Sauvegarde, NTP, syslog, SNMPv3 et sécurité des ports

Administrer un parc de switchs et de routeurs, c'est d'abord leur donner la bonne heure (NTP), envoyer leurs journaux vers un serveur central (syslog), les superviser de façon sécurisée (SNMPv3), sauvegarder leurs configurations hors des équipements, et durcir leurs ports. Ce chapitre configure tout cela sur les équipements de Sorbier, explique comment restaurer une configuration, et résume la sécurité de couche 2, détaillée dans le cours de cybersécurité.

Pourquoi tout ça compte

Un mardi à 14 h 32, les postes du premier étage perdent le réseau quelques secondes. Pour comprendre, il faut les journaux de SW-ETAGE1, de SW-COEUR et du serveur DHCP, sur la même échelle de temps, conservés ailleurs que sur les équipements (un switch qui redémarre perd ses journaux en mémoire). Et si le switch est à remplacer, il faut sa configuration de la veille. Ces trois besoins (l'heure, les journaux, les sauvegardes) font la différence entre un incident résolu en dix minutes et une journée perdue. À l'E7 SISR, ils reviennent dans les questions sur la détection et la preuve.

L'heure : NTP

Chaque équipement a une horloge, qui dérive et repart souvent du 1er mars 1993 après une coupure de courant. NTP (Network Time Protocol, UDP 123) la synchronise sur un serveur de temps. Chez Sorbier, srv-ad (192.168.10.177) fait serveur de temps pour le domaine, lui-même synchronisé sur des serveurs publics.

SW-COEUR(config)# clock timezone CET 1 0
SW-COEUR(config)# clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
SW-COEUR(config)# ntp server 192.168.10.177
SW-COEUR(config)# ntp source Vlan99

• clock timezone CET 1 0 : heure d'Europe centrale, UTC + 1 ;
• clock summer-time … recurring : le passage à l'heure d'été, du dernier dimanche de mars à 2 h au dernier dimanche d'octobre à 3 h ;
• ntp server : le serveur de temps ; on en déclare idéalement deux ;
• ntp source Vlan99 : les requêtes partent avec l'adresse du VLAN d'administration, celle que le serveur et les ACL attendent.

La synchronisation prend quelques minutes. Pour vérifier :

SW-COEUR# show ntp status
Clock is synchronized, stratum 3, reference is 192.168.10.177
...
SW-COEUR# show ntp associations
  address         ref clock       st   when   poll reach  delay  offset   disp
*~192.168.10.177  192.0.2.123      2     41     64   377  0.812  -0.214  1.904
 * sys.peer, # selected, + candidate, - outlyer, x falseticker, ~ configured

L'astérisque désigne le serveur retenu ; reach 377 (en octal) signifie que les huit dernières interrogations ont réussi. Le stratum indique la distance à une horloge de référence : srv-ad est au stratum 2, SW-COEUR au stratum 3.

Les journaux : syslog

Les équipements Cisco produisent des messages au format :

*Nov  2 14:32:07.418 CET: %LINK-3-UPDOWN: Interface GigabitEthernet1/0/14, changed state to down

Après l'horodatage, %LINK-3-UPDOWN donne la fonction concernée (LINK), la gravité (3) et un mnémonique (UPDOWN), puis le texte. La gravité suit l'échelle de syslog :

Choisir un niveau, c'est garder ce niveau et tous les plus graves : informational (6) garde les niveaux 0 à 6.

Sur chaque équipement de Sorbier :

SW-COEUR(config)# service timestamps log datetime msec localtime show-timezone
SW-COEUR(config)# logging buffered 64000 informational
SW-COEUR(config)# logging host 192.168.10.180
SW-COEUR(config)# logging trap informational
SW-COEUR(config)# logging source-interface Vlan99
SW-COEUR(config)# login on-failure log
SW-COEUR(config)# login on-success log

• service timestamps … localtime : horodater les messages à la milliseconde, à l'heure locale, avec le fuseau ;
• logging buffered : garder une copie en mémoire (64 000 octets), lisible avec show logging ;
• logging host et logging trap : envoyer au serveur srv-journaux les messages jusqu'au niveau 6, en UDP 514 ;
• login on-failure log et login on-success log : journaliser chaque connexion, réussie ou non. Pour une preuve en cas d'incident, c'est essentiel.

