Réseau plat de lycée : segmentation sous contrainte de budget
Un lycée accueille 1 200 élèves et 180 postes. Le réseau est un domaine plat 10.10.0.0/16 : un seul VLAN, un serveur DHCP Windows, 12 bornes Wi-Fi, 40 téléphones IP, 20 caméras et un flux vidéo multicast vers l'amphithéâtre. Vers 10 h, les connexions deviennent erratiques ; le port du switch de l'atelier passe en err-disabled après le branchement d'un équipement personnel ; les téléphones redémarrent à chaque diffusion multicast ; un élève branche un routeur qui distribue du DHCP sur son segment. L'administrateur propose d'ajouter un second /16 et de remplacer tous les switchs. Le budget alloué est de 4 000 € et l'établissement ne peut fermer que deux jours pendant les vacances.
1. Proposez un plan de segmentation VLAN et d'adressage, avec le mécanisme DHCP associé, et justifiez chaque découpage par un risque ou un besoin de flux.
Read the worked answer
Principe. Un /16, c'est 65 534 adresses dans un seul domaine de diffusion : chaque ARP et chaque broadcast multicast part sur tous les ports. On découpe par usage et par niveau de confiance, pas par bâtiment.
| VLAN | Usage | Sous-réseau | Justification |
|---|---|---|---|
| 10 | Administration | 10.10.10.0/24 | Accès restreint par ACL, hors DHCP dynamique |
| 20 | Postes pédagogiques | 10.10.20.0/23 | 180 postes + marge, broadcasts limités |
| 30 | Wi-Fi élèves | 10.10.32.0/20 | 1 200 élèves × 2 appareils, isolation client |
| 40 | Téléphonie IP | 10.10.40.0/24 | QoS prioritaire, pas de DHCP sauvage |
| 50 | Caméras / IoT | 10.10.50.0/24 | Objets non administrés, accès sortant bloqué |
| 60 | Serveurs | 10.10.60.0/24 | Flux maîtrisés vers les autres VLAN |
| 99 | Transit natif | - | Aucun port d'accès, évite le VLAN 1 |
DHCP. Un seul serveur Windows conserve les étendues ; les interfaces SVI du switch de cœur portent la commande ip helper-address vers ce serveur, car le DHCP broadcast ne traverse pas les routeurs. On garde le serveur en VLAN 60, avec une ACL autorisant uniquement le trafic DHCP des relais.
Bénéfice mesurable. Un broadcast d'ARP ne touche plus que 254 à 4 094 hôtes au lieu de 65 534, et une compromission d'une caméra ne donne pas accès aux postes pédagogiques.
2. Expliquez la cause probable de chacun des trois symptômes (lenteurs de 10 h, port en err-disabled, redémarrages des téléphones) et indiquez la configuration précise à appliquer.
Read the worked answer
Lenteurs de 10 h. C'est l'heure de pointe : sur un domaine de diffusion unique, les broadcasts ARP, les annonces multicast et les requêtes DHCP saturent les liens et les CPU de switch. Le flux vidéo multicast, sans IGMP snooping, est inondé sur tous les ports alors que seuls quelques postes le regardent. Correctifs : activer IGMP snooping sur le VLAN concerné, avec un routeur multicast désigné ; activer le storm control (seuil broadcast/multicast, par exemple 5 % du débit) sur les ports d'accès.
Port en err-disabled. Le branchement d'un équipement personnel fait soit boucler le réseau (BPDU reçu sur un port d'accès), soit dépasser une limite d'adresses MAC. Correctifs : spanning-tree portfast bpduguard default sur les ports d'accès, switchport port-security maximum 2 avec violation shutdown, et procédure de réactivation (shutdown / no shutdown) documentée.
Téléphones qui redémarrent. Deux causes se cumulent : la diffusion multicast sature le lien voix, et le routeur pirate distribue un bail DHCP avec une mauvaise option 150 (adresse du contrôleur d'appel), ce qui fait perdre l'enregistrement. Correctifs : VLAN voix séparé avec QoS (trust DSCP sur les ports téléphone), DHCP snooping avec les ports uplink en trust, et option 150 servie uniquement par le DHCP légitime. Un téléphone IP ne doit jamais recevoir de bail d'un équipement élève.
3. Le budget est de 4 000 € pour deux jours d'intervention. Priorisez les achats et les opérations, et indiquez ce que vous refusez de financer.
Read the worked answer
Ce que je refuse. Remplacer tous les switchs et ajouter un second /16 : cela ne corrige ni les broadcasts, ni le multicast, ni le DHCP sauvage, et double l'étendue à administrer. C'est une dépense sans effet sur les symptômes.
Priorité 1 - cœur de réseau (environ 1 800 à 2 200 €). Un switch de cœur administrable de niveau 3, avec SVL, routage inter-VLAN et IGMP snooping. C'est la brique indispensable : sans lui, aucune segmentation n'est routable. Les switchs d'accès existants sont conservés s'ils supportent 802.1Q et le storm control ; sinon, deux switchs d'accès 24 ports (environ 500 € pièce) suffisent pour les zones les plus critiques (atelier, salle serveurs).
Priorité 2 - configuration (temps, pas d'achat). Création des VLAN, trunks 802.1Q, DHCP relay, ACL inter-VLAN, QoS voix, BPDU guard et DHCP snooping. C'est là que se joue l'essentiel des symptômes.
Priorité 3 - Wi-Fi (environ 500 €). Un contrôleur léger ou la configuration d'un SSID invité isolé, pour sortir les élèves du réseau interne.
Planning sur deux jours. Jour 1 : préparation hors production, sauvegarde des configurations, câblage du cœur. Jour 2 : bascule, tests par VLAN, vérification voix et multicast. Prévoir un retour arrière par configuration sauvegardée, pas par rachat de matériel.