Module 10 — Network Devices

📢 10.1 — Hubs (concentrateurs)

Le hub est le plus simple et le plus ancien des équipements réseau. Il opère au Layer 1 (couche physique) du modèle OSI. Son fonctionnement est rudimentaire : quand il reçoit un signal sur un port, il le retransmet sur tous les autres ports sans distinction.

Un hub, c'est un mégaphone dans une pièce. Quand quelqu'un parle dans le mégaphone, tout le monde dans la pièce entend le message, même ceux à qui il n'est pas destiné. C'est bruyant, inefficace, et n'importe qui peut écouter la conversation des autres.

Caractéristiques du Hub

Caractéristique	Détail
Couche OSI	Layer 1 — Physique
Mode de transmission	Broadcast (tous les ports)
Intelligence	Aucune — ne lit pas les adresses
Domaine de collision	Un seul domaine partagé par tous les ports
Half/Full duplex	Half duplex uniquement
Bande passante	Partagée entre tous les ports

Pourquoi les hubs sont obsolètes

Collisions : tous les appareils partagent le même domaine de collision. Plus il y a d'appareils, plus il y a de collisions.
Sécurité : toutes les trames sont envoyées à tous les ports — un simple sniffer peut capturer tout le trafic du réseau.
Performance : la bande passante est partagée (10 Mbps partagés entre 8 ports = environ 1,25 Mbps par port).
Les switches les ont entièrement remplacés dans les réseaux modernes.

🔀 10.2 — Switches (commutateurs)

Le switch est l'évolution intelligente du hub. Il opère au Layer 2 (couche liaison de données) et utilise les adresses MAC pour acheminer les trames uniquement vers le port de destination correct.

Un switch, c'est un standardiste téléphonique intelligent. Quand Alice appelle Bob, le standardiste connecte directement Alice à Bob. Les autres personnes ne sont pas dérangées et peuvent avoir leurs propres conversations en parallèle. C'est efficace et privé.

La table MAC (CAM Table)

Le switch maintient une table MAC (aussi appelée CAM table — Content Addressable Memory) qui associe chaque adresse MAC au port physique correspondant. Cette table est stockee en memoire TCAM (Ternary Content Addressable Memory) pour des recherches ultra-rapides.

Processus d'apprentissage de la table MAC (5 etapes)

1. Reception de la trame

Le switch recoit une trame Ethernet sur un de ses ports physiques. Il extrait les champs MAC source et MAC destination de l'en-tete de la trame.

2. Apprentissage (Learning)

Le switch lit l'adresse MAC source et l'associe au port d'entree dans sa table MAC. Si l'entree existe deja, il reinitialise le aging timer (300 secondes par defaut sur Cisco). Si la MAC source est sur un port different, le switch met a jour l'entree.

3. Recherche de la destination (Lookup)

Le switch cherche l'adresse MAC de destination dans sa table MAC. Trois decisions sont possibles selon le resultat de cette recherche.

4a. Forward — Adresse connue, port different

Si la MAC de destination est dans la table et associee a un port different du port source, le switch envoie la trame uniquement vers ce port. C'est le forwarding unicast.

4b. Filter — Adresse connue, meme port

Si la MAC de destination est associee au meme port que la MAC source, le switch supprime (drop) la trame. Cela signifie que la source et la destination sont sur le meme segment — pas besoin de transmettre.

4c. Flood — Adresse inconnue ou broadcast

Si la MAC de destination n'est pas dans la table (unknown unicast) ou si c'est une adresse broadcast (FF:FF:FF:FF:FF:FF) ou multicast, le switch envoie la trame sur tous les ports du meme VLAN (sauf le port source). C'est le flooding.

5. Aging (vieillissement)

Chaque entree de la table MAC a un aging timer (par defaut 300 secondes sur Cisco). Si aucune trame avec cette MAC source n'est recue pendant ce delai, l'entree est automatiquement supprimee. Cela libere de la memoire et s'adapte aux changements de topologie.

Switch(config)# mac address-table aging-time 600 — modifie le timer a 600s.

