Pour chaque switch avoir les vlan suivants :<\/p>\n\n\n\n
Switch1#show vlan brief\n\nVLAN Name Status Ports\n---- -------------------------------- --------- -------------------------------\n1 default active \n2 RH active Fa0\/2\n3 LOG active Fa0\/3\n4 FIN active Fa0\/4\n20 inactif active Fa0\/1, Fa0\/5, Fa0\/6, Fa0\/7\n Fa0\/8, Fa0\/9, Fa0\/10, Fa0\/11\n Fa0\/12, Fa0\/13, Fa0\/14, Fa0\/15\n Fa0\/16, Fa0\/17, Fa0\/18, Fa0\/19\n Fa0\/21, Fa0\/22, Fa0\/23\n80 serveur active Fa0\/20\n99 Admin active Fa0\/24\n1002 fddi-default active \n1003 token-ring-default active \n1004 fddinet-default active \n1005 trnet-default active <\/code><\/pre>\n\n\n\nLes 2 ports gigabits sont en mode trunk et aggr\u00e9g\u00e9s comme suit :<\/p>\n\n\n\n
Switch1#show etherchannel port-channel \n Channel-group listing:\n ----------------------\n\nGroup: 1\n----------\n Port-channels in the group:\n ---------------------------\n\nPort-channel: Po1 (Primary Aggregator)\n------------\n\nAge of the Port-channel = 00d:00h:03m:24s\nLogical slot\/port = 2\/1 Number of ports = 2\nGC = 0x00000000 HotStandBy port = null\nPort state = Port-channel \nProtocol = LACP\nPort Security = Disabled\n\nPorts in the Port-channel:\n\nIndex Load Port EC state No of bits\n------+------+------+------------------+-----------\n 0 00 Gig0\/2 Active 0\n 0 00 Gig0\/1 Active 0\nTime since last port bundled: 00d:00h:03m:11s Gig0\/1<\/code><\/pre>\n\n\n\n<\/span>II.2 Interface virtuelle de Vlan<\/span><\/h3>\n\n\n\nIl faut dans un premier temps cr\u00e9er des interfaces de Vlan sur un deux switch (pas les deux).<\/p>\n\n\n\n
Switch1#conf t\nSwitch1(config)#interface vlan 2\nSwitch1(config-if)#ip address 192.168.2.100 255.255.255.0\nSwitch1(config-if)#exit\nSwitch1(config)#interface vlan 3\nSwitch1(config-if)#ip address 192.168.3.100 255.255.255.0\nSwitch1(config-if)#exit\nSwitch1(config)#interface vlan 4\nSwitch1(config-if)#ip address 192.168.4.100 255.255.255.0\nSwitch1(config-if)#exit<\/code><\/pre>\n\n\n\nEnsuite on active le routage :<\/p>\n\n\n\n
Switch(config)#ip routing <\/code><\/pre>\n\n\n\nOn peut voir la prise en compte sur le swicth :<\/p>\n\n\n\n
Switch1#show ip interface brief | begin Vlan\nVlan1 unassigned YES NVRAM administratively down down \nVlan2 192.168.2.100 YES manual up up \nVlan3 192.168.3.100 YES manual up up \nVlan4 192.168.4.100 YES manual up up<\/code><\/pre>\n\n\n\nMaintenant chaque PC pourra communiquer entre eux :<\/p>\n\n\n\n
@IP PC<\/td> @IP passerelle<\/td><\/tr> 192.168.1.1<\/td> 192.168.1.100 (@ip passerelle du VLAN 2)<\/td><\/tr> 192.168.1.2<\/td> 192.168.1.100 (@ip passerelle du VLAN 2) <\/td><\/tr> 192.168.2.1<\/td> 192.168.2.100 (@ip passerelle du VLAN 3) <\/td><\/tr> etc..<\/td> <\/td><\/tr><\/tbody><\/table>\n\n\n\n<\/span>II Impl\u00e9menter des r\u00e8gles de communication au milieu de ces VLAN<\/span><\/h2>\n\n\n\n<\/span>II.2 Avant de commencer<\/span><\/h3>\n\n\n\nMaintenant que le routage inter vlan est impl\u00e9ment\u00e9, tout les pc des VLAN peuvent communiquer entre eux.<\/p>\n\n\n\n
Nous allons voir comment affiner cela afin que :<\/p>\n\n\n\n
