Cisco 200-301: Sécurité des réseaux et contrôle d'accès — Guide d'étude

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Fait partie du Cisco CCNA 200-301 — Guide d’étude. Entraînez-vous avec des réponses vérifiées dans le centre d’examens Cisco, ou passez des tests chronométrés sur ExamRoll.io.

Vue d’ensemble

La sécurité réseau et le contrôle d’accès garantissent que seules les entités autorisées utilisent les ressources réseau de la manière prévue, tout en protégeant les données et les services contre toute compromission ou interruption. Les conceptions efficaces alignent les contrôles techniques sur les principes fondamentaux de confidentialité, d’intégrité, de disponibilité et de moindre privilège. Les contrôles doivent couvrir le plan de gestion (comment les équipements sont administrés), le plan de contrôle (comment les équipements forment des adjacences et échangent le routage) et le plan de données (comment le trafic utilisateur est acheminé), avec des défenses en couches au niveau 2, au niveau 3 et au-delà. Cette section présente des mécanismes pratiques — AAA, ACL, protections de niveau 2, VPN, pare-feu/IPS, renforcement (hardening) et surveillance opérationnelle — ainsi que la logique de conception, les modes de défaillance courants et des exemples de configuration concis.

Principes de sécurité et fondements du contrôle d’accès

• Confidentialité : Empêcher la divulgation non autorisée. Appliquée par le chiffrement en transit (SSH, IPsec), le chiffrement au repos et des politiques d’accès délimitées.
• Intégrité : Empêcher toute modification non autorisée. Atteinte grâce à des vérifications cryptographiques (HMAC, signatures numériques), des contrôles de configuration et l’immuabilité des enregistrements d’audit.
• Disponibilité : Maintenir les services accessibles malgré les pannes ou les attaques. Réalisée avec de la redondance, de la limitation de débit (rate-limiting), du contrôle de flux (policing) et des architectures résilientes qui maintiennent une connectivité continue pendant les défaillances.
• Moindre privilège : Accorder les droits minimaux nécessaires, limités au rôle, à l’équipement, au protocole, à l’heure et à l’emplacement. Mis en œuvre à l’aide du contrôle d’accès basé sur les rôles (RBAC), de la segmentation et de l’autorisation par commande.

Logique de conception :

• Définir les politiques d’accès à partir des rôles métier. Le RBAC sur l’infrastructure (par ex., network-operator vs. network-admin) réduit le rayon d’impact d’une mauvaise utilisation des identifiants et des erreurs opérationnelles.
• Séparer les tâches (par ex., opérations de sécurité vs. opérations réseau). Appliquer via des groupes AAA distincts et l’autorisation de commandes.
• Préférer les postures de refus par défaut. Autoriser explicitement les flux et les sources de gestion prévus, avec une journalisation des exceptions.

Pièges courants :

• Privilèges excessifs par commodité (par ex., un privilege 15 généralisé). Cela favorise les mouvements latéraux et les erreurs irréversibles.
• Réseaux plats sans segmentation. Les domaines de diffusion et les frontières de politique non différenciées amplifient les attaques (par ex., l’usurpation ARP ou ARP spoofing).
• Contrôles trop stricts sans télémétrie. Le manque de compteurs/journalisation entrave le dépannage et peut prolonger les pannes.

AAA et gestion sécurisée des équipements

Vue d’ensemble de l’AAA :

• L’authentification vérifie l’identité. L’autorisation détermine ce qu’une identité peut faire. La traçabilité (Accounting) enregistre ce qui a été fait et quand.
• Authentification locale : L’équipement stocke les utilisateurs et les mots de passe. Utile pour un accès de secours (break-glass) ; n’est pas scalable et ne centralise pas la politique.
• TACACS+ : TCP/49, chiffre l’intégralité de la charge utile (payload), prend en charge l’autorisation granulaire par commande ; privilégié pour l’administration des équipements.
• RADIUS : UDP/1812 (authn/author), UDP/1813 (acct), chiffre uniquement le champ du mot de passe ; s’intègre bien avec 802.1X et l’accès réseau, offre une autorisation moins granulaire pour le CLI.

