Configuration de base - commutateur cisco - Historique des versions

Ycharbi : /* Restriction d'accès réseau */ Ajout d'une ligne d'exclusion journalisante à la fin de chaque règle d'acceptation.

2022-06-25T13:00:24Z

Restriction d'accès réseau : Ajout d'une ligne d'exclusion journalisante à la fin de chaque règle d'acceptation.

← Version précédente		Version du 25 juin 2022 à 15:00
Ligne 55 :		Ligne 55 :

	===Restriction IPv4===		===Restriction IPv4===
	~~Permission~~ du réseau d'administration		Règle de permission du réseau d'administration
	access-list 1 permit 10.100.100.0 0.0.0.15 log		access-list 1 permit 10.100.100.0 0.0.0.15 log
			access-list 1 deny any log

			''Note : les réseaux non autorisés seront expulsés et une ligne sera écrite dans le journal à chaque tentative.''

	~~Interdiction de tout le reste~~		Règle d'interdiction globale
	access-list 2 deny any log		access-list 2 deny any log

Ligne 67 :		Ligne 70 :
	ipv6 access-list acl-admin-lan		ipv6 access-list acl-admin-lan
	permit ipv6 FC00:10:100:100::/64 FC00:10:100:100::/64 log		permit ipv6 FC00:10:100:100::/64 FC00:10:100:100::/64 log
			deny ipv6 any any log

	Interdiction de tout le reste		Interdiction de tout le reste

Ycharbi : Suppression de l'argument "view" lors de la création d'un utilisateur (car ne fonctionnait pas après redémarrage) + suppression de la désactivation du service "bootp" (qui n'existe plus dans IOS) + ajout d'une section sur les trames géantes

2022-04-01T12:37:11Z

Suppression de l'argument "view" lors de la création d'un utilisateur (car ne fonctionnait pas après redémarrage) + suppression de la désactivation du service "bootp" (qui n'existe plus dans IOS) + ajout d'une section sur les trames géantes

← Version précédente		Version du 1 avril 2022 à 14:37
Ligne 24 :		Ligne 24 :
	==Utilisateurs système==		==Utilisateurs système==
	Il est important de créer des utilisateurs dédiés à chaque administrateur du système afin de permettre l'identification d'une modification ainsi qu'une révocation ultérieur des accès. Il est en outre possible de limiter un utilisateur à certaines commandes.		Il est important de créer des utilisateurs dédiés à chaque administrateur du système afin de permettre l'identification d'une modification ainsi qu'une révocation ultérieur des accès. Il est en outre possible de limiter un utilisateur à certaines commandes.
	username p.nom privilege 15 ~~view "Prenom Nom"~~ algorithm-type sha256 secret MdP		username p.nom privilege 15 algorithm-type sha256 secret MdP

	L'usage d'un [[Radius - cisco\|serveur d'authentification]] est également possible.		L'usage d'un [[Radius - cisco\|serveur d'authentification]] est également possible.
Ligne 109 :		Ligne 109 :
	no service finger		no service finger
	no service config		no service config
	~~no ip bootp server~~
	no ip source-route		no ip source-route
	no ip http server		no ip http server
Ligne 125 :		Ligne 124 :
	Dans certains cas, un certificat ''X.509'' est présent par défaut, il convient de le supprimer		Dans certains cas, un certificat ''X.509'' est présent par défaut, il convient de le supprimer
	no crypto pki trustpoint <TP-self-signed-123456789 >		no crypto pki trustpoint <TP-self-signed-123456789 >

			=Trames géantes=
			Si votre réseau permet l'usage des trames ''Ethernet'' géantes (''jumbo frame''), il est préférable de les activer sur votre commutateur afin d'accroitre les performances tout en réduisant la charge ''CPU'' (surtout si vous prévoyez une commutation à 10 gbps).

			Activation des trames géantes (actif au prochain démarrage)
			system mtu jumbo 9000

			Permettre le routage des trames géantes
			system mtu routing 9000

	=Cloisonnement par VLAN=		=Cloisonnement par VLAN=

Ycharbi : Refonte complète de la page pour modernisation et ajouts

2022-03-31T21:22:52Z

Refonte complète de la page pour modernisation et ajouts

Voir les modifications

Ycharbi : Aération du code + Ajout astuce de connexion SSH + ajout section "Message d'accueil".

