CONFIGURER UN ROUTEUR LAN/WAN

## Objectifs et prérequis **Objectifs** : À la fin de ce chapitre, l’élève sera capable de : 1. Configurer un routeur domestique (LAN/WAN) en suivant les étapes de connexion, d’attribution d’adresse IP, de mise en place du DHCP et du filtrage basique. 2. Accéder à l’interface en ligne de commande (CLI) d’un routeur Cisco, réaliser la configuration de base (hostname, mot de passe enable, adressage des interfaces, routage statique et dynamique simple) et sauvegarder la configuration. 3. Mettre en œuvre une activité d’intégration qui consiste à interconnecter deux réseaux LAN via un routeur Cisco et à vérifier la connectivité avec des outils de diagnostic (ping, traceroute). 4. Réaliser une activité de remédiation en identifiant et corrigeant les erreurs de configuration les plus fréquentes (adresse IP en double, masque incorrect, NAT non configuré, ACL mal appliqué). **Prérequis** : - Connaissance du modèle OSI et du modèle TCP/IP. - Maîtrise de l’adressage IPv4 (classes, masque de sous‑réseau, notation CIDR). - Notions de base sur les équipements réseau (switch, hub, câble RJ45, câble console). - Savoir utiliser un ordinateur avec un terminal (invite de commandes sous Windows ou Linux) et un navigateur web. --- ## Introduction contextualisée Dans les entreprises camerounaises, qu’il s’agisse d’une petite agence de télécommunication à Yaoundé ou d’un bureau administratif à Douala, la mise en place d’un réseau local fiable passe obligatoirement par la configuration d’un routeur qui assure la liaison entre le LAN interne et le WAN (Internet ou lien privé). Le routeur domestique, souvent fourni par le FAI, permet de découvrir les concepts de base (DHCP, NAT, filtrage). Le routeur Cisco, quant à lui, représente l’équipement professionnel auquel les techniciens supérieurs sont confrontés lors de l’installation de liens dédiés, de VPN ou de la mise en place de la qualité de service (QoS). Ce chapitre propose donc une progression pédagogique : d’abord la prise en main d’un équipement grand public, puis la configuration d’un routeur de gamme professionnelle, enfin la mise en pratique à travers des activités d’intégration et de remédiation qui simulent des situations réelles rencontrées sur le terrain. --- ## I. Configuration d’un routeur maison ### 1. Présentation du matériel Un routeur maison typique (ex. : TP‑Link TL‑WR841N, Netgear N300) possède : - Un port WAN (RJ45) pour le câble venant du modem ou de la prise FTTH. - Quatre ports LAN (RJ45) pour connecter les postes clients ou un switch. - Un port d’alimentation et parfois un port USB pour le partage de fichiers. - Une interface web accessible via l’adresse par défaut (souvent `192.168.0.1` ou `192.168.1.1`). > **>** Le routeur effectue la traduction d’adresses (NAT) permettant à plusieurs appareils LAN de partager une seule adresse IP publique fournie par le FAI. ### 2. Étapes de configuration | Étape | Action | Détails | |-------|--------|---------| | 1 | Connexion physique | Brancher le câble Ethernet du modem sur le port WAN. Connecter un PC à un port LAN via un câble RJ45. | | 2 | Accès à l’interface | Ouvrir un navigateur, saisir l’adresse IP par défaut (ex. : `http://192.168.1.1`). Identifier‑se avec le login/admin indiqué sur l’étiquette du routeur (souvent `admin/admin`). | | 3 | Configuration du WAN | Choisir le type de connexion (DHCP client, PPPoE, IP statique). Pour un abonnement FTTH au Cameroun, le FAI fournit généralement une adresse IP dynamique via DHCP. Saisir le nom d’utilisateur et le mot de passe PPPoE si nécessaire. | | 4 | Configuration du LAN | Définir