« SE4 construction de réseau » : différence entre les versions
| Ligne 279 : | Ligne 279 : | ||
== Interconnexion des routeurs == | == Interconnexion des routeurs == | ||
Le réseau d’interconnexion entre les routeurs est <code>192.168.222.32/27</code> et doit être implanté sur une interface de routage. Il est conseillé de jetter un coup d’oeil | Le réseau d’interconnexion entre les routeurs est <code>192.168.222.32/27</code> et doit être implanté sur une interface de routage. Il est conseillé de jetter un coup d’oeil aux sections sur la connexion à Internet pour déterminer les adresses IPv4 de vos routeurs dans le réseau d’interconnexion. Reliez les routeurs entre eux à l’aide du dernier commutateur. Les routeurs s’échangeront leurs tables de routage en utilisant le protocole RIPv2. L’IOS de Cisco permet de déclarer le protocole de routage RIP par le mot clef <code>router rip</code>. Comme nous cherchons à router une classe A disjointe (réseau IP <code>10.0.0.0/8</code>), il faut préciser la directive <code>no auto-summary</code> dans le bloc de configuration. Dans ce bloc de configuration, il suffit ensuite de déclarer les réseaux participant au routage RIP avec le mot clef <code>network</code>. Vérifiez que la table de routage se remplit bien avec la commande <code>show ip route</code>. | ||
== Connexion à Internet, première méthode == | == Connexion à Internet, première méthode == | ||
Pour la suite du TP, vous allez connecter vos réseaux au réseau de l’école. Une prise dans votre baie de brassage conduit au VLAN 132 privé du réseau de l’école. Connectez ce VLAN au réseau d’interconnexion de vos routeurs. Lisez attentivement l’extrait de session sur le routeur ci-dessous pour déterminer l’adresse | Pour la suite du TP, vous allez connecter vos réseaux au réseau de l’école. Une prise dans votre baie de brassage conduit au VLAN 132 privé du réseau de l’école. Connectez ce VLAN au réseau d’interconnexion de vos routeurs. Lisez attentivement l’extrait de session sur le routeur ci-dessous pour déterminer l’adresse IPv4 que doit avoir votre propre routeur sur le réseau IPv4 <code>192.168.222.32/27</code>. | ||
RG20-R6506#show running-config | include ip route 10.10 | RG20-R6506#show running-config | include ip route 10.10 | ||
ip route 172.26.0.0 255.255.255.224 192.168.222.34 | ip route 172.26.0.0 255.255.255.224 192.168.222.34 | ||
ip route 172.26.0.32 255.255.255.224 192.168.222.35 | ip route 172.26.0.32 255.255.255.224 192.168.222.35 | ||
ip route 172.26.0.64 255.255.255.224 192.168.222.36 | ip route 172.26.0.64 255.255.255.224 192.168.222.36 | ||
ip route 172.26.0.96 255.255.255.224 192.168.222.37 | ip route 172.26.0.96 255.255.255.224 192.168.222.37 | ||
ip route 172.26.0.128 255.255.255.224 192.168.222.38 | ip route 172.26.0.128 255.255.255.224 192.168.222.38 | ||
ip route 172.26.0.160 255.255.255.224 192.168.222.39 | ip route 172.26.0.160 255.255.255.224 192.168.222.39 | ||
ip route 172.26.0.192 255.255.255.224 192.168.222.40 | ip route 172.26.0.192 255.255.255.224 192.168.222.40 | ||
ip route 172.26.0.224 255.255.255.224 192.168.222.41 | ip route 172.26.0.224 255.255.255.224 192.168.222.41 | ||
ip route 172.26.1.0 255.255.255.224 192.168.222.42 | ip route 172.26.1.0 255.255.255.224 192.168.222.42 | ||
ip route 172.26.1.32 255.255.255.224 192.168.222.43 | ip route 172.26.1.32 255.255.255.224 192.168.222.43 | ||
ip route 172.26.1.64 255.255.255.224 192.168.222.44 | ip route 172.26.1.64 255.255.255.224 192.168.222.44 | ||
ip route 172.26.1.96 255.255.255.224 192.168.222.45 | ip route 172.26.1.96 255.255.255.224 192.168.222.45 | ||
ip route 172.26.1.128 255.255.255.224 192.168.222.46 | ip route 172.26.1.128 255.255.255.224 192.168.222.46 | ||
ip route 172.26.1.160 255.255.255.224 192.168.222.47 | ip route 172.26.1.160 255.255.255.224 192.168.222.47 | ||
ip route 172.26.1.192 255.255.255.224 192.168.222.48 | ip route 172.26.1.192 255.255.255.224 192.168.222.48 | ||
ip route 172.26.1.224 255.255.255.224 192.168.222.49 | ip route 172.26.1.224 255.255.255.224 192.168.222.49 | ||
Pour trouver l’adresse IP de la route par défaut à implanter sur vos routeurs, regardez l’extrait de session ci-dessous : | Pour trouver l’adresse IP de la route par défaut à implanter sur vos routeurs, regardez l’extrait de session ci-dessous : | ||
