classe adresse ip

Classe Adresse IP

À l'origine, plusieurs groupes d'adresses ont été définis dans le but d'optimiser le cheminement (ou le routage) des paquets entre les différents réseaux. Ces groupes ont été baptisés classes d'adresses IP. Ces classes correspondent à des regroupements en réseaux de même taille. Les réseaux de la même classe ont le même nombre d'hôtes maximum.

classe adresse ip

Classe Adresse IP

Classe adresse ip A

Le premier octet a une valeur comprise entre 1 et 126 ; soit un bit de poids fort égal à 0. Ce premier octet désigne le numéro de réseau et les 3 autres correspondent à l'adresse de l'hôte.

L'adresse réseau 127.0.0.0 est réservée pour les communications en boucle locale.

Classe adresse ip B

Le premier octet a une valeur comprise entre 128 et 191 ; soit 2 bits de poids fort égaux à 10. Les 2 premiers octets désignent le numéro de réseau et les 2 autres correspondent à l'adresse de l'hôte.

Classe adresse ip C

Le premier octet a une valeur comprise entre 192 et 223 ; soit 3 bits de poids fort égaux à 110. Les 3 premiers octets désignent le numéro de réseau et le dernier correspond à l'adresse de l'hôte.

Classe adresse ip D

Le premier octet a une valeur comprise entre 224 et 239 ; soit 3 bits de poids fort égux à 111. Il s'agit d'une zone d'adresses dédiées aux services de multidiffusion vers des groupes d'hôtes (host groups).

Classe adresse ip E

Le premier octet a une valeur comprise entre 240 et 255. Il s'agit d'une zone d'adresses réservées aux expérimentations. Ces adresses ne doivent pas être utilisées pour adresser des hôtes ou des groupes d'hôtes.

Tableau 2. Espace d'adressage

Classe	Masque réseau	Adresses réseau	Nombre de réseaux	Nombre d'hôtes par réseau
A	255.0.0.0	1.0.0.0 - 126.255.255.255	126	16777214
B	255.255.0.0	128.0.0.0 - 191.255.255.255	16384	65534
C	255.255.255.0	192.0.0.0 - 223.255.255.255	2097152	254
D	240.0.0.0	224.0.0.0 - 239.255.255.255	adresses uniques	adresses uniques
E	non défini	240.0.0.0 - 255.255.255.255	adresses uniques	adresses uniques

Le tableau ci-dessus montre que la distribution de l'espace d'adressage est mal répartie. On ne dispose pas de classe intermédiaire entre A et B alors que l'écart entre les valeurs du nombre d'hôte par réseau est énorme. La répartition en pourcentages de l'espace total d'adressage IP est :

• Classes A - 50%
• Classes B - 25%
• Classes C - 12.5%
• Classes D - 6.25%
• Classes E - 6.25%

À cette mauvaise distribution de l'espace d'adressage, il faut ajouter les nombreuses critiques sur la façon dont les attributions de classes IP ont été gérées dans les premières années de l'Internet. Comme les classes ont souvent été attribuées sur simple demande sans corrélation avec les besoins effectifs, on parle d'un grand «gaspillage».

Au cours des années, plusieurs générations de solutions ont été apportées pour tenter de compenser les problèmes de distribution de l'espace d'adressage. Les sections suivantes présentent ces solutions dans l'ordre chronologique.

Frame relay cisco configuration commandes

Frame relay Cisco configuration commandes CCNA

Commandes 

Les commandes concernant Frame Relay sont les suivantes : 
• interface serial {numéro} :
o Mode de configuration globale.
o Permet de passer dans le mode de configuration de l’interface souhaitée. 
• interface serial {numéro.sous-numéro} {multipoint | point-to-point} :
o Mode de configuration globale.
o Permet de passer dans le mode de configuration de la sous-interface souhaitée. 
o Le paramètre multipoint ou point-to-point définit le type de sous-interface utilisée.
o Il faut utiliser multipoint si on veut que le routeur envoie les broadcast et les mises à jour de 
routage qu’il reçoit.
• encapsulation frame-relay [ietf] : 
o Mode de configuration d’interface.
o Précise l’encapsulation des trames pour l’interface courante.
o Le paramètre cisco est la valeur par défaut, et est à utiliser si on est raccordée à un autre 
équipement Cisco.
o Le paramètre ietf est utile pour se connecter à un dispositif non Cisco. 
• frame-relay interface-dlci {dlci} : 
o Mode de configuration de sous-interface.
o Affecte un DLCI pour la sous-interface courante. 



