Administre un switch Cisco en ligne de commande dans Packet Tracer

L’idée reçue

« J’ai déjà compris les VLAN avec Linux, donc la configuration d’un switch constructeur n’apporte rien. »

La logique réseau reste la même, mais l’exploitation professionnelle demande aussi de savoir naviguer dans une CLI constructeur, vérifier l’état réellement appliqué, distinguer configuration en mémoire et configuration sauvegardée, et conserver des preuves reproductibles.

01Place cette leçon dans le fil rouge

Cette leçon ne réenseigne pas Ethernet, les VLAN, le PVID ou le trunk. Ces notions sont déjà travaillées dans :

reseaux/segmenter-lan-vlan
reseaux/router-entre-vlan-trunk

Ici, tu les transposes dans un environnement Packet Tracer avec un switch Cisco de laboratoire.

Scénario synthétique SORIA Distribution :

VLAN 10  ADMINISTRATION
VLAN 20  UTILISATEURS
VLAN 30  SERVICES
VLAN 99  MANAGEMENT

SW-ACCES-01
- Fa0/1  -> poste administration / VLAN 10
- Fa0/2  -> poste utilisateur / VLAN 20
- Fa0/3  -> serveur de laboratoire / VLAN 30
- Gi0/1  -> trunk vers le routeur ou le switch amont
- SVI 99 -> adresse de management du switch

Adresses de laboratoire uniquement :

réseau management : 10.50.99.0/24
SW-ACCES-01       : 10.50.99.11/24
passerelle         : 10.50.99.1

N’utilise aucune adresse, topologie ou identité de production SORIA.

02Comprends les modes avant de configurer

Au démarrage :

Switch>

Passe en mode privilégié :

Switch> enable
Switch#

Puis en configuration globale :

Switch# configure terminal
Switch(config)#

Entre ensuite dans un objet précis :

Switch(config)# interface fastEthernet0/1
Switch(config-if)#

Reviens progressivement :

Switch(config-if)# exit
Switch(config)# end
Switch#

Le prompt est une preuve de contexte. Une commande valide dans Switch# peut être refusée dans Switch>, et une commande d’interface n’a pas sa place en configuration globale.

03Donne une identité au switch

Switch# configure terminal
Switch(config)# hostname SW-ACCES-01
SW-ACCES-01(config)#

Observe immédiatement : le prompt change. Cette identité doit correspondre au schéma et au dossier de preuves.

Vérifie ensuite :

SW-ACCES-01# show running-config | include hostname

04Crée seulement les VLAN nécessaires

SW-ACCES-01# configure terminal
SW-ACCES-01(config)# vlan 10
SW-ACCES-01(config-vlan)# name ADMINISTRATION
SW-ACCES-01(config-vlan)# exit
SW-ACCES-01(config)# vlan 20
SW-ACCES-01(config-vlan)# name UTILISATEURS
SW-ACCES-01(config-vlan)# exit
SW-ACCES-01(config)# vlan 30
SW-ACCES-01(config-vlan)# name SERVICES
SW-ACCES-01(config-vlan)# exit
SW-ACCES-01(config)# vlan 99
SW-ACCES-01(config-vlan)# name MANAGEMENT
SW-ACCES-01(config-vlan)# end

Vérifie :

SW-ACCES-01# show vlan brief

Ta preuve doit montrer au minimum l’identifiant, le nom et les ports actuellement associés.

05Configure un port access de façon explicite

Pour le poste d’administration :

SW-ACCES-01# configure terminal
SW-ACCES-01(config)# interface fastEthernet0/1
SW-ACCES-01(config-if)# description POSTE-ADMIN-LAB
SW-ACCES-01(config-if)# switchport mode access
SW-ACCES-01(config-if)# switchport access vlan 10
SW-ACCES-01(config-if)# no shutdown
SW-ACCES-01(config-if)# end

Ne conclus pas à partir de la configuration saisie. Vérifie l’état :

SW-ACCES-01# show interfaces fastEthernet0/1 switchport
SW-ACCES-01# show running-config interface fastEthernet0/1
SW-ACCES-01# show vlan brief

Tu dois pouvoir répondre à trois questions :

le port est-il administrativement actif ?
son mode est-il réellement access ?
à quel VLAN appartient-il ?

Répète la logique pour Fa0/2 et Fa0/3 avec les VLAN 20 et 30.

06Configure le trunk sans réapprendre 802.1Q

Le concept de trunk a déjà été étudié. Ici tu appliques la syntaxe constructeur :

SW-ACCES-01# configure terminal
SW-ACCES-01(config)# interface gigabitEthernet0/1
SW-ACCES-01(config-if)# description TRUNK-VERS-AMONT
SW-ACCES-01(config-if)# switchport mode trunk
SW-ACCES-01(config-if)# switchport trunk allowed vlan 10,20,30,99
SW-ACCES-01(config-if)# no shutdown
SW-ACCES-01(config-if)# end

Vérifie séparément le mode et la liste transportée :

SW-ACCES-01# show interfaces gigabitEthernet0/1 switchport
SW-ACCES-01# show interfaces trunk

Un port physiquement up ne prouve pas que les bons VLAN sont transportés. Le test doit porter sur l’état du trunk et les VLAN réellement autorisés.