Configuration AAA typique avec TACACS+ et repli local :

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

Accès basé sur les rôles :

• Mapper les attributs TACACS+/RADIUS aux niveaux de privilège ou aux ensembles de commandes de l’équipement. Utiliser l’autorisation par commande pour restreindre les actions à risque (par ex., reload, write, modifications de policy-map).
• Valider le RBAC avec des comptes de test ; s’assurer que le compte local de secours (break-glass) est documenté, sécurisé et surveillé.

Sécurisation du plan de gestion :

• Préférer SSHv2 pour le CLI. Désactiver Telnet et les serveurs inutilisés.

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• Restreindre la gestion à des VLAN/VRF de gestion dédiés ou hors bande (out-of-band). Appliquer des ACL sur la SVI ou l’interface de gestion physique pour n’autoriser que les sources autorisées.
• Contrôle du plan de contrôle (CoPP) pour protéger les protocoles de routage, de gestion et de contrôle contre les inondations (floods) :

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

Logique et précautions : Appliquez un contrôle de flux (police), ne rejetez pas (drop) aveuglément la classe par défaut (class-default) ; une mauvaise classification peut rompre les adjacences de routage ou BFD et provoquer des pannes. Commencez avec des débits généreux, observez les compteurs, puis resserrez-les.

Renforcement des mots de passe et intégrité des équipements :

• Utiliser enable secret (haché) au lieu de enable password.
• Imposer une longueur minimale et limiter les attaques par tentatives de connexion :

undefined

undefined

• Préférer les secrets d’utilisateurs locaux (PBKDF2/scrypt sur les plateformes prises en charge). Comprendre que service password-encryption ne fait qu’obfusquer les anciens mots de passe de type 7.
• Démarrage et configuration sécurisés :

undefined

undefined

• Protéger et versionner les configurations ; envisager un archivage périodique sur un stockage local et un dépôt distant sécurisé. Utiliser SCP ou SFTP pour les transferts de fichiers ; éviter le TFTP en texte clair pour les fichiers sensibles.

Filtrage du trafic avec les ACL IPv4/IPv6

Principes de base des ACL IPv4 :

• Les ACL standard (1–99, 1300–1999) ne filtrent que sur l’adresse IPv4 source. Les ACL étendues (100–199, 2000–2699) filtrent sur la source/destination, le protocole et les ports L4.
• Masques génériques (wildcard) : un bit à 0 doit correspondre ; un bit à 1 est un « don’t care » (peu importe). Calculez-le comme l’inverse du masque de sous-réseau (par ex., /24 => 0.0.0.255). Raccourcis : host 192.0.2.5 équivaut à 192.0.2.5 0.0.0.0 ; any équivaut à 0.0.0.0 255.255.255.255.
• Direction : inbound (entrant) est traité avant le routage à l’entrée ; outbound (sortant) est traité après le routage à la sortie. Les paquets sont vérifiés de haut en bas jusqu’à la première correspondance ; un deny any implicite termine l’ACL.
• Règles de placement : placez les ACL étendues près de la source pour rejeter le trafic indésirable au plus tôt ; placez les ACL standard près de la destination pour éviter un blocage excessif. Les plateformes modernes utilisent la TCAM ; privilégiez tout de même la précision près de la source.

Exemples :

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

Améliorations utiles : utilisez remark pour la documentation ; utilisez established pour une autorisation de base du trafic de retour sur TCP (valeur de sécurité limitée) ; activez la journalisation (log) sur les deny avec parcimonie pour éviter les pics de CPU.

Principes des ACL IPv6 :

• Logique similaire, mais les ACL IPv6 sont uniquement nommées et appliquées avec ipv6 traffic-filter. Le deny par défaut est également implicite.
• Tenez toujours compte des types ICMPv6 essentiels (neighbor solicitation/advertisement, router solicitation/advertisement, PMTU). Des ACL trop strictes qui rejettent l’ICMPv6 interrompent la découverte de voisins (ND) et provoquent des trous noirs (black holes).