frame-relay local-dlci {dlci} :
o Mode de configuration d’interface.
o Permet d’affecter manuellement le DLCI pour l’interface courante (normalement attribué 
automatiquement par le LMI).
o Il faut utiliser cette commande dans les environnements ne supportant pas les interfaces LMI. 
• frame-relay lmi-type {ansi | cisco | q933a} :
o Mode de configuration d’interface.
o La valeur cisco est par défaut.
o Cette commande est à utiliser uniquement pour une version d’IOS ancienne car, avec les versions 
11.2 et ultérieure, le type de LMI est détecté automatiquement.
• bandwidth {bp} : 
o Mode de configuration d’interface.
o Permet de spécifier la bande passante de la liaison sur un ETTD, à titre d’information (Pour un 
protocole de routage).
• frame-relay inverse-arp {protocole} {dlci} : 
o Mode de configuration d’interface.
o Active la résolution d’adresse inverse pour le protocole de couche 3 indiqué en paramètre.
o Cette résolution est active par défaut. 
• frame-relay map {protocole} {adresse} {dlci} [broadcast] :
o Mode de configuration d’interface.
o Permet de mapper localement une adresse de couche 3 distante avec le DLCI local par lequel 
passer pour atteindre cette destination.
• frame-relay intf-type {dte | dce | nni} : 
o Mode de configuration d’interface.
o Permet d’expliciter le type d’interface Frame Relay locale.
o La valeur par défaut est dte.
o dce est à utiliser pour l’interface du commutateur Frame Relay reliée au DTE (ETTD), et nni est 
pour les interfaces reliant les commutateurs Frame Relay.
• frame-relay switching : 
o Mode de configuration globale. Permet d’activer la commutation de PVC sur une unité ETCD
(Commutateur Frame Relay). 
o Active l’interface LMI.
• frame-relay route {dlci_src} interface {type} {numéro} {dlci_dest} : 
o
 Mode de configuration d’interface.
o Permet de créer une entrée dans la table de commutation Frame Relay.
o Il faut indiquer le DLCI source, l’interface locale de sortie et celui de la destination.
o Cette commande est à utiliser sur un commutateur Frame Relay uniquement. 

IOS met à notre disposition des commandes de visualisation d’état et de débogage afin de pouvoir vérifier le bon
fonctionnement des points spécifiques à Frame Relay, ainsi que d’identifier les problèmes éventuels :


• show interfaces serial {numéro} : Affichage des informations sur les DLCI utilisés et sur l’indicateur de
connexion de liaison de données LMI utilisé. 
• show frame-relay pvc : Affichage de l’état de chaque connexion configurée ainsi que les statistiques sur le
trafic. Cette commande permet aussi de savoir le nombre de paquets BECN et FECN reçus par le routeur. 
• show frame-relay map : Affichage de l’adresse de couche 3 ainsi que le DLCI associé à chaque
destination distante connectée au routeur local. 
• show frame-relay lmi : Affichage des statistiques sur le trafic LMI.
• show frame-relay route : Affichage des routes Frame Relay configurées avec leur statut.
• show frame-relay traffic : Affichage des statistiques Frame Relay globales (Requêtes ARP, etc.). 
• debug frame-relay events : Affichage des réponses aux requêtes ARP.
• debug frame-relay lmi : Affichage des échanges de paquets LMI entre le routeur et le commutateur.
• debug frame-relay packet : Analyse des paquets Frame Relay envoyés. 



Configuration 

La procédure de configuration d’une interface (DTE) en Frame Relay passe par les étapes suivantes : 
• Passer dans le mode de configuration de l’interface voulue (Commande interface serial {numéro}).
• Définir une adresse de couche 3 (Commande ip address {IP} {SM}).
• Définir le type d’encapsulation (Commande encapsulation frame-relay).
• Définir le DLCI local en cas de non support de l’interface LMI (Commande frame-relay local-dlci 
{dlci}).
• Définir optionnellement la bande passante de la liaison (Commande bandwidth {bp}).
• Activer l’interface (Commande no shutdown). 

Cette même procédure change un peu lorsqu’il s’agit de sous-interfaces : 
• Passer dans le mode de configuration de l’interface voulue.
• Enlever toute adresse de couche 3 (Commande no ip address).
• Définir le type d’encapsulation.
• Passer dans le mode de configuration de la sous-interface voulue (Commande interface serial {if.subif} 
{point-to-point | multipoint}).
• Définir une adresse de couche 3.
• Définir le ou les DLCI locaux, car le LMI ne supporte pas les sous-interfaces (Commande frame-relay 
interface-dlci {dlci}).
• Définir optionnellement la bande passante de la liaison.
• Activer la sous-interface. 

Il est possible de simuler un commutateur Frame Relay à l’aide d’un routeur. Les interfaces utilisées sont alors
obligatoirement de type DCE. Pour ce faire, il faut utiliser une configuration distincte, et ce pour chaque interface : 

• Activer la commutation Frame Relay sur le routeur (Commande frame-relay switching).
• Passer dans le mode de configuration de chaque interface utilisée.
• Enlever toute adresse de couche 3.
• Définir le type d’encapsulation.
• Définir la vitesse de fonctionnement de la liaison (Commande clock rate {valeur}).
•
Définir le type d’interface Frame Relay.
• Définir une route pour chaque destinations accessibles depuis la source raccordée sur l’interface courante 
(Commande frame-relay route {dlci_src} interface serial {numéro} {dlci_dest}).
• Activer l’interface.

