INSTALLER UN RESEAU CPL (partie 2/3)

## Objectifs et prérequis **À la fin de ce chapitre, l’élève sera capable de :** - Concevoir et mettre en œuvre un groupe résidentiel étendu utilisant un switch manageable (cas 2). - Configurer un routeur en mode « cas 1 » (accès Internet simple) en respectant les paramètres d’adressage IP, de masque, de passerelle et de service DHCP. - Configurer un routeur en mode « cas 2 » (réseau avec VLAN et routage inter‑VLAN) incluant la mise en place de trunks, de sous‑interfaces et de l’encapsulation 802.1Q. - Vérifier le bon fonctionnement du réseau, diagnostiquer les pannes courantes et appliquer les règles de sécurité de base. **Prérequis :** - Connaissances des couches 1 à 3 du modèle OSI (câblage, adressage MAC, adressage IP). - Maîtrise du câblage Ethernet (UTP Cat5e/6, connecteurs RJ45) et de l’utilisation d’un testeur de câble. - Notions de base sur les équipements réseau (switch non manageable, switch manageable, routeur domestique/professionnel). - Savoir lire un schéma logique et un plan de câblage simple. --- ## Introduction contextualisée Au Cameroun, la demande de connectivité haut débit dans les habitations individuelles et les petits immeubles augmente rapidement, notamment avec le déploiement du fibre optique jusqu’au domicile (FTTH) et la généralisation des services triple play (voix, données, vidéo). Les techniciens chargés de l’installation doivent donc savoir étendre un réseau résidentiel de façon fiable et sécurisée, en utilisant des équipements intermédiaires (switch manageable) lorsqu’il faut desservir plusieurs logements ou plusieurs pièces, et en configurant le routeur de façon adaptée aux besoins du client (accès Internet simple ou réseau segmenté par VLAN pour séparer le trafic voix, données et surveillance). Ce chapitre présente les deux cas d’utilisation les plus fréquents rencontrés sur le terrain : le **groupe résidentiel étendu avec switch cas 2** et les deux scénarios de configuration d’un routeur (cas 1 et cas 2). --- ## I. Leçon 17 – Groupe résidentiel étendu avec utilisation de switch cas 2 ### A. Notions de base Un **groupe résidentiel étendu** désigne une architecture où plusieurs logements (ou plusieurs pièces d’un même logement) sont interconnectés via un réseau local commun, tout en conservant une séparation logique des flux lorsqu’elle est nécessaire. Le **switch cas 2** fait référence à un switch manageable de couche 2 permettant la création de VLAN, la mise en place de trunks et la gestion du trafic par priorisation (QoS). > **Définition** : Un VLAN (Virtual Local Area Network) est un groupe logique de ports d’un switch qui communiquent comme s’ils étaient sur le même segment physique, indépendamment de leur localisation géographique. ### B. Schéma de câblage typique ``` [ONT/Modem FTTH] ----(câble fibre)----> [Routeur] ----(câble Ethernet)----> [Switch manageable] | +----------------+----------------+----------------+ | | | | [Logement A] [Logement B] [Logement C] [Logement D] ``` Chaque logement est relié au switch par un câble UTP Cat6 (jusqu’à 100 m). Le switch est configuré en mode trunk vers le routeur afin de transporter plusieurs VLAN sur un même lien physique. ### C. Procédure d’installation pas à pas | Étape | Action | Détails / Vérifications | |------|--------|--------------------------| | 1 | **Repérage des points de tirage** | Vérifier la conformité du tirage (distance < 100 m, absence de sources d’interférences). | | 2 | **Pose des câbles UTP** | Utiliser des gaines PVC, respecter le rayon de courbure (≥ 4× le diamètre du câble). | | 3 | **Terminaison RJ45** | Sertir les connecteurs selon la norme T568B ; tester chaque lien avec un testeur de câble (continuité, déséquilibre, longueur). | | 4 | **Mise sous tension du switch** | Vérifier les LEDs de lien et d’activité sur chaque port. | | 5 | **Accès à l’interface du switch** | Via