l’adresse IP du routeur sur le LAN (ex. : `192.168.1.1/24`). Activer le serveur DHCP avec une plage d’adresses (ex. : `192.168.1.100` à `192.168.1.200`). Définir le masque de sous‑réseau (`255.255.255.0`) et la passerelle par défaut (l’adresse du routeur lui‑même). | | 5 | Sécurisation du Wi‑Fi (si applicable) | Changer le SSID, choisir un chiffrement WPA2‑PSK, définir une clé de partage forte (≥12 caractères, mélange de lettres, chiffres et symboles). Désactiver le WPS. | | 6 | Filtrage basique (optionnel) | Activer le filtrage d’adresse MAC pour autoriser uniquement les adresses connues. Créer une règle de blocage des ports entrants non utilisés (ex. : blocage du port 23 Telnet). | | 7 | Sauvegarde et redémarrage | Cliquer sur « Save Settings » puis « Reboot ». Vérifier que les voyants WAN et LAN sont stables. | | 8 | Test de connectivité | Depuis un PC client, ouvrir une invite de commande et exécuter `ping 8.8.8.8` (test vers Internet) puis `ping 192.168.1.1` (test vers la passerelle). Utiliser `tracert 8.8.8.8` pour visualiser le chemin. | > **>** Le masque de sous‑réseau `/24` équivaut à `255.255.255.0` et permet 254 adresses utilisables dans le réseau `192.168.1.0/24`. ### 3. Exemple d’atelier au lycée technique Lors d’une séance de travaux pratiques, chaque groupe reçoit un routeur TP‑Link, un câble RJ45 de 2 m, un modem FTTH simulé (un simple switch relié à un PC jouant le rôle du FAI) et deux postes clients. Les élèves suivent les étapes ci‑dessus, notent les paramètres dans un tableau de relevé et vérifient la connectivité. À la fin, ils rédigent un bref rapport indiquant : adresse IP attribuée au PC, temps de réponse moyen au ping, et éventuelles difficultés rencontrées (ex. : conflit d’adresse IP si le DHCP était désactivé). --- ## II. Configuration d’un routeur Cisco ### 1. Présentation du matériel Nous travaillerons sur un routeur Cisco série 1900 (ou 2900) équipé de : - Deux ports GigabitEthernet (GE0/0 et GE0/1) pouvant être configurés en LAN ou WAN. - Un port console (RJ45) pour la configuration initiale via un câble console et un adaptateur USB‑RS232. - Une mémoire flash contenant l’IOS (Internetwork Operating System). > **>** Le mode privilégié (`enable`) permet de modifier la configuration globale ; le mode de configuration (`configure terminal`) permet d’entrer dans les sous‑modes d’interface ou de protocole. ### 2. Connexion initiale et accès au CLI 1. Brancher le câble console entre le port console du routeur et le port USB de l’ordinateur (via un adaptateur). 2. Lancer un émulateur de terminal (PuTTY, Tera Term) avec les paramètres : 9600 bauds, 8 bits de données, aucune parité, 1 bit d’arrêt, aucun contrôle de flux. 3. Allumer le routeur. Après le séquence de démarrage, l’invite `Router>` apparaît (mode utilisateur). 4. Taper `enable` puis entrer le mot de passe enable (par défaut souvent `cisco` ou laissé vide). L’invite devient `Router#` (mode privilégié). ### 3. Configuration de base | Commande | Objectif | |----------|----------| | `hostname R1` | Donne un nom logique au routeur (ex. : `R1`). | | `enable secret classe` | Définit un mot de passe enable chiffré (MD5). | | `line console 0`<br>`password cisco`<br>`login` | Sécurise l’accès console. | | `line vty 0 15`<br>`password cisco`<br>`login`<br>`transport input ssh` | Sécurise les lignes virtuelles (Telnet/SSH) ; on autorise uniquement SSH. | | `ip domain-name example.cm` | Nécessaire pour générer les clés SSH. | | `crypto key generate rsa modulus 1024` | Génère une clé RSA de 1024 bits pour SSH. | | `ip ssh version 2` | Force l’utilisation de SSH version 2. | | `no ip http