CONFIGURATION D'UN ROUTEUR

## Objectifs et prérequis **À la fin de ce chapitre, l’élève sera capable de :** - réaliser le mappage physique et logique d’un réseau à partir d’un schéma ou d’une description de chantier ; - déterminer l’adressage IP approprié (masque de sous‑réseau, plage d’adresses, passerelle) selon les contraintes de nombre d’hôtes et de segmentation ; - configurer un routeur Cisco (ou équivalent) en mode CLI pour assurer la connectivité entre les sous‑réseaux définis ; - vérifier la configuration à l’aide des commandes de base (ping, traceroute, show ip route, show interfaces) ; - appliquer les règles de sécurité élémentaires (mot de passe enable, bannière, désactivation des services inutiles). **Prérequis :** - notions de base en réseaux (modèle OSI, adressage IPv4, masque de sous‑réseau) ; - connaissance du matériel de réseau (routeur, switch, câble Ethernet, console) ; - capacité à utiliser un terminal ou un émulateur de console (PuTTY, Tera Term) ; - notions de sécurité informatique élémentaires (confidentialité, intégrité, disponibilité). > **À retenir** : le mappage réseau consiste à représenter tous les équipements, leurs interconnexions et leurs adresses logiques sous forme de schéma exploitable pour la configuration. --- ### Introduction contextualisée Dans les entreprises camerounaises, qu’il s’agisse d’une agence bancaire à Yaoundé, d’un centre de santé à Douala ou d’une unité de production industrielle à Bafoussam, le routeur constitue le point de jonction entre les différents sous‑réseaux locaux et le lien vers le fournisseur d’accès Internet (FAI) ou le réseau privé virtuel (VPN) d’entreprise. Avant toute mise en service, le technicien doit réaliser un **mappage précis** du réseau afin d’éviter les conflits d’adresses, de dimensionner correctement les sous‑réseaux et de prévoir les voies de secours. Ce chapitre présente deux cas pratiques tirés du référentiel MIE : le **cas 1** (réseau simple à deux sous‑réseaux) et le **cas 2** (réseau étendu avec liaison WAN et traduction d’adresses). --- ## I. Leçon 14 : Mappage du réseau cas 1 ### A. Présentation du scénario Un petit bureau d’études situé à Ngaoundéré dispose de deux départements : **Comptabilité** (20 postes) et **Ingénierie** (35 postes). Chaque département doit être isolé logiquement tandis qu’un accès commun à Internet est fourni via un routeur relié au FAI. Le schéma physique comprend : - un routeur Cisco 1941 avec deux interfaces GigabitEthernet (G0/0 et G0/1) ; - un switch gestionnaire 24 ports pour chaque département ; - des câbles Ethernet Cat6 reliant les switches aux interfaces du routeur ; - une connexion WAN (FAI) sur l’interface Serial0/0/0 (ou une interface Ethernet dédiée selon le contrat). > **À retenir** : dans le cas 1, le routeur assure uniquement le routage entre deux sous‑réseaux LAN et la sortie vers le WAN. ### B. Étapes de mappage 1. **Recenser les équipements** : noter le modèle, le nombre de ports, l’emplacement physique. 2. **Déterminer les zones logiques** : chaque département = un VLAN logique (ou un sous‑réseau distinct si le switch ne supporte pas le VLAN). 3. **Lister les liaisons** : câbles entre switch‑routeur, routeur‑FAI, éventuels liens de redondance. 