RG20-R6506#show running-config interface vlan132 | RG20-R6506#show running-config interface vlan132 | ||
Building configuration... | Building configuration... | ||
Current configuration : 146 bytes | Current configuration : 146 bytes | ||
! | ! | ||
interface Vlan132 | interface Vlan132 | ||
ip address 192.168.222.33 255.255.255.224 | |||
ip access-group 2032 out | |||
no ip mroute-cache | |||
end | end | ||
Vérifiez que vos machines ont maintenant accès au réseau de l’école. Faites en sorte de pouvoir naviguer sur le web à partir de votre machine virtuelle. Comme serveur DNS, il est conseillé d’utiliser la machine d’adresse | Vérifiez que vos machines ont maintenant accès au réseau de l’école. Faites en sorte de pouvoir naviguer sur le web à partir de votre machine virtuelle. Comme serveur DNS, il est conseillé d’utiliser la machine d’adresse IPv4 <code>193.48.57.48</code>. | ||
== Connexion à Internet, seconde méthode == | |||
Plutôt qu’une connexion sur le réseau privé de l’école, vous allez tenter de connecter votre réseau local à Internet en passant par une liaison ADSL. Une autre prise dans votre baie de brassage conduit au VLAN 20 du réseau de l’école sur lequel se trouve un routeur ADSL. Connectez ce VLAN au commutateur commun. Vous allez devoir implanter deux VLAN sur ce commutateur pour séparer les flux, il semble assez logique de numéroter ces VLAN 20 et 132. | Plutôt qu’une connexion sur le réseau privé de l’école, vous allez tenter de connecter votre réseau local à Internet en passant par une liaison ADSL. Une autre prise dans votre baie de brassage conduit au VLAN 20 du réseau de l’école sur lequel se trouve un routeur ADSL. Connectez ce VLAN au commutateur commun. Vous allez devoir implanter deux VLAN sur ce commutateur pour séparer les flux, il semble assez logique de numéroter ces VLAN 20 et 132. | ||
| Ligne 323 : | Ligne 324 : | ||
Pour pouvoir basculer d’une sortie Internet à une autre par un simple changement de la route par défaut sur votre routeur de site, il vous est demandé de connecter ce routeur au commutateur commun par un port "trunk". Pour connecter votre routeur de site sur les deux VLAN 20 et 132, vous implanterez des sous-interfaces sur l’interface de routage déjà utilisée. | Pour pouvoir basculer d’une sortie Internet à une autre par un simple changement de la route par défaut sur votre routeur de site, il vous est demandé de connecter ce routeur au commutateur commun par un port "trunk". Pour connecter votre routeur de site sur les deux VLAN 20 et 132, vous implanterez des sous-interfaces sur l’interface de routage déjà utilisée. | ||
Comme adresse pour votre routeur dans le VLAN 20 prenez une adresse IPv4 en 192.168.1.100+nb avec nb le numéro de votre réseau local. L’adresse IPv4 du routeur ADSL est 192.168.1.253. | Comme adresse pour votre routeur dans le VLAN 20 prenez une adresse IPv4 en <code>192.168.1.100+nb</code> avec <code>nb</code> le numéro de votre réseau local. L’adresse IPv4 du routeur ADSL est <code>192.168.1.253</code>. | ||
Basculez le routage par défaut sur le routeur ADSL. Vérifiez que vous avez un accès à Internet. Le passage par un mandataire web est-il encore nécessaire ? | Basculez le routage par défaut sur le routeur ADSL. Vérifiez que vous avez un accès à Internet. Le passage par un mandataire web est-il encore nécessaire ? | ||
Cette fois vous allez implanter votre propre mascarade. Pour cela, vous passerez par un troisième VLAN du réseau de l’école. Ce troisième VLAN est un VLAN avec des adresses publiques, il s’agit du VLAN 111 de réseau IPv4 associé 193.48.65.96/27. Connectez la prise de la baie de brassage correspondante sur le commutateur commun, rajoutez le VLAN sur ce dernier. | == Connexion à Internet, troisième méthode == | ||
Cette fois vous allez implanter votre propre mascarade. Pour cela, vous passerez par un troisième VLAN du réseau de l’école. Ce troisième VLAN est un VLAN avec des adresses publiques, il s’agit du VLAN 111 de réseau IPv4 associé <code>193.48.65.96/27</code>. Connectez la prise de la baie de brassage correspondante sur le commutateur commun, rajoutez le VLAN sur ce dernier. | |||
