Exercices réseau corrigés type BTS SIO

1. Le routeur (ou un switch de niveau 3) ; un VLAN crée aussi un domaine de diffusion distinct sur un switch.
2. Le paquet en couche 3, la trame en couche 2.
3. Parce que l'adresse du réseau (bits d'hôte à 0) et l'adresse de diffusion (bits d'hôte à 1) sont réservées.
4. ipconfig /all, ligne « Serveur DHCP ».
5. NDP (Neighbor Discovery Protocol), avec les messages ICMPv6 Neighbor Solicitation et Neighbor Advertisement.
6. Un port d'accès appartient à un seul VLAN et transmet des trames sans étiquette ; un port trunk transporte plusieurs VLAN, chaque trame portant une étiquette 802.1Q.
7. La machine n'a reçu aucune réponse DHCP et s'est attribué une adresse APIPA ; elle ne peut pas joindre sa passerelle.
8. Le client n'a pas encore d'adresse et ne connaît pas le serveur : il doit diffuser sa demande, ce que seul UDP permet. Et l'échange, très court, ne justifie pas une connexion.

Le /22 couvre 172.20.0.0 à 172.20.3.255, soit 1 024 adresses. On trie par besoin décroissant et on choisit pour chacun le plus petit bloc tel que 2^h − 2 ≥ besoin.

Justifications : 301 hôtes > 254, il faut 2⁹ − 2 = 510, d'où le /23 ; 201 ≤ 254 donne le /24 ; 51 ≤ 62 donne le /26 ; 21 ≤ 30 donne le /27 ; 11 ≤ 14 donne le /28.

Blocs libres : 172.20.3.116/30, 172.20.3.120/29 et 172.20.3.128/25, soit 4 + 8 + 128 = 140 adresses.

1. Oui, VLAN 30 : dans 172.20.0.0/23, 172.20.1.0 est une adresse d'hôte ordinaire (le réseau est 172.20.0.0).
2. Oui, VLAN 30, pour la même raison : la diffusion du /23 est 172.20.1.255, pas 172.20.0.255.
3. Non : c'est la diffusion du VLAN 30.
4. Non : c'est l'adresse du réseau des serveurs (VLAN 20).
5. Oui, VLAN 99 (172.20.3.96/28, plage .97 à .110).
6. Non : c'est la diffusion du lien de transit.

Avec le masque /26, 172.20.3.70 appartient au réseau 172.20.3.64/26, alors que la passerelle 172.20.3.62 est dans 172.20.3.0/26 : l'appareil ne peut pas la joindre. En réalité, l'adresse .70 est dans le réseau des serveurs (172.20.3.64/27), pas dans celui des équipements ; c'est même l'adresse de la plateforme de formation srv-moodle (voir la partie D) : un conflit d'adresse en prime. Correction : lui donner une adresse fixe dans 172.20.3.0/26 hors de la plage DHCP (par exemple 172.20.3.50), masque 255.255.255.192, passerelle 172.20.3.62, et vérifier que son port de switch est bien dans le VLAN 40 ; mieux encore, une réservation DHCP.

1. La table d'adresses MAC du switch est pleine (8 000 sur 8 000), et presque toutes les adresses (7 741) ont été apprises sur un seul port, Gi0/12, où un seul poste est normalement branché.
2. Le switch ne peut plus apprendre de nouvelles adresses : pour toute destination inconnue, il inonde les trames sur tous les ports du VLAN, comme un hub. Chaque poste reçoit le trafic des autres, ce que voit Wireshark, et la bande passante est gaspillée, d'où la lenteur.
3. Une inondation de la table MAC (MAC flooding) : une machine sur Gi0/12 émet des trames avec des milliers d'adresses MAC source aléatoires, par exemple avec l'outil macof. Le but est souvent d'écouter le trafic.
4. Immédiat : désactiver le port Gi0/12 (shutdown), identifier la machine branchée (salle B12, prise correspondante), vider la table MAC, puis traiter l'incident avec le responsable (charte informatique, éventuelles sanctions). Préventif : activer la sécurité des ports (port security), qui limite le nombre d'adresses MAC par port (par exemple 2) et coupe le port en cas de violation ; à terme, l'authentification 802.1X.
5. En partie seulement. L'inondation reste dans le domaine de diffusion du VLAN 10 : le trafic propre au VLAN 20 (entre serveurs) n'est jamais recopié vers la salle B12. En revanche, les échanges entre les postes de la salle et les serveurs traversent le VLAN 10 jusqu'à la passerelle : ceux-là peuvent être écoutés sur Gi0/12, d'où l'intérêt de protocoles chiffrés (HTTPS, SMB 3 avec chiffrement). La segmentation limite la portée de l'attaque, elle ne la supprime pas.

srv-infra est en 172.20.3.65 (première adresse du réseau des serveurs). Avant d'écrire une règle, on repère le chemin du flux : vers les serveurs ou vers Internet, il traverse le pare-feu ; entre les VLAN 10, 30, 40 et 99, il ne traverse que le switch de cœur.

