dynamic Trunking Protocol) offrent des mécanismes d’automatisation. VTP permet de diffuser les informations de VLANs entre commutateurs, tandis que DTP négocie automatiquement le type de liaison trunk. Leur utilisation doit être encadrée afin d’éviter la propagation non désirée de VLANs. Faire communiquer les VLANs Une fois les VLANs isolés, il faut prévoir un moyen de les faire parler entre eux. La solution classique repose sur le « router‑on‑a‑stick », qui utilise une interface physique configurée en mode trunk et plusieurs sous‑interfaces logiques, chacune associée à un VLAN. Chaque sous‑interface reçoit une adresse IP qui sert de passerelle pour le VLAN correspondant. Une alternative plus moderne repose sur la commutation de couche trois intégrée aux commutateurs. En créant des interfaces VLAN (SVI), on attribue une adresse IP à chaque VLAN directement sur le commutateur. Cette approche élimine le besoin d’un routeur externe et simplifie le plan d’adressage. Le dépannage du routage inter‑VLAN commence par vérifier la configuration des sous‑interfaces ou des SVI, s’assurer que les VLANs sont actifs, et confirmer que les routes sont présentes dans la table de routage. L’utilisation de commandes de vérification permet d’identifier rapidement les incohérences, comme des adresses IP manquantes ou des VLANs non associés. Assurer la résilience avec le Spanning Tree Dans un réseau où plusieurs chemins existent entre les commutateurs, le protocole Spanning Tree (STP) évite les boucles de diffusion. STP désigne un port comme racine et désactive les liens redondants tout en maintenant une topologie sans boucle. Les variantes PVST+ et Rapid PVST+ offrent une granularité par VLAN et une convergence plus rapide. La mise en place du Spanning Tree commence par définir le rôle du commutateur racine, souvent en ajustant la priorité du bridge. Ensuite, chaque port reçoit un rôle (racine, désigné ou bloqué) en fonction du coût du chemin. Les administrateurs peuvent influencer le comportement en configurant des paramètres de priorité sur les ports ou en forçant certains liens à rester actifs grâce à la fonctionnalité de portfast pour les terminaux. Le dépannage du Spanning Tree implique la vérification des états des ports, la confirmation que les VLANs utilisent le même mode de Spanning Tree, et l’examen des messages de log qui indiquent les changements de rôle. Des outils de visualisation permettent de cartographier la topologie active et d’identifier les points de blocage. Optimiser la bande passante avec EtherChannel L’agrégation de liens, connue sous le nom d’EtherChannel, combine plusieurs interfaces physiques en un seul lien logique. Cette technique augmente la capacité de transmission tout en offrant une redondance transparente. La configuration nécessite d’aligner les paramètres des interfaces (vitesse, duplex, type de négociation) avant de les regrouper dans un groupe d’agrégation. Le protocole LACP (Link Aggregation Control Protocol) facilite la mise en place automatique de l’EtherChannel. En activant LACP sur les interfaces partenaires, les appareils négocient la création du groupe agrégé et détectent les changements de disponibilité des liens. Lors du dépannage, il faut vérifier que toutes les interfaces du groupe partagent les mêmes paramètres et que le mode d’agrégation est cohérent des deux côtés. Les messages de log signalent les désalignements ou les incompatibilités, ce qui permet d’ajuster rapidement la configuration. Résumé des bonnes pratiques Protéger l’accès en activant SSH, en définissant des mots de passe robustes et en limitant le nombre d’adresses MAC par port. Segmenter avec les VLANs pour isoler les flux et utiliser les trunks 802.1Q pour les liaisons inter‑VLAN. Routage inter‑VLAN via le router‑on‑a‑stick ou les SVI selon les besoins de l’infrastructure. Assurer la stabilité en configurant le Spanning Tree adapté à chaque VLAN et en surveillant les états des ports. Accroître la bande passante grâce à EtherChannel et à LACP, en veillant à la cohérence des paramètres. En suivant ces étapes, il est possible de concevoir, configurer et dépanner un réseau commuté d’entreprise de façon autonome, tout en respectant les standards de sécurité et de résilience propres aux environnements Cisco. Pour aller plus loin Ce sujet est traite en entier dans CCNA — Commutation, VLANs & Spanning Tree, sur Postdy Learn.

Digital Agency

Biographie

Recevez les nouveautés Postdy