Ce document est la propriété exclusive de Cisco Systems, Inc. L autorisation d imprimer et de copier ce document n est autorisée que pour une

Transcription

1 Ce document est la propriété exclusive de Cisco Systems, Inc. L autorisation d imprimer et de copier ce document n est autorisée que pour une distribution non commerciale et l utilisation de ce document est exclusivement réservée aux formateurs du cours CCNA Exploration : Accès au réseau étendu, en tant que partie intégrante du programme officiel Cisco Networking Academy.

2 Travaux pratiques : travaux pratiques : révision avancée (version du formateur) Diagramme de topologie Table d adressage Périphérique Interface Adresse IP R1 R2 Masque de sous-réseau Passerelle par défaut Fa0/1 N/D N/D N/D Fa0/ N/D Fa0/ N/D Fa0/ N/D S0/0/ N/D Fa0/1 N/D N/D N/D Fa0/ N/D Fa0/ N/D S0/0/ N/D S0/0/ N/D Ce document contient des informations publiques Cisco. Page 1 sur 26

3 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée Fa0/1 N/D N/D N/D R3 Fa0/ N/D Fa0/ N/D S0/0/ N/D Comm1 VLAN Comm2 VLAN Comm3 VLAN PC1 Carte réseau PC3 Carte réseau Objectifs pédagogiques À l issue de ces travaux pratiques, vous serez en mesure d effectuer les tâches suivantes : Câbler un réseau conformément au diagramme de topologie Supprimer la configuration de démarrage et recharger un routeur pour revenir aux paramètres par défaut Exécuter les tâches de configuration de base d un routeur Configurer et activer des interfaces Configurer le protocole Spanning Tree Configurer les serveurs et le client VTP Configurer les réseaux locaux virtuels (VLAN) sur les commutateurs Configurer le routage RIP sur tous les routeurs Configurer le routage OSPF sur tous les routeurs Configurer le routage EIGRP sur tous les routeurs Scénario Au cours de ces travaux pratiques, vous allez examiner les concepts de routage et de commutation. Essayez cependant de travailler de façon autonome. Si vous éprouvez des difficultés, reportez-vous au cours précédent. Remarque : il n est pas conseillé d utiliser la configuration de trois protocoles de routage distincts (RIP, OSPF et EIGRP) pour acheminer le même réseau. En effet, cette pratique est des moins recommandées, et elle ne devrait pas être mise en œuvre dans un réseau de production. Elle a été adoptée ici pour vous permettre d examiner les principaux protocoles de routage et pour illustrer le concept de distance administrative. Tâche 1 : préparation du réseau Étape 1 : câblage d un réseau similaire à celui du diagramme de topologie Étape 2 : suppression des configurations existantes sur les routeurs Ce document contient des informations publiques Cisco. Page 2 sur 26

4 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée Tâche 2 : exécution des configurations de base des périphériques Configurez les routeurs R1, R2 et R3, ainsi que les commutateurs Comm1, Comm2, Comm3, en respectant les consignes suivantes : Configurez le nom d hôte. Désactivez la recherche DNS. Configurez un mot de passe pour le mode d exécution privilégié. Configurez une bannière de message du jour. Configurez un mot de passe pour les connexions de consoles. Configurez la connexion synchrone. Configurez un mot de passe pour les connexions de terminaux virtuels (vty). enable configure terminal no ip domain-lookup enable secret class banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line vty 0 4 password cisco login end copy running-config startup-config Tâche 3 : configuration et activation d adresses série et Ethernet Étape 1 : configuration des interfaces sur R1, R2 et R3 R1 interface FastEthernet0/1 no ip address no shutdown interface FastEthernet0/1.10 encapsulation dot1q 10 ip address interface FastEthernet0/1.12 encapsulation dot1q 12 ip address interface FastEthernet0/1.13 Ce document contient des informations publiques Cisco. Page 3 sur 26

5 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée encapsulation dot1q 13 ip address interface Serial0/0/0 ip address no shutdown clock rate R2 interface FastEthernet0/1 no ip address no shutdown interface FastEthernet0/1.12 encapsulation dot1q 12 ip address no snmp trap link-status interface FastEthernet0/1.20 encapsulation dot1q 20 ip address no snmp trap link-status interface Serial0/0/0 ip address no shutdown interface Serial0/0/1 ip address clock rate no shutdown R3 interface FastEthernet0/1 no ip address no shutdown interface FastEthernet0/1.13 encapsulation dot1q 13 ip address interface FastEthernet0/1.30 encapsulation dot1q 30 ip address interface Serial0/0/1 ip address no shutdown Ce document contient des informations publiques Cisco. Page 4 sur 26

6 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée Étape 2 : vérification de l adressage IP et des interfaces R1#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES unset administratively down down FastEthernet0/1 unassigned YES unset up up FastEthernet0/ YES manual up up FastEthernet0/ YES manual up up FastEthernet0/ YES manual up up Serial0/0/ YES unset up up Serial0/0/1 unassigned YES unset administratively down down Serial0/1/0 unassigned YES unset administratively down down Serial0/1/1 unassigned YES unset administratively down down R2#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES unset administratively down down FastEthernet0/1 unassigned YES manual up up FastEthernet0/ YES manual up up FastEthernet0/ YES manual up up Serial0/0/ YES manual up up Serial0/0/ YES manual up up R3#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES unset administratively down down FastEthernet0/1 unassigned YES manual up up FastEthernet0/ YES manual up up FastEthernet0/ YES manual up up Serial0/0/0 unassigned YES unset administratively down down Serial0/0/ YES manual up up Étape 3 : configuration de l interface VLAN de gestion sur Comm1, Comm2 et Comm3 Comm1(config)#interface vlan10 Comm1(config-if)#ip address Comm2(config)#interface vlan20 Comm2(config-if)#ip address Comm3(config)#interface vlan30 Comm3(config-if)#ip address Étape 4 : configuration des interfaces Ethernet PC1 et PC3 Étape 5 : test de la connectivité entre les ordinateurs Ce document contient des informations publiques Cisco. Page 5 sur 26

7 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée Tâche 4 : configuration du protocole STP Étape 1 : configuration systématique de Comm1 en tant que racine Comm1(config)#spanning-tree vlan root primary Étape 2 : vérification de la définition de Comm1 en tant que racine Comm1#show spanning-tree summary Switch is in pvst mode Root bridge for: VLAN0001 Extended system ID is enabled Portfast Default is disabled PortFast BPDU Guard Default is disabled Portfast BPDU Filter Default is disabled Loopguard Default is disabled EtherChannel misconfig guard is enabled UplinkFast is disabled BackboneFast is disabled Configured Pathcost method used is short Name Blocking Listening Learning Forwarding STP Active VLAN vlans Tâche 5 : configuration de VTP Étape 1 : configuration de Comm1 en tant que serveur VTP et création d un nom de domaine et d un mot de passe Comm1(config)#vtp mode server Setting device to VTP SERVER mode Comm1(config)#vtp domain cisco Changing VTP domain name from NULL to cisco Comm1(config)#vtp password cisco Setting device VLAN database password to cisco Étape 2 : configuration de Comm2 et de Comm3 en tant que clients VTP, affectés d un nom de domaine et d un mot de passe Comm2(config)#vtp mode client Setting device to VTP CLIENT mode Comm2(config)#vtp domain cisco Changing VTP domain name from NULL to cisco Comm2(config)#vtp password cisco Setting device VLAN database password to cisco Comm3(config)#vtp mode client Setting device to VTP CLIENT mode Comm3(config)#vtp domain cisco Changing VTP domain name from NULL to cisco Comm3(config)#vtp password cisco Setting device VLAN database password to cisco Ce document contient des informations publiques Cisco. Page 6 sur 26

8 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée Étape 3 : vérification de la configuration Comm1#show vtp status VTP Version : 2 Configuration Revision : 0 Maximum VLANs supported locally : 255 Number of existing VLANs : 10 VTP Operating Mode : Server VTP Domain Name : cisco VTP Pruning Mode : Disabled VTP V2 Mode : Disabled VTP Traps Generation : Disabled MD5 digest : 0x97 0xB7 0xCF 0xD2 0xDD 0x77 0x88 0x34 Configuration last modified by at :25:29 Local updater ID is on interface Vl10 (lowest numbered VLAN interface found) Comm2#show vtp stat VTP Version : 2 Configuration Revision : 0 Maximum VLANs supported locally : 255 Number of existing VLANs : 10 VTP Operating Mode : Client VTP Domain Name : cisco VTP Pruning Mode : Disabled VTP V2 Mode : Disabled VTP Traps Generation : Disabled MD5 digest : 0xE7 0xD7 0x24 0xC0 0x33 0x80 0xF7 0xAA Configuration last modified by at :19:03 Comm3#show vtp status VTP Version : 2 Configuration Revision : 0 Maximum VLANs supported locally : 255 Number of existing VLANs : 10 VTP Operating Mode : Client VTP Domain Name : cisco VTP Pruning Mode : Disabled VTP V2 Mode : Disabled VTP Traps Generation : Disabled MD5 digest : 0xE7 0xD7 0x24 0xC0 0x33 0x80 0xF7 0xAA Configuration last modified by at :52:33 Tâche 6 : configuration des réseaux locaux virtuels Étape 1 : configuration de Comm1 avec les réseaux locaux virtuels Comm1(config)# vlan 10,12,13,20,30 Étape 2 : vérification que Comm2 et Comm3 ont reçu les configurations VLAN de Comm1 Comm1#show vlan brief VLAN Name Status Ports default active Fa0/2, Fa0/3, Fa0/4, Fa0/5 Ce document contient des informations publiques Cisco. Page 7 sur 26

9 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée 10 VLAN0010 active 12 VLAN0012 active 13 VLAN0013 active 20 VLAN0020 active 30 VLAN0030 active 1002 fddi-default act/unsup 1003 token-ring-default act/unsup 1004 fddinet-default act/unsup 1005 trnet-default act/unsup Fa0/6, Fa0/7, Fa0/8,Fa0/9 Fa0/10, Fa0/11, Fa0/12,Fa0/13 Fa0/14, Fa0/15, Fa0/16,Fa0/17 Fa0/18, Fa0/19, Fa0/20,Fa0/21 Fa0/22, Fa0/23, Fa0/24 Comm2#show vlan brief VLAN Name Status Ports default active Fa0/2, Fa0/3, Fa0/4, Fa0/5 Fa0/6, Fa0/7, Fa0/8,Fa0/9 Fa0/10, Fa0/11, Fa0/12,Fa0/13 Fa0/14, Fa0/15, Fa0/16,Fa0/17 Fa0/18, Fa0/19, Fa0/20,Fa0/21 Fa0/22, Fa0/23, Fa0/24, Gi0/2 10 VLAN0010 active 12 VLAN0012 active 13 VLAN0013 active 20 VLAN0020 active 30 VLAN0030 active 1002 fddi-default act/unsup 1003 token-ring-default act/unsup 1004 fddinet-default act/unsup 1005 trnet-default act/unsup Comm3#show vlan brief VLAN Name Status Ports default active Fa0/2, Fa0/3, Fa0/4, Fa0/5 Fa0/6, Fa0/7, Fa0/8,Fa0/9 Fa0/10, Fa0/11, Fa0/12,Fa0/13 Fa0/14, Fa0/15, Fa0/16,Fa0/17 Fa0/18, Fa0/19, Fa0/20,Fa0/21 Fa0/22, Fa0/23, Fa0/24, Gi0/2 10 VLAN0010 active 12 VLAN0012 active 13 VLAN0013 active 20 VLAN0020 active 30 VLAN0030 active 1002 fddi-default act/unsup 1003 token-ring-default act/unsup 1004 fddinet-default act/unsup 1005 trnet-default act/unsup Ce document contient des informations publiques Cisco. Page 8 sur 26

10 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée Étape 3 : attribution de ports aux réseaux locaux virtuels appropriés Comm1 : interface FastEthernet0/1 switchport trunk allowed vlan 10,12,13 switchport mode trunk interface FastEthernet0/2 switchport access vlan 10 switchport mode access interface GigabitEthernet0/1 switchport trunk allowed vlan 1,12 switchport mode trunk interface GigabitEthernet0/2 switchport trunk allowed vlan 1,13 switchport mode trunk Comm2 : interface FastEthernet0/1 switchport trunk allowed vlan 12,20 switchport mode trunk interface FastEthernet0/2 switchport access vlan 20 switchport mode access interface GigabitEthernet0/1 switchport trunk allowed vlan 12 switchport mode trunk Comm2 : interface FastEthernet0/1 switchport trunk allowed vlan 13,30 switchport mode trunk interface FastEthernet0/2 switchport access vlan 30 switchport mode access interface GigabitEthernet0/1 switchport trunk allowed vlan 13 switchport mode trunk Tâche 7 : configuration du routage RIP Étape 1 : configuration du routage RIP sur R1, R2 et R3 R1 router rip version 2 no auto-summary Ce document contient des informations publiques Cisco. Page 9 sur 26

11 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée network network R2 router rip version 2 no auto-summary network network R3 router rip version 2 not auto-summary network network Étape 2 : test de la connectivité avec la commande ping R1 : R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Ce document contient des informations publiques Cisco. Page 10 sur 26

12 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2 : R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Ce document contient des informations publiques Cisco. Page 11 sur 26

13 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms Ce document contient des informations publiques Cisco. Page 12 sur 26

14 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée R3 : R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Ce document contient des informations publiques Cisco. Page 13 sur 26

15 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms Étape 3 : vérification de la table de routage R1#sh ip route <résultat omis> R C R C C R C /24 [120/1] via , 00:00:03, FastEthernet0/ /24 is directly connected, FastEthernet0/ /24 [120/1] via , 00:00:00, FastEthernet0/1.12 [120/1] via , 00:00:13, Serial0/0/ /8 is variably subnetted, 4 subnets, 2 masks /24 is directly connected, FastEthernet0/ /24 is directly connected, FastEthernet0/ /30 [120/1] via , 00:00:03, FastEthernet0/1.13 [120/1] via , 00:00:00, FastEthernet0/1.12 [120/1] via , 00:00:13, Serial0/0/ /30 is directly connected, Serial0/0/0 R2#sh ip route <résultat omis> Gateway of last resort is not set R R C R C C C /24 [120/1] via , 00:00:05, Serial0/0/ /24 [120/1] via , 00:00:17, FastEthernet0/1.12 [120/1] via , 00:00:17, Serial0/0/ /24 is directly connected, FastEthernet0/ /8 is variably subnetted, 4 subnets, 2 masks /24 [120/1] via , 00:00:17, FastEthernet0/1.12 [120/1] via , 00:00:05, Serial0/0/1 [120/1] via , 00:00:17, Serial0/0/ /24 is directly connected, FastEthernet0/ /30 is directly connected, Serial0/0/ /30 is directly connected, Serial0/0/0 Ce document contient des informations publiques Cisco. Page 14 sur 26

16 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée R3#sh ip route <résultat omis> Gateway of last resort is not set C R R C R C R /24 is directly connected, FastEthernet0/ /24 [120/1] via , 00:00:08, FastEthernet0/ /24 [120/1] via , 00:00:10, Serial0/0/ /8 is variably subnetted, 4 subnets, 2 masks /24 is directly connected, FastEthernet0/ /24 [120/1] via , 00:00:08, FastEthernet0/1.13 [120/1] via , 00:00:10, Serial0/0/ /30 is directly connected, Serial0/0/ /30 [120/1] via , 00:00:08, FastEthernet0/1.13 [120/1] via , 00:00:10, Serial0/0/1 Tâche 8 : configuration du routage OSPF Étape 1 : configuration du routage RIP sur R1, R2 et R3 R1 router ospf 1 network area 0 network area 0 network area 0 network area 0 R2 router ospf 1 network area 0 network area 0 network area 0 network area 0 R3 router ospf 1 network area 0 network area 0 network area 0 Étape 2 : vérification du remplacement des routes RIP par les routes OSPF en raison d une distance administrative inférieure R1#show ip route <résultat omis> O C O /24 [110/2] via , 00:00:13, FastEthernet0/ /24 is directly connected, FastEthernet0/ /24 [110/2] via , 00:00:13, FastEthernet0/1.12 Ce document contient des informations publiques Cisco. Page 15 sur 26

17 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée C C O C /8 is variably subnetted, 4 subnets, 2 masks /24 is directly connected, FastEthernet0/ /24 is directly connected, FastEthernet0/ /30 [110/782] via , 00:00:13, FastEthernet0/1.13 [110/782] via , 00:00:13, FastEthernet0/ /30 is directly connected, Serial0/0/0 R2#show ip route <résultat omis> O O C O C C C /24 [110/3] via , 00:00:39, FastEthernet0/ /24 [110/2] via , 00:00:39, FastEthernet0/ /24 is directly connected, FastEthernet0/ /8 is variably subnetted, 4 subnets, 2 masks /24 [110/2] via , 00:00:39, FastEthernet0/ /24 is directly connected, FastEthernet0/ /30 is directly connected, Serial0/0/ /30 is directly connected, Serial0/0/0 R3#show ip route <résultat omis> C O O C O C O /24 is directly connected, FastEthernet0/0, /24 [110/2] via , 00:01:03, FastEthernet0/ /24 [110/3] via , 00:01:03, FastEthernet0/ /8 is variably subnetted, 4 subnets, 2 masks /24 is directly connected, FastEthernet0/ /24 [110/2] via , 00:01:03, FastEthernet0/ /30 is directly connected, Serial0/0/ /30 [110/782] via , 00:01:03, FastEthernet0/1.13 En quoi l'activation du protocole OSPF affecte-t-elle les décisions de routage? Avant l activation du protocole OSPF, les routeurs utilisaient le chemin doté du plus petit nombre de sauts. Par exemple, R3 utilisait son interface Serial0/0/0 pour atteindre le sous-réseau car il était distant d un seul saut. Après l activation du protocole OSPF, le chemin emprunté est le plus rapide. Dans l exemple précédent, R3 utilise Fast Ethernet 0/0.13 pour atteindre le sous-réseau Étape 3 : vérification de l activation du protocole RIP R1#show ip rip database /8 auto-summary /30 directly connected, Serial0/0/ /24 directly connected, FastEthernet0/ /24 directly connected, FastEthernet0/ /24 auto-summary /24 directly connected, FastEthernet0/1.10 Ce document contient des informations publiques Cisco. Page 16 sur 26

18 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée R2#show ip rip database /8 auto-summary /30 directly connected, Serial0/0/ /30 directly connected, Serial0/0/ /24 directly connected, FastEthernet0/ /24 auto-summary /24 directly connected, FastEthernet0/1.20 R3#show ip rip database /8 auto-summary /30 directly connected, Serial0/0/ /24 directly connected, FastEthernet0/ /24 auto-summary /24 directly connected, FastEthernet0/1.30 Tâche 9 : configuration du routage EIGRP Étape 1 : configuration du routage EIGRP sur R1, R2 et R3 R1 router eigrp 10 no auto-summary network network network network R2 router eigrp 10 no auto-summary network network network network R3 router eigrp 10 no auto-summary network network network Étape 2 : vérification du remplacement des routes OSPF par les routes EIGRP en raison d une distance administrative inférieure R1#show ip route <résultat omis> Ce document contient des informations publiques Cisco. Page 17 sur 26

19 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée D /24 [90/30720] via , 00:00:24, FastEthernet0/1.13 C /24 is directly connected, FastEthernet0/1.10 D /24 [90/30720] via , 00:00:48, FastEthernet0/ /8 is variably subnetted, 4 subnets, 2 masks C /24 is directly connected, FastEthernet0/1.13 C /24 is directly connected, FastEthernet0/1.12 D /30 [90/ ] via , 00:00:24, FastEthernet0/1.13 [90/ ] via , 00:00:24, FastEthernet0/1.12 C /30 is directly connected, Serial0/0/0 R2#show ip route <résultat omis> D D C D C C C /24 [90/33280] via , 00:00:29, FastEthernet0/ /24 [90/30720] via , 00:00:30, FastEthernet0/ /24 is directly connected, FastEthernet0/ /8 is variably subnetted, 4 subnets, 2 masks /24 [90/30720] via , 00:00:30, FastEthernet0/ /24 is directly connected, FastEthernet0/ /30 is directly connected, Serial0/0/ /30 is directly connected, Serial0/0/0 R3#show ip route <résultat omis> C /24 is directly connected, FastEthernet0/0,30 D /24 [90/30720] via , 00:00:08, FastEthernet0/1.13 D /24 [90/33280] via , 00:00:08, FastEthernet0/ /8 is variably subnetted, 4 subnets, 2 masks C /24 is directly connected, FastEthernet0/1.13 D /24 [90/30720] via , 00:00:08, FastEthernet0/1.13 C /30 is directly connected, Serial0/0/1 D /30 [90/ ] via , 00:00:08, FastEthernet0/0.13 Étape 3 : vérification de l activation du protocole OSPF R1#sh ip ospf database OSPF Router with ID ( ) (Process ID 1) Router Link States (Area 0) Link ID ADV Router Age Seq# Checksum Link count x x0056F x x00B9F x x00C99A 4 Net Link States (Area 0) Link ID ADV Router Age Seq# Checksum x x004D5A x x R2#sh ip ospf database Ce document contient des informations publiques Cisco. Page 18 sur 26

20 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée OSPF Router with ID ( ) (Process ID 1) Router Link States (Area 0) Link ID ADV Router Age Seq# Checksum Link count x x0056F x x00B9F x x00C99A 4 Net Link States (Area 0) Link ID ADV Router Age Seq# Checksum x x004D5A x x R3#sh ip ospf database OSPF Router with ID ( ) (Process ID 1) Router Link States (Area 0) Link ID ADV Router Age Seq# Checksum Link count x x0056F x x00B9F x x00C99A 4 Net Link States (Area 0) Link ID ADV Router Age Seq# Checksum x x004D5A x x Tâche 10 : documentation des configurations des routeurs R1 R1#show run <résultat omis> hostname R1 enable secret class no ip domain lookup interface FastEthernet0/0 no ip address shutdown interface FastEthernet0/1 no ip address no shutdown interface FastEthernet0/1.10 encapsulation dot1q 10 ip address Ce document contient des informations publiques Cisco. Page 19 sur 26

21 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée interface FastEthernet0/1.12 encapsulation dot1q 12 ip address interface FastEthernet0/1.13 encapsulation dot1q 13 ip address interface Serial0/0/0 ip address no fair-queue clockrate no shutdown interface Serial0/0/1 no ip address shutdown router eigrp 10 network network network network no auto-summary router ospf 1 log-adjacency-changes network area 0 network area 0 network area 0 network area 0 router rip version 2 network network no auto-summary banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login end Ce document contient des informations publiques Cisco. Page 20 sur 26

22 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée R2 R2#show run <résultat omis> hostname R2 enable secret class no ip domain lookup interface FastEthernet0/0 no ip address shutdown interface FastEthernet0/1 no ip address no shutdown interface FastEthernet0/1.20 encapsulation dot1q 20 ip address interface FastEthernet0/1.12 encapsulation dot1q 12 ip address interface Serial0/0/0 ip address no shutdown interface Serial0/0/1 ip address no shutdown router eigrp 10 network network network network no auto-summary router ospf 1 log-adjacency-changes network area 0 network area 0 network area 0 network area 0 router rip version 2 network network no auto-summary Ce document contient des informations publiques Cisco. Page 21 sur 26

23 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login end R3 R3#show run <résultat omis> hostname R3 enable secret class no ip domain lookup interface FastEthernet0/0 no ip address shutdown interface FastEthernet0/1 no ip address no shutdown interface FastEthernet0/1.13 encapsulation dot1q 13 ip address interface FastEthernet0/1.30 encapsulation dot1q 30 ip address interface Serial0/0/0 no ip address shutdown clockrate interface Serial0/0/1 ip address no shutdown router eigrp 10 network network Ce document contient des informations publiques Cisco. Page 22 sur 26

24 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée network no auto-summary router ospf 1 network area 0 network area 0 network area 0 router rip version 2 network network no auto-summary banner motd ^CCUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login End Comm1#show run <résultat omis> hostname Comm1 enable secret class no ip domain lookup vlan 10,12,13,20,30 spanning-tree mode pvst spanning-tree extend system-id spanning-tree vlan priority vtp mode server vtp domain cisco vtp password cisco interface FastEthernet0/1 switchport trunk allowed vlan 10,12,13 switchport mode trunk interface FastEthernet0/2 switchport access 10 Ce document contient des informations publiques Cisco. Page 23 sur 26

25 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée switchport mode access interface GigabitEthernet0/1 switchport trunk allowed vlan 12 switchport mode trunk interface GigabitEthernet0/2 switchport trunk allowed vlan 13 switchport mode trunk banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login End Comm2#show run <résultat omis> hostname Comm2 enable secret class no ip domain lookup spanning-tree mode pvst spanning-tree extend system-id vtp mode client vtp domain cisco vtp password cisco interface FastEthernet0/1 switchport trunk allowed vlan 12,20 switchport mode trunk interface FastEthernet0/2 switchport access 20 switchport mode access interface GigabitEthernet0/1 switchport trunk allowed vlan 12 switchport mode trunk banner motd ^CCUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 Ce document contient des informations publiques Cisco. Page 24 sur 26

26 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login End Comm3#show run <résultat omis> hostname Comm3 enable secret class no ip domain lookup spanning-tree mode pvst spanning-tree extend system-id vtp mode client vtp domain cisco vtp password cisco interface FastEthernet0/1 switchport trunk allowed vlan 13,30 switchport mode trunk interface FastEthernet0/2 switchport access 30 switchport mode access interface GigabitEthernet0/1 switchport trunk allowed vlan 13 switchport mode trunk banner motd ^CCUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login end Ce document contient des informations publiques Cisco. Page 25 sur 26

27 Accès au réseau étendu : révision d Exploration 2 et 3 Travaux pratiques : révision avancée Tâche 11 : remise en état Supprimez les configurations et rechargez les routeurs. Déconnectez le câblage et stockez-le dans un endroit sécurisé. Reconnectez le câblage souhaité et restaurez les paramètres TCP/IP pour les PC hôtes habituellement connectés aux autres réseaux (réseaux locaux de votre site ou Internet). Ce document contient des informations publiques Cisco. Page 26 sur 26