certains VLAN ne puissent pas communiquer entre eux ;<\/li> certains VLAN acc\u00e8dent au serveur ;<\/li> le VLAN admin acc\u00e8de \u00e0 tous les VLAN.<\/li><\/ul>\n\n\n\nNous allons impl\u00e9menter le VLAN 80 (serveur) et 99 (admin). A chacun de ces vlan une adresse d’interface virtuelle sera attribu\u00e9e comme suivant :<\/p>\n\n\n\n
Switch1#show ip interface brief\nInterface IP-Address OK? Method Status Protocol \nPort-channel1 unassigned YES unset up up \nFastEthernet0\/1 unassigned YES NVRAM down down \n...\nVlan1 unassigned YES NVRAM administratively down down \nVlan2 192.168.2.100 YES NVRAM up up \nVlan3 192.168.3.100 YES NVRAM up up \nVlan4 192.168.4.100 YES NVRAM up up \nVlan80 192.168.80.100 YES manual up up \nVlan99 192.168.99.100 YES manual up up<\/code><\/pre>\n\n\n\nAvec pour chaque VLAN :<\/p>\n\n\n\n
Switch1#show vlan brief\n\nVLAN Name Status Ports\n---- -------------------------------- --------- -------------------------------\n1 default active \n2 RH active Fa0\/2\n3 LOG active Fa0\/3\n4 FIN active Fa0\/4\n20 inactif active Fa0\/1, Fa0\/5, Fa0\/6, Fa0\/7\n Fa0\/8, Fa0\/9, Fa0\/10, Fa0\/11\n Fa0\/12, Fa0\/13, Fa0\/14, Fa0\/15\n Fa0\/16, Fa0\/17, Fa0\/18, Fa0\/19\n Fa0\/21, Fa0\/22, Fa0\/23\n80 serveur active Fa0\/20\n99 Admin active Fa0\/24\n1002 fddi-default active \n1003 token-ring-default active \n1004 fddinet-default active \n1005 trnet-default active <\/code><\/pre>\n\n\n\n<\/span>II.2 R\u00e8gles \u00e0 impl\u00e9menter<\/span><\/h3>\n\n\n\nSous forme de tableau :<\/p>\n\n\n\n
VLAN<\/td> RH<\/td> LOG<\/td> FIN<\/td> Serveur<\/td> admin<\/td><\/tr> RH <\/td> n\u00e9ant<\/td> <\/td> X<\/td> X<\/td> X<\/td><\/tr> LOG<\/td> <\/td> n\u00e9ant<\/td> <\/td> <\/td> X<\/td><\/tr> FIN<\/td> X<\/td> <\/td> n\u00e9ant <\/td> X<\/td> X<\/td><\/tr> Serveur<\/td> X<\/td> <\/td> X<\/td> n\u00e9ant <\/td> X<\/td><\/tr> admin<\/td> X<\/td> X<\/td> X<\/td> X<\/td> n\u00e9ant <\/td><\/tr><\/tbody><\/table>\n\n\n\n<\/p>\n\n\n\n
<\/p>\n\n\n\n
<\/span>II.3 Impl\u00e9mentation<\/span><\/h3>\n\n\n\n<\/span>II.3.1 Les ACL, explications initiales<\/span><\/h4>\n\n\n\nSous Cisco il existe 2 type d’ACL :<\/p>\n\n\n\n
les ACL standard qui s’appliquent au plus pr\u00e8s de la destination :porte un num\u00e9ro de 1 \u00e0 99 ou un nom<\/li> s’applique pour une adresse source<\/li><\/ul><\/li> les ACL \u00e9tendues qui quant \u00e0 elle s’appliquent au plus pr\u00e8s de la sourceporte un num\u00e9ro de 100 \u00e0 99 ou un nom ;<\/li> s’applique soit pour :une adresse source ;<\/li> une adresse de destination ;<\/li> un port ;<\/li> un service.<\/li><\/ul><\/li><\/ul><\/li><\/ul>\n\n\n\nEtape 1 : cr\u00e9ation d’une ACL <\/span><\/p>\n\n\n\nCr\u00e9ation d’une ACL de type standard refusant le VLAN 3 (LOG). Cette ACL sera positionn\u00e9e plus tard sur l’interface de VLAN 80 :<\/p>\n\n\n\n