console (câble RS232/USB) ou adresse IP par défaut (ex. 192.168.1.254/24). | | 6 | **Création des VLAN** | Exemple : VLAN 10 = Voix, VLAN 20 = Données, VLAN 30 = Surveillance. Attribuer les ports correspondants. | | 7 | **Configuration du trunk** | Sur le port relié au routeur : `switchport mode trunk`, `switchport trunk allowed vlan add 10,20,30`. | | 8 | **Activation du QoS (optionnel)** | Prioriser le trafic Voix (DSCP EF) sur le VLAN 10. | | 9 | **Sauvegarde de la configuration** | `write memory` ou équivalent. | |10| **Tests fonctionnels** | Ping entre équipements de différents VLAN (doit échouer sans routage), vérification du lien physique, mesure du débit avec iPerf si disponible. | ### D. Exemple d’atelier (situation professionnelle) Un technicien intervient dans un immeuble de quatre appartements à Yaoundé. Le FTTH fournit un débit de 300 Mbps symétrique. Le client souhaite séparer le trafic Voix (VoIP) du trafic données (Internet) et de la vidéosurveillance. - **Adressage IP prévu** : - VLAN 10 (Voix) : 10.0.10.0/24, passerelle 10.0.10.1 - VLAN 20 (Données) : 10.0.20.0/24, passerelle 10.0.20.1 - VLAN 30 (Surveillance) : 10.0.30.0/24, passerelle 10.0.30.1 Le switch est configuré comme décrit ci‑dessus ; le routeur (voir leçon 18/19) assurera le routage entre ces VLAN et l’accès Internet. > **À retenir** : La longueur maximale d’un lien UTP Cat6 est de 100 m ; au‑delà, il faut prévoir un répéteur ou passer à la fibre. --- ## II. Leçon 18 – Configuration d’un routeur cas 1 ### A. Notions de base du routeur Un routeur domestique ou petit professionnel (ex. TP‑Link Archer, Cisco RV160) assure la fonction de passerelle entre le réseau local (LAN) et le réseau étendu (WAN, généralement Internet). En **cas 1**, le routeur fournit un accès Internet simple sans segmentation VLAN ; tous les appareils du LAN partagent le même sous‑réseau. > **Définition** : La passerelle par défaut est l’adresse IP du routeur que les hôtes utilisent pour atteindre toute destination hors du sous‑réseau local. ### B. Accès à l’interface de configuration 1. Connecter un PC au routeur via un câble Ethernet (port LAN). 2. Configurer l’adresse IP du PC en mode DHCP ou attribuer manuellement une adresse du même sous‑réseau (ex. 192.168.0.10/24). 3. Ouvrir un navigateur et saisir l’adresse IP du routeur (souvent 192.168.0.1 ou 192.168.1.1). 4. Authentifier avec le login/mot de passe par défaut (ex. admin/admin) puis changer immédiatement le mot de passe. ### C. Configuration de base (pas à pas) | Paramètre | Valeur typique | Commentaire | |-----------|----------------|-------------| | **Adresse IP WAN** | Obtenu via DHCP du FAI (ou adresse statique fournie) | Vérifier le lien avec le voyant WAN. | | **Masque de sous‑réseau WAN** | Selon fourniture du FAI (ex. 255.255.255.252) | | | **Adresse IP LAN** | 192.168.1.1/24 | Adresse de la passerelle du réseau local. | | **Masque LAN** | 255.255.255.0 | | | **Serveur DHCP LAN** | Activé, plage 192.168.1.100 – 192.168.1.200 | Durée de bail 12 h. | | **DNS** | Utiliser les serveurs du FAI ou 8.8.8.8 / 8.8.4.4 | | | **Filtre d’adresses MAC (optionnel)** | Désactivé en cas 1 | | | **Sauvegarde** | `Save Settings` ou équivalent | | ### D. Sécurité de base - Changer le mot de passe d’administration (minimum 12 caractères, mélange de majuscules, minuscules, chiffres, symboles). - Désactiver le WPS (Wi‑Fi Protected Setup) si le routeur possède du Wi‑Fi. - Activer le pare‑feu SPI (Stateful Packet Inspection) de base. - Mettre à jour le firmware dès la première connexion. > **À retenir** : Un mot de passe par défaut laissé inchangé constitue la faille la plus exploitée lors d’attaques sur les réseaux domestiques. ### E. Exemple chiffré Un client à Douala reçoit une ligne FTTH avec une adresse IP WAN statique : **203.0.113.45/30**. Le masque /30 implique deux adresses utilisables : - Adresse réseau : 