- Initialisation et Gestion à Distance des Équipements
Lors du déploiement d'infrastructure réseau, la première étape consiste à sécuriser l'accès aux équipements (commutateurs et routeurs) et à désactiver les journaux d'événements sur la console pour une meilleure lisibilité. Voici la configuration standardisée pour activer l'accès Telnet avec une authentification par mot de passe sur un commutateur de distribution.
system-view
sysname Core-Switch-A
undo info-center loghost source
user-interface console 0
idle-timeout 0 0
user-interface vty 0 4
authentication-mode password
user privilege level 15
set authentication password cipher SecureP@ssw0rd2023
Depuis un équipement client du même réseau d'administration (par exemple, 10.0.1.2/24), la connexion s'effectue via la commande telnet 10.0.1.1.
- Segmentation et Commutation de Couche 2
L'isolation des domaines de diffusion (broadcast) s'effectue par la création de réseaux locaux virtuels (VLAN). Pour empêcher la communication directe entre différents départements hébergés sur le même commutateur d'accès, chaque port est asigné à un VLAN distinct.
vlan batch 100 200
interface GigabitEthernet 0/0/1
port link-type access
port default vlan 100
interface GigabitEthernet 0/0/2
port link-type access
port default vlan 200
Pour transporter le trafic de plusieurs VLANs entre deux commutateurs, les liens d'interconnexion doivent être configurés en mode Trunk, en spécifiant explicitement les identifiants autorisés à transiter.
interface GigabitEthernet 0/0/24
port link-type trunk
port trunk allow-pass vlan 100 200
- Agrégation de Liens (Eth-Trunk)
Pour augmenter la bande passante et offrir de la redondance physiqeu, les interfaces sont regroupées en un canal logique. L'agrégation peut être opérée en couche 2 ou en couche 3.
Agrégation de Couche 2
interface Eth-Trunk 1
port link-type trunk
port trunk allow-pass vlan all
interface GigabitEthernet 0/0/3
eth-trunk 1
interface GigabitEthernet 0/0/4
eth-trunk 1
Agrégation de Couche 3
Sur les commutateurs centraux (comme la série CE), l'interface d'agrégation doit être convertie en port routé pour recevoir une adresse IP.
interface Eth-Trunk 10
undo portswitch
ip address 172.16.50.1 255.255.255.252
- Routage Inter-VLAN
La communication entre réseaux isolés nécessite un dispositif de couche 3. Deux approches sont couramment utilisées : le routeur sur un stick (Single-Arm) et les interfaces virtuelles de commutateur (SVI).
Routeur sur un Stick (Sous-interfaces 802.1Q)
Une seule interface physique du routeur est divisée en sous-interfaces logiques, chacune agissant comme passerelle pour un VLAN spécifique.
interface GigabitEthernet 0/0/0.100
dot1q termination vid 100
ip address 10.0.100.254 255.255.255.0
arp broadcast enable
interface GigabitEthernet 0/0/0.200
dot1q termination vid 200
ip address 10.0.200.254 255.255.255.0
arp broadcast enable
Commutateur de Couche 3 (SVI)
interface Vlanif 100
ip address 10.0.100.1 24
interface Vlanif 200
ip address 10.0.200.1 24
- Routage Statique et Redondance de Chemins
Les routes statiques dirigent le trafic vers des destinations connues. Pour assurer la continuité de service en cas de panne d'un lien principal, une route statique flottante est configurée avec une préférence administrative supérieure (valeur numérique plus élevée).
# Route principale vers le réseau 10.0.50.0/24
ip route-static 10.0.50.0 255.255.255.0 172.16.10.2
# Route de secours (Flottante) via un lien de moindre capacité
ip route-static 10.0.50.0 255.255.255.0 172.16.20.2 preference 80
Une route par défaut est utilisée pour acheminer tout trafic dont la destination n'est pas explicitement connue dans la table de routage, généralement vers un fournisseur d'accès Internet.
ip route-static 0.0.0.0 0.0.0.0 203.0.113.1
- Protocoles de Routage Dynamique
RIP (Routing Information Protocol)
Pour des topologies simples, RIP version 2 est activé avec la désactivation de l'auto-résumé pour supporter le routage sans classe (CIDR).
