Cisco 350-401: Commutation de couche 2 et segmentation du campus — Guide d'étude

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Fait partie du Cisco CCNP Enterprise 350-401 ENCOR — Guide d’étude. Entraînez-vous avec des réponses vérifiées dans le centre d’examens Cisco, ou passez des tests chronométrés sur ExamRoll.io.

Vue d’ensemble

La commutation et la segmentation de niveau 2 pour le campus fournissent l’isolation des domaines de diffusion, le transfert déterministe et les protections opérationnelles nécessaires à un LAN d’entreprise évolutif et résilient. Cette section explique comment les commutateurs Ethernet apprennent et transfèrent les trames, comment les VLAN et les trunks segmentent le trafic, comment le routage inter-VLAN est activé sur les commutateurs multicouches, comment les variantes du Spanning Tree contrôlent les topologies bouclées, comment agréger les liens en toute sécurité, comment gérer la propagation des VLAN et comment renforcer le niveau 2 contre les attaques et les défaillances courantes. Elle se termine par des conseils de validation et un scénario pratique.

Fondamentaux de la commutation Ethernet et de la segmentation par VLAN

Les commutateurs Ethernet transfèrent les trames en se basant sur les adresses MAC de destination et segmentent le trafic avec des VLAN.

• Apprentissage et transfert MAC

  • Lorsqu’un commutateur reçoit une trame, il apprend l’adresse MAC source et l’interface d’entrée dans la table CAM (adresses MAC). Les entrées expirent (généralement après 300 secondes) si elles ne sont pas rafraîchies.
  • La recherche de destination détermine l’action :
    • Unicast connu : transférer vers l’unique interface de sortie présente dans la table CAM.
    • Trames unicast inconnu, broadcast et de nombreuses trames multicast : inondées vers tous les ports du VLAN, à l’exception du port d’entrée.
  • Le filtrage se produit lorsque la destination correspond au même port que la source (pas de transfert), ou par des politiques telles que le storm control, la port security ou les private VLAN (s’ils sont utilisés).

• Modes de défaillance et compromis

  • L’épuisement de la CAM (par ex., attaques par inondation MAC) force une inondation excessive d’unicast inconnu ; protégez avec la port security et le control-plane policing.
  • Le MAC flapping (battement d’adresses MAC, la même MAC est apprise sur plusieurs ports) indique souvent des boucles physiques, des paires HA mal câblées ou des conditions de split-brain vPC/VSS.

• VLAN et accès

  • Un VLAN définit un domaine de diffusion de niveau 2 ; les ports d’accès transportent un unique VLAN non tagué pour le terminal connecté.
  • VLAN voix : un port d’accès peut transporter un VLAN voix 802.1Q tagué pour un téléphone IP et un VLAN de données non tagué pour un PC derrière le téléphone. CDP/LLDP annoncent le VLAN voix au téléphone. Ne faites confiance au CoS sur le port que si la QoS est déployée de bout en bout.

  Exemple (accès plus voix) :

undefined

• Trunks et VLAN natifs

  • Les trunks 802.1Q transportent plusieurs VLAN entre les commutateurs. Chaque trunk a une liste de VLAN autorisés ; restreignez-la à l’ensemble minimal nécessaire.
  • Le VLAN natif est envoyé non tagué sur 802.1Q par défaut. Utilisez un VLAN natif dédié et non utilisé, et taguez le VLAN natif si cela est pris en charge pour prévenir le VLAN hopping (saut de VLAN) et éviter que des non-concordances ne créent des anomalies dans le plan de contrôle.
  • Modes de défaillance : les non-concordances de VLAN natif déclenchent des erreurs PVID du Spanning Tree et peuvent mettre en trou noir le trafic de contrôle ; des trunks trop permissifs propagent des VLAN non intentionnels à travers le campus.

• Multicast de niveau 2

  • Sans contrôle, le multicast inonde le VLAN. L’IGMP snooping restreint le transfert en apprenant les ports récepteurs à partir des messages IGMP join et leave. Si aucun routeur multicast n’est présent dans le VLAN, activez un querier IGMP snooping pour maintenir l’état des groupes.

  Exemple :

undefined

Routage inter-VLAN et conception de commutateurs multicouches

Le routage inter-VLAN est effectué sur des commutateurs multicouches à l’aide de SVI (une par VLAN routé). Le transfert matériel (CEF) utilise la table FIB et la table d’adjacence pour des performances à débit de ligne, évitant la commutation par processus gourmande en CPU.

