Aller au contenu

TP – Auto-diagnostic et remise en service d'un mini-laboratoire

BTS SIO SISR 2e année – Bloc 2 – S01 – partie A individuelle, parties B et C en binôme : un tape, l'autre lit ; on échange les rôles à chaque partie

Note

But. Savoir où tu en es avant d'aborder les nouveautés de l'année. La partie A mesure tes acquis sans te noter. Les parties B et C te font vérifier en vrai, sur deux machines virtuelles, ce que la partie A annonçait, puis préparer ton plan de révision.

Durée : 2 h 30 (parties A à C), plus le bilan. Prérequis : cours S01 lu.

Note

Comment ce TP fonctionne. Avant de manipuler, tu écris ce que tu anticipes (« J'anticipe »). Puis tu testes et tu notes ce que tu constates. Un bilan de compétences clôt la séance.

Binôme : ____________ / ____________

Contraintes

  • Deux machines virtuelles Debian (celles de la première année, ou deux nouvelles à partir de l'image de la salle).
  • Tu notes la sortie de chaque commande (capture d'écran datée) : elle servira de preuve.
  • Le réseau du laboratoire est un réseau interne à VirtualBox : il ne touche pas au réseau de la salle.

Partie A – Auto-diagnostic (≈ 40 min, individuel, sans le cours)

But : mesurer ce qui est acquis. Réponds sans ouvrir le cours ni les notes de l'an dernier ; laisse en blanc ce que tu ne sais pas. Corrige ensuite avec les éléments de réponse et note un point par bonne réponse.

A1 – Adressage

  1. Quelle est l'adresse du réseau qui contient 172.16.45.200/20 ? Quelle est son adresse de diffusion ?
  1. Combien de machines peut-on adresser dans un réseau /26 ?
  1. Quel est le plus petit préfixe qui permet d'adresser 60 machines ?
Éléments de réponse
  1. Masque /20 = 255.255.240.0. Troisième octet : 45 = 00101101, masque 240 = 11110000 → réseau 00100000 = 32. Réseau 172.16.32.0/20, diffusion 172.16.47.255.
  2. 2⁶ − 2 = 62 machines.
  3. 60 + 2 adresses réservées = 62 ≤ 64 = 2⁶ : 6 bits « machine », donc /26 (62 hôtes utilisables).

A2 – VLAN et commutation

  1. Quelle différence entre un port access et un port trunk ?
  1. Quelle commande Cisco affiche la liste des VLAN et leurs ports ?
  1. Comment STP choisit-il le pont racine ?
Éléments de réponse
  1. Access : un seul VLAN, pour un poste (trames sans étiquette). Trunk : transporte plusieurs VLAN grâce à l'étiquette 802.1Q, entre switchs ou vers un routeur.
  2. show vlan brief.
  3. Le switch dont l'identifiant de pont est le plus petit : on compare la priorité, puis, à priorité égale, l'adresse MAC.

A3 – Routage

  1. Écris la commande Cisco d'une route statique vers 10.1.0.0/16 via 192.168.0.2.
  1. À quoi sert ip helper-address ?
  1. Dans le routage inter-VLAN par sous-interfaces, que fait la ligne encapsulation dot1Q 20 ?
Éléments de réponse
  1. ip route 10.1.0.0 255.255.0.0 192.168.0.2.
  2. À relayer les diffusions DHCP d'un réseau vers un serveur DHCP situé dans un autre réseau.
  3. Elle associe la sous-interface au VLAN 20 : elle reçoit et émet les trames portant l'étiquette 20.

A4 – Services

  1. Quelles sont les quatre étapes d'une attribution DHCP ? ______________________
  2. Quel enregistrement DNS sert à la résolution inverse ? ______________________
  3. Quel est le port et le protocole de transport de SSH ? ______________________
Éléments de réponse
  1. Discover, Offer, Request, Acknowledge (DORA).
  2. PTR, dans la zone inverse.
  3. TCP 22.

A5 – Windows Server

  1. Dans quel ordre s'appliquent les GPO, et laquelle l'emporte en cas de conflit ? ______________________
  2. Un utilisateur a « Contrôle total » sur le partage et « Lecture » en NTFS : que peut-il faire ? ______________________
  3. Que signifie AGDLP ? ______________________
Éléments de réponse
  1. Local, Site, Domaine, OU. La GPO appliquée en dernier, la plus proche de l'objet, l'emporte.
  2. Lire seulement : la permission la plus restrictive s'applique.
  3. Accounts (comptes) → Global groups → Domain Local groups → Permissions : on place les comptes dans des groupes globaux, ceux-ci dans des groupes de domaine local, et on donne les permissions aux groupes de domaine local.