28 Travaux pratiques : configuration de base du protocole PPP (version du formateur) Diagramme de topologie Table d adressage Périphérique Interface Adresse IP Masque de Passerelle R1 Fa0/ sous-réseau par N/D défaut S0/0/ N/D Lo N/D R2 S0/0/ N/D S0/0/ N/D R3 Fa0/ N/D S0/0/ N/D PC1 Carte réseau PC3 Carte réseau Ce document contient des informations publiques Cisco. Page 1 sur 23

29 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP Objectifs pédagogiques À l issue de ces travaux pratiques, vous serez en mesure d effectuer les tâches suivantes : Câbler un réseau conformément au diagramme de topologie Supprimer la configuration de démarrage et recharger un routeur pour revenir aux paramètres par défaut Exécuter les tâches de configuration de base d un routeur Configurer et activer des interfaces Configurer le routage OSPF sur tous les routeurs Configurer l encapsulation PPP sur toutes les interfaces série Comprendre le fonctionnement des commandes debug ppp negotiation et debug ppp packet Remplacer l encapsulation PPP par l encapsulation HDLC sur les interfaces série Interrompre volontairement une encapsulation PPP et la restaurer Configurer l authentification PPP à l aide des protocoles PAP et CHAP interrompre volontairement l authentification PPP PAP et CHAP et la restaurer Scénario Dans le cadre de ces travaux pratiques, vous apprendrez à configurer l encapsulation PPP sur les liaisons série en utilisant le réseau illustré dans le diagramme de topologie. Vous apprendrez également à restaurer l encapsulation HDLC des liaisons série. Observez bien le résultat affiché par le routeur lorsque vous interrompez volontairement l encapsulation PPP. Cela vous aidera dans les travaux pratiques de dépannage associés à ce chapitre. Enfin, vous apprendrez à configurer l authentification PPP à l aide des protocoles PAP et CHAP. Tâche 1 : préparation du réseau Étape 1 : câblage d un réseau similaire à celui du diagramme de topologie Vous pouvez utiliser n importe quel routeur disponible durant les travaux pratiques, pourvu qu il dispose des interfaces requises, comme illustré sur le diagramme de topologie. Remarque : si vous utilisez les routeurs 1700, 2500 ou 2600, les sorties des routeurs et les descriptions des interfaces s affichent différemment. Étape 2 : suppression des configurations existantes sur les routeurs Tâche 2 : configuration de base d un routeur Configurez les routeurs R1, R2 et R3 conformément aux instructions suivantes : Configurez le nom d hôte du routeur. Désactivez la recherche DNS. Configurez un mot de passe pour le mode d exécution privilégié. Configurez une bannière de message du jour. Ce document contient des informations publiques Cisco. Page 2 sur 23

30 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP Configurez un mot de passe pour les connexions de consoles. Configurez la connexion synchrone. Configurez un mot de passe pour les connexions de terminaux virtuels (vty). enable configure terminal no ip domain-lookup enable secret class banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line vty 0 4 password cisco login end copy running-config starting-config Tâche 3 : configuration et activation d adresses série et Ethernet Étape 1 : configuration des interfaces sur R1, R2 et R3 Configurez les interfaces des routeurs R1, R2 et R3 avec les adresses IP de la table d adressage figurant au début des travaux pratiques. Veillez à inclure la fréquence d horloge sur les interfaces série DCE. R1 interface FastEthernet0/1 ip address no shutdown interface Serial0/0/0 ip address no shutdown clock rate R2 interface Loopback0 ip address interface Serial0/0/0 ip address no shutdown interface Serial0/0/1 ip address Ce document contient des informations publiques Cisco. Page 3 sur 23

31 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP clock rate no shutdown R3 interface FastEthernet0/1 ip address no shutdown interface Serial0/0/1 ip address no shutdown Étape 2 : vérification de l adressage IP et des interfaces Utilisez la commande show ip interface brief pour vérifier que l adressage IP est correct et que les interfaces sont actives. R1#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned FastEthernet0/ YES manual up YES NVRAM administratively down down Serial0/0/ YES manual up up Serial0/0/1 unassigned YES NVRAM administratively down down up R2#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES NVRAM administratively down down FastEthernet0/1 unassigned YES NVRAM administratively down down Serial0/0/ YES manual up up Serial0/0/ YES manual up up Loopback YES manual up up R3#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES NVRAM administratively down down FastEthernet0/ YES manual up up Serial0/0/0 unassigned YES NVRAM administratively down down Serial0/0/ YES manual up up Lorsque vous aurez terminé, veillez à enregistrer la configuration actuelle dans la mémoire NVRAM du routeur. Ce document contient des informations publiques Cisco. Page 4 sur 23

32 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP Étape 3 : configuration des interfaces Ethernet de PC1 et PC3 Configurez les interfaces Ethernet de PC1 et PC3 avec les adresses IP et les passerelles par défaut provenant de la table d adressage. Étape 4 : test de la configuration par l envoi d une requête ping entre le PC et la passerelle par défaut Tâche 4 : configuration du protocole OSPF sur les routeurs Si vous souhaitez revoir les commandes OSPF, consultez la section Exploration 2, module 11. Étape 1 : activation du routage OSPF sur R1, R2 et R3 Utilisez la commande router OSPF avec l ID de processus 1. Veillez à annoncer correctement les réseaux. R1(config)#router ospf 1 R1(config-router)#network area 0 R1(config-router)#network area 0 *Aug 17 17:49:14.689: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/0 from LOADING to FULL, Loading Done R1(config-router)# R2(config)#router ospf 1 R2(config-router)#network area 0 *Aug 17 17:48:40.645: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/0 from LOADING to FULL, Loading Done R2(config-router)#network area 0 R2(config-router)#network area 0 R2(config-router)# *Aug 17 17:57:44.729: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from LOADING to FULL, Loading Done R2(config-router)# R3(config)#router ospf 1 R3(config-router)#network area 0 *Aug 17 17:58:02.017: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from LOADING to FULL, Loading Done R3(config-router)#network area 0 R3(config-router)# Étape 2 : vérification de la connectivité sur l ensemble du réseau Utilisez les commandes show ip route et ping pour vérifier la connectivité. R1#show ip route <résultat omis> O C O C O C /24 [110/1563] via , 00:33:56, Serial0/0/ /24 is directly connected, FastEthernet0/ /32 is subnetted, 1 subnets [110/782] via , 00:33:56, Serial0/0/ /8 is variably subnetted, 3 subnets, 2 masks /32 is directly connected, Serial0/0/ /30 [110/1562] via , 00:33:56, Serial0/0/ /30 is directly connected, Serial0/0/0 Ce document contient des informations publiques Cisco. Page 5 sur 23

33 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 32/32/32 ms R1# R2#show ip route <résultat omis> O O C C C C C /24 [110/782] via , 00:33:04, Serial0/0/ /24 [110/782] via , 00:33:04, Serial0/0/ /27 is subnetted, 1 subnets is directly connected, Loopback /8 is variably subnetted, 4 subnets, 2 masks /32 is directly connected, Serial0/0/ /30 is directly connected, Serial0/0/ /30 is directly connected, Serial0/0/ /32 is directly connected, Serial0/0/0 R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 16/16/16 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 16/16/16 ms R2# R3#show ip route <résultat omis> C O O C O C /24 is directly connected, FastEthernet0/ /24 [110/1563] via , 00:32:01, Serial0/0/ /32 is subnetted, 1 subnets [110/782] via , 00:32:01, Serial0/0/ /8 is variably subnetted, 3 subnets, 2 masks /30 is directly connected, Serial0/0/ /30 [110/1562] via , 00:32:01, Serial0/0/ /32 is directly connected, Serial0/0/1 R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 16/16/16 ms Ce document contient des informations publiques Cisco. Page 6 sur 23

34 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 32/32/32 ms R3# Tâche 5 : configuration de l encapsulation PPP sur les interfaces série Étape 1 : utilisation de la commande show interface pour vérifier que le protocole HDLC est l encapsulation série par défaut R1#show interface serial0/0/0 Serial0/0/0 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation HDLC, loopback not set <résultat omis> R2#show interface serial 0/0/0 Serial0/0/0 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation HDLC, loopback not set <résultat omis> R2#show interface serial 0/0/1 Serial0/0/1 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation HDLC, loopback not set <résultat omis> R3#show interface serial 0/0/1 Serial0/0/1 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation HDLC, loopback not set <résultat omis> Ce document contient des informations publiques Cisco. Page 7 sur 23

35 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP Étape 2 : utilisation des commandes de débogage sur R1 et R2 pour constater les effets de la configuration du protocole PPP R1#debug ppp negotiation PPP protocol negotiation debugging is on R1#debug ppp packet PPP packet display debugging is on R1# R2#debug ppp negotiation PPP protocol negotiation debugging is on R2#debug ppp packet PPP packet display debugging is on R2# Étape 3 : remplacement de l encapsulation HDCL des interfaces série par l encapsulation PPP Modifiez le type d encapsulation sur la liaison entre R1 et R2, puis observez les effets. Si vous commencez à recevoir trop de données de débogage, utilisez la commande undebug all pour désactiver les opérations de débogage. R1(config)#interface serial 0/0/0 R1(config-if)#encapsulation ppp R1(config-if)# *Aug 17 19:02:53.412: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/0 from FULL to DOWN, Neighbor Down: Interface down or detached R1(config-if)# *Aug 17 19:02:53.416: Se0/0/0 PPP: Phase is DOWN, Setup *Aug 17 19:02:53.416: Se0/0/0 PPP: Using default call direction *Aug 17 19:02:53.416: Se0/0/0 PPP: Treating connection as a dedicated line *Aug 17 19:02:53.416: Se0/0/0 PPP: Session handle[e ] Session id[0] *Aug 17 19:02:53.416: Se0/0/0 PPP: Phase is ESTABLISHING, Active Open *Aug 17 19:02:53.424: Se0/0/0 LCP: O CONFREQ [Closed] id 1 len 10 *Aug 17 19:02:53.424: Se0/0/0 LCP: MagicNumber 0x63B994DE (0x050663B994DE) R1(config-if)# *Aug 17 19:02:55.412: Se0/0/0 PPP: Outbound cdp packet dropped *Aug 17 19:02:55.432: Se0/0/0 LCP: TIMEout: State REQsent *Aug 17 19:02:55.432: Se0/0/0 LCP: O CONFREQ [REQsent] id 2 len 10 *Aug 17 19:02:55.432: Se0/0/0 LCP: MagicNumber 0x63B994DE (0x050663B994DE) *Aug 17 19:02:56.024: Se0/0/0 PPP: I pkt type 0x008F, datagramsize 24 link[illegal] *Aug 17 19:02:56.024: Se0/0/0 UNKNOWN(0x008F): Non-NCP packet, discarding R1(config-if)# *Aug 17 19:02:57.252: Se0/0/0 PPP: I pkt type 0x000F, datagramsize 84 link[illegal] *Aug 17 19:02:57.252: Se0/0/0 UNKNOWN(0x000F): Non-NCP packet, discarding *Aug 17 19:02:57.448: Se0/0/0 LCP: TIMEout: State REQsent *Aug 17 19:02:57.448: Se0/0/0 LCP: O CONFREQ [REQsent] id 3 len 10 *Aug 17 19:02:57.448: Se0/0/0 LCP: MagicNumber 0x63B994DE (0x050663B994DE) R1(config-if)# *Aug 17 19:02:58.412: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to down R2(config)#interface serial 0/0/0 R2(config-if)#encapsulation ppp R2(config-if)# Ce document contient des informations publiques Cisco. Page 8 sur 23

36 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP *Aug 17 19:06:48.848: Se0/0/0 PPP: Phase is DOWN, Setup *Aug 17 19:06:48.848: Se0/0/0 PPP: Using default call direction *Aug 17 19:06:48.848: Se0/0/0 PPP: Treating connection as a dedicated line *Aug 17 19:06:48.848: Se0/0/0 PPP: Session handle[c ] Session id[0] *Aug 17 19:06:48.848: Se0/0/0 PPP: Phase is ESTABLISHING, Active Open *Aug 17 19:06:48.856: Se0/0/0 LCP: O CONFREQ [Closed] id 1 len 10 *Aug 17 19:06:48.856: Se0/0/0 LCP: MagicNumber 0x63BD388C (0x050663BD388C) *Aug 17 19:06:48.860: Se0/0/0 PPP: I pkt type 0xC021, datagramsize 14 link[ppp] *Aug 17 19:06:48.860: Se0/0/0 LCP: I CONFACK [REQsent] id 1 len 10 R2(config-if)# *Aug 17 19:06:48.860: Se0/0/0 LCP: MagicNumber 0x63BD388C (0x050663BD388C) R2(config-if)# *Aug 17 19:06:50.864: Se0/0/0 LCP: TIMEout: State ACKrcvd *Aug 17 19:06:50.864: Se0/0/0 LCP: O CONFREQ [ACKrcvd] id 2 len 10 *Aug 17 19:06:50.864: Se0/0/0 LCP: MagicNumber 0x63BD388C (0x050663BD388C) *Aug 17 19:06:50.868: Se0/0/0 PPP: I pkt type 0xC021, datagramsize 14 link[ppp] *Aug 17 19:06:50.868: Se0/0/0 LCP: I CONFREQ [REQsent] id 61 len 10 *Aug 17 19:06:50.868: Se0/0/0 LCP: MagicNumber 0x63BDB9A8 (0x050663BDB9A8) *Aug 17 19:06:50.868: Se0/0/0 LCP: O CONFACK [REQsent] id 61 len 10 *Aug 17 19:06:50.868: Se0/0/0 LCP: MagicNumber 0x63BDB9A8 (0x050663BDB9A8) *Aug 17 19:06:50.868: Se0/0/0 PPP: I pkt type 0xC021, datagramsize 14 link[ppp] *Aug 17 19:06:50.868: Se0/0/0 LCP: I CONFACK [ACKsent] id 2 len 10 *Aug 17 19:06:50.868: Se0/0/0 LCP: MagicNumber 0x63BD388C (0x050663BD388C) *Aug 17 19:06:50.868: Se0/0/0 LCP: State is Open *Aug 17 19:06:50.872: Se0/0/0 PPP: Phase is FORWARDING, Attempting Forward *Aug 17 19:06:50.872: Se0/0/0 PPP: Phase is ESTABLISHING, Finish LCP *Aug 17 19:06:50.872: Se0/0/0 PPP: Phase is UP *Aug 17 19:06:50.872: Se0/0/0 IPCP: O CONFREQ [Closed] id 1 len 10 *Aug 17 19:06:50.872: Se0/0/0 IPCP: Address (0x03060A010102) *Aug 17 19:06:50.872: Se0/0/0 CDPCP: O CONFREQ [Closed] id 1 len 4 *Aug 17 19:06:50.872: Se0/0/0 PPP: Process pending ncp packets *Aug 17 19:06:50.876: Se0/0/0 PPP: I pkt type 0x8021, datagramsize 14 link[ip] *Aug 17 19:06:50.876: Se0/0/0 IPCP: I CONFREQ [REQsent] id 1 len 10 *Aug 17 19:06:50.876: Se0/0/0 IPCP: Address (0x03060A010101) *Aug 17 19:06:50.876: Se0/0/0 PPP: I pkt type 0x8207, datagramsize 8 link[cdp] *Aug 17 19:06:50.876: Se0/0/0 IPCP: O CONFACK [REQsent] id 1 len 10 *Aug 17 19:06:50.876: Se0/0/0 IPCP: Address (0x03060A010101) *Aug 17 19:06:50.876: Se0/0/0 CDPCP: I CONFREQ [REQsent] id 1 len 4 *Aug 17 19:06:50.876: Se0/0/0 CDPCP: O CONFACK [REQsent] id 1 len 4 *Aug 17 19:06:50.876: Se0/0/0 PPP: I pkt type 0x8021, datagramsize 14 link[ip] *Aug 17 19:06:50.876: Se0/0/0 IPCP: I CONFACK [ACKse R2(config-if)#nt] id 1 len 10 *Aug 17 19:06:50.876: Se0/0/0 IPCP: Address (0x03060A010102) *Aug 17 19:06:50.876: Se0/0/0 IPCP: State is Open *Aug 17 19:06:50.876: Se0/0/0 PPP: I pkt type 0x8207, datagramsize 8 link[cdp] *Aug 17 19:06:50.876: Se0/0/0 IPCP: Install route to *Aug 17 19:06:50.880: Se0/0/0 CDPCP: I CONFACK [ACKsent] id 1 len 4 *Aug 17 19:06:50.880: Se0/0/0 CDPCP: State is Open *Aug 17 19:06:50.880: Se0/0/0 PPP: O pkt type 0x0021, datagramsize 80 Ce document contient des informations publiques Cisco. Page 9 sur 23

37 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP *Aug 17 19:06:50.880: Se0/0/0 IPCP: Add link info for cef entry *Aug 17 19:06:50.884: Se0/0/0 PPP: I pkt type 0x0021, datagramsize 80 link[ip] *Aug 17 19:06:51.848: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to up R2(config-if)# *Aug 17 19:06:51.888: Se0/0/0 LCP-FS: I ECHOREQ [Open] id 1 len 12 magic 0x63BDB9A8 *Aug 17 19:06:51.888: Se0/0/0 LCP-FS: O ECHOREP [Open] id 1 len 12 magic 0x63BD388C <résultat omis> *Aug 17 19:07:00.936: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/0 from LOADING to FULL, Loading Done Que se passe-t-il lorsque l une des extrémités de la liaison série est encapsulée avec le protocole PPP et l autre extrémité avec le protocole HDLC? La liaison est désactivée et la contiguïté OSPF est interrompue. Le protocole PPP tente toujours d établir une connexion avec l extrémité opposée de la liaison. Cependant, étant donné qu il continue à recevoir un paquet non NCP, il supprime le paquet et n établit pas la liaison. Par quelles étapes le protocole PPP passe-t-il si l autre extrémité de la liaison série sur R2 est configurée via l encapsulation PPP? Le protocole PPP passe par les phases suivantes : DOWN ESTABLISHING, Active Open LCP State is Open Ce document contient des informations publiques Cisco. Page 10 sur 23

38 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP ESTABLISHING, Finish LCP UP Que se passe-t-il lorsque l encapsulation PPP est configurée sur chaque extrémité de la liaison série? La liaison est activée et la contiguïté OSPF est restaurée. Étape 4 : désactivation de la fonction de débogage Désactivez la fonction de débogage si vous n avez pas encore utilisé la commande undebug all. R1#undebug all Port Statistics for unclassified packets is not turned on. All possible debugging has been turned off R1# R2#undebug all Port Statistics for unclassified packets is not turned on. All possible debugging has been turned off R2# Étape 5 : remplacement de l encapsulation HDLC par l encapsulation PPP aux deux extrémités de la liaison série entre R2 et R3 R2(config)#interface serial0/0/1 R2(config-if)#encapsulation ppp R2(config-if)# *Aug 17 20:02:08.080: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from FULL to DOWN, Neighbor Down: Interface down or detached R2(config-if)# *Aug 17 20:02:13.080: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to down R2(config-if)# *Aug 17 20:02:58.564: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to up R2(config-if)# *Aug 17 20:03:03.644: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from LOADING to FULL, Loading Done R2(config-if)# *Aug 17 20:03:46.988: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to down R3(config)#interface serial 0/0/1 R3(config-if)#encapsulation ppp R3(config-if)# *Aug 17 20:04:27.152: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to up *Aug 17 20:04:30.952: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from LOADING to FULL, Loading Done Ce document contient des informations publiques Cisco. Page 11 sur 23

39 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP Quand le protocole de ligne sur la liaison série est-il activé et quand la contiguïté OSPF est-elle restaurée? Uniquement lorsque les deux extrémités de la liaison série sont encapsulées avec le protocole PPP. Étape 6 : vérification de l activation de l encapsulation PPP sur les interfaces série R1#show interface serial0/0/0 Serial0/0/0 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Open Open: CDPCP, IPCP, loopback not set <résultat omis> R2#show interface serial 0/0/0 Serial0/0/0 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Open Open: CDPCP, IPCP, loopback not set <résultat omis> R2#show interface serial 0/0/1 Serial0/0/1 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Open Open: CDPCP, IPCP, loopback not set <résultat omis> R3#show interface serial 0/0/1 Serial0/0/1 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Open Open: CDPCP, IPCP, loopback not set <résultat omis> Ce document contient des informations publiques Cisco. Page 12 sur 23

40 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP Tâche 7 : interruption et restauration de l encapsulation PPP En interrompant volontairement l encapsulation PPP, vous en saurez plus sur les messages d erreur générés. Cela vous aidera ultérieurement dans les travaux pratiques de dépannage. Étape 1 : rétablissement de l encapsulation HDLC par défaut des deux interfaces série de R2 R2(config)#interface serial 0/0/0 R2(config-if)#encapsulation hdlc R2(config-if)# *Aug 17 20:36:48.432: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/0 from FULL to DOWN, Neighbor Down: Interface down or detached *Aug 17 20:36:49.432: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to down R2(config-if)# *Aug 17 20:36:51.432: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to up R2(config-if)#interface serial 0/0/1 *Aug 17 20:37:14.080: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to down R2(config-if)#encapsulation hdlc R2(config-if)# *Aug 17 20:37:17.368: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from FULL to DOWN, Neighbor Down: Interface down or detached *Aug 17 20:37:18.368: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to down R2(config-if)# *Aug 17 20:37:20.368: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to up R2(config-if)# *Aug 17 20:37:44.080: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to down R2(config-if)# En quoi l interruption délibérée d une configuration est-elle utile? Les différentes méthodes d interruption volontaire d un protocole permettent de comprendre comment ce protocole pourrait être involontairement interrompu. Cela s avèrera très utile lorsque vous devrez résoudre des problèmes dans les travaux pratiques de dépannage. Pourquoi les deux interfaces série sont-elles désactivées, activées, puis désactivées de nouveau? Ce document contient des informations publiques Cisco. Page 13 sur 23

41 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP Les interfaces sont d abord désactivées en raison de la non-concordance de leurs types d encapsulation. Elles sont ensuite réactivées pour qu elles tentent de réétablir une connexion. Si les interfaces ne parviennent pas à rétablir la connexion, elles sont à nouveau désactivées. Outre l utilisation de la commande encapsulation hdlc, comment peut-on remplacer l encapsulation PPP d une interface série par l encapsulation HDLC par défaut? (Indice : la réponse à cette question est liée à la commande no.) R2(config)#interface serial 0/0/0 R2(config-if)#no encapsulation ppp R2(config-if)#interface serial 0/0/1 R2(config-if)#no encapsulation ppp Étape 2 : rétablissement de l encapsulation PPP des deux interfaces série de R2 R2(config)#interface s0/0/0 R2(config-if)#encapsulation ppp *Aug 17 20:53:06.612: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to up R2(config-if)#interface s0/0/1 *Aug 17 20:53:10.856: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/0 from LOADING to FULL, Loading Done R2(config-if)#encapsulation ppp *Aug 17 20:53:23.332: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to up R2(config-if)# *Aug 17 20:53:24.916: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from LOADING to FULL, Loading Done R2(config-if)# Tâche 8 : configuration de l authentification PPP Étape 1 : configuration de l authentification PPP à l aide du protocole PAP sur la liaison série reliant R1 et R2 R1(config)#username R1 password cisco R1(config)#int s0/0/0 R1(config-if)#ppp authentication pap R1(config-if)# *Aug 22 18:58:57.367: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to down R1(config-if)# Ce document contient des informations publiques Cisco. Page 14 sur 23

42 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP *Aug 22 18:58:58.423: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/0 from FULL to DOWN, Neighbor Down: Interface down or detached R1(config-if)#ppp pap sent-username R2 password cisco Que se passe-t-il lorsque l authentification PPP, via le protocole PAP, est configurée sur une seule extrémité de la liaison série? Le protocole de ligne de l interface Serial 0/0/0 est désactivé et la contiguïté OSPF passe à l état désactivé (DOWN). R2(config)#username R2 password cisco R2(config)#interface Serial0/0/0 R2(config-if)#ppp authentication pap R2(config-if)#ppp pap sent-username R1 password cisco R2(config-if)# *Aug 23 16:30:33.771: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to up R2(config-if)# *Aug 23 16:30:40.815: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/0 from LOADING to FULL, Loading Done R2(config-if)# Que se passe-t-il lorsque l authentification PPP, via le protocole PAP, est configurée sur chaque extrémité de la liaison série? Le protocole de ligne de l interface Serial 0/0/0 est activé et la contiguïté OSPF est établie. Étape 2 : configuration de l authentification PPP, via le protocole CHAP, sur la liaison série reliant R2 et R3 Dans le cas d une authentification PAP, le mot de passe n est pas chiffré. Même s il vaut mieux utiliser ce type d authentification plutôt que de n en utiliser aucune, il est préférable de chiffrer le mot de passe transmis sur la liaison. Le protocole CHAP chiffre le mot de passe. R2(config)#username R3 password cisco R2(config)#int s0/0/1 R2(config-if)#ppp authentication chap R2(config-if)# *Aug 23 18:06:00.935: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to down R2(config-if)# *Aug 23 18:06:01.947: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from FULL to DOWN, Neighbor Down: Interface down or detached R2(config-if)# R3(config)#username R2 password cisco Ce document contient des informations publiques Cisco. Page 15 sur 23

