Design & Hardening d'une Infrastructure Switching Campus : Redondance HSRP/R-PVST+, Isolation L2/L3 et Sécurité d'Accès (packet tracer)

 

Hardening & Redondance d'une Infrastructure Campus sous Cisco Packet Tracer

Dans une architecture d'entreprise, la sécurité et la haute disponibilité se jouent dès la couche d'accès. Un pare-feu périmétrique ne suffit pas si le réseau local est vulnérable aux pannes ou aux attaques de niveau 2 (L2).

Pour illustrer ces enjeux, j'ai conçu et validé un lab d'infrastructure campus multiniveaux sous Cisco Packet Tracer, axé sur la résilience et le durcissement réseau.

1. Vue d'Ensemble de l'Architecture & Topologie

L'infrastructure s'articule autour d'un cœur/distribution redondé formé par trois switches Niveau 3 (`CD-SW1`, `CD-SW2`, `CD-SW3`) et d'une couche d'accès maillée (`AS-01` à `AS-04`).

 2. Redondance L2/L3 & Repartition de Charge (Load Sharing)

Pour optimiser la bande passante sur les liens montants (uplinks) tout en garantissant un basculement immédiat en cas de panne, le protocole Rapid PVST+ est synchronisé avec HSRP (Hot Standby Router Protocol).

Alignement Spanning-Tree (Rapid-PVST+) et HSRP

Plutôt que d'avoir un switch passif qui n'achemine aucun trafic, nous avons réparti la charge entre `CD-SW2` et `CD-SW3` :

VLAN 99 (MGMT) & VLAN 100 (ADMIN) :

 `CD-SW2` est élu Root Bridge (`spanning-tree vlan 99,100 root primary`) et HSRP Active (Priorité 110).

`CD-SW3` agit comme Backup (Priorité 100).

VLAN 200 (USERS) :

 `CD-SW3` est élu Root Bridge (`spanning-tree vlan 200 root primary`) et HSRP Active (Priorité 110).

 `CD-SW2` agit comme Backup (Priorité 100).

 `CD-SW1` sert de nœud de secours tertiaire (Priorité HSRP 90, Priority STP 61440).

! --- Extrait de configuration HSRP & STP sur CD-SW2 ---
vtp mode transparent
spanning-tree mode rapid-pvst
spanning-tree vlan 99,100 root primary
spanning-tree vlan 200 root secondary

interface vlan 100
 description ADMIN
 ip address 10.10.100.3 255.255.255.0
 standby 100 ip 10.10.100.1
 standby 100 priority 110
 standby 100 preempt

 

3. Stratégie de Sécurité & Hardening Réseau (L2/L3)

L'un des axes centraux de ce déploiement repose sur l'étanchéité L2/L3 et le principe du moindre privilège.

A. Atténuation des Attaques L2 sur la Couche d'Accès (`AS-01` à `AS-04`)

1. Désactivation de DTP (Dynamic Trunking Protocol) : Prévention des attaques par Trunk Spoofing via `switchport nonegotiate`.

2. Neutralisation du VLAN Natif par Défaut : Définition d'un VLAN natif non routé (`VLAN 999`) sur tous les trunks afin de parer les attaques par VLAN Hopping (Double Tagging).

3. Protection contre la Saturation de la Table MAC :

switchport port-security
switchport port-security maximum 2
switchport port-security mac-address sticky
switchport port-security violation restrict

L'apprentissage dynamique par "sticky" fige les adresses MAC autorisées et limite à 2 adresses par port d'accès.

4. PortFast & BPDU Guard : PortFast accélère la convergence lors de la connexion du client, tandis que BPDU Guard désactive immédiatement le port (`err-disable`) si un switch non autorisé ou un équipement malveillant envoie des trames BPDU.

5. Mitigation des Attaques DHCP (Rogue Server & Starvation)** :

 Activation globale de `ip dhcp snooping`.

Seuls les trunks montants sont configurés en `ip dhcp snooping trust`.

 Limitation du débit des requêtes DHCP sur les ports d'accès à 10 pps (`ip dhcp snooping limit rate 10`) pour contrer les attaques DoS de type DHCP Starvation.

B. Isolement Inter-VLAN via Listes d'Accès Stateless (ACLs)

Afin de bloquer les tentatives de mouvement latéral depuis la zone utilisateur générale (`USERS` / VLAN 200) vers le segment d'administration (`ADMIN` / VLAN 100) et le segment de gestion (`MGMT` / VLAN 99), des ACLs étendues sont appliquées en entrée des interfaces virtuelles de commutateur (SVI) :

! --- ACL d'Isolation appliquée sur la SVI VLAN 200 (CD-SW1, CD-SW2, CD-SW3) ---
ip access-list extended ACL-USERS-IN
 permit icmp 10.10.200.0 0.0.0.255 10.10.100.0 0.0.0.255 echo-reply
 deny ip 10.10.200.0 0.0.0.255 10.10.99.0 0.0.0.255
 deny ip 10.10.200.0 0.0.0.255 10.10.100.0 0.0.0.255
 permit ip any any

interface vlan 200
 ip access-group ACL-USERS-IN in

L'ACL autorise explicitement les réponses ICMP (`echo-reply`) pour permettre aux administrateurs de diagnostiquer les postes utilisateurs via `ping`, tout en interdisant toute initiation de session IP en provenance des utilisateurs.

