Commandes Pour Config Le Switch Cisco Catalyst 2950

Mise en œuvre VLAN (Switch CISCO 2950)

Installation et configuration d’un VLAN Niveau 1Ce TP a pour but de mettre en oeuvre et d’observer certaines fonctionnalités avancées de la commutation sur Ethernet avec un commutateur administrable (ici un switch CISCO 2950), en particulier la mise en œuvre d’un VLAN (Virtual Local Area Network) de niveau 1 (VLAN physique ou VLAN par ports) ou RPV (Réseau Privé Virtuel) de niveau 1.

Mise en place de l’atelierMoyens nécessaires

Un switch manageable CISCO 2950, 4 PC en W2003 Serveur ou WXP Pro, 2 câbles rouges (ou gris) et 2 câbles verts (ou jaunes) .

Ce TP peut également être effectué sur un simulateur Boson Netsim.

Préparation de la maquette

1. Réalisez le montage suivant.

2. Configurez les adresses IP et masques correspondants aux postes PC1 à PC4.

3. Installez si possible le Moniteur réseau ou Ethereal sur chacun des postes mais la simple observation des « ping » peut également suffir.

Administrer le switch avec HyperTerminalAfin de pouvoir mettre en place les VLAN il faut configurer le switch. Cette configuration se fait à la base à l’aide du port série destiné à cet effet.

Configurer le programme HyperTerminal de la station de travail

1. Faites Démarrer, Programmes, Accessoires, Communications, puis HyperTerminal.

2. Donnez le nom Cisco à votre connexion et choisissez une icône qui vous convient.

3. Sélectionnez le port série COM1 et configurez ce port à l'aide des valeurs indiquées ci-dessous (onglet « Connexion à », bouton « Configurer »… selon le système d’exploitation utilisé sur le poste).

Option de configuration Paramètre(s) actuel(s)Port COM COM 1Bits par seconde 9600Bits de données 8Parité aucunBits d'arrêt 1Contrôle de flux aucun

4. Terminez en cliquant sur « OK ».

Maj. : 17/04/2023 ARLE 1/5


Réinitialiser des switchs

On va reconfigurer le switch « comme s'il était neuf ». Pour cela, il faut suivre les étapes suivantes :

1. Ouvrez au besoin la session HyperTerminal créée ou sauvegardée précédemment et agissez sur le bouton « Entrée » pour afficher la page d’accueil (théoriquement une action suffit mais si ça ne réagit pas tentez deux ou trois actions sur la touche « Entrée »).

2. Débranchez le switch puis maintenez enfoncé le bouton de réinitialisation (marqué « Mode »), rebranchez-le et maintenez le bouton enfoncé jusqu’à ce que les diodes qui clignotent en orange passent au vert. Un message doit s’afficher à la console :

The system has been interrupted prior to initializing the flash file system. These commands will initialize the flash file system, and finish loading the operating system software:

3. Initialisez le système avec les commandes :

Switch# flash_initSwitch# load_helperSwitch# boot

Comme il n'y a plus de fichier de configuration, le système vous propose de lancer le dialogue de configuration initial :

Continue with the configuration dialog? [yes/no]: Y

4. Répondez oui : Y

Après cette première configuration, le switch est normalement fonctionnel et on peut le connecter au réseau Ethernet.

Observer la configuration de départ du switch

Une fois la console HyperTerminal configurée on va l’exploiter.

1. Ouvrez la session HyperTerminal et connectez-vous au switch.

2. Passez, si besoin, en mode privilégié.

Quelle commande devez-vous utiliser ?

3. Entrez les commandes suivantes :

Switch# show running-config et observez les différentes informations.

Switch# show interfaces et observez les différentes informations.

Quelles sont les « positions » des interfaces ?

FastEth 0/1 FastEth 0/2 FastEth 0/3 FastEth 0/4 FastEth 0/5 FastEth 0/…

Up Down Up Down Up Down Up Down Up Down Up Down

Affecter un nom au switch

Nous allons donner un nom au switch. Ce n’est pas « fondamental » c’est simplement une possibilité de configuration.


Switch# configure terminalSwitch(config)# hostname Switch_1Switch_1(config)# end

Nota : on peut saisir les commandes en abrégé. Ainsi configure terminal peut être saisi comme conf t. Le nombre de lettres à saisir dépend de l’ambiguïté potentielle de la commande. Une autre technique consiste à ne saisir que les premières lettres et à appuyer sur la touche de tabulation ce qui « complète » la commande si le nombre de lettres est suffisant pour lever l’ambiguïté.

Maj. : 17/04/2023 ARLE 2/5


Atelier 1 – Pas de VLANEn l'absence de configuration spécifique, le switch considère que tous les ports font partie d’un même VLAN « par défaut », dont le numéro de VLAN (ou VLAN Id) est 1. Dans ce contexte toutes les machines communiquent « comme s’il n’y avait pas de VLAN ». Mais un VLAN peut également être repéré par un nom ainsi que nous allons le voir.

