Cisco IOS — Filtrage par IP source · Numérotées et nommées · Packet Tracer
| Appareil | Interface / Rôle | Adresse IP | Masque |
|---|---|---|---|
| Routeur | Fa0/0 — LAN gauche | 192.168.1.254 | /24 |
| Routeur | Fa0/1 — LAN droit | 172.16.255.254 | /16 |
| PC1 | Réseau gauche | 192.168.1.1 | /24 |
| PC2 | Réseau gauche | 192.168.1.2 | /24 |
| PC3 | Réseau droit | 172.16.0.3 | /16 |
| PC4 | Réseau droit | 172.16.0.4 | /16 |
On attribue une adresse IP de management au switch pour l'administration. Le switch reste un équipement de niveau 2 — il ne fait pas de routage.
conf t
int vlan 1
ip address 172.16.0.1 255.255.0.0
no shutdown
! Option : passerelle pour joindre le switch depuis l'autre réseau
ip default-gateway 172.16.255.254Le routeur assure la communication entre les deux réseaux. Chaque interface reçoit une IP valide et devient la passerelle de son réseau.
conf t
! Interface côté réseau gauche (192.168.1.0/24)
int fa0/0
ip address 192.168.1.254 255.255.255.0
no shutdown
! Interface côté réseau droit (172.16.0.0/16)
int fa0/1
ip address 172.16.255.254 255.255.0.0
no shutdownconf t
int fa0/1
switchport mode access
! Mode access = 1 seul VLAN, trunk inutile| PC | Adresse IP | Masque | Passerelle |
|---|---|---|---|
| PC1 | 192.168.1.1 | 255.255.255.0 | 192.168.1.254 |
| PC2 | 192.168.1.2 | 255.255.255.0 | 192.168.1.254 |
| PC3 | 172.16.0.3 | 255.255.0.0 | 172.16.255.254 |
| PC4 | 172.16.0.4 | 255.255.0.0 | 172.16.255.254 |
! Depuis le routeur, pinger un hôte du réseau droit
ping 172.16.0.3
! Le ping teste la couche IP (réponse ICMP)
! Si échec : vérifier câblage, IP, masque, passerelle, interfaces upUn seul poste doit être bloqué, les autres restent autorisés.
conf t
! Créer l'ACL numérotée 1
access-list 1 deny host 192.168.1.3
access-list 1 permit any
! Appliquer sur Fa0/0 en sortie (près de la destination)
int fa0/0
ip access-group 1 outAprès application, toujours vérifier que l'ACL est active et qu'elle filtre.
! a) Vérifier que l'ACL est bien appliquée à l'interface
show running-config
! b) Voir les règles + compteurs de hits
show access-lists
! → Si le compteur augmente = l'ACL filtre bienLa politique de sécurité change — on retire l'ACL de l'interface.
conf t
int fa0/0
no ip access-group 1 out
! L'ACL reste en mémoire mais n'est plus appliquée
! Pour supprimer complètement l'ACL
no access-list 1Un seul hôte est autorisé, tous les autres sont bloqués. Approche "zéro confiance" : tout est interdit sauf ce qui est explicitement autorisé.
conf t
access-list 2 permit host 192.168.1.3 ! Seul PC3 est autorisé
access-list 2 deny any ! Tous les autres bloqués
int fa0/0
ip access-group 2 outUtiliser un nom plutôt qu'un numéro — plus facile à modifier et à identifier dans la config.
conf t
ip access-list standard Exemple3
deny host 172.16.0.3 ! Bloque PC3
permit host 172.16.0.4 ! Autorise PC4
permit any ! Autorise le reste
! Appliquer sur une interface
int fa0/1
ip access-group Exemple3 inno deny host 172.16.0.3 sans devoir recréer toute l'ACL.| Élément | À retenir |
|---|---|
| Switch | IP VLAN = management uniquement, pas de routage |
| Routeur | IP sur chaque interface = passerelles des deux réseaux |
| ACL Standard | Filtre sur source IP uniquement — numéros 1–99 |
| Placement | Près de la destination (ACL standard) |
| Ordre des règles | Toujours du plus spécifique (host) au plus général (any) |
| Implicit deny | Toute ACL termine avec un deny any implicite — toujours ajouter permit any si nécessaire |
| Vérification | show access-lists pour voir les règles + compteurs de hits |
access-list N ou ip access-list standard NOM)ip access-group N in|out)show access-lists
BTS SIO SISR — Cyber-Sécurité — ACL Standard Cisco — Packet Tracer