C. Isolation des Ports Inutilisés (Parking VLAN)

Tout port réseau non connecté est administrativement désactivé (`shutdown`) et assigné à un VLAN mort isolé (`PARKING` / VLAN 998), empêchant tout accès direct par simple branchement physique.

interface range fastEthernet0/2 - 16
 description UNUSED
 switchport mode access
 switchport access vlan 998
 shutdown

 4. Stratégie de Hardening Management & SSH v2

La sécurisation du plan de contrôle (Control Plane) suit les recommandations Cisco SAFE :

Désactivation des résolutions DNS inutiles : `no ip domain-lookup`.

 Chiffrement fort des mots de passe en base local : `service password-encryption` et clés RSA 2048-bit.

 Restriction VTY à SSH v2 uniquement (`transport input ssh`) avec un timeout strict de 10 minutes (`exec-timeout 10 0`).

 Désactivation explicite de la SVI par défaut (`interface vlan 1 / shutdown`) au profit d'un VLAN d'administration dédié (`VLAN 99`).

 5. Procédure de Validation et Vérification Operationnelle


Pour valider l'intégrité de la topologie en environnement de production ou en simulation, les séries de commandes suivantes sont exécutées :

1. Vérification de la topologie L2 & Moteur STP :

show spanning-tree summary
show spanning-tree vlan 100
show interfaces trunk

2. Validation de la Redondance HSRP :

CD-SW2# show standby brief
! Affiche CD-SW2 comme Active pour Group 99 & 100, Standby pour Group 200

3. Contrôle de la Sécurité d'Accès :

show ip dhcp snooping
show port-security interface fa0/1
show access-lists ACL-USERS-IN

 Conclusion

Ce lab démontre qu'une infrastructure réseau résiliente et sécurisée ne repose pas uniquement sur des produits périmétriques coûteux, mais sur une rigueur de configuration à la base de la couche de liaison (L2/L3). En combinant l'optimisation des flux via HSRP/Rapid-PVST+ et un durcissement systématique des ports d'accès (DHCP Snooping, Port-Security, BPDU Guard), nous réduisons drastiquement la surface d'attaque interne de l'entreprise. 

#Cisco #Networking #Cybersecurity #HSRP #SpanningTree #PacketTracer #NetworkSecurity #SystemEngineering 

Commentaires

Enregistrer un commentaire

Posts les plus consultés de ce blog

De la Maquette au Backbone : Immersion dans la Construction d’une Architecture Opérateur (ISP) sur Équipements Réels

Image
Le simulateur a ses limites ; la réalité du signal, de la fibre et de la convergence BGP sur du hardware physique forge l'expertise Introduction : L’adrénaline du "Bare Metal" Passer de la théorie à la gestion d’un réseau de production demande un changement de paradigme. Récemment, j’ai décidé de sortir des environnements virtualisés pour bâtir une infrastructure ISP (Internet Service Provider) multi-sites de A à Z. L'objectif ? Simuler la complexité d'un cœur de réseau opérateur en utilisant exclusivement du matériel physique. Entre le brassage des jarretières optiques et la montée des sessions BGP, voici le récit technique d'une architecture conçue pour la résilience et la performance. 1. Vision et Objectifs du Projet Ce projet n'était pas un simple exercice de connectivité, mais une démonstration d'ingénierie système appliquée aux télécoms : Design d'un Backbone robuste capable de supporter du routage dynamique haute performance. Interconnexio...
Lire la suite

MikroTik en production : les 10 commandes indispensables et un script d’automatisation que tout admin doit maîtriser

Image
  Dans un environnement de production critique, le temps est une ressource rare. Cliquer dans WinBox est intuitif, mais le CLI (Command Line Interface) est la clé de la rapidité, de la précision et de l'automatisation. Que vous soyez en plein dépannage d'urgence ou en audit de sécurité, ces commandes vous donneront une visibilité immédiate et une crédibilité technique indéniable. Voici la sélection stratégique des 10 commandes vitales pour tout administrateur réseau, suivie d'un guide pratique pour automatiser vos sauvegardes. 🛠 Partie 1 : L'Arsenal du SysAdmin (Top 10) 1️⃣ Le Check Vital Bash /system resource print 👉 Pourquoi ? C'est la première chose à faire quand "le réseau est lent". Analyse : Uptime, version RouterOS, Charge CPU & RAM. 💡 Pro Tip : Si le CPU est à 100%, regardez la ligne cpu-load ou passez à /tool profile pour voir quel processus sature le routeur. 2️⃣ Le Moniteur Temps Réel Bash /interface monitor-traffic <interface...
Lire la suite

Qu’est-ce que le démarrage réseau (PXE) et comment l’utiliser?

Image
I. Présentation Dans cet article, nous allons parler du boot PXE ainsi que du boot iPXE , deux notions essentielles à connaître en tant qu’administrateur système et réseau. Elles sont directement liées à un processus incontournable pour les entreprises : le déploiement de postes de travail . Traditionnellement, lorsqu'on souhaite installer un système d’exploitation sur un poste de travail, on utilise une clé USB sur laquelle on a préalablement copié l’image ISO du système. Une fois cela fait, on connecte physiquement la clé à l’ordinateur, qui charge son contenu afin de lancer l’installation. De manière similaire, bien que plus rare aujourd’hui, on peut également utiliser un CD ou un DVD d’installation, mais là encore, il faut disposer d’un support physique. Grâce au boot PXE ou iPXE , il est possible de s’affranchir de l’utilisation de ces supports physiques, car le démarrage se fait à travers le réseau . Si vous débutez en informatique et que vous souhaitez comprendre le fon...
Lire la suite