I85PREP
⌘ K
BTS CIRA study materials
BTS CIRA study resources

Saturation d'un trunk inter-bâtiments et VLAN invités non filtré

BTS CIRA · Put your knowledge to work in context.

All case studies

Saturation d'un trunk inter-bâtiments et VLAN invités non filtré

La société Novalys (180 salariés) occupe deux bâtiments distants de 400 mètres, reliés par une fibre optique unique de 1 Gbit/s. Le bâtiment A héberge 130 postes et le cœur de réseau : un switch L2 de 48 ports auquel sont raccordés quatre switches d'accès, ainsi que le trunk vers le bâtiment B, qui compte 50 postes. Le plan de VLAN est le suivant : 10 administration, 20 bureautique, 30 téléphonie IP, 40 invités, 50 caméras IP. Depuis trois semaines, les utilisateurs signalent des lenteurs marquées entre 8 h 30 et 10 h, en particulier sur les partages de fichiers. Les caméras IP, qui diffusent en continu, partagent le même switch d'accès que les postes du VLAN 20. Le VLAN 40 est configuré mais aucune ACL ne le filtre : des visiteurs ont imprimé sur une imprimante du VLAN 20 la semaine dernière. Le spanning-tree n'a jamais été documenté, aucun root bridge n'est défini manuellement et la QoS n'est pas activée sur le trunk. La direction veut un diagnostic chiffré avant d'autoriser l'achat d'un nouveau cœur de réseau.

1. Identifiez les causes les plus probables de la saturation observée et indiquez, pour chacune, l'indicateur ou la commande qui permet de la confirmer ou de l'écarter.

Read the worked answer

Principe : aucune conclusion avant mesure. Chaque hypothèse doit être rattachée à un compteur et à un horodatage, car la gêne est circonscrite à la plage 8 h 30 - 10 h.

  1. Saturation du trunk unique (1 Gbit/s). Tous les VLAN du site B remontent par ce lien, qui porte aussi les sauvegardes et la VoIP. À vérifier : show interfaces Gi1/0/49 avec le débit d'entrée et de sortie sur 5 minutes, les compteurs drops, broadcast, multicast, et show interfaces counters errors (CRC, alignement, runts). Une corrélation entre le pic de 8 h 30 et un taux d'utilisation supérieur à 70 % confirme la piste.

  2. Flux vidéo des caméras. Même isolées dans le VLAN 50, elles consomment un débit constant qui ne baisse pas pendant les heures d'activité. Estimer ce débit avec show mac address-table puis un miroir de port et une capture Wireshark (somme des flux RTP). Vingt caméras à 4 Mbit/s représentent 80 Mbit/s permanents : elles ne créent pas le pic mais réduisent la marge disponible.

  3. Instabilité spanning-tree. show spanning-tree detail : compter les changements de topologie, vérifier le root bridge actuel et les ports en état blocking inattendu. Un changement de topologie toutes les quelques secondes vide les tables CAM et provoque une diffusion massive (ARP), ce qui expliquerait une dégradation brutale plutôt qu'une simple lenteur.

  4. Absence de QoS. Sans classification, une sauvegarde ou une copie de fichiers sature la file et la VoIP n'est plus prioritaire : show policy-map interface doit montrer une politique réelle, pas une configuration vide.

  5. Négociation duplex ou câblage. Des CRC qui augmentent à l'heure du pic orientent vers un lien physique dégradé.

Conclusion : les causes racines les plus probables sont le trunk unique, l'absence de QoS et la maîtrise insuffisante de la diffusion. Le VLAN 40 est un problème de sécurité indépendant, à traiter séparément.

2. Proposez une architecture cible pour le cœur et la desserte, en justifiant chaque choix par rapport aux symptômes constatés.

Read the worked answer

Cible proposée, et justification de chaque choix :

  • Remplacer le cœur L2 par un switch de distribution L3 avec des SVI (interfaces VLAN routées). Aujourd'hui, tout le trafic inter-VLAN remonte le trunk unique vers un routeur externe. En routant au plus près, on retire le trafic inter-VLAN du trunk et on peut appliquer des ACL filtrantes au bon endroit. Un switch L3 d'agrégation suffit pour 180 postes : le coût reste maîtrisé.

  • Doubler le lien inter-bâtiments en 10 Gbit/s avec deux fibres et un agrégat LACP, ou au minimum deux liens 1 Gbit/s sur des chemins distincts. Le lien actuel est à la fois un goulot et un point unique de panne : une fibre coupée isole 50 utilisateurs. LACP apporte la capacité et la redondance, avec une convergence inférieure à la seconde.

  • Rapid PVST+ avec root bridge et root secondaire explicites sur les switches de distribution, plus portfast et bpduguard sur les ports d'accès. Objectif : une topologie déterministe, documentée, et l'impossibilité pour un switch pirate de devenir root.

  • QoS de bout en bout : classification DSCP EF pour la VoIP, AF pour la signalisation, best effort pour le reste, files de sortie sur le trunk. À coupler à un storm-control sur les ports d'accès et à une limitation de débit par port pour les invités.

  • Séparer physiquement les caméras sur un switch d'accès dédié et les sortir du chemin des postes : le VLAN 50 ne suffit pas si le lien physique est partagé.

  • DHCP snooping, DAI et port-security sur les ports d'accès : coût nul en licence, blocage des serveurs DHCP pirates et de l'usurpation de passerelle.

Le nouveau cœur ne résoudra rien si les flux ne sont pas d'abord mesurés et segmentés : la première étape reste un audit de trafic sur 48 h.

3. Le VLAN 40 est décrit comme non filtré : détaillez les règles et mécanismes à mettre en place, en expliquant le risque couvert par chacun.

Read the worked answer

Risque à couvrir : un invité branché sur le VLAN 40 peut aujourd'hui joindre les imprimantes, les partages et probablement l'interface d'administration des switches. C'est un accès non authentifié à un réseau d'entreprise, avec un risque de rebond (scan, exploitation d'une imprimante non mise à jour) et de fuite d'information.

Mesures, par ordre d'efficacité :

  1. ACL étendue appliquée en entrée sur la SVI 40, dans le sens « depuis les invités », et non en sortie : autoriser DHCP vers le relais, DNS vers le résolveur prévu (interne si nécessaire, sinon public), puis refuser tout le reste vers 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 et les adresses de gestion, enfin autoriser Internet via le proxy. L'appliquer sur la SVI évite de la dupliquer sur chaque port.

  2. Ne pas router le VLAN 40 vers les autres VLAN : aucune SVI de transit, aucune route statique ne doit ramener le trafic invité vers le LAN. C'est la règle la plus simple et la plus robuste.

  3. Isolation de niveau 2 : private VLAN isolé ou fonction d'isolation des ports d'accès, pour que deux invités ne se voient pas entre eux (propagation de vers). Sur le Wi-Fi, activer l'isolation client sur le SSID correspondant.

  4. DHCP snooping sur le VLAN 40 avec le port du relais en trusted, et DAI pour empêcher l'empoisonnement ARP : un invité pourrait sinon se faire passer pour la passerelle et capturer le trafic des autres.

  5. Limitation de débit et du nombre de MAC par port, et journalisation des refus d'ACL vers le SIEM pour détecter un scan.

  6. Vérification : depuis un poste du VLAN 40, le ping vers une imprimante du VLAN 20 doit échouer et l'accès Internet réussir ; l'ACL doit être comptée en hits.