Si assez de routeurs sont disponibles ne configurez pas le réseau du VLAN 111 sur votre routeur de site, utilisez un routeur libre pour réaliser la mascarade. Connectez donc ce second routeur au VLAN 111 par une de ses interfaces de routage. Comme adresse pour votre routeur dans le VLAN 111 prenez une adresse IPv4 en 193.48.65.100+nb avec nb le numéro de votre réseau local. Dans le VLAN 111, l’adresse IPv4 du routeur de l’école est 193.48.65.126. Pour l’interconnexion entre le routeur de site et le routeur de mascarade utilisez le réseau IPv4 192.168.222.248/29. Vous êtes libres des adresses IPv4 que vous affectez aux deux routeurs. | Si assez de routeurs sont disponibles ne configurez pas le réseau du VLAN 111 sur votre routeur de site, utilisez un routeur libre pour réaliser la mascarade. Connectez donc ce second routeur au VLAN 111 par une de ses interfaces de routage. Comme adresse pour votre routeur dans le VLAN 111 prenez une adresse IPv4 en <code>193.48.65.100+nb</code> avec <code>nb</code> le numéro de votre réseau local. Dans le VLAN 111, l’adresse IPv4 du routeur de l’école est <code>193.48.65.126</code>. Pour l’interconnexion entre le routeur de site et le routeur de mascarade utilisez le réseau IPv4 <code>192.168.222.248/29</code>. Vous êtes libres des adresses IPv4 que vous affectez aux deux routeurs. | ||
S’il n’y a plus de routeur disponible, implantez directement le VLAN 111 sur votre routeur de site avec une adresse en 193.48.65.100+nb où nb est le numéro de votre réseau. | S’il n’y a plus de routeur disponible, implantez directement le VLAN 111 sur votre routeur de site avec une adresse en <code>193.48.65.100+nb</code> où <code>nb</code> est le numéro de votre réseau. | ||
La mise en place de la mascarade se fait très simplement sous IOS. Il suffit d’ajouter les directives ip nat inside et ip nat outside sur les interfaces ad hoc. Avec un peu de réflexion vous trouverez quelle directive se place sur quelle interface. Il est aussi nécessaire d’utiliser une directive globale : | La mise en place de la mascarade se fait très simplement sous IOS. Il suffit d’ajouter les directives <code>ip nat inside</code> et <code>ip nat outside</code> sur les interfaces ad hoc. Avec un peu de réflexion vous trouverez quelle directive se place sur quelle interface. Il est aussi nécessaire d’utiliser une directive globale : | ||
la dite directive s’appuie sur une règle de filtrage de la forme (attention le masque demandé pour le réseau IPv4 doit être donné à l’inverse bit à bit) : | |||
access-list <numéro> permit ip <réseau IP source> any | access-list <numéro> permit ip <réseau IP source> any | ||
la directive globale de mascarade est de la forme : | |||
ip nat inside source list <numéro de règle> interface <nom d'interface publique> overload | ip nat inside source list <numéro de règle> interface <nom d'interface publique> overload | ||
Ajustez les routes par défaut pour que vos machines puissent sortir sur Internet. Vous devriez avoir une connexion équivalente à celle de la seconde méthode. | Ajustez les routes par défaut pour que vos machines puissent sortir sur Internet. Vous devriez avoir une connexion équivalente à celle de la seconde méthode. | ||
Version du 27 septembre 2023 à 10:00
Introduction
Objectif
L’objectif de ces travaux pratiques consiste à réaliser physiquement des réseaux locaux interconnectés entre-eux. Chaque réseau local est constitué d’un commutateur/routeur, d’un point d’accès WiFi et d’un ensemble de machines (chaque binôme configure une machine virtuelle filaire et un système embarqué RaspBerry Pi WiFi). Les réseaux locaux vont être relié à Internet en utilisant plusieurs méthodes dont une masquarade que vous aurez à configurer vous-même.
Vous pourrez ainsi mettre en pratique l’ensemble des connaissances acquises lors du cours.
Matériel
Les matériels suivants sont disponibles pour ces travaux pratiques :
- seize routeurs/commutateurs ISR4221 avec un IOS XE ;
- quatorze points d’accès WiFi Aironet avec un IOS supérieur ou égal à 12.3 ;
- quatorze PC classiques mais équipés de 2 cartes Ethernet ;
- vingt-huit RaspBerry Pi avec leurs interfaces USB/série et WiFi ;
- vingt-huit WebCam ;
- moult jarretières RJ45.