Frame Relay cisco technologies Cour

Frame Relay cisco technologies Cour 

Technologies Frame Relay


Technologie 

La technologie Frame Relay dispose des caractéristiques suivantes : 
• Destinée pour des équipements numériques haut de gamme et à haut débit.
• Fonctionne au niveau des couches 1 et 2 du modèle OSI.
• Utilise des circuits virtuels dans un environnement commuté.
• Technologie à commutation de paquets, et à accès multiples.
• L’ETTD et l’ETCD sont respectivement généralement le routeur client et le commutateur de l’opérateur.
• Remplace des réseaux point-à-point, trop coûteux.
• Se base sur l’encapsulation HDLC.
• Utilise le multiplexage pour partager la bande passante totale du nuage Frame Relay. 

Cette technologie comporte quelques inconvénients, dont : 
• Capacité de vérification des erreurs et fiabilité minime (laissées aux protocoles de couches supérieures).
• Affecte le fonctionnement de certains aspects (Split Horizon, broadcasts, etc.).
• Ne diffuse pas les broadcasts. Pour en effectuer, il faut envoyer un paquet à chaque destination du réseau. 

Un réseau Frame Relay peut être conçu suivant deux topologies : 
• Maillage global : Chaque extrémité est reliée par l’intermédiaire d’un PVC distinct vers chaque autre
destination. 
• Maillage partiel : Egalement appelé topologie en étoile ou "hub-and-spokes". Chaque extrémité n’est pas reliée à toutes les autres. 

Définitions : 
• Tarif d’accès : Vitesse d’horloge de la connexion.
• DLCI (Identificateur de connexion de liaison de données) : C’est un numéro désignant un point 
d’extrémité. Le commutateur Frame Relay mappe deux DLCI (Source et destination) afin de créer un PVC.
Il a une portée locale. 
• PVC (Circuit virtuel permanent) : Circuit virtuel agissant comme une liaison point-à-point dédiée pour
relier deux extrémités dans un environnement commuté. 
• LMI (Interface de supervision locale) : Norme de signalisation entre le point d’extrémité et le
commutateur Frame Relay chargé de la gestion et maintenance de l’état entre les unités. 
• CIR (Débit de données garanti) : Débit de données que le fournisseur s’engage à fournir. 
• Bc (Débit garanti en rafale) : Nombre maximum de bits que le commutateur accepte de transférer sur une période donnée. 
• Be (Débit garanti en excès) : Nombre maximum de bits non garantis que le commutateur tentera de
transférer au-delà du CIR. Il est généralement limité par la vitesse du port de la boucle locale. Les trames émises en excès ont leur bit d’éligibilité à la suppression mis à 1. 
• FECN (Notification explicite de congestion au destinataire)
 : Bit défini dans une trame qui signale à
l’unité réceptrice de lancer des procédures de prévention de congestion. 
• BECN (Notification explicite de congestion à la source) : Idem mais pour l’unité source. Un routeur
recevant cette notification réduira le débit de transmission de 25%. 
• Bit d’éligibilité à la suppression : Bit qui indique que la trame peut être supprimée en priorité en cas de
congestion.






Interface LMI & DLCI 

La mise en œuvre et le fonctionnement de la technologie Frame Relay repose essentiellement sur les interfaces
LMI, dont les fonctions de base sont : 
• Déterminer la fonctionnalité des PVC connus du routeur.
• Transmettre des messages de veille, pour éviter que le PVC ne se ferme pour cause d’inactivité.
• Indiquer au routeur les PVC disponibles. 

Il existe des extensions LMI, qui sont optionnelles : 
• Messages d’état des circuits virtuels (Extension universelle) : Signalisation périodique sur les PVC
(Nouveaux, supprimés, leur intégrité, etc.). 
• Diffusion multicast (Extension facultative) : Permet la diffusion des messages de protocole de routage et ARP, qui doivent être normalement transmis à plusieurs destinataires. Cela utilise les DLCI 1019 à 1022. 
• Adressage global (Extension facultative) : Portée globale des DLCI au lieu d’être locale. Permet d’avoir un DLCI unique sur le réseau Frame Relay. 
• Contrôle de flux simple (Extension facultative) : Contrôle de flux de type XON/XOFF, destiné aux
unités dont les couches supérieures ne peuvent pas utiliser les bits de notification de congestion, mais
nécessitant un niveau de contrôle de flux. 




DLCI LMI : DLCI pour les messages LMI. Il est fixé à 1023.
• Indicateur de protocole : Défini sur une valeur précisant l’interface LMI.
• Type de message : Deux types ont été définis, qui permettent de vérifier l’intégrité des liaisons logiques et 

physiques.
o Message d’état : Emis en réponse à un message de demande d’état. Message de veille ou message 
d’état sur chaque DLCI défini pour la liaison.
o Message de demande d’état. 
• Éléments d’information (IE) : Contient un ou plusieurs éléments d’information d’1 octet chacun, et un ou plusieurs octets de données.

