Exercice 1 — Configurer le switch Cisco de l'équipe¶
Durée : ~45 min · En équipe · Théorie associée : Les VLAN
Objectif¶
Configurer le switch physique de votre équipe pour qu'il transporte les trois VLAN internes de l'entreprise entre vos serveurs Proxmox, tout en conservant l'accès de gestion et le VLAN public du collège.
Prérequis¶
- Les serveurs Proxmox de l'équipe sont installés et joignables (semaine 2).
- Le switch de l'équipe est branché : un câble par serveur, plus un câble d'uplink vers le switch de la salle.
- Un câble console série et son adaptateur USB.
Le réseau que vous construisez¶
Votre équipe joue le service informatique de Cyclo-Nord, une boutique de vélos à trois succursales. L'entreprise a trois réseaux internes, et elle est raccordée au monde extérieur par le réseau du collège.
| VLAN | Nom | Sous-réseau | Ce qu'on y met |
|---|---|---|---|
| 10 | bureaux |
192.168.10.0/24 |
les postes des employés |
| 20 | serveurs |
192.168.20.0/24 |
la base de données des ventes, et votre poste d'administration |
| 30 | dmz |
192.168.30.0/24 |
la caisse web |
| 460 | publique |
fourni par le collège | la patte Internet du pare-feu |
| 700 | gestion |
10.70.0.0/16 |
l'interface web de Proxmox |
Les VLAN 10, 20 et 30 n'existent que dans votre switch. Chaque équipe utilise les mêmes numéros et les mêmes sous-réseaux, sans jamais se croiser : ils ne sortent pas par l'uplink.
Le VLAN 10 reste vide à l'exercice 3 : le pare-feu n'aura que trois pattes. Vous le configurez quand même ici, parce qu'un switch se câble une fois pour toute l'entreprise, pas une fois par service qu'on y branche.
Votre poste de travail a une seconde carte réseau, câblée jusqu'à la salle des serveurs. Vous allez la brancher sur votre switch d'équipe, dans le VLAN 20. C'est par là que vous administrerez le pare-feu à l'exercice 3, depuis l'intérieur du réseau de l'entreprise plutôt que depuis Internet.
flowchart TB
TOR["Switch de la salle<br/>VLAN 460 + 700"] ---|uplink<br/>trunk 460,700| SW
SW["sw-cyclonord"] ---|trunk<br/>10,20,30,460,700| S1["Serveur 1"]
SW ---|trunk| S2["Serveur 2"]
SW ---|trunk| S3["Serveur 3"]
SW ---|access<br/>VLAN 20| PC["Poste d'équipe<br/>seconde carte"]Ce switch porte l'accès de gestion de vos serveurs
Le trafic de l'interface web de Proxmox passe par ce switch. Une erreur sur le VLAN natif d'un port coupe l'accès au serveur correspondant, et il faudra le récupérer par iDRAC.
Étape 1 — Se connecter à la console du switch¶
Branchez le câble console dans le port Console du switch et l'adaptateur USB dans votre poste. Les paramètres du port série sont toujours les mêmes sur un équipement Cisco : 9600 bauds, 8 bits, aucune parité, 1 bit d'arrêt, aucun contrôle de flux.
Sous Windows, ouvrez PuTTY, choisissez Serial, indiquez le port COM3 et la vitesse 9600. Le numéro du port COM se lit dans le Gestionnaire de périphériques, sous Ports (COM et LPT).
Sous Linux :
Appuyez sur Entrée deux ou trois fois pour réveiller la session. L'invite du switch, Switch>, apparaît dans le terminal.
Étape 2 — Passer en mode privilégié¶
L'invite passe de > à #. Tout ce qui suit se fait dans ce mode.
Étape 3 — Relever le nom des ports¶
Le nom des interfaces dépend du modèle de switch. Affichez la liste avant d'écrire quoi que ce soit.
La commande liste chaque port avec son nom exact, son état et son VLAN courant. Notez où chaque câble arrive avant d'écrire la moindre ligne de configuration.
