Évalue une segmentation VLAN, STP et ACL

01Contrat de l’évaluation

assessmentId : BTS-SISR-Y1-NET-002
blocs        : Bloc 1 + Bloc 2 SISR + Bloc 3 à profondeur de première année
format       : TP évalué intégré + remédiation à deux causes
contexte     : SORIA Distribution — laboratoire entièrement synthétique
objectif     : concevoir, mettre en œuvre, vérifier, diagnostiquer et prouver

Compétences principalement observées :

Bloc 1
- répondre aux incidents et aux demandes d'assistance et d'évolution
- mettre à disposition des utilisateurs un service informatique
- travailler en mode projet

Bloc 2 SISR
- administrer les systèmes et les réseaux
- concevoir une solution d'infrastructure réseau
- installer, tester et déployer une solution d'infrastructure réseau
- exploiter, dépanner et superviser une solution d'infrastructure réseau

Bloc 3
- sécuriser les équipements et les usages
- assurer la cybersécurité d'une infrastructure réseau, d'un système et d'un service

Cette évaluation ne redonne pas les commandes Cisco. Elle réutilise les leçons techniques pour apprendre et exige ensuite une réalisation autonome.

02Besoin de SORIA Distribution

La PME fictive demande trois zones :

ADMINISTRATION  VLAN 10  10.50.10.0/24
UTILISATEURS    VLAN 20  10.50.20.0/24
SERVICES        VLAN 30  10.50.30.0/24
MANAGEMENT      VLAN 99  10.50.99.0/24

Infrastructure minimale :

SW-CORE-01
SW-ACCESS-01
SW-ACCESS-02
RTR-LAB ou équipement L3 équivalent
1 poste Administration
2 postes Utilisateurs répartis sur les switches d'accès
1 serveur pédagogique Services

Les trois switches doivent disposer de liaisons redondantes permettant d’observer STP. La topologie précise peut varier, mais elle doit contenir au moins une redondance de couche 2 contrôlée.

Aucune donnée, adresse ou topologie de production SORIA réelle n’est utilisée.

03Exigences d’architecture

Tu dois produire avant configuration :

- un schéma physique et logique ;
- un tableau switch / port / rôle / VLAN ;
- les trunks nécessaires ;
- les VLAN transportés sur chaque trunk ;
- le switch qui doit être root bridge pour les VLAN de laboratoire ;
- l'emplacement du routage inter-VLAN ;
- la matrice de flux à contrôler ;
- le point d'application retenu pour l'ACL.

Le choix du root bridge doit être intentionnel et justifié. « Celui qui a gagné l’élection par défaut » n’est pas une justification d’architecture.

04Matrice de flux imposée

ADMINISTRATION -> SERVICES / TCP 22     : AUTORISÉ
ADMINISTRATION -> SERVICES / TCP 8080   : AUTORISÉ
UTILISATEURS   -> SERVICES / TCP 8080   : AUTORISÉ
UTILISATEURS   -> SERVICES / TCP 22     : INTERDIT
UTILISATEURS   -> DNS-LAB / UDP 53      : AUTORISÉ
flux utilisateurs non prévus            : INTERDITS par la politique utilisateur

Tu dois traduire cette matrice sans ouvrir globalement les flux pour obtenir un résultat fonctionnel.

L’ACL utilisateur est une ACL IPv4 stateless de laboratoire. Elle ne doit pas être présentée comme équivalente au pare-feu stateful nftables étudié séparément.

05Construis sans recette pas à pas

À partir des exigences, mets en œuvre :

1. VLAN nécessaires ;
2. ports access conformes ;
3. trunks avec uniquement les VLAN nécessaires à la maquette ;
4. routage inter-VLAN ;
5. racine STP conforme au schéma ;
6. chemin redondant réellement observable ;
7. ACL utilisateur conforme à la matrice ;
8. management de laboratoire documenté lorsque utilisé.

Tu peux consulter ta documentation de cours et la documentation constructeur autorisée, mais aucune suite de commandes prête à recopier n’est fournie dans l’énoncé.