Les identificateurs DLCI sont reconnus localement, ce qui implique qu’ils ne sont pas forcément uniques dans le nuage Frame Relay (Exception faite si on utilise l’extension LMI d’adressage global). Deux unités ETTD peuvent
utiliser une valeur DLCI identique ou différente pour désigner le PVC les reliant.

L’espace d’adressage DLCI est limité à 10 bits. Une partie de la plage d’adresse (0 à 1023) est utilisable pour les adresses d’extrémité (Transport des données utilisateur), et le reste est réservé à des fins d’implémentation par le constructeur (Messages LMI, adresses de multicast, etc.).

La portion exploitable de la plage d’adresse DLCI est définie par le type LMI utilisé : 

• ansi : La plage de DLCI hôte va de 16 à 992.
• cisco : Les DLCI hôte vont de 16 à 1007.
• q933a : Même plage DLCI que la version ansi. 
7.3.  Fonctionnement, table de commutation et processus de
transmission 

La norme Frame Relay de base ne supporte que des PVC reconnus localement. Il n’y a pas d’adresses pour désigner les nœuds distants. Il est donc impossible d’utiliser un processus classique de résolution d’adresses. Pour palier à ce problème, il y a deux possibilités : 
• Créer manuellement des cartes statiques avec la commande frame-relay map.
• Opter pour l’extension LMI sur l’adressage global. Ainsi, chaque nœud aura un DLCI unique. 

La carte Frame Relay comporte trois champs : 
• DLCI local par lequel passer pour atteindre la destination. 
• L’adresse de couche 3 du nœud distant correspondant.
• L’état de la connexion : 
o Active state : Connexion active. Les routeurs peuvent échanger des données.
o Inactive state : La connexion locale au commutateur est en service, mais la connexion du routeur 
distant au commutateur ne l’est pas.
o Deleted state : Soit aucun LMI n’est reçu du commutateur, soit aucun service n’est assuré entre le 
routeur local et le commutateur.


Il existe un mécanisme de résolution d’adresse inverse (Inverse-ARP), qui permet à un routeur d’élaborer automatiquement la carte Frame Relay : 
• Le routeur prend connaissance des DLCI au moment de l’échange LMI initiale avec le commutateur.
• Il envoie alors une requête Inverse-ARP à chaque DLCI pour chaque protocole de couche 3 configurés localement.

La table de commutation Frame Relay dispose de quatre colonnes : 
• Port d’entrée.
• DLCI d’entrée.
• Port de sortie.
• DLCI de sortie. 

Cette table de commutation est basée sur un port du commutateur, il y a donc autant de tables qu’il y a de ports fonctionnels. De plus, elle est administrée, ce qui signifie que c’est l’opérateur qui décide du contenu de chaque table. Elle sert : 
• Au moment du premier échange LMI, afin d’informer le routeur des DLCI des nœuds distants qui lui sont accessibles. 
• Durant la transmission des données, où elle fonctionne comme une table de commutateur LAN.

Le processus de découverte est le suivant : 

• Émission d’un message de demande d’état au commutateur Frame Relay (donne l’état du routeur local et demande celui des connexions des routeurs distants). 
• Le commutateur répond avec un message d’état, contenant les DLCI des routeurs distants qui sont
accessibles au routeur local. 
• Pour chaque DLCI actif, le routeur envoie un paquet Inverse-ARP afin de se présenter et de demander aux
routeurs distants de s’identifier (Adresse de couche 3). 
• Le routeur mappe dans sa carte chaque adresse de nœud distant qu’il reçoit par le biais d’un message de
résolution d’adresse inverse. 
• Les messages de résolution d’adresse inverse sont ensuite échangés toutes les 60 secondes.
• Les messages de vieille sont envoyés toutes les 10 secondes au commutateur. 

Le processus de transmission de données au travers d’un réseau Frame Relay est :
• Le routeur source encapsule les données à transmettre dans une trame Frame Relay, dont la valeur du 
champ Adresse correspond au DLCI du destinataire, puis l’envoie.
• Le commutateur reçoit cette trame, et utilise la table de commutation du port d’entrée afin de déterminer le  port de sortie, et donc le DLCI de sortie.
• Le commutateur modifie la trame en plaçant le DLCI de la source, afin que la destination puisse savoir 
quelle est cette source.
• Le routeur de destination reçoit la trame émise par le commutateur. Il répondra, si besoin est, en émettant  une trame vers le DLCI indiqué dans la trame reçue.


 Les sous interfaces Frame Relay

Les sous-interfaces sont des subdivisions logiques d’une interface physique et peuvent être de deux types :
• Point-à-point.
• Multipoint. 