A6 – Linux et scripts

  1. Que donne chmod 640 fichier comme droits au propriétaire, au groupe et aux autres ? ______________________
  2. Que signifie 30 2 * * 1-5 dans une table cron ? ______________________
  3. Quelle commande liste les ports TCP en écoute sous Linux ? ______________________
Éléments de réponse
  1. Propriétaire : lecture et écriture (rw-) ; groupe : lecture (r--) ; autres : aucun droit (---).
  2. À 2 h 30, du lundi au vendredi.
  3. ss -tlnp.

A7 – Pare-feu

  1. Pourquoi une politique par défaut « tout refuser » ? ______________________
  2. Quel est le rôle d'une DMZ ? ______________________
  3. Quelle différence entre NAT et PAT ? ______________________
Éléments de réponse
  1. On n'ouvre que ce qui est explicitement nécessaire : moindre privilège, moins de surface d'attaque, et un oubli ferme au lieu d'ouvrir.
  2. Héberger les services accessibles de l'extérieur à l'écart du réseau interne, pour limiter les dégâts en cas de compromission.
  3. Le NAT remplace des adresses ; le PAT fait partager une seule adresse publique à de nombreux postes en distinguant les connexions par les numéros de ports.

A8 – Supervision, sauvegarde, haute disponibilité

  1. Que dit la règle de sauvegarde 3-2-1 ? ______________________
  2. À quoi sert keepalived ? ______________________
  3. Pourquoi faut-il tester une restauration ? ______________________
Éléments de réponse
  1. 3 copies des données, sur 2 types de supports différents, dont 1 hors site.
  2. À faire basculer une adresse IP flottante (protocole VRRP) d'une machine vers l'autre en cas de panne.
  3. Une sauvegarde qui ne se restaure pas ne sert à rien : le test vérifie qu'elle est complète, lisible, et mesure le temps de reprise réel.

Mon score

Thème Points (sur 3)
A1 – Adressage
A2 – VLAN et commutation
A3 – Routage
A4 – Services
A5 – Windows Server
A6 – Linux et scripts
A7 – Pare-feu
A8 – Supervision et sauvegarde

Note

Lecture. 3 sur 3 : acquis. 2 sur 3 : à consolider. 0 ou 1 sur 3 : à reprendre cette semaine avec les cours de la première année. Ce score n'est pas une note.

Partie B – Remettre en service le mini-laboratoire (≈ 1 h 15, binôme)

But : retrouver le geste de l'administrateur : configurer, démarrer, vérifier. Le laboratoire comporte deux machines Debian :

Machine Rôle Adresse
SRV Serveur web et SSH 192.168.50.10/24
CLI Poste client 192.168.50.20/24
CLI 192.168.50.20 Réseau interne lab-s01 192.168.50.0/24 SRV 192.168.50.10

B1 – Préparer les paquets (carte NAT)

Tant que les machines ont encore accès à Internet (une carte en mode NAT), installe les outils sur les deux machines :

sudo apt update
sudo apt install -y openssh-server curl tcpdump

Sur SRV uniquement :

sudo apt install -y apache2

Je comprends. Pourquoi installer les paquets avant de passer sur le réseau interne ? ______________________

Éléments de réponse

Le réseau interne n'a pas de sortie vers Internet : les dépôts de paquets seraient injoignables.

B2 – Configurer le réseau interne

  1. Dans VirtualBox, passe la carte réseau de chaque machine en Réseau interne, nom lab-s01.
  2. Relève le nom de l'interface : ip -br a (par exemple enp0s3).
  3. Donne l'adresse fixe. Avec le fichier /etc/network/interfaces (adapte le nom d'interface) :
auto enp0s3
iface enp0s3 inet static
    address 192.168.50.10/24

(192.168.50.20/24 sur CLI.) Applique : sudo ifdown enp0s3 ; sudo ifup enp0s3. Si ta machine utilise NetworkManager, configure l'adresse avec nmtui à la place.

J'anticipe. Pourquoi ne met-on pas de passerelle dans ce laboratoire ? ______________________

Éléments de réponse

Les deux machines sont dans le même réseau : elles se joignent directement. Il n'y a aucun routeur à traverser, donc aucune passerelle utile.

Vérification.

ip -br a
ping -c 3 192.168.50.10     # depuis CLI

Point de contrôle : capture d'écran datée de ip -br a sur chaque machine, et du ping réussi.

B3 – Vérifier le service web

Sur SRV :

systemctl status apache2
ss -tlnp | grep ':80'

Sur CLI :

curl -I http://192.168.50.10

J'anticipe. Quelle première ligne de réponse attends-tu ? ______________________

Éléments de réponse

HTTP/1.1 200 OK : la page d'accueil d'Apache existe et le service répond.