server` | Désactive l’accès HTTP non sécurisé. | | `ip http secure-server` | Active HTTPS pour l’interface web (optionnel). | > **>** La commande `enable secret` utilise un algorithme de hachage MD5 qui rend le mot de passe irréversible dans la configuration affichée. ### 4. Configuration des interfaces Supposons que GE0/0 soit relié au LAN (adresse `192.168.10.1/24`) et GE0/1 au WAN (adresse IP publique fournie par le FAI, ex. : `41.200.5.10/30`). ```text interface GigabitEthernet0/0 description LAN ip address 192.168.10.1 255.255.255.0 no shutdown exit interface GigabitEthernet0/1 description WAN ip address 41.200.5.10 255.255.255.252 no shutdown exit ``` > **>** Le masque `/30` (255.255.255.252) fournit deux adresses utilisables, idéale pour un lien point‑à‑point avec le FAI. ### 5. Configuration du routage #### 5.1 Routage statique (exemple simple) Pour atteindre un réseau distant `10.0.0.0/24` situé derrière un autre routeur, on ajoute : ```text ip route 10.0.0.0 255.255.255.0 41.200.5.9 ``` où `41.200.5.9` est l’adresse du routeur voisin côté WAN. #### 5.2 Routage dynamique (RIP version 2) – mise en place rapide ```text router rip version 2 network 192.168.10.0 network 41.0.0.0 no auto-summary exit ``` > **>** RIP v2 transmet les masques de sous‑réseau dans ses mises à jour, contrairement à RIP v1. ### 6. NAT (Network Address Translation) – traduction d’adresses pour l’accès à Internet ```text access-list 10 permit 192.168.10.0 0.0.0.255 interface GigabitEthernet0/1 ip nat outside exit interface GigabitEthernet0/0 ip nat inside exit ip nat inside source list 10 interface GigabitEthernet0/1 overload ``` - `access-list 10` définit les adresses LAN autorisées à être traduites. - `overload` (ou PAT) permet à plusieurs hôtes internes de partager l’adresse IP publique unique de l’interface WAN. > **>** Le terme *overload* désigne le PAT (Port Address Translation) qui utilise les ports TCP/UDP pour différer les flux. ### 7. Sauvegarde de la configuration ```text write memory % ou copy running-config startup-config ``` Cette commande copie la configuration volatile (running‑config) dans la mémoire non volatile (NVRAM) afin qu’elle soit rétablie après un redémarrage. ### 8. Vérification et dépannage | Commande | Utilité | |----------|---------| | `show ip interface brief` | État des interfaces (adresse, statut). | | `show ip route` | Table de routage. | | `show ip nat translations` | Table des traductions NAT en cours. | | `ping 8.8.8.8` | Test de connectivité vers Internet. | | `traceroute 8.8.8.8` | Chemin suivi par les paquets. | | `debug ip nat` (à utiliser avec précaution) | Affiche en temps réel les opérations NAT. | > **>** Toujours désactiver les débogages après utilisation avec `undebug all` pour éviter la surcharge du processeur du routeur. ### 9. Exemple d’atelier Cisco Dans le laboratoire du lycée technique, chaque binôme dispose d’un routeur Cisco 1941, d’un câble console, d’un switch Cisco 2960 et de deux PC. Les étapes suivantes sont réalisées : 1. Configuration de base (hostname, mot de passe enable, lignes vty). 2. Attribution d’adresses IP aux interfaces LAN (`192.168.20.1/24`) et WAN (`172.16.0.1/30`). 3. Mise en place du NAT overload pour permettre aux PC du LAN d’accéder à Internet via un routeur simulant le FAI (configured avec adresse `172.16.0.2/30`). 