Decisions de transmission du switch

Decision	Condition	Action
Forward (unicast)	MAC destination connue, port different du source	Transmet la trame uniquement vers le port de destination
Filter (drop)	MAC destination sur le meme port que la source	Supprime la trame (source et destination sur le meme segment)
Flood	MAC destination inconnue, broadcast, ou multicast	Transmet la trame sur tous les ports du VLAN sauf le port source

Types de switches

Switch Unmanaged (non géré)

Le switch le plus simple. Prêt à l'emploi, aucune configuration nécessaire.

Plug-and-play, pas d'interface de gestion
Pas de VLANs, pas de QoS, pas de monitoring
Adapté aux petits réseaux domestiques ou de bureau
Prix très abordable

Switch Managed (géré)

Switch configurable offrant un contrôle complet sur le réseau.

Interface de gestion (CLI, web, SNMP)
Support VLANs, QoS, port mirroring, STP
Monitoring et logs avancés
Sécurité : port security, DHCP snooping, 802.1X
Adapté aux réseaux d'entreprise

Switch Layer 2

Opère au niveau de la couche liaison de données (adresses MAC).

Commutation basée sur les adresses MAC
Support VLANs (segmentation logique)
STP (Spanning Tree Protocol) pour éviter les boucles
Ne peut pas router entre les sous-réseaux IP
Le type le plus courant en entreprise

Switch Layer 3

Combine les fonctions de switch (L2) et de routeur (L3).

Commutation MAC + routage IP
Routing inter-VLAN sans routeur externe
Support de protocoles de routage (OSPF, EIGRP)
Performance supérieure au routing logiciel (hardware-based)
Utilisé dans les coeurs de réseau (core layer)

Switch Port Security

Le port security limite le nombre d'adresses MAC autorisees sur un port et definit le comportement en cas de violation. C'est une defense essentielle contre le MAC flooding.

Configuration Cisco de base

Switch(config)# interface FastEthernet 0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 2
Switch(config-if)# switchport port-security mac-address sticky
Switch(config-if)# switchport port-security violation shutdown

Modes de violation

Mode	Trafic non autorise	Alerte (SNMP/syslog)	Compteur de violations	Port status
Protect	Dropped silencieusement	Non	Non	Reste UP
Restrict	Dropped	Oui	Oui (incremente)	Reste UP
Shutdown (defaut)	Dropped	Oui	Oui	err-disabled (port desactive)

Sticky MAC

Avec switchport port-security mac-address sticky, le switch apprend dynamiquement les adresses MAC et les ajoute automatiquement a la running-config. Cela evite de configurer manuellement chaque MAC tout en securisant le port.

Recuperation d'un port err-disabled

Quand un port passe en err-disabled suite a une violation (mode shutdown), il faut le reactiver manuellement : Switch(config-if)# shutdown puis Switch(config-if)# no shutdown. On peut aussi configurer la recuperation automatique avec errdisable recovery cause psecure-violation.

VLANs detailles

Un VLAN (Virtual Local Area Network) permet de segmenter logiquement un switch physique en plusieurs reseaux distincts, sans cablage supplementaire.

Sans VLAN	Avec VLANs
Tous les ports = 1 seul domaine de broadcast	Chaque VLAN = domaine de broadcast isole
Tout le monde voit le trafic broadcast	Le broadcast reste confine dans le VLAN
Pas de segmentation	Separation logique (ex: RH, IT, Direction)
Securite limitee	Isolation des departements

VLANs speciaux

VLAN	Role	Details
VLAN 1	Default VLAN / Native VLAN	Tous les ports sont dans VLAN 1 par defaut. Le trafic de gestion (CDP, VTP, STP) circule sur VLAN 1. Bonne pratique : ne pas utiliser VLAN 1 pour le trafic utilisateur.
VLAN natif	Trafic non tagge sur trunk	Par defaut VLAN 1. Les trames non taguees sur un lien trunk sont assignees au VLAN natif. Le VLAN natif doit etre identique des deux cotes du trunk.
VLAN de gestion	Administration du switch	VLAN dedie pour acceder a l'interface de gestion du switch (SSH, SNMP). Separe du trafic utilisateur.
VLAN voix	Trafic VoIP	VLAN dedie pour les telephones IP. Priorite QoS pour garantir la qualite audio.

