Activer l’accès d’administration d’un switch via telnet
La méthode de base pour configurer un switch Cisco est de se connecter via le port console de l’appareil. C’est en tout logique nécessaire pour une première configuration, mais ensuite, il est tout de même plus aisé de pouvoir accéder au CLI via un machine distante connectée au réseau. Voici les quelques paramètres à configurer pour rendre celà possible…
Pré-requis
Il faut bien entendu, lors d’une première configuration pouvoir se connecter au port console d’une manière ou d’une autre. Dans la majorité des cas, il faut disposer d’un port série sur le PC utilisé, d’un adaptateur RJ45-DB9 et d’un cable Rollover. Et enfin disposer d’un programme qui permet de gérer une communication sur port série comme Hyperterminal (pour les utilisateur Windows).
- Brancher le cable Rollover au port console du switch.
- Placer l’adaptateur RJ45-DB9 sur le port série du PC.
- Connecter le cable rollover sur l’adaptateur.
Il existe en outre un cable de connexion RJ45-DB9 complet qui ne demande donc plus d’adaptateur.
Il faut maintenant initialiser la connexion au port console via un programme terminal comme « Hyperterminal ». Il faut en outre s’assurer que les paramètres suivants sont bien définis:
- Bits par seconde: 9600
- Data Bits: 8
- Parité: aucune
- Stop Bits: 1
- Contrôle de flux: aucun
Vu que chaque programme est différent, je ne vais pas détailler l’utilisation de ceux-ci.
Une fois la connexion établie, on accède à l’interface de configuration du switch.
Switch con0 is now available Press RETURN to get started. Switch>
Pour pouvoir accéder au CLI via telnet, il faut pouvoir établir une connexion entre le PC et le switch. Ce qui implique:
- Le PC et le Switch disposent d’une adresse IP.
- Si le PC et le Switch sont sous le même sous-réseau, il faut bein sur que les adresses IP y correspondent.
- Si le PC et le Switch ne sont pas sur le même sous réseau, il faut que les tables de routages des différentes passerelles soient correctement configurées.
- Les connexions telnet sur le switch sont autorisées.
Pour attribuer une adresse IP à un switch, on en configure une sur une ou plusieurs interfaces « vlan ». Par défaut, le VLAN 1 existe, nous allons donc utiliser celle-là.
Dans le cas présent, nous supposons que le PC est directement connecté sur un des pots du switch. On attribuera l’adresse 192.168.1.100 / 255.255.255.0 au switch et 192.168.1.101 / 255.255.255.0 au pc. On configurera également une passerelle par défaut pour les deux qui sera 192.168.1.1. Elle ne sera pas ici nécessaire, mais ça montrera comment la configurer dans le cas d’un réseau complexe.
Commençons par configurer l’adresse IP du switch sur le VLAN 1.
Switch>en Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)# interface vlan 1 Switch(config-if)#ip address 192.168.1.100 255.255.255.0 Switch(config-if)#no shut %LINK-5-CHANGED: Interface Vlan1, changed state to up %LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan1, changed state to up Switch(config-if)#exit Switch(config)#ip default-gateway 192.168.1.1 Switch(config)#exit
On vérifie que tout est en ordre:
Switch#show interfaces vlan 1 Vlan1 is up, line protocol is up Hardware is CPU Interface, address is 000b.be52.34cd (bia 000b.be52.34cd) Internet address is 192.168.1.100/24 MTU 1500 bytes, BW 100000 Kbit, DLY 1000000 usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation ARPA, loopback not set ARP type: ARPA, ARP Timeout 04:00:00 Last input 21:40:21, output never, output hang neverLast clearing of "show interface" counters never Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0 Queueing strategy: fifo Output queue: 0/40 (size/max) 5 minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec 1682 packets input, 530955 bytes, 0 no buffer Received 0 broadcasts (0 IP multicast) 0 runts, 0 giants, 0 throttles 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored 563859 packets output, 0 bytes, 0 underruns 0 output errors, 23 interface resets 0 output buffer failures, 0 output buffers swapped out Switch#
On configure également l’adresse IP du PC en 192.168.1.101 / 255.255.255.0. Une fois celà fait, si tout fonctionne comme prévu, les deux machines devraient pouvoir communiquer…
Switch#ping 192.168.1.101 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.1.101, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 31/31/32 ms Switch#
Ok tout est en ordre!. il reste maintenant à vérifier que le switch est bien configuré pour autoriser les connexion telnet.
