Leçons Tirées du TP - Sécurisation
Router/Switch
🔐 LEÇONS DE SÉCURITÉ
1. Sécurisation des Mots de Passe
Chiffrement obligatoire : service password-encryption protège tous les mots de passe en
texte clair
Longueur minimale : security passwords min-length 10 force des mots de passe robustes
Enable secret : Toujours utiliser enable secret (hashé MD5) plutôt que enable password
2. SSH vs Telnet
SSH uniquement : transport input ssh élimine Telnet non sécurisé
Clés RSA : Minimum 1024 bits pour la cryptographie (2048+ recommandé en
production)
Authentification locale : login local utilise les comptes utilisateurs créés localement
3. Protection contre les Attaques
Anti-brute force : login block-for 180 attempts 4 within 120 bloque les tentatives répétées
Timeout de session : exec-timeout 6 ferme automatiquement les sessions inactives
Désactivation des services : no ip domain-lookup évite les délais inutiles
🌐 LEÇONS RÉSEAU
4. Gestion des Interfaces
Activation explicite : no shutdown nécessaire sur les routeurs
VLAN management : Switch configuré via VLAN1 pour la gestion
Passerelle par défaut : ip default-gateway indispensable sur les switches
5. Sécurité Physique des Ports
Ports inutilisés : shutdown sur tous les ports non utilisés du switch
Interface range : Commande efficace pour configurer plusieurs ports simultanément
Principe du moindre privilège : Seuls les ports nécessaires restent actifs
🛠️LEÇONS TECHNIQUES
6. Configuration Structurée
Hostname : Identification claire des équipements sur le réseau
Domaine : ip domain-name nécessaire pour la génération des clés RSA
Sauvegarde : write memory ou copy run start pour persistance
7. Gestion des Utilisateurs
Comptes individuels : Éviter les comptes partagés
Mots de passe secrets : username admin secret avec hash automatique
Séparation des privilèges : Différents utilisateurs pour différents équipements
📚 LEÇONS MÉTHODOLOGIQUES
8. Approche Systématique
Configuration par blocs : Grouper les commandes par fonction
Tests progressifs : Vérifier chaque étape avant de continuer
Documentation : Noter les mots de passe et configurations
9. Dépannage et Vérification
Connectivité de base : ping pour tester la couche 3
Services : ssh pour vérifier l'accès distant
Show commands : show ip interface brief, show users pour diagnostiquer
🎯 APPLICATIONS PRATIQUES
10. En Production
Politique de mots de passe : Complexité, rotation, unicité
Accès basé sur les rôles : Différents niveaux d'accès selon les fonctions
Monitoring : Surveillance des tentatives de connexion
11. Conformité et Audit
Standards de sécurité : Respect des bonnes pratiques industrielles
Traçabilité : Logs des accès et modifications
Tests réguliers : Vérification périodique des configurations
🚨 ERREURS À ÉVITER
12. Pièges Courants
Oubli de sauvegarde : Perte de configuration au redémarrage
Mauvais domaine : Clés RSA non générées sans domaine
Ports oubliés : Failles de sécurité sur ports non sécurisés
Mots de passe faibles : Vulnérabilité aux attaques par dictionnaire
💡 POINTS CLÉS À RETENIR
✅ La sécurité commence par la configuration de base
✅ SSH > Telnet toujours
✅ Désactiver ce qui n'est pas utilisé
✅ Mots de passe forts et chiffrés
✅ Sauvegarder et tester régulièrement
✅ Documentation et traçabilité essentielles
💭 Réflexion finale : Ce TP démontre que la sécurité réseau est un processus, pas un produit.
Chaque commande a un but précis dans la stratégie de défense en profondeur.
Comment se fait-il que le routeur soit configuré à partir du device ?
Excellente question ! C'est un point fondamental en administration réseau. Voici pourquoi on
configure le routeur depuis le PC :
🔌 CONNEXION CONSOLE (Configuration Initiale)
Principe Physique
Câble console (câble série) relie directement le PC au routeur
Port console du routeur → Port série/USB du PC
Connexion hors-bande (out-of-band) = indépendante du réseau IP
Pourquoi c'est Nécessaire
ROUTEUR NEUF = AUCUNE CONFIGURATION IP
↓
Pas d'adresse IP = Pas d'accès réseau
↓
SEULE SOLUTION = Console directe
🌐 ÉVOLUTION DE L'ACCÈS
Étape 1: Console (Configuration de base)
PC --[Câble Console]--> ROUTEUR
- Pas besoin d'IP
- Accès physique direct
- Configuration des premières IP
Étape 2: SSH/Telnet (Configuration à distance)
PC --[Réseau IP]--> ROUTEUR
- Une fois l'IP configurée
- Accès via le réseau
- Plus besoin d'être physiquement présent
🛠️DANS TON TP
Ce qui s'est passé :
1. PCA configuré avec IP [Link]
2. Console vers RTA pour configurer IP [Link]
3. Test SSH depuis PCA vers RTA via le réseau
Analogie Simple :
C'est comme installer Internet chez toi :
1. Technicien vient PHYSIQUEMENT installer la box
2. Une fois connectée, tu peux tout gérer À DISTANCE
🔧 TYPES D'ACCÈS RÉSEAU
Console (Local)
Physique : Câble direct
Usage : Configuration initiale, dépannage critique
Avantage : Fonctionne même si le réseau est cassé
SSH/Telnet (Distant)
Réseau : Via IP
Usage : Administration quotidienne
Avantage : Accès depuis n'importe où
Web GUI (Moderne)
HTTP/HTTPS : Interface graphique
Usage : Configuration simplifiée
Avantage : Plus user-friendly
💡 POURQUOI C'EST LOGIQUE
Un routeur sans configuration = une "boîte vide" :
❌ Pas d'IP configurée
❌ Pas de services réseau actifs
❌ Impossible de l'atteindre via le réseau
La console = "porte de service" toujours accessible !
C'est pour ça qu'en entreprise, les administrateurs gardent toujours des câbles console dans
leur sac - en cas de problème réseau, c'est le seul moyen de récupérer l'équipement ! 🚨
Est-ce que ça clarifie le concept ?