Ports Access vs Trunk

Port Access

Un port en mode access appartient a un seul VLAN. C'est le mode utilise pour connecter les equipements finaux (PC, imprimante, telephone).

Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10

Toutes les trames envoyees et recues sur ce port appartiennent au VLAN 10
Le switch ne tagge pas les trames sur un port access (l'equipement final ne connait pas les VLANs)

Port Trunk (802.1Q)

Un port en mode trunk transporte le trafic de plusieurs VLANs simultanement. Utilise entre switches, entre switch et routeur.

Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk native vlan 99
Switch(config-if)# switchport trunk allowed vlan 10,20,30,99

802.1Q tagging : le switch insere un tag de 4 octets dans l'en-tete Ethernet contenant le VLAN ID (12 bits = 4094 VLANs possibles)
Les trames du VLAN natif ne sont pas taguees sur le trunk
Bonne pratique : changer le VLAN natif (eviter VLAN 1) et utiliser un VLAN inutilise

DTP et VTP

Protocole	Role	Recommandation securite
DTP (Dynamic Trunking Protocol)	Negocie automatiquement le mode trunk/access entre switches Cisco. Modes : auto (attend la negociation), desirable (initie la negociation).	Desactiver DTP sur tous les ports : `switchport nonegotiate`. DTP est exploite dans les attaques de VLAN hopping (switch spoofing).
VTP (VLAN Trunking Protocol)	Synchronise automatiquement la base de donnees VLAN entre switches Cisco. Modes : Server (cree/modifie VLANs), Client (recoit), Transparent (transmet sans appliquer).	Utiliser le mode Transparent ou desactiver VTP. Un switch VTP server compromis peut effacer tous les VLANs du reseau.

Inter-VLAN Routing

Les VLANs isolent le trafic : pour communiquer entre VLANs, il faut un equipement Layer 3 :

Router-on-a-Stick : un routeur avec une seule interface physique et des sous-interfaces (une par VLAN). Le trunk du switch envoie le trafic tagge au routeur qui le route entre VLANs.
Switch Layer 3 : le switch fait le routage inter-VLAN directement en hardware via des SVI (Switch Virtual Interfaces). Plus performant.

! Router-on-a-Stick (sous-interfaces)
Router(config)# interface GigabitEthernet0/0.10
Router(config-subif)# encapsulation dot1Q 10
Router(config-subif)# ip address 192.168.10.1 255.255.255.0
Router(config)# interface GigabitEthernet0/0.20
Router(config-subif)# encapsulation dot1Q 20
Router(config-subif)# ip address 192.168.20.1 255.255.255.0

Securite du switch

Des attaques comme le MAC flooding (inonder la table MAC pour forcer le switch en mode hub), le VLAN hopping (switch spoofing via DTP ou double tagging) et le ARP spoofing exploitent les vulnerabilites des switches. Les protections incluent le port security, le dynamic ARP inspection, le DHCP snooping, et la desactivation de DTP.

🌳 10.2b — Spanning Tree Protocol (STP)

Le Spanning Tree Protocol (STP — IEEE 802.1D) empeche les boucles de commutation (switching loops) dans les reseaux avec des liens redondants entre switches.

Pourquoi les boucles sont dangereuses ? Sans STP, une trame broadcast envoyee dans un reseau avec des liens redondants serait retransmise indefiniment par chaque switch, creant une tempete de broadcast (broadcast storm). Le reseau serait sature en quelques secondes, la table MAC deviendrait instable (MAC flapping), et le reseau entier tomberait.

Fonctionnement de STP

STP cree un arbre couvrant (spanning tree) logique en desactivant certains liens redondants. Si un lien actif tombe en panne, STP reactive un lien de secours.

1. BPDU (Bridge Protocol Data Unit)

Les switches echangent des trames BPDU toutes les 2 secondes pour partager des informations sur la topologie. Les BPDUs contiennent : le Bridge ID (priorite + MAC), le Root Bridge ID, et le cout du chemin vers le Root Bridge.