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

Vérification et opérations :

• show access-lists APP-POLICY et show ipv6 access-lists V6-EDGE-IN pour voir les compteurs de correspondances (hit counters) et les numéros de séquence.
• show ip interface ou show ipv6 interface pour confirmer l’attachement et la direction.
• Testez sur un périmètre restreint avant un déploiement large ; un deny ip any any mal placé peut provoquer des pannes généralisées.

Modes de défaillance courants :

• Erreurs de calcul du masque générique qui entraînent une correspondance involontairement trop large.
• Application des ACL dans la mauvaise direction ou sur la mauvaise interface/SVI.
• Omission des autorisations ICMPv6 critiques, menant à des échecs de la découverte de voisins.

Protections de couche 2, VPN et défenses de périmètre

Contrôles des menaces de couche 2 :

• DHCP snooping : Construit une table de liaisons (binding table) IP–MAC–VLAN–port pour les adresses apprises par DHCP ; rejette les réponses de serveurs non autorisés (rogue) sur les ports non fiables (untrusted) ; limite le débit des offres/requêtes.

undefined

undefined

undefined

undefined

undefined

undefined

Modes de défaillance : Oublier de marquer comme fiables (trust) les liaisons montantes (uplinks) vers les vrais relais/serveurs DHCP interrompt l’attribution d’adresses ; ne pas sauvegarder la table de liaisons entre les redémarrages peut impacter DAI/IPSG jusqu’au renouvellement des baux.

• Dynamic ARP Inspection (DAI) : Valide les paquets ARP par rapport à la table de liaisons du DHCP snooping (ou des liaisons statiques). Rejette les paquets ARP usurpés (spoofed).

undefined

undefined

undefined

Attention : Les hôtes avec des adresses statiques nécessitent des liaisons statiques ; sinon, des paquets ARP légitimes pourraient être rejetés.

• IP Source Guard (IPSG) : Utilise les liaisons pour n’autoriser que l’IP source valide (et optionnellement la MAC) par port.

undefined

undefined

! Liez optionnellement aux vérifications MAC de port-security : !

undefined

• Exemple de liaison statique pour un appareil à IP fixe :

undefined

Principes fondamentaux des VPN et concepts IPsec :

• Les VPN site à site utilisent généralement IPsec en mode tunnel pour chiffrer et authentifier les sous-réseaux privés à travers des réseaux non fiables. Éléments principaux : IKE Phase 1 (par ex., IKEv2) pour établir une SA ISAKMP ; Phase 2 pour construire les SA IPsec avec des transformations (par ex., AES-GCM pour le mode combiné ou AES-CBC avec HMAC-SHA2) ; PFS pour garantir la confidentialité persistante (forward secrecy) ; durées de vie (lifetimes) pour rafraîchir les clés ; NAT-T sur UDP/4500 si du NAT est présent.
• Les VPN d’accès à distance peuvent être basés sur SSL/TLS (avec ou sans client) ou sur IPsec. Le split tunneling réduit la bande passante sur l’équipement de tête (headend) et améliore l’expérience utilisateur, mais augmente l’exposition ; le full tunneling centralise les contrôles de sécurité au détriment de la bande passante et de la latence.
• Validez le Path MTU et activez la découverte du PMTU ; la surcharge due au chiffrement réduit le MTU effectif et peut entraîner une fragmentation sans une configuration appropriée.

Pare-feu et prévention d’intrusion :

• Les pare-feu appliquent des autorisations/refus avec une inspection à état (stateful) et une reconnaissance applicative (NGFW). Sur les routeurs, le pare-feu basé sur les zones (zone-based firewalling) fournit une politique à état entre les zones ; les ACL seules sont sans état (stateless).
• Un IPS analyse le trafic à la recherche de signatures, d’anomalies ou de comportements ; un IPS en ligne (inline) peut bloquer, tandis qu’un IDS passif ne fait qu’alerter. L’ajustement (tuning) est essentiel pour réduire les faux positifs.
• Concevez pour des flux symétriques à travers les équipements à état ; le routage asymétrique brise les tables d’état. Positionnez les capteurs là où ils voient le trafic pertinent (par ex., entre les zones non fiables et fiables).

