Exercices corrigés de routage et commutation type BTS SIO

1. Un switch de niveau 2 ne fait passer une trame que d'un port à un autre du même VLAN. Les VLAN 10 et 20 sont deux domaines de diffusion et deux réseaux IP différents : il faut un équipement de niveau 3 qui route entre eux.
2. SW-CORE, par sa SVI Vlan10 (172.18.10.254). Il doit avoir ip routing activé, sans quoi ses SVI ne servent qu'à l'administrer.
3. Ce lien doit transporter plusieurs VLAN (au moins le VLAN 10 des postes et le VLAN 99 de l'administration de SW-BUREAUX). Un trunk 802.1Q les transporte sur un seul câble, en étiquetant chaque trame avec son numéro de VLAN.

1. Vrai. Sinon, les trames non étiquetées d'un VLAN arrivent dans un autre VLAN de l'autre côté : fuite entre VLAN, signalée par CDP et bloquée par le Spanning Tree.
2. Faux. La distance administrative ne départage que des routes vers le même préfixe. Une route OSPF plus précise (préfixe plus long) l'emporte sur une route statique moins précise.
3. Faux. PortFast se met sur les ports d'accès (postes, imprimantes), jamais entre switchs : il supprime la protection contre les boucles au branchement. RSTP accélère la convergence entre switchs.
4. Vrai. Elle ne connaît que la source : près de la source, elle couperait cette source de toutes les destinations.
5. Vrai. Le routeur distingue les connexions par le port source, qu'il réécrit au besoin.

vtp mode transparent
vlan 10
 name BUREAUX
vlan 30
 name PRODUCTION
vlan 99
 name ADMIN
vlan 998
 name PARKING
vlan 999
 name NATIF
!
interface range FastEthernet0/1 - 16
 description Presses numeriques
 switchport mode access
 switchport access vlan 30
 switchport nonegotiate
 spanning-tree portfast
 spanning-tree bpduguard enable
!
interface range FastEthernet0/17 - 18
 description Postes controle qualite
 switchport mode access
 switchport access vlan 10
 switchport nonegotiate
 spanning-tree portfast
 spanning-tree bpduguard enable
!
interface range FastEthernet0/19 - 24
 description Ports libres
 switchport mode access
 switchport access vlan 998
 shutdown
!
interface range GigabitEthernet0/1 - 2
 description Trunks vers SW-CORE (Gi0/1) et SW-BUREAUX (Gi0/2)
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,30,99
 switchport nonegotiate
!
interface Vlan99
 ip address 172.18.99.3 255.255.255.240
 no shutdown
ip default-gateway 172.18.99.14

Les trunks n'autorisent que les VLAN présents sur SW-PROD (10, 30, 99). La passerelle 172.18.99.14 est bien la dernière adresse de 172.18.99.0/28 (plage .1 à .14). Les ports en face, sur SW-CORE et SW-BUREAUX, doivent eux aussi être en trunk forcé avec le même VLAN natif (999), et autoriser les VLAN qu'ils échangent avec SW-PROD. On termine par copy running-config startup-config.

1. Non : sur les deux trunks de SW-PROD, le VLAN 30 est autorisé, existe sur le switch et est en transmission pour le Spanning Tree.
2. Côté SW-CORE, le port Gi1/0/2, en face de SW-PROD, n'autorise pas le VLAN 30 (« 10,20,99 » : sans doute une faute de frappe, 20 au lieu de 30). Les demandes DHCP des presses n'atteignent jamais la SVI du VLAN 30, où se trouve le relais. Le chemin par SW-BUREAUX ne les sauve pas : SW-BUREAUX ne connaît pas le VLAN 30 et ne le transporte pas. Le Spanning Tree n'y est pour rien : il calcule une instance par VLAN, et dans le VLAN 30 il n'y a même pas de boucle, puisque le lien SW-CORE – SW-PROD ne le transporte pas.
3. Sur SW-CORE : interface GigabitEthernet1/0/2, switchport trunk allowed vlan remove 20, puis switchport trunk allowed vlan add 30. Par la même occasion, si le chemin par SW-BUREAUX doit servir de secours quand le lien direct tombe, vérifier que le VLAN 30 est créé sur SW-BUREAUX et autorisé sur ses deux trunks, ainsi qu'en face sur SW-CORE.

1. Les trois ont la priorité 32768 + 10 = 32778. Les adresses MAC départagent : 001b.54aa.3100 (SW-PROD) < 001b.54aa.3200 (SW-BUREAUX) < 5c5a.c7b1.0a00 (SW-CORE). SW-PROD est racine.
2. • SW-CORE : direct par Gi1/0/2, coût 4 (par SW-BUREAUX : 4 + 4 = 8). Port racine Gi1/0/2.
   • SW-BUREAUX : direct par Gi0/2, coût 4. Port racine Gi0/2.
3. Sur le lien SW-CORE – SW-BUREAUX, les deux annoncent un coût de 4 vers la racine ; le plus petit BID, celui de SW-BUREAUX, rend son port Gi0/1 désigné. Gi1/0/1 de SW-CORE est bloqué. Conséquence : les trames des postes des bureaux vers leur passerelle (SW-CORE) passent par SW-PROD, le switch de l'atelier, au lieu du lien direct. Un détour inutile, et une panne de SW-PROD perturbe tout le site.