2. Election du Root Bridge

Le switch avec le Bridge ID le plus bas est elu Root Bridge. Le Bridge ID = Priorite (defaut 32768) + adresse MAC. Pour influencer l'election, on baisse la priorite :

Switch(config)# spanning-tree vlan 1 priority 4096

Le Root Bridge est le point central de l'arbre STP. Tous les autres switches calculent le meilleur chemin vers lui.

3. Etats des ports STP

Etat	Duree	Envoie BPDUs	Apprend MACs	Transmet donnees
Blocking	20s (Max Age)	Non (recoit)	Non	Non
Listening	15s (Forward Delay)	Oui	Non	Non
Learning	15s (Forward Delay)	Oui	Oui	Non
Forwarding	Stable	Oui	Oui	Oui
Disabled	—	Non	Non	Non (port admin down)

Convergence STP classique : 30 a 50 secondes (Blocking → Listening → Learning → Forwarding). C'est lent ! Rapid STP (RSTP — 802.1w) converge en quelques secondes.

4. Roles des ports STP

Role	Description	Etat
Root Port	Le port avec le meilleur chemin vers le Root Bridge. Chaque switch non-root a exactement un Root Port.	Forwarding
Designated Port	Le port qui transmet le trafic vers le segment reseau. Un par segment. Tous les ports du Root Bridge sont Designated.	Forwarding
Non-Designated Port	Port bloque pour eviter les boucles. Ne transmet pas de donnees mais recoit les BPDUs.	Blocking

5. Variantes de STP

Protocole	Standard	Convergence	Particularite
STP	802.1D	30-50 secondes	Original, un arbre pour tous les VLANs
RSTP	802.1w	1-2 secondes	Convergence rapide, retro-compatible STP
PVST+	Cisco	30-50 secondes	Un arbre STP par VLAN (plus flexible)
Rapid PVST+	Cisco	1-2 secondes	RSTP + per-VLAN (recommande Cisco)
MSTP	802.1s	1-2 secondes	Regroupe plusieurs VLANs par instance

Attaques STP

STP Root Bridge Attack : un attaquant envoie des BPDUs avec une priorite tres basse pour devenir Root Bridge et rediriger tout le trafic a travers sa machine (attaque MitM).
Protection : activer BPDU Guard sur les ports access (spanning-tree bpduguard enable) — le port passe en err-disabled s'il recoit un BPDU. Activer Root Guard sur les ports ou un Root Bridge ne devrait jamais apparaitre.

🌐 10.3 — Routeurs (Routers)

Le routeur opère au Layer 3 (couche réseau) et utilise les adresses IP pour acheminer les paquets entre différents réseaux. C'est l'équipement qui connecte les réseaux entre eux.

Un routeur, c'est comme un agent de circulation à un carrefour. Il regarde la destination indiquée sur chaque véhicule (paquet) et l'oriente vers la bonne route. Il connaît toutes les routes possibles grâce à sa carte (table de routage) et choisit le meilleur chemin.

Table de routage detaillee

Chaque routeur maintient une table de routage qui contient les reseaux connus et le meilleur chemin pour les atteindre. Chaque entree contient le type de route, le reseau de destination, le masque, le next hop, l'interface de sortie, la distance administrative et la metrique.

Type	Reseau	Masque	Next Hop	Interface	AD	Metrique
C (Connected)	192.168.1.0	/24	Directement connecte	Gi0/0	0	—
S (Static)	10.0.0.0	/8	192.168.1.1	Gi0/0	1	—
O (OSPF)	172.16.0.0	/16	192.168.1.254	Gi0/1	110	20
S* (Default)	0.0.0.0	/0	203.0.113.1	Gi0/2	1	—

La derniere ligne (0.0.0.0/0) est la route par defaut (default route) : si aucun reseau specifique ne correspond, le paquet est envoye vers cette route.

Distance Administrative (AD)

Quand un routeur recoit la meme route de plusieurs sources (ex: OSPF et RIP annoncent le meme reseau), il utilise la distance administrative pour decider laquelle est la plus fiable. Plus la valeur est basse, plus la source est fiable.