06Établis l’état de référence

Avant toute panne imposée, la recette doit démontrer :

VLAN
- chaque port utilisateur appartient au VLAN attendu ;
- les VLAN existent sur les switches concernés.

TRUNKS
- les trunks sont réellement opérationnels ;
- la liste des VLAN autorisés correspond au besoin.

STP
- le root bridge observé est celui attendu ;
- un chemin redondant n'est pas utilisé comme second chemin de forwarding simultané ;
- les rôles/états de ports nécessaires sont identifiables.

ROUTAGE
- les sous-réseaux attendus sont joignables selon la politique.

ACL
- les flux autorisés réussissent ;
- les flux interdits échouent ;
- l'ACL est appliquée sur l'interface et dans le sens justifiés.

Conserve les sorties d’observation pertinentes, pas l’intégralité de toutes les configurations.

07Teste la redondance contrôlée

Après établissement de l’état de référence :

1. identifie un lien actuellement utile au chemin de forwarding ;
2. annonce le résultat attendu si ce lien devient indisponible ;
3. provoque une coupure contrôlée de ce lien de laboratoire ;
4. observe la convergence STP ;
5. vérifie que la connectivité nécessaire revient par le chemin redondant ;
6. restaure le lien ;
7. vérifie le retour à un état stable.

Tu ne mesures pas une haute disponibilité de production. Tu démontres uniquement le comportement de la maquette de commutation redondante.

08Panne intégrée à deux causes

Une fois la maquette fonctionnelle validée, l’évaluateur injecte deux causes indépendantes :

une cause famille COMMUTATION
+
une cause famille FILTRAGE

Famille COMMUTATION — une variante :

A1 — un poste utilisateur est affecté au mauvais VLAN ;
A2 — un VLAN nécessaire est retiré d'un trunk ;
A3 — un trunk devient access ou un port attendu n'est plus dans le mode correct.

Famille FILTRAGE — une variante :

B1 — l'ACL utilisateur est appliquée dans le mauvais sens ;
B2 — une règle trop générale précède une règle spécifique ;
B3 — un wildcard ou une destination ne correspond plus au besoin ;
B4 — l'ACL est liée à la mauvaise interface logique.

Les deux variantes réellement utilisées restent cachées à l’étudiant.

Symptômes possibles remis à l’étudiant :

« Un poste Utilisateurs n'atteint plus le service web attendu. »
« Un flux qui devrait être interdit est encore accessible. »

Un seul symptôme ne prouve pas qu’il n’existe qu’une seule cause.

09Conduis le diagnostic en couches

Avant toute correction, produis un tableau :

fait observé
hypothèse
composant visé
 test discriminant
résultat
hypothèse renforcée / affaiblie

Ordre de raisonnement recommandé, à adapter aux faits :

1. port physique / état interface ;
2. VLAN du port ;
3. trunk et VLAN transporté ;
4. état STP si un chemin L2 paraît indisponible ;
5. routage inter-VLAN ;
6. emplacement et sens de l'ACL ;
7. ordre et correspondance des règles ;
8. service applicatif seulement si le réseau et le filtrage le justifient.

Ce n’est pas une liste de commandes obligatoire. C’est une manière d’éviter de modifier la couche 3 ou le serveur lorsque le problème est encore en couche 2.

10Corrige une cause à la fois

Pour chaque cause confirmée :

cause retenue
preuve décisive
objet exact à modifier
correction minimale
risque
rollback
résultat attendu

Après la première correction, rejoue les tests. Si un symptôme subsiste, ne conclus pas que la première correction était fausse : démontre la seconde cause séparément.

Interdictions :

réinitialiser tous les switches ;
désactiver STP ;
supprimer globalement les ACL ;
mettre tous les ports dans le même VLAN ;
autoriser ip any any pour contourner la politique ;
modifier plusieurs composants sans conserver l'état intermédiaire.