Installation d’un système d’exploitation
Afin d’accèder au réseau, il vous faut commencer par installer un système Linux (distribution Devuan). Pour ne pas interférer avec le fonctionnement normal de la machine de TP, vous allez créer une machine virtuelle dans laquelle vous installerez le système d’exploitation. Vour utiliserez pour cela kvm, qui émule une machine physique de type PC.
La première opération à réaliser consiste à créer un fichier qui sera utilisé par la machine virtuelle comme disque dur. Dans le répertoire /usr/local1/tmp/ commencez par créer un répertoire dont le nom est votre identifiant école. Puis créez le fichier en utilisant la commande
qemu-img create /usr/local1/tmp/<login>/disk 10G
Installation DVD
Une fois que votre disque virtuel est créé, vous pouvez lancer l’installation dans la machine virtuelle avec la commande :
kvm -m 1024 -hda /usr/local1/tmp/<login>/disk -cdrom <image ISO> -net nic-net user
L'image ISO citée dans la commande ci-dessus est la plus récente image ISO d'installation de la distribution Linux Devuan se trouvant dans le répertoire /usr/local1/devuan/.
Cette commande lance la machine virtuelle en lui indiquant le fichier servant de disque dur créé précédement (option -hda /usr/local1/tmp/<login>/disk) et en lui indiquant que votre machine virtuelle aura un lecteur optique virtuel.
Vous indiquerez, quand cela vous sera demandé, que vous ne voulez pas utiliser un autre disque optique mais que vous voulez utiliser un dépôt Devuan en complément. Cette méthode d’installation nous évite de devoir télécharger toutes les images des DVD d’installation.
Les autres éléments de configuration sont expliqués dans la section suivante.
Configuration de Linux
Si vous êtes un peu perdu dans l’installation de la distribution Devuan vous pouvez trouver de l’aide à l’URL [1].
Quelques éléments pour la configuration :
- utilisez l'installation en mode expert, commencez par le premier item d'installation et sélectionnez toujours les étapes dans l'ordre proposé ;
- sauf mention contraire les options par défaut sont les bonnes ;
- comme langage sélectionnez l'anglais version patoi UK ;
- sélectionnez un clavier français ;
- laissez se faire la configuration réseau automatique (DHCP pour IPv4) ;
- comme nom de machine prenez le nom de la machine de TP préfixé de la lettre
v(comme virtuelle), utilisezplil.infocomme nom de domaine ; - imposez les mots de passe habituel pour
rootet pour l'utilisateurpifou; - utilisez un disque entier pour l'installation, tous les fichiers dans la même partition (attention à bien valider la modification) ;
- utilisez un dépôt de paquetages Devuan situé en France, permettez d'installer des paquetages non libres ;
- installez les ensembles de logiciels "Environnement de bureau/XFCE", "Serveur Web", "Outils console", "Serveur SSH" et "Utilitaires standards" (attention la sélection des ensembles se fait avec la barre d'espace) ;
- pour atteindre le dépot Devuan vous devrez utiliser le serveur mandataire Web (proxy Web in english) de la plateforme informatique (
http://proxy.plil.fr:3128) ; - n'oubliez pas d'installer GRUB sur votre disque virtuel.
Pendant l’installation, vous allez pouvoir commencer la configuration de vos réseaux locaux (section suivante).
À la fin l’installation de votre machine fixe, supprimez le paquetage network-manager et ajoutez le logiciels ci-dessous.
- l’analyseur de réseau
wireshark; - le service
telnet(paquetagetelnetd) ; - le logiciel
nc(paquetagenetcat).
Une fois l’installation de votre machine terminée, vous pouvez connecter la seconde carte réseau de votre machine physique sur un port du commutateur de votre réseau. Afin de pouvoir lier la carte réseau virtuelle avec la seconde carte réseau physique, vous devez relancer la machine virtuelle de la manière suivante :
- utilisation de la commande
super mktapafin de récupérer le nom d’une interfacetapXqui permettra de faire le lien entre les cartes réseau ; - lancement de la machine virtuelle avec la commande suivante :
kvm -m 1024 -hda /usr/local1/tmp/<login>/disk -net nic,macaddr=00:11:11:11:YY:XX -net tap,ifname=tapX,script=no,downscript=no
L'avant dernier octet correspond à la salle de TP (05 pour la C105 ou 06 pour la C106). Le dernier octet de l’adresse MAC correspondra au numéro de votre machine physique.
Configuration des Raspberry Pi
Pour configurer votre RaspBerry Pi, connectez-la sur votre PC fixe via le câble de liaison USB/série (masse sur la broche 6, RX jaune sur la broche 8 et TX orange sur la broche 10). N'oubliez pas de vous donner les droit sur ce port série par la commande super usb.
