TP — ACL Standard en IPv4

Tu mets en service R1 dans un contexte professionnel : il doit être identifiable, sécurisé, et éviter les erreurs de saisie DNS.

conf t
! Nom du routeur
hostname R1

! Désactiver la résolution DNS (évite les délais sur fautes de frappe)
no ip domain-lookup

! Chiffrer tous les mots de passe en type 7 dans la config
service password-encryption

! Bannière affichée à chaque connexion
banner motd # Les acces sans autorisation sont interdits #

! Mot de passe du mode privilégié (enable) — chiffré MD5
enable secret class

• no ip domain-lookupEmpêche le routeur de tenter une résolution DNS sur chaque commande inconnue. Sans ça, une faute de frappe génère un délai de 30 secondes.
• service password-encryptionChiffre tous les mots de passe en clair dans la running-config en type 7 (chiffrement faible, mais évite la lecture directe).
• banner motdMessage légal affiché avant l'authentification. Le # est le délimiteur de début et de fin du message.
• enable secretProtège le mode privilégié avec un hash MD5. Prioritaire sur enable password.

Un compte admin, un accès console protégé, et un accès distant uniquement en SSH avec authentification locale.

conf t
! Créer le compte administrateur local
username admin secret eni

! Accès console (câble direct)
line console 0
  password cisco
  login
  logging synchronous
exit

! Accès distant SSH uniquement (lignes VTY 0 à 4)
line vty 0 4
  transport input ssh
  login local
  logging synchronous
exit

! Nom de domaine requis pour générer la clé RSA
ip domain-name asrs.local

! Générer la clé RSA (entrer 1024 quand demandé)
crypto key generate rsa
1024

! Forcer SSH version 2
ip ssh version 2

• username secretCrée un compte local avec mot de passe chiffré en MD5. Utilisé pour l'authentification SSH (login local).
• transport input sshInterdit Telnet sur les lignes VTY — seule la connexion SSH est acceptée. Essentiel pour la sécurité.
• login localUtilise la base de comptes locale (username/secret) pour l'authentification VTY, pas juste un mot de passe.
• logging synchronousÉvite que les messages de log du routeur interrompent la saisie des commandes en console/VTY.
• crypto key generate rsaGénère la paire de clés RSA nécessaire au fonctionnement de SSH. Nécessite un ip domain-name configuré.
• ip ssh version 2Force SSH v2, plus sécurisé que v1 (vulnérable aux attaques man-in-the-middle).

R1 doit fournir la connectivité IP sur ses interfaces LAN et WAN et participer au routage dynamique via RIP v2.

conf t
! Interface LAN12 (réseau 192.168.12.0/24)
interface g0/0
  ip address 192.168.12.254 255.255.255.0
  no shutdown

! Interface LAN11 (réseau 192.168.11.0/24)
interface g0/1
  ip address 192.168.11.254 255.255.255.0
  no shutdown

! Interface WAN vers R2
interface s0/0/0
  ip address 10.0.12.1 255.255.255.252
  no shutdown

! Activer RIP v2 et annoncer les réseaux connectés
router rip
  version 2
  no auto-summary
  network 192.168.12.0
  network 192.168.11.0
  network 10.0.12.0

• no shutdownActive physiquement l'interface. Par défaut, toutes les interfaces Cisco sont en état shutdown.
• 255.255.255.252Masque /30 — seulement 2 hôtes utilisables. Idéal pour les liaisons point-à-point WAN entre routeurs.
• no auto-summaryDésactive le résumé automatique de RIP v1. Indispensable en v2 pour supporter le VLSM et annoncer les sous-réseaux exacts.
• networkIndique à RIP quels réseaux directement connectés il doit annoncer aux voisins.

R2 est le routeur central : même socle de sécurité que R1, car c'est un point critique du réseau.

conf t
hostname R2
no ip domain-lookup
service password-encryption
banner motd # Les acces sans autorisation sont interdits #
enable secret class
username admin secret eni

Activer l'administration sécurisée en SSH.

conf t
ip domain-name asrs.local
crypto key generate rsa
1024
ip ssh version 2

line con 0
  password cisco
  login
  logging synchronous
exit

line vty 0 4
  transport input ssh
  login local
  logging synchronous
exit

• Clés RSA + SSH v2Prérequis pour une administration sécurisée. Console et VTY protégées comme sur R1.

