Chapitre 2 :

implmentation de la
scurit VLAN

Routage et commutation

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

Prsentation des VLAN

Dfinitions des VLAN

Un VLAN (rseau local virtuel) est une partition logique d'un
rseau de couche 2.
Plusieurs partitions peuvent tre cres, de sorte qu'il est
possible de faire coexister plusieurs VLAN.
Chaque VLAN constitue un domaine de diffusion,
gnralement avec son propre rseau IP.
Les VLAN sont isols les uns des autres et les paquets ne
peuvent circuler entre eux qu'en passant par un routeur.
La segmentation du rseau de couche 2 a lieu l'intrieur d'un
priphrique de couche 2, gnralement un commutateur.
Les htes regroups dans un VLAN ignorent l'existence de
celui-ci.
Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

Prsentation des VLAN

Dfinitions des VLAN

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

Prsentation des VLAN

Avantages des VLAN

Scurit
Rduction des cots
Meilleures performances
Diminution des domaines de diffusion
Efficacit accrue des quipes informatiques
Simplification de la gestion des projets et des applications

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

Prsentation des VLAN

Types de VLAN
VLAN de donnes
VLAN par dfaut
VLAN natif
VLAN de gestion

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

Prsentation des VLAN

Types de VLAN

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

Prsentation des VLAN

VLAN voix

Le facteur temps est trs important pour le trafic VoIP. Cela

ncessite :

bande passante consolide pour garantir la qualit de la voix ;

priorit de transmission par rapport aux autres types de trafic

rseau ;

possibilit de routage autour des zones encombres du rseau ;

Dlai infrieur 150 ms sur tout le rseau.

La fonction VLAN voix permet aux ports du commutateur

d'acheminer le trafic VoIP (voix sur IP) provenant d'un
tlphone IP.
Le commutateur peut tre connect un tlphone IP Cisco 7960
et transmettre le trafic VoIP.
Puisque la qualit audio de la tlphonie IP peut se dtriorer si la
transmission des donnes est ingale, le commutateur prend en
charge la qualit de service (QS).
Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

Prsentation des VLAN

VLAN voix

Le tlphone IP Cisco 7960 comporte un commutateur

10/100 intgr 3 ports :

Le port 1 est reli au commutateur.

Le port 2 est une interface 10/100 interne charge de la transmission

du trafic de la tlphonie IP.

Le port 3 (port d'accs) est connect un ordinateur ou autre

priphrique.

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

VLAN dans un environnement commutateurs multiples

Trunks de VLAN

Un trunk de VLAN achemine le trafic de plusieurs VLAN.

Il est gnralement tabli entre des commutateurs pour
permettre aux priphriques du mme VLAN de
communiquer mme s'ils sont physiquement connects
des commutateurs diffrents.
Un trunk de VLAN n'est associ aucun VLAN. Aucun port
trunk n'est utilis pour tablir la liaison trunk.
Cisco IOS prend en charge la norme IEEE802.1q, un
protocole de trunk de VLAN trs rpandu.

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

Cisco Confidential

10

VLAN dans un environnement commutateurs multiples

Trunks de VLAN

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

VLAN dans un environnement commutateurs multiples

tiquetage des trames Ethernet pour l'identification

des VLAN

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

11

Attribution VLAN

Plages VLAN sur les commutateurs Catalyst

Les commutateurs Catalyst 2960 et 3560 prennent en charge plus de
4 000 VLAN.
Ces VLAN se rpartissent dans 2 catgories :
VLAN de la plage normale

Ce sont les VLAN du numro 1 au numro 1 005.

Les configurations sont stockes dans le fichier vlan.dat (dans la mmoire flash).

VTP peut uniquement apprendre et stocker les VLAN de la plage normale.

Les VLAN de la plage tendue

Ce sont les VLAN du numro 1 006 au numro 4 096.

Les configurations sont stockes dans la configuration en cours (dans la mmoire

NVRAM).

Le protocole VTP ne prend pas en compte les VLAN appartenant la plage

tendue.

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

12

Attribution VLAN

Cration d'un VLAN

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

13

Cisco Confidential

14

Attribution VLAN

Attribution de ports aux VLAN

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Attribution VLAN

Attribution de ports aux VLAN

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

15

Attribution VLAN

Modification de l'appartenance des ports aux VLAN

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

16

Attribution VLAN

Modification de l'appartenance des ports aux VLAN

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

17

Cisco Confidential

18

Attribution VLAN

Suppression de VLAN

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Attribution VLAN

Configuration des liaisons trunk IEEE 802.1q

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

19

Protocole DTP

Introduction au protocole DTP

Les ports de commutateur peuvent tre configurs manuellement pour
crer les trunks.
Ils peuvent galement tre configurs pour ngocier et tablir une liaison
trunk avec un homologue connect.
DTP (Dynamic Trunking Protocol) est un protocole qui gre la ngociation
de trunk.
C'est un protocole propritaire de Cisco et il est activ par dfaut sur les
commutateurs Cisco Catalyst 2960 et 3560.
Si le port du commutateur voisin est configur dans un mode trunk qui
prend en charge le protocole DTP, il gre la ngociation.
La configuration DTP s'effectue en mode dynamique automatique par
dfaut sur les commutateurs Cisco Catalyst 2960 et 3560.