Les caractéristiques des sous-interfaces point-à-point sont : 

• Une sous-interface par PVC.
• Une attribution statique de DLCI par sous-interface.
• Chaque connexion point-à-point est son propre sous-réseau.
• Chaque interface possède un seul DLCI.
• Split horizon ne fonctionne pas comme on voudrait qu’il fonctionne dans le principe, car il ne connaît pas 
le principe de sous-interface, ce qui veut dire que les mises à jour de routage ne seront pas propagées vers
les autres sous-interfaces.

Les caractéristiques des sous-interfaces multipoints sont :
• Une seule sous-interface pour établir plusieurs PVC.
• Autant d’attributions statiques de DLCI qu’il y a de PVC (Destinataires).
• Toutes les interfaces font partie du même sous-réseau.
• Chaque interface possède son DLCI local.
• Split horizon fonctionne avec ce type de sous-interface. 



D'aprés des livres Cisco

Le protocole PPP PAP ET CHAP Etude

Le protocole PPP PAP ET CHAP 
Etude CCNA

PPP PAP ET CHAP

Protocole PPP 

Etude du protocole 

C’est le protocole de réseau WAN le plus répandu, successeur du protocole SLIP, permettant : 
• Connexion entre routeurs ou entre un hôte et un routeur.
• Gestion des circuits synchrones et asynchrones.
• Contrôle de la configuration des liaisons.
• Possibilité d’attribution dynamique des adresses de couche 3.
• Multiplexage des protocoles réseau (Possibilité de faire passer plusieurs paquets de protocoles différents 
sur la même connexion).
• Configuration des liaisons et vérification de leur qualité.
• Détection des erreurs.
• Négociation d’options (Adresses de couche 3, Compression, etc.). 



Un mode d’encapsulation : La trame PPP est une trame générique HDLC modifiée.
• Le protocole LCP (Link Control Protocol) : Etablissement et contrôle d’une session. 
o Trame LCP d’établissement de liaison.
o Trame LCP de fermeture de liaison.
o Trame LCP de maintenance de liaison. 
• Une famille de protocoles NCP (Network Control Protocol) : Gestion des protocoles de couche 3.
o IPCP (Internet Protocol Control Protocol).
o IPXCP (Internetwork Packet eXchange Control Protocol).
o BCP (Bridge Control Protocol).


Drapeau : Indicateur de début ou fin de trame (Valeur = 01111110).
• Adresse : Adresse de broadcast standard (Valeur = 11111111), car PPP n’attribue pas d’adresse d’hôte 
(Couche 2). 
• Contrôle : Fourniture d’un service non orienté connexion (semblable au LLC) (Valeur = 00000011).
• Protocole : Identification du protocole encapsulé (IP, IPX, etc.).
• Données : Contient soit la valeur zéro, soit des données (1500 octets maximum).
• FCS : Séquence de contrôle de trame pour une vérification des erreurs. 

Etablissement d’une session 


Les quatre phases d’une session PPP, pour l’établissement des communications sur une liaison point-à-point, sont : 
• Établissement de la liaison.
• Détermination de la qualité de la liaison.
• Configuration du ou des protocoles de couche réseau.
• Fermeture de la liaison. 

Ce sont les trames LCP qui se chargent du bon déroulement de ces quatre phases.

Phase 1 - Etablissement de la liaison : 
• Le nœud d’origine envoie des trames LCP pour configurer et établir la liaison.
• Négociation des paramètres de configuration grâce au champ d’option des trames LCP (MTU,  compression, authentification, etc.). Ces options peuvent donc être explicite (indiquées dans les trames LCP) ou implicites (Utilisation des valeurs par défaut). 
• Fin de cette phase par l’émission et la réception d’une trame LCP d’accusé de réception de la configuration. 

Phase 2 - Détermination de la qualité de la liaison : 
• Cette phase est facultative.
• Vérification de la qualité suffisante pour activer les protocoles de couche 3.
• Une fois la liaison établie, le processus d’authentification est lancé, si nécessaire. 

Phase 3 - Configuration du ou des protocoles de couche réseau : 
• Émission de paquets NCP pour configurer les protocoles de couche 3 choisis.
• Configuration individuelle des protocoles de couche 3 grâce au protocole NCP approprié.
• Activation et fermeture à tout moment des protocoles de couche 3.
• Les paquets des protocoles de couche 3 sont émis une fois configuré par son NCP correspondant. 

Phase 4 - Fermeture de la liaison : 
• Fermeture par le biais de trames LCP ou de paquets NCP spécifiques (Si LCP ferme la liaison, il informe
les protocoles de couche 3 par l’intermédiaire du NCP correspondant). 
• Fermeture à cause d’un évènement extérieur (délai d’attente, perte de signaux, etc.).
• Fermeture en cas de demande d’un utilisateur. 

On peut vérifier l’état des protocoles LCP et NCP grâce à la commande show interfaces.

Authentification/Configuration 

Le protocole PPP peut prendre en charge plusieurs modes d’authentification : 
• Aucune authentification.
• Utilisation du protocole PAP.
• Utilisation du protocole CHAP. 

