Foxency
Cisco, Routage et Switching

Configuration et sécurisation d'un commutateur Cisco

Un commutateur d'accès est le premier point de contact du réseau avec les postes. Gestion isolée, ports désactivés, port security, DHCP Snooping, DAI et protections Spanning Tree : la configuration de référence.

Par Rédaction Foxency Publié le 6 min de lecture

Commutateur Cisco Catalyst avec protections de sécurité activées sur ses ports d'accès

Le commutateur d'accès est l'équipement auquel se branchent directement les postes, téléphones, imprimantes et points d'accès. C'est donc là que se jouent de nombreuses attaques de niveau 2 : faux serveur DHCP, usurpation ARP, saturation de la table MAC, négociation de trunk non autorisée, boucles. Cisco fournit un ensemble de protections efficaces, à condition de les activer.

Objectif : configurer un commutateur d'accès Cisco de manière sûre : administration, ports inutilisés et fonctions de sécurité de niveau 2.

Plateforme : commutateur Catalyst 9200/9300 sous IOS XE 17.x (commandes très proches sur Catalyst 2960/3650 sous IOS 15.x). Configuration de laboratoire à adapter : testez chaque fonction sur un équipement de test avant de la généraliser.

Étape 1 : base commune

Appliquez d'abord les éléments vus pour le routeur : nom, comptes avec hachage robuste, SSH v2, Telnet désactivé, bannière, NTP, journalisation, services inutiles désactivés. Voir Configuration initiale d'un routeur Cisco.

Étape 2 : l'administration sur un VLAN dédié

Un commutateur de niveau 2 est administré via une interface virtuelle (SVI) dans un VLAN de gestion.

Switch(config)# hostname SW-ACC-E2-01
SW-ACC-E2-01(config)# vlan 99
SW-ACC-E2-01(config-vlan)# name ADMIN-RESEAU
SW-ACC-E2-01(config-vlan)# exit
SW-ACC-E2-01(config)# interface Vlan99
SW-ACC-E2-01(config-if)# ip address 10.10.99.21 255.255.255.0
SW-ACC-E2-01(config-if)# no shutdown
SW-ACC-E2-01(config-if)# exit
SW-ACC-E2-01(config)# ip default-gateway 10.10.99.1
SW-ACC-E2-01(config)# interface Vlan1
SW-ACC-E2-01(config-if)# shutdown
  • Ne gérez pas le commutateur via le VLAN 1, VLAN par défaut de tous les ports.
  • Sur un commutateur purement de niveau 2, on utilise ip default-gateway ; sur un commutateur routant (ip routing), on utilise une route par défaut.
  • Restreignez l'accès SSH au réseau d'administration avec access-class sur les lignes VTY.

Étape 3 : les ports d'accès

Chaque port destiné à un poste est configuré explicitement en mode accès, dans le bon VLAN, avec la négociation de trunk désactivée :

SW-ACC-E2-01(config)# interface range GigabitEthernet1/0/1 - 40
SW-ACC-E2-01(config-if-range)# description Postes etage 2
SW-ACC-E2-01(config-if-range)# switchport mode access
SW-ACC-E2-01(config-if-range)# switchport access vlan 10
SW-ACC-E2-01(config-if-range)# switchport voice vlan 30
SW-ACC-E2-01(config-if-range)# switchport nonegotiate
SW-ACC-E2-01(config-if-range)# spanning-tree portfast
SW-ACC-E2-01(config-if-range)# spanning-tree bpduguard enable
SW-ACC-E2-01(config-if-range)# exit
  • switchport mode access + switchport nonegotiate : le port ne peut pas devenir un trunk, ce qui neutralise le VLAN hopping par négociation DTP.
  • switchport voice vlan 30 : le téléphone IP étiquette son trafic dans le VLAN voix, le poste branché derrière lui reste dans le VLAN de données.
  • PortFast fait passer immédiatement le port en transmission (pas d'attente Spanning Tree), adapté aux équipements terminaux.
  • BPDU Guard désactive le port s'il reçoit un message Spanning Tree, signe qu'un commutateur a été branché à la place d'un poste. Voir STP et RSTP : prévention des boucles réseau.

Étape 4 : les ports inutilisés

SW-ACC-E2-01(config)# vlan 999
SW-ACC-E2-01(config-vlan)# name INUTILISE
SW-ACC-E2-01(config-vlan)# exit
SW-ACC-E2-01(config)# interface range GigabitEthernet1/0/41 - 46
SW-ACC-E2-01(config-if-range)# description NON UTILISE
SW-ACC-E2-01(config-if-range)# switchport mode access
SW-ACC-E2-01(config-if-range)# switchport access vlan 999
SW-ACC-E2-01(config-if-range)# shutdown

Un port inutilisé est désactivé et placé dans un VLAN sans aucun accès : même réactivé par erreur, il ne donne accès à rien.

Étape 5 : port security

Port security limite le nombre d'adresses MAC autorisées sur un port, contre la saturation de la table MAC et le branchement d'équipements non prévus.