La configuration se fait en utilisant l’utilitaire minicom avec l'option -D pour spécifier le périphérique (/dev/ttyS0 pour un port classique ou /dev/ttyUSB0 pour un adaptateur USB) et avec l'option -d pour spécifier la vitesse. Pour les Raspberry Pi vous pouvez utiliser une vitesse de 115200 bauds. Il vous faudra aussi supprimer le contrôle de flux (pour cela utilisez le menu "Serial Port Setup" que vous pouvez atteindre par les touches CTRL-a puis o).
L’identifiant de l’utilisateur de la RaspBerry Pi est pi sans mot de passe.
Configuration des réseaux locaux
Vous allez concevoir et implanter des réseaux locaux. Ces réseaux locaux seront composés de quatre réseaux IP, deux pour les machines filaires et deux pour les machines WiFi. A ces quatre réseaux s’ajoute le réseau de service permettant d’accéder aux équipements réseau. Les adresses des réseaux IP sont les suivantes :
| N° de réseau | Service | Filaire 1 | WiFi 1 | Filaire 2 | WiFi 2 |
|---|---|---|---|---|---|
| Réseau 1 | 172.26.0.24/30 | 172.26.0.0/29 | 172.26.0.8/29 | 172.26.0.16/30 | 172.26.0.20/30 |
| Réseau 2 | 172.26.0.56/30 | 172.26.0.32/29 | 172.26.0.40/29 | 172.26.0.48/30 | 172.26.0.52/30 |
| Réseau 3 | 172.26.0.88/30 | 172.26.0.64/29 | 172.26.0.72/29 | 172.26.0.80/30 | 172.26.0.84/30 |
| Réseau 4 | 172.26.0.120/30 | 172.26.0.96/29 | 172.26.0.104/29 | 172.26.0.112/30 | 172.26.0.116/30 |
| Réseau 5 | 172.26.0.152/30 | 172.26.0.128/29 | 172.26.0.136/29 | 172.26.0.144/30 | 172.26.0.148/30 |
| Réseau 6 | 172.26.0.184/30 | 172.26.0.160/29 | 172.26.0.168/29 | 172.26.0.176/30 | 172.26.0.180/30 |
| Réseau 7 | 172.26.0.216/30 | 172.26.0.192/29 | 172.26.0.200/29 | 172.26.0.208/30 | 172.26.0.212/30 |
| Réseau 8 | 172.26.0.248/30 | 172.26.0.224/29 | 172.26.0.232/29 | 172.26.0.240/30 | 172.26.0.244/30 |
| Réseau 9 | 172.26.1.24/30 | 172.26.1.0/29 | 172.26.1.8/29 | 172.26.1.16/30 | 172.26.1.20/30 |
| Réseau 10 | 172.26.1.56/30 | 172.26.1.32/29 | 172.26.1.40/29 | 172.26.1.48/30 | 172.26.1.52/30 |
| Réseau 11 | 172.26.1.88/30 | 172.26.1.64/29 | 172.26.1.72/29 | 172.26.1.80/30 | 172.26.1.84/30 |
| Réseau 12 | 172.26.1.120/30 | 172.26.1.96/29 | 172.26.1.104/29 | 172.26.1.112/30 | 172.26.1.116/30 |
| Réseau 13 | 172.26.1.152/30 | 172.26.1.128/29 | 172.26.1.136/29 | 172.26.1.144/30 | 172.26.1.148/30 |
| Réseau 14 | 172.26.1.184/30 | 172.26.1.160/29 | 172.26.1.168/29 | 172.26.1.176/30 | 172.26.1.180/30 |
| Réseau 15 | 172.26.1.216/30 | 172.26.1.192/29 | 172.26.1.200/29 | 172.26.1.208/30 | 172.26.1.212/30 |
| Réseau 16 | 172.26.1.248/30 | 172.26.1.224/29 | 172.26.1.232/29 | 172.26.1.240/30 | 172.26.1.244/30 |
Vous commencerez par implanter vos réseaux locaux et vous assurer que le machines connectées dessus puissent communiquer. Dans un second temps vous interconnecterez vos réseaux locaux et vous ferez en sorte qu'ils puissent sortir sur Internet.
Architecture de vos réseaux locaux
Les machines filaires sont distribuées équitablement sur deux VLAN (VLAN numéro 2 et VLAN numéro 3) déclarés sur votre commutateur. Le point d’accès WiFi est connecté par une liaison "trunk" sur une interface de commutation du commutateur/routeur. La liaison "trunk" va permettre de porter les VLAN WiFi numéros 4 et 5.