4. **Attribuer un identifiant provisoire** à chaque interface (ex. G0/0 = LAN‑Compta, G0/1 = LAN‑Ingénierie, Serial0/0/0 = WAN). ### C. Adressage IP et masque de sous‑réseau Le FAI a alloué le bloc **200.10.5.0/24** pour l’accès Internet. On réserve une adresse pour la liaison WAN (ex. 200.10.5.1/24 côté FAI, 200.10.5.2/24 côté routeur). Pour les LAN, on utilise l’espace privé **192.168.10.0/24** afin de disposer de suffisamment d’adresses. - **Département Comptabilité** : besoin de 20 hôtes → masque /27 (30 adresses utilisables). - Adresse réseau : 192.168.10.0/27 - Première adresse utilisable : 192.168.10.1 (réservée au switch de couche 2 ou à une adresse de gestion) - Dernière adresse utilisable : 192.168.10.30 - Broadcast : 192.168.10.31 - **Département Ingénierie** : besoin de 35 hôtes → masque /26 (62 adresses utilisables). - Adresse réseau : 192.168.10.32/26 - Première adresse utilisable : 192.168.10.33 (gateway du routeur) - Dernière adresse utilisable : 192.168.10.94 - Broadcast : 192.168.10.95 > **À retenir** : le calcul du masque se fait en trouvant la plus petite puissance de deux supérieure au nombre d’hôtes requis + 2 (adresse réseau et broadcast). ### D. Configuration de base du routeur (CLI) ``` Router> enable Router# configure terminal Router(config)# hostname Rtr-Bureau Rtr-Bureau(config)# enable secret Cisco123! Rtr-Bureau(config)# banner motd # Autorisé uniquement au personnel technique # Rtr-Bureau(config)# no ip domain-lookup Rtr-Bureau(config)# line console 0 Rtr-Bureau(config-line)# password ConsolePass Rtr-Bureau(config-line)# login Rtr-Bureau(config-line)# exit Rtr-Bureau(config)# line vty 0 4 Rtr-Bureau(config-line)# password VtyPass Rtr-Bureau(config-line)# login Rtr-Bureau(config-line)# exit ``` **Configuration des interfaces** : ``` Rtr-Bureau(config)# interface GigabitEthernet0/0 Rtr-Bureau(config-if)# description LAN-Compta Rtr-Bureau(config-if)# ip address 192.168.10.1 255.255.255.224 Rtr-Bureau(config-if)# no shutdown Rtr-Bureau(config-if)# exit Rtr-Bureau(config)# interface GigabitEthernet0/1 Rtr-Bureau(config-if)# description LAN-Ingénierie Rtr-Bureau(config-if)# ip address 192.168.10.33 255.255.255.192 Rtr-Bureau(config-if)# no shutdown Rtr-Bureau(config-if)# exit Rtr-Bureau(config)# interface Serial0/0/0 Rtr-Bureau(config-if)# description WAN-FAI Rtr-Bureau(config-if)# ip address 200.10.5.2 255.255.255.0 Rtr-Bureau(config-if)# clock rate 64000 ; si liaison DCE Rtr-Bureau(config-if)# no shutdown Rtr-Bureau(config-if)# exit ``` **Routing par défaut vers le FAI** : ``` Rtr-Bureau(config)# ip route 0.0.0.0 0.0.0.0 200.10.5.1 ``` **Sauvegarde** : ``` Rtr-Bureau# write memory ``` > **À retenir** : chaque interface doit posséder une adresse IP appartenant au sous‑réseau auquel elle est connectée ; le masque doit correspondre exactement à celui calculé lors du mappage. ### E. Vérification et tests - `show ip interface brief` → vérifier que les interfaces sont **up/up**. - `ping 192.168.10.10` depuis un poste du département Comptabilité → réponse attendue. - `ping 200.10.5.1` (gateway FAI) → confirme la sortie WAN. - `traceroute 8.8.8.8` → vérifier le chemin vers Internet. - `show ip route` → doit afficher les routes C (connectées) pour 192.168.10.0/27, 192.168.10.32/26 et S* 0.0.0.0/0 vers 200.10.5.1. > **À retenir** : la commande `show ip route` est l’outil de validation ultime du routage statique et des routes directement connectées. --- ## II. Leçon 15 : Mappage du réseau cas 2 ### A. Scénario élargi Une entreprise de télécommunications possède trois sites : **Siège** (Douala), **Antenne régionale** (Garoua) et **Bureau de liaison** (Yaoundé). Chaque site dispose d’un LAN local (entre 50 et 120 postes) et les sites sont interconnectés par des liaisons WAN louées auprès de l’opérateur Camtel (liaisons dédiées 2 Mbps chacune). Le routeur de chaque site doit assurer : - le routage interne entre ses VLANs (VoIP, données, gestion) ; - le routage vers les autres sites via les liaisons WAN ; - la traduction d’adresses (NAT) pour l’accès Internet commun via le siège. > **À retenir** : le cas 2 introduit la notion de **routage inter‑sites** et de **NAT/PAT** pour partager une seule adresse publique. ### B. Subnetting avancé (VLSM) Le siège a reçu le bloc **172.16.0.0/16** de l’adresse privée de l’entreprise. On doit le répartir efficacement entre les trois sites et les différents VLANs. | Site / VLAN | Nombre d’hôtes requis | Masque choisi | Sous‑réseau obtenu | Première adresse utilisable | Dernière adresse utilisable | |----------------------|-----------------------|---------------|--------------------|-----------------------------|-----------------------------| | Siège – Données | 100 | /25 (254) | 172.16.0.0/25 | 172.16.0.1 | 172.16.0.254 | | Siège – VoIP | 30 | /27 (30) | 172.16.0.128/27 | 172.16.0.129 | 172.16.0.158 | | Siège – Gestion | 10 | /28 (14) | 172.16.0.160/28 | 172.16.0.161 | 172.16.0.174 | | Antenne – Données | 80 | /25 (254) | 172.16.1.0/25 | 172.16.1.1 | 172.16.1.254 | | Antenne – VoIP | 20 | /26 (62) | 172.16.1.128/26 | 172.16.1.129 | 172.16.1.190 | | Bureau – Données | 60 | /26 (62) | 172.16.2.0/26 | 172.16.2.1 | 172.16.2.62 | | Bureau – VoIP | 15 | /27 (30) | 172.16.2.64/27 | 172.16.2.65 | 172.16.2.94 | | Liaison WAN Siège‑Antenne | 2 (point‑à‑point) | /30 (2) | 172.16.100.0/30 | 172.16.100.1 | 172.16.100.2 | | Liaison WAN Siège‑Bureau | 2 | /30 | 172.16.100.4/30 | 172.16.100.5 | 172.16.100.6 | | Liaison WAN Antenne‑Bureau | 2 | /30 | 172.16.100.8/30 | 172.16.100.9 | 172.16.100.10 | > **À retenir** : le VLSM permet d’allouer des sous‑réseaux de tailles différentes afin de minimiser le gaspillage d’adresses IP. ### C. Configuration des interfaces, NAT et routage statique Nous détaillons la configuration du **routeur du siège** (modèle Cisco 2901). Les autres sites suivent le même principe, en adaptant les adresses. **1. Configuration de base (hostname, secret, bannière, lignes)** – identique à la leçon 14. **2. Interfaces LAN** : ``` interface GigabitEthernet0/0 description LAN-Donnees-Siège ip address 172.16.0.1 255.255.255.128 no shutdown exit interface GigabitEthernet0/1 description LAN-VoIP-Siège ip address 172.16.0.129 255.255.255.224 no shutdown exit interface GigabitEthernet0/2 description LAN-Gestion-Siège ip address 172.16.0.161 255.255.255.240 no shutdown exit ``` **3. Interfaces WAN (point‑à‑point)** : ``` interface Serial0/0/0 description WAN-Siège-Antenne ip address 172.16.100.1 255.255.255.252 clock rate 2000000 ; 2 Mbps no shutdown exit interface Serial0/1/0 description WAN-Siège-Bureau ip address 172.16.100.5 255.255.255.252 clock rate 2000000 no shutdown exit ``` **4. NAT (PAT) pour l’accès Internet** : le siège possède une adresse publique fournie par le FAI, disons **41.200.10.10**. ``` access-list 10 permit 172.16.0.0 0.0.0.255 ; LAN siège access-list 10 permit 172.16.1.0 0.0.0.255 ; LAN antenne access-list 10 permit 172.16.2.0 0.0.0.255 ; LAN bureau ip nat inside source list 10 interface GigabitEthernet0/3 overload ``` **5. Déclaration des interfaces NAT** : ``` interface GigabitEthernet0/3 description Internet-FAI ip address 41.200.10.10 255.255.255.252 ip nat outside no shutdown exit interface GigabitEthernet0/0 ip nat inside exit interface GigabitEthernet0/1 ip nat inside exit interface GigabitEthernet0/2 ip nat inside exit interface Serial0/0/0 ip nat inside exit interface Serial0/1/0 ip nat inside exit ``` **6. Routage statique inter‑sites** : ``` ip route 172.16.1.0 255.255.192.0 172.16.100.2 ; vers Antenne (VoIP+Données) via Serial0/0/0 ip route 172.16.2.0 255.255.224.0 172.16.100.6 ; vers Bureau (VoIP+Données) via Serial0/1/0 ``` **7. Routage par défaut vers Internet** : ``` ip route 0.0.0.0 0.0.0.0 41.200.10.9 ``` **8. Sauvegarde** : `write memory`. > **À retenir** : la commande `ip nat inside source list <acl> interface <if> overload` réalise le PAT (adresse source traduite vers l’adresse de l’interface extérieure). ### D. Sécurité de base (liste de contrôle d’accès simple) Pour limiter l’accès au telnet depuis l’extérieur : ``` access-list 90 deny any any log access-list 90 permit tcp any host 41.200.10.10 eq 22 ; SSH uniquement line vty 0 4 access-class 90 in transport input ssh exit ``` > **À retenir** : appliquer une ACL d’entrée sur les lignes VTY réduit fortement le risque d’accès non autorisé. ### E. Validation - `show ip nat translations` → voir les entrées dynamiques créées par le PAT. - `show ip route` → vérifier les routes statiques vers les sites distants et la route par défaut. - `ping 172.16.1.10` depuis un poste du siège → réponse via la liaison WAN. - `ping 41.200.10.10` depuis un poste du bureau → confirme que le NAT fonctionne. - `show access-lists` → confirmer que seules les connexions SSH sont autorisées depuis l’extérieur. > **À retenir** : la combinaison `show ip nat translations` + `show ip route` permet de valider simultanément la traduction d’adresses et le routage. --- ## Synthèse du chapitre - **Mappage réseau** : recensement physique, identification des zones logiques, attribution d’adresses provisoires. - **Adressage** : calcul du masque selon le nombre d’hôtes (formule : 2ⁿ − 2 ≥ hôtes requis). - **Configuration routeur** : hostname, secret, bannière, lignes console/VTY, adressage des interfaces, `no shutdown`. - **Routing statique** : `ip route <réseau> <masque> <adhop>` ; route par défaut `0.0.0.0 0.0.0.0 <gateway>`. - **VLSM** : répartition efficace d’un bloc d’adresses privées entre plusieurs sites et services. - **NAT/PAT** : `ip nat inside source list <acl> interface <if> overload` pour partager une adresse publique. - **Sécurité de base** : secret enable, bannière, mot de passe console/VTY, désactivation des services inutiles, ACL sur VTY. - **Vérification** : `show ip interface brief`, `show ip route`, `show ip nat translations`, `ping`, `traceroute`, `show access-lists`. > **À retenir** : chaque étape du mappage doit être documentée (tableau d’adressage) avant toute configuration afin d’éviter les conflits et de faciliter le dépannage. --- ## Glossaire | Terme | Définition | |-------|------------| | **Mappage réseau** | Représentation schématique des équipements, de leurs interconnexions et de leurs adresses logiques. | | **VLSM** (Variable Length Subnet Mask) | Technique permettant d’utiliser des masques de sous‑réseau de tailles différentes au sein d’un même bloc d’adresses. | | **NAT** (Network Address Translation) | Méthode qui traduit des adresses IP privées en adresses IP publiques (et vice‑versa). | | **PAT** (Port Address Translation) | Variante du NAT qui traduit également les ports sources, permettant à plusieurs hôtes de partager une seule adresse publique. | | **Route statique** | Entrée de routage manuellement configurée dans la table de routage d’un routeur. | | **Adresse de broadcast** | Adresse spéciale d’un sous‑réseau utilisée pour envoyer un frame à tous les hôtes du sous‑réseau. | | **Gateway** (passerelle) | Adresse IP du routeur qui sert de point de sortie vers un autre réseau ou vers Internet. | | **ACL** (Access Control List) | Liste de règles qui filtrent le trafic entrant ou sortant selon des critères d’adresse, de protocole ou de port. | | **Interface logique** | Interface configurée sur un routeur ou un switch qui n’a pas de correspondance physique directe (ex. VLAN, loopback). | | **Loopback** | Interface virtuelle utilisée pour des tests, la gestion ou comme adresse de routage stable. | --- ## Exercices d'application corrigés ### Exercice 1 – Cas 1 **Consigne** : Un petit atelier de menuiserie à Bertoua possède deux services : **Stock** (15 postes) et **Conception** (25 postes). Le FAI a fourni l’adresse publique **41.200.5.5/30** pour la liaison WAN. L’adresse privée disponible est **10.0.0.0/16**. 