Source de la route	Distance Administrative
Directement connecte (Connected)	0
Route statique	1
eBGP (External BGP)	20
EIGRP (interne)	90
OSPF	110
IS-IS	115
RIP	120
EIGRP (externe)	170
iBGP (Internal BGP)	200
Inconnue / non fiable	255 (jamais utilisee)

Longest Prefix Match (correspondance au prefixe le plus long)

Quand plusieurs routes correspondent a la destination, le routeur choisit celle avec le masque le plus long (le plus specifique). C'est la regle du longest prefix match.

Exemple de Longest Prefix Match

Un paquet destine a 10.1.1.50 correspond a trois routes :

10.0.0.0/8 — prefixe de 8 bits
10.1.0.0/16 — prefixe de 16 bits
10.1.1.0/24 — prefixe de 24 bits (le plus long)

Le routeur choisit 10.1.1.0/24 car c'est le prefixe le plus long (le plus specifique). L'AD et la metrique ne sont comparees qu'entre routes de meme longueur de prefixe.

Routage statique vs dynamique

Routage statique

Les routes sont configurées manuellement par l'administrateur sur chaque routeur.

Avantages : simple, pas de surcharge de bande passante, contrôle total, plus sécurisé
Inconvénients : ne s'adapte pas automatiquement aux changements de topologie, ingérable sur les grands réseaux
Utilisé pour : petits réseaux, routes par défaut, connexions vers un seul réseau (stub network)

Exemple de commande Cisco :

ip route 10.0.0.0 255.0.0.0 192.168.1.1

Routage dynamique

Les routeurs échangent automatiquement des informations sur les réseaux connus via des protocoles de routage.

Avantages : s'adapte automatiquement aux changements, scalable, convergence automatique
Inconvénients : consomme de la bande passante et des ressources CPU, plus complexe à sécuriser
Utilisé pour : grands réseaux, topologies redondantes, environnements dynamiques

Protocoles de routage dynamique

Protocole	Type	Algorithme	AD	Metrique	Limite
RIP	Distance Vector	Bellman-Ford	120	Hop count	Max 15 hops (16 = unreachable)
OSPF	Link State	Dijkstra (SPF)	110	Cost (bande passante)	Pas de limite de hops
EIGRP	Advanced Distance Vector	DUAL	90/170	Composite (BW + delay)	Max 255 hops (defaut 100)
BGP	Path Vector	Best Path Selection	20/200	Attributs (AS-path, etc.)	Pas de limite

Type : Distance Vector | AD : 120 | Metrique : Hop count (nombre de sauts)

Chaque routeur traverse = 1 hop. La route avec le moins de hops est preferee.
Maximum 15 hops — 16 = destination inatteignable (infinity). Limite la taille du reseau.
RIPv1 : classful (pas de masque dans les mises a jour), broadcast
RIPv2 : classless (VLSM/CIDR), multicast (224.0.0.9), authentification MD5
Mise a jour toutes les 30 secondes (envoie toute la table de routage)
Convergence lente — sujet aux routing loops (protections : split horizon, route poisoning, hold-down timers)
Ne prend pas en compte la bande passante — un lien 100 Mbps a 1 hop est prefere a un lien 10 Gbps a 2 hops

Type : Link State | AD : 110 | Metrique : Cost (reference bandwidth / interface bandwidth)

Chaque routeur connait la topologie complete du reseau via la LSDB (Link-State Database)
Utilise l'algorithme de Dijkstra (SPF) pour calculer le chemin le plus court
Areas : OSPF divise le reseau en zones (areas) pour limiter la taille de la LSDB. Area 0 (backbone) est obligatoire et toutes les autres areas doivent y etre connectees.
Cost : par defaut = Reference BW (100 Mbps) / Interface BW. Ex: FastEthernet (100 Mbps) = cost 1, Gigabit = cost 1 (ajuster la reference BW !)
Mises a jour incrementales (LSA) uniquement quand la topologie change — pas de mises a jour periodiques completes
Convergence rapide grace aux LSAs et au calcul SPF
Election du DR/BDR (Designated Router / Backup DR) sur les reseaux multi-access pour reduire les adjacences
Standard ouvert — fonctionne avec tous les constructeurs