43 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP *Aug 23 18:07:13.074: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to up R3(config)#int s0/0/1 R3(config-if)# *Aug 23 18:07:22.174: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from LOADING to FULL, Loading Done R3(config-if)#ppp authentication chap R3(config-if)# Vous pouvez constater que l état du protocole de ligne de l interface série 0/0/1 passe à UP (activé) avant même que l interface ne soit configurée pour l authentification CHAP. Pouvezvous en déterminer la raison? Le protocole CHAP peut effectuer une authentification à sens unique ou bidirectionnelle. Ainsi, la liaison est activée lorsque le nom d utilisateur et le mot de passe corrects sont configurés. Étape 3 : examen du résultat du débogage Pour mieux comprendre le processus CHAP, consultez le résultat de la commande debug ppp authentication sur R2 et R3. Arrêtez ensuite l interface Serial 0/0/1 sur R2, puis exécutez la commande no shutdown sur l interface Serial 0/0/1 sur R2. R2#debug ppp authentication PPP authentication debugging is on R2#conf t Enter configuration commands, one per line. End with CNTL/Z. R2(config)#int s0/0/1 R2(config-if)#shutdown R2(config-if)# *Aug 23 18:19:21.059: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from FULL to DOWN, Neighbor Down: Interface down or detached R2(config-if)# *Aug 23 18:19:23.059: %LINK-5-CHANGED: Interface Serial0/0/1, changed state to administratively down *Aug 23 18:19:24.059: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to down R2(config-if)#no shutdown *Aug 23 18:19:55.059: Se0/0/1 PPP: Using default call direction *Aug 23 18:19:55.059: Se0/0/1 PPP: Treating connection as a dedicated line *Aug 23 18:19:55.059: Se0/0/1 PPP: Session handle[5b000005] Session id[49] *Aug 23 18:19:55.059: Se0/0/1 PPP: Authorization required *Aug 23 18:19:55.063: %LINK-3-UPDOWN: Interface Serial0/0/1, changed state to up *Aug 23 18:19:55.063: Se0/0/1 CHAP: O CHALLENGE id 48 len 23 from "R2" *Aug 23 18:19:55.067: Se0/0/1 CHAP: I CHALLENGE id 2 len 23 from "R3" *Aug 23 18:19:55.067: Se0/0/1 CHAP: Using hostname from unknown source *Aug 23 18:19:55.067: Se0/0/1 CHAP: Using password from AAA Ce document contient des informations publiques Cisco. Page 16 sur 23

44 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP *Aug 23 18:19:55.067: Se0/0/1 CHAP: O RESPONSE id 2 len 23 from "R2" *Aug 23 18:19:55.071: Se0/0/1 CHAP: I RESPONSE id 48 len 23 from "R3" *Aug 23 18:19:55.071: Se0/0/1 PPP: Sent CHAP LOGIN Request *Aug 23 18:19:55.071: Se0/0/1 PPP: Received LOGIN Response PASS *Aug 23 18:19:55.071: Se0/0/1 PPP: Sent LCP AUTHOR Request *Aug 23 18:19:55.075: Se0/0/1 PPP: Sent IPCP AUTHOR Request *Aug 23 18:19:55.075: Se0/0/1 LCP: Received AAA AUTHOR Response PASS *Aug 23 18:19:55.075: Se0/0/1 IPCP: Received AAA AUTHOR Response PASS *Aug 23 18:19:55.075: Se0/0/1 CHAP: O SUCCESS id 48 len 4 *Aug 23 18:19:55.075: Se0/0/1 CHAP: I SUCCESS id 2 len 4 *Aug 23 18:19:55.075: Se0/0/1 PPP: Sent CDPCP AUTHOR Request *Aug 23 18:19:55.075: Se0/0/1 CDPCP: Received AAA AUTHOR Response PASS *Aug 23 18:19:55.079: Se0/0/1 PPP: Sent IPCP AUTHOR Request *Aug 23 18:19:56.075: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to up R2(config-if)# *Aug 23 18:20:05.135: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from LOADING to FULL, Loading Done R3#debug ppp authentication PPP authentication debugging is on R3# *Aug 23 18:19:04.494: %LINK-3-UPDOWN: Interface Serial0/0/1, changed state to down R3# *Aug 23 18:19:04.494: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from FULL to DOWN, Neighbor Down: Interface down or detached *Aug 23 18:19:05.494: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to down R3# *Aug 23 18:19:36.494: %LINK-3-UPDOWN: Interface Serial0/0/1, changed state to up *Aug 23 18:19:36.494: Se0/0/1 PPP: Using default call direction *Aug 23 18:19:36.494: Se0/0/1 PPP: Treating connection as a dedicated line *Aug 23 18:19:36.494: Se0/0/1 PPP: Session handle[3c000034] Session id[52] *Aug 23 18:19:36.494: Se0/0/1 PPP: Authorization required *Aug 23 18:19:36.498: Se0/0/1 CHAP: O CHALLENGE id 2 len 23 from "R3" *Aug 23 18:19:36.502: Se0/0/1 CHAP: I CHALLENGE id 48 len 23 from "R2" *Aug 23 18:19:36.502: Se0/0/1 CHAP: Using hostname from unknown source *Aug 23 18:19:36.506: Se0/0/1 CHAP: Using password from AAA *Aug 23 18:19:36.506: Se0/0/1 CHAP: O RESPONSE id 48 len 23 from "R3" *Aug 23 18:19:36.506: Se0/0/1 CHAP: I RESPONSE id 2 len 23 from "R2" R3# *Aug 23 18:19:36.506: Se0/0/1 PPP: Sent CHAP LOGIN Request *Aug 23 18:19:36.506: Se0/0/1 PPP: Received LOGIN Response PASS *Aug 23 18:19:36.510: Se0/0/1 PPP: Sent LCP AUTHOR Request *Aug 23 18:19:36.510: Se0/0/1 PPP: Sent IPCP AUTHOR Request *Aug 23 18:19:36.510: Se0/0/1 LCP: Received AAA AUTHOR Response PASS *Aug 23 18:19:36.510: Se0/0/1 IPCP: Received AAA AUTHOR Response PASS *Aug 23 18:19:36.510: Se0/0/1 CHAP: O SUCCESS id 2 len 4 *Aug 23 18:19:36.510: Se0/0/1 CHAP: I SUCCESS id 48 len 4 *Aug 23 18:19:36.514: Se0/0/1 PPP: Sent CDPCP AUTHOR Request *Aug 23 18:19:36.514: Se0/0/1 PPP: Sent IPCP AUTHOR Request *Aug 23 18:19:36.514: Se0/0/1 CDPCP: Received AAA AUTHOR Response PASS R3# *Aug 23 18:19:37.510: %LINEPROTO-5-UPDOWN: Line protocol on Interface Ce document contient des informations publiques Cisco. Page 17 sur 23

45 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP Serial0/0/1, changed state to up R3# *Aug 23 18:19:46.570: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from LOADING to FULL, Loading Done R3# Tâche 9 : interruption délibérée et restauration de l authentification PPP via le protocole CHAP Étape 1 : interruption de l authentification PPP à l aide du protocole CHAP Sur la liaison série reliant R2 et R3, activez le protocole d authentification PAP pour l interface série 0/0/1. R2#conf t Enter configuration commands, one per line. End with CNTL/Z. R2(config)#int s0/0/1 R2(config-if)#ppp authentication pap R2(config-if)#^Z R2# *Aug 24 15:45:47.039: %SYS-5-CONFIG_I: Configured from console by console R2#copy run start Destination filename [startup-config]? Building configuration... [OK] R2#reload L activation du protocole d authentification PAP sur l interface série 0/0/1 provoque-t-elle une interruption de l authentification entre R2 et R3? Oui. Vérifiez la désactivation du protocole en utilisant la commande show ip interface brief. Si vous ne rechargez pas le routeur, le protocole de ligne reste activé. R2#show ip int brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES NVRAM administratively down down FastEthernet0/1 unassigned YES NVRAM administratively down down Serial0/0/ YES NVRAM up up Serial0/0/ YES NVRAM up down Serial0/1/0 unassigned YES NVRAM administratively down down Serial0/1/1 unassigned YES NVRAM administratively down down Loopback YES NVRAM up up Ce document contient des informations publiques Cisco. Page 18 sur 23

46 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP Étape 2 : restauration de l authentification PPP avec le protocole CHAP sur la liaison série Notez qu il n est pas nécessaire de recharger le routeur pour que ces modifications soient prises en compte. R2#conf t Enter configuration commands, one per line. End with CNTL/Z. R2(config)#int s0/0/1 R2(config-if)#ppp authentication chap R2(config-if)# *Aug 24 15:50:00.419: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to up R2(config-if)# *Aug 24 15:50:07.467: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from LOADING to FULL, Loading Done R2(config-if)# Étape 3 : interruption volontaire de l authentification PPP avec le protocole CHAP par le changement du mot de passe de R3 R3#conf t Enter configuration commands, one per line. End with CNTL/Z. R3(config)#username R2 password cisco R3(config)#^Z R3# *Aug 24 15:54:17.215: %SYS-5-CONFIG_I: Configured from console by console R3#copy run start Destination filename [startup-config]? Building configuration... [OK] R3#reload Une fois le rechargement terminé, quel est l état du protocole de ligne sur l interface série 0/0/1? Désactivé (Down). Procédez à la vérification en utilisant la commande show ip interface brief. R3#show ip int brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES NVRAM administratively down down FastEthernet0/ YES NVRAM up up Serial0/0/0 unassigned YES NVRAM administratively down down Serial0/0/ YES NVRAM up down Étape 4 : restauration de l authentification PPP avec le protocole CHAP par le changement du mot de passe de R3 R3#conf t Enter configuration commands, one per line. End with CNTL/Z. R3(config)#username R2 password cisco R3(config)# Ce document contient des informations publiques Cisco. Page 19 sur 23

47 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP *Aug 24 16:11:10.679: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to up R3(config)# *Aug 24 16:11:19.739: %OSPF-5-ADJCHG: Process 1, Nbr on Serial0/0/1 from LOADING to FULL, Loading Done R3(config)# Tâche 10 : documentation des configurations des routeurs Exécutez la commande show run sur chaque routeur et capturez les configurations. R1#show run <résultat omis> hostname R1 enable secret class no ip domain lookup username R1 password 0 cisco interface FastEthernet0/1 ip address no shutdown interface Serial0/0/0 ip address encapsulation ppp clockrate ppp authentication pap ppp pap sent-username R2 password 0 cisco no shutdown router ospf 1 network area 0 network area 0 banner motd ^CCUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 Ce document contient des informations publiques Cisco. Page 20 sur 23

48 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP line vty 0 4 password cisco login end R2#show run <résultat omis> hostname R2 enable secret class no ip domain lookup username R3 password 0 cisco username R2 password 0 cisco interface Loopback0 ip address interface Serial0/0/0 ip address encapsulation ppp ppp authentication pap ppp pap sent-username R1 password 0 cisco no shutdown interface Serial0/0/1 ip address encapsulation ppp clockrate ppp authentication chap no shutdown router ospf 1 network area 0 network area 0 network area 0 banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco Ce document contient des informations publiques Cisco. Page 21 sur 23

49 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP login line aux 0 line vty 0 4 password cisco login end R3#show run <résultat omis> hostname R3 enable secret class no ip domain lookup username R2 password 0 cisco interface FastEthernet0/1 ip address no shutdown interface Serial0/0/1 ip address encapsulation ppp ppp authentication chap no shutdown router ospf 1 network area 0 network area 0 banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login end Ce document contient des informations publiques Cisco. Page 22 sur 23

50 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration de base du protocole PPP Tâche 11 : remise en état Supprimez les configurations et rechargez les routeurs. Déconnectez le câblage et stockez-le dans un endroit sécurisé. Reconnectez le câblage souhaité et restaurez les paramètres TCP/IP pour les hôtes PC connectés habituellement aux autres réseaux (réseau local de votre site ou Internet). Ce document contient des informations publiques Cisco. Page 23 sur 23

51 Travaux pratiques : configuration avancée du protocole PPP (version du formateur) Diagramme de topologie Table d adressage Masque de Passerelle Périphérique Interface Adresse IP sous-réseau par défaut Fa0/ N/D R1 R2 S0/0/ N/D S0/0/ N/D Lo N/D S0/0/ N/D S0/0/ N/D Ce document contient des informations publiques Cisco. Page 1 sur 14

52 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP Fa0/ N/D R3 S0/0/ N/D S0/0/ N/D PC1 Carte réseau PC3 Carte réseau Objectifs pédagogiques À l issue de ces travaux pratiques, vous serez en mesure d effectuer les tâches suivantes : Scénario Câbler un réseau conformément au diagramme de topologie Supprimer la configuration de démarrage et recharger un routeur pour revenir aux paramètres par défaut Exécuter les tâches de configuration de base d un routeur Configurer et activer des interfaces Configurer le routage OSPF sur tous les routeurs Configurer l encapsulation PPP sur toutes les interfaces série Faire passer l encapsulation des interfaces série de PPP à HDLC Interrompre volontairement une encapsulation PPP et la restaurer Configurer l authentification PPP à l aide du protocole CHAP Interrompre volontairement et restaurer l authentification PPP via le protocole CHAP. Dans le cadre de ces travaux pratiques, vous apprendrez à configurer l encapsulation PPP sur les liaisons série en utilisant le réseau illustré dans le diagramme de topologie. Vous configurerez également l authentification PPP CHAP. Si vous rencontrez des difficultés, reportez-vous aux travaux pratiques Configuration PPP de base. Essayez cependant de travailler de façon autonome, sans y avoir recours. Tâche 1 : préparation du réseau Étape 1 : câblage d un réseau similaire à celui du diagramme de topologie Étape 2 : suppression des configurations existantes sur les routeurs Tâche 2 : configuration de base d un routeur Configurez les routeurs R1, R2 et R3 conformément aux instructions suivantes : Configurez le nom d hôte du routeur. Désactivez la recherche DNS. Configurez un mot de passe pour le mode d exécution privilégié. Configurez une bannière de message du jour. Configurez un mot de passe pour les connexions de consoles. Configurez la connexion synchrone. Configurez un mot de passe pour les connexions de terminaux virtuels (vty). Ce document contient des informations publiques Cisco. Page 2 sur 14

53 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP enable configure terminal no ip domain-lookup enable secret class banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line vty 0 4 password cisco login end copy running-config starting-config Tâche 3 : configuration et activation d adresses série et Ethernet Étape 1 : configuration des interfaces sur R1, R2 et R3 R1 interface FastEthernet0/1 ip address no shutdown interface Serial0/0/0 ip address no shutdown clock rate interface Serial0/0/1 ip address no shutdown R2 interface Loopback0 ip address interface Serial0/0/0 ip address no shutdown interface Serial0/0/1 ip address clock rate no shutdown Ce document contient des informations publiques Cisco. Page 3 sur 14

54 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP R3 interface FastEthernet0/1 ip address no shutdown interface Serial0/0/0 ip address no shutdown interface Serial0/0/1 ip address clock rate no shutdown Étape 2 : vérification de l adressage IP et des interfaces R1#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES manual administratively down down FastEthernet0/ YES manual up up Serial0/0/ YES manual up up Serial0/0/ YES manual up up R2#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES unset administratively down down FastEthernet0/1 unassigned YES unset administratively down down Serial0/0/ YES manual up up Serial0/0/ YES manual up up Loopback YES manual up up R3#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES unset administratively down down FastEthernet0/ YES manual up up Serial0/0/ YES manual up up Serial0/0/ YES manual up up Étape 3 : configuration des interfaces Ethernet de PC1 et PC3 Étape 4 : test de la connectivité entre les ordinateurs Tâche 4 : configuration du protocole OSPF sur les routeurs Étape 1 : activation du routage OSPF sur les routeurs R1 router ospf 1 network area 0 network area 0 network area 0 R2 Ce document contient des informations publiques Cisco. Page 4 sur 14

55 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP router ospf 1 network area 0 network area 0 network area 0 R3 router ospf 1 network area 0 network area 0 network area 0 Étape 2 : vérification de la connectivité sur l ensemble du réseau R1#show ip route <résultat omis> C O C O C O /30 is subnetted, 3 subnets is directly connected, Serial0/0/ [110/1562] via , 00:09:11, Serial0/0/1 [110/1562] via , 00:09:11, Serial0/0/ is directly connected, Serial0/0/ /32 is subnetted, 1 subnets [110/782] via , 00:09:11, Serial0/0/ /25 is subnetted, 2 subnets is directly connected, FastEthernet0/ [110/782] via , 00:09:11, Serial0/0/1 R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#show ip route <résultat omis> O C C C O O /30 is subnetted, 3 subnets [110/1562] via , 00:12:42, Serial0/0/1 [110/1562] via , 00:12:42, Serial0/0/ is directly connected, Serial0/0/ is directly connected, Serial0/0/ /27 is subnetted, 1 subnets is directly connected, Loopback /25 is subnetted, 2 subnets [110/782] via , 00:12:42, Serial0/0/ [110/782] via , 00:12:42, Serial0/0/1 Ce document contient des informations publiques Cisco. Page 5 sur 14

56 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/32 ms R3#show ip route <résultat omis> C C O O O C /30 is subnetted, 3 subnets is directly connected, Serial0/0/ is directly connected, Serial0/0/ [110/1562] via , 00:14:14, Serial0/0/0 [110/1562] via , 00:14:14, Serial0/0/ /32 is subnetted, 1 subnets [110/782] via , 00:14:14, Serial0/0/ /25 is subnetted, 2 subnets [110/782] via , 00:14:14, Serial0/0/ is directly connected, FastEthernet0/1 R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms R3#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/32 ms Tâche 5 : configuration de l encapsulation PPP sur les interfaces série Étape 1 : configuration du protocole PPP sur les interfaces série des trois routeurs R1 interface Serial0/0/0 encapsulation ppp interface Serial0/0/1 encapsulation ppp Ce document contient des informations publiques Cisco. Page 6 sur 14

57 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP R2 interface Serial0/0/0 encapsulation ppp interface Serial0/0/1 encapsulation ppp R3 interface Serial0/0/0 encapsulation ppp interface Serial0/0/1 encapsulation ppp Étape 2 : vérification que toutes les interfaces série utilisent l encapsulation PPP R1 R1#show interface serial0/0/0 Serial0/0/0 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Open Open: CDPCP, IPCP, loopback not set R1#show interface serial0/0/1 Serial0/0/1 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Open Open: CDPCP, IPCP, loopback not set R2 R2#show interface serial0/0/0 Serial0/0/0 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Open Open: CDPCP, IPCP, loopback not set R2#show interface serial0/0/1 Serial0/0/1 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Open Open: CDPCP, IPCP, loopback not set Ce document contient des informations publiques Cisco. Page 7 sur 14

58 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP R3 R3#show interface serial0/0/0 Serial0/0/0 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Open Open: CDPCP, IPCP, loopback not set R3#show interface serial0/0/1 Serial0/0/1 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Open Open: CDPCP, IPCP, loopback not set Tâche 6 : interruption et restauration volontaire de l encapsulation PPP Étape 1 : choix d une méthode d interruption de l encapsulation PPP sur le réseau R1 interface Serial0/0/0 encapsulation hdlc R2 interface Serial0/0/1 encapsulation hdlc R3 interface Serial0/0/0 encapsulation hdlc Étape 2 : restauration d une connectivité complète sur le réseau R1 interface Serial0/0/0 encapsulation ppp R2 interface Serial0/0/1 encapsulation ppp R3 interface Serial0/0/0 encapsulation ppp Ce document contient des informations publiques Cisco. Page 8 sur 14

59 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP Étape 3 : vérification de la connectivité complète sur le réseau R1#show ip route R2#show ip route R3#show ip route username R2 password cisco username R3 password cisco interface serial0/0/0 ppp authentication chap interface serial0/0/1 ppp authentication chap Tâche 7 : configuration de l authentification PPP via le processus CHAP Étape 1 : configuration de l authentification PPP, via le processus CHAP, sur toutes les liaisons série R1 username R2 password cisco username R3 password cisco interface serial0/0/0 ppp authentication chap interface serial0/0/1 ppp authentication chap R2 username R1 password cisco username R3 password cisco interface serial0/0/0 ppp authentication chap interface serial0/0/1 ppp authentication chap R3 username R1 password cisco username R2 password cisco interface serial0/0/0 ppp authentication chap interface serial0/0/1 ppp authentication chap Étape 2 : vérification de l authentification PPP, via le protocole CHAP, sur toutes les liaisons série R1#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES manual administratively down down FastEthernet0/ YES manual up up Serial0/0/ YES manual up up Serial0/0/ YES manual up up R2#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES unset administratively down down Ce document contient des informations publiques Cisco. Page 9 sur 14

60 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP FastEthernet0/1 unassigned YES unset administratively down down Serial0/0/ YES manual up up Serial0/0/ YES manual up up Loopback YES manual up up R3#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES unset administratively down down FastEthernet0/ YES manual up up Serial0/0/ YES manual up up Serial0/0/ YES manual up up Tâche 8 : interruption délibérée et restauration de l authentification PPP via le protocole CHAP Étape 1 : choix d une méthode d interruption de l authentification PPP, via le protocole CHAP, sur une ou plusieurs liaisons série R1#conf t Enter configuration commands, one per line. End with CNTL/Z. R1(config)#interface serial 0/0/0 R1(config-if)#no ppp authentication chap R1(config-if)#ppp authentication pap R1(config-if)#interface serial0/0/1 R1(config-if)#no ppp authentication chap R1(config-if)#ppp authentication pap R1(config-if)#^Z R1#copy running-config startup-config Destination filename [startup-config]? Building configuration... [OK] R1#reload Étape 2 : vérification de la rupture de l authentification PPP avec le protocole CHAP R1#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES NVRAM administratively down down FastEthernet0/ YES NVRAM up up Serial0/0/ YES NVRAM up down Serial0/0/ YES NVRAM up down Étape 3 : restauration de l authentification PPP, via le protocole CHAP, sur toutes les liaisons série R1#conf t Enter configuration commands, one per line. End with CNTL/Z. R1(config)#interface serial0/0/0 R1(config-if)#ppp authentication chap R1(config-if)#interface serial0/0/1 R1(config-if)#ppp authentication chap R1(config-if)#^Z R1# Étape 4 : vérification de l authentification PPP, via le protocole CHAP, sur toutes les liaisons série R1#show ip interface brief Interface IP-Address OK? Method Status Protocol Ce document contient des informations publiques Cisco. Page 10 sur 14

61 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP FastEthernet0/0 unassigned YES NVRAM administratively down down FastEthernet0/ YES NVRAM up up Serial0/0/ YES NVRAM up up Serial0/0/ YES NVRAM up up Tâche 9 : documentation des configurations des routeurs R1 R1#show run <résultat omis> hostname R1 enable secret class no ip domain lookup username R3 password 0 cisco username R2 password 0 cisco interface FastEthernet0/1 ip address no shutdown interface Serial0/0/0 ip address encapsulation ppp clockrate ppp authentication chap no shutdown interface Serial0/0/1 ip address encapsulation ppp ppp authentication chap no shutdown router ospf 1 network area 0 network area 0 network area 0 banner motd ^CCUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco Ce document contient des informations publiques Cisco. Page 11 sur 14

62 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP login line aux 0 line vty 0 4 password cisco login end R2 R2#show run <résultat omis> hostname R2 enable secret class no ip domain lookup username R1 password 0 cisco username R3 password 0 cisco interface Loopback0 ip address interface Serial0/0/0 ip address encapsulation ppp ppp authentication chap no shutdown interface Serial0/0/1 ip address encapsulation ppp clockrate ppp authentication chap no shutdown router ospf 1 network area 0 network area 0 network area 0 banner motd ^CCUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 Ce document contient des informations publiques Cisco. Page 12 sur 14

63 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP password cisco login line aux 0 line vty 0 4 password cisco login end R3 R3#show run <résultat omis> hostname R3 enable secret class no ip domain lookup username R1 password 0 cisco username R2 password 0 cisco interface FastEthernet0/1 ip address no shutdown interface Serial0/0/0 ip address encapsulation ppp clockrate ppp authentication chap no shutdown interface Serial0/0/1 ip address encapsulation ppp ppp authentication chap no shutdown router ospf 1 network area 0 network area 0 network area 0 banner motd ^CCUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco Ce document contient des informations publiques Cisco. Page 13 sur 14

64 Accès au réseau étendu : protocole PPP Travaux pratiques : configuration avancée du protocole PPP login line aux 0 line vty 0 4 password cisco login end Tâche 10 : remise en état Supprimez les configurations et rechargez les routeurs. Déconnectez le câblage et stockez-le dans un endroit sécurisé. Reconnectez le câblage souhaité et restaurez les paramètres TCP/IP pour les hôtes PC connectés habituellement aux autres réseaux (réseau local de votre site ou Internet). Ce document contient des informations publiques Cisco. Page 14 sur 14

65 Travaux pratiques : dépannage de la configuration PPP (version du formateur) Diagramme de topologie Table d adressage Périphérique Interface Adresse IP R1 R2 Masque de sous-réseau Passerelle par défaut Fa0/ N/D S0/0/ N/D S0/0/ N/D Lo N/D S0/0/ N/D S0/0/ N/D Ce document contient des informations publiques Cisco. Page 1 sur 10

66 Accès au réseau étendu : protocole PPP Travaux pratiques : dépannage de la configuration de PPP Fa0/ N/D R3 S0/0/ N/D S0/0/ N/D PC1 Carte réseau PC3 Carte réseau Objectifs pédagogiques À l issue de ces travaux pratiques, vous serez en mesure d effectuer les tâches suivantes : Câbler un réseau conformément au diagramme de topologie Supprimer la configuration de démarrage et recharger un routeur pour revenir aux paramètres par défaut Charger les routeurs avec les scripts fournis Détecter et corriger des erreurs réseau Documenter le réseau corrigé Scénario Les routeurs de votre société ont été configurés par un ingénieur réseau peu expérimenté. La présence de plusieurs erreurs dans la configuration a provoqué des problèmes de connectivité. Votre responsable vous demande de détecter les erreurs de configuration et de les corriger, puis de décrire le travail réalisé. En utilisant vos connaissances en matière de protocole PPP, ainsi que des méthodes de vérification standard, détectez les erreurs et corrigez-les. Veillez à ce que toutes les liaisons série utilisent l authentification PPP CHAP et vérifiez que tous les réseaux sont accessibles. Tâche 1 : chargement des routeurs avec les scripts fournis [Note au formateur : les commandes manquantes ou mal configurées sont affichées en rouge.] R1 enable configure terminal hostname R1 enable secret class no ip domain lookup username R2 password 0 cisco username R3 password 0 cisco Cette commande a été omise. Ce document contient des informations publiques Cisco. Page 2 sur 10