Opérations de sécurité : Surveillance, journalisation et triage des incidents

Journalisation d’audit et heure :

• Synchroniser les horloges pour la précision forensique :

undefined

undefined

• Activer la journalisation locale et à distance avec le niveau de gravité approprié :

undefined

undefined

undefined

• Augmenter la visibilité des événements d’authentification et de l’utilisation des commandes avec la comptabilité AAA :

undefined

• Utiliser la journalisation des ACL sur les refus (denies) avec discernement ; des volumes de logs élevés peuvent provoquer des pics de CPU. Envisager l’échantillonnage avec NetFlow/IPFIX pour l’établissement de lignes de base du trafic.

Flux de travail pour le triage des incidents :

• Détecter et cadrer : Utiliser syslog, les traps SNMP et les données de flux pour identifier les sources, les ports et les volumes anormaux. Corréler les compteurs dans les ACL, CoPP et les interfaces.
• Contenir : Appliquer temporairement des refus (denies) ciblés par ACL, désactiver les ports de switch compromis ou mettre en quarantaine les VLAN. Pour les attaques DDoS sur le plan de contrôle, ajuster le policing CoPP et envisager des limitations de débit en amont (rate-limits) ou le blackholing.
• Éradiquer et restaurer : Supprimer les artefacts malveillants, renouveler les informations d’identification (y compris les clés et les secrets partagés), réactiver les services de manière incrémentielle tout en surveillant.
• Post-incident : Préserver les journaux/instantanés de configuration, effectuer une analyse des causes profondes (root-cause analysis) et codifier les contrôles préventifs (par ex., étendre les protections de Couche 2, affiner le RBAC).

Lacunes opérationnelles courantes :

• L’absence de NTP conduit à des chronologies inutilisables.
• Journaliser tout, partout, crée du bruit ; ajuster la gravité et les filtres en fonction du rôle de l’appareil.
• L’absence d’une procédure d’urgence (break-glass) testée prolonge les pannes lorsque les serveurs AAA sont inaccessibles.

Scénario de problème pratique

Orion Retail Group doit sécuriser l’administration des appareils, segmenter le trafic utilisateur-application pour IPv4/IPv6, stopper l’activité DHCP/ARP non autorisée dans les magasins, permettre un accès à distance sécurisé pour le personnel et améliorer la visibilité pour la réponse aux incidents, le tout sans perturber les opérations.

1. Implémenter une authentification AAA centralisée avec TACACS+ et un repli local

• Configuration : Mettre en place des serveurs TACACS+ ; définir

undefined

avec le groupe

undefined

, l’authentification/autorisation/comptabilité ; créer un utilisateur local d’urgence (breakglass) avec le privilège 15.

• Justification : Les identités centralisées et l’autorisation par commande appliquent le principe du moindre privilège, fournissent des pistes d’audit des actions administratives et permettent une révocation rapide des informations d’identification. Le repli local préserve l’accès pendant les pannes AAA.

2. Migrer l’accès de gestion vers SSH et le restreindre par source

• Configuration : Générer des clés RSA, forcer

undefined

, désactiver Telnet, configurer

undefined

avec

undefined

; appliquer

undefined

pour autoriser uniquement les serveurs de rebond (jump hosts) du NOC.

• Justification : Le chiffrement du trafic de gestion empêche l’interception des informations d’identification ; les ACL de gestion réduisent la surface d’attaque à un ensemble restreint et connu de sources.

3. Protéger le plan de contrôle avec une politique CoPP conservatrice

• Configuration : Créer une

undefined

pour SSH, SNMP, NTP ; appliquer une

undefined

qui applique un policing sur le trafic de gestion/contrôle connu et limite le débit de

undefined

; l’attacher à

undefined

.

• Justification : La limitation de débit (rate-limiting) du trafic du plan de contrôle maintient la disponibilité pendant les inondations de trafic sans bloquer les protocoles essentiels. Commencer avec des débits souples évite un auto-blocage accidentel.

