Segmenter le réseau d’un institut de formation
Un institut de formation de Niamey dispose de 25 postes, d’un routeur ADSL, de deux imprimantes réseau et d’un point d’accès Wi-Fi. Le réseau est plat : tous les postes, y compris ceux du service administratif qui manipulent les fichiers de scolarité et de paie, partagent la même plage 192.168.1.0/24. Le Wi-Fi est ouvert et les étudiants l’utilisent pour regarder des vidéos ; l’administration se plaint de lenteurs et a découvert qu’un étudiant avait imprimé un document sur l’imprimante du bureau des finances. Le directeur veut « bloquer les étudiants » sans couper Internet aux formations qui en ont besoin. Le budget permet un commutateur administrable, pas de liaison dédiée. Le technicien doit proposer une segmentation logique, un plan d’adressage et des règles d’accès, tout en gardant l’installation simple à maintenir.
1. Proposez un plan d’adressage VLAN et les règles d’accès entre les services (administration, étudiants, imprimantes). Justifiez le choix de segmentation plutôt qu’un simple filtrage du Wi-Fi.
Read the worked answer
Plan proposé : VLAN 10 Administration, 192.168.10.0/24, passerelle .1 ; VLAN 20 Étudiants, 192.168.20.0/24 ; VLAN 30 Impression, 192.168.30.0/24, avec l’imprimante administrative et l’imprimante étudiants ; VLAN 99 Gestion pour le switch. Le routeur ADSL fait du NAT vers Internet ; s’il ne gère pas les sous-interfaces, le commutateur administrable assure le routage inter-VLAN. Chaque VLAN a son DHCP.
Règles : Administration peut joindre Internet, son imprimante et les ressources pédagogiques ; Étudiants peuvent joindre Internet, l’imprimante étudiants et les serveurs de formation, mais pas le VLAN 10 ni l’imprimante administrative. Le Wi-Fi étudiant est mappé au VLAN 20 avec WPA2. La segmentation est préférable à un simple filtrage du Wi-Fi car elle s’applique aussi aux postes filaires, limite les diffusions et empêche un étudiant de changer d’adresse ou de se brancher sur un port administratif. Un filtrage par adresse IP seule serait contournable ; le VLAN impose une frontière logique.
2. Le directeur veut « bloquer les étudiants » sans couper Internet aux formations. Proposez des règles de filtrage et de qualité de service adaptées, en précisant ce qui doit rester autorisé.
Read the worked answer
Règles de filtrage : autoriser le VLAN Étudiants vers Internet en DNS, HTTP et HTTPS, ainsi que vers les plateformes pédagogiques ; autoriser l’impression vers l’imprimante étudiants ; refuser tout trafic vers le VLAN Administration et vers l’imprimante administrative. On peut limiter les flux vidéo non pédagogiques et le pair-à-pair par des règles de débit ou de blocage d’applications, sans couper l’accès aux formations en ligne.
QoS : prioriser le trafic administratif et les plateformes de cours, limiter la bande passante par étudiant ou par SSID, et réserver une plage horaire pour les gros téléchargements. Il faut laisser Internet aux formations : bloquer tout le VLAN étudiants empêcherait les exercices en ligne. Le contrôle doit être expliqué aux étudiants et révisable. Le routeur doit journaliser les refus pour vérifier que les règles ne bloquent pas une ressource utile.
3. Le point d’accès Wi-Fi est ouvert. Expliquez les risques et proposez une configuration simple à maintenir. Pourquoi le filtrage MAC n’est-il pas une solution suffisante ?
Read the worked answer
Un Wi-Fi ouvert permet à toute personne à portée de rejoindre le réseau, d’utiliser la bande passante, de tenter d’accéder aux partages et, sans chiffrement, d’observer une partie du trafic. Il ne garantit pas l’identité des utilisateurs. Configuration simple : deux SSID, « Admin » avec WPA2-PSK et mot de passe long, « Étudiants » avec WPA2-PSK distinct et mappé au VLAN 20 ; le SSID étudiant peut avoir un portail captif avec une charte.
Le filtrage MAC n’est pas suffisant : une adresse MAC s’usurpe facilement, la liste devient ingérable avec les téléphones personnels et elle n’apporte aucun chiffrement. Il peut servir de dissuasion, pas de sécurité. La combinaison VLAN + WPA2 + règles d’accès est plus robuste et reste maintenable.