07Crée une interface de management dédiée

Sur un switch de couche 2 de laboratoire, l’adresse de management est portée par une interface VLAN :

SW-ACCES-01# configure terminal
SW-ACCES-01(config)# interface vlan 99
SW-ACCES-01(config-if)# description MANAGEMENT-SWITCH
SW-ACCES-01(config-if)# ip address 10.50.99.11 255.255.255.0
SW-ACCES-01(config-if)# no shutdown
SW-ACCES-01(config-if)# exit
SW-ACCES-01(config)# ip default-gateway 10.50.99.1
SW-ACCES-01(config)# end

Vérifie :

SW-ACCES-01# show ip interface brief
SW-ACCES-01# show running-config interface vlan 99

Si l’interface VLAN ne devient pas opérationnelle, ne change pas l’adresse au hasard. Vérifie que le VLAN existe et qu’il dispose d’un chemin de couche 2 actif dans la maquette.

08Prépare l’administration distante par SSH

Dans le laboratoire, n’utilise pas Telnet pour valider l’administration distante.

Utilise un compte et un domaine entièrement synthétiques :

SW-ACCES-01# configure terminal
SW-ACCES-01(config)# ip domain-name lab.soria.test
SW-ACCES-01(config)# username adminlab privilege 15 secret MOT-DE-PASSE-LAB-UNIQUE
SW-ACCES-01(config)# enable secret SECRET-ENABLE-LAB-UNIQUE
SW-ACCES-01(config)# crypto key generate rsa modulus 2048
SW-ACCES-01(config)# ip ssh version 2
SW-ACCES-01(config)# line vty 0 4
SW-ACCES-01(config-line)# login local
SW-ACCES-01(config-line)# transport input ssh
SW-ACCES-01(config-line)# end

Dans Packet Tracer, adapte uniquement la taille de clé si la version du simulateur ne propose pas exactement la même option. Ne remplace pas SSH par Telnet pour contourner une limite sans le documenter.

Depuis un poste du VLAN de management :

ssh -l adminlab 10.50.99.11

Preuve attendue :

- résolution ou accès IP cohérent ;
- session SSH établie depuis la zone autorisée ;
- absence de Telnet comme méthode de validation ;
- aucun secret réel dans la capture remise.

Masque les secrets si tu fournis une copie de configuration.

09Observe avant de sauvegarder

Avant toute sauvegarde :

SW-ACCES-01# show running-config
SW-ACCES-01# show startup-config

Explique la différence :

running-config = état actif en mémoire
startup-config = état conservé pour le prochain démarrage

Sauvegarde seulement après vérification :

SW-ACCES-01# copy running-config startup-config

Puis prouve :

SW-ACCES-01# show startup-config

« J’ai tapé la commande » n’est pas une preuve. La preuve est l’état observé après la commande.

10Prépare un rollback borné

Avant une modification de port, conserve :

show running-config interface fastEthernet0/1
show interfaces fastEthernet0/1 switchport
show vlan brief

Pour annuler uniquement la configuration d’un port de laboratoire :

SW-ACCES-01# configure terminal
SW-ACCES-01(config)# default interface fastEthernet0/1
SW-ACCES-01(config)# end

Puis vérifie l’état obtenu avant de remettre la configuration attendue.

Ne supprime pas un VLAN partagé simplement pour corriger un seul port. Le rollback doit viser l’objet réellement modifié.

11Panne contrôlée — le poste n’est plus dans le bon segment

L’évaluateur choisit une seule variante :

A — Fa0/2 placé dans le mauvais VLAN access
B — VLAN 20 retiré de la liste autorisée du trunk
C — adresse ou passerelle de management incorrecte

Symptôme remis à l’étudiant :

« Un poste ou le switch n'accède plus au service attendu après une modification réseau. »

Tu dois séparer :

fait
hypothèse
test discriminant
résultat
cause confirmée
correction bornée
preuve après correction

Commandes de vérification possibles :

show vlan brief
show interfaces switchport
show interfaces trunk
show ip interface brief
show mac address-table dynamic
show running-config interface INTERFACE

Interdictions :

recharger tout le switch sans diagnostic ;
réinitialiser toute la configuration ;
ouvrir ou déplacer plusieurs VLAN en même temps ;
inventer une capture attendue ;
enregistrer une configuration non vérifiée.

12Constitue la preuve BTS

Remets au minimum :

1. schéma Packet Tracer simple ;
2. tableau ports -> rôle -> VLAN ;
3. sortie show vlan brief ;
4. preuve d'un port access ;
5. preuve du trunk ;
6. preuve de l'interface de management ;
7. test d'administration SSH ;
8. running-config utile, secrets masqués ;
9. startup-config après sauvegarde ;
10. diagnostic et correction de la panne ;
11. rollback prévu ;
12. limite de la conclusion.

Limite à écrire explicitement :

Cette preuve valide l'administration d'un switch de laboratoire et la configuration observée.
Elle ne prouve ni la sécurité complète de l'équipement, ni la redondance de couche 2, ni la maîtrise de STP, qui sera traitée dans la séquence suivante.

Challenge autonome

Reconstruis le switch à partir d’une exigence

Sans suivre les commandes de la leçon ligne par ligne, pars d’un tableau « port, rôle, VLAN, management, trunk ». Configure le switch, vérifie chaque exigence avec une commande d’observation, sauvegarde seulement après recette puis provoque une erreur unique et démontre ta méthode de diagnostic.

✓Ce que tu retiens

Tu ne réapprends pas les VLAN : tu apprends à les administrer sur un équipement constructeur, à distinguer intention et état réel, à sauvegarder uniquement une configuration vérifiée et à produire des preuves exploitables dans le dossier BTS.