Type : Advanced Distance Vector (hybride) | AD : 90 (interne) / 170 (externe) | Metrique : composite

Protocole Cisco proprietaire (partiellement ouvert via RFC 7868)
Algorithme DUAL (Diffusing Update Algorithm) — maintient un successor (meilleure route) et un feasible successor (route de secours)
Metrique composite basee sur : bande passante (K1), delai (K3), charge (K2), fiabilite (K4/K5) — par defaut seuls BW et delay sont utilises
Convergence tres rapide grace au feasible successor (basculement instantane)
Mises a jour partielles et incrementales (triggered updates) — n'envoie que les changements
Supporte VLSM, CIDR, et le load balancing sur des chemins inegaux (unequal-cost load balancing)

Type : Path Vector | AD : 20 (eBGP) / 200 (iBGP) | Metrique : attributs de chemin multiples

LE protocole qui fait fonctionner Internet. Connecte les systemes autonomes (AS — Autonomous Systems) entre eux.
eBGP (External) : entre AS differents (ex: entre FAIs). iBGP (Internal) : au sein d'un meme AS.
Utilise TCP port 179 pour les sessions entre pairs (peers/neighbors)
Selection du meilleur chemin basee sur de multiples attributs : Weight (Cisco), Local Preference, AS-Path (le plus court prefere), Origin, MED, etc.
AS-Path : liste des AS traverses. Previent les boucles (un AS rejette une route contenant son propre numero).
BGP hijacking : un attaquant annonce des prefixes IP qui ne lui appartiennent pas, redirigeant le trafic. Protection : RPKI (Resource Public Key Infrastructure).
BGP leak : un AS propage accidentellement des routes apprises, causant des detournements massifs de trafic

Fonctions de sécurité du routeur

ACL (Access Control Lists) : filtrer le trafic selon les adresses IP, ports et protocoles
NAT (Network Address Translation) : masquer les adresses IP internes
VPN gateway : terminer les tunnels VPN chiffrés
Firewall intégré : certains routeurs incluent un firewall stateful

📡 10.4 — Points d'accès sans fil (Wireless Access Points)

Un AP (Access Point) permet aux appareils sans fil de se connecter au réseau câblé. Il fait le pont entre le monde Wi-Fi et le réseau Ethernet.

Standards Wi-Fi (IEEE 802.11)

Standard	Nom	Frequence	Debit max	Largeur canal	MIMO	Annee
802.11a	—	5 GHz	54 Mbps	20 MHz	Non	1999
802.11b	—	2,4 GHz	11 Mbps	22 MHz	Non	1999
802.11g	—	2,4 GHz	54 Mbps	20 MHz	Non	2003
802.11n	Wi-Fi 4	2,4 / 5 GHz	600 Mbps	20/40 MHz	4x4 MIMO	2009
802.11ac	Wi-Fi 5	5 GHz	6,9 Gbps	20-160 MHz	8x8 MU-MIMO (DL)	2013
802.11ax	Wi-Fi 6/6E	2,4 / 5 / 6 GHz	9,6 Gbps	20-160 MHz	8x8 MU-MIMO (UL+DL)	2019

Frequences et canaux Wi-Fi

Bande	Frequence	Canaux	Caracteristiques
2,4 GHz	2,400 - 2,4835 GHz	14 canaux (1-13 en Europe, 1-11 aux USA). Seulement 3 canaux non chevauchants : 1, 6, 11	Meilleure portee, traverse mieux les murs. Plus d'interferences (micro-ondes, Bluetooth, autres Wi-Fi).
5 GHz	5,150 - 5,850 GHz	25+ canaux non chevauchants (selon pays). Canaux DFS (radar avoidance) et UNII bands.	Debit plus eleve, moins d'interferences. Portee plus courte, moins bonne penetration des murs.
6 GHz	5,925 - 7,125 GHz	59 canaux de 20 MHz (ou 14 de 80 MHz, ou 7 de 160 MHz). Wi-Fi 6E et Wi-Fi 7 uniquement.	Enorme bande passante, pas d'heritage d'anciens appareils. Portee plus limitee.