1. Sur SW-CORE : spanning-tree vlan 1-4094 priority 24576 (ou spanning-tree vlan 1-4094 root primary). Son BID dans le VLAN 10 devient 24586 : il est racine.
2. SW-BUREAUX et SW-PROD ont chacun un port racine direct vers SW-CORE (coût 4). Sur le lien SW-BUREAUX – SW-PROD, les deux annoncent un coût de 4 : SW-PROD, au plus petit BID, est désigné ; Gi0/2 de SW-BUREAUX est bloqué. Les deux switchs de niveau 2 montent directement vers SW-CORE.
3. spanning-tree mode rapid-pvst, pour une convergence en moins d'une seconde au lieu de 30 à 50 secondes.

ip routing
!
interface Vlan10
 description Passerelle BUREAUX
 ip address 172.18.10.254 255.255.255.0
 ip helper-address 172.18.20.10
 no shutdown
interface Vlan20
 description Passerelle SERVEURS
 ip address 172.18.20.62 255.255.255.192
 no shutdown
interface Vlan30
 description Passerelle PRODUCTION
 ip address 172.18.30.126 255.255.255.128
 ip helper-address 172.18.20.10
 no shutdown
interface Vlan99
 description Passerelle ADMIN
 ip address 172.18.99.14 255.255.255.240
 no shutdown
!
interface GigabitEthernet1/0/47
 description Transit vers le pare-feu
 no switchport
 ip address 10.255.0.6 255.255.255.252
 no shutdown
interface GigabitEthernet1/0/48
 description Fibre vers R-VOIRON
 no switchport
 ip address 10.255.0.1 255.255.255.252
 no shutdown

Pas de relais sur la SVI du VLAN 20 : le serveur DHCP y est directement joignable. Pas de relais sur le VLAN 99, dont les équipements ont des adresses fixes.

1. SW-CORE :

   textCopier le code de la réponse de l'exercice 8

   ip route 0.0.0.0 0.0.0.0 10.255.0.5
   ip route 172.18.64.0 255.255.255.0 10.255.0.2
   

   R-VOIRON (une seule sortie, vers Grenoble, qui mène aussi à Internet) :

   textCopier le code de la réponse de l'exercice 8

   ip route 0.0.0.0 0.0.0.0 10.255.0.1
   

2. Non, et elle est inutile. 172.18.0.0/17 couvre 172.18.0.0 à 172.18.127.255, donc 172.18.64.0/24, le réseau de Voiron lui-même (il resterait joignable, car le réseau connecté est plus précis, mais le résumé est faux). Surtout, la route par défaut couvre déjà tout ce qui n'est pas local : une route de plus n'apporte rien.

3. Le pare-feu doit savoir que tous les réseaux internes sont derrière SW-CORE : une route 172.18.0.0/16 vers 10.255.0.6 couvre les VLAN de Grenoble et Voiron (une route plus précise par réseau convient aussi). Et ces réseaux doivent être inclus dans sa traduction d'adresses vers Internet ; sans route ou sans traduction pour 172.18.64.0/24, Voiron joint Grenoble mais pas Internet.

1. SW-CORE :

   textCopier le code de la réponse de l'exercice 9

   router ospf 1
    router-id 1.1.1.1
    network 172.18.0.0 0.0.255.255 area 0
    network 10.255.0.0 0.0.0.3 area 0
    passive-interface default
    no passive-interface GigabitEthernet1/0/48
    default-information originate
   interface GigabitEthernet1/0/48
    ip ospf network point-to-point
   

   R-VOIRON :

   textCopier le code de la réponse de l'exercice 9

   router ospf 1
    router-id 2.2.2.2
    network 172.18.64.0 0.0.0.255 area 0
    network 10.255.0.0 0.0.0.3 area 0
    passive-interface default
    no passive-interface GigabitEthernet0/0/0
   interface GigabitEthernet0/0/0
    ip ospf network point-to-point
   

   Sur SW-CORE, le transit vers le pare-feu (10.255.0.4/30) n'est dans aucune plage network : il n'est pas annoncé, ce qui n'est pas gênant puisque tout ce qui va vers le pare-feu suit la route par défaut.

2. Avec la référence par défaut (100 Mbit/s), chaque interface à 1 Gbit/s coûte 1. R-VOIRON apprend : 172.18.10.0/24, 172.18.20.0/26, 172.18.30.0/25 et 172.18.99.0/28, chacune en [110/2] (1 pour la fibre + 1 pour la SVI), via 10.255.0.1 ; et la route par défaut O*E2 0.0.0.0/0 [110/1] via 10.255.0.1.