Je comprends. Que montre ss -tlnp que systemctl status ne montre pas ? ______________________

Éléments de réponse

systemctl status dit si le processus tourne ; ss -tlnp montre que le service écoute réellement sur le port 80 et sur quelle adresse. Un service peut tourner sans écouter sur la bonne adresse.

B4 – Connexion SSH par clé

Sur CLI, remplace utilisateur par le compte créé sur SRV :

ssh-keygen -t ed25519
ssh-copy-id utilisateur@192.168.50.10
ssh utilisateur@192.168.50.10

Je comprends. Pourquoi préfère-t-on la clé au mot de passe ? ______________________

Éléments de réponse

La clé privée ne circule jamais sur le réseau et ne se devine pas par essais successifs ; elle permet aussi d'automatiser les connexions (scripts, sauvegardes) sans stocker de mot de passe.

Point de contrôle : capture d'écran de la connexion SSH réussie sans demande de mot de passe de compte.

B5 – Regarder passer la poignée de main TCP

Sur SRV, lance la capture (adapte le nom d'interface) :

sudo tcpdump -n -i enp0s3 port 80

Pendant ce temps, sur CLI : curl -I http://192.168.50.10.

J'anticipe. Quels indicateurs (flags) s'affichent dans les trois premières lignes ? ______________________

Éléments de réponse

[S] (SYN, de CLI), [S.] (SYN-ACK, de SRV), [.] (ACK, de CLI) : la poignée de main en trois temps de TCP.

Partie C – Sauvegarde et plan de révision (≈ 35 min)

C1 – Sauvegarder puis restaurer

Sur SRV, sauvegarde le site :

sudo tar czf /tmp/www.tar.gz /var/www/html

Sur CLI, récupère l'archive, puis vérifie son contenu sans l'extraire :

scp utilisateur@192.168.50.10:/tmp/www.tar.gz .
tar tzf www.tar.gz

Je comprends. Cette copie respecte-t-elle la règle 3-2-1 ? Que manque-t-il ? ______________________

Éléments de réponse

Non : il y a deux copies seulement (SRV et CLI), sur le même type de support (disques virtuels du même hôte), et aucune hors site. La règle 3-2-1 sera retravaillée en séance S05.

C2 – Mon plan de révision

À partir du score de la partie A et de ce que tu as eu du mal à faire dans les parties B et C, complète :

Priorité Thème à reprendre Action concrète (cours à relire, TP à refaire) Où Échéance
1
2
3

Pour aller plus loin

  • Ajoute une règle de pare-feu sur SRV qui n'autorise que SSH et HTTP depuis CLI ; vérifie qu'un autre port est bien refusé.
  • Écris un petit script qui automatise la sauvegarde de la partie C1 avec la date dans le nom de l'archive.

Retour en entreprise (si ta situation le permet)

  • Observer : comment ton entreprise vérifie-t-elle qu'un service est réellement en fonctionnement ?
  • Documenter : décris en une demi-page la sauvegarde d'un serveur de ton entreprise et compare-la à la règle 3-2-1.

Rendu

Compte rendu PDF, nommé RENDU-B2A2-S01-NOM.pdf, contenant : ton score de la partie A, les captures datées des parties B et C avec les réponses aux questions « J'anticipe » et « Je comprends », et ton plan de révision.

Bilan de la séance

Remplis ce bilan seul, honnêtement : il sert à décider ce qu'il faut reprendre. Niveau : Non maîtrisé, Maîtrise partielle, Bonne maîtrise ou Excellente maîtrise (le vocabulaire des grilles nationales d'évaluation), ou Non évalué.

Compétence du référentiel Ce que j'ai fait dans cette séance Niveau
B2.1 – Concevoir une solution d'infrastructure réseau
B2.2 – Installer, tester et déployer une solution d'infrastructure réseau
B2.3 – Exploiter, dépanner et superviser une solution d'infrastructure réseau

Note

Les codes sont ceux du référentiel (l'arrêté numérote des activités : les codes « B… » sont un usage courant).

Je sais faire, sans aide :

  • Calculer une adresse réseau, une adresse de diffusion et un nombre d'hôtes ;
  • Configurer un VLAN et un trunk, et écrire une route statique ;
  • Configurer l'adresse d'une machine Linux et vérifier la communication ;
  • Vérifier qu'un service écoute sur le bon port et qu'il répond ;
  • Me connecter en SSH par clé ;
  • Sauvegarder des données et contrôler la sauvegarde.

Ce que je dois reprendre : ______________________

Ma question à poser à l'enseignant : ______________________