Switch, routeur et Cisco IOS : les premiers pas

Un switch (commutateur) relie les machines d'un même réseau local en acheminant les trames selon les adresses MAC ; un routeur relie des réseaux IP différents en acheminant les paquets selon les adresses IP. Ce chapitre présente leur rôle, le réseau fil rouge du cours, puis le système Cisco IOS : ses modes, sa configuration de base, l'accès en SSH et l'enregistrement de la configuration. Il se termine par la prise en main de Packet Tracer.

Commutation et routage : qui fait quoi

La commutation se passe au niveau 2 du modèle OSI. Le switch lit l'adresse MAC de destination de chaque trame, cherche le port correspondant dans sa table d'adresses MAC et y envoie la trame ; si l'adresse est inconnue, il l'envoie sur tous les ports. Il ne regarde pas l'adresse IP et ne sort jamais du réseau local. Le fonctionnement détaillé de la table MAC est dans le cours Réseaux.

Le routage se passe au niveau 3. Le routeur lit l'adresse IP de destination de chaque paquet, cherche dans sa table de routage le réseau qui la contient et envoie le paquet vers le routeur suivant, ou vers la machine si elle est dans un réseau qu'il touche directement. À chaque traversée, il fabrique une nouvelle trame, avec de nouvelles adresses MAC, et diminue le TTL du paquet.

Le switch de niveau 3 (ou commutateur multicouche) est un switch qui sait aussi router. C'est lui qui, dans la plupart des entreprises, route entre les VLAN d'un site : il commute à pleine vitesse dans chaque VLAN et route entre eux grâce à des puces spécialisées. Le routeur, lui, reste à la frontière : vers Internet, vers les autres sites, avec des fonctions qu'un switch n'a pas toujours (NAT, VPN, interfaces vers l'opérateur).

Le réseau de Sorbier Logistique en 2026

Tu es en alternance au service informatique de Sorbier Logistique. Le cours Réseaux a découpé le réseau du siège, à Lyon, en VLAN routés par un switch de cœur de niveau 3. Cette année, l'entreprise grandit : une agence ouvre à Marseille, un entrepôt à Saint-Priest, et les trois sites sont reliés par des liens Ethernet loués à un opérateur. Ces liens remplacent le tunnel VPN par Internet qui reliait jusqu'ici l'agence au siège : ils offrent un débit garanti et permettent le routage dynamique entre les trois sites. Chaque site distant a son routeur Cisco ; le siège en a un aussi, pour terminer les liens vers les sites.

Voici le plan d'adressage du siège, repris du cours Réseaux, avec le VLAN 99 d'administration ajouté par le cours Cybersécurité des infrastructures. La passerelle de chaque VLAN est sa dernière adresse utilisable, portée par SW-COEUR.

La DMZ du cours Cybersécurité (VLAN 60, 192.168.10.224/28, passerelle .238) n'est pas dans ce tableau : elle est branchée sur une interface du pare-feu, pas sur SW-COEUR, pour que tout flux vers elle traverse le filtrage. SW-COEUR la joint par le pare-feu, comme Internet. Le cours Cybersécurité va plus loin et confie au pare-feu tout le routage entre les VLAN, pour filtrer chaque flux ; ce cours-ci part de l'architecture où SW-COEUR route les VLAN internes, et le chapitre 3 compare les deux choix.

Deux VLAN « parking » complètent le plan, sans aucune machine : le VLAN 998 pour les ports inutilisés et le VLAN 999 comme VLAN natif des trunks (le chapitre 2 explique pourquoi).

Les sites distants :

Le plan de Marseille vient de l'exercice « L'agence de Marseille » du chapitre VLSM et plan d'adressage du cours Réseaux. Garde ces deux tableaux sous la main : tous les chapitres s'en servent.

Les équipements et leurs interfaces

Sorbier a acheté des Catalyst 9300 (switchs de niveau 3) pour le cœur, des Catalyst 9200 pour les étages, et des routeurs Catalyst 8200 pour les trois sites. Tous fonctionnent sous IOS XE, la version moderne d'IOS ; pour tout ce que fait ce cours, les commandes sont les mêmes que sur l'IOS classique des anciens Catalyst 2960 qu'on trouve encore dans beaucoup de salles de TP.

Une interface Cisco se nomme par son type et sa position :

IOS accepte toutes les abréviations sans ambiguïté : sh ip int br pour show ip interface brief, conf t pour configure terminal, int gi1/0/1 pour interface GigabitEthernet1/0/1. Dans une copie d'examen, écris les commandes en entier ou avec les abréviations courantes : le correcteur doit pouvoir les lire.