Syslog en UDP circule en clair et sans garantie de livraison : c'est une raison de plus pour que tout le trafic d'administration reste dans le VLAN 99. La centralisation, la conservation et l'analyse des journaux (serveur, SIEM, durées) sont traitées dans le chapitre Journaux, SIEM et détection du cours de cybersécurité.

La supervision : SNMPv3

SNMP permet à un serveur de supervision (Zabbix, chez Sorbier, sur srv-journaux : voir SNMPv3 dans Zabbix) d'interroger les équipements (UDP 161 : débit des ports, charge, température) et de recevoir leurs alertes spontanées, les traps (UDP 162 : un port qui tombe, une violation de sécurité). Les versions 1 et 2c protègent l'accès par une « communauté », un mot de passe qui circule en clair : on ne les utilise plus. SNMPv3 authentifie les messages et les chiffre :

SW-COEUR(config)# snmp-server group SUPERVISION v3 priv
SW-COEUR(config)# snmp-server user zabbix SUPERVISION v3 auth sha MotDePasseAuth-2026 priv aes 128 CleChiffrement-2026
SW-COEUR(config)# snmp-server host 192.168.10.180 version 3 priv zabbix
SW-COEUR(config)# snmp-server enable traps snmp linkdown linkup
SW-COEUR(config)# snmp-server enable traps port-security

Le niveau priv (authPriv) exige l'authentification et le chiffrement : c'est le seul acceptable. Le détail des trois niveaux de sécurité et le choix entre interrogation et trap sont dans le chapitre Sécurité des switchs ; la mise en place du serveur de supervision, dans le cours Supervision.

Sauvegarder les configurations

copy running-config startup-config protège contre une coupure de courant, pas contre la panne de l'équipement, une erreur de manipulation ou un vol. Il faut une copie hors de l'équipement, datée et régulière.

À la main, vers un serveur, avant chaque intervention importante :

SW-COEUR# copy running-config scp://sauvegarde@192.168.10.180/sw-coeur-2026-11-02.cfg

SCP chiffre le transfert et exige un compte. L'ancienne méthode, copy running-config tftp:, envoie la configuration en clair (mots de passe hachés compris) à un serveur TFTP sans authentification : à réserver à la maquette.

Automatiquement, depuis l'équipement, avec la fonction archive d'IOS : une copie à chaque write memory, et au moins une fois par jour.

SW-COEUR(config)# archive
SW-COEUR(config-archive)# path scp://sauvegarde:MotDePasse-SCP@192.168.10.180/configs/$h-
SW-COEUR(config-archive)# write-memory
SW-COEUR(config-archive)# time-period 1440

$h est remplacé par le nom de l'équipement ; IOS ajoute un numéro à chaque copie. Le mot de passe figure dans la configuration : limite les droits de ce compte au seul dépôt des sauvegardes.

Depuis un serveur : la méthode la plus répandue aujourd'hui est inverse. Un outil comme Oxidized (libre) se connecte régulièrement en SSH à chaque équipement, récupère la configuration et la range dans un dépôt Git : on garde toutes les versions, on voit qui a changé quoi et quand, et l'outil alerte quand une configuration change. Il suffit d'un compte en lecture seule sur les équipements.

Dans tous les cas, la sauvegarde ne vaut que si elle est testée : restaure régulièrement une configuration sur un équipement de maquette.

Restaurer une configuration

Attention au piège : copier un fichier vers la running-config ne remplace pas la configuration, il la fusionne.

