ROUTING & SWITCHING - Synthèse

Rôle du routeur

Équipement spécialisé dans la transmission de paquets entre réseaux, assurant la QoS et la sécurité

Topologie physique

Comment le réseau est formé, l’apparence, les périphériques, etc…

Topologie Logique

Comment les stations se partagent le support, en fonction du mode d’accès au réseau (voir ci-dessous, Ethernet, FDDI, etc…)

Management plane

Plan de gestion pour accéder, configurer, gérer et surveiller un périphérique et ses opérations sur le réseau. (SSH, Telnet)

Control plane

Plan de contrôle responsable du routage correct (ARP, OSPF, BGP)

Data plane

Plan de données responsable de la transmission des données transitant par le routeur

Commutation de processus

Mécanisme de transfert lent et dépassé où chaque paquet est envoyé au plan de contrôle

Fast switching

Commutation rapide utilisant un cache pour stocker les tronçons suivants selon les paquets passés

Cisco Express Forwarding (CEF)

Utilise un cache (FIB) rempli selon les modifications réseau, évitant le passage par le processeur

Distance administrative (DA)

Valeur de sélection du meilleur chemin (plus elle est faible, plus le protocole est fiable)

Table de routage

Contient les interfaces vers les réseaux connus, directement connectés ou non (statiques ou dynamiques)

Réception d’une trame

Désencapsulassions de la trame → lecture couche 3 et TTL → vérification interface de sortie → encapsulation → envoie

Route statique

Configuration manuelle offrant sécurité et faible consommation de ressources, mais peu évolutive

Résumé de route

Regroupement de plusieurs adresses réseau en une seule pour réduire la table de routage

Différentes entrées dans une table de routage

C : Directement connectée
L : Route locale
S : Statique
S* : Statique par défaut (=passerelle principale)
R: Protocole dynamique (RIP)
O : Protocole dynamique via OSFP
D : Protocole dynamique via EIGRP

Avantage des routes statiques

Faible consommation de ressources, pas de calcul de métrique ni d’informations à mettre à jour. Et meilleur sécurité car les chemins sont connus et prévisibles.

Désavatange des routes statiques

Configuration initiale longe et mise à jour difficile en cas de changement topologiques . Peu évolutif

Route statique flottante

Route avec une DA plus élevée que la principale, servant de secours en cas de panne

ACL (Access Control List)

Suite de commandes filtrant les paquets selon les en-têtes couche 3 et 4, de l’adresse ip source/dest, du port source, …
Encadré par PERMIT, DENY ou LOG des packets.

ACL Standard

Filtre uniquement sur l'IP source (couche 3) et se place le plus près possible de la destination

ACL Étendue

Filtre couche 3 et 4, selon type de protocole, sur l’IP source/dest, sur les ports src/dest udp ou tcp, sur les flags tcp, … et se place le plus près possible de la source du trafic à fitlrer pour éviter de router du trafic inutile)

Règle d'or ACL

Une seule ACL par interface, par sens(in/out) et par protocole (ipv4/ipv6)

Ordre des ACL

Lecture séquentielle avec arrêt à la première correspondance finit par un "deny" implicite

Masque générique (Wildcard)

Inverse du masque de sous-réseau utilisé pour définir les plages d'adresses dans les ACL

Numéros ACL Standard

1 à 99 et 1300 à 1999

Numéros ACL Étendues

100 à 199 et 2000 à 2699

ACE

Instructions d’une ACL, elles sont ordonnées pour optimiser les vérifications donc les hôtes précis puis les plages réseau)

Creation d’une ACL numérotée

access-list {numéro} {permit|deny|remark (10caractères max)} {host|source|any}[log]

Création d’une ACL nommée

ip access-list [ standard | extended ] {nom}

[permit | deny | remark] {host | source [source-wildcard] | any } [ log ]

Association d’une ACL à une interface

ip acces-group {acces-list-number|name} {in|out}

Masque générique

Inversion des bits du masque de sous réseau (255.255.255.0 → 0.0.0.255)

Mot-clé established

Utilisé dans les ACL étendues pour autoriser uniquement les réponses à un trafic TCP déjà initié

Application ACL

Commande "ip access-group {num|nom} {in|out}" appliquée sur l'interface

Étapes Cyber Kill Chain

1. Reconnaissance ; Collecte d'informations sur la cible.

2. Armement ; Création d'une charge malveillante (exploit + payload).

3. Livraison ; Transmission de la charge (ex: phishing, clé USB).

4. Exploitation ; Déclenchement du code malveillant sur le système cible.

5. Installation ; Implantation d'un accès persistant (ex: backdoor).

6. Command & Control (C2) ; Établissement d'un canal de communication distant avec l'attaquant.

7. Actions sur les objectifs ; Vol de données, chiffrement (ransomware), sabotage.

Utilité : Permet de cartographier la défense pour briser la chaîne d'attaque à un stade précoce.

Citez 4 principes généraux de la sécurité dès la conception (Security by Design) ?

1. Moindre privilège.

2. Défense en profondeur.

3. Sécurité par défaut.

4. Minimisation de la surface d'attaque.

Qu’est ce qu’un Rubber ducky ?