Les caractéristiques du protocole PAP sont : 

• Échange en deux étapes (après la demande d’authentification) :
o Envoie des informations d’authentification.
o Acceptation ou refus. 
• Méthode simple d’authentification : Emission de la combinaison utilisateur/password de façon répétée
jusqu’à :


Confirmation de l’authentification.
o Interruption de la connexion. 
• PAP n’est pas très efficace :
o Mots de passe envoyés en clair.
o Aucune protection (Lecture répétée des informations, attaques répétées par essais et erreurs). 
• Le nœud s’authentifiant contrôle la fréquence et la durée des tentatives d’authentification.

Pour le protocole PAP, on a le choix entre une authentification : 
• Unidirectionnelle : Seul le client est authentifié sur le serveur de compte.
• Bidirectionnelle : Chaque hôte authentifie l’autre. 

Celles du protocole CHAP sont : 
• Échange en trois étapes (après la demande d’authentification) :
o Confirmation.
o Réponse.
o Acceptation ou refus. 
• Méthode d’authentification plus évoluée :
o Vérification régulière de l’identité du nœud distant (A l’établissement puis à tout moment).
o Authentification dans les deux sens.
o Impossibilité de tenter une authentification sans avoir reçu une demande de confirmation.
o Authentification cryptée via l’algorithme MD5 lors du transit sur la liaison. 
• Efficacité contre le piratage :
o Utilisation d’une valeur de confirmation variable, unique et imprévisible.
o Répétition des demandes de confirmation visant à limiter la durée d’exposition aux attaques.
o Chaque côté contrôle la fréquence et la durée des tentatives d’authentification. 
Les commandes permettant de configurer tous les différents aspects du protocole PPP sont les suivantes :

• username {nom} password {mot_de_passe} : 
o Mode de configuration globale.
o Paramètre nom : Nom d’hôte qu’on souhaite accepter.
o Paramètre mot_de_passe : Mot de passe à utiliser pour l’authentification. Celui-ci doit 
correspondre au mot de passe du mode privilégié crypté du routeur distant si on utilise CHAP. Ce
mot de passe doit être le même sur les deux routeurs. 
o Définir un compte d’utilisateur localement, afin de permettre l’authentification d’un hôte distant.
•
 encapsulation PPP :  
o Mode de configuration d’interface.
o Spécifier le mode d’encapsulation pour l’interface courante. 
• ppp authentication {chap | chap pap | pap chap | pap} [callin] : 
o Mode de configuration d’interface.
o Définir la méthode d’authentification voulue. On a la possibilité de définir deux méthodes 
différentes. Dans ce cas, la première est utilisée, et en cas de refus ou de suggestion de la 
deuxième, la deuxième méthode sera utilisée.
o Le paramètre callin est utilisé pour différencier l’authentification unidirectionnelle de la 
bidirectionnelle.
• ppp pap sent-username {nom} password {mot_de_passe} :  
o Mode de configuration d’interface.
o Indique les informations qui seront envoyées lors d’une demande d’authentification PAP. Les 
informations doivent correspondre au compte utilisateur définit sur le routeur distant.
• ppp chap hostname {nom} :  
o Mode de configuration d’interface.
o Permettre l’authentification sur plusieurs routeurs en donnant toujours le même nom d’hôte. 
• ppp chap password {mot_de_passe} :
o Mode de configuration d’interface. 



Idem que pour le hostname, mais pour le mot de passe. Ceci permet de limiter le nombre d’entrées
utilisateur/password. 
• ppp quality {pourcentage} :
o Mode de configuration d’interface.
o Permet de configurer le LQM (Link Quality Monitor) sur la liaison PPP courante. Si la qualité 
de la liaison tombe en dessous du pourcentage spécifié, le routeur coupera la liaison.

Pour tout problème concernant l’authentification et la négociation de liaison par rapport au protocole PPP, nous
avons à notre disposition les commandes suivantes : 
• debug ppp authentication
• debug ppp negociation 

Configuration des fonctions NAT et PAT Dossier Complet

Configuration des fonctions NAT et PAT Dossier Complet et facile à comprendre

Configuration de la fonction DHCP d’un routeur 

Router(config)#ip dhcp pool nom_liste
Router(dhcp-config)#network adresse_réseau masque_réseau
Router(dhcp-config)#default-router @passerelle_par_défaut
Router(dhcp-config)#exit
Router(config)#ip dhcp excluded-address adresse_à_exclure  // mentionne une adresse qui
ne doit pas être attribuée (adresse réservée pour serveur…)

Configuration de la translation d’adresse
dynamique NAT 

Ceci consiste à translater un ensemble d’adresses locales en une adresse publique quiappartient à une plage donnée. Pour mettre en place ce mécanisme il faut : 

 définir la liste de contrôle d’accès correspondant aux adresses locales internes en utilisant
la commande access-list.