Accès au commutateur / routeur ISR4221
Pour configurer l'ISR4221, vous devez assurer une connexion série entre l'élément réseau Cisco et votre machine de TP. Pour cela vous passerez par le panneau de brassage du local technique et par les prises en C105 et C106. Dans le local technique le jarretièrage se fait avec les câbles de couleur, dans les salles de TP le jarretièrage se fait avec les câbles gris. Sur la machine de TP utilisez un port série (classique ou via un adaptateur USB). N'oubliez pas de vous donner les droit sur ce port série par les commandes super serial et super usb.
La configuration se fait en utilisant l’utilitaire minicom avec l'option -D pour spécifier le périphérique (/dev/ttyS0 pour un port classique ou /dev/ttyUSB0 pour un adaptateur USB) et avec l'option -d pour spécifier la vitesse. Pour les équipements Cisco vous pouvez utiliser une vitesse de 9600 bauds. Il vous faudra aussi supprimer le contrôle de flux (pour cela utilisez le menu "Serial Port Setup" que vous pouvez atteindre par les touches CTRL-a puis o).
Première configuration de l'ISR4221
Vous pouvez vous familiariser avec le shell IOS Cisco avec la session suivante.
router>enable Password: router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. router(config)#exit router#write Building configuration... [OK] router#reload Proceed with reload? [confirm]
Il vous est ensuite demandé de mettre le mot de passe habituel sur l'équipement et de faire en sorte qu'il puisse être accédé par ssh sur le VLAN de service c'est à dire le VLAN de numéro 1.
Pour configurer le mot de passe intéressez-vous à l'exemple ci-dessous.
router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. router(config)#enable secret <motdepasse> router(config)#line vty 0 15 router(config-line)#password <motdepasse> router(config-line)#exit
Pour donner une adresse IP à votre routeur sur le VLAN 1, inspirez-vous de l'exemple ci-dessous.
router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. router(config)#interface Vlan1 router(config-if)#ip address 192.168.0.10 255.255.255.0 router(config-if)#exit router(config)#exit
Enfin vous avez tous les éléments nécessaires pour la configuration du serveur ssh ci-dessous.
router#configure terminal router(config)#hostname myrouter myrouter(config)#aaa new-model myrouter(config)#username admin privilege 15 secret <motdepasse> myrouter(config)#ip domain-name plil.info myrouter(config)#crypto key generate rsa myrouter(config)#line vty 0 15 myrouter(config-line)#transport input ssh myrouter(config-line)#exit
Donnez une adresse IPv4 à votre machine virtuelle dans le VLAN 1 et connectez-la sur un port de commutation de votre commutateur par un jarretièrage adapté. Vérifiez que vous pouvez vous connecter à votre équipement par ssh.
Pour configurer votre machine virtuelle modifiez le fichier /etc/network/interfaces en vous inspirant de l'exemple ci-dessous.
# The loopback network interface auto lo iface lo inet loopback # The primary network interface (IPv4) iface eth0 inet dhcp # A secondary network interface (IPv4) iface eth1 inet static address 172.26.79.42 netmask 255.255.240.0 # gateway 172.26.79.254
Configuration des VLAN
Implantez vos VLAN sur le commutateur Cisco en vous connectant par ssh. Il vous est demandé de mettre deux ports dans chacun des VLAN filaires et de préparer un port pour une liaison Trunk vers le point d'accès WiFi. L'exemple de session ci-dessous vous aidera à utiliser les bonnes commandes.
switch#configure terminal Enter configuration commands, one per line. End with CNTL/Z. switch(config)#vlan 2 switch(config-vlan)#name Principal switch(config-vlan)#exit switch#show interfaces status ... switch#configure terminal Enter configuration commands, one per line. End with CNTL/Z. switch(config)#interface gigabitEthernet0/7 switch(config-if)#switchport switch(config-if)#switchport mode access switch(config-if)#switchport access vlan 2 switch(config-if)#exit switch(config)#interface gigabitEthernet1/1 switch(config-if)#switchport trunk encapsulation dot1q # Si nécessaire switch(config-if)#switchport mode trunk switch(config-if)#exit
Testez votre configuration de la partie commutation en plaçant à la fois votre machine virtuelle et votre Raspberry Pi sur le même VLAN. Configurez correctement les deux machines en IPv4. Vérifiez que les deux machines communiquent avec les utilitaires ping et ssh. Déplacez une des deux machines sur l'autre VLAN filaire. Que constatez-vous ?
Routage de vos VLAN
Configurez votre routeur Cisco pour que vos 5 VLAN soient routés entre eux sans limitation. Pour cela il vous suffit de mettre une adresse IPv4 à votre routeur dans chaque VLAN. Inspirez-vous de l'exemple de session ci-dessous.
router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. router(config)#interface Vlan2 router(config-if)#ip address 192.168.1.1 255.255.255.0 router(config-if)#exit router(config)#exit
Testez votre routage en reprenant la maquette de la section précedente, à savoir votre machine virtuelle dans un VLAN filaire et votre Raspberry Pi dans l'autre. Configurez correctement les deux machines en IPv4.Vérifiez que les deux machines communiquent avec les utilitaires ping et ssh.