Un périphérique qui prend l'apparence physique d'une clé USB mais est reconnu par l'OS comme un clavier humain
Il injecte des suites de commandes clavier à une vitesse fulgurante pour exécuter des scripts malveillants.

Qu’est ce que le mécanisme du RTS/CTS ?

1. RTS (Request to Send) : L'émetteur envoie une petite trame de contrôle pour demander l'autorisation d'émettre pendant une durée précise.

2. CTS (Clear to Send) : Le récepteur répond par une trame CTS. Cette trame a deux rôles : confirmer à l'émetteur qu'il peut envoyer ses données et, surtout, informer toutes les autres stations à portée du récepteur qu'elles doivent se taire pendant la durée réservée.

3. DATA : L'émetteur transmet ses données en étant sûr que le canal est libre.

4. ACK : Le récepteur confirme la bonne réception

Permet de résoudre le problème du nœud caché. Ex; deux stations (A et C) sont à portée d'un point d'accès (B), mais ne se voient pas entre elles. Sans RTS/CTS, A et C pourraient émettre en même temps vers B, provoquant une collision que ni A ni C ne pourraient détecter.

Interet de configurer un délai de préemption lors de la configuration de HSRP

Permettre au routeur de stabiliser ses tables de routages (ospf, bgp,…) après un redémarrage avant de reprendre le role d’actif ce qui permet d’éviter des pertes de trafic.

Avantage principal du mode” enhanced open” de WPA par rapport au mode "Open" du WPA2?

Fournit un chiffrement individuel des données (via OWE) sans nécessiter de mot de passe, empêchant l'écoute clandestine (sniffing) passive du trafic.

Internal router (dans un réseau OSPF)

Routeur dont toutes les interfaces appartiennent à la même aire OSPF.

Backbone Router

Routeur qui possède au moins une interface connectée à l'aire de backbone (Area 0).

Area Border Router

Routeur connecté à plusieurs aires (généralement l'Area 0 et une ou plusieurs aires normales).

Autonomous System Boundary Router (ASBR)

Un routeur qui connecte le domaine OSPF à une source de routage externe (Internet, un autre protocole comme EIGRP ou BGP, ou des routes statiques)

En IPv6, que signifient les bits M et O dans un message d'Annonce de Routeur (RA) lorsqu'ils sont réglés à 0 ou 1 ?

Bit M (Managed);

• 1 : Utiliser un serveur DHCPv6 pour obtenir l'adresse IPv6 globale (étatful).

• 0 : Utiliser l'autoconfiguration sans état (SLAAC) pour l'adresse

Bit O (Others);

• 1 : Utiliser un serveur DHCPv6 pour obtenir les informations de configuration supplémentaires (DNS, nom de domaine, etc.).

• 0 : Utiliser uniquement les informations fournies dans le message RA.

Notion de confidentialité persistante (Forward Secrecy)

Propriété garantissant que la compromission d'une clé privée à long terme n'entraîne pas la compromission des clés de session passées.

Causes courantes de problèmes de performance wifi

Interférences (micro-ondes, bluetooth,…)

Obstacles physiques

Densité excessive de clients

Mécanisme Wifi 6 réduisant les intéférences entre BSS voisins

BSS Coloring (permet à l’appareil de différencier son propre trafic de celui d’un voisin sur le meme canal, évitant ainsi d’attendre inutilement que le canal se libère)

Evolution majeure du Wi-Fi 6E par rapport au Wi-Fi 6

L’utilisation de la bande de fréquence des 6Ghz → canaux plus larges sans contraintes.

2 modes de fonctionnement du Wi-Fi Multi-Link Operation

1. Simultaneous Transmit and Receive; utilise plusieurs radios

2. Non-Simulatneous Transmit and Receive; une seule radio bascule entre les liens

Avantage de MSTP par rapport à RSTP

Permet de grouper plusieurs VLANs dans une seule instance (gain CPU/RAM, idéale pour les grands réseaux pour éviter d’avoir des centaines d’instances de Spanning Tree)

Inconvenient de MSTP par rapport à RSTP

Configuration beaucoup plus complexe

Ordre des états de voisinage OSPF jusqu’à la convergence

1. Etat Down

2. Etat Attempt (envoie de packets hello pour essayer de joindre un voisin silencieux)

3. Etat Init (recu un paquet hello d’un voisin mais n’existe par encore dans la liste des voisins)

4. Etat 2-Way

5. Etat ExStart (les routeurs décident qui va piloter l’échange de DB, le router ayant le plus gros router id devient maitre et iniatilise les numéros de séquence pour l’échange)

6. Etat Exchance (echange des paquets DBD contenant les résumes de leurs bases de données topologiques (LSDB))

7. Etat Loading (suite à l’échange un routeur envoie des requetes LSR (Link State Request) pour obtenir les détails manquants. L’autre lui répond avec des paquets LSU (Link State Update))

8. Etat full (les DB des 2 routeurs sont parfaitement synchronisées. Les routes peuvent donc etre calculées via l’algo SPF

Protocole d’auto-négociation de lien Trunk 802.1Q

DTP

Quel protocole est utilisé pour la communication et la gestion entre un AP léger et un contrôleur WLC ?

CAPWAP