67 Accès au réseau étendu : protocole PPP Travaux pratiques : dépannage de la configuration de PPP interface FastEthernet0/0 ip address Une erreur courante de configuration de réseaux est de placer la bonne configuration au mauvais endroit. Dans ce cas, une analyse détaillée du diagramme révèle que FastEthernet0/1 est supposé avoir cette adresse IP. shutdown duplex auto speed auto interface FastEthernet0/1 ip address duplex auto speed auto interface Serial0/0/0 ip address Masque de sous-réseau incorrect. Le masque de sous-réseau correct est no fair-queue clockrate interface Serial0/0/1 ip address encapsulation ppp ppp authentication pap ppp authentication chap L authentification PAP PPP a été configurée par erreur au lieu de CHAP router ospf 1 log-adjacency-changes network area 0 network area 0 network area 0 network area 0 Un sous-réseau incorrect a été annoncé dans OSPF ip classless ip http server control-plane banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login Ce document contient des informations publiques Cisco. Page 3 sur 10

68 Accès au réseau étendu : protocole PPP Travaux pratiques : dépannage de la configuration de PPP end R2 enable configure terminal hostname R2 enable secret class no ip domain lookup username R11 password 0 cisco R11 a été entré à la place de R1. Il s agit d une erreur courante en configuration. username R1 password 0 cisco username R3 password 0 class interface Loopback0 no ip address ip address L adresse IP correcte a été indiquée sur la mauvaise interface (FastEthernet0/1). interface FastEthernet0/0 no ip address shutdown duplex auto speed auto interface FastEthernet0/1 ip address ip address Une analyse détaillée du diagramme de topologie fait apparaître que l adresse IP correcte a été indiquée sur la mauvause interface. Cette adresse IP appartient à l interface Loopback0. shutdown duplex auto speed auto interface Serial0/0/0 ip address encapsulation ppp no fair-queue ppp authentication chap interface Serial0/0/1 ip address L encapsulation série par défaut HDLC est restée. Les commandes suivantes ont été oubliées : encapsulation ppp Ce document contient des informations publiques Cisco. Page 4 sur 10

69 Accès au réseau étendu : protocole PPP Travaux pratiques : dépannage de la configuration de PPP clockrate ppp authentication chap router ospf 1 log-adjacency-changes network area 0 network area 0 network area 0 network area 0 Un sous-réseau incorrect a été indiqué dans OSPF pour le réseau 209. ip classless ip http server control-plane banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login end R3 enable configure terminal hostname R3 enable secret class no ip domain lookup username R1 password 0 cisco username R3 password 0 ciscco username R3 password 0 cisco Nouvelle faute de frappe. Cette fois-ci, il s agit du mot de passe. interface FastEthernet0/0 no ip address shutdown duplex auto Ce document contient des informations publiques Cisco. Page 5 sur 10

70 Accès au réseau étendu : protocole PPP Travaux pratiques : dépannage de la configuration de PPP speed auto interface FastEthernet0/1 ip address ip address De nombreux travaux pratiques utilisent le sous-réseau /24, il est donc facile de taper ce sous-réseau par habitude, sans vérifier le diagramme. duplex auto speed auto interface Serial0/0/0 ip address no fair-queue clockrate PPP et CHAP ne sont PAS configurés sur cette interface. Les commandes suivantes ont été oubliées : encapsulation ppp ppp authentication chap interface Serial0/0/1 no ip address ip address encapsulation ppp ppp authentication pap ppp authentication chap router ospf 1 log-adjacency-changes network area 0 network area 0 network area 0 network area 0 network area 0 ip classless ip http server control-plane banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login end Ce document contient des informations publiques Cisco. Page 6 sur 10

71 Accès au réseau étendu : protocole PPP Travaux pratiques : dépannage de la configuration de PPP Tâche 2 : recherche et correction des erreurs sur le réseau En utilisant les méthodes de dépannage standard, recherchez, documentez et corrigez les erreurs. Remarque : lors du dépannage d un réseau de production, si la tâche de configuration consiste à configurer PPP via le protocole CHAP et que cela ne fonctionne pas, commencez par vérifier la configuration PPP avec le protocole CHAP. Cependant, dans les configurations réseau interrompues effectuées lors de ces travaux pratiques, cela ne permet que la restauration partielle du réseau. Il est fréquent que des ingénieurs réseau très expérimentés se concentrent uniquement sur la tâche de configuration principale lors du dépannage, sans vérifier les éléments de base. Les adresses réseau sont-elles saisies correctement? Les sous-réseaux sont-ils saisis correctement? Le routage de base fonctionne-t-il? Si le fait de s axer sur la tâche de dépannage principale permet de résoudre le problème, c est une bonne chose. Sinon, les éléments de base doivent être vérifiés. Cette méthodologie de dépannage est la plus logique. Tâche 3 : documentation du réseau corrigé Une fois que vous avez corrigé toutes les erreurs et testé la connectivité du réseau, documentez la configuration finale de chaque périphérique. R1 R1#show run <résultat omis> hostname R1 enable secret class no ip domain lookup username R3 password 0 cisco username R2 password 0 cisco interface FastEthernet0/1 ip address no shutdown interface Serial0/0/0 ip address encapsulation ppp clockrate ppp authentication chap no shutdown interface Serial0/0/1 ip address encapsulation ppp ppp authentication chap no shutdown Ce document contient des informations publiques Cisco. Page 7 sur 10

72 Accès au réseau étendu : protocole PPP Travaux pratiques : dépannage de la configuration de PPP router ospf 1 network area 0 network area 0 network area 0 banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login end R2 R2#show run <résultat omis> hostname R2 enable secret class no ip domain lookup username R1 password 0 cisco username R3 password 0 cisco interface Loopback0 ip address interface Serial0/0/0 ip address encapsulation ppp ppp authentication chap no shutdown interface Serial0/0/1 ip address encapsulation ppp clockrate ppp authentication chap Ce document contient des informations publiques Cisco. Page 8 sur 10

73 Accès au réseau étendu : protocole PPP Travaux pratiques : dépannage de la configuration de PPP no shutdown router ospf 1 network area 0 network area 0 network area 0 banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login end R3 R3#show run <résultat omis> hostname R3 enable secret class no ip domain lookup username R1 password 0 cisco username R2 password 0 cisco interface FastEthernet0/1 ip address no shutdown interface Serial0/0/0 ip address encapsulation ppp clockrate ppp authentication chap no shutdown interface Serial0/0/1 ip address encapsulation ppp ppp authentication chap Ce document contient des informations publiques Cisco. Page 9 sur 10

74 Accès au réseau étendu : protocole PPP Travaux pratiques : dépannage de la configuration de PPP no shutdown router ospf 1 network area 0 network area 0 network area 0 banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law^c line con 0 exec-timeout 0 0 password cisco login line aux 0 line vty 0 4 password cisco login end Tâche 4 : remise en état Supprimez les configurations et rechargez les routeurs. Déconnectez le câblage et stockez-le dans un endroit sécurisé. Reconnectez le câblage souhaité et restaurez les paramètres TCP/IP pour les hôtes PC connectés habituellement aux autres réseaux (réseau local de votre site ou Internet). Ce document contient des informations publiques Cisco. Page 10 sur 10

75 Travaux pratiques : Frame Relay de base (version du formateur) Diagramme de topologie Table d adressage Périphérique Interface Adresse IP R1 R2 Masque de sous-réseau Passerelle par défaut Fa0/ N/D S0/0/ N/D S0/0/ N/D Lo N/D Comm1 VLAN PC1 Carte réseau Page 1 sur 24 Ce document contient des informations publiques Cisco.

76 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base Objectifs pédagogiques À l issue de ces travaux pratiques, vous serez en mesure d effectuer les tâches suivantes : Câbler un réseau conformément au diagramme de topologie Supprimer la configuration de démarrage et recharger un routeur pour revenir aux paramètres par défaut Exécuter les tâches de configuration de base d un routeur Configurer et activer des interfaces Configurer le routage EIGRP sur tous les routeurs Configurer l encapsulation Frame Relay sur toutes les interfaces série Configurer un routeur en tant que commutateur Frame Relay Comprendre le résultat des commandes show frame-relay Connaître les effets de la commande debug frame-relay lmi Interrompre volontairement une liaison Frame Relay et la restaurer Remplacer l encapsulation Frame Relay par défaut Cisco par une encapsulation de type IETF Remplacer l interface de supervision locale (LMI) Frame Relay Cisco par une interface ANSI Configurer une sous-interface Frame Relay Scénario Dans le cadre de ces travaux pratiques, vous apprendrez à configurer l encapsulation Frame Relay sur les liaisons série en utilisant le réseau illustré dans le diagramme de topologie. Vous apprendrez également à configurer un routeur en tant que commutateur Frame Relay. Des normes Cisco et des normes ouvertes s appliquent à Frame Relay. Nous allons passer en revue ces deux types de norme. Portez une attention particulière à la section des travaux pratiques dans laquelle vous interrompez volontairement les configurations du protocole Frame Relay. Cela vous aidera dans les travaux pratiques de dépannage associés à ce chapitre. Tâche 1 : préparation du réseau Étape 1 : câblage d un réseau similaire à celui du diagramme de topologie Vous pouvez utiliser n importe quel routeur durant les travaux pratiques, à condition qu'il soit équipé des interfaces indiquées dans la topologie. Les travaux pratiques relatifs au protocole Frame Relay comportent deux liens DCE sur le même routeur, à la différence des autres travaux pratiques d Exploration 4. Assurez-vous que votre câblage soit conforme au diagramme de topologie. Remarque : si vous utilisez les routeurs 1700, 2500 ou 2600, les sorties des routeurs et les descriptions des interfaces s affichent différemment. Étape 2 : suppression des configurations existantes sur les routeurs Tâche 2 : configuration de base d un routeur Configurez les routeurs R1 et R2, ainsi que le commutateur Comm1, conformément aux instructions suivantes : Configurez le nom d hôte du routeur. Désactivez la recherche DNS. Configurez un mot de passe pour le mode d exécution privilégié. Configurez une bannière de message du jour. Page 2 sur 24 Ce document contient des informations publiques Cisco.

77 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base Configurez un mot de passe pour les connexions de consoles. Configurez un mot de passe pour les connexions de terminaux virtuels (vty). Configurez des adresses IP sur les routeurs R1 et R2. Important : laissez les interfaces séries désactivées. Activez le système autonome (AS) 1 du protocole EIGRP sur les routeurs R1 et R2 pour tous les réseaux. enable configure terminal no ip domain-lookup enable secret class banner motd ^CUnauthorized access strictly prohibited, violators will be prosecuted to the full extent of the law^c line console 0 password cisco login line vty 0 4 password cisco login end copy running-config startup-config R1 interface serial 0/0/1 ip address shutdown Les interfaces séries doivent rester désactivées jusqu à ce que le commutateur Frame Relay soit configuré. interface fastethernet 0/0 ip address no shutdown router eigrp 1 no auto-summary network network R2 interface serial 0/0/1 ip address shutdown Les interfaces séries doivent rester désactivées jusqu à ce que le commutateur Frame Relay soit configuré. Page 3 sur 24 Ce document contient des informations publiques Cisco.

78 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base interface loopback 0 ip address router eigrp 1 no auto-summary network network Tâche 3 : configuration du protocole Frame Relay Vous allez à présent configurer une liaison de base Frame Relay point à point entre les routeurs 1 et 2. Vous devez tout d abord configurer le commutateur FR en tant que commutateur Frame Relay, puis créer des identificateurs de connexion de liaisons de données (DLCI). Que signifie DLCI? Data-link connection identifier : identificateur de connexion de liaisons de données Quelle est la fonction d un DLCI? Un DLCI est une adresse de couche 2 mappée avec une adresse IP de couche 3. Qu est-ce qu un PVC et comment est-il utilisé? Un PVC est un circuit virtuel permanent, c'est-à-dire une connexion de couche 2, créée entre des points d extrémité à travers un nuage Frame Relay. Il peut exister plusieurs circuits virtuels permanents par interface physique, ce qui permet de multiples connexions point à point ou des connexions point à multipoints. Étape 1 : configuration d un commutateur FR en tant que commutateur Frame Relay et création d un PVC entre les routeurs R1 et R2 Cette commande permet d activer globalement la commutation Frame Relay sur le routeur, lui permettant de transférer des trames sur la base du DLCI entrant plutôt que sur une adresse IP : Commutateur-FR(config)#frame-relay switching Remplacez le type d encapsulation de l interface par le type Frame Relay. Tout comme HDLC ou PPP, le protocole Frame Relay est un protocole de couche liaison de données qui définit le tramage du trafic de la couche 2. Commutateur-FR(config)#interface serial 0/0/0 Commutateur-FR(config)#clock rate Commutateur-FR(config-if)#encapsulation frame-relay Page 4 sur 24 Ce document contient des informations publiques Cisco.

79 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base La modification du type d interface en DCE indique au routeur d envoyer des messages de veille à l interface de supervision locale et permet à Frame Relay d acheminer des instructions à appliquer. Il n est pas possible de configurer des PVC entre deux interfaces DTE Frame Relay à l aide de la commande frame-relay route. Commutateur-FR(config-if)#frame-relay intf-type dce Remarque : les types d interface Frame Relay ne doivent pas forcément correspondre au type de l interface physique sous-jacente. Une interface série ETTD physique peut faire office d interface DCE Frame Relay et une interface DCE physique peut faire office d interface ETTD Frame Relay. Configurez le routeur pour qu il transfère le trafic entrant sur l interface série 0/0/0 avec DLCI 102 vers l interface série 0/0/1 avec un DLCI de sortie défini sur 201. Commutateur-FR(config-if)#frame-relay route 102 interface serial 0/0/1 201 Commutateur-FR(config-if)#no shutdown La configuration suivante permet la création de deux PVC : la première, entre le routeur R1 et le routeur R2 (DLCI 102) et la seconde, entre le routeur R2 et le routeur R1 (DLCI 201). Vous pouvez vérifier la configuration à l aide de la commande show frame-relay pvc. Commutateur-FR(config-if)#interface serial 0/0/1 Commutateur-FR(config)#clock rate Commutateur-FR(config-if)#encapsulation frame-relay Commutateur-FR(config-if)#frame-relay intf-type dce Commutateur-FR(config-if)#frame-relay route 201 interface serial 0/0/0 102 Commutateur-FR(config-if)#no shutdown Commutateur-FR#show frame-relay pvc PVC Statistics for interface Serial0/0/0 (Frame Relay DCE) Active Inactive Deleted Static Local Switched Unused DLCI = 102, DLCI USAGE = SWITCHED, PVC STATUS = INACTIVE, INTERFACE = Serial0/0/0 input pkts 0 output pkts 0 in bytes 0 out bytes 0 dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 0 out bcast bytes 0 30 second input rate 0 bits/sec, 0 packets/sec 30 second output rate 0 bits/sec, 0 packets/sec switched pkts 0 Detailed packet drop counters: no out intf 0 out intf down 0 no out PVC 0 in PVC down 0 out PVC down 0 pkt too big 0 shaping Q full 0 pkt above DE 0 policing drop 0 pvc create time 00:03:33, last time pvc status changed 00:00:19 PVC Statistics for interface Serial0/0/1 (Frame Relay DCE) Active Inactive Deleted Static Page 5 sur 24 Ce document contient des informations publiques Cisco.

80 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base Local Switched Unused DLCI = 201, DLCI USAGE = SWITCHED, PVC STATUS = INACTIVE, INTERFACE = Serial0/0/1 input pkts 0 output pkts 0 in bytes 0 out bytes 0 dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 0 out bcast bytes 0 30 second input rate 0 bits/sec, 0 packets/sec 30 second output rate 0 bits/sec, 0 packets/sec switched pkts 0 Detailed packet drop counters: no out intf 0 out intf down 0 no out PVC 0 in PVC down 0 out PVC down 0 pkt too big 0 shaping Q full 0 pkt above DE 0 policing drop 0 pvc create time 00:02:02, last time pvc status changed 00:00:18 Remarquez le 1 dans la colonne Inactive. Aucun point d extrémité n a été configuré pour le PVC créé. Le commutateur Frame Relay le détecte et marque alors le PVC comme étant inactif. Exécutez la commande show frame-relay route. Elle vous indique toutes les routes Frame Relay existantes, leurs interfaces, leurs DLCI et leurs états. Il s agit de la route de couche 2, qu emprunte le trafic du protocole Frame Relay via le réseau. Ne le confondez pas avec le routage IP de la couche 3. Commutateur-FR#show frame-relay route Input Intf Input Dlci Output Intf Output Dlci Status Serial0/0/0 102 Serial0/0/1 201 inactive Serial0/0/1 201 Serial0/0/0 102 inactive Étape 2 : configuration du routeur R1 pour Frame Relay Le protocole de résolution d adresse inverse (ARP inverse) permet aux extrémités distantes d une liaison Frame Relay de se découvrir de manière dynamique et offre une méthode dynamique de mappage d adresses IP avec des DLCI. Malgré l utilité du protocole ARP inverse, il n'est pas toujours fiable. La meilleure pratique consiste à mapper les adresses IP avec les DLCI, de manière statique, puis de désactiver l ARP inverse. R1(config)#interface serial 0/0/1 R1(config-if)#encapsulation frame-relay R1(config-if)#no frame-relay inverse-arp À quoi sert de mapper une adresse IP avec un DCLI? Page 6 sur 24 Ce document contient des informations publiques Cisco.

81 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base Quand le routeur doit acheminer un trafic vers une adresse IP, via une liaison Frame Relay, il doit indiquer au commutateur de trame le PVC que le trafic doit traverser. Un commutateur de trame abandonne tout trafic reçu, dépourvu d un DCLI dans l en-tête, car il n a aucun moyen de déterminer la manière d'acheminer les données. La commande frame-relay map mappe de manière statique une adresse IP vers un DLCI. Outre le mappage de l adresse IP vers un DLCI, le logiciel Cisco IOS permet le mappage de plusieurs adresses de protocole de couche 3. Le mot clé broadcast de la commande ci-après envoie le trafic multidiffusion ou de diffusion destiné à cette liaison sur le DLCI. La plupart des protocoles de routage nécessitent le mot clé broadcast pour fonctionner correctement sur Frame Relay. Vous pouvez utiliser le mot clé broadcast pour plusieurs DLCI sur la même interface. Le trafic est alors répliqué sur l ensemble des PVC. R1(config-if)#frame-relay map ip broadcast Le DLCI est-il mappé avec l adresse IP locale ou avec celle de l autre extrémité du PVC? Le DLCI est mappé avec l adresse IP de l extrémité distante du PVC. R1(config-if)#no shutdown Pourquoi la commande no shutdown doit-elle être utilisée après la commande no frame-relay inverse-arp? Si vous saisissez d abord la commande no shutdown, le protocole ARP inverse risque d indiquer au protocole Frame Relay les mappages de la couche 2 avec la couche 3, ce qui n est peut-être pas ce que vous souhaitez. Si vous désactivez le protocole ARP inverse de Frame Relay avant d exécuter la commande no shutdown, vous assurez que seules les connexions mappées de manière statique voulues font partie des mappages Frame Relay. Étape 3 : configuration du routeur R2 pour Frame Relay R2(config)#interface serial 0/0/1 R2(config-if)#encapsulation frame-relay R2(config-if)#no frame-relay inverse-arp R2(config-if)#frame-relay map ip broadcast R2(config-if)#no shutdown À ce stade, vous recevez des messages indiquant l activation des interfaces et l établissement de la contiguïté du voisinage du protocole EIGRP. R1#*Sep 9 17:05:08.771: %DUAL-5-NBRCHANGE: IP-EIGRP(0) 1: Neighbor (Serial0/0/1) is up: new adjacency R2#*Sep 9 17:05:47.691: %DUAL-5-NBRCHANGE: IP-EIGRP(0) 1: Neighbor (Serial0/0/1) is up: new adjacency Page 7 sur 24 Ce document contient des informations publiques Cisco.

82 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base La commande show ip route affiche des tables de routage complètes. R1 : R1#show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user route o - ODR, P - periodic downloaded static route Gateway of last resort is not set static C D C /24 is directly connected, FastEthernet0/ /24 [90/ ] via , 00:00:07, Serial0/0/ /30 is subnetted, 1 subnets is directly connected, Serial0/0/1 R2 : R2#show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is not set D C C /24 [90/ ] via , 00:26:03, Serial0/0/ /27 is subnetted, 1 subnets is directly connected, Loopback /30 is subnetted, 1 subnets is directly connected, Serial0/0/1 Tâche 4 : vérification de la configuration À présent, vous devez être en mesure d envoyer une requête ping de R1 vers R2 Il est possible que les PVC ne soient activés que quelques secondes après le démarrage des interfaces. Vous pouvez également voir les routages EIGRP de chaque routeur. Étape 1 : transmission d une requête ping à R1 et R2 Vérifiez que vous pouvez envoyer une requête ping à R2, à partir de R1. R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Page 8 sur 24 Ce document contient des informations publiques Cisco.

83 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base Success rate is 100 percent (5/5), round-trip min/avg/max = 28/29/32 ms R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/29/32 ms Étape 2 : accès aux informations relatives aux PVC La commande show frame-relay pvc affiche les informations relatives à l ensemble des PVC configurés sur le routeur. Les résultats incluent également le DLCI associé. R1 : R1#show frame-relay pvc PVC Statistics for interface Serial0/0/1 (Frame Relay DTE) Active Inactive Deleted Static Local Switched Unused DLCI = 102, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/1 input pkts 5 output pkts 5 in bytes 520 out bytes 520 dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 0 out bcast bytes 0 5 minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec pvc create time 10:26:41, last time pvc status changed 00:01:04 R2 : R2#show frame-relay pvc PVC Statistics for interface Serial0/0/1 (Frame Relay DTE) Active Inactive Deleted Static Local Switched Unused DLCI = 201, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/1 input pkts 5 output pkts 5 in bytes 520 out bytes 520 dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 0 out bcast bytes 0 Page 9 sur 24 Ce document contient des informations publiques Cisco.

84 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base 5 minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec pvc create time 10:25:31, last time pvc status changed 00:00:00 Commutateur-FR : Commutateur-FR#show frame-relay pvc PVC Statistics for interface Serial0/0/0 (Frame Relay DCE) Active Inactive Deleted Static Local Switched Unused DLCI = 102, DLCI USAGE = SWITCHED, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/0 input pkts 0 output pkts 0 in bytes 0 out bytes 0 dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 0 out bcast bytes 0 30 second input rate 0 bits/sec, 0 packets/sec 30 second output rate 0 bits/sec, 0 packets/sec switched pkts 0 Detailed packet drop counters: no out intf 0 out intf down 0 no out PVC 0 in PVC down 0 out PVC down 0 pkt too big 0 shaping Q full 0 pkt above DE 0 policing drop 0 pvc create time 10:28:31, last time pvc status changed 00:03:57 PVC Statistics for interface Serial0/0/1 (Frame Relay DCE) Active Inactive Deleted Static Local Switched Unused DLCI = 201, DLCI USAGE = SWITCHED, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/1 input pkts 0 output pkts 0 in bytes 0 out bytes 0 dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 0 out bcast bytes 0 30 second input rate 0 bits/sec, 0 packets/sec 30 second output rate 0 bits/sec, 0 packets/sec switched pkts 0 Detailed packet drop counters: no out intf 0 out intf down 0 no out PVC 0 in PVC down 0 out PVC down 0 pkt too big 0 shaping Q full 0 pkt above DE 0 policing drop 0 Page 10 sur 24 Ce document contient des informations publiques Cisco.

85 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base pvc create time 10:27:00, last time pvc status changed 00:04:03 Étape 3 : vérification des mappages Frame Relay La commande show frame-relay map affiche les informations relatives aux mappages statique et dynamique des adresses de couche 3 avec les identificateurs DLCI. Le protocole ARP inverse étant désactivé, seuls les mappages statiques sont utilisés. R1 : R1#show frame-relay map Serial0/0/1 (up): ip dlci 102(0x66,0x1860), static, CISCO, status defined, active R2 : R2#show frame-relay map Serial0/0/1 (up): ip dlci 201(0xC9,0x3090), static, CISCO, status defined, active Commutateur FR : Le commutateur FR fait office de périphérique de couche 2. Il n est donc pas nécessaire de mapper les adresses de couche 3 avec les DLCI de couche 2. Étape 4 : débogage de l interface LMI Frame Relay Quelle est la fonction de l interface LMI sur un réseau Frame Relay? La LMI ou interface de supervision locale est un protocole de signalement permettant l échange d informations entre un routeur et un commutateur Frame Relay. L interface LMI permet d échanger des informations relatives aux messages de veille, à l état du PVC (activé, désactivé, supprimé, non utilisé), ainsi qu aux adresses IP (lorsque le protocole ARP inverse est activé). Quelles sont les trois types d interface LMI? ansi, cisco, q933a Avec quel identificateur DLCI l interface LMI fonctionne-t-elle? 1023 Exécutez la commande debug frame-relay lmi. Les résultats affichent des informations détaillées sur toutes les données de l interface LMI. Les messages de veille sont envoyés toutes les 10 secondes. Par conséquent, vous allez probablement devoir attendre avant qu un résultat ne s affiche. Page 11 sur 24 Ce document contient des informations publiques Cisco.