Les modes de Cisco IOS

IOS est organisé en modes. L'invite (le texte avant le curseur) te dit toujours où tu es.

Pour remonter d'un niveau, tape exit ; pour revenir directement au mode privilégié, end (ou Ctrl+Z). Depuis un mode de configuration, une commande du mode privilégié s'exécute en la préfixant par do : do show vlan brief.

Trois aides te feront gagner un temps fou :

• ? liste les commandes possibles à cet endroit (show ?), ou la suite d'une commande (switchport mode ?) ;
• Tab complète un mot commencé ;
• no devant une commande l'annule : no shutdown active une interface, no vlan 30 supprime le VLAN 30, no ip route … supprime une route.

La configuration de base d'un switch

Voici la configuration de départ de SW-ETAGE1, le switch du premier étage. Les lignes qui commencent par ! sont des commentaires, comme dans les configurations affichées par IOS.

SW-ETAGE1> enable
SW-ETAGE1# configure terminal
SW-ETAGE1(config)# hostname SW-ETAGE1
SW-ETAGE1(config)# no ip domain-lookup
! Mot de passe du mode privilégié, stocké haché
SW-ETAGE1(config)# enable algorithm-type scrypt secret Mdp-Enable-2026!
! Compte nominatif pour l'administration
SW-ETAGE1(config)# username jmartin privilege 15 algorithm-type scrypt secret Mdp-Admin-2026!
SW-ETAGE1(config)# service password-encryption
SW-ETAGE1(config)# banner motd #Acces reserve au personnel autorise de Sorbier Logistique#
! Console : identifiant obligatoire, messages qui ne coupent pas la saisie
SW-ETAGE1(config)# line console 0
SW-ETAGE1(config-line)# login local
SW-ETAGE1(config-line)# logging synchronous
SW-ETAGE1(config-line)# exec-timeout 10 0
SW-ETAGE1(config-line)# exit

Ce que fait chaque ligne :

• hostname donne son nom à l'équipement ; il apparaît dans l'invite, dans les journaux et dans les tables des voisins. Choisis des noms qui disent le rôle et l'emplacement.
• enable secret protège le passage en mode privilégié. Le mot de passe est stocké haché ; algorithm-type scrypt choisit un algorithme robuste (type 9). N'utilise jamais enable password, stocké en clair ou avec un chiffrement réversible.
• username … secret crée un compte local. privilege 15 le fait arriver directement en mode privilégié. Un compte par administrateur, plutôt qu'un mot de passe partagé : les journaux disent alors qui a fait quoi.
• service password-encryption masque les mots de passe restés en clair dans la configuration (type 7). C'est un simple brouillage, réversible en une seconde : il évite la lecture par-dessus l'épaule, pas plus.
• banner motd affiche un avertissement avant la connexion. Il ne protège rien techniquement, mais il prévient que l'accès est réservé, ce qui compte en cas de poursuite.
• login local sur la console exige un compte local ; exec-timeout 10 0 ferme une session inactive au bout de 10 minutes.

Une adresse de gestion et l'accès en SSH

Un switch de niveau 2 n'a pas besoin d'adresse IP pour commuter. Il en faut une pour l'administrer à distance : on la pose sur l'interface virtuelle du VLAN d'administration, et on indique la passerelle à utiliser pour répondre aux administrateurs des autres réseaux.

SW-ETAGE1(config)# vlan 99
SW-ETAGE1(config-vlan)# name ADMIN
SW-ETAGE1(config-vlan)# exit
SW-ETAGE1(config)# interface Vlan99
SW-ETAGE1(config-if)# description Gestion du switch
SW-ETAGE1(config-if)# ip address 192.168.10.211 255.255.255.240
SW-ETAGE1(config-if)# no shutdown
SW-ETAGE1(config-if)# exit
SW-ETAGE1(config)# ip default-gateway 192.168.10.222

ip default-gateway ne sert que sur un switch qui ne route pas. Sur un switch de niveau 3 ou un routeur, on écrit une route par défaut (ip route 0.0.0.0 0.0.0.0 …, chapitre 7).