Le câblage de votre switch suit ce plan :
| Port | Ce qui y est branché | Mode |
|---|---|---|
GigabitEthernet1/0/1 |
l'uplink vers le switch de la salle des serveurs | trunk |
GigabitEthernet1/0/2 à 1/0/4 |
les trois nœuds Proxmox de l'équipe | trunk |
GigabitEthernet1/0/5 |
le poste d'équipe, par sa seconde carte réseau | accès |
Le nom des interfaces dépend du modèle. Si show interfaces status affiche autre chose que GigabitEthernet1/0/x, remplacez ces noms par les vôtres dans toute la suite du document.
Étape 4 — Regarder la configuration VLAN de départ¶
Un seul VLAN existe, le 1, et tous les ports sont dedans. Pourtant l'interface web de vos serveurs répond déjà : le trafic de gestion arrive sans étiquette par l'uplink, et un port d'accès en VLAN 1 le laisse passer sans rien demander. Ça fonctionne par accident, et ça va cesser de fonctionner dès que l'uplink deviendra un trunk.
Étape 5 — Nommer le switch¶
L'invite prend tout de suite le nouveau nom. C'est aussi la première ligne de la configuration : dans une sauvegarde, elle dit à quel équipement le fichier appartient.
Étape 6 — Créer les VLAN¶
Un switch Cisco ne transporte que les VLAN qu'il connaît. Déclarez-les tous, y compris ceux du collège.
Retapez show vlan brief : les cinq VLAN que vous venez de créer s'ajoutent au VLAN 1.
Étape 7 — Configurer les ports des serveurs en trunk¶
Chaque serveur Proxmox héberge des VM de plusieurs VLAN à la fois. Son port doit donc transporter toutes les étiquettes : c'est un trunk.
Trois lignes portent tout le sens de cette étape :
native vlan 700: le trafic de gestion continue d'arriver sans étiquette, exactement comme avant. C'est ce qui garde l'interface web joignable.allowed vlan: la liste complète de ce qui a le droit d'entrer et de sortir. Un VLAN absent de cette liste est jeté.spanning-tree portfast trunk: le port passe en service immédiatement au lieu d'attendre une trentaine de secondes. Sur un port qui va vers un serveur, cette attente ne sert à rien.
Note
Si le switch refuse switchport mode trunk avec un message d'erreur, tapez d'abord switchport trunk encapsulation dot1q, puis reprenez la commande. Les modèles qui supportent l'ancien encapsulage ISL exigent qu'on choisisse d'abord.
Étape 8 — Configurer l'uplink vers la salle des serveurs¶
Le port qui remonte vers le switch de la salle transporte uniquement ce que le collège connaît : la gestion et le VLAN public.
Vos VLAN 10, 20 et 30 ne sont pas dans cette liste, et c'est volontaire. Le trafic interne de votre entreprise ne sortira jamais de votre switch, même par erreur de configuration. C'est aussi ce qui permet à toutes les équipes d'employer les mêmes numéros sans se marcher dessus.
Étape 9 — Configurer le port du poste d'équipe¶
Branchez la seconde carte réseau du poste d'équipe sur le port GigabitEthernet1/0/5.
Un poste n'héberge pas de VM et n'a donc qu'un seul réseau à voir. Son port est un port d'accès : il ne transporte qu'un VLAN, et les trames y circulent sans étiquette.
Le poste ne saura jamais qu'un VLAN existe. Le switch ajoute l'étiquette 20 à tout ce qui entre par ce port et la retire de tout ce qui en sort. C'est la différence entre un port d'accès et un trunk : l'un cache les VLAN, l'autre les transporte.
Ce poste atterrit dans le VLAN serveurs parce que c'est là que se trouvera l'interface d'administration du pare-feu. Sa vraie place est le VLAN bureaux, et il y déménagera quand ce réseau aura sa patte sur le pare-feu.
L'équipe n'a qu'un seul port d'accès. C'est donc un poste à la fois qui entre dans le réseau de l'entreprise, et les membres s'y relaient pour administrer le pare-feu.
Étape 10 — Vérifier les trunks¶
Les quatre ports configurés apparaissent en mode on, avec le VLAN natif 700 et leur liste de VLAN autorisés. Lisez la sortie en trois temps. La première section donne le mode et le VLAN natif de chaque port. La deuxième donne les VLAN autorisés tels que vous les avez écrits. La troisième, in spanning tree forwarding state, donne ceux qui passent réellement à cet instant.