cr\u00e9ation d’une ACL nomm\u00e9e : VLAN80<\/li> interdiction du vlan 3 soit 192.168.3.0 0.0.0.255 (masque invers\u00e9)<\/li><\/ul>\n\n\n\nSwitch1#conf t\nSwitch1(config)#ip access-list standard vlan80\nSwitch1(config-std-nacl)#?\n <1-2147483647> Sequence Number\n default Set a command to its defaults\n deny Specify packets to reject\n exit Exit from access-list configuration mode\n no Negate a command or set its defaults\n permit Specify packets to forward\n remark Access list entry comment\nSwitch1(config-std-nacl)#deny 192.168.3.0 0.0.0.255 <\/code><\/pre>\n\n\n\nPour voir si cette ACL est prise en compte :<\/p>\n\n\n\n
Switch1#show access-lists \nStandard IP access list vlan80\n 10 deny 192.168.3.0 0.0.0.255<\/code><\/pre>\n\n\n\nEtape 2 association de l’ACL \u00e0 une interface de VLAN <\/span><\/p>\n\n\n\nMaintenant que l’ACL est d\u00e9finie, on va la positionner sur le VLAN.<\/p>\n\n\n\n
Switch1#conf t\nSwitch1(config)#interface vlan 80\nSwitch1(config-if)#ip access-group vlan80 in \nSwitch1(config-if)#ip access-group vlan80 out<\/code><\/pre>\n\n\n\nPour visualiser :<\/p>\n\n\n\n
Switch1#show running-config \nBuilding configuration...\n...\ninterface Vlan80\n mac-address 0001.6388.7504\n ip address 192.168.80.100 255.255.255.0\n ip access-group vlan80 in\nip access-group vlan80 out\n...\nip access-list standard vlan80\n deny 192.168.3.0 0.0.0.255\n...\nend\n<\/code><\/pre>\n\n\n\nA ce stade plus aucun PC ne peut contacter le serveur. Ceci s’explique par le fait que l’ACL nomm\u00e9e inclut comme r\u00e8gle implicite \u00ab\u00a0deny any<\/strong>\u00a0\u00bb \u00e0 la fin de l’ACL. Il faut donc ajouter \u00e0 l’ACL la r\u00e8gle suppl\u00e9mentaire \u00ab\u00a0permit any<\/strong>\u00ab\u00a0.<\/p>\n\n\n\nSwitch1#conf t\nSwitch1(config)#ip access-list standard vlan80\nSwitch1(config-std-nacl)#permit any <\/code><\/pre>\n\n\n\nCe qui donne l’ACL suivante :<\/p>\n\n\n\n
Switch1#show access-lists \nStandard IP access list vlan80\n 10 deny 192.168.3.0 0.0.0.255\n 20 permit any<\/code><\/pre>\n\n\n\nA ce stade tous les PC du VLAN 3 (LOG) ne peuvent pas acc\u00e9der au serveur du VLAN 80. Les autres VLAN quant \u00e0 eux peuvent y acc\u00e9der.<\/p>\n\n\n\n
Suppression des ACL :<\/span><\/p>\n\n\n\nPour supprimer l\u2019association d’une ACL sur un VLAN :<\/p>\n\n\n\n
Switch1#conf t\nSwitch1(config)#interface vlan 80\nSwitch1(config-if)#no ip access-group vlan80 in\nSwitch1(config-if)#no ip access-group vlan80 out<\/code><\/pre>\n\n\n\nPour supprimer une ACL (nomm\u00e9e) :<\/p>\n\n\n\n
Switch1#conf t\nSwitch1(config)#no ip access-list standard vlan80<\/code><\/pre>\n\n\n\n<\/span>II.3.2 Cr\u00e9ation des ACL et associations sur les VLAN<\/span><\/h4>\n\n\n\nDans notre cas, on va fonctionner \u00e0 l’envers. Par d\u00e9faut tout sera interdit sauf les VLAN que l’on souhaite.<\/p>\n\n\n\n
Etape 1 : on va cr\u00e9er une ACL par VLAN :<\/span><\/p>\n\n\n\nle vlan 80 (serveur) doit accepter que les vlan RH, FIN et admin :<\/li><\/ul>\n\n\n\nSwitch1#conf t\nSwitch1(config)#ip access-list standard vlan80_serveur \nSwitch1(config-std-nacl)#permit 192.168.99.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.2.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.4.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.80.0 0.0.0.255<\/code><\/pre>\n\n\n\nremarque : Pas besoin de mettre deny any, c’est activ\u00e9 par d\u00e9faut. De plus il faut autoriser le VLan 80 pour qu’il puisse communiquer \u00e0 l’ext\u00e9rieur.<\/p>\n\n\n\n