L'administration à distance se fait en SSH, jamais en Telnet, qui fait circuler identifiants et commandes en clair. SSH a besoin d'un nom de domaine et d'une paire de clés RSA :

SW-ETAGE1(config)# ip domain name sorbier.example
SW-ETAGE1(config)# crypto key generate rsa modulus 3072
SW-ETAGE1(config)# ip ssh version 2
SW-ETAGE1(config)# line vty 0 15
SW-ETAGE1(config-line)# login local
SW-ETAGE1(config-line)# transport input ssh
SW-ETAGE1(config-line)# exec-timeout 10 0
SW-ETAGE1(config-line)# end

Les lignes vty (virtual teletype) sont les sessions à distance : 16 sur un switch (0 à 15), parfois 5 (0 à 4) sur un routeur ancien. transport input ssh y refuse Telnet. Le chapitre 9 ajoute une ACL pour n'accepter les connexions SSH que depuis le VLAN 99.

running-config et startup-config

Un équipement Cisco garde deux configurations :

• la running-config, en mémoire vive (RAM) : celle qui s'applique. Chaque commande tapée la modifie immédiatement ;
• la startup-config, en mémoire non volatile (NVRAM) : celle qui est chargée au démarrage.

Une commande tapée et non enregistrée est perdue à la prochaine coupure de courant. Pour enregistrer :

SW-ETAGE1# copy running-config startup-config
Destination filename [startup-config]?
Building configuration...
[OK]

write memory (ou wr) fait la même chose. À l'inverse, si tu as tout cassé et rien enregistré, reload redémarre sur la startup-config : c'est le « retour arrière » le plus simple.

La sauvegarde hors de l'équipement (sur un serveur, automatique, versionnée) et la restauration sont au chapitre 12.

Lire show ip interface brief

C'est la commande que tu taperas le plus souvent. Sur R-MARSEILLE :

R-MARSEILLE# show ip interface brief
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0/0   172.16.0.2      YES manual up                    up
GigabitEthernet0/0/1   unassigned      YES unset  up                    up
GigabitEthernet0/0/2   172.16.0.9      YES manual up                    up
GigabitEthernet0/0/3   203.0.113.50    YES manual administratively down down

La colonne Status donne l'état du niveau 1, Protocol celui du niveau 2 :

Ici, l'accès Internet de Marseille (Gi0/0/3) n'a pas été activé : il manque un no shutdown.

Packet Tracer et les autres environnements de maquette

Cisco Packet Tracer est un simulateur gratuit, téléchargeable avec un compte Cisco Networking Academy. Il simule des switchs, des routeurs, des postes et des serveurs, et accepte l'essentiel des commandes IOS de ce cours. Son mode Simulation montre chaque trame et chaque paquet circuler, couche par couche : c'est le meilleur outil pour comprendre ARP, le trunk ou le routage.

Quelques réflexes pour bien démarrer :

• Les modèles. Pour un switch de niveau 2, prends un 2960 (ports Fa0/1 à Fa0/24, Gi0/1 et Gi0/2) ; pour un switch de niveau 3, un 3650 (ports Gi1/0/1 à Gi1/0/24, à équiper d'une alimentation dans l'onglet Physical) ; pour un routeur, un ISR 4331 ou un 2911. Adapte les noms d'interfaces du cours à ton modèle.
• Les câbles. Le câble droit (Copper Straight-Through) relie un poste à un switch ou un switch à un routeur ; le câble croisé (Copper Cross-Over) relie deux équipements de même type, même si les équipements récents corrigent tout seuls (Auto-MDIX). Le câble bleu clair (Console) relie le port série d'un PC au port console d'un équipement. L'éclair (Automatically Choose Connection Type) choisit à ta place.
• Les voyants. Vert : lien actif. Orange : port en cours de démarrage ou bloqué par le Spanning Tree. Rouge : pas de lien (câble, shutdown). Un port de switch reste orange une trentaine de secondes après le branchement : c'est normal (chapitre 4).
• Le temps. Le bouton Fast Forward Time accélère les délais (Spanning Tree, OSPF, DHCP).
• La configuration. Clique sur un équipement, onglet CLI. L'onglet Config existe, mais apprends les commandes : c'est ce qu'on te demande partout ailleurs.

Packet Tracer a des limites : toutes les commandes n'y sont pas, et certaines fonctions (VRRP, quelques options de sécurité) manquent. Pour travailler sur de vraies images IOS, on utilise GNS3, EVE-NG ou Cisco Modeling Labs (CML), qui font tourner des routeurs et des switchs virtuels, et demandent une machine plus puissante.

Exercices

hostname Switch
enable password cisco
!
interface Vlan1
 ip address 192.168.10.100 255.255.255.192
!
line vty 0 4
 password cisco
 login
 transport input telnet

Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0/0   172.16.0.6      YES manual up                    up
GigabitEthernet0/0/1   172.16.0.10     YES manual down                  down
GigabitEthernet0/0/2   10.40.0.254     YES manual administratively down down