Règles du pare-feu (flux vers les serveurs et vers Internet) :

La règle 5 vient avant la règle 6 : sans elle, « toute destination » sur les ports 80 et 443 autoriserait aussi les serveurs internes (par exemple Moodle pour les apprenants). Le pare-feu étant à état, les réponses sont autorisées automatiquement. Les flux réellement nécessaires seront à ajouter après observation des journaux, une règle à la fois : le relais DHCP du switch de cœur vers srv-infra (UDP 67, sans quoi plus aucun poste n'obtient d'adresse), NTP, mises à jour, authentification au domaine.

ACL du switch de cœur (flux entre les VLAN 10, 30, 40 et 99, appliquées en entrée de leurs interfaces) :

La règle C isole les VLAN les uns des autres, ce qui interdit par exemple aux apprenants de joindre les postes ou les caméras. La règle D ne donne aucun droit : elle laisse ces flux continuer vers le pare-feu, qui applique ses propres règles. La règle B existe parce que les ACL sont sans état : sans elle, les réponses d'une session SSH ouverte depuis le VLAN 99 seraient bloquées par la règle C. L'impression depuis le VLAN 10 vers les imprimantes du VLAN 40 n'est pas demandée : à ajouter si le responsable la confirme.

1. De /48 à /64 : 16 bits, 65 536 réseaux /64.
2. VLAN 10 : 2001:db8:a7be:10::/64 ; VLAN 30 : 2001:db8:a7be:30::/64 ; VLAN 99 : 2001:db8:a7be:99::/64.
3. Le serveur est dans le VLAN 20 : 2001:db8:a7be:20::65, soit 2001:0db8:a7be:0020:0000:0000:0000:0065.
4. Des annonces de routeur (RA) contenant le préfixe 2001:db8:a7be:10::/64 avec l'autoconfiguration autorisée, et le DNS (option RDNSS, ou drapeau O avec un DHCPv6 sans état). La passerelle des postes sera l'adresse lien-local du switch de cœur, apprise par ces RA.

1. 2001:db8:a7be:30::a00:1 (zéros de tête retirés, les deux groupes nuls consécutifs remplacés par ::).
2. Adresse invalide : le :: apparaît deux fois, on ne peut pas savoir combien de groupes nuls il remplace de chaque côté.

1. C'est le DORA : Discover diffusé (le poste n'a pas d'adresse, source 0.0.0.0), Offer, Request diffusé, ACK. Le poste a obtenu 172.20.2.140 (VLAN 10).
2. Le serveur DHCP est dans un autre VLAN : le switch de cœur joue le rôle d'agent de relais. Il transmet le Discover en unicast à srv-infra, à travers le pare-feu qui doit autoriser ce flux, puis renvoie l'offre au poste depuis sa propre adresse dans le VLAN 10, 172.20.2.254. Le détail de l'offre (option DHCP Server Identifier) indique bien 172.20.3.65.
3. 172.20.3.65 est hors du réseau du poste (172.20.2.0/24) : le poste envoie le paquet à sa passerelle et n'a besoin que de l'adresse MAC de celle-ci. Il ne fait jamais d'ARP pour une machine distante.
4. Oui : la réponse de la trame 8 donne 172.20.3.70 pour moodle.aubepine.example.
5. Le poste envoie un SYN vers le port 443 de srv-moodle et ne reçoit aucune réponse : il le retransmet. Il n'y a pas non plus de RST, donc ce n'est pas un port simplement fermé : le paquet est filtré en silence (par le pare-feu, que ce flux traverse pour atteindre le VLAN des serveurs, ou par le pare-feu local du serveur), ou le serveur est arrêté, ou il ne sait pas répondre (passerelle ou masque faux sur le serveur). Vérifications : Test-NetConnection 172.20.3.70 -Port 443 depuis le poste (un ping échouerait de toute façon : la matrice n'autorise pas l'ICMP vers les serveurs) ; les journaux du pare-feu (une règle de refus pour ce flux ?) ; sur le serveur, ss -tlnp pour voir si le service écoute sur 443, et ip a et ip route pour vérifier sa configuration. D'après la matrice de la partie D, la règle 2 du pare-feu doit autoriser ce flux : son absence ou une erreur de saisie est l'hypothèse la plus probable si le serveur va bien.