Cisco · Configuration

Configuration de base – routeur Cisco

Mettre en service un routeur Cisco : identité, sécurisation des accès, configuration des interfaces, administration à distance et sauvegarde.

Le routeur est la piece maitresse de tout reseau : c’est lui qui permet a des reseaux differents de communiquer entre eux et qui assure la liaison avec l’exterieur, notamment Internet. La configuration de base d’un routeur Cisco ne se limite donc pas a quelques mots de passe : elle pose les fondations du routage, de la securite et de l’administration de l’equipement. Un routeur mal configure, c’est un reseau lent, vulnerable, voire totalement isole.

Dans ce guide complet, nous allons voir etape par etape comment transformer un routeur Cisco sorti d’usine en un equipement operationnel et securise. Pour chaque commande, nous expliquons son role afin que vous compreniez reellement ce que vous faites, plutot que de copier-coller sans reflechir.

SWITCH OU ROUTEUR : QUELLE DIFFERENCE ?

Avant de configurer, rappelons la distinction fondamentale. Un switch travaille au niveau 2 du modele OSI : il commute des trames a l’interieur d’un meme reseau en se basant sur les adresses MAC. Un routeur travaille au niveau 3 : il achemine des paquets entre des reseaux differents en se basant sur les adresses IP. Concretement :

• Le switch interconnecte des equipements du meme reseau local.
• Le routeur interconnecte plusieurs reseaux et choisit le meilleur chemin pour chaque paquet.
• Sur un routeur, chaque interface porte une adresse IP et appartient a un reseau different.

COMPRENDRE LES MODES DE L’IOS

Comme tous les equipements Cisco, le routeur s’administre via l’IOS et ses modes hierarchiques. On reconnait chaque mode a son invite :

• Mode utilisateur (Router>) : consultation limitee.
• Mode privilegie (Router#) : acces complet, via enable.
• Mode de configuration globale (Router(config)#) : via configure terminal.
• Modes specifiques (Router(config-if)#, Router(config-line)#…) : pour une interface, une ligne, etc.

Router> enable
Router# configure terminal
Router(config)#

DEFINIR LE NOM D’HOTE

Le nom d’hote identifie le routeur dans votre infrastructure. Un nom explicite, integrant le role et le site, evite les erreurs de manipulation. Ici nous nommons notre routeur R-LAN-01.

Router(config)# hostname R-LAN-01
R-LAN-01(config)#

SECURISER LES ACCES

Un routeur est souvent la porte d’entree vers Internet : sa securisation est donc primordiale. On applique les memes principes que sur un switch, en plusieurs couches.

Proteger le mode privilegie et chiffrer les mots de passe

R-LAN-01(config)# enable secret MonMotDePasse
R-LAN-01(config)# service password-encryption

La commande enable secret hache le mot de passe d’acces au mode privilegie, tandis que service password-encryption chiffre tous les autres mots de passe presents dans la configuration.

Securiser la console et les lignes VTY

Contrairement au switch qui dispose de 16 lignes VTY, un routeur n’en propose generalement que 5 (de 0 a 4). On securise la console (acces physique) et les VTY (acces distant).

R-LAN-01(config)# line console 0
R-LAN-01(config-line)# password ConsolePass
R-LAN-01(config-line)# login
R-LAN-01(config-line)# exec-timeout 5 0
R-LAN-01(config-line)# exit
!
R-LAN-01(config)# line vty 0 4
R-LAN-01(config-line)# password VtyPass
R-LAN-01(config-line)# login
R-LAN-01(config-line)# exit

CONFIGURER UNE BANNIERE D’AVERTISSEMENT

La banniere Message Of The Day avertit tout utilisateur que l’acces est reserve. Elle s’affiche avant l’authentification et a une portee dissuasive et juridique.

R-LAN-01(config)# banner motd #Acces reserve au personnel autorise. Toute intrusion sera poursuivie.#

CONFIGURER LES INTERFACES

C’est le coeur du metier du routeur. Chaque interface connecte le routeur a un reseau different et doit recevoir une adresse IP appartenant a ce reseau. Tres important : par defaut, les interfaces d’un routeur sont desactivees (etat administratively down). Il faut donc les activer explicitement avec no shutdown, sans quoi rien ne fonctionnera.

Dans l’exemple ci-dessous, nous configurons une interface cote LAN (reseau interne) et une interface cote WAN (liaison vers un autre routeur ou Internet). La commande description documente le role de chaque interface, ce qui facilite grandement la maintenance.

