Exercice « Router-on-a-stick »

Voici une mise en pratique de diverses techniques de bases ( routage inter-vlan, dhcp, access-list, …) dans le cadre d’un petit réseau de tpe « router-on-a-stick » (routage inter-vlan à l’aide d’un router dédié).

Description de l’exercice

Voici un réseau très modeste. Le but est ici d’implémenter une série de techniques de base afin de créer une structure cohérente, parmis celles-ci:

• Utilisation de VLANs
• Routage inter-VLANs
• Sécurisation minimale des ports du switch
• Application d’access-lists
• Mise en place du dhcp pour les machines hôtes

Structure générale

Le switch, disposant de 24 ports FastEthernet comportera 4 VLANs ( 1-native, 10, 20 et 30 ). Les VLANs 10 et 20 doivent pouvoir acceuillir 10 hôtes, le VLAN 30 doit pouvoir contenir 4 serveurs. Aucun port ne peut rester dans le VLAN 1. Tous les ports devront être configurés pour n’accepter qu’une seule mac-adresse, apprise dynamiquement.
Le routeur en plus de sa fonction de base servira de serveur DHCP pour les  hôtes des VLANs 10 et 20.
Aussi bien sur le switch que sur le routeur on configurera l’accès de management via telnet. Toutefois seuls les hôtes du VLAN 10 pourront y accéder.
Un serveur Web/Dns est présent dans le VLAN 30 avec l’adresse statique 192.168.1.34/29. Tous les hôtes du réseau doivent pouvoir y accéder pour les requêtes DNS et ICMP (pour du troubleshooting éventuel), par contre, seuls les hôtes du VLAN 20 peuvent accéder à l’application Web de ce serveur.
Les adresses des réseaux/interfaces nécessaires sont indiqués sur le schéma.

Configuration du switch SW1

!
version 12.2
no service timestamps log datetime msec
no service timestamps debug datetime msec
service password-encryption
!
hostname SW1
!
enable secret 5 $1$mERr$hx5rVt7rPNoS4wqbXKX7m0
!
!
!
interface FastEthernet0/1
 switchport access vlan 10
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky
!
interface FastEthernet0/2
 switchport access vlan 10
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky
!
! .... Config des ports Fa0/3-Fa0/8 identique ....
! .... omises pour gagner un peu de place ;-) ...
!
interface FastEthernet0/9
 switchport access vlan 10
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky
!
interface FastEthernet0/10
 switchport access vlan 10
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky
!
interface FastEthernet0/11
 switchport access vlan 20
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky
!
interface FastEthernet0/12
 switchport access vlan 20
 switchport mode access
 switchport port-security mac-address sticky
!
! .... Config des ports Fa0/13-Fa0/18 identique ....
! .... omises pour gagner un peu de place ;-) ... 
!
interface FastEthernet0/19
 switchport access vlan 20
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky
!
interface FastEthernet0/20
 switchport access vlan 30
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky
!
interface FastEthernet0/21
 switchport access vlan 30
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky
!
! .... Config des ports Fa0/22-Fa0/23 identique ....
! .... omises pour gagner un peu de place ;-) ... 
!
interface FastEthernet0/24
 switchport access vlan 30
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky
!
! Int Gig1/1 en TRUNK pour permettre le passage des VLANs vers le routeur. On ets ici sur un 2960, l'encapsulation est dot1q
!
interface GigabitEthernet1/1
 switchport mode trunk
!
! On met l'interface Gig1/2 en shutdown puisqu'elle ne sert à rien et qu'on ne veut pas permettre à quelqu'un de l'utiliser.
!
interface GigabitEthernet1/2
 shutdown
!
! On défini l'adresse IP du VLAN pour mermettre l'administration à distance du switch via telnet.
!
interface Vlan1
 ip address 192.168.0.2 255.255.255.252
!
! On défini la passerelle par défaut du switch
!
ip default-gateway 192.168.0.1
!
!
line con 0
 password 7 0822455D0A16
 logging synchronous
 login
!
line vty 0 4
 password 7 0822455D0A16
 login
 transport input telnet
line vty 5 15
 password 7 0822455D0A16
 login
 transport input telnet
!
!
end

Configuration du routeur R1

!
version 12.2
no service timestamps log datetime msec
no service timestamps debug datetime msec
service password-encryption
!
hostname R1
!
!
enable secret 5 $1$mERr$hx5rVt7rPNoS4wqbXKX7m0
!
! L'interface physique est utilisée pour le VLAN 1 qui n'est pas taggé avec dot1Q.
! on y applique l'access-list 1 en out pour n'autoriser que le traffic venant du VLAN 10 vers l'interface d'admin du switch
!
interface FastEthernet0/0
 ip address 192.168.0.1 255.255.255.252
 ip access-group 1 out
 duplex auto
 speed auto
!
! SubInterface pour le VLAN 10, encapsulation dot1Q
!
interface FastEthernet0/0.10
 encapsulation dot1Q 10
 ip address 192.168.1.1 255.255.255.240
!
! SubInterface pour le VLAN 20, encapsulation dot1Q
!
interface FastEthernet0/0.20
 encapsulation dot1Q 20
 ip address 192.168.1.17 255.255.255.240
!
! SubInterface pour le VLAN 30, encapsulation dot1Q
! on y applique l'access list extended "server-access" de manière à n'autoriser
! que le traffic icmp et DNS pour les VLANS 10 et 20 ! et uniquement
! le traffic Web provenant du VLAN 20 vers le serveur Web/DNS
!
interface FastEthernet0/0.30
 encapsulation dot1Q 30
 ip address 192.168.1.33 255.255.255.248
 ip access-group server-access out
!
interface FastEthernet0/1
 no ip address
 duplex auto
 speed auto
 shutdown
!
ip classless
!
!
! Définition de l'access-list 1 pour l'accès telnet de management du routeur et du switch
!
access-list 1 permit 192.168.1.0 0.0.0.15
!
! Définition de l'access-list etended server-access pour l'accès au serveur Web/DNS
!
ip access-list extended server-access
 permit tcp 192.168.1.16 0.0.0.15 host 192.168.1.34 eq www
 permit icmp 192.168.1.0 0.0.0.31 host 192.168.1.34
 permit tcp 192.168.1.0 0.0.0.31 host 192.168.1.34 eq domain
 permit udp 192.168.1.0 0.0.0.31 host 192.168.1.34 eq domain
!
!
! On exclu les adresses des sub-interfaces du routeurs pour les pool DHCP
!
ip dhcp excluded-address 192.168.1.1
ip dhcp excluded-address 192.168.1.17
!
!
! Définition des pools DHCP pour chaque VLAN
!
ip dhcp pool vlan10
 network 192.168.1.0 255.255.255.240
 default-router 192.168.1.1
 dns-server 192.168.1.34
ip dhcp pool vlan20
 network 192.168.1.16 255.255.255.240
 default-router 192.168.1.17
 dns-server 192.168.1.34
!
!
!
!
!
line con 0
 password 7 0822455D0A16
 logging synchronous
 login
!
! On applique l'access-list 1 aux lignes VTY pour n'autoriser 
! que les connexion provenant du VLAN 10
!
line vty 0 4
 access-class 1 in
 password 7 0822455D0A16
 login
 transport input telnet
line vty 5 15
 access-class 1 in
 password 7 0822455D0A16
 login
 transport input telnet
!
!
!
end

Voilà donc les config complètes du switch et du routeur.