switch

bases

mode utilisateur limité : Switch>
enable #mode privilégié : Switch#
config terminal #mode config : Switch(config)#
hostname […] #nom d’hôte
write #(=copy running-config startup-config)
exit / end

Configurer le Message du Jour (MOTD) :
Switch(config)# banner motd # Accès uniquement aux utilisateurs autorisés #

sécu

enable secret […] #mdp mode privilégié crypté
line con 0 #config pour console 0
password […] #mdp console
logging synchronous -synchroniser les messages de journalisation
login #exiger saisie mdp
service password-encryption #chiffrer tous les mdp

no ip domain-lookup #désactiver la résolution DNS
login block-for 100 attemps 3 within 60
#bloquer un utilisateur après 3 tentatives de dmp (fenêtre de 60s) pendant 100s
line con 0 (ou line vty 0 15)
exec time out 2 0
#temps max avant fermeture de session si inactive -ex 2mn 0s

Intégration des intrfc non utilisées dans le VLAN natif 99
int range fa0/2-9
switchport acces vlan 99

vlan

switch(config)#vlan 2
Switch(config-vlan)#name VLAN2 #facultatif
Switch(config)#interface fa0/2
switchport access vlan 2
Switch(config)#int range fa0/3-6 (si entendue de 3 à 6)
(Commutateur(config-if)#switchport mode access)
Switch(config-if)#switchport access vlan 20
Switch(config-if)#no shutdown
switchport access vlan 10
switchport mode trunk
switchport trunk allowed vlan 10,20 #facultatif, par défaut tous autorisés
witch(config)#vlan 99
Switch(config-vlan)#name Native
Switch(config-if)#switchport trunk native vlan 99
switchport voice vlan 5

port-security 

mode access (en général)
3 modes : protect (filtre) / restrict (+compteur,log et SNMP) / shutdown (+port error-disable, par défaut)
int fa0/1
swtitchport mode access
swtitchport port-security #active le port sécu
swtitchport port-security ? #affiche possibilités
swtitchport port-security maximum [x] #nb d’ad MAC acceptées sur le port (par défaut 1)
swtitchport port-security violation [protect/restrict/shutdown] #def mode de sécu
swtitchport port-security mac-address sticky #enregistrement dynamiq et permanente des ad MAC connectées (après -> « write »)
swtitchport port-security mac-address [ad-MAC] #config manuelle des ad MAC

désactivation des ports non utilisés
« shutdown + int range »

show port-security interface f0/5

afficher infos

show running-config #config actuel de l’appareil
show mac address-table
show int [fa0/1]
show int status
show ip int brief #afficher les ip associées aux int
show vlan brief #afficher tous les vlans crées
show portsecurity [int] #vérifier config, on peut préciser int

vlan d'administration

int vlan 1 #config IP sur vlan 1 présent par défaut sur tout les ports (ex admin à distance), méthode simple si pas de segmentation sur le réseau
ip add [adIP] [MSR] #attribue l’IP pour l’administration
no sh #sinon int désactivée

Configurez une SVI:
Création de l’Interface VLAN (SVI) :
Déterminez l’ID VLAN pour lequel vous souhaitez créer l’SVI. Par exemple, pour VLAN 1 (souvent utilisé pour la gestion), tapez :
interface vlan 1
Attribution d’une Adresse IP à l’SVI :
Attribuez une adresse IP à l’interface VLAN. Ex :
ip address 192.168.1.1 255.255.255.0
Activez l’interface en tapant no shutdown. Cette commande active l’interface, permettant la communication.

**************************************

Configuration d’une Route Par Défaut :
Si vous souhaitez que le switch puisse accéder à des réseaux en dehors de son réseau local, configurez une route par défaut. Par exemple, pour utiliser 192.168.1.254 comme passerelle par défaut :ip default-gateway 192.168.1.254

Admin à distance (SSH, telnet)

username [user] privilege 15 secret [mdp] #créer user avec privil max et mdp crypté
ip domain-name […]
crypto key generate rsa general-keys modulus 2048
line vty 0 4 (ou 0 15)
ip ssh version 2
transport input ssh
login local

-> Configurer une ip pour connexion distante
Ex : sur l’interface du VLAN 1
int vlan 1
ip address 192.168.1.1 255.255.255.0

    Switch couche3

ex : switch 3560-24PS

*activer routage
Switch(config)#ip routing
Switch(config)#exit
show ip route

*config VLAN aux interfaces
Switch(config)#vlan 2 #declaration du vlan
Switch(config-vlan)#int fa0/1
Switch(config-if)#switchport access vlan 2
*allumer les interfaces des VLANs
int vlan 2
ip address 192.168.10.1 255.255.255.0 (passerelle du switch)
no sh

*configurer un Port en tant que Port Routé :
interface fa0/24
no switchport
ip address 10.10.10.1 255.255.255.252
no shutdown

*Ajouter la passerelle par défault :
ip default-gateway

*pour attribuer une IP sur une interface et configurer une route statique
int fa0/3
no switchport #basculer la carte réseau en carte WAN
ip address x.x.x.x y.y.y.y
ip route adIPrsDest MSR ProchainSaut

*pour activer la prise en charge à la fois d’IPv4 et d’IPv6 (dual stack)
sdm prefer dual-ipv4-and-ipv6 routing

STP (spanning-tree protocol)

Election root bridge : BID inférieur -> valeur de priorité de pont, ID étendu, @MAC.
MAC/show spanning-tree
int fa0/2
spannig-tree cost 18
spanning-tree vlan 1,10,20 priority 24576
spanning-tree portfast -> remonte les liens instantanément en cas de changement de topologie / pour desports destinés à des hôtes finaux, pas pour ports trunk ou allant vers switch

    DHCP SNOOPING   (écoute)

Le switch distingue :
ports trusted = ports d’infrastructure
ports untrusted = ports utilisateurs
Ex : le port trunk est trusted / ports users non

ip dhcp snooping
ip dhcp snooping vlan 10,20,30
interface g0/1
ip dhcp snooping trust
show ip dhcp snooping

    ARP SPOOFING  (usurpation)

Dynamic ARP Inspection (DAI)
De même : déterminer les ports trusted
ip arp inspection vlan 10,20,30
interface g0/1
ip arp inspection trust
show ip arp inspection

    EtherCahannel

EtherChannel permet de grouper jusqu’à 8 liaisons redondantes au sein d’une seule liaison logique

Méthode	Protocole utilisé	Commande	Description
Statique	Aucun	on	L’agrégation est forcée, sans négociation
PAgP	Cisco propriétaire	desirable / auto	Négociation automatique (Cisco uniquement)
LACP	IEEE 802.3ad	active / passive	Standard ouvert, compatible multi-vendeurs

Switch(config)# interface range fa0/1 – 2
Switch(config-if-range)# channel-group 1 mode active Switch(config-if-range)# exit
Switch(config)# interface port-channel 1
Switch(config-if)# switchport mode trunk
show etherchannel summary
show interfaces port-channel 1

Bonnes pratiques

• Utiliser des interfaces homogènes
• Privilégier LACP pour la compatibilité
• Désactiver STP sur les interfaces membres, uniquement sur les anciennes versions IOS (non recommandé)
• Surveillez les erreurs avec :
  show interfaces counters errors