2,4 GHz : canaux 1, 6, 11

En 2,4 GHz, chaque canal occupe 22 MHz mais ils sont espaces de seulement 5 MHz. Les canaux se chevauchent donc. Seuls les canaux 1, 6 et 11 ne se chevauchent pas. Utiliser d'autres canaux cree des interferences co-canal. C'est pourquoi on configure toujours les APs sur ces 3 canaux.

Protocoles de sécurité Wi-Fi

Année : 1999 | Chiffrement : RC4 (40 ou 104 bits)

Statut : CASSÉ et obsolète. Des outils comme aircrack-ng peuvent casser une clé WEP en quelques minutes.

IV (Initialization Vector) trop court (24 bits) → réutilisation rapide
Pas de vérification d'intégrité fiable
Clé statique partagée par tous les utilisateurs

Ne jamais utiliser WEP

WEP n'offre quasiment aucune protection. Si tu vois un réseau en WEP, il est aussi vulnérable qu'un réseau ouvert.

Année : 2003 | Chiffrement : TKIP (Temporal Key Integrity Protocol)

Amélioration temporaire de WEP en attendant WPA2 :

Clés dynamiques (changées à chaque paquet) grâce à TKIP
Vérification d'intégrité MIC (Message Integrity Check)
Encore vulnérable à certaines attaques (Beck-Tews, Ohigashi-Morii)

Année : 2004 | Chiffrement : AES-CCMP

Le standard de sécurité Wi-Fi le plus répandu aujourd'hui :

WPA2-Personal (PSK) : clé pré-partagée (mot de passe Wi-Fi), adapté pour les particuliers
WPA2-Enterprise : authentification via serveur RADIUS (802.1X), adapté pour les entreprises
Chiffrement AES robuste
Vulnérable à l'attaque KRACK (Key Reinstallation Attack) de 2017, corrigée par patches

Annee : 2018 | Chiffrement : AES-GCMP-256

La derniere generation de securite Wi-Fi, avec des ameliorations majeures :

SAE (Simultaneous Authentication of Equals) :

Remplace le 4-way handshake PSK de WPA2 par un echange base sur le protocole Dragonfly (variante de Diffie-Hellman)
Les deux parties prouvent qu'elles connaissent le mot de passe sans le transmettre
Resistant aux attaques par dictionnaire offline : un attaquant qui capture le handshake ne peut PAS tester des mots de passe hors ligne (contrairement a WPA2 ou le 4-way handshake capture peut etre cracke avec hashcat/aircrack)
Chaque tentative de mot de passe necessite une interaction directe avec l'AP, rendant le brute-force en ligne facilement detectable et bloquable

Forward Secrecy (Perfect Forward Secrecy) :

Chaque session genere des cles de chiffrement uniques et ephemeres
Meme si le mot de passe Wi-Fi est compromis ulterieurement, le trafic capture precedemment ne peut pas etre dechiffre
WPA2 n'offrait pas cette propriete : si le PSK etait compromis, tout le trafic capture pouvait etre dechiffre retroactivement

WPA3-Enterprise (192-bit Security) :

Suite cryptographique CNSA (Commercial National Security Algorithm) pour les environnements hautement sensibles
AES-GCMP-256 (chiffrement), SHA-384 (hachage), ECDSA-384 / RSA-3072 (signatures), ECDHE-384 (echange de cles)
Equivalent a une securite de 192 bits minimum a tous les niveaux de la chaine

OWE (Opportunistic Wireless Encryption) — Wi-Fi Enhanced Open :

Chiffrement automatique des reseaux ouverts (sans mot de passe)
Utilise un echange Diffie-Hellman pour etablir une cle de session unique entre chaque client et l'AP
Protege contre le sniffing passif (un attaquant ne peut plus capturer le trafic des autres utilisateurs sur un reseau ouvert)
Ne protege pas contre les rogue APs (pas d'authentification de l'AP)
Ideal pour les hotspots publics (cafes, aeroports, hotels)