le Vlan 99 (admin) doit accepter tous les VLAN :<\/p>\n\n\n\n
Switch1#conf t\nSwitch1(config)#ip access-list standard vlan99_admin\nSwitch1(config-std-nacl)#permit 192.168.2.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.3.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.4.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.80.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.99.0 0.0.0.255<\/code><\/pre>\n\n\n\nRemarque : On aurait pu mettre \u00ab\u00a0permit any\u00a0\u00bb<\/p>\n\n\n\n
le Vlan 2 (RH) accepte les vlan FIN, serveur et admin<\/li><\/ul>\n\n\n\nSwitch1(config)#ip access-list standard valn2_rh\nSwitch1(config-std-nacl)#permit 192.168.2.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.4.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.80.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.99.0 0.0.0.255<\/code><\/pre>\n\n\n\nle Vlan 3 (LOG) accepte le Vlan admin seulement<\/li><\/ul>\n\n\n\nSwitch1#conf t\nSwitch1(config)#ip access-list standard vlan3_log\nSwitch1(config-std-nacl)#permit 192.168.3.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.99.0 0.0.0.255<\/code><\/pre>\n\n\n\nle vlan 4 (FIN) accepte les VLAN RH, serveur et admin<\/li><\/ul>\n\n\n\nSwitch1#conf t\nSwitch1(config)#ip access-list standard vlan4_fin\nSwitch1(config-std-nacl)#permit 192.168.4.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.2.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.80.0 0.0.0.255\nSwitch1(config-std-nacl)#permit 192.168.99.0 0.0.0.255<\/code><\/pre>\n\n\n\nEtape 2 : on associe les acl aux VLAN<\/span><\/p>\n\n\n\nSwitch1(config)#interface vlan 99\nSwitch1(config-if)#ip access-group vlan99_admin in\nSwitch1(config-if)#ip access-group vlan99_admin out\nSwitch1(config-if)#exit\n\nSwitch1(config)#interface vlan 80\nSwitch1(config-if)#ip access-group vlan80_serveur in\nSwitch1(config-if)#ip access-group vlan80_serveur out\nSwitch1(config-if)#exit\n\nSwitch1(config)#interface vlan 2\nSwitch1(config-if)#ip access-group valn2_rh in\nSwitch1(config-if)#ip access-group valn2_rh out\nSwitch1(config-if)#exit\n\nSwitch1(config)#interface vlan 3\nSwitch1(config-if)#ip access-group vlan3_log in\nSwitch1(config-if)#ip access-group vlan3_log out\nSwitch1(config-if)#exit\n\nSwitch1(config)#interface vlan 4\nSwitch1(config-if)#ip access-group vlan4_fin in\nSwitch1(config-if)#ip access-group vlan4_fin out<\/code><\/pre>\n\n\n\n<\/p>\n\n\n\n
V\u00e9rification :<\/span><\/p>\n\n\n\nListe des acl :<\/p>\n\n\n\n
Switch1#show access-lists \nStandard IP access list vlan80_serveur\n 10 permit 192.168.99.0 0.0.0.255\n 20 permit 192.168.2.0 0.0.0.255 (351 match(es))\n 30 permit 192.168.4.0 0.0.0.255 (351 match(es))\n 40 permit 192.168.80.0 0.0.0.255 (646 match(es))\nStandard IP access list vlan99_admin\n 10 permit 192.168.2.0 0.0.0.255 (350 match(es))\n 20 permit 192.168.3.0 0.0.0.255 (344 match(es))\n 30 permit 192.168.4.0 0.0.0.255 (342 match(es))\n 40 permit 192.168.80.0 0.0.0.255\n 50 permit 192.168.99.0 0.0.0.255 (1043 match(es))\nStandard IP