3. Sur SW-CORE, la route statique vers 172.18.64.0/24 : no ip route 172.18.64.0 255.255.255.0 10.255.0.2. Sur R-VOIRON, la route par défaut statique, remplacée par celle d'OSPF : no ip route 0.0.0.0 0.0.0.0 10.255.0.1 (la garder ne casserait rien, mais elle l'emporterait sur OSPF et ne verrait pas une panne de la fibre si l'interface reste active).

ip access-list extended PRODUCTION-IN
 remark DHCP : demandes des presses vers le relais
 permit udp any eq bootpc any eq bootps
 remark Reponses des presses au serveur d'impression
 permit tcp 172.18.30.0 0.0.0.127 eq 9100 host 172.18.20.10 established
 remark Tout le reste est refuse et journalise
 deny ip any any log
!
interface Vlan30
 ip access-group PRODUCTION-IN in

• L'emplacement : en entrée de la SVI du VLAN 30, au plus près de la source (ACL étendue). Tout ce qu'une presse émet est filtré dès son arrivée sur le switch de cœur.
• La ligne DHCP : une demande DHCP part de 0.0.0.0 vers 255.255.255.255 et c'est la SVI qui la reçoit pour la relayer ; sans cette ligne, le deny final la bloquerait.
• La ligne established : c'est le serveur qui ouvre les connexions vers les presses (vers leur port 9100) ; ces demandes sortent vers le VLAN 30 et ne sont pas filtrées par cette ACL. Les presses ne font que répondre : leurs segments partent du port 9100 avec le drapeau ACK, ce que désigne established. Une presse ne peut ouvrir aucune connexion.
• Le deny … log final : rend visible, dans les journaux, toute tentative d'une presse compromise.

Limite : une ACL sans état ne vérifie pas que le segment appartient vraiment à une connexion ouverte par le serveur ; un pare-feu à états ferait mieux. Les presses n'ont pas de passerelle utilisable pour Internet : c'est voulu.

ip access-list standard ADMIN-SSH
 permit 172.18.99.0 0.0.0.15
 deny any log
line vty 0 15
 transport input ssh
 access-class ADMIN-SSH in

Une ACL standard suffit (seule la source compte), appliquée aux lignes vty avec access-class, sur chaque équipement. Le masque générique 0.0.0.15 correspond au /28.

1. La route vers Voiron a été écrite 172.18.46.0/24 au lieu de 172.18.64.0/24 (chiffres inversés, sans doute lors d'une réécriture vendredi).
2. Aucune route ne correspond à 172.18.64.x sauf la route par défaut : SW-CORE envoie les réponses au pare-feu, qui ne les renvoie pas au bon endroit (ou les fait sortir vers Internet). L'aller fonctionne, le retour non.
3. no ip route 172.18.46.0 255.255.255.0 10.255.0.2, puis ip route 172.18.64.0 255.255.255.0 10.255.0.2. Vérifier avec ping 172.18.64.254 source Vlan20 sur SW-CORE.

1. Le petit switch envoie des BPDU. Le port 5 est un port d'accès avec BPDU Guard : il s'est coupé (err-disabled) en recevant un BPDU. C'est voulu : un switch non prévu sur un port d'accès peut créer une boucle ou perturber le Spanning Tree, et un ordinateur de maintenance externe n'a rien à faire sur le réseau de production.
2. On demande au technicien de retirer le petit switch : la presse est rebranchée seule sur le port 5. Si l'ordinateur de maintenance doit vraiment se connecter, la demande passe par Mme Ferrand (un port dédié dans un VLAN de maintenance filtré, ou un accès distant encadré). Puis sur SW-PROD : interface FastEthernet0/5, shutdown, no shutdown, et vérification avec show interfaces status err-disabled.

Une proposition :

« Le réseau de Grenoble est découpé en quatre VLAN (bureaux, serveurs, production, administration) routés par le switch de cœur. Les presses, dont le système n'est plus mis à jour, sont isolées : une liste de contrôle d'accès ne leur permet que de recevoir les travaux du serveur d'impression et d'obtenir leur adresse, et toute autre tentative est journalisée. L'administration des équipements n'est possible qu'en SSH depuis le VLAN d'administration. Les ports d'accès sont protégés contre le branchement de switchs non autorisés, et les ports libres sont désactivés. Le Spanning Tree est réglé pour que le switch de cœur soit la racine, ce qui évite les détours et accélère la reprise en cas de coupure d'un lien. Enfin, le routage dynamique OSPF entre Grenoble et Voiron simplifiera l'ajout de réseaux. Limite : le switch de cœur reste un point unique de panne ; un second switch avec une passerelle redondante (HSRP ou VRRP) est à prévoir. »