PMF (Protected Management Frames) — obligatoire :

Les trames de gestion (deauthentication, disassociation) sont chiffrees et authentifiees
Empeche les attaques de deauthentication qui forcent les clients a se deconnecter (utilisees dans les attaques evil twin et pour capturer les handshakes WPA2)

Recommandation de sécurité

Utilise toujours WPA2 minimum (idéalement WPA3). Désactive WPS (Wi-Fi Protected Setup) qui est vulnérable aux attaques par brute force. En entreprise, préfère WPA2/WPA3-Enterprise avec authentification RADIUS.

🔧 10.5 — Autres équipements réseau

Distribuent le trafic réseau entre plusieurs serveurs pour garantir la disponibilité et les performances.

Layer 4 (transport) : répartition basée sur IP et port (TCP/UDP)
Layer 7 (application) : répartition basée sur le contenu HTTP (URL, headers, cookies)
Algorithmes : Round Robin, Least Connections, IP Hash, Weighted
Vérifient la santé des serveurs (health checks) et retirent les serveurs défaillants

Exemples : F5 BIG-IP, HAProxy, Nginx, AWS ELB, Azure Load Balancer.

Le modem (modulateur-démodulateur) convertit les signaux entre le réseau local et la ligne de l'opérateur (FAI).

DSL modem : utilise la ligne téléphonique (cuivre)
Cable modem : utilise le câble coaxial (TV)
Fiber ONT : convertit le signal optique (fibre) en signal électrique
Modem 4G/5G : connecte au réseau mobile

Souvent intégré dans une "box" avec le routeur et le point d'accès Wi-Fi.

Convertissent un type de signal/média en un autre pour interconnecter des technologies différentes :

Fibre → Cuivre : le plus courant, connecte un lien fibre à un switch Ethernet
Single-mode → Multi-mode : conversion entre types de fibre
Coaxial → Ethernet : utilisé dans les anciens réseaux

Opèrent au Layer 1 (physique) — ils ne modifient pas les données, seulement le signal.

Équipement	Rôle	Couche OSI
Repeater	Régénère le signal pour augmenter la portée	Layer 1
Bridge	Connecte deux segments réseau en filtrant par MAC	Layer 2
Gateway	Traduit entre protocoles différents	Layer 7
Wireless Controller	Gestion centralisée de multiples APs	Layer 2-7
PoE Injector	Fournit l'alimentation électrique via le câble Ethernet	Layer 1

🗺️ 10.6 — Schéma : Topologie réseau type

Clique sur chaque équipement pour comprendre son rôle dans une topologie réseau d'entreprise typique :

Topologie réseau d'entreprise — Du LAN à Internet

☁️ Internet

Le réseau mondial. Le trafic arrive et part via le routeur de bordure (edge router) de l'entreprise. La connexion est fournie par le FAI (ISP).

🛡️ Firewall

Filtre tout le trafic entrant et sortant. Définit les règles de sécurité (ACL). Sépare le réseau interne d'Internet et peut créer une DMZ pour les serveurs publics.

🌐 Routeur (Core Router)

Route le trafic entre les différents sous-réseaux internes et vers Internet. Maintient la table de routage et applique le NAT pour masquer les adresses IP internes.

🔀 Switch Layer 3 (Distribution)

Switch de distribution qui connecte les switches d'accès et assure le routage inter-VLAN. Fournit la redondance et l'agrégation de liens.

🔀 Switch L2
VLAN 10 — IT

Switch d'accès pour le département IT. Les PCs, imprimantes et téléphones IP des techniciens y sont connectés.

🔀 Switch L2
VLAN 20 — RH

Switch d'accès pour les Ressources Humaines. Isolé du VLAN IT pour protéger les données sensibles des employés.

📡 Access Point
VLAN 30 — Wi-Fi

Point d'accès sans fil pour les appareils mobiles. SSID séparé avec WPA2/WPA3-Enterprise et VLAN dédié pour l'isolation.

💻 PCs, Serveurs IT

💻 PCs RH

📱 Mobiles, Laptops

Network Devices