4. Vérification avec `ping` vers `8.8.8.8` depuis un PC LAN. 5. Documentation des paramètres dans un compte‑rendu de travaux pratiques. --- ## III. Activités d’intégration et de remédiation ### A. Activité d’intégration : interconnexion de deux LAN via un routeur Cisco **Objectif** : Réaliser un réseau composé de deux LAN distincts (LAN A et LAN B) reliés par un routeur Cisco, vérifier la communication inter‑LAN et mettre en place un filtrage basique avec une liste de contrôle d’accès (ACL). **Matériel** : - 2 switches Cisco 2960 (un pour chaque LAN). - 1 routeur Cisco 1941. - 4 PC (2 par LAN). - Câbles Ethernet RJ45, câble console. **Scénarisation** : - LAN A : adresse réseau `10.10.10.0/24`, passerelle `10.10.10.1` (interface GE0/0 du routeur). - LAN B : adresse réseau `10.10.20.0/24`, passerelle `10.10.20.1` (interface GE0/1 du routeur). - Le routeur effectue le routage entre les deux sous‑réseaux (aucune configuration de routage supplémentaire nécessaire si les interfaces sont directement connectées). **Étapes** : 1. Configurer les switches en mode VLAN 1 (par défaut) et connecter les PC aux ports appropriés. 2. Configurer les interfaces du routeur : ```text interface GigabitEthernet0/0 ip address 10.10.10.1 255.255.255.0 no shutdown exit interface GigabitEthernet0/1 ip address 10.10.20.1 255.255.255.0 no shutdown exit ``` 3. Vérifier la connectivité intra‑LAN (`ping` entre deux PC du même LAN). 4. Vérifier la connectivité inter‑LAN (`ping` d’un PC de LAN A vers un PC de LAN B). 5. Mettre en place une ACL standard qui interdit le trafic provenant de l’hôte `10.10.10.5` vers le LAN B : ```text access-list 10 deny host 10.10.10.5 access-list 10 permit any interface GigabitEthernet0/0 ip access-group 10 in exit ``` 6. Tester l’efficacité de l’ACL (le PC `10.10.10.5` ne doit plus pouvoir pinguer le LAN B, tandis que les autres hôtes peuvent). 7. Sauvegarder la configuration (`write memory`). > **>** Une ACL standard filtre uniquement sur l’adresse source ; une ACL étendue permettrait de filtrer sur le protocole, les ports source/destination, etc. ### B. Activité de remédiation : dépannage d’une configuration erronée **Scénario** : Un stagiaire a configuré un routeur Cisco pour fournir un accès Internet à un petit bureau, mais les utilisateurs ne parviennent pas à naviguer. Les symptômes observés : - Les PC obtiennent une adresse IP via DHCP, mais le ping vers `8.8.8.8` échoue. - Le ping vers la passerelle locale (`192.168.5.1`) fonctionne. **Étapes de dépannage** (à réaliser par les élèves) : 1. **Vérifier la configuration NAT** - `show running-config | include nat` → constater que la commande `ip nat inside source list …` manque ou que l’ACL référencée ne correspond pas au sous‑réseau LAN. 2. **Corriger l’ACL** - S’assurer que l’ACL liste bien le sous‑réseau LAN (ex. : `access-list 20 permit 192.168.5.0 0.0.0.255`). - Réappliquer la NAT : `ip nat inside source list 20 interface GigabitEthernet0/1 overload`. 3. **Vérifier le routage par défaut** - `show ip route` → vérifier la présence d’une route par défaut (`0.0.0.0 0.0.0.0`) pointant vers l’adresse du FAI sur l’interface WAN. - Si absente, ajouter : `ip route 0.0.0.0 0.0.0.0 <IP_FAI>`. 4. **Contrôler l’état des interfaces** - `show ip interface brief` → s’assurer que les deux interfaces sont `up/up`. - Si l’interface WAN est `down`, vérifier le câble et la configuration du FAI (PPPoE ou DHCP client). 