2018-07-28T09:12:41Z

Aération du code + Ajout astuce de connexion SSH + ajout section "Message d'accueil".

← Version précédente		Version du 28 juillet 2018 à 11:12
Ligne 1 :		Ligne 1 :
	[[Category:Cisco]]		[[Category:Cisco]]
	Ce document décrit la configuration de base d'un commutateur Cisco afin d'avoir une sécurité et une base de travail convenable.		Ce document décrit la configuration de base d'un commutateur Cisco afin d'avoir une sécurité et une base de travail convenable.
	{{info\|Pour entrer ces commandes, il est nécessaire de rentrer en mode configuration via la commande '''conf t''' en mode ~~privillège~~.}}		{{info\|Pour entrer ces commandes, il est nécessaire de rentrer en mode configuration via la commande '''conf t''' en mode privilège.}}

	=Désactivation des protocoles non nécessaires=		=Désactivation des protocoles non nécessaires=
	no ip domain-lookup		no ip domain-lookup
Ligne 14 :		Ligne 15 :
	no service dhcp		no service dhcp
	no service password-recovery		no service password-recovery

	=Eteindre l'interface VLAN1=		=Eteindre l'interface VLAN1=
	Ceci évite aux machines hors des Vlans de pouvoir communiquer avec le commutateur.		Ceci évite aux machines hors des Vlans de pouvoir communiquer avec le commutateur.
	int vlan1		int vlan1
	shut		shut

	=Configuration port console et VTY=		=Configuration port console et VTY=
	!Port console		!Port console
Ligne 41 :		Ligne 44 :
	line auxiliaire 0		line auxiliaire 0
	login		login

	=Vlan Poubelle=		=Vlan Poubelle=
	Une bonne pratique consite à créer un Vlan poubelle destiné à accueillir les ports inutilisés de sorte à ce que personnes ne puisse les exploiter pour atteindre d'autre machines.		Une bonne pratique consite à créer un Vlan poubelle destiné à accueillir les ports inutilisés de sorte à ce que personnes ne puisse les exploiter pour atteindre d'autre machines.

	==Création du Vlan Poubelle==		==Création du Vlan Poubelle==
	# vlan database		# vlan database
Ligne 50 :		Ligne 55 :
	name Poubelle		name Poubelle
	description --- Poubelle ---		description --- Poubelle ---

	==Attribution du Vlan aux interfaces inutilisées==		==Attribution du Vlan aux interfaces inutilisées==
	int range fa0/13 - 17		int range fa0/13 - 17
Ligne 56 :		Ligne 62 :
	description --- Interface inutile ---		description --- Interface inutile ---
	shut		shut

	=Gestion utilisateur=		=Gestion utilisateur=
	Activation du service de hashage des mots de passe		Activation du service de hashage des mots de passe
Ligne 69 :		Ligne 76 :
	ip ssh version 2		ip ssh version 2
	crypto key generate rsa		crypto key generate rsa

	{{info\|Une clé RSA de minimum 768 bits est requise pour pouvoir utiliser du SSHv2. En dessous, on passe automatiquement en SSHv1.}}		{{info\|Une clé RSA de minimum 768 bits est requise pour pouvoir utiliser du SSHv2. En dessous, on passe automatiquement en SSHv1.}}

			{{astuce\|Pour ce connecter via une machine Debian (à partir de Stretch selon mes tests). Il faut préciser la suite cryptographique à utiliser (IOS utilisant des trucks jugés trop faibles pour OpenSSH): <source lang="bash" inline>ssh -oHostKeyAlgorithms=+ssh-dss -oKexAlgorithms=+diffie-hellman-group1-sha1 admin@192.168.100.1</source>. J'ai trouvé ça [https://networkengineering.stackexchange.com/questions/35312/configure-ssh-cipher-on-cisco-ios-12-255se7 ici].}}

