SISR / Réseaux / Configuration initiale d'un commutateur Cisco

Configuration initiale d'un commutateur Cisco

La première configuration d'un commutateur, de la liaison console jusqu'à l'administration à distance. Chaque étape correspond à un point de sécurité distinct.

1. Accéder au switch

Un switch neuf n'a aucune adresse IP : le seul accès possible est physique, par le port console.

1. Relier le PC au port console du commutateur avec un câble console.
2. Mettre sous tension et attendre que la LED SYS cesse de clignoter.
3. Lancer PuTTY, choisir Serial, indiquer le port COM et la vitesse 9600.
4. Ouvrir la connexion et appuyer sur Entrée.
5. Au message « Would you like to enter the initial configuration dialog? [yes/no] », répondre no : on configure à la main.

show version        ! version de l'image IOS, modèle, durée de fonctionnement

2. Les modes IOS

enable                  ! utilisateur → privilégié
configure terminal      ! privilégié → configuration globale
exit                    ! remonte d'un niveau
end                     ! retour direct au mode privilégié
Ctrl + Z                ! équivalent de end

3. Paramètres de base

enable
configure terminal

 hostname DUJE-SWITCH-1
 no ip domain-lookup

 banner motd #Unauthorized access to this device is prohibited!#
end

clock set 14:30:00 20 September 2026

La bannière légale n'est pas décorative. Elle rend l'accès non autorisé explicitement interdit et documenté, ce qui compte juridiquement en cas de poursuite. Elle ne doit jamais contenir le mot « bienvenue », qui pourrait être interprété comme une invitation.

4. Sécuriser les mots de passe

Mode privilégié

configure terminal
 enable password Soleil@        ! mot de passe en CLAIR dans la configuration
 enable secret Soleil@          ! mot de passe HACHÉ — à préférer
end

L'avantage du hachage est celui vu en B3 : même si un attaquant obtient le fichier de configuration, il n'obtient pas le mot de passe. Un chiffrement serait réversible, un hachage ne l'est pas.

Chiffrer les autres mots de passe

configure terminal
 service password-encryption
end

Cette commande chiffre les mots de passe restés en clair (console, VTY, enable password). Le chiffrement utilisé, dit « type 7 », est faible et réversible — il protège d'un regard par-dessus l'épaule, pas d'un attaquant. C'est une mesure d'hygiène, pas de sécurité.

Le piège du redémarrage

Après avoir configuré un mot de passe puis débranché le switch sans sauvegarder, on constate que le mot de passe n'est plus demandé et que le nom du switch a disparu.

Explication : la configuration active vit en mémoire vive (running-config), qui est volatile. Sans write memory, tout est perdu à l'extinction, et le switch redémarre sur sa startup-config — vide.

5. Sécuriser l'accès console

Sécuriser le mode privilégié ne suffit pas : quelqu'un ayant un accès physique peut encore brancher un câble console et taper des commandes en mode utilisateur, ce qui livre déjà beaucoup d'informations sur le réseau.

configure terminal
 line console 0
  password Soleil@
  login                    ! sans cette ligne, le mot de passe n'est PAS demandé
  exec-timeout 5 0         ! déconnexion après 5 minutes d'inactivité
  logging synchronous      ! les messages système n'écrasent plus la saisie
 exit
end
write memory

Oublier login est l'erreur la plus fréquente : le mot de passe est enregistré mais jamais demandé. La commande password définit la valeur, login active la vérification. Les deux sont nécessaires.

6. Accès distant : VTY et Telnet

Un switch de niveau 2 n'utilise pas d'adresse IP pour commuter. L'adresse ne sert qu'à l'administrer à distance, et se pose sur une interface VLAN.

configure terminal
 interface vlan 40                       ! VLAN de management
  ip address 10.20.40.1 255.255.255.0
  no shutdown
 exit
 ip default-gateway 10.20.40.254         ! pour joindre le switch depuis un autre réseau
end

Les lignes VTY

Une ligne VTY (Virtual Teletype) est une session d'administration distante. Contrairement à la console, elle ne demande aucun accès physique.

configure terminal
 line vty 0 4                     ! 5 sessions simultanées (0 à 4)
  password Soleil@
  login
  transport input ssh telnet      ! protocoles autorisés
  exec-timeout 5 0
 exit
end
write memory

show ip interface brief          ! vérifier l'adresse et l'état de l'interface VLAN

On retire ensuite le câble console, on branche un câble RJ45 entre le PC et le switch, et on se connecte avec PuTTY en mode Telnet sur l'adresse configurée.

Telnet fait circuler tout en clair, mot de passe compris : une capture Wireshark suffit à le lire. Il est toléré en TP et sur un réseau de laboratoire isolé ; en production, on n'autorise que SSH (transport input ssh), ce qui suppose un nom de domaine, une paire de clés RSA et des comptes locaux. Voir la fiche Durcissement SSH.

Bonne pratique de segmentation

L'interface d'administration se place sur un VLAN de management dédié, jamais sur le VLAN 1 ni sur un VLAN utilisateur. Un poste du VLAN RH n'a aucune raison de pouvoir joindre l'interface d'administration du commutateur.

7. Running-config et startup-config

show running-config              ! ce qui tourne actuellement
show startup-config              ! ce qui sera rechargé au boot

write memory                     ! sauvegarde (forme courte)
copy running-config startup-config   ! forme complète, équivalente

reload                           ! redémarrer le switch

Toute modification prend effet immédiatement dans la running-config, mais n'est pas persistée. La séquence correcte est : configurer, vérifier, puis sauvegarder.

8. Réinitialiser un switch

Procédure de récupération quand le mot de passe est perdu ou la configuration inexploitable.

1. Débrancher le switch.
2. Maintenir le bouton Mode enfoncé.
3. Rebrancher en gardant le bouton enfoncé : les LED clignotent après environ 3 secondes.
4. Rebrancher le câble console.
5. Taper flash_init puis load_helper.
6. Supprimer la configuration : delete flash:config.text et delete flash:vlan.dat.
7. Relancer avec boot.

Point de sécurité à relever en compte rendu : cette procédure ne demande aucun mot de passe. Toute la sécurité logique du commutateur tombe si l'on dispose d'un accès physique. D'où la règle : les équipements réseau vivent dans un local fermé à clé, et l'on peut durcir avec no service password-recovery.

Ne pas oublier vlan.dat : la base VLAN est stockée à part, et effacer seulement config.text laisse les VLAN en place.