4. Renforcer l’intégrité de la Couche 2 dans les magasins

• Configuration : Activer le DHCP snooping sur les VLAN d’accès, ne faire confiance (trust) qu’aux liaisons montantes vers le WAN/relais ; appliquer des limitations de débit (rate-limits) sur les requêtes/offres. Activer DAI sur les mêmes VLAN ; ajouter des liaisons statiques pour les appareils à IP fixe. Activer IP Source Guard sur les ports d’accès.
• Justification : Ces fonctionnalités bloquent les serveurs DHCP non autorisés, l’usurpation ARP (ARP spoofing) et l’usurpation d’IP (IP impersonation) dès le premier saut, empêchant les mouvements latéraux et les attaques de l’homme du milieu (man-in-the-middle).

5. Segmenter les applications avec des ACL précises (IPv4 et IPv6)

• Configuration : Déployer des ACL IPv4 étendues sur les interfaces orientées accès pour n’autoriser que les protocoles requis (par ex., HTTPS vers les serveurs d’application) et refuser/journaliser tout le reste. Déployer des ACL IPv6 avec des autorisations explicites pour ICMPv6 pour ND/RA/RS et des autorisations spécifiques aux applications ; appliquer avec

undefined

.

• Justification : Les filtres proches de la source et spécifiques au protocole minimisent le trafic indésirable et réduisent le gaspillage de bande passante ; la préservation d’ICMPv6 garantit le fonctionnement fiable de la découverte de voisins (neighbor discovery) et de PMTU.

6. Activer l’accès à distance sécurisé et le chiffrement de site à site

• Configuration : Construire des tunnels IPsec de site à site en mode tunnel entre les magasins et les datacenters en utilisant IKEv2, AES-GCM, PFS et des durées de vie (lifetimes) alignées sur les fenêtres opérationnelles. Fournir un VPN d’accès à distance basé sur SSL/TLS pour le personnel avec split tunneling pour réduire la charge sur l’équipement de tête, couplé à des vérifications de posture du terminal (endpoint).
• Justification : Le chiffrement des chemins non fiables protège la confidentialité/intégrité ; le split tunneling équilibre la sécurité et la performance lorsqu’il est associé à des contrôles sur les terminaux.

7. Déployer un pare-feu et un IPS au périmètre et à l’agrégation du DC

• Configuration : Implémenter une politique de pare-feu à état (stateful) entre les zones non fiables, utilisateur et serveur ; positionner l’IPS en ligne sur les chemins critiques avec des signatures ajustées pour les applications de vente au détail. Assurer la symétrie du chemin ou activer le partage d’état.
• Justification : Les pare-feux appliquent une politique de zone de haut niveau ; l’IPS détecte/bloque les exploits qui ciblent les faiblesses des applications et des protocoles. Un placement et un réglage corrects préviennent les faux positifs et les problèmes d’état asymétrique.

8. Renforcer le durcissement, la journalisation et la réponse

• Configuration : Définir

undefined

, imposer une longueur de mot de passe minimale et une limitation des tentatives de connexion ; activer

undefined

. Configurer NTP, la journalisation en mémoire tampon (buffered) et à distance (remote syslog) au niveau de gravité

undefined

, et la comptabilité des commandes AAA. Ajouter des instructions

undefined

avec parcimonie sur les ACL clés. Tester la procédure d’urgence (break-glass).

• Justification : Des informations d’identification robustes et l’intégrité des appareils réduisent le risque de compromission ; des journaux synchronisés et durables ainsi que la comptabilité accélèrent le triage. Des procédures de restauration éprouvées minimisent le temps d’arrêt pendant les incidents.

En exécutant ces étapes dans l’ordre — de l’identité et du plan de gestion, au durcissement de la Couche 2, à la segmentation et au transport chiffré, et enfin à l’inspection du périmètre et à la visibilité opérationnelle — Orion met en place une sécurité en couches basée sur le moindre privilège, avec des contrôles mesurables et une perturbation minimale.

← Conception et opérations des réseaux locaux sans fil · Tous les domaines · WAN →

Entraînez-vous sur ces questions → · Tests chronométrés sur ExamRoll.io →