TP – Suite
Préparation de votre poste
1. Configurer votre poste avec un logiciel client
Vous devez utiliser un logiciel pour vous connecter sur le port série de votre poste :
Sous Windows, Linux ou MacOs, il est possible d’utiliser putty :
https://www.putty.org/ ou
https://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html
La configuration de votre logiciel client pour accéder à votre commutateur par le port
série est la suivante :
Choisissez le port série que vous utilisez : COM1
Le débit : 9600 bauds
Nombre de bits : 8
Pas de Parité
Bit d’arrêt : 1
Pas de contrôle de flux
2. Connecter vous sur le commutateur
Il faut ensuite se connecter physiquement via le port « console » de votre commutateur
Exécuter putty ou minicom, et établissez la connexion avec le commutateur
Mettez le commutateur sous tension
Le bon fonctionnement de votre configuration se vérifie avec l’affichage qui défile dans
votre terminal.
Activer l’enregistrement de votre session dans un fichier avant de commencer le TP.
3. Topologie réseau
Périphérique Adresse IP Interface Gateway
PC1 192.168.99.8X/26 G 0/8 192.168.1.126
kPC2 10.10.10.X/27 G 0/5
SX 192.168.99.10X/26 VLAN 99 192.168.1.126
SX+1 192.168.99.10X+1/26 VLAN 99 192.168.1.126
4. Effectuer la configuration suivante
1. Créer deux macros :
a. Une pour désactiver les ports et les mettre dans le VLAN30, PORT-OFF
S1(config)#macro name …
b. Un pour activer les ports et les mettre dans le VLAN10, nommé
PORTUSERS
c. Appliquer les macros sur les ports concernés
2. Configuration de la console
- Utiliser la commande S1(config)#line console 0
- Synchroniser les événements système sur une ligne différente de la ligne de
commande
S1(config-line)#logging synchronous
- Fermer automatiquement la session sur la ligne console après une période
d’inactivité de 15 minutes
TP – Suite
S1(config-line)# exec-timeout 15
3. Configurer et renforcer la sécurité du serveur SSH
a. Générer une clé RSA de 4096 bits nommée CLESSH
S1(config)#crypto key generate rsa usage-keys label CLESSH modulus
4096
b. Sélectionner la clé qui sera utilisée pour SSH
S1(config)#ip ssh rsa keypair-name CLESSH
c. Forcer l’utilisation de la version 2 de ssh
S1(config)#ip ssh version 2
d. Définir le groupe Diffie-Hellman à utiliser lors de l’échange de clés
S1(config)#ip ssh dh min size 2048
e. Activer SCP pour remplacer tftp
S1(config)#ip scp server enable
f. Forcer l’utilisation de SSH et désactiver telnet
S1(config)#line vty 0 15
S1(config-line)#transport input ssh
g. Fermer automatiquement la session sur la ligne VTY après une période
d’inactivité de 15 minutes
S1(config-line)#exec-timeout 15
h. Arrêter automatiquement les connexions SSH entrantes lorsque la liaison est
coupée
S1(config)#service tcp-keepalives–in
i. Activer la journalisation des connexions SSH
S1(config)#ip ssh logging events
4. Désactiver le serveur web
a. En http et en https
S1(config)#no ip http server
S1(config)#no ip http secure-server
5. Suppression du certificat créé par défaut pour le serveur HTTPS
S1(config)#show crypto pki trustpoint | begin TP-self
S1(config)#no crypto pki trustpoint TP-self-signed-xxxxxxxxx
6. Activation de la journalisation des authentifications.
S1(config)#login on-failure log
S1(config)#login on-success log
7. Bloquer les tentatives d’authentification pendant 5 minutes s’il y a 3 erreurs
d’authentification en 2 minutes
S1(config)#login block-for 300 attempts 3 within 120
a. Définir le temps d’attente en secondes entre deux tentatives
d’authentification
S1(config)#login delay 2
8. Limiter le délai d’attente d’une connexion TCP
S1(config)#ip tcp synwait-time 10
9. Affecter un minimum de mémoire pour la gestion des évènements critiques
S1(config)#memory reserve critical 1000
TP – Suite
10. Création d’une interface Null0
S1(config)#interface Null 0
S1(config-if)#no ip unreachables
11. Activation de port-security
a. Se positionner sur toutes les interfaces
b. Activer port security sur les interfaces
S1(config-if-range)#switchport port–security
c. Définir un maximum d’une adresse MAC connectée simultanément par port
S1(config-if-range)#switchport port–security maximum 1
d. Désactiver l’interface si la limite est franchie
S1(config-if-range)#switchport port–security violation shutdown
e. Indiquer qu’un port bloqué, en etat err-disabled peut être débloqué
automatiquement par recovery
S1(config)#errdisable recovery cause psecure–violation
f. Indiquer une durée de 100 secondes pour que l’interface sorte de l’état
d’erreur
S1(config)#errdisable recovery interval 100
g. Brancher le PC1 sur le port 6, tester le switch avec des requêtes icmp
h. Utiliser la commande show interfaces description
i. Brancher un autre équipement sur le port 6, tester le switch avec des pings
j. Utiliser la commande show interfaces description : que constatez-vous ?
k. Réinitialiser le port et rebrancher le PC1, tester le switch avec des pings