1. Déterminer les masques de sous‑réseau appropriés pour chaque service en utilisant le VLSM. 2. Proposer un schéma d’adressage complet (adresse réseau, première et dernière adresse utilisable, broadcast). 3. Écrire les commandes de configuration de base du routeur (hostname, secret, interfaces LAN et WAN, routage par défaut). **Corrigé** : 1. **Calcul du masque** - Stock : 15 hôtes → besoin de 2ⁿ − 2 ≥ 15 → n=5 → masque /27 (30 adresses). - Conception : 25 hôtes → 2ⁿ − 2 ≥ 25 → n=5 → masque /27 également (on peut aussi utiliser /26 si on veut plus de marge, mais /27 suffit). Pour éviter le gaspillage, on peut attribuer : - Stock : 10.0.0.0/27 - Conception : 10.0.0.32/27 Le reste de l’espace 10.0.0.64/26 reste disponible pour de futurs services. 2. **Schéma d’adressage** | Service | Adresse réseau | Masque | Première .usable | Dernière .usable | Broadcast | |-----------|----------------|-----------------|------------------|------------------|-----------| | Stock | 10.0.0.0 | 255.255.255.224 | 10.0.0.1 | 10.0.0.30 | 10.0.0.31 | | Conception| 10.0.0.32 | 255.255.255.224 | 10.0.0.33 | 10.0.0.62 | 10.0.0.63 | | WAN (FAI) | 41.200.5.4 | 255.255.255.252 | 41.200.5.5 | 41.200.5.6 | 41.200.5.7 | 3. **Configuration du routeur** ``` Router> enable Router# configure terminal Router(config)# hostname Rtr-Atelier Rtr-Atelier(config)# enable secret Atelier2025! Rtr-Atelier(config)# banner motd # Accès réservé au personnel technique # Rtr-Atelier(config)# line console 0 Rtr-Atelier(config-line)# password consolePass Rtr-Atelier(config-line)# login Rtr-Atelier(config-line)# exit Rtr-Atelier(config)# line vty 0 4 Rtr-Atelier(config-line)# password vtyPass Rtr-Atelier(config-line)# login Rtr-Atelier(config-line)# exit ! Interfaces LAN Rtr-Atelier(config)# interface GigabitEthernet0/0 Rtr-Atelier(config-if)# description LAN-Stock Rtr-Atelier(config-if)# ip address 10.0.0.1 255.255.255.224 Rtr-Atelier(config-if)# no shutdown Rtr-Atelier(config-if)# exit Rtr-Atelier(config)# interface GigabitEthernet0/1 Rtr-Atelier(config-if)# description LAN-Conception Rtr-Atelier(config-if)# ip address 10.0.0.33 255.255.255.224 Rtr-Atelier(config-if)# no shutdown Rtr-Atelier(config-if)# exit ! Interface WAN (FAI) Rtr-Atelier(config)# interface GigabitEthernet0/2 Rtr-Atelier(config-if)# description WAN-FAI Rtr-Atelier(config-if)# ip address 41.200.5.5 255.255.255.252 Rtr-Atelier(config-if)# no shutdown Rtr-Atelier(config-if)# exit ! Routage par défaut vers le FAI Rtr-Atelier(config)# ip route 0.0.0.0 0.0.0.0 41.200.5.4 ! Sauvegarde Rtr-Atelier# write memory ``` --- ### Exercice 2 – Cas 2 **Consigne** : Une ONG basée à Yaoundé gère trois antennes : **Yaoundé** (centre administratif, 40 postes), **Garoua** (centre de santé, 30 postes) et **Maroua** (centre de formation, 20 postes). Chaque antenne possède un lien WAN de 1 Mbps vers le siège à Yaoundé. Le siège dispose de l’adresse publique **202.12.45.10/30** fournie par le FAI. L’espace privé attribué est **172.18.0.0/16**. 1. Réaliser un plan d’adressage VLSM pour les LAN de chaque antenne (prévoir un sous‑réseau pour la voixIP de 10 postes dans chaque site). 2. Décrire les étapes de configuration du routeur du siège (interfaces LAN, interfaces WAN, NAT overload, routage statique vers chaque antenne, ACL limitant l’accès SSH au seul adresse du siège). 