R409 : Sécurité des réseaux LAN
Table des matières
LAB 0 : CDP 2
LAB 1 : CONFIGURATION D’UN RÉSEAU SANS FIL 3
LAB 2 : CONFIGURATION D’UN WLAN SUR UN WLC 3
LAB 3 : CONFIGURATION D’UN WLAN WPA2 SUR UN WLC 3
TP 1 : DHCP SNOOPING ET INSPECTION ARP 4
TP 2 : DURCISSEMENT COUCHE 2 5
LAB 0 : CDP
Concepts clés de CDP
● Fonctionnement : CDP est un protocole de couche 2. Il sert à découvrir des
informations sur les équipements réseaux voisins.
● Spécificités : Il ne détecte que les équipements Cisco directement connectés
qui exécutent eux aussi CDP. Étant un protocole de couche 2, il peut
découvrir des équipements même s'ils n'ont pas encore d'adresse IP.
● Risques de sécurité : CDP diffuse des informations potentiellement
sensibles. Un attaquant peut notamment découvrir la version exacte du
système d'exploitation IOS de l'appareil voisin et exploiter une faille connue.
● Bonnes pratiques : Il est recommandé de n'exécuter CDP que lorsque c'est
nécessaire. Il faut diffuser ces informations uniquement sur le réseau interne
et désactiver le protocole sur les interfaces connectées à des réseaux
externes.
Commande Action
show cdp Affiche le statut global de CDP
(activé ou non).
cdp run Active le protocole CDP sur
l'ensemble du routeur.
no cdp enable Désactive CDP de manière ciblée
sur une interface spécifique.
show cdp Affiche la liste des appareils voisins
neighbors connectés.
show cdp Affiche les détails du voisin, y
neighbors detail compris son adresse IP et la
version de son logiciel IOS.
LAB 1 : CONFIGURATION D’UN RÉSEAU SANS FIL
● Sécurité Wi-Fi : La configuration classique recommandée est le WPA2
Personal avec le cryptage AES. Attention, le nom du réseau (SSID) est
sensible à la casse.
LAB 2 : CONFIGURATION D’UN WLAN SUR UN WLC
● Un WLC (Contrôleur LAN sans fil) sert à centraliser la gestion d'un réseau
Wi-Fi. Concrètement, au lieu de configurer chaque borne Wi-Fi de manière
isolée, on installe des bornes "légères" (LAP) qui sont toutes pilotées à
distance par ce contrôleur central. C'est depuis l'interface du WLC qu'on crée
les nouveaux réseaux sans fil (WLAN), qu'on configure la sécurité (comme les
mots de passe WPA2) et qu'on surveille l'état de tout le réseau.
LAB 3 : CONFIGURATION D’UN WLAN WPA2 SUR UN WLC
● WPA2-Enterprise vs PSK : Le PSK utilise un mot de passe unique, ce qui
est risqué et difficile à gérer à grande échelle. Le WPA2-Enterprise utilise un
serveur RADIUS : chaque utilisateur a ses propres identifiants, permettant
une gestion centralisée et la journalisation des activités.
● Double Authentification : Le serveur RADIUS n'authentifie pas que
l'utilisateur, il authentifie aussi le WLC. Le WLC doit configurer un secret
partagé (shared secret) pour prouver son identité au serveur RADIUS.
● Interfaces et Trunks : Chaque WLAN créé sur le WLC nécessite une
interface virtuelle (dynamique) associée à un VLAN spécifique. Par
conséquent, les liaisons entre les AP, le WLC et le routeur doivent
obligatoirement être des liaisons Trunk.
TP 1 : DHCP SNOOPING ET INSPECTION ARP
L'Attaque visée (Rogue DHCP & MITM)
● Un "Rogue router" (routeur pirate) agit comme un faux serveur DHCP pour
répondre aux requêtes des PC.
● Son but est de distribuer des adresses IP pour devenir la passerelle par
défaut des ordinateurs et intercepter leur trafic (attaque Man in the Middle).
Défense 1 : DHCP Snooping
● Principe : Il filtre le trafic DHCP dangereux pour bloquer les offres non
autorisées provenant du routeur pirate.
● Trust vs Untrust : Le port du switch relié au vrai serveur DHCP est configuré
comme fiable avec la commande ip dhcp snooping trust. Les autres
ports (vers les PC ou d'éventuels attaquants) restent non fiables et bloquent
les réponses DHCP.
● Anti-DoS : Pour éviter qu'un attaquant ne fasse planter le port avec trop de
requêtes, on limite le trafic avec ip dhcp snooping limit rate 4.
Défense 2 : Dynamic ARP Inspection (DAI)
● Principe : Il sécurise la Couche 2 en empêchant les attaques d'usurpation
d'identité (ARP Spoofing).
Fonctionnement : Le DAI utilise la base de données générée par le DHCP
Snooping (visible avec show ip dhcp snooping binding).
● Il vérifie chaque paquet ARP : si l'adresse IP ne correspond pas à l'adresse
MAC légitime enregistrée dans la base, le paquet est détruit.
TP 2 : DURCISSEMENT COUCHE 2
Protection des Ports et des VLANs
● Port Security : Empêche le "MAC flooding" et les accès non autorisés.
L'option clé est le mode "Sticky", qui permet d'apprendre dynamiquement
l'adresse MAC d'un PC légitime et de l'enregistrer directement dans la
configuration active du switch (running-config).
● Attaques VLAN (VLAN Hopping) : Pour empêcher un attaquant de sauter
d'un VLAN à un autre, la parade absolue est de désactiver le protocole DTP
(Dynamic Trunking Protocol) sur les ports.
Protection de la Topologie
● Attaques STP (Spanning Tree) : Pour empêcher un attaquant de manipuler
le réseau en devenant le commutateur principal, il faut imposer la hiérarchie
(ex: S1 en "Root") et activer les sécurités BPDU Guard et Root Guard sur
les ports.
● Root Guard & BPDU Guard : Root Guard empêche un switch pirate de
devenir le maître du réseau. BPDU Guard désactive instantanément un port
utilisateur s'il reçoit un message réseau de type BPDU.
Sécurisation de l'Administration : Le Modèle AAA Local Le mode "Local" signifie
que la base de données des utilisateurs est stockée directement sur le switch, sans
serveur externe.
● Authentication (Qui es-tu ?) : C'est l'étape de connexion. Le switch exige un
identifiant et un mot de passe valides pour autoriser l'accès physique
(Console) ou distant (SSH).
● Authorization (Que peux-tu faire ?) : C'est l'attribution des droits. Selon
l'utilisateur, on attribue un niveau de privilège (ex: 15 pour un accès total, 1
pour un accès limité).
● Accounting (Qu'as-tu fait ?) : C'est la traçabilité. Le switch garde un journal
de bord des connexions, des déconnexions et des commandes tapées pour
savoir qui a fait quoi.