• Déploiement des SVI

  • Créez une SVI pour chaque VLAN utilisateur et placez-y la passerelle de premier saut. Agrégez au niveau de la distribution lorsque c’est possible. Utilisez l’object tracking pour les passerelles redondantes (HSRP/VRRP) et des ACL/QoS cohérentes au niveau de la SVI.
  • Alignez les frontières de niveau 2 et de niveau 3 : les conceptions à accès routé utilisent des liens de niveau 3 de l’accès à la distribution, réduisant les domaines de défaillance de niveau 2 et simplifiant la convergence, tout en préservant la segmentation avec des SVI au niveau de la distribution.

• Redondance des passerelles et convergence

  • Co-concevez la redondance de premier saut avec le placement de la racine Spanning Tree afin que la passerelle active soit topologiquement la plus proche des hôtes. HSRP/VRRP sont courants ; GLBP ou la virtualisation de châssis (VSS/StackWise Virtual) permettent une utilisation active-active des passerelles.
  • Modes de défaillance : une racine STP et une passerelle active mal alignées provoquent des chemins de trafic sous-optimaux et des retards de convergence ; des ACL asymétriques sur les SVI entraînent une joignabilité unidirectionnelle.

• Conseils opérationnels

  • Utilisez une numérotation SVI et un adressage IP cohérents, et suivez le relais DHCP (ip helper-address) par VLAN. Surveillez les tables ARP/ND et le CPU du plan de contrôle pour détecter des anomalies lors d’événements.

Spanning Tree et protection contre les boucles

Le protocole Spanning Tree (STP) empêche les boucles de niveau 2 tout en permettant la redondance physique.

• Choix de protocoles

  • 802.1D PVST+ : instances par VLAN, convergence plus lente.
  • 802.1w Rapid PVST+ : instances par VLAN avec convergence rapide via proposition/accord et synchronisation.
  • 802.1s MST : mappe de nombreux VLANs sur quelques instances Spanning Tree, offrant une meilleure scalabilité dans les grands environnements. Tous les commutateurs d’une région doivent avoir des correspondances de nom, de révision et de mappage VLAN-instance ; les non-concordances créent des frontières et exécutent PVST+ sur les VLANs en périphérie.

• Élection du pont racine et rôles des ports

  • Le pont racine est choisi par le Bridge ID le plus bas (priorité + MAC). Définissez intentionnellement les priorités pour placer les racines primaire et secondaire au niveau de la distribution.
  • Rôles RSTP : racine (root), désigné (designated), alternatif (alternate) et de secours (backup). États : rejet (discarding), apprentissage (learning), transfert (forwarding). Exploitez les liaisons de périphérie en point à point pour une synchronisation plus rapide.

  Exemple (Rapid PVST+ avec racines déterministes) :

undefined

undefined

undefined

• Protection de la périphérie et de la topologie

  • PortFast : fait passer immédiatement les ports de périphérie à l’état de transfert (forwarding) ; ne jamais l’activer sur les interconnexions de commutateurs.
  • BPDU Guard : place un port PortFast en état err-disable à la réception de n’importe quelle BPDU ; à associer avec PortFast pour bloquer les boucles accidentelles via des commutateurs non gérés.
  • Root Guard : empêche un port désigné de devenir racine en bloquant les BPDU supérieures ; à utiliser sur les uplinks de la couche d’accès faisant face aux commutateurs en aval pour protéger le positionnement de la racine.
  • Loop Guard : empêche les ports non désignés de passer à l’état de transfert si les BPDU cessent d’arriver (typique sur les liaisons unidirectionnelles) ; à compléter avec UDLD en mode agressif pour les liaisons optiques.
  • Bridge Assurance (sur les plateformes compatibles) : garantit que les BPDU sont présentes de manière bidirectionnelle sur les liaisons point à point du cœur/de la distribution, prévenant ainsi les défaillances silencieuses.

• Modes de défaillance

  • Les liaisons unidirectionnelles peuvent pousser les ports alternatifs à l’état de transfert et créer des boucles ; Loop Guard et UDLD atténuent ce risque.
  • Le filtre BPDU (BPDU Filter) sur les ports non périphériques supprime les BPDU et peut provoquer des boucles catastrophiques ; à éviter sauf pour des cas d’usage spécifiques et validés.

Agrégation de liens, VTP et opérations sur les trunks

• Principes fondamentaux d’EtherChannel

  • Regroupe des liaisons parallèles en un Port-Channel vu comme une seule interface logique par STP (les décisions de blocage s’appliquent au groupe). Les avantages incluent une bande passante agrégée plus élevée et une récupération plus rapide.
  • Négociation : LACP (active/passive, IEEE 802.1AX) ou PAgP (desirable/auto, propriétaire Cisco). Le mode on force le regroupement sans négociation et risque des boucles en cas de mauvais appariement — à éviter entre les commutateurs.
  • Cohérence des membres : la vitesse/duplex, les VLANs autorisés, le VLAN natif, les paramètres STP et le mode du channel-group doivent correspondre. Utilisez LACP min-links pour maintenir le groupe inactif jusqu’à ce qu’un nombre minimum de membres soit présent.
  • Répartition de charge (Load balancing) : hachage par flux basé sur les MAC/IP/ports source/destination ; choisissez une méthode qui correspond aux modèles de trafic dominants. N’oubliez pas que le hachage se fait par commutateur et par direction ; la symétrie n’est pas garantie.