SW-ACC-E2-01(config)# interface range GigabitEthernet1/0/1 - 40
SW-ACC-E2-01(config-if-range)# switchport port-security
SW-ACC-E2-01(config-if-range)# switchport port-security maximum 3
SW-ACC-E2-01(config-if-range)# switchport port-security mac-address sticky
SW-ACC-E2-01(config-if-range)# switchport port-security violation restrict
SW-ACC-E2-01(config-if-range)# switchport port-security aging time 1440
SW-ACC-E2-01(config-if-range)# switchport port-security aging type inactivity
  • maximum 3 : un poste et un téléphone peuvent nécessiter plusieurs adresses (le téléphone peut apparaître dans les deux VLAN) ; ajustez selon vos équipements.
  • sticky : les adresses apprises sont ajoutées à la configuration active.
  • Modes de violation : protect (rejette silencieusement), restrict (rejette et journalise), shutdown (désactive le port, état err-disabled ; mode par défaut).

Pour un contrôle par identité plutôt que par adresse MAC, l'authentification 802.1X avec un serveur RADIUS est plus robuste, notamment face aux adresses MAC aléatoires des appareils récents.

Étape 6 : DHCP Snooping

DHCP Snooping n'autorise les réponses DHCP (Offer, Ack) que sur les ports déclarés de confiance, c'est-à-dire ceux qui mènent aux serveurs DHCP ou au relais.

SW-ACC-E2-01(config)# ip dhcp snooping
SW-ACC-E2-01(config)# ip dhcp snooping vlan 10,30
SW-ACC-E2-01(config)# no ip dhcp snooping information option
SW-ACC-E2-01(config)# interface GigabitEthernet1/0/48
SW-ACC-E2-01(config-if)# description Uplink vers distribution
SW-ACC-E2-01(config-if)# ip dhcp snooping trust
SW-ACC-E2-01(config-if)# exit
SW-ACC-E2-01(config)# interface range GigabitEthernet1/0/1 - 40
SW-ACC-E2-01(config-if-range)# ip dhcp snooping limit rate 15
  • Un faux serveur DHCP branché sur un port d'accès est neutralisé.
  • La limitation de débit protège contre l'épuisement des étendues.
  • L'option 82, insérée par défaut par certaines plateformes, peut être rejetée par certains serveurs DHCP lorsque le commutateur n'est pas lui-même relais : d'où no ip dhcp snooping information option dans de nombreuses configurations. Validez ce point avec votre architecture.
  • DHCP Snooping construit une table de correspondance (MAC, IP, VLAN, port), utilisée par les fonctions suivantes.

Étape 7 : Dynamic ARP Inspection

DAI vérifie que les messages ARP correspondent à la table de DHCP Snooping et bloque les usurpations ARP.

SW-ACC-E2-01(config)# ip arp inspection vlan 10,30
SW-ACC-E2-01(config)# interface GigabitEthernet1/0/48
SW-ACC-E2-01(config-if)# ip arp inspection trust

Les équipements à adresse statique n'apparaissent pas dans la table DHCP Snooping : il faut les autoriser par une liste ARP (arp access-list), sans quoi ils seront bloqués.

Étape 8 : IP Source Guard (facultatif)

IP Source Guard filtre le trafic IP d'un port pour n'accepter que l'adresse source attribuée par DHCP :

SW-ACC-E2-01(config-if-range)# ip verify source

Étape 9 : les liens montants (trunks)

SW-ACC-E2-01(config)# interface GigabitEthernet1/0/48
SW-ACC-E2-01(config-if)# switchport mode trunk
SW-ACC-E2-01(config-if)# switchport nonegotiate
SW-ACC-E2-01(config-if)# switchport trunk native vlan 999
SW-ACC-E2-01(config-if)# switchport trunk allowed vlan 10,30,99

VLAN natif inutilisé, liste de VLAN autorisés élaguée, négociation désactivée. Voir Ports access et trunk : différences et configuration.

Vérifier

show interfaces status
show port-security
show port-security interface GigabitEthernet1/0/5
show ip dhcp snooping
show ip dhcp snooping binding
show ip arp inspection statistics
show interfaces status err-disabled
show errdisable recovery

Un port en err-disabled (BPDU Guard, port security en mode shutdown) se réactive par shutdown puis no shutdown, après correction de la cause. La récupération automatique peut être configurée (errdisable recovery cause …), avec prudence.

Erreurs courantes

  • Activer DHCP Snooping sans déclarer l'uplink de confiance : plus aucun poste n'obtient d'adresse.
  • Activer DAI sans prévoir les équipements à adresse statique.
  • Port security trop strict pour des postes avec téléphone ou virtualisation.
  • Laisser les ports d'accès en mode dynamique (DTP).
  • Gérer le commutateur sur le VLAN 1.

Conclusion

Un commutateur d'accès sécurisé combine une administration isolée, des ports configurés explicitement, des ports inutilisés désactivés et un ensemble de protections de niveau 2 : port security ou 802.1X, DHCP Snooping, Dynamic ARP Inspection et BPDU Guard. Déployez-les progressivement, vérifiez, puis généralisez à l'aide de modèles.

Références