R-LAN-01(config)# interface gigabitEthernet 0/0
R-LAN-01(config-if)# description Reseau LAN
R-LAN-01(config-if)# ip address 192.168.1.1 255.255.255.0
R-LAN-01(config-if)# no shutdown
R-LAN-01(config-if)# exit
!
R-LAN-01(config)# interface gigabitEthernet 0/1
R-LAN-01(config-if)# description Liaison WAN
R-LAN-01(config-if)# ip address 10.0.0.1 255.255.255.252
R-LAN-01(config-if)# no shutdown
R-LAN-01(config-if)# exit

Apres configuration, la commande show ip interface brief permet de verifier que les interfaces sont bien up/up.

METTRE EN PLACE LE ROUTAGE

Un routeur ne connait initialement que les reseaux directement connectes a ses interfaces. Pour qu’il sache atteindre des reseaux distants, il faut lui indiquer le chemin. Deux grandes approches existent : le routage statique (routes saisies manuellement) et le routage dynamique (les routeurs s’echangent automatiquement leurs routes via des protocoles comme OSPF ou EIGRP).

La route statique

Une route statique indique explicitement comment atteindre un reseau precis. La syntaxe est : ip route <reseau> <masque> <prochain saut>.

R-LAN-01(config)# ip route 192.168.2.0 255.255.255.0 10.0.0.2

La route par defaut

La route par defaut (0.0.0.0 0.0.0.0) est une route “fourre-tout” : elle indique ou envoyer tous les paquets dont la destination n’est pas connue. C’est typiquement la route vers Internet.

R-LAN-01(config)# ip route 0.0.0.0 0.0.0.0 10.0.0.2

ACTIVER L’ACCES SSH

Comme pour le switch, on administre le routeur a distance via SSH plutot que Telnet. La procedure est identique : nom de domaine, generation des cles RSA, creation d’un utilisateur local et restriction des lignes VTY a SSH.

R-LAN-01(config)# ip domain-name monreseau.local
R-LAN-01(config)# crypto key generate rsa modulus 2048
R-LAN-01(config)# username admin privilege 15 secret AdminPass
R-LAN-01(config)# ip ssh version 2
!
R-LAN-01(config)# line vty 0 4
R-LAN-01(config-line)# transport input ssh
R-LAN-01(config-line)# login local
R-LAN-01(config-line)# exit

VERIFIER LA CONFIGURATION

Avant de considerer le routeur comme operationnel, on verifie systematiquement son etat avec quelques commandes cles depuis le mode privilegie.

• show ip interface brief : etat et adresses IP de toutes les interfaces.
• show ip route : table de routage complete (reseaux connectes, statiques, dynamiques).
• show running-config : configuration active en memoire.
• show ip protocols : protocoles de routage actifs.
• ping et traceroute : tests de connectivite vers les reseaux distants.

R-LAN-01# show ip route
R-LAN-01# show ip interface brief
R-LAN-01# ping 10.0.0.2

SAUVEGARDER LA CONFIGURATION

La configuration active (running-config) reside en RAM et disparait au redemarrage. Pour la rendre permanente, on la copie dans la startup-config stockee en NVRAM.

R-LAN-01# copy running-config startup-config

Le raccourci write memory (ou wr) produit le meme resultat. Pensez a sauvegarder apres chaque modification importante pour ne jamais perdre votre travail.

QUESTIONS FREQUENTES

Pourquoi mon interface reste-t-elle “down” apres configuration ?

Sur un routeur, les interfaces sont desactivees par defaut. Il faut imperativement taper no shutdown dans le mode de l’interface. Si elle reste down/down malgre cela, verifiez le cablage et l’equipement en face.

Quelle difference entre route statique et route par defaut ?

Une route statique vise un reseau precis. La route par defaut (0.0.0.0 0.0.0.0) s’applique a toutes les destinations inconnues : c’est la solution de dernier recours, typiquement vers Internet.

Routage statique ou dynamique : que choisir ?

Le routage statique convient aux petits reseaux stables et offre un controle total. Le routage dynamique (OSPF, EIGRP) s’impose des que le reseau grandit, car il s’adapte automatiquement aux changements et aux pannes.

Comment voir la table de routage ?

La commande show ip route affiche tous les reseaux connus du routeur, avec un code indiquant leur origine : C pour connecte, S pour statique, O pour OSPF, etc.

CONCLUSION

La configuration de base d’un routeur Cisco suit une logique claire : identifier l’equipement, securiser tous ses acces, configurer les interfaces avec leurs adresses IP, mettre en place le routage pour atteindre les reseaux distants, activer SSH pour l’administration distante, verifier puis sauvegarder. En maitrisant ces etapes, vous disposez d’un routeur pleinement operationnel et securise.

Cette base ouvre la porte a des sujets plus avances : les protocoles de routage dynamique (OSPF, EIGRP), la translation d’adresses NAT/PAT pour partager une connexion Internet, les listes de controle d’acces (ACL) pour filtrer le trafic, ou encore les protocoles de redondance comme HSRP. Le routage inter-VLAN est egalement une suite logique pour faire communiquer vos VLAN entre eux.