5. **Test final** - Depuis un PC LAN, exécuter `ping 8.8.8.8` et `traceroute 8.8.8.8`. - Vérifier que la traduction NAT apparaît dans `show ip nat translations`. > **>** Lors du dépannage, toujours commencer par la couche physique (câbles, liens), puis remonter couche par couche (liaison, réseau, transport) selon le modèle OSI. --- ## Synthèse du chapitre - **Routeur maison** : configuration via interface web, adressage LAN (IP statique + DHCP), NAT automatique, filtrage basique (MAC, ports), sauvegarde et test avec `ping`/`traceroute`. - **Routeur Cisco** : accès CLI (console, enable), sécurisation (hostname, enable secret, lignes vty/console, SSH), adressage des interfaces, routage (statique ou RIP v2), NAT overload, sauvegarde (`write memory`), vérification (`show ip interface brief`, `show ip route`, `show ip nat translations`). - **Intégration** : interconnexion de deux LAN via un routeur, vérification de la connectivité, mise en place d’ACL standard pour filtrer le trafic. - **Remédiation** : diagnostic systématique (NAT, routage par défaut, état des interfaces, ACL) pour rétablir l’accès Internet lorsqu’une configuration est erronée. - **Sécurité** : toujours changer les mots de passe par défaut, utiliser SSH au lieu de Telnet, désactiver les services inutiles (HTTP, VTP serveur si non nécessaire), appliquer le principe du moindre privilège dans les ACL. > **>** La commande `write memory` enregistre définitivement la configuration ; sans elle, les modifications sont perdues au redémarrage. > **>** Un masque `/24` donne 254 adresses utilisables ; un masque `/30` n’en donne que deux, adapté aux liens point‑à‑point. > **>** Le NAT overload (PAT) traduit plusieurs adresses privées vers une seule adresse publique en utilisant les ports source. > **>** Toujours vérifier l’état des interfaces avec `show ip interface brief` avant de poursuivre la configuration réseau. --- ## Glossaire | Terme | Définition | |-------|------------| | **LAN** | Local Area Network, réseau local couvrant une zone restreinte (bureau, bâtiment). | | **WAN** | Wide Area Network, réseau étendu qui relie plusieurs LAN sur de grandes distances (Internet, liens privés). | | **NAT** | Network Address Translation, technique qui traduit des adresses IP privées en adresses IP publiques et vice‑versa. | | **PAT** | Port Address Translation, variante du NAT qui utilise les ports TCP/UDP pour distinguer les flux lorsqu’une seule adresse publique est utilisée. | | **ACL** | Access Control List, liste de règles qui autorise ou refuse le trafic en fonction d’adresses, de protocoles ou de ports. | | **DHCP** | Dynamic Host Configuration Protocol, protocole qui attribue automatiquement une adresse IP, un masque, une passerelle et des serveurs DNS. | | **IOS** | Internetwork Operating System, système d’exploitation propriétaire des équipements Cisco. | | **RIP** | Routing Information Protocol, protocole de routage à vecteur de distance utilisant le nombre de sauts comme métrique. | | **MTU** | Maximum Transmission Unit, taille maximale d’un paquet pouvant être transmis sur un lien sans fragmentation. | | **Console port** | Port série dédié à la configuration initiale d’un équipement réseau via un câble console et un émulateur de terminal. | | **Enable secret** | Mot de passe privilégié chiffré (MD5) permettant d’accéder au mode EXEC privilégié sur un routeur Cisco. | | **Static route** | Route définie manuellement par l’administrateur, contrairement aux routes apprises dynamiquement par un protocole de routage. | --- ## Exercices d'application corrigés ### Exercice 1 – Configuration d’un routeur maison **Consigne** : Vous disposez d’un routeur TP‑Link TL‑WR841N, d’un modem FTTH fournissant une adresse IP dynamique via DHCP, et de deux PC. Décrire la procédure complète pour permettre aux deux PC d’accéder à Internet, en incluant les étapes de connexion physique, d’accès à l’interface web, de configuration du WAN, du LAN (DHCP), du Wi‑Fi (SSID, clé WPA2‑PSK) et de vérification. **Corrigé** : 1. Brancher le câble Ethernet du modem sur le port WAN du routeur. 