R2 doit être opérationnel sur ses liens WAN et fournir une loopback stable simulant une IP publique.

conf t
! Interface loopback — toujours up si le routeur fonctionne
interface loopback0
  ip address 200.0.0.1 255.255.255.255

! Lien WAN vers R1
interface s0/0/0
  ip address 10.0.12.2 255.255.255.252
  no shutdown

! Lien WAN vers R3
interface s0/0/1
  ip address 10.0.23.1 255.255.255.252
  no shutdown

• loopback0Interface virtuelle qui ne tombe jamais tant que le routeur est actif. Utilisée comme identifiant stable ou simulation d'IP publique.
• 255.255.255.255Masque /32 — une seule adresse host. La loopback n'a besoin que d'une IP unique.
• s0/0/0 → R1Lien série vers R1, côté R2 de la liaison 10.0.12.0/30.
• s0/0/1 → R3Lien série vers R3, côté R2 de la liaison 10.0.23.0/30.

R2 diffuse les routes à R1 et R3 via RIP v2, y compris la loopback, sans envoyer d'updates inutiles sur cette loopback.

conf t
router rip
  version 2
  no auto-summary
  network 10.0.12.0
  network 10.0.23.0
  network 200.0.0.0
  ! Annonce la loopback mais n'émet pas d'updates RIP dessus
  passive-interface loopback0

• passive-interface loopback0Annonce la route de la loopback dans RIP, mais n'envoie pas d'updates RIP sur cette interface (inutile car personne n'y est connecté).

Même socle de sécurité sur R3 : il est en bordure de deux LAN.

conf t
hostname R3
no ip domain-lookup
service password-encryption
banner motd # Les acces sans autorisation sont interdits #
enable secret class

Compte local + SSH v2 uniquement.

conf t
username admin secret eni
ip domain-name asrs.local
crypto key generate rsa
1024
ip ssh version 2

line console 0
  password cisco
  login
  logging synchronous
exit

line vty 0 4
  transport input ssh
  login local
  logging synchronous
exit

Adressage des LAN de droite + liaison WAN vers R2.

conf t
! Passerelle du LAN21
interface g0/0
  ip address 192.168.21.254 255.255.255.0
  no shutdown

! Passerelle du LAN22
interface g0/1
  ip address 192.168.22.254 255.255.255.0
  no shutdown

! Lien WAN vers R2
interface s0/0/0
  ip address 10.0.23.2 255.255.255.252
  no shutdown

R3 annonce ses réseaux dans RIP v2 pour assurer la communication bout à bout.

conf t
router rip
  version 2
  no auto-summary
  network 192.168.21.0
  network 192.168.22.0
  network 10.0.23.0

! Afficher la table de routage complète
show ip route

! Afficher uniquement les routes apprises via RIP
show ip route rip

• CConnected — réseau directement connecté à une interface du routeur.
• RRIP — route apprise dynamiquement via RIP v2. Si des routes R sont manquantes, RIP n'est pas correctement configuré.
• [120/x]Distance administrative de RIP (120) / métrique (nombre de sauts). Plus le nombre de sauts est petit, meilleur est le chemin.

Ce que doit contenir la table de routage de R1 :

C    192.168.11.0/24  is directly connected, GigabitEthernet0/1
C    192.168.12.0/24  is directly connected, GigabitEthernet0/0
C    10.0.12.0/30     is directly connected, Serial0/0/0
R    192.168.21.0/24  [120/3] via 10.0.12.2
R    192.168.22.0/24  [120/3] via 10.0.12.2
R    10.0.23.0/30     [120/1] via 10.0.12.2
R    200.0.0.1/32     [120/1] via 10.0.12.2

! Quitter le mode config
end

! Copier la running-config vers la startup-config (NVRAM)
copy running-config startup-config

• copy run startSauvegarde la configuration active (RAM) dans la NVRAM. Sans ça, toute la config est perdue au redémarrage.