86 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base Les résultats du débogage affichent deux paquets LMI : le premier sortant (envoyé) et le deuxième entrant. R1#debug frame-relay lmi Frame Relay LMI debugging is on Displaying all Frame Relay LMI data R1# *Aug 24 06:19:15.920: Serial0/0/1(out): StEnq, myseq 196, yourseen 195, DTE up *Aug 24 06:19:15.920: datagramstart = 0xE73F24F4, datagramsize = 13 *Aug 24 06:19:15.920: FR encap = 0xFCF10309 *Aug 24 06:19:15.920: C4 C3 *Aug 24 06:19:15.920: *Aug 24 06:19:15.924: Serial0/0/1(in): Status, myseq 196, pak size 21 *Aug 24 06:19:15.924: RT IE 1, length 1, type 0 *Aug 24 06:19:15.924: KA IE 3, length 2, yourseq 196, myseq 196 *Aug 24 06:19:15.924: PVC IE 0x7, length 0x6, dlci 102, status 0x2, bw 0 R1#undebug all Port Statistics for unclassified packets is not turned on. All possible debugging has been turned off Notez que les résultats affichent un paquet LMI sortant, comportant le numéro de séquence 196. Le dernier message LMI reçu du commutateur Frame Relay portait le numéro de séquence 195. *Aug 24 06:19:15.920: Serial0/0/1(out): StEnq, myseq 196, yourseen 195, DTE up Cette ligne indique un message LMI entrant, provenant du commutateur Frame Relay, et à destination de R1, et portant le numéro de séquence 196. *Aug 24 06:19:15.924: Serial0/0/1(in): Status, myseq 196, pak size 21 Le commutateur Frame Relay l a envoyé sous le numéro de séquence 196 (myseq) et le dernier message LMI que celui-ci a reçu de R1 portait le numéro de séquence 196 (yourseq). *Aug 24 06:19:15.924: KA IE 3, length 2, yourseq 196, myseq 196 DLCI 102 est le seul identificateur DLCI présent sur la liaison. Actuellement, son état est actif. *Aug 24 06:19:15.924: PVC IE 0x7, length 0x6, dlci 102, status 0x2, bw 0 Tâche 4 : dépannage du protocole Frame Relay Divers outils de dépannage sont mis à votre disposition pour résoudre les problèmes de connectivité liés au protocole Frame Relay. Pour vous familiariser avec le processus de dépannage, interrompez la connexion Frame Relay établie plus tôt, puis rétablissez-la. Étape 1 : suppression du mappage de trame de R1 R1#configure terminal Enter configuration commands, one per line. End with CNTL/Z. R1(config)#interface serial0/0/1 R1(config-if)#encapsulation frame-relay R1(config-if)#no frame-relay map ip broadcast L instruction de mappage de trame étant maintenant supprimée de R1, essayez d envoyer une requête ping au routeur R1 depuis R2. Aucune réponse ne vous parviendra. Page 12 sur 24 Ce document contient des informations publiques Cisco.

87 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds:... Success rate is 0 percent (0/5) Par ailleurs, des messages de console doivent vous informer de l'état activé, puis désactivé de la contigüité du EIGRP. R1(config-if)#*Sep 9 17:28:36.579: %DUAL-5-NBRCHANGE: IP-EIGRP(0) 1: Neighbor (Serial0/0/1) is down: Interface Goodbye received R1(config-if)#*Sep 9 17:29: : %DUAL-5-NBRCHANGE: IP-EIGRP(0) 1: Neighbor (Serial0/0/1) is up: new adjacency R1(config-if)#*Sep 9 17:32:37.095: %DUAL-5-NBRCHANGE: IP-EIGRP(0) 1: Neighbor (Serial0/0/1) is down: retry limit exceeded R2#*Sep 9 17:29:15.359: %DUAL-5-NBRCHANGE: IP-EIGRP(0) 1: Neighbor (Serial0/0/1) is down: holding time expired Exécutez la commande debug ip icmp sur R1 : R1#debug ip icmp ICMP packet debugging is on Envoyez une nouvelle requête ping à l interface série de R1. Le message de débogage suivant s affiche sur R1 : R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds:... Success rate is 0 percent (0/5) R1#*Sep 9 17:42:13.415: ICMP: echo reply sent, src , dst R1#*Sep 9 17:42:15.411: ICMP: echo reply sent, src , dst R1#*Sep 9 17:42:17.411: ICMP: echo reply sent, src , dst R1#*Sep 9 17:42:19.411: ICMP: echo reply sent, src , dst R1#*Sep 9 17:42:21.411: ICMP: echo reply sent, src , dst Le paquet ICMP, issu de R2, atteint R1, comme l illustre ce message de débogage. Pourquoi la requête ping a-t-elle échoué? La requête ping échoue car R1 ne dispose d aucun moyen pour répondre. Si, faute de moyen, le mappage de l adresse IP de R2 avec un DLCI de couche 2 est impossible, R1 ne peut acheminer la réponse et supprime le paquet. L exécution de la commande show frame-relay map renvoie une ligne vide. R1#show frame-relay map R1# Page 13 sur 24 Ce document contient des informations publiques Cisco.

88 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base Désactivez tous les débogages à l aide de la commande undebug all, puis réexécutez la commande frame-relay map ip, mais sans utiliser le mot clé broadcast. R1#undebug all Port Statistics for unclassified packets is not turned on. All possible debugging has been turned off R1#configure terminal Enter configuration commands, one per line. End with CNTL/Z. R1(config)#interface serial0/0/1 R1(config-if)#encapsulation frame-relay R1(config-if)#frame-relay map ip R2#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 40/41/44 ms Remarquez alors que les requêtes ping aboutissent, la contiguïté EIGRP continue à «osciller» (entre l état désactivé et activé). R1(config-if)#*Sep 9 17:47:58.375: %DUAL-5-NBRCHANGE: IP-EIGRP(0) 1: Neighbor (Serial0/0/1) is up: new adjacency R1(config-if)#*Sep 9 17:51:02.887: %DUAL-5-NBRCHANGE: IP-EIGRP(0) 1: Neighbor (Serial0/0/1) is down: retry limit exceeded R1(config-if)#*Sep 9 17:51:33.175: %DUAL-5-NBRCHANGE: IP-EIGRP(0) 1: Neighbor (Serial0/0/1) is up: new adjacency R1(config-if)#*Sep 9 17:54:37.687: %DUAL-5-NBRCHANGE: IP-EIGRP(0) 1: Neighbor (Serial0/0/1) is down: retry limit exceeded Pourquoi la contiguïté EIGRP continue-t-elle à osciller? Un trafic multidiffusion n est pas envoyé sur le DLCI spécifié dans l instruction de mappage de la trame. Remplacez l instruction de mappage du protocole Frame Relay, puis intégrez le mot clé broadcast. Vérifiez que la table de routage est restaurée et que vous disposez d une connectivité de bout en bout. R1#configure terminal Enter configuration commands, one per line. End with CNTL/Z. R1(config)#interface serial0/0/1 R1(config-if)#encapsulation frame-relay R1(config-if)#frame-relay map ip broadcast R1#show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 Page 14 sur 24 Ce document contient des informations publiques Cisco.

89 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is not set C D C /24 is directly connected, FastEthernet0/ /27 is subnetted, 1 subnets [90/ ] via , 00:00:05, Serial0/0/ /30 is subnetted, 1 subnets is directly connected, Serial0/0/1 Étape 2 : modification du type d encapsulation Frame Relay Le logiciel Cisco IOS prend en charge deux types d encapsulation Frame Relay : l encapsulation Cisco par défaut et IETF, basée sur des normes. Remplacez l encapsulation Frame Relay de l interface serial0/0/1 sur R2 par IETF. R2(config-if)#encapsulation frame-relay ietf Notez que l interface ne se désactive pas. Cela peut vous surprendre. Les routeurs Cisco peuvent interpréter correctement des trames Frame Relay utilisant l encapsulation Frame Relay Cisco par défaut ou l encapsulation Frame Relay de la norme IETF. Si votre réseau est entièrement constitué de routeurs Cisco, il n existe aucune différence, que vous utilisiez l encapsulation Frame Relay Cisco par défaut ou celle de la norme IETF. Les routeurs Cisco prennent en charge ces deux types de trames entrantes. Toutefois, si vous disposez de routeurs de fournisseurs différents utilisant le protocole Frame Relay, vous devez utiliser la norme IETF. La commande encapsulation frame-relay ietf force le routeur Cisco à encapsuler ses trames sortantes en utilisant la norme IETF. Cette norme peut être comprise par le routeur d un autre fournisseur. R2#show interface serial 0/0/1 Serial0/0/1 is up, line protocol is up Hardware is GT96K Serial Internet address is /30 MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation FRAME-RELAY IETF, loopback not set <résultat omis> Commutateur-FR#show int s0/0/0 Serial0/0/0 is up, line protocol is up Hardware is GT96K Serial MTU 1500 bytes, BW 128 Kbit, DLY usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation FRAME-RELAY, loopback not set Remarquez que les deux commandes show interface affichent des résultats différents. Remarquez également que la contiguïté EIGRP est encore à l état activé. Bien que le commutateur FR et R2 utilisent des types d encapsulation différents, ils continuent à acheminer le trafic. Remplacez le type d encapsulation par le type par défaut : R2(config-if)#encapsulation frame-relay Étape 3 : changement du type de l interface LMI Sur R2, remplacez le type de l interface LMI par ANSI. R2#configure terminal Page 15 sur 24 Ce document contient des informations publiques Cisco.

90 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base Enter configuration commands, one per line. End with CNTL/Z. R2(config)#interface serial 0/0/1 R2(config-if)#encapsulation frame-relay R2(config-if)#frame-relay lmi-type ansi R2(config-if)#^Z R2#copy run start Destination filename [startup-config]? Building configuration... [OK] *Sep 9 18:41:08.351: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to down *Sep 9 18:41:08.351: %DUAL-5-NBRCHANGE: IP-EIGRP(0) 1: Neighbor (Serial0/0/1) is down: interface down R2#show interface serial 0/0/1 Serial0/0/1 is up, line protocol is down R2#show frame-relay lmi LMI Statistics for interface Serial0/0/1 (Frame Relay DTE) LMI TYPE = ANSI Invalid Unnumbered info 0 Invalid Prot Disc 0 Invalid dummy Call Ref 0 Invalid Msg Type 0 Invalid Status Message 0 Invalid Lock Shift 0 Invalid Information ID 0 Invalid Report IE Len 0 Invalid Report Request 0 Invalid Keep IE Len 0 Num Status Enq. Sent 1391 Num Status msgs Rcvd 1382 Num Update Status Rcvd 0 Num Status Timeouts 10 Last Full Status Req 00:00:27 Last Full Status Rcvd 00:00:27 Si vous poursuivez l exécution de la commande show frame-relay lmi, vous remarquerez l augmentation du temps mis en évidence. Au bout de 60 secondes, l interface passe à l état activé/désactivé car R2 et le commutateur FR n échangent plus de messages de veille ou toutes autres informations d état de liens. Exécutez la commande debug frame-relay lmi. Remarquez que les paquets LMI ne s affichent plus par paires. Lorsque tous les messages LMI sortants sont consignés, aucun message entrant ne s affiche. En effet, R2 attend l interface LMI ANSI et le commutateur FR envoie l interface LMI Cisco. R2#debug frame-relay lmi *Aug 25 04:34:25.774: Serial0/0/1(out): StEnq, myseq 20, yourseen 0, DTE down *Aug 25 04:34:25.774: datagramstart = 0xE73F2634, datagramsize = 14 *Aug 25 04:34:25.774: FR encap = 0x *Aug 25 04:34:25.774: *Aug 25 04:34:25.774: Laissez le débogage activé et restaurez le type LMI de Cisco sur R2. R2(config-if)#frame-relay lmi-type cisco *Aug 25 04:42:45.774: Serial0/0/1(out): StEnq, myseq 2, yourseen 1, DTE down *Aug 25 04:42:45.774: datagramstart = 0xE7000D54, datagramsize = 13 *Aug 25 04:42:45.774: FR encap = 0xFCF10309 *Aug 25 04:42:45.774: *Aug 25 04:42:45.774: *Aug 25 04:42:45.778: Serial0/0/1(in): Status, myseq 2, pak size 21 *Aug 25 04:42:45.778: RT IE 1, length 1, type 0 *Aug 25 04:42:45.778: KA IE 3, length 2, yourseq 2, myseq 2 Page 16 sur 24 Ce document contient des informations publiques Cisco.

91 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base *Aug 25 04:42:45.778: PVC IE 0x7, length 0x6, dlci 201, status 0x2, bw 0 *Aug 25 04:42:55.774: Serial0/0/1(out): StEnq, myseq 3, yourseen 2, DTE up *Aug 25 04:42:55.774: datagramstart = 0xE , datagramsize = 13 *Aug 25 04:42:55.774: FR encap = 0xFCF10309 *Aug 25 04:42:55.774: *Aug 25 04:42:55.774: *Aug 25 04:42:55.778: Serial0/0/1(in): Status, myseq 3, pak size 21 *Aug 25 04:42:55.778: RT IE 1, length 1, type 0 *Aug 25 04:42:55.778: KA IE 3, length 2, yourseq 1, myseq 3 *Aug 25 04:42:55.778: PVC IE 0x7, length 0x6, dlci 201, status 0x2, bw 0 *Aug 25 04:42:56.774: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to up Comme vous pouvez le constater, le numéro de séquence de l interface LMI a été redéfini sur 1 et R2 commence à comprendre les messages de l interface LMI provenant du commutateur FR. Une fois que le commutateur Frame relay et R2 ont réussi à échanger des messages LMI, l état de l interface devient activé. Tâche 5 : configuration d une sous-interface Frame Relay Frame Relay prend en charge deux types de sous-interfaces : point à point et point à multipoint. Les sous-interfaces point à multipoint prennent en charge les topologies d accès multiples non-broadcast. Par exemple, une topologie Hub and Spoke peut utiliser une sous-interface point à multipoint. Au cours de ces travaux pratiques, vous apprendrez à créer une sous-interface point à point. Étape 1 : création d un circuit PVC entre R1 et R2 sur le commutateur Frame Relay Commutateur-FR(config)#interface serial 0/0/0 Commutateur-FR(config-if)#frame-relay route 112 interface serial 0/0/1 212 Commutateur-FR(config-if)#interface serial 0/0/1 Commutateur-FR(config-if)#frame-relay route 212 interface serial 0/0/0 112 Étape 2 : création et configuration d une sous-interface point à point sur R1 Créez une sous-interface 112 en tant qu interface point à point. Vous devez définir l encapsulation Frame Relay sur l interface physique avant de pouvoir créer des sous-interfaces. R1(config)#interface serial 0/0/1.112 point-to-point R1(config-subif)#ip address R1(config-subif)#frame-relay interface-dlci 112 Étape 3 : création et configuration d une sous-interface point à point sur R2 R2(config)#interface serial 0/0/1.212 point-to-point R2(config-subif)#ip address R2(config-subif)#frame-relay interface-dlci 212 Étape 4 : vérification de la connectivité Vous devez être en mesure d envoyer une requête ping sur le nouveau circuit PVC. R1#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/32 ms R2#ping Page 17 sur 24 Ce document contient des informations publiques Cisco.

92 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/32 ms Vous pouvez également vérifier la configuration à l aide des commandes show frame-relay pvc et show frame-relay map de la tâche 4. R1 : R1#show frame-relay pvc PVC Statistics for interface Serial0/0/1 (Frame Relay DTE) Active Inactive Deleted Static Local Switched Unused DLCI = 102, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/1 input pkts 319 output pkts 279 in bytes out bytes dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 193 out bcast bytes minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec pvc create time 04:43:35, last time pvc status changed 01:16:05 DLCI = 112, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/1.112 input pkts 15 output pkts 211 in bytes 2600 out bytes dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 200 out bcast bytes minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec pvc create time 00:19:16, last time pvc status changed 00:18:56 R2 : R2#show frame-relay pvc PVC Statistics for interface Serial0/0/1 (Frame Relay DTE) Active Inactive Deleted Static Local Switched Unused DLCI = 201, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/1 input pkts 331 output pkts 374 in bytes Page 18 sur 24 Ce document contient des informations publiques Cisco.

93 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base out bytes dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 331 out bcast bytes minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec pvc create time 05:22:55, last time pvc status changed 01:16:36 DLCI = 212, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/1.212 input pkts 217 output pkts 16 in bytes out bytes 2912 dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 6 out bcast bytes minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec pvc create time 00:19:37, last time pvc status changed 00:18:57 Commutateur-FR : Commutateur-FR#show frame-relay pvc PVC Statistics for interface Serial0/0/0 (Frame Relay DCE) Active Inactive Deleted Static Local Switched Unused DLCI = 102, DLCI USAGE = SWITCHED, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/0 input pkts 335 output pkts 376 in bytes out bytes dropped pkts 2 in pkts dropped 2 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 0 out bcast bytes 0 30 second input rate 0 bits/sec, 0 packets/sec 30 second output rate 0 bits/sec, 0 packets/sec switched pkts 333 Detailed packet drop counters: no out intf 0 out intf down 0 no out PVC 0 in PVC down 0 out PVC down 2 pkt too big 0 shaping Q full 0 pkt above DE 0 policing drop 0 pvc create time 05:23:43, last time pvc status changed 01:18:32 DLCI = 112, DLCI USAGE = SWITCHED, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/0 input pkts 242 output pkts 18 in bytes out bytes 3536 dropped pkts 0 in pkts dropped 0 Page 19 sur 24 Ce document contient des informations publiques Cisco.

94 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 0 out bcast bytes 0 30 second input rate 0 bits/sec, 0 packets/sec 30 second output rate 0 bits/sec, 0 packets/sec switched pkts 242 Detailed packet drop counters: no out intf 0 out intf down 0 no out PVC 0 in PVC down 0 out PVC down 0 pkt too big 0 shaping Q full 0 pkt above DE 0 policing drop 0 pvc create time 00:21:41, last time pvc status changed 00:21:22 PVC Statistics for interface Serial0/0/1 (Frame Relay DCE) Active Inactive Deleted Static Local Switched Unused DLCI = 201, DLCI USAGE = SWITCHED, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/1 input pkts 376 output pkts 333 in bytes out bytes dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 0 out bcast bytes 0 30 second input rate 0 bits/sec, 0 packets/sec 30 second output rate 0 bits/sec, 0 packets/sec switched pkts 376 Detailed packet drop counters: no out intf 0 out intf down 0 no out PVC 0 in PVC down 0 out PVC down 0 pkt too big 0 shaping Q full 0 pkt above DE 0 policing drop 0 pvc create time 05:23:14, last time pvc status changed 01:39:39 DLCI = 212, DLCI USAGE = SWITCHED, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/1 input pkts 18 output pkts 243 in bytes 3536 out bytes dropped pkts 0 in pkts dropped 0 out pkts dropped 0 out bytes dropped 0 in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 out BECN pkts 0 in DE pkts 0 out DE pkts 0 out bcast pkts 0 out bcast bytes 0 30 second input rate 0 bits/sec, 0 packets/sec 30 second output rate 0 bits/sec, 0 packets/sec switched pkts 18 Detailed packet drop counters: no out intf 0 out intf down 0 no out PVC 0 in PVC down 0 out PVC down 0 pkt too big 0 shaping Q full 0 pkt above DE 0 policing drop 0 pvc create time 00:21:36, last time pvc status changed 00:21:20 Page 20 sur 24 Ce document contient des informations publiques Cisco.

95 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base R1 : R1#show frame-relay map Serial0/0/1 (up): ip dlci 102(0x66,0x1860), static, broadcast, CISCO, status defined, active Serial0/0/1.112 (up): point-to-point dlci, dlci 112(0x70,0x1C00), broadcast status defined, active R2 : R2#show frame-relay map Serial0/0/1 (up): ip dlci 201(0xC9,0x3090), static, broadcast, CISCO, status defined, active Serial0/0/1.212 (up): point-to-point dlci, dlci 212(0xD4,0x3440), broadcast status defined, active Commutateur-FR : Commutateur-FR#show frame-relay route Input Intf Input Dlci Output Intf Output Dlci Status Serial0/0/0 102 Serial0/0/1 201 active Serial0/0/0 112 Serial0/0/1 212 active Serial0/0/1 201 Serial0/0/0 102 active Serial0/0/1 212 Serial0/0/0 112 active Effectuez à présent le débogage de l interface LMI Frame Relay. R1#debug frame-relay lmi *Aug 25 05:58:50.902: Serial0/0/1(out): StEnq, myseq 136, yourseen 135, DTE up *Aug 25 05:58:50.902: datagramstart = 0xE , datagramsize = 13 *Aug 25 05:58:50.902: FR encap = 0xFCF10309 *Aug 25 05:58:50.902: *Aug 25 05:58:50.902: *Aug 25 05:58:50.906: Serial0/0/1(in): Status, myseq 136, pak size 29 *Aug 25 05:58:50.906: RT IE 1, length 1, type 0 *Aug 25 05:58:50.906: KA IE 3, length 2, yourseq 136, myseq 136 *Aug 25 05:58:50.906: PVC IE 0x7, length 0x6, dlci 102, status 0x2, bw 0 *Aug 25 05:58:50.906: PVC IE 0x7, length 0x6, dlci 112, status 0x2, bw 0 Notez que deux DLCI figurent dans le message de l interface LMI provenant du commutateur Frame Relay vers R1. R2#debug frame-relay lmi *Aug 25 06:08:35.774: Serial0/0/1(out):StEnq, myseq 7,yourseen 4,DTE up *Aug 25 06:08:35.774: datagramstart = 0xE73F28B4, datagramsize = 13 *Aug 25 06:08:35.774: FR encap = 0xFCF10309 *Aug 25 06:08:35.774: *Aug 25 06:08:35.774: *Aug 25 06:08:35.778: Serial0/0/1(in): Status, myseq 7, pak size 29 *Aug 25 06:08:35.778: RT IE 1, length 1, type 0 *Aug 25 06:08:35.778: KA IE 3, length 2, yourseq 5, myseq 7 Page 21 sur 24 Ce document contient des informations publiques Cisco.

96 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base *Aug 25 06:08:35.778: PVC IE 0x7,length 0x6, dlci 201, status 0x2, bw 0 *Aug 25 06:08:35.778: PVC IE 0x7,length 0x6, dlci 212, status 0x2, bw 0 Configurations finales R1#show run <résultat omis> hostname R1 enable secret class no ip domain lookup interface FastEthernet0/0 ip address no shutdown interface Serial0/0/1 ip address encapsulation frame-relay frame-relay map ip broadcast no frame-relay inverse-arp no shutdown interface Serial0/0/1.112 point-to-point ip address frame-relay interface-dlci 112 router eigrp 1 network network no auto-summary banner motd ^CUnauthorized access prohibited, violators will be prosecuted to the full extent of the law.^c line con 0 password cisco login line aux 0 line vty 0 4 login password cisco end R2#show run <résultat omis> hostname R2 enable secret class Page 22 sur 24 Ce document contient des informations publiques Cisco.

97 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base no ip domain lookup interface Loopback0 ip address interface Serial0/0/1 ip address encapsulation frame-relay clockrate frame-relay map ip broadcast no frame-relay inverse-arp frame-relay lmi-type cisco no shutdown interface Serial0/0/1.212 point-to-point ip address frame-relay interface-dlci 212 router eigrp 1 network network no auto-summary line con 0 password cisco login line aux 0 line vty 0 4 password cisco login end Commutateur-FR#show run <résultat omis> hostname Commutateur-FR enable secret class no ip domain lookup frame-relay switching interface Serial0/0/0 no ip address encapsulation frame-relay clockrate Page 23 sur 24 Ce document contient des informations publiques Cisco.

98 Exploration 4 Accès au réseau étendu : Frame Relay Travaux pratiques : protocole Frame Relay de base frame-relay intf-type dce frame-relay route 102 interface Serial0/0/1 201 frame-relay route 112 interface Serial0/0/1 212 no shutdown interface Serial0/0/1 no ip address encapsulation frame-relay frame-relay intf-type dce frame-relay route 201 interface Serial0/0/0 102 frame-relay route 212 interface Serial0/0/0 112 no shutdown line con 0 password cisco login line aux 0 line vty 0 4 password cisco login end Page 24 sur 24 Ce document contient des informations publiques Cisco.