203.0.113.44 - Adresse broadcast : 203.0.113.47 - Adresse utilisable du routeur (WAN) : 203.0.113.45 - Adresse utilisable du FAI (passerelle WAN) : 203.0.113.46 Le routeur est configuré avec l’adresse LAN 192.168.10.1/24. Le serveur DHCP attribue des adresses de 192.168.10.10 à 192.168.10.150. > **À retenir** : Dans un réseau /30, il n’y a que deux hôtes possibles ; il est donc réservé aux liaisons point‑à‑point (routeur‑FAI). --- ## III. Leçon 19 – Configuration d’un routeur cas 2 ### A. Cas 2 : réseau avec VLAN et routage inter‑VLAN Le **cas 2** apparaît lorsqu’il faut séparer logiquement différents types de trafic (voix, données, surveillance) tout en permettant leur communication via le routeur. Le routeur doit donc être capable d’accepter des trunks 802.1Q et de créer des **sous‑interfaces** associées à chaque VLAN. > **Définition** : Une sous‑interface est une interface logique d’un routeur qui traite le trafic d’un VLAN spécifique lorsqu’elle reçoit des trames taggées 802.1Q. ### B. Configuration du switch manageable (trunk et VLAN) 1. **Création des VLAN** (mêmes IDs que dans la leçon 17) : ``` vlan 10 name VOIX exit vlan 20 name DONNEES exit vlan 30 name SURVEILLANCE exit ``` 2. **Attribution des ports** : - Ports 1‑4 → VLAN 10 (Voix) - Ports 5‑8 → VLAN 20 (Données) - Ports 9‑12 → VLAN 30 (Surveillance) - Port 24 (uplink vers le routeur) → `switchport mode trunk` 3. **Configuration du trunk** : ``` interface GigabitEthernet0/24 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan add 10,20,30 ``` 4. **Sauvegarde** : `write memory` ### C. Configuration du routeur (sous‑interfaces) Supposons un routeur Cisco‑like (ou un routeur professionnel compatible). 1. **Activation de l’interface physique** (ex. Gig0/0) : ``` interface GigabitEthernet0/0 no shutdown ``` 2. **Création des sous‑interfaces** : ``` interface GigabitEthernet0/0.10 encapsulation dot1q 10 ip address 10.0.10.1 255.255.255.0 ! interface GigabitEthernet0/0.20 encapsulation dot1q 20 ip address 10.0.20.1 255.255.255.0 ! interface GigabitEthernet0/0.30 encapsulation dot1q 30 ip address 10.0.30.1 255.255.255.0 ``` 3. **Activation du routage** (par défaut activé sur les routeurs modernes) : ``` ip routing ``` 4. **NAT/PAT pour l’accès Internet** (si le WAN est en adresse privée ou si on veut masquer le LAN) : ``` interface GigabitEthernet0/1 ! supposée WAN ip address dhcp ! ip nat inside source list 1 interface GigabitEthernet0/1 overload access-list 1 permit 10.0.0.0 0.0.255.255 ! interface GigabitEthernet0/0.10 ip nat inside ! interface GigabitEthernet0/0.20 ip nat inside ! interface GigabitEthernet0/0.30 ip nat inside ! interface GigabitEthernet0/1 ip nat outside ``` 5. **Sauvegarde** : `write memory` ### D. Vérification et dépannage - **show ip route** : vérifier que les réseaux 10.0.10.0/24, 10.0.20.0/24, 10.0.30.0/24 sont présents. - **show vlan brief** (sur le switch) : confirmer l’appartenance des ports. - **ping** depuis un hôte du VLAN 10 vers une adresse du VLAN 20 (doit réussir grâce au routage inter‑VLAN). - **show ip nat translations** : vérifier que le NAT fonctionne pour le trafic vers le WAN. - En cas d’échec, contrôler l’encapsulation dot1q, la présence du trunk, et les adresses IP des sous‑interfaces. ### E. Exemple d’atelier (situation professionnelle) Un bureau d’avocat à Bafoussam possède trois départements : - **VoIP** (téléphone sur IP) – VLAN 10 - **Informatique** (postes de travail, serveur de fichiers) – VLAN 20 - **Vidéo‑conférence & surveillance** – VLAN 30 Le FTTH fournit une adresse WAN dynamique via DHCP. Le routeur est configuré comme ci‑dessus ; le switch manageable (modèle Cisco SG350‑10) assure le trunk vers le routeur. Après mise en service, les tests montrent : - Latence moyenne VoIP < 15 ms (qualité bonne). - Débit de transfert de fichiers entre VLAN 20 et VLAN 30 ≈ 95 Mbps (limité par le lien uplink 1Gbps