Dans Packet Tracer : cliquer sur un PC → onglet Desktop → Command Prompt, puis lancer les pings suivants.

! Ping vers PC12 (même routeur, LAN différent)
ping 192.168.12.1

! Ping vers PC21 (routeur différent, via R2)
ping 192.168.21.1

! Ping vers PC22 (routeur différent, via R2)
ping 192.168.22.1

! Ping vers la loopback de R2 (IP publique simulée)
ping 200.0.0.1

Matrice de connectivité attendue avant ACL :

conf t
! Autoriser LAN11
access-list 10 permit 192.168.11.0 0.0.0.255

! Autoriser LAN12
access-list 10 permit 192.168.12.0 0.0.0.255

! Bloquer tout le reste (avec compteur de tentatives)
access-list 10 deny any log

! Appliquer sur G0/0 (interface vers LAN21) en sortie
interface g0/0
  ip access-group 10 out

• 0.0.0.255Wildcard mask = inverse du masque. 0.0.0.255 = /24. Tout hôte du réseau /24 est concerné par la règle.
• deny any loglog génère un message syslog chaque fois qu'un paquet est refusé. Permet de compter les tentatives refusées.
• ip access-group outFiltre les paquets sortant de l'interface vers LAN21. Placement correct pour une ACL standard : proche de la destination.

conf t
! Créer l'ACL nommée standard
ip access-list standard ACCESS_LAN11
  ! Autoriser tout le LAN22
  permit 192.168.22.0 0.0.0.255
  ! Autoriser uniquement PC21 (host = /32)
  permit host 192.168.21.1
  ! Refus implicite (deny any)

! Appliquer sur G0/1 en sortie vers LAN22
interface g0/1
  ip access-group ACCESS_LAN11 out

• ip access-list standard NOMCrée une ACL nommée standard. Plus lisible qu'une ACL numérotée et plus facile à modifier (on peut supprimer une ligne spécifique).
• permit hosthost 192.168.21.1 = wildcard 0.0.0.0 = une seule IP exacte. Autorise uniquement PC21.
• deny impliciteToute ACL Cisco se termine par un deny any implicite invisible. Tout ce qui n'est pas explicitement autorisé est bloqué.

conf t
ip access-list standard ACCESS_LAN11

  ! Supprimer l'ancienne règle numérotée 10 (host PC21 uniquement)
  no 10 permit host 192.168.21.1

  ! Remettre en place : tout le LAN21 (numéro de séquence 10)
  10 permit 192.168.21.0 0.0.0.255

  ! Autoriser tout le LAN22 (numéro de séquence 20)
  20 permit 192.168.22.0 0.0.0.255

  ! Bloquer le reste et journaliser les refus
  30 deny any log

• no 10Supprime uniquement la règle portant le numéro de séquence 10. Avantage des ACL nommées : on peut modifier une règle sans tout recréer.
• 10 / 20 / 30Numéros de séquence — définissent l'ordre d'évaluation des règles. Les règles sont évaluées du plus petit au plus grand numéro.
• deny any logBloque tout le reste et génère un message syslog par paquet refusé. Permet à la direction de connaître le nombre de tentatives refusées.

conf t
! Créer l'ACL : seul LAN11 autorisé en SSH
ip access-list standard ACCESS_SSH_ADMIN
  permit 192.168.11.0 0.0.0.255
  deny any

! Appliquer sur les lignes VTY (accès SSH entrant)
line vty 0 4
  access-class ACCESS_SSH_ADMIN in
  transport input ssh
  login local

• access-class ... inApplique une ACL aux connexions entrantes sur les lignes VTY. Différent de ip access-group qui s'applique aux interfaces. C'est la commande dédiée au filtrage SSH/Telnet.
• inFiltre les connexions arrivant sur le routeur via SSH. Un hôte hors de LAN11 ne pourra pas initier une session SSH.
• deny anyExplicitement ajouté ici pour être visible dans la config. Bloque toute tentative SSH depuis un réseau non autorisé.

Après avoir validé que toutes les ACL fonctionnent correctement (pings + SSH), sauvegarder définitivement.

end
copy running-config startup-config