	~~PARLER DU~~ MOTD		=Message d'accueil=
			Il est possible de définir une bannière d'accueil lors de la connexion à un équipement Cisco tout comme sous Linux via le ''Message Of The Day'' (MOTD). Pour ce faire, il suffit d'entrer (en mode de configuration) ceci:
			<source lang="bash">
			banner motd ^C
			Votre message à afficher.
			Vous pouvez y mettre plusieurs lignes.
			Il faut finir le texte par le caractère qui vous a servi à entrer ici.
			Comme avec n'importe quel EOF.
			^C
			</source>

Ycharbi : Ycharbi a déplacé la page Configuration de base - commutateur vers Configuration de base - commutateur cisco sans laisser de redirection : Précision

2017-04-28T15:22:20Z

Ycharbi a déplacé la page Configuration de base - commutateur vers Configuration de base - commutateur cisco sans laisser de redirection : Précision

← Version précédente	Version du 28 avril 2017 à 17:22
(Aucune différence)

Ycharbi : Page créée avec « Category:Cisco Ce document décrit la configuration de base d'un commutateur Cisco afin d'avoir une sécurité et une base de travail convenable. {{info|Pour entrer ce... »

2017-04-28T15:19:22Z

Page créée avec « Category:Cisco Ce document décrit la configuration de base d'un commutateur Cisco afin d'avoir une sécurité et une base de travail convenable. {{info|Pour entrer ce... »

Nouvelle page

[[Category:Cisco]]
Ce document décrit la configuration de base d'un commutateur Cisco afin d'avoir une sécurité et une base de travail convenable.
{{info|Pour entrer ces commandes, il est nécessaire de rentrer en mode configuration via la commande '''conf t''' en mode privillège.}}
=Désactivation des protocoles non nécessaires=
no ip domain-lookup
no cdp run
no ip http server
no ip http secure-server
no service finger
no service tcp-small-servers
no service udp-small-servers
no service pad
no ip source-route
no service dhcp
no service password-recovery
=Eteindre l'interface VLAN1=
Ceci évite aux machines hors des Vlans de pouvoir communiquer avec le commutateur.
int vlan1
shut
=Configuration port console et VTY=
!Port console
line console 0
login local
exec-timeout 3 0
logging synchronous
exit
!VTY 0-4
line vty 0 4
login local
logging synchronous
transport input ssh
transport output ssh
exec-timeout 3 0
exit
!vty 5-15
login
transport input none
transport output none
exit
!auxiliaire (peu courant)
line auxiliaire 0
login
=Vlan Poubelle=
Une bonne pratique consite à créer un Vlan poubelle destiné à accueillir les ports inutilisés de sorte à ce que personnes ne puisse les exploiter pour atteindre d'autre machines.
==Création du Vlan Poubelle==
# vlan database
vlan 66 name Poubelle
!ou
(config) # vlan 66
name Poubelle
description --- Poubelle ---
==Attribution du Vlan aux interfaces inutilisées==
int range fa0/13 - 17
switchport mode access
switchport access vlan 66
description --- Interface inutile ---
shut
=Gestion utilisateur=
Activation du service de hashage des mots de passe
service password-encryption
Création d'un utilisateur
username "prenom.nom" privilege 15 secret "mot de passe"
Ajout d'un mot de passe au mode enable
enable secret "mot de passe"
=Activation du SSH=
Le SSH a besoin d'un nom d'hôte et d'un nom de domaine pour pouvoir générer la clé RSA
hostname "nom de machine"
ip domain-name "nom de domain"
ip ssh version 2
crypto key generate rsa
{{info|Une clé RSA de minimum 768 bits est requise pour pouvoir utiliser du SSHv2. En dessous, on passe automatiquement en SSHv1.}}

PARLER DU MOTD

Configuration de base - commutateur cisco - Historique des versions

Ycharbi : /* Restriction d'accès réseau */ Ajout d'une ligne d'exclusion journalisante à la fin de chaque règle d'acceptation.

Ycharbi : Suppression de l'argument "view" lors de la création d'un utilisateur (car ne fonctionnait pas après redémarrage) + suppression de la désactivation du service "bootp" (qui n'existe plus dans IOS) + ajout d'une section sur les trames géantes

Ycharbi : Refonte complète de la page pour modernisation et ajouts

Ycharbi : Aération du code + Ajout astuce de connexion SSH + ajout section "Message d'accueil".