Configuration du point d'accès WiFi
Vous pouvez maintenant configurer votre point d’accès et connecter votre système embarqué en WiFi sur votre réseau.
Dans la mesure du possible configurez votre point d’accès en 5Ghz (interface Dot11Radio1) pour éviter au maximum les interférences. Il est rappelé qu’il n’y a que 3 canaux indépendants en 2,4Ghz mais une vingtaine, pour l’europe, en 5Ghz.
Vous allez implanter deux SSID sur votre point d’accès WiFi-nb-a et WiFi-nb-b avec nb votre numéro de réseau. Pour chaque SSID il est demandé d’utiliser une sécurisation de type WPA-PSK. Voici un exemple de configuration de réseau WiFi avec ce type de sécurisation en utilisant l’IOS de Cisco :
dot11 ssid WiFi-1-a vlan 4 authentication open authentication key-management wpa wpa-psk ascii 0 motdepasse mbssid guest-mode !
Au préalable, il faut configurer le mode SSID multiple (mot clef mbssid) ainsi que les méthodes de cryptage (mot clef encryption) TKIP et AES-CCMP sur l’interface Dot11Radio1. Enfin il ne faut pas oublier d’ajouter les SSID à l’interface Dot11Radio1 (mot clef éponyme).
Pour assurer la correspondance entre les SSID et les VLAN filaires un bloc de commandes, dont un exemple est donné ci-dessous, doit être inséré dans la configuration pour chaque SSID.
interface Dot11Radio1.4 encapsulation dot1Q 4 bridge-group 4 ! interface GigabitEthernet0.4 encapsulation dot1Q 4 bridge-group 4 !
Configuration d’un serveur DHCP
Pour faciliter la connexion des périphériques WiFi, vous allez configurer votre routeur de site pour permettre une configuration automatique des paramètres IPv4.
Vous allez donc configurer un groupe DHCP pour chaque réseau WiFi :
ip dhcp pool groupea ... !
Pour le groupe vous devez définir un réseau IPv4 (mot clef network), un serveur DNS (mot clef dns-server) et un routeur (mot clef default-router).
N’oubliez pas d’exclure des groupes les adresses IPv4 que vous utilisez pour le routage avec la commande ip dhcp excluded-address à taper en dehors de la définition du groupe.
Vous pouvez vérifier la configuration des groupes avec la commande show ip dhcp pool et lister les adresses délivrées par DHCP avec la commande show ip dhcp binding. Il est aussi possible de supprimer les licences DHCP déjà délivrées avec la commande clear ip dhcp-server binding *.
Interconnexion des routeurs
Le réseau d’interconnexion entre les routeurs est 192.168.222.32/27 et doit être implanté sur une interface de routage. Il est conseillé de jetter un coup d’oeil aux sections sur la connexion à Internet pour déterminer les adresses IPv4 de vos routeurs dans le réseau d’interconnexion. Reliez les routeurs entre eux à l’aide du dernier commutateur. Les routeurs s’échangeront leurs tables de routage en utilisant le protocole RIPv2. L’IOS de Cisco permet de déclarer le protocole de routage RIP par le mot clef router rip. Comme nous cherchons à router une classe A disjointe (réseau IP 10.0.0.0/8), il faut préciser la directive no auto-summary dans le bloc de configuration. Dans ce bloc de configuration, il suffit ensuite de déclarer les réseaux participant au routage RIP avec le mot clef network. Vérifiez que la table de routage se remplit bien avec la commande show ip route.
Connexion à Internet, première méthode
Pour la suite du TP, vous allez connecter vos réseaux au réseau de l’école. Une prise dans votre baie de brassage conduit au VLAN 132 privé du réseau de l’école. Connectez ce VLAN au réseau d’interconnexion de vos routeurs. Lisez attentivement l’extrait de session sur le routeur ci-dessous pour déterminer l’adresse IPv4 que doit avoir votre propre routeur sur le réseau IPv4 192.168.222.32/27.