99 Travaux pratiques : exercice de configuration de frame relay (version du formateur) Diagramme de topologie Table d adressage Périphérique Interface Adresse IP Masque de sous-réseau Passerelle par défaut R1 Fa0/ N/D S0/0/ N/D R2 Fa0/ N/ S0/0/ N/D PC1 Carte réseau D PC3 Carte réseau Ce document contient des informations publiques Cisco. Page 1 sur 5

100 Travaux pratiques : Accès au réseau étendu : Frame Relay exercice de configuration de frame relay Objectifs pédagogiques À l issue de ces travaux pratiques, vous serez en mesure d effectuer les tâches suivantes : Câbler un réseau conformément au diagramme de topologie Supprimer la configuration de démarrage et recharger un routeur pour revenir aux paramètres par défaut Exécuter les tâches de configuration de base d un routeur Configurer et activer des interfaces Configurer le routage EIGRP sur tous les routeurs Configurer l encapsulation Frame Relay sur toutes les interfaces série Configurer un circuit virtuel permanent (PVC) Frame Relay Interrompre volontairement un circuit virtuel permanent (PVC) Frame Relay et le restaurer Configurer des sous-interfaces Frame Relay Interrompre volontairement le circuit PVC et le restaurer Scénario Au cours de ces travaux pratiques, vous allez configurer le protocole Frame Relay via le réseau indiqué dans le diagramme de topologie. Si vous rencontrez des difficultés, reportez-vous aux travaux pratiques Protocole Frame Relay de base. Essayez cependant de travailler en parfaite autonomie. Tâche 1 : préparation du réseau Étape 1 : câblage d un réseau similaire à celui du diagramme de topologie Étape 2 : suppression des configurations existantes sur les routeurs Tâche 2 : configuration de base d un routeur Configurez les routeurs R1, R2 et R3 conformément aux instructions suivantes : Configurez le nom d hôte du routeur. Désactivez la recherche DNS. Configurez un mot de passe pour le mode d exécution privilégié. Configurez une bannière de message du jour. Configurez un mot de passe pour les connexions de consoles. Configurez la connexion synchrone. Configurez un mot de passe pour les connexions de terminaux virtuels (vty). Ce document contient des informations publiques Cisco. Page 2 sur 5

101 Travaux pratiques : Accès au réseau étendu : Frame Relay exercice de configuration de frame relay Tâche 3 : configuration d adresses IP Étape 1 : configuration d adresses IP sur toutes les liaisons en fonction de la table d adressage R1 R1(config)#int s0/0/0 R1(config-if)#ip address R1(config-if)#int fa0/1 R1(config-if)#ip address R2 : R2(config)#int s0/0/1 R2(config-if)#ip address R2(config-if)#int fa0/1 R2(config-if)#ip address Étape 2 : vérification de l adressage IP et des interfaces show ip int brief Étape 3 : activation des interfaces Ethernet des routeurs R1 et R2, mais non des interfaces séries R1(config-if)#int fa0/1 R1(config-if)#no shut R2(config-if)#int fa0/1 R2(config-if)#no shut Étape 4 : configuration des interfaces Ethernet de PC1 et PC3 Étape 5 : vérification de la connectivité entre les PC et leurs routeurs locaux ping Tâche 4 : configuration du protocole EIGRP sur les routeurs R1 et R2 Étape 1 : activation du protocole EIGRP sur les routeurs R1 et R2 de tous les sous-réseaux router eigrp 1 network network no auto-summary Tâche 5 : configuration du PVC Frame Relay entre R1 et R2 Étape 1 : configuration des interfaces sur un commutateur FR pour créer le circuit PVC entre R1 et R2 Utilisez les identificateurs de connexion de liaisons de données (DLCI) figurant dans le diagramme de topologie. Commutateur FR : interface serial0/0/0 encapsulation frame-relay frame-relay route 102 interface s0/0/1 201 frame-relay intf-type dce interface serial0/0/1 encapsulation frame-relay Ce document contient des informations publiques Cisco. Page 3 sur 5

102 Travaux pratiques : Accès au réseau étendu : Frame Relay exercice de configuration de frame relay frame-relay route 201 interface s0/0/0 102 frame-relay intf-type dce Étape 2 : configuration des interfaces physiques sur R1 et R2 pour permettre une encapsulation Frame Relay Ne découvrez pas automatiquement les adresses IP à l extrémité des liaisons. Une fois la configuration terminée, activez la liaison. R1 interface serial0/0/0 encapsulation frame-relay no frame-relay inverse-arp no shut R2 int s0/0/1 encapsulation frame-relay no frame-relay inverse-arp no shut Étape 3 : configuration des cartes Frame Relay sur R1 et R2 à l aide des identificateurs DLCI appropriés, et activation de la diffusion sur les identificateurs DLCI R1 interface serial0/0/0 frame=relay map ip broadcast R2 interface serial0/0/1 frame-relay map ip broadcast Étape 4 : vérification de la connectivité de bout en bout via le PC1 et le PC2 ping Tâche 6 : interruption volontaire et restauration du PVC Étape 1 : interruption du PVC entre R1 et R2 selon les méthodes choisies Étape 2 : restauration d une connectivité complète sur le réseau Étape 3 : vérification de la connectivité complète sur le réseau Tâche 7 : configuration de sous-interfaces Frame Relay Étape 1 : suppression de l adresse IP et de la configuration de la carte Frame Relay depuis les interfaces physiques de R1 et R2 R1 interface serial0/0/0 no frame-relay map ip broadcast no ip address R2 int s0/0/1 no frame-relay map ip broadcast Ce document contient des informations publiques Cisco. Page 4 sur 5

103 Travaux pratiques : Accès au réseau étendu : Frame Relay exercice de configuration de frame relay Étape 2 : configuration des sous-interfaces point-à-point de Frame Relay sur R1 et R2, avec les mêmes adresses IP et les identificateurs DLCI utilisés précédemment sur les interfaces physiques R1 interface serial0/0/0.102 point-to-point ip address frame-relay interface-dlci 102 R2 int s0/0/1.102 point-to-point ip add frame-relay interface-dlci 201 Étape 3 : vérification de la connectivité de bout en bout Envoyez une commande ping d un PC à l autre. Tâche 8 : interruption volontaire et restauration du PVC Étape 1 : interruption du PVC à l aide d une méthode différente de celle utilisée lors de la tâche 6 Étape 2 : restauration du PVC Étape 3 : vérification de la connectivité de bout en bout Tâche 9 : documentation des configurations des routeurs Exécutez la commande show run sur chaque routeur et capturez les configurations. Tâche 10 : remise en état Supprimez les configurations et rechargez les routeurs. Déconnectez le câblage et stockez-le dans un endroit sécurisé. Reconnectez le câblage souhaité et restaurez les paramètres TCP/IP pour les PC hôtes habituellement connectés aux autres réseaux (réseaux locaux de votre site ou Internet). Ce document contient des informations publiques Cisco. Page 5 sur 5

104 Travaux pratiques : dépannage de Frame Relay (version du formateur) Diagramme de topologie Table d adressage Périphérique Interface Adresse IP Masque de sous-réseau Passerelle par défaut R1 R2 Lo N/D S0/0/ N/D Lo N/D S0/0/ N/D Objectif pédagogique Mettre en pratique les compétences en matière de dépannage d un réseau Frame Relay Scénario Au cours de ces travaux pratiques, vous apprendrez à dépanner un environnement Frame Relay mal configuré. Chargez les configurations suivantes dans les routeurs ou faites-vous aider par votre formateur. Localisez et corrigez toutes les erreurs figurant dans les configurations et établissez une connectivité de bout en bout. La configuration finale obtenue doit correspondre au diagramme de topologie, ainsi qu à la table d adressage. Tous les mots de passe sont définis sur cisco, à l exception du mot de passe enable secret, défini sur class. Ce document contient des informations publiques Cisco. Page 1 sur 5

105 Accès au réseau étendu : Frame Relay Travaux pratiques : dépannage de Frame Relay Tâche 1 : préparation du réseau Étape 1 : câblage d un réseau similaire à celui du diagramme de topologie Étape 2 : suppression des configurations existantes sur les routeurs Étape 3 : importation des configurations Routeur 1 hostname R1 enable secret class no ip domain lookup interface Loopback0 ip address interface FastEthernet0/0 no ip address shutdown duplex auto speed auto interface FastEthernet0/1 no ip address shutdown duplex auto speed auto interface Serial0/0/1 no ip address shutdown no fair-queue clockrate interface Serial0/0/0 ip address encapsulation frame-relay frame-relay map ip broadcast frame-relay map ip broadcast Le DLCI est mal écrit et doit être corrigé pour que la connectivité fonctionne. frame-relay map ip Un mappage Frame Relay pour l adresse IP de l interface est souvent oublié, car la plupart des interfaces atteignent leur propre adresse. no frame-relay inverse-arp no shutdown router eigrp 1 network Ce document contient des informations publiques Cisco. Page 2 sur 5

106 Accès au réseau étendu : Frame Relay Travaux pratiques : dépannage de Frame Relay network no auto-summary line con 0 password cisco line aux 0 line vty 0 4 password cisco login end Routeur 2 hostname R2 enable secret class no ip domain lookup interface Loopback0 ip address interface FastEthernet0/0 no ip address shutdown duplex auto speed auto interface FastEthernet0/1 no ip address shutdown duplex auto speed auto interface Serial0/0/0 no ip address shutdown no fair-queue interface Serial0/0/1 ip address encapsulation frame-relay clockrate frame-relay map ip broadcast Le mot clé broadcast a été oublié. Sans le mot clé broadcast, les paquets de multidiffusion ne sont pas envoyés avec ce DLCI. empêche EIGRP de créer des contiguïtés. frame-relay map ip Un mappage Frame Relay pour l adresse IP de l interface est souvent oublié, car la plupart des interfaces atteignent leur propre adresse. no frame-relay inverse-arp Ce document contient des informations publiques Cisco. Page 3 sur 5

107 Accès au réseau étendu : Frame Relay Travaux pratiques : dépannage de Frame Relay frame-relay lmi-type ansi Le commutateur Frame Relay utilise le type d interface LMI par défaut, qui est cisco. Cette commande doit être supprimée pour que le lien fonctionne. no shutdown Il arrive souvent d oublier que les interfaces sur un routeur s arrête par défaut. router eigrp 1 network network no auto-summary line con 0 password cisco line aux 0 line vty 0 4 login end Commutateur FR : hostname Commutateur FR enable secret class no ip domain lookup frame-relay switching interface FastEthernet0/0 no ip address shutdown duplex auto speed auto interface FastEthernet0/1 no ip address shutdown duplex auto speed auto interface Serial0/0/0 no ip address encapsulation frame-relay no fair-queue clockrate Ce document contient des informations publiques Cisco. Page 4 sur 5

108 Accès au réseau étendu : Frame Relay Travaux pratiques : dépannage de Frame Relay frame-relay intf-type dce frame-relay route 182 interface Serial0/0/1 181 no shutdown interface Serial0/0/1 no ip address clockrate encapsulation frame-relay frame-relay intf-type dce frame-relay route 181 interface Serial0/0/1 182 Sans instruction de route, le commutateur Frame Relay ne sait pas comment commuter les paquets Frame Relay. no shutdown line con 0 password cisco line aux 0 line vty 0 4 password cisco login end Tâche 2 : dépannage et réparation de la connexion Frame Relay entre R1 et R2 Tâche 3 : documentation des configurations des routeurs Exécutez la commande show run sur chaque routeur et capturez les configurations. Tâche 4 : remise en état Supprimez les configurations et rechargez les routeurs. Déconnectez le câblage et stockez-le dans un endroit sécurisé. Reconnectez le câblage souhaité et restaurez les paramètres TCP/IP pour les hôtes PC connectés habituellement aux autres réseaux (réseau local de votre site ou Internet). Ce document contient des informations publiques Cisco. Page 5 sur 5

109 Travaux pratiques : configuration de base de la sécurité (version du formateur) Diagramme de topologie Table d adressage Périphérique Interface Adresse IP R1 R2 R3 Masque de sous-réseau Passerelle par défaut Fa0/ N/D S0/0/ N/D Fa0/ N/D S0/0/ N/D S0/0/ N/D Lo N/D Fa0/ N/D S0/0/ N/D Ce document contient des informations publiques Cisco. Page 1 sur 50

110 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Comm1 VLAN N/D Comm3 VLAN N/D PC1 Carte réseau PC3 Carte réseau Serveur TFTP Carte réseau Objectifs pédagogiques À l issue de ces travaux pratiques, vous serez en mesure d effectuer les tâches suivantes : Câbler un réseau conformément au diagramme de topologie Supprimer la configuration de démarrage et recharger un routeur pour revenir aux paramètres par défaut Exécuter les tâches de configuration de base d un routeur Configurer la sécurité de base des ports Désactiver les services et interfaces Cisco inutilisés Protéger les réseaux d'entreprise contre des principales attaques externes et internes Comprendre et gérer les fichiers de configuration Cisco IOS ainsi que le système de fichiers Cisco Configurer et utiliser Cisco SDM (Security Device Manager) et SDM Express pour définir la sécurité de base d un routeur Configurer les réseaux locaux virtuels (VLAN) sur les commutateurs Scénario Dans le cadre de ces travaux pratiques, vous apprendrez à configurer les paramètres de sécurité de base du réseau. Pour ce faire, vous utiliserez le réseau illustré sur le diagramme de topologie. Vous apprendrez également à configurer la sécurité d un routeur de trois manières : en utilisant l interface de ligne de commande (ILC), la fonction de sécurité automatique, ou Cisco SDM. Enfin, vous apprendrez à gérer le logiciel Cisco IOS. Notes au formateur Ces travaux pratiques de configuration de la sécurité de base permettent aux participants de mettre en application les compétences essentielles acquises dans le cadre de ce chapitre. Bien que de nombreux formateurs souhaitent que les participants effectuent ces travaux pratiques en une seule session, d autres préfèrent les diviser en plusieurs sessions plus courtes. Ainsi, les recommandations suivantes vous permettront de diviser correctement ces travaux pratiques en plusieurs sessions. Ces travaux pratiques s'organisent comme suit : Première partie : les participants effectuent les tâches 1 à 7 et enregistrent les configurations effectuées. La démonstration des configurations à effectuer est fournie à la suite de la tâche 7. Seconde partie : les participants utilisent les configurations enregistrées dans la première partie, puis réalisent la tâche 8. La démonstration de l'ensemble des configurations à effectuer dans le cadre de ces travaux pratiques figure à la fin de ce document. Les participants peuvent également effectuer la tâche 6 indépendamment des autres tâches. Ce document contient des informations publiques Cisco. Page 2 sur 50

111 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Tâche 1 : préparation du réseau Étape 1 : câblage d un réseau similaire à celui du diagramme de topologie Vous pouvez utiliser n importe quel routeur durant les travaux pratiques, à condition qu'il soit équipé des interfaces indiquées dans la topologie. Remarque : ces travaux pratiques ont été développés et testés à l aide de routeurs si vous utilisez les routeurs 1700, 2500 ou 2600, les sorties des routeurs et les descriptions des interfaces apparaîtront différemment. Étape 2 : suppression des configurations existantes sur les routeurs Tâche 2 : exécution des configurations de routeur de base Étape 1 : configuration des routeurs Configurez les routeurs R1, R2 et R3 conformément aux instructions suivantes : Configurez le nom d'hôte du routeur conformément au diagramme de topologie. Désactivez la recherche DNS. Configurez une bannière de message du jour. Configurez les adresses IP sur R1, R2 et R3. Activez la version 2 du protocole RIP sur l'ensemble des routeurs de tous les réseaux. Créez une interface de bouclage sur R2 afin de simuler une connexion Internet. Configurez un serveur TFTP sur R2. Vous pouvez télécharger le logiciel serveur TFTP à partir de : R1 hostname R1 no ip domain-lookup banner motd ^Unauthorized access strictly prohibited and prosecuted to the full extent of the law.^ interface FastEthernet0/1 ip address no shutdown interface Serial0/0/0 ip address no shutdown clock rate router rip version 2 network network no auto-summary Ce document contient des informations publiques Cisco. Page 3 sur 50

112 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité R2 hostname R2 no ip domain-lookup banner motd ^Unauthorized access strictly prohibited and prosecuted to the full extent of the law.^ interface Loopback0 ip address Interface FastEthernet0/1 ip address no shutdown interface Serial0/0/0 ip address no shutdown interface Serial0/0/1 ip address clock rate no shutdown router rip version 2 network network network no auto-summary R3 hostname R3 no ip domain-lookup banner motd ^Unauthorized access strictly prohibited and prosecuted to the full extent of the law.^ interface FastEthernet0/1 ip address no shutdown interface Serial0/0/1 ip address no shutdown router rip version 2 network network no auto-summary Ce document contient des informations publiques Cisco. Page 4 sur 50

113 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Étape 2 : configuration des interfaces Ethernet Configurez les interfaces Ethernet de PC1, PC3 et du serveur TFTP à l aide des adresses IP et des passerelles par défaut figurant dans la table d adressage fournie au début de ces travaux pratiques. Étape 3 : test de la configuration d un PC par l envoi d une commande ping à la passerelle par défaut, à partir de chaque PC et du serveur TFTP Tâche 3 : sécurisation du routeur par rapport aux accès non autorisés Étape 1 : configuration des mots de passe sécurisés et authentification AAA Configurez des mots de passe sécurisés sur R1 à l aide d une base de données locale. Dans ces travaux pratiques, le mot de passe à utiliser est ciscoccna. R1(config)#enable secret ciscoccna Comment la configuration d un mot de passe enable secret contribue-t-elle à protéger un routeur d une attaque? L objectif est de toujours bloquer l accès des utilisateurs non autorisés à un périphérique à l aide de Telnet, SSH ou via la console. Si des pirates parviennent toutefois à franchir cette première barrière de protection, l utilisation d un mot de passe enable secret les empêche de modifier la configuration du périphérique. Cette opération procure une couche de sécurité supplémentaire. La commande username permet de définir un nom d'utilisateur et un mot de passe, enregistrés localement sur le routeur. Par défaut, le niveau de privilège de l utilisateur est défini sur 0 (le niveau d accès le plus bas). Vous pouvez modifier le niveau d accès assigné à un utilisateur en ajoutant le mot clé privilege 0 15 avant le mot clé password. R1(config)#username ccna password ciscoccna La commande aaa permet d activer le protocole AAA (Authentication, Authorization and Accounting : authentification, autorisation et comptabilisation) de manière globale sur le routeur. Cette commande est utilisée lors de la connexion au routeur. R1(config)#aaa new-model Vous pouvez créer une liste d authentification qui est consultée lorsqu un utilisateur tente de se connecter au périphérique, une fois que vous l aurez appliquée aux lignes vty et aux lignes de la console. Le mot clé local indique que la base de données de l utilisateur est enregistrée localement sur le routeur. R1(config)#aaa authentication login LOCAL_AUTH local Les commandes suivantes indiquent au routeur que les utilisateurs qui tentent de se connecter doivent être authentifiés via la liste que vous venez de créer. R1(config)#line console 0 R1(config-lin)#login authentication LOCAL_AUTH R1(config-lin)#line vty 0 4 R1(config-lin)#login authentication LOCAL_AUTH Ce document contient des informations publiques Cisco. Page 5 sur 50

114 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Dans la section de configuration en cours suivante, quel élément vous semble non sécurisé? R1#show run <résultat omis> enable secret 5 $1$.DB7$DunHvguQH0EvLqzQCqzfr1 aaa new-model aaa authentication login LOCAL_AUTH local username ccna password 0 ciscoccna <résultat omis> banner motd ^CUnauthorized access strictly prohibited, violators will be prosecuted to the full extent of the law^c line con 0 login authentication LOCAL_AUTH line aux 0 line vty 0 4 login authentication LOCAL_AUTH Contrairement au mot de passe enable secret, le mot de passe de l utilisateur ccna n est pas chiffré. Ainsi, le niveau de sécurité est plus faible. Pour appliquer un chiffrement simple sur les mots de passe, entrez la commande suivante en mode de configuration globale : R1(config)#service password-encryption Pour vérifier cela, exécutez la commande show run. R1#show run service password-encryption enable secret 5 $1$.DB7$DunHvguQH0EvLqzQCqzfr1 aaa new-model aaa authentication login LOCAL_AUTH local username ccna password D0A C0A <résultat omis> banner motd ^CCUnauthorized access strictly prohibited, violators will be prosecuted to the full extent of the law^c Ce document contient des informations publiques Cisco. Page 6 sur 50

115 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité line con 0 login authentication LOCAL_AUTH line aux 0 line vty 0 4 login authentication LOCAL_AUTH Étape 2 : protection des lignes de console et des lignes VTY Vous pouvez faire en sorte que le routeur déconnecte une ligne qui a été inactive pendant une période donnée. Si un ingénieur réseau est connecté à un périphérique réseau, qu il est appelé et qu il part subitement, cette commande permet de le déconnecter automatiquement au bout de la période indiquée. Les commandes suivantes permettent la déconnexion d une ligne au bout de 5 minutes. R1(config)#line console 0 R1(config-lin)#exec-timeout 5 0 R1(config-lin)#line vty 0 4 R1(config-lin)#exec-timeout 5 0 La commande suivante permet d empêcher les tentatives de connexion en force. Le routeur bloque les tentatives de connexion pendant 5 minutes si un utilisateur effectue 2 tentatives de connexion sans y parvenir au bout de 2 minutes. Pour répondre aux objectifs de ces travaux pratiques, la durée définie est particulièrement courte. Une action supplémentaire consiste à consigner chaque tentative de ce type. R1(config)#login block-for 300 attempt 2 within 120 R1(config)#security authentication failure rate 5 log Pour vérifier cela, essayez de vous connecter à R1, à partir de R2, via le protocole Telnet à l aide d un nom d utilisateur et d un mot de passe incorrects. Sur R2 : R2#telnet Trying Open Unauthorized access strictly prohibited, violators will be prosecuted to the full extent of the law User Access Verification Username: cisco Password: % Authentication failed User Access Verification Username: cisco Password: % Authentication failed [Connection to closed by foreign host] R2#telnet Trying % Connection refused by remote host Ce document contient des informations publiques Cisco. Page 7 sur 50

116 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Sur R1 : *Sep 10 12:40:11.211: %SEC_LOGIN-5-QUIET_MODE_OFF: Quiet Mode is OFF, because block period timed out at 12:40:11 UTC Mon Sep Tâche 4 : sécurisation de l accès au réseau Étape 1 : prévention de la propagation d une mise à jour de routage RIP Quelle machine peut recevoir des mises à jour de routage RIP sur un segment de réseau au niveau duquel le protocole RIP est activé? S agit-il de la configuration la plus appropriée? Tout périphérique en mode d écoute peut recevoir des mises à jour de routage RIP. Cela constitue un risque, car des informations concernant la structure du réseau sont dévoilées. La première étape du piratage d un réseau consiste à reconnaître ce réseau. Au cours de cette étape, le pirate tente d effectuer un mappage sur le réseau existant avant de déterminer le type d attaque qu il va appliquer. La commande passive-interface empêche les routeurs d envoyer des mises à jour de routage à toutes les interfaces, excepté celles configurées pour participer à ces mises à jour. Cette commande doit être exécutée lors de la configuration du protocole RIP. La première commande permet de définir toutes les interfaces en mode passif (l interface reçoit uniquement les mises à jour de routage RIP). La deuxième commande permet de rétablir le mode actif pour certaines interfaces (qui peuvent alors envoyer et recevoir des mises à jour RIP). R1 R1(config)#router rip R1(config-router)#passive-interface default R1(config-router)#no passive-interface s0/0/0 R2 R2(config)#router rip R2(config-router)#passive-interface default R2(config-router)#no passive-interface s0/0/0 R2(config-router)#no passive-interface s0/0/1 R3 R3(config)#router rip R3(config-router)#passive-interface default R3(config-router)#no passive-interface s0/0/1 Étape 2 : prévention de la réception non autorisée des mises à jour RIP Pour sécuriser le protocole RIP, vous devez tout d abord bloquer les mises à jour RIP inutiles. Vous devez ensuite protéger les mises à jour RIP au moyen d un mot de passe. Pour ce faire, vous devez d abord configurer la clé à utiliser. R1(config)#key chain RIP_KEY R1(config-keychain)#key 1 R1(config-keychain-key)#key-string cisco Ces informations doivent être ajoutées à tous les routeurs destinés à recevoir des mises à jour RIP. Ce document contient des informations publiques Cisco. Page 8 sur 50

117 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité R2(config)#key chain RIP_KEY R2(config-keychain)#key 1 R2(config-keychain-key)#key-string cisco R3(config)#key chain RIP_KEY R3(config-keychain)#key 1 R3(config-keychain-key)#key-string cisco Pour utiliser la clé, vous devez configurer chacune des interfaces participant aux mises à jour RIP. Ces interfaces sont celles qui ont été précédemment activées à l aide de la commande no passive-interface. R1 R1(config)#int s0/0/0 R1(config-if)#ip rip authentication mode md5 R1(config-if)#ip rip authentication key-chain RIP_KEY À ce stade, R1 ne reçoit plus les mises à jour RIP issues de R2, étant donné que ce dernier n est pas encore configuré pour utiliser une clé permettant les mises à jour de routage. Vous pouvez observer cette situation sur R1, en exécutant la commande show ip route et en vérifiant qu aucune route provenant de R2 ne figure dans la table de routage. Effacez les routes IP à l aide de la commande clear ip route * ou attendez l expiration de leur délais d attente. R1#show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, *-candidate default, U-per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is not set C C /8 is variably subnetted, 1 subnets, 1 masks /24 is directly connected, Serial0/0/ is directly connected, Serial0/0/0 Pour utiliser l authentification de routage, vous devez configurer R2 et R3. Notez que chaque interface active doit être configurée. R2 R2(config)#int s0/0/0 R2(config-if)#ip rip authentication mode md5 R2(config-if)#ip rip authentication key-chain RIP_KEY R2(config)#int s0/0/1 R2(config-if)#ip rip authentication mode md5 R2(config-if)#ip rip authentication key-chain RIP_KEY R3 R3(config)#int s0/0/1 R3(config-if)#ip rip authentication mode md5 R3(config-if)#ip rip authentication key-chain RIP_KEY Ce document contient des informations publiques Cisco. Page 9 sur 50

118 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Étape 3 : vérification du fonctionnement du routage RIP Une fois les trois routeurs configurés en vue d utiliser l authentification de routage, les tables de routage doivent à nouveau être alimentées avec toutes les routes RIP. À présent, R1 doit disposer de toutes les routes via RIP. Vérifiez cela à l aide de la commande show ip route. R1#show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, *-candidate default, U-per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is not set R C R R C /24 [120/2] via , 00:00:16, Serial0/0/ /24 is directly connected, FastEthernet0/ /24 [120/1] via , 00:00:13, Serial0/0/ /8 is variably subnetted, 2 subnets, 1 masks /24 [120/1] via , 00:00:16, Serial0/0/ /24 is directly connected, Serial0/0/0 Tâche 5 : consignation des activités via le protocole SNMP (Simple Network Management Protocol) Étape 1 : configuration de la consignation via le protocole SNMP vers le serveur syslog Il peut être utile d effectuer une consignation via SNMP dans le cadre de la surveillance de l activité d un réseau. Les informations ainsi consignées peuvent être envoyées vers un serveur syslog du réseau, où elles peuvent être analysées et archivées. Soyez prudent lorsque vous configurez une consignation (syslog) sur le routeur. Lors du choix de l hôte de consignation, rappelez-vous que ce dernier doit être connecté à un réseau fiable ou protégé, ou bien à une interface de routeur dédiée ou isolée. Au cours de ces travaux pratiques, vous apprendrez à configurer l ordinateur PC1 en tant que serveur syslog pour R1. Utilisez la commande logging pour sélectionner l adresse IP du périphérique vers lequel les messages SNMP sont envoyés. Dans l exemple suivant, l adresse IP de PC1 est utilisée. R1(config)#logging Remarque : si vous souhaitez consulter les messages syslog, le logiciel syslog doit être installé et exécuté sur PC1. Dans l étape suivante, vous allez définir le niveau de gravité des messages à envoyer au serveur syslog. Ce document contient des informations publiques Cisco. Page 10 sur 50

