Cisco · Configuration

Configuration de base – switch Cisco

Poser un socle solide : nommer l’équipement, protéger les accès, activer l’administration à distance sécurisée et sauvegarder.

Lorsqu’un switch Cisco sort de son carton, il est théoriquement déjà fonctionnel : branche-le, connecte des postes et le trafic circule. Pourtant, déployer un commutateur en entreprise sans aucune configuration serait une grave erreur. Un switch laissé en configuration d’usine est vulnérable, impossible à administrer à distance et difficile à intégrer dans une architecture maîtrisée. La configuration de base d’un switch Cisco consiste donc à poser un socle solide : identifier l’équipement, protéger ses accès, le rendre administrable à distance de manière sécurisée, puis sauvegarder le tout.

Dans cet article, nous allons parcourir étape par étape l’ensemble des commandes essentielles de l’IOS Cisco. Chaque section explique non seulement comment faire, mais surtout pourquoi chaque commande est importante. À la fin, vous disposerez d’un commutateur propre, sécurisé et prêt à accueillir vos VLAN et vos liens trunk.

COMPRENDRE LES MODES DE L’IOS CISCO

Avant de taper la moindre commande, il faut comprendre que l’IOS (Internetwork Operating System) de Cisco fonctionne par modes hiérarchiques. Chaque mode autorise un certain type d’action et se reconnaît à son invite (le prompt). Connaître ces modes est indispensable pour ne pas se perdre dans la console.

• Mode utilisateur (Switch>) : mode de consultation limité, accessible dès la connexion. On peut voir quelques informations mais rien modifier.
• Mode privilégié (Switch#) : accessible avec la commande enable, il donne accès à toutes les commandes de diagnostic et à la configuration.
• Mode de configuration globale (Switch(config)#) : accessible avec configure terminal, c’est ici que l’on modifie la configuration de l’équipement.
• Modes de configuration spécifiques (Switch(config-if)#, Switch(config-line)#, Switch(config-vlan)#…) : pour configurer une interface, une ligne d’accès ou un VLAN précis.

Voici comment on navigue vers les modes supérieurs depuis la connexion console :

Switch> enable
Switch# configure terminal
Switch(config)#

Pour redescendre d’un niveau, on utilise exit, et pour revenir directement au mode privilégié depuis n’importe quel sous-mode, on utilise end (ou la combinaison Ctrl+Z).

DÉFINIR LE NOM D’HÔTE

Le nom d’hôte (hostname) est la première personnalisation à effectuer. Dans un réseau qui comporte des dizaines de commutateurs, garder le nom par défaut Switch rend l’administration confuse et dangereuse : on risque de configurer le mauvais équipement. Un bon nom d’hôte reflète le rôle et l’emplacement de l’appareil, par exemple SW-CORE-01 ou SW-ETAGE2-A.

Switch(config)# hostname SW-CORE-01
SW-CORE-01(config)#

On remarque que l’invite change immédiatement pour refléter le nouveau nom. C’est un excellent repère visuel lorsqu’on administre plusieurs équipements en parallèle.

SÉCURISER LES ACCÈS

La sécurisation des accès est l’étape la plus critique de la configuration de base. Un switch dont la console et les accès distants ne sont pas protégés représente une porte d’entrée ouverte pour un attaquant. Nous allons mettre en place plusieurs couches de protection.

Protéger le mode privilégié

Le mode privilégié donne accès à toute la configuration : il doit impérativement être protégé par un mot de passe. On utilise enable secret (et non l’ancien enable password) car le secret est stocké chiffré avec un algorithme de hachage robuste.

SW-CORE-01(config)# enable secret MonMotDePasse

Chiffrer tous les mots de passe

Par défaut, les mots de passe des lignes (console, VTY) apparaissent en clair dans la configuration. La commande suivante chiffre l’ensemble de ces mots de passe afin qu’ils ne soient pas lisibles par quelqu’un qui consulterait la configuration.