Pour remplacer un équipement en panne par un neuf : on le configure avec son adresse de gestion (ou on passe par la console), on copie la sauvegarde vers sa startup-config, on redémarre, puis on vérifie interface par interface. Les VLAN, stockés dans vlan.dat (chapitre 2), sont recréés à partir de la configuration si le switch est en mode VTP transparent.

Remettre un switch à zéro (avant de le recycler ou de le réaffecter) :

SW-ETAGE1# write erase
SW-ETAGE1# delete flash:vlan.dat
SW-ETAGE1# reload

write erase (ou erase startup-config) efface la startup-config ; le fichier des VLAN se supprime à part. Au redémarrage, le switch propose l'assistant de configuration initiale.

La procédure de récupération du mot de passe. Quelqu'un qui a un accès physique au port console peut interrompre le démarrage d'un équipement et lui faire ignorer sa configuration, donc ses mots de passe. C'est prévu par Cisco pour les administrateurs qui ont perdu leurs identifiants. Conséquence : la sécurité d'un switch commence par une baie fermée à clé. À l'écrit E7, pense à la sécurité physique dès qu'on te demande comment protéger un équipement.

Les mises à jour du système

show version donne la version d'IOS ou d'IOS XE. Cisco publie ses vulnérabilités et leurs correctifs dans ses avis de sécurité : la veille consiste à les suivre pour les modèles et les versions du parc, et à planifier les mises à jour. Sur les Catalyst 9000, la mise à jour se fait en mode « install » (install add file … activate commit), avec un redémarrage. On la prépare comme toute intervention : sauvegarde, créneau, procédure de retour arrière. La méthode générale de durcissement et de mise à jour est dans le chapitre Durcissement des serveurs du cours de cybersécurité.

La sécurité des ports : l'essentiel

Un switch fait confiance à tout ce qu'on branche dessus : rien n'est authentifié en Ethernet. Les attaques de couche 2 et leurs parades sont détaillées, configuration complète à l'appui, dans le chapitre Sécurité des switchs du cours de cybersécurité, et le cours E7 SISR montre comment reconnaître une attaque à ses symptômes dans un sujet. Voici ce que tu dois retenir :

La sécurité des ports tient en quelques lignes sur un port d'accès :

SW-ETAGE1(config)# interface range GigabitEthernet1/0/1 - 24
SW-ETAGE1(config-if-range)# switchport port-security
SW-ETAGE1(config-if-range)# switchport port-security maximum 2
SW-ETAGE1(config-if-range)# switchport port-security mac-address sticky
SW-ETAGE1(config-if-range)# switchport port-security violation restrict

Deux adresses au plus (un téléphone IP et le PC branché derrière), apprises et inscrites dans la configuration (sticky) ; au-delà, les trames de l'adresse en trop sont jetées et l'incident est journalisé et signalé par un trap. Le choix entre restrict et shutdown dépend de ce qu'on veut : laisser travailler l'utilisateur légitime, ou isoler l'appareil fautif ; il est expliqué dans le chapitre Les trois réactions de la sécurité des ports.

La liste de durcissement d'un équipement

Exercices

clock timezone CET 1 0
clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
ntp server 192.168.10.177
service timestamps log datetime msec localtime show-timezone
logging buffered 64000 informational
logging host 192.168.10.180
logging trap notifications
login on-failure log
login on-success log

hostname SW-REUNION
enable secret 5 $1$mERr$hx5rVt7rPNoS4wqbXKX7m0
ip http server
!
interface GigabitEthernet1/0/1
 switchport mode access
 switchport access vlan 10
interface GigabitEthernet1/0/2
 switchport access vlan 10
interface range GigabitEthernet1/0/3 - 24
!
interface Vlan1
 ip address 192.168.10.120 255.255.255.192
!
snmp-server community public RO
line vty 0 15
 login local
 transport input telnet ssh