rip 1
version 2
undo summary
network 10.0.0.0
network 172.16.0.0
OSPF (Open Shortest Path First) Multi-Area
OSPF segmente le réseau en zones pour optimiser la base de données d'état de liens. La zone 0 (Bakcbone) est obligatoire. Les routeurs frontières de zone (ABR) connectent les zones secondaires à l'épine dorsale.
ospf 1 router-id 10.255.255.1
area 0.0.0.0
network 172.16.0.0 0.0.0.255
area 0.0.0.1
network 10.0.100.0 0.0.0.255
stub no-summary # Configure la zone 1 comme Totally Stubby
Si une zone n'est pas physiquement connectée à la zone 0, un lien virtuel (Virtual Link) peut être établi à travers une zone de transit.
area 0.0.0.2
vlink-peer 10.255.255.4
Redistribution de Routes
Pour interconnecter des domaines de routage hétérogènes, les routes RIP peuvent être injectées dans OSPF et inversement.
ospf 1
import-route rip 1 cost 50 type 2
rip 1
import-route ospf 1 cost 5
default-route originate
- Services DHCP et Relais
Un commutateur de couche 3 peut agir comme serveur DHCP. L'allocation peut être basée sur l'interface (le sous-réseau de l'interface SVI) ou sur un pool global défini indépendamment.
dhcp enable
ip pool VLAN200_POOL
network 10.0.200.0 mask 255.255.255.0
gateway-list 10.0.200.1
dns-list 8.8.4.4 1.1.1.1
lease day 3
interface Vlanif 200
dhcp select global
Lorsque le serveur DHCP centralisé se trouve dans un autre sous-réseau, le commutateur local doit être configuré en tant qu'agent Relais DHCP.
interface Vlanif 100
dhcp select relay
dhcp relay server-ip 10.250.250.10
- Haute Disponibilité avec VRRP
Le Virtual Router Redundancy Protocol permet à deux commutateurs de partager une passerelle par défaut virtuelle. L'équipement avec la priorité la plus élevée devient le Maître.
interface Vlanif 100
ip address 10.0.100.2 24
vrrp vrid 10 virtual-ip 10.0.100.1
vrrp vrid 10 priority 120
vrrp vrid 10 track interface GigabitEthernet 0/0/24 reduced 40
La fonction de suivi d'interface (track) réduit automatiquement la priorité VRRP si le lien vers le cœur de réseau tombe en panne, déclenchant un basculement vers l'équipement de secours.
- Sécurité et Filtrage ACL
Les Listes de Contrôle d'Accès (ACL) filtrent le trafic au niveau des interfaces. Les ACL basiques (2000-2999) filtrent par adresse source, tandis que les ACL avancées (3000-3999) inspectent les protocoles et les ports.
acl number 3001
rule 5 deny tcp source 10.0.100.0 0.0.0.255 destination 172.16.50.0 0.0.0.255 destination-port eq 22
rule 10 permit ip
interface GigabitEthernet 0/0/1
traffic-filter inbound acl 3001
- Translation d'Adresses Réseau (NAT)
Le NAT masque les adresses privées du réseau local lorsqu'elles communiquent avec des réseaux publics.
NAT Statique
Une correspondance bi-univoque fixe est établie pour exposer un serveur interne.
interface GigabitEthernet 0/0/1
nat static global 198.51.100.50 inside 10.0.100.50 netmask 255.255.255.255
NAT Dynamique (PAT)
Un groupe d'adresses publiques est utilisé pour traduire les requêtes de plusieurs utilisateurs internes, définis par une ACL.
nat address-group PUBLIC_POOL 198.51.100.10 198.51.100.15
acl number 2005
rule 5 permit source 10.0.0.0 0.0.255.255
interface GigabitEthernet 0/0/1
nat outbound 2005 address-group PUBLIC_POOL
Easy IP
Lorsque le routeur ne dispose que d'une seule adresse IP publique attribuée dynamiquement sur son interface de sortie, Easy IP surcharge cette interface pour toutes les traductions.
acl number 2010
rule 5 permit source 10.0.0.0 0.0.255.255
interface GigabitEthernet 0/0/2
nat outbound 2010