SW-CORE-01(config)# service password-encryption

Sécuriser la ligne console

La ligne console (line console 0) correspond à l’accès physique via le câble console. On lui attribue un mot de passe et on active la demande d’authentification avec login.

SW-CORE-01(config)# line console 0
SW-CORE-01(config-line)# password ConsolePass
SW-CORE-01(config-line)# login
SW-CORE-01(config-line)# exec-timeout 5 0
SW-CORE-01(config-line)# exit

La commande exec-timeout 5 0 ferme automatiquement la session après 5 minutes d’inactivité : une bonne pratique pour éviter qu’une console reste ouverte sans surveillance.

Sécuriser les lignes VTY (accès distant)

Les lignes VTY (Virtual TeletYpe) gèrent les connexions distantes via Telnet ou SSH. Un switch Cisco dispose généralement de 16 lignes VTY (0 à 15). On les protège toutes en une seule fois.

SW-CORE-01(config)# line vty 0 15
SW-CORE-01(config-line)# password VtyPass
SW-CORE-01(config-line)# login
SW-CORE-01(config-line)# exit

CONFIGURER UNE BANNIÈRE D’AVERTISSEMENT

La bannière du jour (Message Of The Day) s’affiche à chaque tentative de connexion. Au-delà de l’aspect professionnel, elle a une valeur juridique : elle avertit que l’accès est réservé aux personnes autorisées, ce qui peut être utile en cas de poursuite contre un intrus. Le caractère placé de part et d’autre du message (ici #) sert de délimiteur.

SW-CORE-01(config)# banner motd #Acces reserve au personnel autorise. Toute intrusion sera poursuivie.#

ATTRIBUER UNE ADRESSE IP DE MANAGEMENT

Un switch de niveau 2 ne route pas le trafic : ses ports ne portent donc pas d’adresse IP. Pour pouvoir l’administrer à distance (en SSH par exemple), on lui attribue une adresse IP sur une interface VLAN appelée SVI (Switch Virtual Interface). Par convention, on utilise souvent un VLAN de management dédié plutôt que le VLAN 1 pour des raisons de sécurité, mais nous illustrons ici avec le VLAN 1 pour rester simple.

SW-CORE-01(config)# interface vlan 1
SW-CORE-01(config-if)# ip address 192.168.1.2 255.255.255.0
SW-CORE-01(config-if)# no shutdown
SW-CORE-01(config-if)# exit

Pour que le switch puisse répondre à des requêtes provenant d’autres réseaux (par exemple un poste d’administration situé ailleurs), il faut également lui indiquer une passerelle par défaut :

SW-CORE-01(config)# ip default-gateway 192.168.1.1

ACTIVER L’ACCÈS SSH

Telnet transmet les identifiants en clair sur le réseau : il est aujourd’hui considéré comme dangereux. On lui prefere systématiquement SSH, qui chiffre l’intégralité de la session. Activer SSH demande plusieurs prérequis : un nom de domaine, une paire de clés RSA et un utilisateur local.

1. Définir un nom de domaine (nécessaire pour générer les clés).
2. Générer une paire de clés RSA d’au moins 2048 bits.
3. Créer un compte utilisateur local avec un niveau de privilège.
4. Forcer les lignes VTY à n’accepter que SSH et l’authentification locale.

SW-CORE-01(config)# ip domain-name monreseau.local
SW-CORE-01(config)# crypto key generate rsa modulus 2048
SW-CORE-01(config)# username admin privilege 15 secret AdminPass
SW-CORE-01(config)# ip ssh version 2
!
SW-CORE-01(config)# line vty 0 15
SW-CORE-01(config-line)# transport input ssh
SW-CORE-01(config-line)# login local
SW-CORE-01(config-line)# exit

Désormais, seules les connexions SSH chiffrées sont acceptées, et chaque utilisateur s’authentifie avec son propre compte. La commande ip ssh version 2 force l’usage de SSHv2, bien plus sûr que SSHv1.