Router(config)#access-list numero_liste_acces permit source masque_générique

 Exemple : pour autoriser toutes les adresses du réseau local 10.10.10.x, source sera10.10.10.0 et le masque générique sera 0.0.0.255. Les parties mises à 0 du masquegénérique doivent correspondre et les parties mises à 1 (en binaire) sont variables ; 

 définir le groupe d’adresses publiques en utilisant la commande ip nat pool 

Router(config)#ip nat pool nom-plage @IP_départ @IP_fin netmask masque_réseau

 définir la traduction NAT en utilisant la commande ip nat inside source

Router(config)#ip nat inside source list numero_liste_acces pool nom-plage

Exemple

Router(config)#ip nat pool public-access 199.99.9.40 199.99.9.62 netmask255.255.255.224
Router(config)#access-list 1 permit 10.10.10.0  0.0.0.255

Configuration de la translation d’adresse

statique NAT 

Une translation statique consiste à associer une adresse IP privée à une adresse IP publique

routable qui lui est réservée. Pour configurer un mappage NAT d’adresses IP statiques,

utilisez la commande ip nat inside source static 

Gateway(config)#ip nat inside source static adresse_interne  adresse_externe 

Exemple 

Gateway(config)#ip nat inside source static 10.10.10.10 199.99.9.33

Configuration de la translation de ports PAT 

 La première étape consiste à définir la liste de contrôle d’accès correspondant aux 

adresses locales internes en utilisant la commande access-list.

Gateway(config)#access-list numero_liste_acces permit source masque_générique

 La deuxième étape consiste à configurer la traduction PAT. Cette configuration se fait de

deux méthodes selon le besoin :

 Ceci est fait par la commande ip nat inside source. Utilisée avec l’option de surcharge

(Overload), cette commande permet de créer la traduction PAT sur la base de l’adresse IP de

l’interface externe du routeur. Toutes les adresses internes seront translatées en l’adresse

externe de l’interface mentionnée. 

Gateway(config)#ip nat inside source list numero_liste_acces interface nom_interface
overload

Exemple

Gateway(config)#access-list 1 permit 10.10.10.0 0.0.0.255
Gateway(config)#ip nat inside source list 1 interface serial 0 overload

 Nous pouvons aussi spécifier l’adresse globale (routable publique) en tant que groupe 

d’adresses tel que fait pour le NAT dynamique.

En première étape il faut définir le groupe d’adresses publiques en utilisant la commande ip 

nat pool

Gateway(config)#ip nat pool nom-plage @IP_départ @IP_fin netmask masque_réseau
En deuxième étape il faut définir la traduction PAT en utilisant la commande ip nat inside
source avec l’option overload de surcharge.

Gateway(config)#ip nat inside source list numero_liste_acces pool nom-plage overload

Exemple 

Gateway(config)#access-list 1 permit 10.10.10.0 0.0.0.255
Gateway(config)#ip nat pool public-access 199.99.9.40 199.99.9.62 netmask255.255.255.224
Gateway(config)#ip nat inside source list 1 pool public-access overload

Spécification des interfaces internes etexternes 

Pour les trois types NAT statique, NAT dynamique et PAT, il faut définir les interfaceactives sur le routeur en tant qu’interfaces internes ou externes par rapport à la NAT (ouPAT). Pour cela, passer en mode configuration de l’interface utilisez la commande ip natinside ou ip nat outside.

Gateway(config)#interface fastethernet0
Gateway(config-if)#ip nat inside
Gateway(config-if)#interface serial0
Gateway(config-if)#ip nat outside

Access List cisco packet tracer cour complet

Access List cisco packet tracer cour complet

Les ACL Cisco

Les ACL Cisco ?

Les ACL (Access Control Lists) agréent de filtrer des packets suivant des critères déterminés par l'utilisateur

Sur des packets IP, il est ainsi réalisable de filtrer les paquets entrants ou sortant d'un routeur en fonction

De l'IP source

De l'IP destination

...

Il existe 2 types d'ACL

Standard : exclusivement sur les IP sources

Etendue : sur quasiment tous les champs des en-têtes IP, TCP et UDP

Schéma du principe

Fonctionnement et configuration

La logique des ACL

Il est possible de résumer le fonctionnement des ACL de la manière suivante :

Le pâquet est vérifié par rapport au 1er critère défini

S'il vérifie le critère, l'action définie est appliquée

Sinon le paquet est comparé successivement par rapport aux ACLsuivants

S'il ne satisfait aucun critère, l'action deny est appliquée

Les critères sont définit sur les informations contenues dans les en-têtes IP, TCP ou UDP

Des masques ont été défini pour pouvoir identifier une ou plusieurs adresses IP en une seule définition