3. Vérifier la connectivité entre le poste 172.18.10.5 (Yaoundé, voixIP) et le poste 172.18.20.12 (Maroua, données) en indiquant les commandes à utiliser. **Corrigé** : 1. **Plan d’adressage VLSM** - **Yaoundé – données** : 40 hôtes → besoin de 2ⁿ − 2 ≥ 40 → n=6 → masque /26 (62 adresses). - **Yaoundé – voixIP** : 10 hôtes → n=4 → masque /28 (14 adresses). - **Garoua – données** : 30 hôtes → /26 (62). - **Garoua – voixIP** : 10 → /28. - **Maroua – données** : 20 hôtes → /26 (on peut prendre /26 pour uniformiser, mais on peut aussi prendre /25 si on veut plus de marge ; on garde /26). - **Maroua – voixIP** : 10 → /28. On commence à attribuer à partir de 172.18.0.0 : | Site / Service | Adresse réseau | Masque | Première .usable | Dernière .usable | Broadcast | |------------------|----------------|-----------------|------------------|------------------|-----------| | Yaoundé – données| 172.18.0.0 | 255.255.255.192 | 172.18.0.1 | 172.18.0.62 | 172.18.0.63 | | Yaoundé – voixIP | 172.18.0.64 | 255.255.255.240 | 172.18.0.65 | 172.18.0.78 | 172.18.0.79 | | Garoua – données | 172.18.0.80 | 255.255.255.192 | 172.18.0.81 | 172.18.0.142 | 172.18.0.143 | | Garoua – voixIP | 172.18.0.144 | 255.255.255.240 | 172.18.0.145 | 172.18.0.158 | 172.18.0.159 | | Maroua – données | 172.18.0.160 | 255.255.255.192 | 172.18.0.161 | 172.18.0.222 | 172.18.0.223 | | Maroua – voixIP | 172.18.0.224 | 255.255.255.240 | 172.18.0.225 | 172.18.0.238 | 172.18.0.239 | Le reste de l’espace (à partir de **172.18.0.240/24** et l’ensemble du bloc **172.18.1.0/24** à **172.18.255.255**) reste réservé pour des extensions ou des liens de secours. 2. **Configuration du routeur du siège** (modèle Cisco 2901) ``` Router> enable Router# configure terminal Router(config)# hostname Rtr-Siège Rtr-Siège(config)# enable secret Siege2025! Rtr-Siège(config)# banner motd # Accès réservé au personnel autorisé # Rtr-Siège(config)# line console 0 Rtr-Siège(config-line)# password consolePass Rtr-Siège(config-line)# login Rtr-Siège(config-line)# exit Router(config)# line vty 0 4 Router(config-line)# password vtyPass Router(config-line)# login Router(config-line)# exit ! --- Interfaces LAN du siège (Yaoundé) --- Router(config)# interface GigabitEthernet0/0 Router(config-if)# description LAN-Donnees-Yaoundé Router(config-if)# ip address 172.18.0.1 255.255.255.192 Router(config-if)# ip nat inside Router(config-if)# no shutdown Router(config-if)# exit Router(config)# interface GigabitEthernet0/1 Router(config-if)# description LAN-VoIP-Yaoundé Router(config-if)# ip address 172.18.0.65 255.255.255.240 Router(config-if)# ip nat inside Router(config-if)# no shutdown Router(config-if)# exit ! --- Interface WAN vers Internet --- Router(config)# interface GigabitEthernet0/2 Router(config-if)# description Internet-FAI Router(config-if)# ip address 202.12.45.10 255.255.255.252 Router(config-if)# ip nat outside Router(config-if)# no shutdown Router(config-if)# exit ! --- Interfaces WAN point‑à‑point (1 Mbps) --- Router(config)# interface Serial0/0/0 Router(config-if)# description WAN-Siège-Garoua Router(config-if)# ip address 172.18.100.1 255.255.255.252 Router(config-if)# ip nat inside Router(config-if)# clock rate 1000000 ; 1 Mbps Router(config-if)# no shutdown Router(config-if)# exit Router(config)# interface Serial0/1/0 Router(config-if)# description WAN-Siège-Maroua Router(config-if)# ip address 172.18.100.5 255.255.255.252 Router(config-if)# ip nat inside Router(config-if)# clock rate 1000000 Router(config-if)# no shutdown Router(config-if)# exit ! --- NAT overload pour l’accès Internet --- Router(config)# access-list 20 permit 172.18.0.0 0.0.3.255 ; tout le LAN du siège et des antennes Router(config)# ip nat inside source list 20 