119 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Étape 2 : configuration du niveau de gravité SNMP Le niveau des messages SNMP peut être ajusté afin de permettre à l administrateur de déterminer les types de messages envoyés au périphérique syslog. Les routeurs prennent en charge différents niveaux de consignation. Il existe huit niveaux, allant de 0 (Urgence, le système est instable) à 7 (Débogage, des messages contenant des informations sur le routeur sont envoyés). Pour configurer les niveaux de gravité, utilisez le mot clé associé à chaque niveau, comme indiqué dans le tableau ci-dessous. Niveau de gravité Mot clé Description 0 emergencies Système inutilisable 1 alerts Action immédiate requise 2 critical Conditions critiques 3 errors Conditions d erreur 4 warnings Conditions d avertissement 5 notifications Condition normale mais sensible 6 informational Messages informatifs 7 debugging Messages de débogage La commande logging trap permet de définir le niveau de gravité. Le niveau de gravité inclut le niveau spécifié et tout ce qui figure au-dessous (du niveau normal au niveau de gravité spécifié). Définissez R1 sur le niveau 4 pour capturer des messages avec des niveaux de gravité 4, 5, 6 et 7. R1(config)#logging trap warnings Quel est le danger de définir un niveau de gravité trop élevé ou trop faible? Si le niveau de gravité est trop élevé, le routeur peut générer trop de messages qui deviennent alors inutiles. Les messages importants sont plus difficiles à identifier parmi les messages moins utiles. Cela peut également entraîner la congestion du réseau. En revanche, si le niveau de gravité est trop faible, les informations disponibles lorsque vous tentez de résoudre un problème ne sont pas suffisantes. Remarque : si vous avez installé le logiciel syslog sur PC1, lancez-le et consultez les messages générés. Ce document contient des informations publiques Cisco. Page 11 sur 50

120 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Tâche 6 : désactivation des services réseau Cisco inutilisés Étape 1 : désactivation des interfaces inutilisées Pourquoi est-il nécessaire de désactiver les interfaces inutilisées sur les périphériques réseau? Si vous ne désactivez pas les interfaces inutilisées, des personnes non autorisées peuvent accéder au réseau, si elles disposent d un accès physique au périphérique. Si vous les désactivez, en revanche, elles ne pourront pas être utilisées pour des attaques de type Man-In-The-Middle (attaque de l homme du milieu) ou pour la fonction DHCP spoofing. Dans le diagramme de topologie, vous pouvez voir que R1 ne doit utiliser que les interfaces S0/0/0 et Fa0/1. Toutes les autres interfaces sur R1 doivent être désactivées sur le plan administratif, à l aide de la commande de configuration d interface shutdown. R1(config)#interface fastethernet0/0 R1(config-if)#shutdown R1(config-if)# interface s0/0/1 R1(config-if)#shutdown *Sep 10 13:40: : %LINK-5-CHANGED: Interface FastEthernet0/0, changed state to administratively down *Sep 10 13:40: : %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to down Pour vérifier si toutes les interfaces inactives de R1 ont bien été désactivées, utilisez la commande show ip interface brief. Les interfaces désactivées manuellement sont répertoriées comme étant désactivées sur le plan administratif. R1#sh ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES unset administratively down down FastEthernet0/ YES manual up up Serial0/0/ YES manual up up Serial0/0/1 unassigned YES unset administratively down down Étape 2 : désactivation des services globaux inutilisés De nombreux services ne sont pas requis dans la plupart des réseaux modernes. Si les services inutilisés restent activés, les ports restent ouverts et peuvent alors être utilisés pour compromettre un réseau. Désactivez tous les services inutilisés sur R1. R1(config)#no service pad R1(config)#no service finger R1(config)#no service udp-small-server R1(config)#no service tcp-small-server R1(config)#no ip bootp server R1(config)#no ip http server R1(config)#no ip finger R1(config)#no ip source-route R1(config)#no ip gratuitous-arps R1(config)#no cdp run Ce document contient des informations publiques Cisco. Page 12 sur 50

121 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Étape 3 : désactivation des services d interface inutilisés Les commandes ci-après sont saisies au niveau de l interface et doivent être appliquées à chaque interface sur R1. R1(config-if)#no ip redirects R1(config-if)#no ip proxy-arp R1(config-if)#no ip unreachables R1(config-if)#no ip directed-broadcast R1(config-if)#no ip mask-reply R1(config-if)#no mop enabled Quel type d attaque la désactivation des commandes IP redirects, IP unreachables et IP directed broadcasts peut-elle empêcher? Les commandes IP redirects, IP unreachables et IP directed broadcasts sont utilisées dans la protection contre les attaques de reconnaissance. En envoyant des requêtes ping à un grand nombre d adresses, un pirate peut obtenir des informations sur la structure d un réseau. La désactivation de ces services permet de restreindre les informations obtenues par des actions de ce type. Étape 4 : utilisation de la fonction AutoSecure pour sécuriser un routeur Cisco À l aide d une seule commande en mode CLI (Interface de ligne de commande), la fonction AutoSecure vous permet de désactiver les services IP communs pouvant être exploités par des attaques réseau et d activer des fonctions et des services IP pouvant être utiles dans la protection d un réseau lors d une attaque. La fonction AutoSecure simplifie la configuration de la sécurité d un routeur et renforce la configuration de ce même routeur. Elle vous permet d appliquer plus rapidement les mêmes fonctions de sécurité que celles que vous venez d appliquer (sauf pour la sécurisation du protocole RIP) à un routeur. Comme vous avez déjà sécurisé R1, utilisez la commande auto secure sur R3. R3#auto secure --- AutoSecure Configuration --- *** AutoSecure configuration enhances the security of the router, but it will not make it absolutely resistant to all security attacks *** AutoSecure will modify the configuration of your device. All configuration changes will be shown. For a detailed explanation of how the configuration changes enhance security and any possible side effects, please refer to Cisco.com for Autosecure documentation. At any prompt you may enter '?' for help. Use ctrl-c to abort this session at any prompt. Gathering information about the router for AutoSecure Is this router connected to internet? [no]: yes Enter the number of interfaces facing the internet [1]: 1 Ce document contient des informations publiques Cisco. Page 13 sur 50

122 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES unset down down FastEthernet0/ YES manual up up Serial0/0/0 unassigned YES manual down down Serial0/0/ YES manual up up Enter the interface name that is facing the internet: Serial0/0/1 Securing Management plane services... Disabling service finger Disabling service pad Disabling udp & tcp small servers Enabling service password encryption Enabling service tcp-keepalives-in Enabling service tcp-keepalives-out Disabling the cdp protocol Disabling the bootp server Disabling the http server Disabling the finger service Disabling source routing Disabling gratuitous arp Enable secret is either not configured or Is the same as enable password Enter the new enable password: ciscoccna Confirm the enable password: ciscoccna Enter the new enable password: ccnacisco Confirm the enable password: ccnacisco Configuration of local user database Enter the username: ccna Enter the password: ciscoccna Confirm the password: ciscoccna Configuring AAA local authentication Configuring Console, Aux and VTY lines for local authentication, exec-timeout, and transport Securing device against Login Attacks Configure the following parameters Blocking Period when Login Attack detected: 300 Maximum Login failures with the device: 5 Maximum time period for crossing the failed login attempts: 120 Configure SSH server? Yes Enter domain-name: cisco.com Configuring interface specific AutoSecure services Disabling the following ip services on all interfaces: no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply Disabling mop on Ethernet interfaces Ce document contient des informations publiques Cisco. Page 14 sur 50

123 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Securing Forwarding plane services... Enabling CEF (This might impact the memory requirements for your platform) Enabling unicast rpf on all interfaces connected to internet Configure CBAC firewall feature: no Tcp intercept feature is used prevent tcp syn attack On the servers in the network. Create autosec_tcp_intercept_list To form the list of servers to which the tcp traffic is to be observed Enable TCP intercept feature: yes This is the configuration generated: no service finger no service pad no service udp-small-servers no service tcp-small-servers service password-encryption service tcp-keepalives-in service tcp-keepalives-out no cdp run no ip bootp server no ip http server no ip finger no ip source-route no ip gratuitous-arps no ip identd security passwords min-length 6 security authentication failure rate 10 log enable password 7 070C285F4D061A username ccna password C2E4F4D0718 aaa new-model aaa authentication login local_auth local line con 0 login authentication local_auth exec-timeout 5 0 transport output telnet line aux 0 login authentication local_auth exec-timeout 10 0 transport output telnet line vty 0 4 login authentication local_auth transport input telnet line tty 1 login authentication local_auth exec-timeout 15 0 line tty 192 login authentication local_auth exec-timeout 15 0 login block-for 300 attempts 5 within 120 service timestamps debug datetime msec localtime show-timezone service timestamps log datetime msec localtime show-timezone logging facility local2 Ce document contient des informations publiques Cisco. Page 15 sur 50

124 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité logging trap debugging service sequence-numbers logging console critical logging buffered interface FastEthernet0/0 no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply no mop enabled interface FastEthernet0/1 no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply no mop enabled interface Serial0/0/0 no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply interface Serial0/0/1 no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply interface Serial0/1/0 no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply interface Serial0/1/1 no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply ip cef access-list 100 permit udp any any eq bootpc interface Serial0/0/1 ip verify unicast source reachable-via rx allow-default 100 ip tcp intercept list autosec_tcp_intercept_list ip tcp intercept drop-mode random ip tcp intercept watch-timeout 15 ip tcp intercept connection-timeout 3600 ip tcp intercept max-incomplete low 450 ip tcp intercept max-incomplete high 550 end Apply this configuration to running-config? [yes]:yes Ce document contient des informations publiques Cisco. Page 16 sur 50

125 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité The name for the keys will be: R3.cisco.com % The key modulus size is 1024 bits % Generating 1024 bit RSA keys, keys will be non-exportable...[ok] R3# : *Nov 16 15:39: UTC: %AUTOSEC-1-MODIFIED: AutoSecure configuration has been Modified on this device Comme vous pouvez le constater, la fonction AutoSecure permet une configuration plus rapide qu une configuration ligne par ligne. Toutefois, la configuration manuelle présente également des avantages, que nous aborderons dans les travaux pratiques relatifs au dépannage. Lorsque vous utilisez la fonction AutoSecure, il se peut que vous désactiviez un service dont vous avez besoin. Soyez toujours très prudent et déterminez soigneusement les services dont vous avez besoin avant d utiliser AutoSecure. Tâche 7 : gestion de Cisco IOS et des fichiers de configuration Étape 1 : affichage des fichiers IOS Cisco IOS est le logiciel qui permet aux routeurs de fonctionner. Il se peut que votre routeur dispose de suffisamment de mémoire pour stocker plusieurs images Cisco IOS. Il est important de savoir quels fichiers sont stockés sur votre routeur. Exécutez la commande show flash pour afficher le contenu de la mémoire flash de votre routeur. Attention : soyez très prudent lorsque vous exécutez des commandes impliquant la mémoire flash. Une erreur dans la saisie d une commande peut entraîner la suppression de l image Cisco IOS. R2#show flash -#- --length date/time path May :25:14 +00:00 c1841-ipbase-mz.124-1c.bin May :40:28 +00:00 sdmconfig-18xx.cfg May :41:02 +00:00 sdm.tar May :41:24 +00:00 es.tar May :41:48 +00:00 common.tar bytes available ( bytes used) En parcourant cette liste, vous pouvez déjà déterminer les éléments suivants : L image est destinée à un routeur 1841 (c1841-ipbase-mz.124-1c.bin). Le routeur utilise une image de base IP (c1841-ipbase-mz.124-1c.bin). La version du logiciel Cisco IOS est 12.4(1c) (c1841-ipbase-mz.124-1c.bin). SDM est installé sur ce périphérique (sdmconfig-18xx.cfg, sdm.tar). Vous pouvez utiliser la commande dir all pour afficher tous les fichiers sur le routeur. R2#dir all Directory of archive:/ No files in directory No space information available Directory of system:/ 3 dr-x 0 <no date> memory 1 -rw- 979 <no date> running-config Ce document contient des informations publiques Cisco. Page 17 sur 50

126 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité 2 dr-x 0 <no date> vfiles No space information available Directory of nvram:/ 189 -rw- 979 <no date> startup-config <no date> private-config 191 -rw- 979 <no date> underlying-config 1 -rw- 0 <no date> ifindex-table bytes total ( bytes free) Directory of flash:/ 1 -rw May :08:50 +00:00 c1841-ipbase-mz.124-1c.bin 2 -rw May :25:00 +00:00 sdmconfig-18xx.cfg 3 -rw May :25:38 +00:00 sdm.tar 4 -rw May :26:02 +00:00 es.tar 5 -rw May :26:30 +00:00 common.tar 6 -rw May :26:56 +00:00 home.shtml 7 -rw May :27:20 +00:00 home.tar 8 -rw May :27:50 +00:00 128MB.sdf 9 rw May :29:08 +00:00 sslclient-win pkg 10 -rw May :28:32 +00:00 securedesktop-ios k9.pkg bytes total ( bytes free) Étape 2 : transfert des fichiers via le protocole TFTP Le protocole TFTP est utilisé lors de l archivage et de la mise à jour du logiciel Cisco IOS d un périphérique. Cependant, dans ces travaux pratiques, nous n utilisons pas des fichiers Cisco IOS réels car toute erreur commise lors de la saisie d une commande peut entraîner la suppression de l image Cisco IOS du périphérique. À la fin de cette section, vous trouverez un exemple de transfert TFTP de fichiers Cisco IOS. Pourquoi est-il important de disposer d une version actualisée du logiciel Cisco IOS? La mise à jour du logiciel peut permettre de corriger un bogue ou de remplacer une version qui n est plus prise en charge. Une version mise à jour permet de garantir que les derniers correctifs de sécurité sont inclus dans le logiciel Cisco IOS exécuté. Lors d un transfert de fichiers via TFTP, il est important de vérifier la communication entre le serveur TFTP et le routeur. Pour ce faire, exécutez une requête ping entre ces deux périphériques. Pour commencer le transfert du logiciel Cisco IOS, créez un fichier nommé test sur le serveur TFTP, dans le dossier racine TFTP. Ce fichier peut être vide, car cette étape sert uniquement à illustrer les étapes effectuées. Chaque programme TFTP stocke les fichiers dans un emplacement différent. Consultez le fichier d aide du serveur TFTP pour déterminer le dossier racine. À partir de R1, procédez à l extraction du fichier et enregistrez-le dans la mémoire flash. Ce document contient des informations publiques Cisco. Page 18 sur 50

127 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité R2#copy tftp flash Address or name of remote host []? (adresse IP du serveur TFTP) Source filename []? Test (nom du fichier que vous avez créé et enregistré sur le serveur TFTP) Destination filename [test]? test-server (nom arbitrairement attribué au fichier lors de son enregistrement sur le routeur) Accessing tftp:// /test... Loading test from (via FastEthernet0/1): [OK bytes] 1192 bytes copied in secs (2811 bytes/sec) Vérifiez l existence du fichier dans la mémoire flash à l aide de la commande show flash. R2#show flash -#- --length date/time path May :13:20 +00:00 c1841-ipbase-mz.124-1c.bin May :29:36 +00:00 sdmconfig-18xx.cfg May :30:14 +00:00 sdm.tar May :30:42 +00:00 es.tar May :31:10 +00:00 common.tar May :31:36 +00:00 home.shtml May :32:02 +00:00 home.tar May :32:30 +00:00 128MB.sdf May :33:16 +00:00 securedesktop-ios k9.pkg May :33:50 +00:00 sslclient-win pkg Sep :38:18 +00:00 test-server bytes available ( bytes used) Les routeurs peuvent également agir comme des serveurs TFTP. Cela peut être utile si un périphérique a besoin d une image et que l un de vos périphériques utilise déjà cette image. Configurons R2 en tant que serveur TFTP de R1. Notez que les images Cisco IOS sont spécifiques aux plates-formes de routeur et aux besoins en matière de mémoire. Soyez prudent lorsque vous transférez une image Cisco IOS d un routeur à l autre. La syntaxe de commande est la suivante : tftp-server nvram: [nomfichier1 [alias nomfichier2] La commande ci-après permet de configurer R2 en tant que serveur TFTP. R2 envoie son fichier de configuration de démarrage aux périphériques qui le demandent, via TFTP (nous utilisons la configuration de démarrage pour une question de simplicité). Le mot-clé alias permet aux périphériques de demander le fichier en utilisant l alias test au lieu du nom de fichier complet. R2(config)#tftp-server nvram:startup-config alias test À présent, nous pouvons demander le fichier à partir de R2 en utilisant R1. R1#copy tftp flash Address or name of remote host []? Source filename []? test Destination filename []? test-router Accessing tftp:// /test... Loading test from (via Serial0/0/0): [OK bytes] 1192 bytes copied in secs (2637 bytes/sec) Ce document contient des informations publiques Cisco. Page 19 sur 50

128 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Vérifiez une nouvelle fois que le fichier test a été correctement copié à l aide de la commande show flash. R1#show flash -#- --length date/time path May :13:20 +00:00 c1841-ipbase-mz.124-1c.bin May :29:36 +00:00 sdmconfig-18xx.cfg May :30:14 +00:00 sdm.tar May :30:42 +00:00 es.tar May :31:10 +00:00 common.tar May :31:36 +00:00 home.shtml May :32:02 +00:00 home.tar May :32:30 +00:00 128MB.sdf May :33:16 +00:00 securedesktop-ios k9.pkg May :33:50 +00:00 sslclient-win pkg Sep :38:18 +00:00 test-server Sep :51:04 +00:00 test-router bytes available ( bytes used) À présent, supprimez les fichiers inutiles de la mémoire flash de R1, pour éviter d utiliser trop d espace mémoire. Soyez particulièrement prudent lorsque vous effectuez cette opération La suppression accidentelle de la mémoire flash vous obligerait à réinstaller l ensemble de l image IOS du routeur. Si le routeur vous invite à supprimer la mémoire flash, via erase flash, cela indique qu il se passe quelque chose d anormal. Il est extrêmement rare de devoir supprimer l'ensemble de la mémoire flash. Le seul cas légitime où cela peut se produire est lors de la mise à niveau du système IOS vers une grande image IOS. Si l invite erase flash s affiche comme dans l exemple, ARRÊTEZ IMMÉDIATEMENT. Ne validez PAS. Demandez IMMÉDIATEMENT l aide de votre formateur. Erase flash:?[confirm] no R1#delete flash:test-server Delete filename [test-server]? Delete flash:test? [confirm] R1#delete flash:test-router Delete filename [test-router]? Delete flash:test-router? [confirm] Vérifiez que les fichiers ont été supprimés à l aide de la commande show flash. Ceci est seulement un exemple. N effectuez pas cette tâche. R1#show flash -#- --length date/time path May :13:20 +00:00 c1841-ipbase-mz.124-1c.bin May :29:36 +00:00 sdmconfig-18xx.cfg May :30:14 +00:00 sdm.tar May :30:42 +00:00 es.tar May :31:10 +00:00 common.tar May :31:36 +00:00 home.shtml May :32:02 +00:00 home.tar May :32:30 +00:00 128MB.sdf May :33:16 +00:00 securedesktop-ios k9.pkg May :33:50 +00:00 sslclient-win pkg bytes available ( bytes used) Ce document contient des informations publiques Cisco. Page 20 sur 50

129 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Voici un exemple de transfert TFTP d un fichier d image Cisco IOS. N effectuez PAS cet exemple sur vos routeurs. Lisez-le simplement. R1#copy tftp flash Address or name of remote host []? Source filename []? c1841-ipbase-mz.124-1c.bin Destination filename []? flash:c1841-ipbase-mz.124-1c.bin Accessing tftp:// /c1841-ipbase-mz.124-1c.bin... Loading c1841-ipbase-mz.124-1c.bin from (via Serial0/0/0): <résultat omis> [OK bytes] bytes copied in secs (12512 bytes/sec) Étape 3 : restauration d un mot de passe à l aide de ROMmon Si, pour une raison quelconque, vous ne parvenez plus à accéder à un périphérique car vous ignorez, avez perdu ou oublié le mot de passe, vous pouvez encore y accéder en modifiant le registre de configuration. Le registre de configuration indique au routeur la configuration à charger lors du démarrage. Dans le registre de configuration, vous pouvez demander au routeur de démarrer à partir d une configuration vierge, non protégée par un mot de passe. Pour modifier le registre de configuration, la première étape consiste à afficher le paramètre actuel, à l aide de la commande show version. Ces opérations sont exécutées sur le routeur R3. R3#show version Cisco IOS Software, 1841 Software (C1841-IPBASE-M), Version 12.4(1c), RELEASE SOFTWARE (fc1) Technical Support: Copyright (c) by Cisco Systems, Inc. Compiled Tue 25-Oct-05 17:10 by evmiller ROM: System Bootstrap, Version 12.4(13r)T, RELEASE SOFTWARE (fc1) R3 uptime is 25 minutes System returned to ROM by reload at 08:56:50 UTC Wed Sep System image file is "flash:c1841-ipbase-mz.124-1c.bin" Cisco 1841 (revision 7.0) with K/16384K bytes of memory. Processor board ID FTX1118X0BN 2 FastEthernet interfaces 2 Low-speed serial(sync/async) interfaces DRAM configuration is 64 bits wide with parity disabled. 191K bytes of NVRAM K bytes of ATA CompactFlash (Read/Write) Configuration register is 0x2102 La seconde étape consiste à recharger le routeur et à appuyer sur la touche Pause, lors du démarrage. L emplacement de la touche Pause est différente d un ordinateur à l autre. En général, elle se trouve dans le coin supérieur droit du clavier. Une pause permet au périphérique de basculer en mode appelé ROMmon. Dans ce mode, il n est pas nécessaire que le périphérique ait accès à un fichier d image Cisco IOS. Ce document contient des informations publiques Cisco. Page 21 sur 50

130 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité R3#reload Proceed with reload? [confirm] *Sep 12 08:27: : %SYS-5-RELOAD: Reload requested by console. Reload Reason: Reload command. System Bootstrap, Version 12.4(13r)T, RELEASE SOFTWARE (fc1) Technical Support: Copyright (c) 2006 by cisco Systems, Inc. PLD version 0x10 GIO ASIC version 0x127 c1841 platform with Kbytes of main memory Main memory is configured to 64 bit mode with parity disabled Readonly ROMMON initialized rommon 1 > Modifiez la valeur du registre de configuration par une valeur permettant de charger la configuration initiale du routeur. Cette configuration ne dispose pas de mot de passe configuré, mais elle prend en charge les commandes Cisco IOS. Définissez la valeur du registre de configuration sur 0x2142. rommon 1 > confreg 0x2142 La valeur du registre étant modifiée, vous pouvez démarrer le périphérique à l aide de la commande reset. rommon 2 > reset program load complete, entry point: 0x8000f000, size: 0xcb80 program load complete, entry point: 0x8000f000, size: 0xcb80 program load complete, entry point: 0x8000f000, size: 0xd4a9a0 Self decompressing the image : ########################################################### ############################################################################# # [OK] <résultat omis> --- System Configuration Dialog --- Would you like to enter the initial configuration dialog? [yes/no]: no Press RETURN to get started Étape 4 : restauration du routeur À présent, copiez la configuration de démarrage vers la configuration en cours, restaurez cette configuration, puis rétablissez le registre de configuration à sa valeur par défaut (0x2102). Pour copier la configuration de démarrage de la mémoire NVRAM vers la mémoire en cours, entrez la commande copy startup-config running-config. Attention : ne saisissez pas la commande copy running-config startup-config, car vous risquez de supprimer la configuration de démarrage. Router#copy startup-config running-config Destination filename [running-config]? {enter} Ce document contient des informations publiques Cisco. Page 22 sur 50

131 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité 2261 bytes copied in secs (3925 bytes/sec) R3#:show running-config <résultat omis> enable secret 5 $1$31P/$cyPgoxc0R9y93Ps/N3/kg. <résultat omis> key chain RIP_KEY key 1 key-string F username ccna password 7 094F471A1A0A D interface FastEthernet0/1 ip address no ip redirects no ip unreachables no ip proxy-arp no ip directed-broadcast shutdown duplex auto speed auto interface Serial0/0/1 ip address no ip redirects no ip unreachables no ip proxy-arp no ip directed-broadcast shutdown ip rip authentication mode md5 ip rip authentication key-chain RIP_KEY <résultat omis> line con 0 exec-timeout 5 0 login authentication transport output telnet line aux 0 exec-timeout 15 0 login authentication local_auth transport output telnet line vty 0 4 exec-timeout 15 0 login authentication local_auth transport input telnet end Ce document contient des informations publiques Cisco. Page 23 sur 50

132 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Dans cette configuration, la commande shutdown s affiche sur toutes les interfaces, car ces interfaces sont toutes fermées. Le plus important est que vous puissiez voir les mots de passe (enable, enable secret, VTY, console) au format chiffré ou non. Vous pouvez réutiliser les mots de passe non chiffrés. Vous devez remplacer les mots de passe chiffrés par un nouveau mot de passe. R3#configure terminal Enter configuration commands, one per line. End with CNTL/Z. R3(config)#enable secret ciscoccna R3(config)#username ccna password ciscoccna Exécutez la commande no shutdown sur chaque interface que vous souhaitez utiliser. R3(config)#interface FastEthernet0/1 R3(config-if)#no shutdown R3(config)#interface Serial0/0/0 R3(config-if)#no shutdown Vous pouvez exécuter une commande show ip interface brief afin de confirmer que la configuration de votre interface est correcte. Chacune des interfaces que vous souhaitez utiliser doit afficher «up». R3#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES NVRAM administratively down down FastEthernet0/ YES NVRAM up up Serial0/0/ YES NVRAM up up Serial0/0/1 unassigned YES NVRAM administratively down down Entrez la commande config-register valeur du registre de configuration. La variable valeur du registre de configuration peut être la valeur que vous avez notée à l étape 3 ou 0x2102. Enregistrez la configuration en cours. R3(config)#config-register 0x2102 R3(config)#end R3#copy running-config startup-config Destination filename [startup-config]? Building configuration... [OK] Quels sont les inconvénients d une récupération de mot de passe? Tout d abord, si vos mots de passe sont chiffrés, vous ne pouvez ni les visualiser ni les récupérer. C est la raison pour laquelle vous devez toujours disposer d une sauvegarde de toutes les configurations en cours, pour les périphériques d un réseau de production. Il existe un second inconvénient : toute personne ayant physiquement accès à un périphérique peut effectuer ces étapes et en prendre le contrôle. Par conséquent, la sécurité physique des périphériques réseau est primordiale. Configurations pour la partie 1 R1 no service pad service timestamps debug datetime msec Ce document contient des informations publiques Cisco. Page 24 sur 50