access list valn2_rh\n 10 permit 192.168.2.0 0.0.0.255 (95 match(es))\n 20 permit 192.168.4.0 0.0.0.255 (7 match(es))\n 30 permit 192.168.80.0 0.0.0.255 (2 match(es))\n 40 permit 192.168.99.0 0.0.0.255 (64 match(es))\nStandard IP access list vlan3_log\n 10 permit 192.168.3.0 0.0.0.255 (15 match(es))\n 20 permit 192.168.99.0 0.0.0.255 (2 match(es))\nStandard IP access list vlan4_fin\n 10 permit 192.168.4.0 0.0.0.255\n 20 permit 192.168.2.0 0.0.0.255\n 30 permit 192.168.80.0 0.0.0.255\n 40 permit 192.168.99.0 0.0.0.255<\/code><\/pre>\n\n\n\nListe des associations avec les VLAN :<\/p>\n\n\n\n
interface Vlan1\n no ip address\n shutdown\n!\ninterface Vlan2\n mac-address 0001.6388.7501\n ip address 192.168.2.100 255.255.255.0\n ip access-group valn2_rh in\n ip access-group valn2_rh out\n!\ninterface Vlan3\n mac-address 0001.6388.7502\n ip address 192.168.3.100 255.255.255.0\n ip access-group vlan3_log in\n ip access-group vlan3_log out\n!\ninterface Vlan4\n mac-address 0001.6388.7503\n ip address 192.168.4.100 255.255.255.0\n ip access-group vlan4_fin in\n ip access-group vlan4_fin out\n!\ninterface Vlan80\n mac-address 0001.6388.7504\n ip address 192.168.80.100 255.255.255.0\n ip access-group vlan80_serveur in\n ip access-group vlan80_serveur out\n!\ninterface Vlan99\n mac-address 0001.6388.7505\n ip address 192.168.99.100 255.255.255.0\n ip access-group vlan99_admin in\n ip access-group vlan99_admin out\n!<\/code><\/pre>\n\n\n\nA ce stade toutes les impl\u00e9mentations sont d\u00e9finies.<\/p>\n","protected":false},"excerpt":{"rendered":"
Dans cet article, il sera abord\u00e9 : le routage inter-vlan sur un switch (cisco 3560) ; les ACL et association sur VLAN (VACL). I Routage inter-vlan avec un switch I.1 Avant de commencer Ci dessous le sch\u00e9ma de travail :<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4],"tags":[],"class_list":["post-1266","post","type-post","status-publish","format-standard","hentry","category-_systeme"],"_links":{"self":[{"href":"https:\/\/blogperso.union31.fr\/index.php?rest_route=\/wp\/v2\/posts\/1266","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blogperso.union31.fr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blogperso.union31.fr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blogperso.union31.fr\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blogperso.union31.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1266"}],"version-history":[{"count":77,"href":"https:\/\/blogperso.union31.fr\/index.php?rest_route=\/wp\/v2\/posts\/1266\/revisions"}],"predecessor-version":[{"id":1357,"href":"https:\/\/blogperso.union31.fr\/index.php?rest_route=\/wp\/v2\/posts\/1266\/revisions\/1357"}],"wp:attachment":[{"href":"https:\/\/blogperso.union31.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1266"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blogperso.union31.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1266"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blogperso.union31.fr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1266"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}