Atelier Sécurité RSI3
Configuration de ACL standard
Diagramme de topologie :
ISET Nabeul-DEP.TI 1/4 A.U: 2022/2023
Atelier Sécurité RSI3
Table d'adressage :
Tâche 1 : Adressage IP et routage
Configurez l'adressage IP des différents équipements ainsi que le routage nécessaire.
Vérification que tous les périphériques ont accès à tous les autres emplacements :
Effectuez les tests suivants :
À partir de PC1, envoyez une requête ping à PC2.
À partir de PC2, envoyez une requête ping à Hôte externe.
À partir de PC4, envoyez une requête ping au serveur Web/TFTP.
Tous ces tests de connectivité doivent réussir.
Tâche 2 : évaluation d’une stratégie de réseau et planification de la mise en œuvre de listes
de contrôle d’accès
On veut mettre en place la politique de sécurité suivante :
ISET Nabeul-DEP.TI 2/4 A.U: 2022/2023
Atelier Sécurité RSI3
Le réseau 192.168.10.0/24 a accès à tous les emplacements, à l’exception du réseau
192.168.11.0/24.
Le réseau 192.168.11.0/24 a accès à toutes les destinations, à l’exception des réseaux
connectés à FAI.
Étape 2. Planification de la mise en œuvre des listes de contrôle d’accès pour les réseaux
locaux de R1 :
Deux listes de contrôle d’accès permettent de mettre en œuvre intégralement la stratégie de
sécurité pour les réseaux locaux de R1.
La première liste de contrôle d’accès sur R1 refuse le trafic du réseau 192.168.10.0/24 vers le
réseau 192.168.11.0/24 mais autorise tout autre trafic.
Cette première liste, appliquée en sortie sur l’interface Fa0/1, surveille tout le trafic envoyé vers
le réseau 192.168.11.0.
La seconde liste de contrôle d’accès sur R2 refuse au réseau 192.168.11.0/24 l’accès à FAI mais
autorise tout autre trafic.
Le trafic sortant de l’interface S0/1/0 est contrôlé.
Classez les instructions des listes de contrôle d’accès par ordre décroissant de spécificité. Le
refus de l’accès d’un trafic réseau à un autre réseau est prioritaire sur l’autorisation de tout autre
trafic.
Étape 3. Évaluation de la stratégie pour le réseau local de R3
Le réseau 192.168.30.0/10 a accès à toutes les destinations.
L’hôte 192.168.30.128 n’est pas autorisé à accéder hors du réseau local.
Étape 4. Planification de la mise en œuvre des listes de contrôle d’accès pour le réseau
local de R3
Une liste de contrôle d’accès permet de mettre en œuvre intégralement la stratégie de sécurité
pour le réseau local de R3.
La liste de contrôle d’accès est placée sur R3 et refuse à l’hôte 192.168.30.128 l’accès hors du
réseau local mais autorise le trafic en provenance de tous les autres hôtes du réseau local.
Si elle est appliquée en entrée sur l’interface Fa0/0, cette liste de contrôle d’accès surveille tout
trafic essayant de quitter le réseau 192.168.30.0/10.
Classez les instructions des listes de contrôle d’accès par ordre décroissant de spécificité. Le
refus de l’accès de l’hôte 192.168.30.128 est prioritaire sur l’autorisation de tout autre trafic.
Tâche 3 : configuration de listes de contrôle d’accès standard numérotées
Étape 2. Définition des instructions
Pour les listes de contrôle d’accès standard, utilisez un nombre entre 1 et 99.
Le nombre 10 est utilisé pour cette liste sur R1 afin de rappeler que celle-ci surveille le réseau
192.168.10.0.
Sur R2, la liste d’accès 11 refuse tout trafic en provenance du réseau 192.168.11.0 vers tout
réseau FAI.
Tout autre trafic doit être autorisé à l’aide de l’option permit en raison du refus implicite (« deny
any ») à la fin des listes de contrôle d’accès. L’option any indique tout hôte source.
Configurez l'ACL 10.
Créez maintenant une liste de contrôle d’accès sur R2 pour refuser le réseau 192.168.11.0 et
autoriser tous les autres réseaux. Utilisez le numéro 11 pour cette liste de contrôle d’accès.
ISET Nabeul-DEP.TI 3/4 A.U: 2022/2023
Atelier Sécurité RSI3
Configurez l'ACL 11.
Étape 3. Application des instructions aux interfaces
Sur R1, appliquez les ACL 10 et 11 sur les bonnes interfaces.
Étape 4. Vérification et test des listes de contrôle d’accès
Une fois les listes de contrôle d’accès configurées et appliquées, PC1 (192.168.10.10) ne doit pas
être en mesure d’envoyer de requête ping à PC2 (192.168.11.10) car la liste de contrôle d’accès
est appliquée en sortie de Fa0/1 sur R1. PC2 (192.168.11.10) ne doit pas être en mesure
d’envoyer de requête ping au serveur Web (209.165.201.30) ni à Hôte externe (209.165.202.158)
mais doit pouvoir le faire vers toutes les autres destinations, car la liste de contrôle d’accès est
appliquée en sortie de l’interface S0/1/0 sur R2.
Cependant, PC2 ne peut pas envoyer de requête ping à PC1 car la liste de contrôle d’accès 10 sur
R1 empêche la réponse d’écho de PC1 à PC2.
Tâche 4 : configuration d’une liste de contrôle d’accès standard nommée
1) Configurez sur R3 une ACL nommée NO_ACCESS pour :
Refuser le trafic en provenance de l’hôte 192.168.30.128
Autoriser tout autre trafic.
2) Sur R3, appliquez l'ACL NO_ACCESS sur la bonne interface.
3) Vérification et test des listes de contrôle d’accès :
Les tests suivants doivent échouer :
PC1 vers PC2
PC2 vers Hôte externe
PC2 vers Serveur Web
Toutes les requêtes ping en provenance de/vers PC4, sauf entre PC3 et PC4.
ISET Nabeul-DEP.TI 4/4 A.U: 2022/2023