133 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité service timestamps log datetime msec service password-encryption hostname R1 security authentication failure rate 5 log enable secret 5 $1$0Ch/$fp.BLSjtqOwxL7VyBwURB1 aaa new-model aaa authentication login LOCAL_AUTH local aaa session-id common resource policy memory-size iomem 10 no ip source-route no ip gratuitous-arps no ip bootp server no ip domain lookup login block-for 300 attempts 2 within 120 key chain RIP_KEY key 1 key-string F1C2243 username ccna password 7 070C285F4D061A interface FastEthernet0/0 no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown duplex auto speed auto no mop enabled interface FastEthernet0/1 ip address no ip redirects no ip unreachables no ip proxy-arp duplex auto speed auto no mop enabled interface Serial0/0/0 ip address no ip redirects no ip unreachables no ip proxy-arp ip rip authentication mode md5 Ce document contient des informations publiques Cisco. Page 25 sur 50

134 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité ip rip authentication key-chain RIP_KEY clock rate interface Serial0/0/1 no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown router rip version 2 passive-interface default no passive-interface Serial0/0/0 network network no auto-summary no ip http server no ip http secure-server logging trap warnings logging no cdp run banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law.^c line con 0 exec-timeout 5 0 login authentication LOCAL_AUTH line aux 0 line vty 0 4 exec-timeout 5 0 login authentication LOCAL_AUTH scheduler allocate end R2 hostname R2 no ip domain lookup key chain RIP_KEY key 1 key-string cisco interface Loopback0 ip address interface FastEthernet0/0 no ip address shutdown Ce document contient des informations publiques Cisco. Page 26 sur 50

135 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité duplex auto speed auto interface FastEthernet0/1 ip address duplex auto speed auto interface Serial0/0/0 ip address ip rip authentication mode md5 ip rip authentication key-chain RIP_KEY interface Serial0/0/1 ip address ip rip authentication mode md5 ip rip authentication key-chain RIP_KEY clock rate router rip version 2 passive-interface default no passive-interface Serial0/0/0 no passive-interface Serial0/0/1 network network network no auto-summary no ip http server no ip http secure-server banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law.^c line con 0 line aux 0 line vty 0 4 login end R3 no service pad service tcp-keepalives-in service tcp-keepalives-out service timestamps debug datetime msec localtime show-timezone service timestamps log datetime msec localtime show-timezone service password-encryption service sequence-numbers hostname R3 security authentication failure rate 10 log security passwords min-length 6 Ce document contient des informations publiques Cisco. Page 27 sur 50

136 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité logging buffered 4096 debugging logging console critical enable secret 5 $1$ZT.e$0rWCK4DgdK5sz7tThM16S0 enable password D aaa new-model aaa authentication login local_auth local aaa session-id common no ip source-route no ip gratuitous-arps ip tcp intercept list autosec_tcp_intercept_list ip tcp intercept connection-timeout 3600 ip tcp intercept watch-timeout 15 ip tcp intercept max-incomplete low 450 ip tcp intercept max-incomplete high 550 ip tcp intercept drop-mode random no ip bootp server no ip domain lookup ip domain name cisco.com ip ssh time-out 60 ip ssh authentication-retries 2 login block-for 300 attempts 5 within 120 key chain RIP_KEY key 1 key-string F1C2243 username ccna password 7 070C285F4D061A archive log config logging enable interface FastEthernet0/0 no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown duplex auto speed auto no mop enabled interface FastEthernet0/1 ip address no ip redirects no ip unreachables no ip proxy-arp duplex auto speed auto no mop enabled interface Serial0/0/0 Ce document contient des informations publiques Cisco. Page 28 sur 50

137 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown clock rate interface Serial0/0/1 ip address ip verify unicast source reachable-via rx allow-default 100 no ip redirects no ip unreachables no ip proxy-arp ip rip authentication mode md5 ip rip authentication key-chain RIP_KEY interface Serial0/1/0 no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown clock rate interface Serial0/1/1 no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown clock rate router rip version 2 passive-interface default no passive-interface Serial0/0/1 network network no auto-summary no ip http server no ip http secure-server logging trap debugging logging facility local2 access-list 100 permit udp any any eq bootpc no cdp run banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law.^c line con 0 exec-timeout 5 0 login authentication local_auth transport output telnet line aux 0 Ce document contient des informations publiques Cisco. Page 29 sur 50

138 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité exec-timeout 15 0 login authentication local_auth transport output telnet line vty 0 4 login authentication local_auth transport input telnet ssh scheduler allocate end Tâche 8 : utilisation de SDM pour la sécurisation d un routeur Si SDM n est pas installé sur les routeurs, reportez-vous à l annexe «Installation de SDM», qui contient les instructions relatives à son installation. Ces dernières ne figurent pas dans la version destinée aux participants. Au cours de cette tâche, vous allez utiliser SDM (Security Device Manager) et l interface utilisateur graphique pour sécuriser le routeur R2. L utilisation de SDM est plus rapide que la saisie de chaque commande et vous permet davantage de contrôle que la fonction AutoSecure. Vérifiez si SDM est installé sur le routeur : R2#show flash -#- --length date/time path Sep :31:42 +00:00 c1841-ipbase-mz.124-1c.bin May :29:36 +00:00 sdmconfig-18xx.cfg May :30:14 +00:00 sdm.tar May :30:42 +00:00 es.tar May :31:10 +00:00 common.tar May :31:36 +00:00 home.shtml May :32:02 +00:00 home.tar May :32:30 +00:00 128MB.sdf May :33:16 +00:00 securedesktop-ios k9.pkg May :33:50 +00:00 sslclient-win pkg Sep :20:16 +00:00 Tr(RIP) Sep :11:58 +00:00 save.txt Si SDM N est PAS installé sur le routeur, vous devez l installer pour continuer la procédure. Pour ce faire, demandez les instructions à votre formateur. Étape 1 : connexion à R2 via le serveur TFTP Créez un nom d utilisateur et un mot de passe sur R2. R2(config)#username ccna password ciscoccna Activez le serveur sécurisé http sur R2, puis connectez-vous à R2 à l aide d un navigateur Web sur le serveur TFTP. R2(config)#ip http secure-server % Generating 1024 bit RSA keys, keys will be non-exportable...[ok] R2(config)# *Nov 16 16:01:07.763: %SSH-5-ENABLED: SSH 1.99 has been enabled *Nov 16 16:01:08.731: %PKI-4-NOAUTOSAVE: Configuration was modified. Issue "write memory" to save new certificate R2(config)#end R2#copy run start Ce document contient des informations publiques Cisco. Page 30 sur 50

139 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité À partir du serveur TFTP, ouvrez un navigateur Web et accédez à Connectez-vous avec le nom d utilisateur et le mot de passe créés précédemment : Nom d utilisateur : ccna Mot de passe : ciscoccna Sélectionnez l application Cisco Router and Security Device Manager. Ouvrez Internet Explorer et entrez l adresse IP de R2 dans la barre d adresse. Une nouvelle fenêtre s ouvre. Assurez-vous que tous les bloqueurs de fenêtre publicitaire intempestive sont désactivés sur votre navigateur. Assurez-vous également que JAVA est bien installé et mis à jour. Une fois le chargement effectué, une nouvelle fenêtre SDM s ouvre. Ce document contient des informations publiques Cisco. Page 31 sur 50

140 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Étape 2 : accès à la fonction d audit de sécurité Cliquez sur le bouton Configure dans la partie supérieure gauche de la fenêtre. Cliquez ensuite sur Security Audit, dans le panneau de gauche. Une autre fenêtre s ouvre. Étape 3 : exécution d un audit de sécurité Une brève présentation de la fonction d audit de sécurité s affiche. Cliquez sur Next pour ouvrir la fenêtre de configuration de l interface de la fonction d audit de sécurité, Security Audit Interface configuration. Ce document contient des informations publiques Cisco. Page 32 sur 50

141 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Une interface doit être définie sur Outside (Untrusted) (non fiable) si vous ne pouvez garantir la légitimité du trafic issu de cette interface. Dans cet exemple, les interfaces FastEthernet0/1 et Serial0/1/0 ne sont pas fiables. D une part, Serial0/1/0 est directement connecté à Internet. D autre part, Fastethernet0/1 est connecté à la partie accès au réseau. Un trafic illégitime peut donc s infiltrer. Après avoir défini les interfaces sur Outside (extérieure) et Inside (intérieure), cliquez sur Next. Une nouvelle fenêtre s ouvre, indiquant que SDM est en train d effectuer un audit de sécurité. Comme vous pouvez le constater, la configuration par défaut n est pas sécurisée. Cliquez sur le bouton Close pour continuer. Ce document contient des informations publiques Cisco. Page 33 sur 50

142 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Étape 4 : application des paramètres au routeur Cliquez sur le bouton Fix All pour appliquer toutes les corrections de sécurité proposées. Ensuite, cliquez sur le bouton Next. Configurez un message de bannière à utiliser comme message du jour pour le routeur, puis cliquez sur Next. Ce document contient des informations publiques Cisco. Page 34 sur 50

143 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Déterminez ensuite le niveau de gravité des journaux de déroutement que le routeur devra envoyer au serveur syslog. Dans ce scénario, le niveau de gravité est défini sur le débogage. Cliquez sur Next pour afficher un récapitulatif des modifications sur le point d être apportées au routeur. Étape 5 : validation de la configuration du routeur Après avoir vérifié les modifications sur le point d être effectuées, cliquez sur Finish. Ce document contient des informations publiques Cisco. Page 35 sur 50

144 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Cliquez sur OK pour quitter SDM. Tâche 9 : documentation des configurations des routeurs Exécutez la commande show run sur chaque routeur et capturez les configurations. R1 no service pad service timestamps debug datetime msec service timestamps log datetime msec service password-encryption hostname R1 security authentication failure rate 5 log enable secret 5 $1$0Ch/$fp.BLSjtqOwxL7VyBwURB1 aaa new-model aaa authentication login LOCAL_AUTH local aaa session-id common resource policy Ce document contient des informations publiques Cisco. Page 36 sur 50

145 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité memory-size iomem 10 no ip source-route no ip gratuitous-arps no ip bootp server no ip domain lookup login block-for 300 attempts 2 within 120 key chain RIP_KEY key 1 key-string F1C2243 username ccna password 7 070C285F4D061A interface FastEthernet0/0 no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown duplex auto speed auto no mop enabled interface FastEthernet0/1 ip address no ip redirects no ip unreachables no ip proxy-arp duplex auto speed auto no mop enabled interface Serial0/0/0 ip address no ip redirects no ip unreachables no ip proxy-arp ip rip authentication mode md5 ip rip authentication key-chain RIP_KEY clock rate interface Serial0/0/1 no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown router rip version 2 passive-interface default no passive-interface Serial0/0/0 network network Ce document contient des informations publiques Cisco. Page 37 sur 50

146 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité no auto-summary no ip http server no ip http secure-server logging trap warnings logging no cdp run banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law.^c line con 0 exec-timeout 5 0 login authentication LOCAL_AUTH line aux 0 line vty 0 4 exec-timeout 5 0 login authentication LOCAL_AUTH scheduler allocate end R2 no service pad service timestamps debug datetime msec service timestamps log datetime msec service password-encryption no service finger no service udp-small-server no service tcp-small-server hostname R2 no ip domain-lookup banner motd ^Unauthorized access strictly prohibited and prosecuted to the full extent of the law.^ security authentication failure rate 10 log security passwords min-length 6 enable secret ciscoccna aaa new-model aaa authentication login local_auth local aaa session-id common mmi polling-interval 60 no mmi auto-configure no mmi pvc mmi snmp-timeout 180 ip subnet-zero no ip source-route Ce document contient des informations publiques Cisco. Page 38 sur 50

147 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité no ip gratuitous-arps no ip finger no ip dhcp use vrf connected no ip bootp server key chain RIP_KEY key 1 key-string cisco username ccna password ciscoccna interface Loopback0 ip address interface FastEthernet0/1 ip address no ip redirects no ip unreachables no ip proxy-arp no ip directed-broadcast duplex auto speed auto no shutdown interface Serial0/0/0 ip address no ip redirects no ip unreachables no ip proxy-arp no ip directed-broadcast ip rip authentication mode md5 ip rip authentication key-chain RIP_KEY no fair-queue interface Serial0/0/1 ip address no ip redirects no ip unreachables no ip proxy-arp no ip directed-broadcast ip rip authentication mode md5 ip rip authentication key-chain RIP_KEY clockrate no shutdown router rip version 2 passive-interface default no passive-interface Serial0/0/1 network network network no auto-summary no ip http server Ce document contient des informations publiques Cisco. Page 39 sur 50

148 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité login block-for 300 attempt 2 within 120 logging trap debugging logging no cdp run line con 0 exec-timeout 5 0 login authentication local_auth transport output telnet line aux 0 exec-timeout 15 0 login authentication local_auth transport output telnet line vty 0 4 exec-timeout 15 0 login authentication local_auth transport input telnet end R3 no service pad service tcp-keepalives-in service tcp-keepalives-out service timestamps debug datetime msec localtime show-timezone service timestamps log datetime msec localtime show-timezone service password-encryption service sequence-numbers hostname R3 security authentication failure rate 10 log security passwords min-length 6 logging buffered 4096 debugging logging console critical enable secret 5 $1$ZT.e$0rWCK4DgdK5sz7tThM16S0 enable password D aaa new-model aaa authentication login local_auth local aaa session-id common no ip source-route no ip gratuitous-arps ip tcp intercept list autosec_tcp_intercept_list ip tcp intercept connection-timeout 3600 ip tcp intercept watch-timeout 15 Ce document contient des informations publiques Cisco. Page 40 sur 50

149 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité ip tcp intercept max-incomplete low 450 ip tcp intercept max-incomplete high 550 ip tcp intercept drop-mode random no ip bootp server no ip domain lookup ip domain name cisco.com ip ssh time-out 60 ip ssh authentication-retries 2 login block-for 300 attempts 5 within 120 key chain RIP_KEY key 1 key-string F1C2243 username ccna password 7 070C285F4D061A archive log config logging enable interface FastEthernet0/0 no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown duplex auto speed auto no mop enabled interface FastEthernet0/1 ip address no ip redirects no ip unreachables no ip proxy-arp duplex auto speed auto no mop enabled interface Serial0/0/0 no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown clock rate interface Serial0/0/1 ip address ip verify unicast source reachable-via rx allow-default 100 no ip redirects no ip unreachables no ip proxy-arp ip rip authentication mode md5 ip rip authentication key-chain RIP_KEY Ce document contient des informations publiques Cisco. Page 41 sur 50

150 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité interface Serial0/1/0 no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown clock rate interface Serial0/1/1 no ip address no ip redirects no ip unreachables no ip proxy-arp shutdown clock rate router rip version 2 passive-interface default no passive-interface Serial0/0/1 network network no auto-summary no ip http server no ip http secure-server logging trap debugging logging facility local2 access-list 100 permit udp any any eq bootpc no cdp run banner motd ^CUnauthorized access strictly prohibited and prosecuted to the full extent of the law.^c line con 0 exec-timeout 5 0 login authentication local_auth transport output telnet line aux 0 exec-timeout 15 0 login authentication local_auth transport output telnet line vty 0 4 login authentication local_auth transport input telnet ssh scheduler allocate end Tâche 10 : remise en état Supprimez les configurations et rechargez les routeurs. Déconnectez le câblage et stockez-le dans un endroit sécurisé. Reconnectez le câblage souhaité et restaurez les paramètres TCP/IP pour les PC hôtes habituellement connectés aux autres réseaux (réseaux locaux de votre site ou Internet). Ce document contient des informations publiques Cisco. Page 42 sur 50

151 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Annexe : installation de SDM Diagramme de topologie Scénario Au cours de ces travaux pratiques, vous allez préparer l accès au routeur via Cisco Security Device Manager (SDM), à l aide de commandes de base, afin d établir une connectivité entre SDM et le routeur. Vous installerez ensuite l application SDM en local sur votre PC hôte. Enfin, vous installerez SDM dans la mémoire flash d un routeur. Étape 1 : préparation Pour commencer ces travaux pratiques, supprimez toutes les configurations existantes et rechargez les périphériques. Une fois les périphériques rechargés, définissez les noms d'hôte appropriés. Vérifiez si le commutateur est correctement configuré, de sorte que le routeur et l hôte soient situés sur le même réseau local virtuel. Par défaut, tous les ports du commutateur sont assignés au réseau local virtuel VLAN 1. Assurez-vous que votre PC dispose de la configuration minimale requise pour la prise en charge de SDM. SDM peut être installé sur un PC exécutant l un des systèmes d exploitation suivants : Microsoft Windows ME Microsoft Windows NT 4.0 Workstation avec Service Pack 4 Microsoft Windows XP Professionnel Microsoft Windows 2003 Server (Standard Edition) Microsoft Windows 2000 Professionnel avec Service Pack 4 Remarque : Windows 2000 Advanced Server n est pas pris en charge. En outre, un navigateur Web utilisant SUN JRE version 1.4 ou ultérieure, ou un navigateur ActiveX, doit être activé. Étape 2 : préparation du routeur pour SDM Pour commencer, créez, sur le routeur, un nom d utilisateur et un mot de passe que vous utiliserez pour SDM. Cette connexion doit bénéficier d un niveau de privilège défini sur 15, afin de permettre à SDM de modifier des paramètres de configuration sur le routeur. R1(config)# username ciscosdm privilege 15 password 0 ciscosdm L accès HTTP au routeur doit être configuré pour permettre l exécution de SDM. Si votre image le prend en charge (vous devez disposer d une image IOS qui prend en charge la fonction de chiffrement), vous devez également activer un accès HTTPS sécurisé, à l aide de la commande ip http secure-server. L activation du protocole HTTPS se répercute sur les clés de chiffrement Ce document contient des informations publiques Cisco. Page 43 sur 50

152 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité RSA. Cela est normal. Assurez-vous également que le serveur HTTP utilise la base données locale lors du processus d authentification. R1(config)# ip http server R1(config)# ip http secure-server % Generating 1024 bit RSA keys, keys will be non-exportable...[ok] *Jan 14 20:19:45.310: %SSH-5-ENABLED: SSH 1.99 has been enabled *Jan 14 20:19:46.406: %PKI-4-NOAUTOSAVE: Configuration was modified. Issue "write memory" to save new certificate R1(config)# ip http authentication local Pour terminer, configurez les lignes de terminal virtuel du routeur afin de procéder à l authentification par l intermédiaire de la base de données d authentification locale. Autorisez l entrée de lignes de terminal virtuel via les protocoles Telnet et SSH. R1(config)# line vty 0 4 R1(config-line)# login local R1(config-line)# transport input telnet ssh Étape 3 : configuration de l adressage Configurez l interface Fast Ethernet sur le routeur, avec l adresse IP indiquée sur le diagramme. Si vous avez déjà configuré l adresse IP adéquate, ignorez cette étape. R1(config)# interface fastethernet0/0 R1(config-if)# ip address R1(config-if)# no shutdown Attribuez ensuite une adresse IP au PC. Si le PC dispose déjà d une adresse IP dans le même sous-réseau que le routeur, vous pouvez ignorer cette étape. Exécutez une requête ping sur l interface Ethernet de R1 depuis le PC. Vous devez recevoir des réponses. Dans le cas contraire, vérifiez le réseau local virtuel des ports de commutation, ainsi que l adresse IP et le masque de sous-réseau de chaque périphérique connecté au commutateur. Étape 4 : extraction de SDM sur l hôte À présent, le routeur est configuré pour être accessible à partir de SDM et la connectivité est établie entre le routeur et le PC. Vous pouvez dès lors configurer le routeur à l aide de SDM. Vous devez commencer par l extraction du fichier zip de SDM vers un répertoire de votre disque dur. Dans cet exemple, nous utilisons le répertoire «C:\sdm\». Vous pouvez bien entendu utiliser le chemin de votre choix. Le logiciel SDM est quasiment prêt pour la configuration du routeur. La dernière étape consiste à l installer sur le PC. Étape 5 : installation de l application SDM sur le PC Double-cliquez sur le programme exécutable setup.exe pour ouvrir l assistant d installation. Une fois l assistant affiché, cliquez sur Next. Acceptez les termes du contrat de licence, puis cliquez sur Next. Ce document contient des informations publiques Cisco. Page 44 sur 50

153 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Sur l écran suivant, choisissez un emplacement d installation de SDM parmi les trois emplacements proposés. Vous pouvez installer l application SDM sur l ordinateur, sans la placer dans la mémoire flash du routeur, vous pouvez l'installer sur le routeur sans affecter l ordinateur ou vous pouvez l installer à la fois sur le routeur et sur l'ordinateur. Ces différents types d installation sont très similaires. Si vous ne souhaitez pas installer SDM sur votre ordinateur, passez directement à l étape 7. Sinon, cliquez sur This Computer, puis sur Next. Utilisez le répertoire de destination par défaut, puis cliquez à nouveau sur Next. Cliquez sur Install pour démarrer l installation. Le logiciel procède à l installation, puis une dernière boîte de dialogue vous invite à lancer SDM. Activez la case à cocher Launch Cisco SDM, puis cliquez sur Finish. Étape 6 : exécution de SDM depuis l'ordinateur Si vous avez activé l option Launch Cisco SDM lors de l étape 5, l application SDM doit se lancer depuis le programme d installation. Dans le cas contraire, ou si vous exécutez SDM sans l avoir installé, cliquez sur l icône Cisco SDM sur le bureau. La boîte de dialogue de démarrage de l application SDM s affiche. Renseignez l adresse IP du routeur, indiquée dans le diagramme, en tant qu adresse IP du périphérique. Si vous avez activé le serveur sécurisé HTTP lors de l étape 2, activez la case à cocher This device has HTTPS enabled and I want to use it. Ce document contient des informations publiques Cisco. Page 45 sur 50

154 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Cliquez sur Yes lorsque le message d avertissement de sécurité s affiche. Sachez qu au début, Internet Explorer peut bloquer l application SDM. Vous devez alors l autoriser ou modifier les paramètres de sécurité d Internet Explorer pour pouvoir l utiliser. Selon la version d Internet Explorer que vous utilisez, l un de ces paramètres est tout particulièrement important pour exécuter SDM en local. Ce paramètre se trouve dans le menu Outils, sous Options Internet. Cliquez sur l onglet Avancé, puis sous l en-tête Sécurité, activez la case à cocher Autoriser le contenu actif à s exécuter dans les fichiers de la zone Ordinateur local. Entrez le nom d utilisateur et le mot de passe que vous avez créés auparavant. Vous pouvez être amené à accepter un certificat provenant de ce routeur. Pour continuer, acceptez le certificat. Entrez ensuite le nom d utilisateur et le mot de passe du routeur, puis cliquez sur Yes. Ce document contient des informations publiques Cisco. Page 46 sur 50

155 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité SDM procède à la lecture de la configuration à partir du routeur. Si la configuration ne présente aucune erreur, vous pourrez accéder au tableau de bord de l application de SDM. Si la configuration affichée vous semble correcte, cela signifie que vous avez réussi à configurer SDM et à vous y connecter. Les informations affichées peuvent varier en fonction de la version de SDM utilisée. Étape 7 : installation de SDM sur le routeur Effectuez les instructions de l étape 6 jusqu à ce que l invite présentée dans la figure suivante s affiche. Lorsque cette fenêtre s affiche, cliquez sur Cisco Router pour installer SDM dans la mémoire flash du routeur. Si vous ne souhaitez pas installer SDM dans la mémoire flash du routeur, ou si l espace disponible en mémoire flash est insuffisant, n essayez pas d installer SDM sur le routeur. Entrez les informations relatives au routeur afin de permettre au programme d installation d installer SDM sur le routeur et d y accéder à distance. Ce document contient des informations publiques Cisco. Page 47 sur 50

156 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Cisco SDM se connecte au routeur. Certains messages consignés dans la console peuvent s afficher. Cela est normal. Jan 14 16:15:26.367: %SYS-5-CONFIG_I: Configured from console by ciscosdm on vty0 ( ) Choisissez Typical comme type d installation, puis cliquez sur Next. Conservez les options d installation par défaut, puis cliquez sur Next. Ce document contient des informations publiques Cisco. Page 48 sur 50

157 Accès au réseau étendu : sécurité d un réseau d entreprise Travaux pratiques : configuration de base de la sécurité Cliquez enfin sur Install pour lancer le processus d installation. Au cours de l installation, d autres messages peuvent être consignés dans la console. Le processus d installation peut prendre un certain temps (observez les horodatages affichés sur la sortie de la console pour estimer la durée du processus sur un Cisco 2811). La durée du processus varie selon le modèle du routeur. Jan 14 16:19:40.795: %SYS-5-CONFIG_I: Configured from console by ciscosdm on vty0 ( ) À la fin de l installation, vous êtes invité à lancer SDM sur le routeur. Avant d effectuer cette opération, accédez à la console et exécutez la commande show flash:. Notez tous les fichiers stockés par SDM dans la mémoire flash. Avant l installation, le premier fichier, c est-à-dire l image IOS, était le seul répertorié. R1# show flash: CompactFlash directory: File Length Name/status c2800nm-advipservicesk9-mz t1.bin home.shtml sdmconfig-2811.cfg home.tar MB.sdf common.tar sdm.tar securedesktop-ios k9.pkg sslclient-win pkg es.tar [ bytes used, available, total] 62720K bytes of ATA CompactFlash (Read/Write) Ce document contient des informations publiques Cisco. Page 49 sur 50