  Exemple (trunk LACP) :

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• Concepts VTP et élagage (pruning)

  • VTP distribue les définitions de VLAN. Modes : serveur, client, transparent et off (dépendant de la plateforme). La version 3 ajoute une meilleure authentification et des rôles de serveur primaire.
  • Risques : un équipement avec un numéro de révision de configuration plus élevé peut écraser le domaine et provoquer une perte de VLAN. La meilleure pratique est le mode transparent ou off, avec des listes explicites de VLANs autorisés sur les trunks.
  • L’élagage VTP (VTP pruning) préserve la bande passante du trunk en empêchant l’inondation des VLANs inutilisés ; cependant, il dépend de l’exactitude de l’état VTP et est inférieur à l’élagage explicite via les « VLANs autorisés ».
  • Dépannage des non-concordances de trunk : vérifiez l’encapsulation (802.1Q), la liste des VLANs autorisés et le VLAN natif ; les négociations DTP auto/desired peuvent créer des surprises — utilisez switchport mode trunk et switchport nonegotiate pour la stabilité.

  Exemple (trunk sécurisé avec élagage explicite) :

undefined

undefined

undefined

undefined

undefined

Sécurité de la couche 2, Multicast et Validation opérationnelle

• Sécurité des ports (Port security)

  • Limite les adresses MAC par port d’accès ; l’apprentissage persistant (sticky learning) préserve les MAC apprises dans la configuration en cours. Actions en cas de violation : protect, restrict ou shutdown. Augmenter le maximum pour les ports voix+données. Faire expirer les adresses MAC persistantes lors des déplacements pour réduire les tickets d’opérations.

• Surveillance DHCP (DHCP snooping) et inspection ARP

  • Le DHCP snooping construit une table de liaison (IP/MAC/VLAN/interface) et bloque les offres DHCP non fiables. Faites confiance aux liaisons montantes (uplinks) vers les serveurs légitimes et limitez le débit des clients. Rendez les liaisons persistantes après un redémarrage si la fonctionnalité est prise en charge.
  • L’inspection ARP dynamique (Dynamic ARP Inspection) utilise les liaisons du snooping pour vérifier les paquets ARP, empêchant ainsi l’usurpation (spoofing). Faites confiance aux liaisons montantes ; ajoutez des ACL ARP pour les appareils à adresse statique. Validez les adresses MAC/IP source lorsque c’est possible pour arrêter les tentatives de type man-in-the-middle.

  Exemple :

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• Opérations de surveillance IGMP (IGMP snooping)

  • En présence d’un routeur multicast, les ports mrouter sont appris automatiquement à partir des messages hello PIM ou peuvent être configurés statiquement. Sans routeur, activez un requêteur snooping (querier) par VLAN pour éviter l’inondation (flooding).
  • Surveillez les trous noirs d’état de groupe (group-state blackholes) si le snooping est activé mais que les rapports sont filtrés par des ACL ou par le storm control.

• Validation et dépannage des boucles

  • État de référence :
    • show mac address-table dynamic pour localiser les hôtes et détecter les battements (flapping).
    • show spanning-tree vlan X pour confirmer la racine, les rôles et les temporisateurs ; vérifier les états incohérents.
    • show etherchannel summary pour la santé des membres ; vérifier le hachage et le comportement de min-links lors des pannes.
    • show interfaces trunk pour la correction des VLAN autorisés/natif ; vérifier les journaux pour les incohérences de PVID/VLAN natif.
    • show vtp status pour s’assurer du mode sécurisé et de la version attendue.
    • show ip dhcp snooping binding et show ip arp inspection statistics pour valider les chaînes de sécurité.
  • Indicateurs de boucle : pics soudains d’utilisation du CPU, tempêtes de broadcast/multicast, battements d’adresses MAC (MAC flaps) entre les ports, état errdisable dû au BPDU Guard. Utilisez SPAN pour l’échantillonnage de paquets, et activez le storm-control pour limiter l’impact pendant que vous corrigez le problème.
  • Causes profondes courantes : switchs non gérés connectés à deux ports d’accès, liaisons montantes avec PortFast activé, incohérences de VLAN natif, fibre unidirectionnelle, mauvaise configuration d’EtherChannel (« on » vs négocié).