2. Connecter le PC 1 à un port LAN du routeur avec un câble RJ45. 3. Allumer le routeur et attendre que les voyants WAN et LAN soient fixes. 4. Ouvrir un navigateur sur le PC 1, saisir `http://192.168.0.1` (adresse par défaut indiquée sous l’appareil). 5. Se connecter avec `admin/admin` (ou les identifiants présents sur l’étiquette). 6. Dans le menu **WAN**, choisir **Connection Type = Dynamic IP (DHCP)**, appliquer. 7. Dans le menu **LAN**, définir l’adresse IP du routeur à `192.168.0.1/24`, activer le serveur DHCP avec plage `192.168.0.100 – 192.168.0.150`, masque `255.255.255.0`, passerelle `192.168.0.1`. Appliquer. 8. Dans le menu **Wireless**, changer le SSID en `LabInfo2025`, choisir **Security = WPA2‑PSK**, définir une clé de `12 caractères minimum` (ex. : `Camer00n!2025`), appliquer. 9. Enregistrer les paramètres (`Save`) puis redémarrer le routeur (`Reboot`). 10. Connecter le PC 2 en Wi‑Fi au SSID créé, saisir la clé. 11. Sur chaque PC, ouvrir une invite de commande et exécuter : - `ipconfig` (Windows) ou `ifconfig` / `ip a` (Linux) pour vérifier qu’une adresse IP du type `192.168.0.x` a été obtenue. - `ping 192.168.0.1` (test passerelle). - `ping 8.8.8.8` (test Internet). - `tracert 8.8.8.8` pour visualiser le chemin. 12. Si les pings échouent, répéter les étapes 6‑8 en vérifiant que le DHCP WAN est bien activé et que le câble modem‑routeur est bien branché. > **>** Le serveur DHCP du routeur attribue automatiquement adresse IP, masque, passerelle et DNS aux clients LAN. ### Exercice 2 – Configuration de base d’un routeur Cisco **Consigne** : Sur un routeur Cisco 1941, configurer le hostname `R_CAMPUS`, sécuriser l’accès console et les lignes vty avec le mot de passe `cisco123`, définir un enable secret `classe2025`, activer SSH version 2, configurer l’interface GigabitEthernet0/0 avec l’adresse `172.16.10.1/24` (LAN) et l’interface GigabitEthernet0/1 avec l’adresse `41.200.5.2/30` (WAN), mettre en place un routage statique vers le réseau `10.0.0.0/24` via l’adresse passerelle WAN `41.200.5.1`, sauvegarder la configuration. **Corrigé** : ``` Router> enable Router# configure terminal Router(config)# hostname R_CAMPUS R_CAMPUS(config)# enable secret classe2025 R_CAMPUS(config)# line console 0 R_CAMPUS(config-line)# password cisco123 R_CAMPUS(config-line)# login R_CAMPUS(config-line)# exit R_CAMPUS(config)# line vty 0 15 R_CAMPUS(config-line)# password cisco123 R_CAMPUS(config-line)# login R_CAMPUS(config-line)# transport input ssh R_CAMPUS(config-line)# exit R_CAMPUS(config)# ip domain-name example.cm R_CAMPUS(config)# crypto key generate rsa modulus 1024 R_CAMPUS(config)# ip ssh version 2 R_CAMPUS(config)# interface GigabitEthernet0/0 R_CAMPUS(config-if)# description LAN R_CAMPUS(config-if)# ip address 172.16.10.1 255.255.255.0 R_CAMPUS(config-if)# no shutdown R_CAMPUS(config-if)# exit R_CAMPUS(config)# interface GigabitEthernet0/1 R_CAMPUS(config-if)# description WAN R_CAMPUS(config-if)# ip address 41.200.5.2 255.255.255.252 R_CAMPUS(config-if)# no shutdown R_CAMPUS(config-if)# exit R_CAMPUS(config)# ip route 10.0.0.0 255.255.255.0 41.200.5.1 R_CAMPUS(config)# exit R_CAMPUS# write memory [OK] ``` Vérification : `show ip interface brief` doit montrer les deux interfaces avec les adresses indiquées et l’état `up/up`. `show ip route` doit contenir la ligne statique `S* 10.0.0.0/24 [1/0] via 41.200.5.1`. > **>** La commande `crypto key generate rsa modulus 1024` crée une clé RSA de 1024 bits nécessaire au fonctionnement de SSH. ### Exercice 3 – Dépannage d’une configuration NAT manquante **Consigne** : Après configuration d’un routeur Cisco, les PC du LAN (`192.168.20.0/24`) obtiennent