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

20

10

Protocole DTP

Modes d'interface ngocis

Les commutateurs Cisco Catalyst 2960 et 3560
prennent en charge les modes trunk suivants :
switchport mode dynamic auto
switchport mode dynamic desirable
switchport mode trunk
switchport nonegotiate

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

21

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

22

Chapitre 3 : routage
inter-VLAN

Routage et commutation

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

11

Fonctionnement du routage inter-VLAN

Qu'est-ce que le routage inter-VLAN ?

Les commutateurs de couche 2 ne peuvent pas acheminer le trafic
entre les VLAN sans l'aide d'un routeur.
Le routage inter-VLAN est une technique d'acheminement du trafic
rseau d'un VLAN un autre qui repose sur l'utilisation d'un routeur.

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

23

Fonctionnement du routage inter-VLAN

Routage inter-VLAN avec la mthode

Router-on-a-stick

La technique dite Router-on-a-stick utilise un chemin

diffrent pour le routage entre les VLAN.
Une des interfaces physiques du routeur est configure en tant
que port trunk 802.1Q. Elle est alors capable d'interprter les
tiquettes VLAN.
Des sous-interfaces logiques sont ensuite cres (une par
VLAN).
Chaque sous-interface est configure avec une adresse IP du
VLAN qu'elle reprsente.
Les membres (htes) du VLAN sont configurs pour utiliser
l'adresse de la sous-interface comme passerelle par dfaut.
Une seule interface physique du routeur est utilise.

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

24

12

Fonctionnement du routage inter-VLAN

Routage inter-VLAN des commutateurs

multicouches
Les commutateurs multicouches peuvent excuter des fonctions de
couche 2 et de couche 3. Les routeurs ne sont plus ncessaires.
Chaque VLAN prsent dans le commutateur est une interface SVI.
Les interfaces SVI sont considres comme des interfaces de
couche 3.
Le commutateur reconnat les units de donnes de protocole (PDU)
de la couche rseau, de sorte qu'il peut acheminer le trafic entre ses
interfaces SVI de la mme faon qu'un routeur entre ses interfaces.
Avec un commutateur multicouche, le trafic est rout l'intrieur du
priphrique de commutation.
Cette solution est trs volutive.

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

25

Configuration du routage inter-VLAN existant

Prparation

Avec l'ancienne technique de routage inter-VLAN, les

routeurs doivent possder plusieurs interfaces
physiques.
Chacune de ces interfaces physiques est connecte
un seul VLAN.
Chaque interface est galement configure avec une
adresse IP pour le sous-rseau associ au VLAN en
question.
Les priphriques rseau utilisent le routeur comme
passerelle pour accder aux priphriques connects
aux autres VLAN.
Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

26

13

Configuration du routage inter-VLAN existant

Prparation

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

27

Cisco Confidential

28

Configuration du routage inter-VLAN existant

Configuration du commutateur

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

14

Configuration du routage inter-VLAN existant

Configuration des interfaces du routeur

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

29

Configuration de type router-on-a-stick

Prparation

Pour remplacer l'ancien routage inter-VLAN, vous pouvez

recourir l'agrgation (trunking) de VLAN et aux sousinterfaces.
Le trunking de VLAN permet une seule interface physique
du routeur d'acheminer le trafic de plusieurs VLAN.
Cette interface physique doit tre connecte une liaison
trunk sur le commutateur adjacent.
Sur le routeur, des sous-interfaces sont cres pour chacun
des VLAN du rseau.
Chaque sous-interface reoit une adresse IP spcifique
selon son sous-rseau/VLAN et est galement configure
pour tiqueter les trames en fonction du VLAN destinataire.
Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

30

15

Configuration de type router-on-a-stick

Configuration du commutateur

Formateur
Presentation_ID : A. Maizate

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

31

Configuration de type router-on-a-stick

Configuration des interfaces du routeur

Formateur
Presentation_ID : A. Maizate

2006, Cisco Systems, Inc. All rights reserved.

Presentation_ID.scr

2008 Cisco Systems, Inc. All rights reserved.

Cisco Confidential

32

16