Scénario de problème pratique

Northwind Manufacturing subit des tempêtes de broadcast intermittentes et des baisses de qualité de la voix après l’ajout de deux nouveaux locaux techniques d’accès. L’environnement utilise des SVI de couche de distribution, Rapid PVST+, et de la téléphonie IP avec des téléphones connectés en chaîne aux PC.

1. Définir et élaguer la portée des VLAN

   • Configurer explicitement les VLAN autorisés sur les trunks et déplacer le VLAN natif vers un ID inutilisé (999), en taguant le VLAN natif si cela est pris en charge.
   • Justification : contraint les domaines de broadcast aux liaisons prévues et élimine les incohérences de VLAN natif qui amplifient les boucles et les anomalies du plan de contrôle.

2. Aligner les racines Spanning Tree avec les passerelles

   • Définir les switchs de distribution comme racines STP primaire/secondaire pour les VLAN utilisateurs et voix ; vérifier les types de liens point à point.
   • Justification : assure le chemin de couche 2 le plus court vers les passerelles par défaut actives, réduit le temps de convergence et stabilise les flux de trafic.

3. Durcir les ports d’accès (edge)

   • Activer PortFast et BPDU Guard sur tous les ports orientés vers l’accès ; configurer la sécurité des ports avec des MAC persistantes (sticky) et un maximum de trois sur les ports voix/données.
   • Justification : accélère le démarrage des terminaux, prévient les boucles accidentelles via des appareils non gérés et atténue l’épuisement de la table CAM ou l’usurpation d’adresse MAC (MAC-spoofing).

4. Corriger la cohérence des EtherChannels

   • Convertir tous les agrégats inter-switchs en LACP (actif des deux côtés), définir min-links 2 pour les liaisons montantes de distribution, et s’assurer que les VLAN/natifs correspondent sur les membres et le Port-Channel.
   • Justification : l’agrégation négociée empêche les liens parallèles accidentels de transférer le trafic indépendamment ; min-links préserve une capacité symétrique et un hachage prévisible lors des pannes.

5. Activer le DHCP snooping et le DAI

   • Ne faire confiance qu’aux liaisons montantes vers les serveurs DHCP légitimes ; activer les limites de débit DHCP sur les ports d’accès ; activer l’inspection ARP en utilisant la table de snooping ; ajouter des ACL ARP pour les serveurs statiques.
   • Justification : bloque les serveurs DHCP malveillants (rogue) qui redirigent le trafic et prévient les attaques man-in-the-middle basées sur ARP qui dégraderaient la voix et les données.

6. Optimiser les ports d’accès voix

   • Configurer switchport voice vlan pour tous les ports de téléphone ; activer la confiance CoS (trust) avec Auto-QoS si disponible ; augmenter le maximum de la sécurité des ports pour couvrir les MAC du téléphone, du PC et du softphone.
   • Justification : garantit une séparation correcte des VLAN et la préservation du marquage QoS, améliorant directement les performances de MOS et de gigue (jitter).

7. Restreindre le multicast avec l’IGMP snooping

   • Vérifier qu’une SVI avec PIM activé existe pour chaque VLAN avec des récepteurs multicast ; là où aucun routeur n’est présent, activer un requêteur IGMP snooping (querier) ; marquer les liaisons montantes de distribution comme ports mrouter si nécessaire.
   • Justification : prévient l’inondation multicast inutile qui peut déclencher des symptômes de tempête de broadcast et consommer les ressources CPU des téléphones.

8. Valider et tester le basculement

   • Exécuter show spanning-tree vlan all, show interfaces trunk, show etherchannel summary, et examiner le syslog pour des événements d’incohérence PVID/natif ou de BPDU Guard. Retirer un lien membre de chaque Port-Channel et confirmer qu’aucun changement de topologie ne cause de perte de paquets vocaux.
   • Justification : la validation proactive prouve une convergence déterministe et révèle les asymétries cachées avant qu’elles n’impactent les utilisateurs.

9. Détecter et prévenir les défaillances unidirectionnelles

   • Activer UDLD en mode aggressive sur les liaisons montantes en fibre et Loop Guard sur les ports non désignés ; activer Bridge Assurance sur les interconnexions de distribution.
   • Justification : détecte les conditions de lien unidirectionnel qui, autrement, déclencheraient le transfert sur le port alternatif et des boucles.

10. Opérationnaliser la surveillance

    • Ajouter des alertes pour les battements d’adresses MAC (MAC flapping), les changements de topologie STP dépassant les seuils, les violations de DHCP snooping et les anomalies du nombre de groupes IGMP.
    • Justification : la télémétrie d’alerte précoce réduit le temps moyen de détection et empêche les erreurs de câblage mineures de se propager en pannes à l’échelle du campus.

← Architecture et conception de réseau d’entreprise · Tous les domaines · Routage unicast et contrôle de route →

Entraînez-vous sur ces questions → · Tests chronométrés sur ExamRoll.io →