Si un VLAN apparaît dans la deuxième section mais pas dans la troisième, c'est qu'il n'existe pas de l'autre côté du câble ou qu'il est bloqué.
Étape 11 — Vérifier que la gestion répond toujours¶
Depuis votre poste, rechargez l'interface web d'un des serveurs de l'équipe, sur https://10.70.44.#:8006.
La page de connexion de Proxmox s'affiche, et une fois connecté, l'interface répond normalement.
Si un serveur ne répond plus, son port a très probablement un autre VLAN natif que 700. Retournez à l'étape 7 et vérifiez le nom du port.
Étape 12 — Enregistrer la configuration¶
Tout ce que vous avez tapé est actif, mais vit en mémoire vive. Une coupure de courant effacerait tout.
Le switch recopie la configuration active dans sa mémoire permanente et confirme par [OK].
Étape 13 — Autoriser les VLAN internes sur le bridge Proxmox¶
Le switch physique est prêt. Côté Proxmox, vmbr0 n'accepte encore que le VLAN 460 : c'est le réglage de l'exercice 3 de la semaine 3. Il jetterait toutes les trames de vos VLAN internes.
Chaque membre de l'équipe fait cette étape sur son propre serveur. Ouvrez le Shell du nœud :
Dans le bloc vmbr0, remplacez la ligne bridge-vids par :
Appliquez :
Puis vérifiez :
La commande liste les ports du bridge. Lisez la ligne de la carte physique : son nom dépend du serveur, nic0 sur certains, eno8303 sur d'autres.
Le VLAN 700 n'est toujours pas dans la liste, et c'est normal : il arrive sans étiquette et tombe dans le PVID 1.
Vérification finale¶
-
show vlan briefliste les VLAN 10, 20, 30, 460 et 700 -
show interfaces trunkmontre le VLAN natif 700 sur tous les ports configurés - L'uplink n'autorise que les VLAN 460 et 700
-
show interfaces statusmontre le port du poste enconnected, VLAN20 - L'interface web des serveurs de l'équipe répond toujours
-
bridge vlan showaffiche les VLAN 10, 20, 30 et 460 sur la carte physique de chaque serveur
Question 1¶
Votre coéquipier ajoute 10,20,30 à la liste des VLAN autorisés sur l'uplink. Quelle est la conséquence la plus probable ?
- a) Rien, le switch de la salle refusera ces VLAN de son côté.
- b) Le trafic interne de votre entreprise peut se mélanger à celui d'une autre équipe qui utilise les mêmes numéros.
- c) Les VM des VLAN internes obtiennent une adresse publique.
Voir la réponse
**b) Le trafic interne de votre entreprise peut se mélanger à celui d'une autre équipe qui utilise les mêmes numéros.** Un VLAN est un simple numéro. Si deux équipes envoient leur VLAN 10 dans le même switch de salle et que celui-ci les accepte, ce n'est plus qu'un seul et même réseau, avec des adresses en double à la clé. Le choix a) est ce qui se produit effectivement le plus souvent, puisque le port du switch de salle n'autorise que 460 et 700. Mais compter là-dessus revient à faire reposer l'étanchéité de votre réseau sur la configuration de quelqu'un d'autre.En cas de problème¶
| Symptôme | Cause probable | Correction |
|---|---|---|
| Plus aucun accès web à un serveur | VLAN natif absent ou différent de 700 sur son port | Console du switch, show interfaces trunk, corriger native vlan |
% Invalid input detected sur switchport mode trunk |
Le modèle exige l'encapsulage explicite | switchport trunk encapsulation dot1q d'abord |
| Un VLAN autorisé n'est pas en forwarding | Le VLAN n'a pas été créé sur le switch | configure terminal, vlan <id> |
| Configuration perdue après redémarrage | write memory oublié |
Refaire la configuration, puis enregistrer |
| Rien ne s'affiche dans le terminal série | Mauvais port COM ou vitesse | Vérifier le Gestionnaire de périphériques, forcer 9600 bauds |