SÉCURISER LES PORTS AVEC PORT-SECURITY

La fonction Port-Security permet de limiter quelles adresses MAC sont autorisées sur un port donné. C’est une protection efficace contre le branchement sauvage d’équipements non autorisés ou contre les attaques de saturation de la table CAM. Bien qu’elle aille un peu au-delà de la configuration strictement minimale, elle fait partie des bonnes pratiques à connaître.

SW-CORE-01(config)# interface fastEthernet 0/1
SW-CORE-01(config-if)# switchport mode access
SW-CORE-01(config-if)# switchport port-security
SW-CORE-01(config-if)# switchport port-security maximum 1
SW-CORE-01(config-if)# switchport port-security mac-address sticky
SW-CORE-01(config-if)# switchport port-security violation shutdown
SW-CORE-01(config-if)# exit

Ici, le port n’accepte qu’une seule adresse MAC (la première apprise, mémorisée grâce à l’option sticky). En cas de violation, le port se désactive automatiquement (shutdown), ce qui bloque immédiatement l’équipement indésirable.

VÉRIFIER LA CONFIGURATION

Une fois la configuration réalisée, il est indispensable de la vérifier. Voici les commandes de diagnostic les plus utiles, à exécuter depuis le mode privilégié.

• show running-config : affiche la configuration actuellement active en mémoire.
• show ip interface brief : résume l’état de toutes les interfaces et leurs adresses IP.
• show vlan brief : liste les VLAN et les ports qui leur sont associés.
• show port-security : affiche l’état de la sécurité des ports.
• show version : donne la version de l’IOS et les informations matérielles.

SW-CORE-01# show ip interface brief
SW-CORE-01# show running-config

SAUVEGARDER LA CONFIGURATION

Toute la configuration réalisée jusqu’ici se trouve dans la running-config, stockée en mémoire vive (RAM). Si le switch redémarre, tout est perdu ! Il faut donc copier cette configuration dans la startup-config, conservée en mémoire non volatile (NVRAM) et rechargée à chaque démarrage.

SW-CORE-01# copy running-config startup-config

On peut aussi utiliser le raccourci historique write memory (ou simplement wr) qui accomplit exactement la même chose. Prenez l’habitude de sauvegarder après chaque modification importante.

QUESTIONS FRÉQUENTES

Quelle est la différence entre enable password et enable secret ?

enable password stocké le mot de passe en clair (ou faiblement chiffré), tandis que enable secret applique un hachage robuste. On utilise toujours enable secret ; si les deux sont définis, c’est le secret qui prime.

Pourquoi configurer une adresse IP sur un switch de niveau 2 ?

Cette adresse ne sert pas à router du trafic mais uniquement à administrer le switch à distance (SSH, SNMP, serveur web embarqué). Sans elle, on ne pourrait gérer l’équipement que via un câble console branché physiquement.

Faut-il toujours utiliser SSH plutôt que Telnet ?

Oui. Telnet transmet tout en clair, y compris les identifiants. SSH chiffre la session de bout en bout. Sur un réseau de production, Telnet doit être désactivé au profit de SSHv2.

Comment annuler une commande sur un switch Cisco ?

Il suffit de re-taper la commande précédée du mot-clé no. Par exemple, no hostname rétablit le nom par défaut, et no shutdown réactive une interface éteinte.

CONCLUSION

La configuration de base d’un switch Cisco repose sur quelques piliers : identifier l’équipement avec un nom d’hôte clair, protéger tous les accès (console, VTY, mode privilégié), chiffrer les mots de passe, activer SSH pour une administration distante sécurisée, attribuer une IP de management, renforcer la sécurité des ports et enfin sauvegarder systématiquement. Ce socle transforme un commutateur sorti d’usine en un équipement maîtrisé, sécurisé et intégré à votre architecture.

À partir de cette base, vous pouvez aller plus loin : créer et affecter des VLAN, mettre en place des liens trunk pour interconnecter vos switchs, déployer le protocole VTP, sécuriser le réseau avec le Spanning-Tree et les VACL. Pour permettre la communication entre plusieurs VLAN, l’étape suivante naturelle est le routage inter-VLAN.