Aller au contenu

🛠️ TP – Protéger les ports d'accès

Parcours CCNA – Domaine 5 – module 5-04 – individuel

Note

Mission. Un switch d'accès relie deux postes. Tu limites chaque port à un seul poste (adresse apprise automatiquement), tu choisis ce qui se passe en cas d'intrusion, et tu coupes les ports inutilisés.

Temps prévu : 30 min. Prérequis : cours 5-04.

Mise en place

Ouvre le simulateur, puis Ouvre c504-port-security.json.

Poste Adresse Port
PC1 10.5.0.11 Fa0/1
PC2 10.5.0.12 Fa0/2

Partie A – Configurer (≈ 15 min)

enable
configure terminal
interface range fa0/1 - 2
 switchport mode access
 switchport port-security
 switchport port-security maximum 1
 switchport port-security mac-address sticky
 switchport port-security violation shutdown
 exit
interface range fa0/10 - 24
 shutdown
 end

Fais un ping de PC1 vers PC2 pour que le switch apprenne les adresses, puis :

show port-security
show port-security interface fa0/1
show running-config
Question Réponse
Combien d'adresses sont autorisées sur Fa0/1 ?
Quelle adresse est apprise (sticky) ?
Dans show running-config, voit-on maximum 1 ? Pourquoi ?

Partie B – Simuler l'intrus (≈ 10 min)

  1. Débranche PC1 de Fa0/1.
  2. Branche un autre poste (ajoute un PC) sur Fa0/1, avec une adresse 10.5.0.99.
  3. Fais un ping vers PC2, puis show port-security interface fa0/1.

❓ Que constates-tu ? Dans quel état est le port ? ____

Pour réactiver : interface fa0/1, shutdown, no shutdown.

✅ Point de contrôle final : les deux ports sont protégés (sticky, 1 adresse, shutdown) et les ports inutilisés sont coupés.

🧊 Alternative avec Cisco Packet Tracer (DHCP snooping et DAI)

Tip

Les commandes show ip dhcp snooping et show ip arp inspection ne sont pas disponibles dans le simulateur du site. Dans Packet Tracer (switch 2960), selon la version :

  1. Un switch, un routeur ou serveur DHCP, un PC client et un faux serveur DHCP branché sur un autre port.
  2. ip dhcp snooping, ip dhcp snooping vlan 1, et ip dhcp snooping trust uniquement sur le port du vrai serveur.
  3. Le client reçoit-il encore une adresse du faux serveur ?
  4. Si ta version l'accepte : show ip dhcp snooping binding.

✅ Ce que je sais faire (à cocher)

  • J'active la port security avec sticky.
  • J'explique les modes de violation.
  • Je coupe les ports inutilisés.