partagé). - Aucun accès non autorisé du VLAN 30 vers le VLAN 10 grâce aux listes de contrôle d’accès (ACL) éventuellement ajoutées. > **À retenir** : Le routage inter‑VLAN nécessite que chaque sous‑interface possède une adresse IP appartenant au sous‑réseau du VLAN correspondant ; sans cela, le routeur ne pourra pas router le trafic. --- ## Synthèse du chapitre - **Leçon 17** : Installation d’un groupe résidentiel étendu avec switch manageable (cas 2) – création de VLAN, configuration du trunk, câblage UTP Cat6 ≤ 100 m, tests de continuité. - **Leçon 18** : Configuration d’un routeur en cas 1 – accès Internet simple, adressage WAN (DHCP ou statique), LAN fixe, serveur DHCP, filtrage de base, changement du mot de passe d’administration, mise à jour du firmware. - **Leçon 19** : Configuration d’un routeur en cas 2 – VLAN, trunk 802.1Q, sous‑interfaces, routage inter‑VLAN, NAT/PAT, vérification via `show ip route` et `show vlan brief`. - Sécurité : changer mots de passe par défaut, désactiver WPS, activer pare‑feu SPI, maintenir le firmware à jour. - Normes de câblage : respecter le rayon de courbure, utiliser la norme T568B, tester chaque lien avant mise en service. --- ## Glossaire | Terme | Définition | |-------|------------| | VLAN | Groupe logique de ports d’un switch qui communiquent comme s’ils étaient sur le même segment physique, indépendamment de leur localisation. | | Trunk | Liaison physique qui transporte le trafic de plusieurs VLAN grâce au taggage 802.1Q. | | Sous‑interface | Interface logique d’un routeur associée à un VLAN spécifique pour le routage inter‑VLAN. | | NAT/PAT | Traduction d’adresses réseau qui permet à plusieurs hôtes privés de partager une adresse IP publique. | | DHCP | Protocole d’attribution dynamique d’adresses IP, de masque, de passerelle et de DNS. | | QoS | Qualité de service : mécanismes de priorisation du trafic (ex. Voix avant données). | | SPI | Stateful Packet Inspection : pare‑feu qui contrôle l’état des connexions. | | T568B | Norme de câblage Ethernet définissant l’ordre des fils dans un connecteur RJ45. | | FTTH | Fibre To The Home : déploiement de la fibre optique jusqu’au domicile. | | ONT | Optical Network Terminal : dispositif qui convertit le signal fibre en signal Ethernet. | --- ## Exercices d'application corrigés ### Exercice 1 – Installation d’un groupe résidentiel étendu **Situation** : Vous devez installer un réseau dans un immeuble de trois appartements à Yaoundé. Chaque appartement doit disposer d’un accès Internet et d’une ligne VoIP. Vous disposez d’un switch manageable 24 ports, d’un routeur FTTH et de câbles UTP Cat6. **Consignes** : 1. Dessinez le schéma logique (ONT → routeur → switch → appartements). 2. Indiquez la numérotation des VLAN que vous choisirez (VoIP et Données). 3. Précisez la configuration du trunk sur le switch (ports, mode, VLAN autorisés). 4. Donnez l’adresse IP LAN du routeur et la plage DHCP pour chaque VLAN. **Corrigé** : 1. Schéma : ONT –(fibre)–> Routeur –(câble Ethernet)–> Switch manageable –(câbles UTP)–> Appartement 1, 2, 3 (chaque appartement possède deux prises RJ45 : une pour VoIP, une pour données). 2. VLAN 10 = VoIP, VLAN 20 = Données. 3. Trunk sur le port 24 du switch : `switchport mode trunk`, `switchport trunk allowed vlan add 10,20`. Les ports 1‑8 affectés au VLAN 10 (VoIP) des trois appartements, les ports 9‑16 affectés au VLAN 20 (Données). 4. Adresse IP du routeur (gateway) pour chaque VLAN : - VLAN 10 (Voix) : 192.168.10.1/24, plage DHCP 192.168.10.10‑192.168.10.100. - VLAN 20 (Données) : 192.168.20.1/24, plage DHCP 192.168.20.10‑192.168.20.100. ### Exercice 2 – Configuration d’un routeur cas 2 avec VLAN **Situation** : Un petit hôtel à Douala souhaite séparer le trafic des clients (Wi‑Fi invité) du trafic du personnel (réservation, caméras). Le FTTH fournit une adresse WAN dynamique via DHCP. Vous avez un switch manageable 48 ports et un routeur compatible 802.1Q. **Consignes** : 1. Définissez les VLAN et leurs objectifs. 