Avec un unique VLAN « par défaut » (équivalent à « pas de VLAN »), on dispose donc avec le switch, d’un seul… (pensez au niveau de la couche où l’on travaille ici…) :

Domaine de collision ou Domaine de diffusion ?

Afin de nous assurer de ce que le switch est bien configuré pour tout laisser passer, nous allons faire quelques vérifications ou réglages.

Supprimer des VLAN

S’il des VLAN ont préalablement été configurés sur le switch il faut les supprimer. Commençons par observer s’il en subsiste :

1. En mode privilégié (#) entrez la commande show vlan :

Quel est le VLAN par défaut ?

S’il existe des VLAN déjà configurés, on va les supprimer.


Switch_1# VLAN databaseSwitch_1(vlan)# no vlan n° du VLAN à supprimerSwitch_1(vlan)# exit

3. Recommencez au besoin cette opération pour supprimer tous les VLAN existants… Si le VLAN 1 est défini avec un nom vous pouvez également faire un no vlan 1 ce qui va supprimer le nom (mais on conserve toujours un VLAN 1 par défaut).

4. Vérifiez que nous avez dorénavant la seule valeur 1 comme numéro de VLAN et que tous les ports du switch appartiennent bien à ce VLAN « par défaut ».

5. Vérifiez que TOUS les ports du Switch_1 sont bien dans le VLAN « par défaut ». Pour remettre un port dans le VLAN par défaut il faut faire :

Switch_1# conf tSwitch_1(config)# interface fastethernet 0/ n° du port à configurer (ou int fa 0/n)Switch_1(config-if)# switchport access vlan 1 (ou sw a vl 1)Switch_1(config-if)# no shutdown (ou no sh)Switch_1(config)# end

6. Faites un show vlan. Tous les ports doivent être revenus dans le VLAN 1 « par défaut ».

7. Démarrez la capture de trames sur chacune des interfaces des PC (pas possible sur machines virtuelles Boson…).

8. Faites des ping entre PC et, sur un poste quelconque, faites un ping vers une machine inconnue (par exemple PING TEST). Observez les réponses obtenues.

9. Cessez les éventuelles captures en cours et vérifiez à l’aide des trames capturées, que toutes les machines ont bien reçu les requêtes ARP (broadcast) notamment lors du ping vers la machine inconnue.

Si le broadcast ARP (trame Ethernet avec, comme adresse de destination FF-FF-FF-FF-FF-FF) a bien été reçu par toutes les machines, cela prouve bien que nous sommes actuellement en présence d’un unique domaine de diffusion.

Atelier 2 - VLANs par ports (VLAN Niveau 1)On souhaite que le trafic entre PC1 et PC4 soit totalement isolé du trafic entre PC2 et PC3 (voir Figure), c'est à dire qu'aucun échange ni observation ne puisse avoir lieu entre ces deux

Maj. : 17/04/2023 ARLE 3/5


réseaux locaux virtuels. Pour cela, on va créer deux VLANs distincts : le VLAN « ROUGE » pour PC1 et PC4 et le VLAN « VERT » pour PC2 et PC3.

On va définir ici des VLANs par port (VLAN physique ou VLAN de niveau 1). C’est à dire qu’on ne s’intéresse ici (au niveau du « filtrage » du switch), ni aux adresses MAC des postes qui vont communiquer, ni à leurs adresses IP.

Ainsi que vous avez du le constater lors de la première partie du TP, en l'absence de configuration particulière, le switch considère que tous les ports font partie du même VLAN par défaut et donc que toutes les machines communiquent comme s’il n’y avait pas de VLAN. Il faut donc configurer le switch pour qu’il puisse reconnaître nos VLANs.

Définir les VLANs

Il faut à présent définir le numéro de VLAN à affecter à la zone PVID (Port VLAN ID). Par défaut, tous les ports du switch appartiennent à un DEFAULT_VLAN qui a la valeur 1 comme numéro de VLAN. Il faut donc donner des VLAN ID différents aux deux VLANs. Par exemple, 20 pour le VLAN « Rouge » et 30 pour le VLAN « Vert ». On peut également attribuer ici un nom plus significatif tel que « Vert » ou « Rouge » – petit mnémotechnique amusant… « vin rouge » et « trente verres »… ah ah ah… non ? … Avec modération bien entendu…

Nous allons donc créer les VLAN (20) « Rouge » et le VLAN (30) « Vert ».


Switch_1# VLAN databaseSwitch_1(vlan)# vlan 20 name Rouge (on affecte le numéro et le nom au vlan)Switch_1(vlan)# vlan 30 name VertSwitch_1(vlan)# exitSwitch_1# show vlan

Vous devez maintenant voir les 3 VLAN (1, 20 et 30 ainsi que leurs noms). Remarquez que les ports ne sont pour l’instant affectés qu’au seul VLAN 1 par défaut.