11Refais la recette complète

Après remédiation :

- ports access conformes ;
- trunks conformes ;
- root bridge attendu ;
- redondance L2 de nouveau stable ;
- routage inter-VLAN fonctionnel ;
- TCP 8080 Utilisateurs -> Services autorisé ;
- TCP 22 Utilisateurs -> Services interdit ;
- TCP 22 Administration -> Services autorisé ;
- DNS utilisateur autorisé ;
- flux utilisateur non prévu testé négativement ;
- aucune ouverture générale ajoutée pendant la correction.

12Livrables attendus

Remets :

1. schéma physique/logique ;
2. tableau ports/VLAN/trunks ;
3. justification du root bridge ;
4. matrice de flux ;
5. état de référence VLAN/trunk/STP ;
6. preuve du routage ;
7. ACL utile et point d'application ;
8. tests positifs et négatifs ;
9. preuve de convergence après coupure contrôlée ;
10. tableau de diagnostic des deux causes ;
11. corrections et rollbacks ;
12. recette finale ;
13. entrée dossier de preuves ;
14. limites de la conclusion.

13Critères de réussite

L’évaluation est recevable si :

- la segmentation correspond aux besoins ;
- les ports access et trunks sont cohérents ;
- le root bridge est intentionnel et observable ;
- la redondance ne crée pas de boucle de forwarding ;
- le routage inter-VLAN fonctionne ;
- la politique ACL est conforme à la matrice ;
- les tests positifs et négatifs sont présents ;
- les deux causes sont isolées avant correction ;
- chaque correction est bornée et vérifiée ;
- le résultat final ne contourne pas la sécurité ;
- les preuves restent synthétiques et sans secret réel.

14Grille de correction sur 20

4 pts — conception : schéma, VLAN, ports, trunks, matrice de flux
4 pts — mise en œuvre : commutation, routage, STP et ACL conformes
4 pts — diagnostic : faits, hypothèses, tests et isolement des deux causes
4 pts — sécurité/recette : flux positifs/négatifs, absence de contournement, rollback
4 pts — preuves/documentation : sorties utiles, compte rendu, limites et traçabilité

Une maquette finalement fonctionnelle après des changements non tracés ne valide pas la méthode attendue.

15Indices gradués

Indice 1
Compare un poste fonctionnel et le poste en panne : port, VLAN, chemin et tests.

Indice 2
Prouve séparément couche 2, routage puis filtrage. Ne passe pas à la couche suivante tant que la précédente n'est pas cohérente.

Indice 3
Si un flux autorisé échoue et qu'un flux interdit passe encore, envisage deux défauts indépendants au lieu de chercher une seule explication globale.

16Remise à zéro contrôlée

L’évaluateur conserve avant chaque tentative :

- fichier Packet Tracer ou snapshot fonctionnel de référence ;
- tableau attendu ports/VLAN/trunks ;
- priorité STP attendue ;
- ACL de référence ;
- résultat de la recette positive et négative.

Après l’évaluation :

1. restaurer les affectations access ;
2. restaurer les trunks et VLAN autorisés ;
3. restaurer les priorités STP prévues ;
4. restaurer l'ACL et son association ;
5. vérifier le routage inter-VLAN ;
6. rejouer la recette minimale ;
7. conserver une maquette propre pour le candidat suivant.

17Entrée minimale du dossier de preuves

EXIGENCE
Segmenter le réseau de SORIA Distribution, conserver une topologie L2 redondante sans boucle active et appliquer les flux autorisés/interdits.

CONTEXTE
Maquette Cisco/Packet Tracer synthétique à trois zones métier, réseau de management et liens redondants.

ACTION
Décrire la conception, la configuration utile, la panne imposée, le diagnostic et les corrections bornées.

RÉSULTAT + VÉRIFICATION
Conserver les preuves VLAN/trunk/STP, la convergence contrôlée, les tests de flux positifs/négatifs et la recette après remédiation.

LIMITE
Cette preuve ne démontre ni la haute disponibilité de production, ni une politique de pare-feu stateful complète, ni la sécurité exhaustive des équipements.