RG20-R6506#show running-config | include ip route 10.10 ip route 172.26.0.0 255.255.255.224 192.168.222.34 ip route 172.26.0.32 255.255.255.224 192.168.222.35 ip route 172.26.0.64 255.255.255.224 192.168.222.36 ip route 172.26.0.96 255.255.255.224 192.168.222.37 ip route 172.26.0.128 255.255.255.224 192.168.222.38 ip route 172.26.0.160 255.255.255.224 192.168.222.39 ip route 172.26.0.192 255.255.255.224 192.168.222.40 ip route 172.26.0.224 255.255.255.224 192.168.222.41 ip route 172.26.1.0 255.255.255.224 192.168.222.42 ip route 172.26.1.32 255.255.255.224 192.168.222.43 ip route 172.26.1.64 255.255.255.224 192.168.222.44 ip route 172.26.1.96 255.255.255.224 192.168.222.45 ip route 172.26.1.128 255.255.255.224 192.168.222.46 ip route 172.26.1.160 255.255.255.224 192.168.222.47 ip route 172.26.1.192 255.255.255.224 192.168.222.48 ip route 172.26.1.224 255.255.255.224 192.168.222.49
Pour trouver l’adresse IP de la route par défaut à implanter sur vos routeurs, regardez l’extrait de session ci-dessous :
RG20-R6506#show running-config interface vlan132 Building configuration...
Current configuration : 146 bytes ! interface Vlan132 ip address 192.168.222.33 255.255.255.224 ip access-group 2032 out no ip mroute-cache end
Vérifiez que vos machines ont maintenant accès au réseau de l’école. Faites en sorte de pouvoir naviguer sur le web à partir de votre machine virtuelle. Comme serveur DNS, il est conseillé d’utiliser la machine d’adresse IPv4 193.48.57.48.
Connexion à Internet, seconde méthode
Plutôt qu’une connexion sur le réseau privé de l’école, vous allez tenter de connecter votre réseau local à Internet en passant par une liaison ADSL. Une autre prise dans votre baie de brassage conduit au VLAN 20 du réseau de l’école sur lequel se trouve un routeur ADSL. Connectez ce VLAN au commutateur commun. Vous allez devoir implanter deux VLAN sur ce commutateur pour séparer les flux, il semble assez logique de numéroter ces VLAN 20 et 132.
Pour pouvoir basculer d’une sortie Internet à une autre par un simple changement de la route par défaut sur votre routeur de site, il vous est demandé de connecter ce routeur au commutateur commun par un port "trunk". Pour connecter votre routeur de site sur les deux VLAN 20 et 132, vous implanterez des sous-interfaces sur l’interface de routage déjà utilisée.
Comme adresse pour votre routeur dans le VLAN 20 prenez une adresse IPv4 en 192.168.1.100+nb avec nb le numéro de votre réseau local. L’adresse IPv4 du routeur ADSL est 192.168.1.253.
Basculez le routage par défaut sur le routeur ADSL. Vérifiez que vous avez un accès à Internet. Le passage par un mandataire web est-il encore nécessaire ?
Connexion à Internet, troisième méthode
Cette fois vous allez implanter votre propre mascarade. Pour cela, vous passerez par un troisième VLAN du réseau de l’école. Ce troisième VLAN est un VLAN avec des adresses publiques, il s’agit du VLAN 111 de réseau IPv4 associé 193.48.65.96/27. Connectez la prise de la baie de brassage correspondante sur le commutateur commun, rajoutez le VLAN sur ce dernier.
Si assez de routeurs sont disponibles ne configurez pas le réseau du VLAN 111 sur votre routeur de site, utilisez un routeur libre pour réaliser la mascarade. Connectez donc ce second routeur au VLAN 111 par une de ses interfaces de routage. Comme adresse pour votre routeur dans le VLAN 111 prenez une adresse IPv4 en 193.48.65.100+nb avec nb le numéro de votre réseau local. Dans le VLAN 111, l’adresse IPv4 du routeur de l’école est 193.48.65.126. Pour l’interconnexion entre le routeur de site et le routeur de mascarade utilisez le réseau IPv4 192.168.222.248/29. Vous êtes libres des adresses IPv4 que vous affectez aux deux routeurs.
S’il n’y a plus de routeur disponible, implantez directement le VLAN 111 sur votre routeur de site avec une adresse en 193.48.65.100+nb où nb est le numéro de votre réseau.
La mise en place de la mascarade se fait très simplement sous IOS. Il suffit d’ajouter les directives ip nat inside et ip nat outside sur les interfaces ad hoc. Avec un peu de réflexion vous trouverez quelle directive se place sur quelle interface. Il est aussi nécessaire d’utiliser une directive globale :
la dite directive s’appuie sur une règle de filtrage de la forme (attention le masque demandé pour le réseau IPv4 doit être donné à l’inverse bit à bit) :
access-list <numéro> permit ip <réseau IP source> any
la directive globale de mascarade est de la forme :
ip nat inside source list <numéro de règle> interface <nom d'interface publique> overload
Ajustez les routes par défaut pour que vos machines puissent sortir sur Internet. Vous devriez avoir une connexion équivalente à celle de la seconde méthode.