Associer les ports à leurs VLANs

Il nous faut associer à présent les ports 1 et 4 au VLAN 20 (Rouge) reliant les postes PC1 et PC4 et les ports 2 et 3 au VLAN 30 (Vert) reliant les postes PC2 et PC3.

1. Entrez les commandes suivantes (ici en version « commande complète ») :

Switch_1# configure terminalSwitch_1 (config)# interface fa 0/1Switch_1 (config-if)# switchport access vlan 20Switch_1 (config-if)# no shutdown (active le port qui passe de l’état down à up)Switch_1 (config)# endSwitch_1# show vlan

Le port fast Ethernet 0/1 est-il bien affecté au VLAN 20 (Rouge) ? Oui Non

2. Entrez les commandes suivantes (ici en version « commande réduite ») :

Switch_1# conf tSwitch_1 (config)# in fa 0/4Switch_1 (config-if)# sw a v 20Switch_1 (config-if)# no shSwitch_1 (config)# endSwitch_1# sh vl

Le port fast Ethernet 0/4 est-il bien affecté au VLAN 20 Rouge ? Oui Non

3. Associez les ports fast Ethernet 0/2 et 0/3 au VLAN 30 (Vert) reliant les postes PC2 et PC3.

4. Vérifiez que les ports sont bien affectés aux bons VLANs.

5. Démarrez la capture de trames sur chacune des interfaces des PC (sauf sur machines virtuelles Boson…).

Maj. : 17/04/2023 ARLE 4/5


6. Testez alors la communication entre les différents PC et observez l'activité du trafic sur les différentes interfaces, comme dans l'exercice 1.

7. Faites des ping entre PC (entre PC d’un même VLAN, vers des PC de l’autre VLAN et vers une machine inconnue…). Observez bien les réponses obtenues.

8. Cessez les éventuelles captures en cours et vérifiez à l’aide des trames capturées, quelles sont les machines qui ont bien reçu les broadcasts ARP.

9. Vérifiez en particulier que les trames générées par le ping d'une machine sur un VLAN n'atteignent pas les machines de l'autre VLAN. Observez quelles sont les machines qui ont reçues les trames correspondant au « ping vers la machine inconnue ».

Si les broadcast ARP ont seulement été reçus par les machines du VLAN défini pour ces machines, cela prouve bien que nous sommes en présence de plusieurs domaines de diffusion – isolés entre eux.

Permuter deux postes

Nous avons associé, actuellement, les postes PC1 et PC4 aux ports 1 et 4 définis comme appartenant au VLAN 20 (Rouge) et les postes PC2 et PC3 aux ports 2 et 3 définis comme appartenant au VLAN 30 (Vert).

Mais, en principe, un commutateur travaille au niveau 2 (adresses MAC) et il constitue à cet effet une table des adresses MAC associées à chaque port. Cette table peut d’ailleurs être visualisée au moyen de la commande show mac-address-table.

1. Exécutez donc la commande :

Switch_1# sh mac

2. Permutez maintenant, sur le switch, les connecteurs 1 et 2 correspondant aux postes PC1 et PC2 et attendez que les diodes clignotantes passent de l’orange au vert (le switch est en train « d’apprendre » les adresses MAC).

3. Faites sur PC1 une série de ping en direction des autres postes ! Même chose sur PC2…

Que constatez-vous ?

On observe bien à présent que le PC2 a changé de VLAN et que c’est donc bien la position « physique » du connecteur qui va indiquer à quel VLAN est connectée la machine et ce, quelque soit son adresse MAC ! On a donc bien un VLAN par port ou de niveau 1 (et non pas par adresse MAC qui serait un VLAN de niveau 2).

Conclusion On limite les collisions (niveau 1) (carrément supprimé ici, compte tenu de ce qu’on est

en « full switched », ce sera d’ailleurs généralement le cas…). Bon… ça c’est en fait le travail fondamental du switch et pas vraiment celui du VLAN !

On limite les diffusions (niveau 2) en « séparant » le domaine de diffusion (broadcasts) du départ, en sous-domaines (ici les deux VLANs). Ca c’est le rôle des VLAN !

On sécurise le réseau, en empêchant que des machines d’un VLAN aient accès aux machines d’un autre VLAN. Ca c’est aussi le rôle des VLAN !

On constate qu’il s’agit bien à ce stade, d’un VLAN par port puisque, quel que soit le poste réellement connecté au port, le poste est affecté au VLAN qui correspond à ce port ! Et ça c’est potentiellement dangereux puisqu’on ne vérifie pas vraiment QUI est connecté…

Maj. : 17/04/2023 ARLE 5/5

Documents

Commandes Pour Config Le Switch Cisco Catalyst 2950