Ce masque défini la portion de l'adresse IP qui doit être examinée

0.0.255.255 signifie que seuls les 2 premiers octets doivent être examinés

deny 10.1.3.0  avec 0.0.0.255 : refus de toutes les IP commencant par 10.1.3

Standard IP Access List Configuration

Fonctionnement des ACL

Test des règles les unes après les autres

Si aucune règle n'est applicable, rejet du paquet

Définition d'une règle

access-list number [deny|permit] source [source-wildcard]

Number compris entre 1 et 99 ou entre 1300 et 1999

access-list number remark test

Activation d'une ACL sur une interface

ip access-group [ number | name [ in | out ] ]

Visualiser les ACL

show access-lists [ number | name ] : toutes les ACL quelque soit

l'interface

show ip access-lists [ number | name ] : les ACL uniquement liés au

protocole IP

Exemple (1/3)

interface Ethernet0

ip address 172.16.1.1 255.255.255.0

ip access-group 1 out

access-list 1 remark stop tous les paquets d'IP source 172.16.3.10

access-list 1 deny 172.16.3.10 0.0.0.0

access-list 1 permit 0.0.0.0 255.255.255.255

access-list 1 deny 172.16.3.10 0.0.0.0

Refuse les paquets d'IP source 172.16.3.10

Le masque (également appelé wildcard mask) signifie ici que tous les bits de l'adresse IP sont significatifs

access-list 1 permit 0.0.0.0 255.255.255.255

Tous les paquets IP sont autorisés

Le masque 255.255.255.255 signifie qu'aucun bit n'est significatif

Exemple (2/3)

interface Ethernet0

ip address 172.16.1.1 255.255.255.0

ip access-group 1 out

access-list 1 remark stop tous les paquets d'IP source 172.16.3.10

access-list 1 deny host 172.16.3.10

access-list 1 permit any

Une notation améliorée est possible pour remplacer

le masque 255.255.255.255 qui désigne une machine

Utilisation du terme host

0.0.0.0 avec le wildcard masque à 255.255.255.255 qui désigne tout le

monde

Utilisation du terme any

Exemple (3/3)

interface Ethernet0

ip address 172.16.1.1 255.255.255.0

ip access-group 1 out

interface Ethernet1

ip address 172.16.2.1 255.255.255.0

ip access-group 2 in

access-list 1 remark Stoppe tous les paquets d'IP source 172.16.3access-list 1 deny host 172.16.3.10

access-list 1 permit any

access-list 2 remark Autorise que les trames d'IP source 172.16.3access-list 2 permit 172.16.3.0 0.0.0.255

Les extended ACL

Les extended ACL permettent filtrer des paquets en fonction

de l'adresse de destination IP

Du type de protocole (TCP, UDP, ICMP, IGRP, IGMP, ...)

Port source

Port destination

...

La syntaxe et exemple

access-list number { deny | permit } protocol source sourcewildcard

destination

dest.-wildcard

number : compris entre 100 et 199 ou 2000 et 2699

access-list 101 deny ip any host 10.1.1.1

Refus des paquets IP à destination de la machine 10.1.1.1 et provenant

de n'importe quelle source

access-list 101 deny tcp any gt 1023 host 10.1.1.1 eq 23

Refus de paquet TCP provenant d'un port > 1023 et à destiantion du

port 23 de la machine d'IP 10.1.1.1

access-list 101 deny tcp any host 10.1.1.1 eq http

Refus des paquets TCP à destination du port 80 de la machine d'IP

10.1.1.1

Les ACL nommés

Une ACL numéroté peut être composé de nombreuses régles. La seule façon de la

modifier et de faire

no access-list number

Puis de la redéfinir

Avec les ACL nommées, il est possible de supprimer qu'une seule ligne au lieu de tl'ACL

Sa définition se fait de la manière suivante

Router(config)# ip access-list extended bart

Router(config-ext-nacl)# deny tcp host 10.1.1.2 eq www any

Router(config-ext-nacl)# deny ip 10.1.1.0 0.0.0.255 any

Router(config-ext-nacl)# permit ip any any

Pour supprimer une des lignes, il suffit de refaire un

ip access-list extended bart

Puis un no deny ip 10.1.1.0 0.0.0.255 any

L'accès au Telnet avec une ACL

Pour utiliser une ACL dans le but de controler l'accès au telnet (donc au vty)

access-class number { in | out }

line vty 0 4

login

password Cisco

access-class 3 in

!

!

access-list 3 permit 10.1.1.0 0.0.0.255

Quelques conseils

La création, la mise à jour, le debuggage nécessitent beaucoup de temps et

de rigeur dans la syntaxe Il est donc conseillé De créer les ACL à l'aide d'un éditeur de texte et de faire un copier/coller dans la configuration du routeur

Placer les extended ACL au plus près de la source du paquet que possible pour le détruire le plus vite possible Placer les ACL standard au plus près de la destination sinon, vous risquez de détruire un paquet trop top

Rappel : les ACL standard ne regardent que l'IP source

Placer la règle la plus spécifique en premier

Avant de faire le moindre changement sur une ACL, désactiver sur

l'interface concerné celle-ci (no ip access-group)