une adresse IP mais ne parviennent pas à pinguer `8.8.8.8`. Le ping vers la passerelle locale (`192.168.20.1`) réussit. Identifier la cause la plus probable et proposer la commande de correction. **Corrigé** : - La cause la plus fréquente est l’absence ou l’erreur de la règle NAT qui traduit les adresses LAN vers l’adresse publique de l’interface WAN. - Vérifier avec `show running-config | include nat`. Si aucune ligne `ip nat inside source list …` n’apparaît, la NAT n’est pas configurée. - Correction : 1. Créer une ACL listant le sous‑réseau LAN : ```text access-list 30 permit 192.168.20.0 0.0.0.255 ``` 2. Appliquer la NAT overload sur l’interface WAN (supposée être GigabitEthernet0/1) : ```text interface GigabitEthernet0/1 ip nat outside exit interface GigabitEthernet0/0 ip nat inside exit ip nat inside source list 30 interface GigabitEthernet0/1 overload ``` 3. Sauvegarder (`write memory`) et refaire le test `ping 8.8.8.8` depuis un PC LAN. > **>** Sans NAT, les paquets provenant du LAN conservent leur adresse source privée, qui n’est pas routable sur Internet, d’où l’échec du ping vers `8.8.8.8`. --- ## Erreurs fréquentes et règles de sécurité | # | Erreur fréquente | Conséquence | Règle de prévention / bonne pratique | |---|------------------|-------------|--------------------------------------| | 1 | Oublier de définir un mot de passe enable secret (ou laisser le mot de passe par défaut). | Toute personne ayant accès au mode privilégié peut modifier la configuration, voler des données ou interrompre le service. | Toujours configurer `enable secret <mot_de_passe_fort>` et éviter les mots de passe évidents. Utiliser un gestionnaire de mots de passe si nécessaire. | | 2 | Laisser le service Telnet actif sur les lignes vty. | Le Telnet transmet les identifiants en clair ; un attaquant peut les intercepter sur le réseau local. | Désactiver Telnet (`no transport input telnet`) et n’autoriser que SSH (`transport input ssh`). Générer des clés RSA d’au moins 1024 bits. | | 3 | Configurer une adresse IP en double sur deux interfaces du même routeur. | Conflit d’adresse → perte de connectivité sur les interfaces concernées, difficultés de routage. | Vérifier avec `show ip interface brief` avant d’appliquer une nouvelle adresse ; utiliser un plan d’adressage documenté. | | 4 | Oublier de mettre l’interface en état `no shutdown` après avoir changé son adresse IP. | L’interface reste administrativement down, aucun trafic ne passe. | Après chaque modification d’adresse, exécuter `no shutdown` et vérifier l’état avec `show ip interface brief`. | | 5 | Appliquer une ACL dans le mauvais sens (ex. : `ip access-group 10 out` alors que la règle bloque le trafic entrant). | Le filtrage ne fonctionne pas comme attendu ; soit on bloque trop, soit on laisse passer du trafic indésirable. | Toujours préciser la direction (`in` ou `out`) correspondant au flux que l’on veut filtrer ; tester avec `ping` avant et après l’application. | | 6 | Négliger de sauvegarder la configuration (`write memory` ou `copy running-config startup-config`). | Après une coupure de courant ou un redémarrage, toutes les modifications sont perdues, entraînant une interruption de service. | Faire systématiquement un `write memory` après chaque série de modifications critiques ; prévoir une sauvegarde périodique sur un serveur TFTP ou FTP. | > **>** Le principe du moindre privilège s’applique aussi aux comptes réseau : créer des comptes utilisateurs avec des droits limités pour les tâches de supervision quotidienne, réservant le compte admin aux seules opérations de configuration. --- *Fin du cours.*