interface GigabitEthernet0/2 overload ! --- Routage statique vers les antennes --- Router(config)# ip route 172.18.0.80 255.255.255.192 172.18.100.2 ; vers Garoua données Router(config)# ip route 172.18.0.144 255.255.255.240 172.18.100.2 ; vers Garoua voixIP Router(config)# ip route 172.18.0.160 255.255.255.192 172.18.100.6 ; vers Maroua données Router(config)# ip route 172.18.0.224 255.255.255.240 172.18.100.6 ; vers Maroua voixIP ! --- Routage par défaut vers Internet --- Router(config)# ip route 0.0.0.0 0.0.0.0 202.12.45.9 ! --- Sécurisation de l’accès SSH uniquement depuis l’adresse du siège --- Router(config)# access-list 95 permit host 202.12.45.10 any Router(config)# line vty 0 4 Router(config-line)# access-class 95 in Router(config-line)# transport input ssh Router(config-line)# exit ! --- Sauvegarde --- Router# write memory ``` 3. **Vérification de la connectivité** Depuis un poste Yaoundé (voixIP) avec l’adresse **172.18.0.65** : ``` ping 172.18.0.161 ``` On doit obtenir une réponse (le paquet traverse le siège, puis la liaison WAN vers Maroua). Pour voir le chemin : ``` traceroute 172.18.0.161 ``` On devrait voir les sauts : poste Yaoundé → interface LAN du siège → interface Serial0/1/0 (WAN Maroua) → LAN Maroua. Enfin, vérifier la table NAT : ``` show ip nat translations ``` On doit voir une entrée traduisant l’adresse source 172.18.0.65 vers l’adresse publique 202.12.45.10 avec un port source aléatoire. > **À retenir** : la combinaison `ping` + `traceroute` + `show ip nat translations` permet de valider simultanément la couche 3 (routage), la couche 2.5 (NAT) et la couche 4 (ports). --- ## Erreurs fréquentes et règles de sécurité | # | Erreur fréquente | Conséquence | Règle de prévention / bonne pratique | |---|------------------|-------------|--------------------------------------| | 1 | Oublier de mettre `no shutdown` sur une interface configurée. | L’interface reste administrativement down → aucune communication. | Toujours vérifier avec `show ip interface brief` après chaque configuration d’interface. | | 2 | Utiliser un masque trop grand (ex. /24 au lieu de /27) pour un petit sous‑réseau. | Gaspillage d’adresses, risque de chevauchement avec d’autres sous‑réseaux. | Appliquer le VLSM : calculer le masque exact selon le nombre d’hôtes requis + 2 (réseau + broadcast). | | 3 | Configurer deux interfaces avec la même adresse IP (conflit d’IP). | Les deux interfaces ne fonctionnent pas correctement, perte de paquets. | Tenir un tableau d’adressage à jour et le consulter avant chaque attribution. | | 4 | Laisser les services inutiles activés (telnet, finger, HTTP) sur les lignes VTY. | Exposition à des attaques de type brute‑force ou découverte d’informations. | Désactiver les services non nécessaires (`no service tcp-small-servers`, `no service udp-small-servers`) et n’autoriser que SSH avec ACL restrictive. | | 5 | Oublier de définir une route par défaut ou de la pointer vers une adresse inexistante. | Aucun trafic ne peut quitter le réseau local vers Internet ou d’autres sites. | Toujours vérifier la présence d’une route `0.0.0.0 0.0.0.0 <next-hop>` et tester avec `ping <adresse publique>`. | | 6 | Appliquer une ACL dans le mauvais sens (in au lieu de out ou vice‑versa) sur une interface. | Le trafic attendu est bloqué ou le trafic indésirable est autorisé. | Tester l’ACL avec `show access-lists` et vérifier le sens d’application (`ip access-group <num> in|out`). | > **À retenir** : la rigueur dans la documentation (tableau d’adressage, journal de modifications) et la vérification systématique après chaque commande sont les meilleures défenses contre les erreurs de configuration. --- *Fin du cours.*