2. Écrivez les commandes de configuration du switch (création VLAN, attribution des ports, trunk). 3. Écrivez les commandes de configuration du routeur (sous‑interfaces, adressage, NAT). 4. Vérifiez que le trafic du VLAN invité peut atteindre Internet mais pas le VLAN personnel. **Corrigé** : 1. VLAN 100 = Invité (Wi‑Fi), VLAN 200 = Personnel (réservation, caméras). 2. **Switch** : ``` vlan 100 name INVITE exit vlan 200 name PERSONNEL exit interface range GigabitEthernet0/1 - 24 switchport mode access switchport access vlan 100 exit interface range GigabitEthernet0/25 - 47 switchport mode access switchport access vlan 200 exit interface GigabitEthernet0/48 ! uplink vers le routeur switchport mode trunk switchport trunk allowed vlan add 100,200 ``` 3. **Routeur** (exemple Cisco‑like) : ``` interface GigabitEthernet0/0 no shutdown ! interface GigabitEthernet0/0.100 encapsulation dot1q 100 ip address 10.0.100.1 255.255.255.0 ! interface GigabitEthernet0/0.200 encapsulation dot1q 200 ip address 10.0.200.1 255.255.255.0 ! ip routing ! interface GigabitEthernet0/1 ! WAN ip address dhcp ! ip nat inside source list 1 interface GigabitEthernet0/1 overload access-list 1 permit 10.0.0.0 0.0.255.255 ! interface GigabitEthernet0/0.100 ip nat inside ! interface GigabitEthernet0/0.200 ip nat inside ! interface GigabitEthernet0/1 ip nat outside ``` 4. **Vérification** : - Depuis un PC du VLAN 100, `ping 8.8.8.8` doit réussir (NAT appliqué). - Depuis le même PC, `ping 10.0.200.10` (adresse d’un hôte du VLAN 200) doit échouer tant qu’aucune règle de routage ou d’ACL n’autorise le trafic entre les VLAN. - Depuis un PC du VLAN 200, le même test vers 8.8.8.8 doit également réussir (le NAT est appliqué sur les deux sous‑interfaces). --- ## Erreurs fréquentes et règles de sécurité | # | Erreur fréquente | Conséquence | Règle de prévention / bonne pratique | |---|------------------|-------------|--------------------------------------| | 1 | Laisser le mot de passe d’administration du routeur sur la valeur par défaut (ex. admin/admin). | Accès non autorisé, détournement du réseau, vol de bande passante. | Changer immédiatement le mot de passe lors de la première connexion ; utiliser un gestionnaire de mots de passe si nécessaire. | | 2 | Oublier de configurer le trunk sur le switch (port en accès au lieu de trunk). | Le routeur ne voit qu’un seul VLAN ; les autres VLAN sont isolés sans possibilité de communiquer avec le WAN. | Vérifier toujours `show interfaces trunk` après configuration ; le port uplink doit être en mode trunk avec les VLAN autorisés listés. | | 3 | Dépasser la longueur maximale de 100 m pour un câble UTP Cat6 sans répéteur. | Atténuation du signal, pertes de paquets, baisse de débit, voire perte de lien. | Mesurer la longueur avant tirage ; utiliser un testeur de câble certifié ; prévoir un répéteur ou passer à la fibre si la distance dépasse 90 m. | | 4 | Attribuer deux adresses IP identiques à différents hôtes (conflit d’IP). | Perte de connectivité pour les deux appareils, messages d’erreur d’adresse en double. | Utiliser le serveur DHCP pour attribuer automatiquement les adresses ; réserver les adresses statiques hors de la plage DHCP. | | 5 | Négliger la mise à jour du firmware du routeur ou du switch. | Exposition à des vulnérabilités connues (ex. faille UPnP, faille de telnet). | Planifier une vérification mensuelle du fabricant ; appliquer les mises à jour lors des fenêtres de maintenance faibles trafic. | | 6 | Omettre de désactiver le WPS sur le routeur Wi‑Fi. | Risque d’attaque par force brute sur le code PIN WPS, permettant l’accès au réseau sans fil. | Dans l’interface Wi‑Fi, désactiver WPS ; privilégier l’authentification WPA2‑PSK ou WPA3 avec une phrase de passe complexe. | --- *Fin du cours.*