Les connexions telnet se font via les « lignes » VTY. Leur nombre varie selon les modèles, on peut les retrouver en jettant un oeil sur la configuration active:
Switch#sh running-config Building configuration... Current configuration : 979 bytes ! version 12.2 no service password-encryption ! hostname Switch ! ! ! interface FastEthernet0/1 ! interface FastEthernet0/2 ! interface FastEthernet0/3 ! interface FastEthernet0/4 ! interface FastEthernet0/5 ! interface FastEthernet0/6 ! interface FastEthernet0/7 ! interface FastEthernet0/8 ! interface FastEthernet0/9 ! interface FastEthernet0/10 ! interface FastEthernet0/11 ! interface FastEthernet0/12 ! interface FastEthernet0/13 ! interface FastEthernet0/14 ! interface FastEthernet0/15 ! interface FastEthernet0/16 ! interface FastEthernet0/17 ! interface FastEthernet0/18 ! interface FastEthernet0/19 ! interface FastEthernet0/20 ! interface FastEthernet0/21 ! interface FastEthernet0/22 ! interface FastEthernet0/23 ! interface FastEthernet0/24 ! interface GigabitEthernet1/1 ! interface GigabitEthernet1/2 ! interface Vlan1 ip address 192.168.1.100 255.255.255.0 ! ip default-gateway 192.168.1.1 ! line con 0 ! line vty 0 4 no login line vty 5 15 no login ! ! end Switch#
Afin de pouvoir se connecter en telnet, on va définir un mot de passe, activer l’encryption des mots de passe et également définir un mot de passe pour le mode privilégié (enable).
Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#service password-encryption Switch(config)#line vty 0 15 Switch(config-line)#password cisco Switch(config-line)#login Switch(config-line)#exit Switch(config)#enable password cisco Switch(config)#exit %SYS-5-CONFIG_I: Configured from console by console Switch#
On vérifie que tout est en place:
Switch#sh run Building configuration... Current configuration : 1053 bytes version 12.2 service password-encryption hostname Switch enable password 7 0822455D0A16 interface FastEthernet0/1 ! interface FastEthernet0/2 ! interface FastEthernet0/3 ! interface FastEthernet0/4 ! interface FastEthernet0/5 ! interface FastEthernet0/6 ! interface FastEthernet0/7 ! interface FastEthernet0/8 ! interface FastEthernet0/9 ! interface FastEthernet0/10 ! interface FastEthernet0/11 ! interface FastEthernet0/12 ! interface FastEthernet0/13 ! interface FastEthernet0/14 ! interface FastEthernet0/15 ! interface FastEthernet0/16 ! interface FastEthernet0/17 ! interface FastEthernet0/18 ! interface FastEthernet0/19 ! interface FastEthernet0/20 ! interface FastEthernet0/21 ! interface FastEthernet0/22 ! interface FastEthernet0/23 ! interface FastEthernet0/24 ! interface GigabitEthernet1/1 ! interface GigabitEthernet1/2 ! interface Vlan1 ip address 192.168.1.100 255.255.255.0 ip default-gateway 192.168.1.1 ! line con 0 ! line vty 0 4 password 7 0822455D0A16 login ! line vty 5 15 password 7 0822455D0A16 login ! end Switch#
Voilà, il ne reste plus qu’à se connecter en telnet depuisun PC branché sur le Switch via un des ports Fastethernet par exemple.
Bonjour,
je suis un peu perdu, pourquoi avoir mis l’adresse de managent dans le vlan1, qui est le VLAN par défaut.
je sais que dans se VLAN au qu’une des trams sont taguées.
Merci pour votre réponse
Le fait qu’une trame soit ou non taguée n’a aucun impact sur l’accès au management à distance.
Ici, la config est faite sur l’interface VLAN1 … simplement parce que le VLAN 1 existe par défaut sur tout switch manageable Cisco, mais aurait pu être faite sur une autre interface VLAN.
De plus, ce n’est pas parce qu’une trame circule dans un autre VLAN que celui par défaut qu’elle est obligatoirement taguée. Une trame est taguée uniquement lorsqu’elle voyage sur un Trunk (dot1q ou ISL) qui sert de liaison entre deux switches par exemple.
Pour simplifier, taguer une trame n’a pour but que d’ajouter une information permettant à l’équipement qui la reçoit de la replacer dans le bon VLAN… mais modifier une trame revient à la dénaturer … et donc un équipement qui ne sait pas lire une trame taguée la rejettera (un PC par exemple).
Bonjour,
A quoi sert le « enable secret » qui n’est pas évoqué ici?
Merci d’avance
La commande « enable secret » sert à définir un mot de passe pour passer du mote « User EXEC » au mode « Piviledged EXEC ».
C’est le mot de passe qui sera demandé lorsqu’on entre la commande:
Router> enableLe mot de passe défini par « enable secret » est alors enregistré en running-config sous forme cryptée, que l’on ait ou non activé l’encryption des mots de passe ou non », contrairement à la commande « enable password » qui défini un mot de passe également pour passer de « User EXEC » à « Priviledged EXEC » mais sans l’encrypter.
Si les deux sont utilisés dans la config, c’est le mot de passe défini par « enable secret » qui sera utilisé.