{"id":2691,"date":"2026-10-13T14:16:53","date_gmt":"2026-10-13T12:16:53","guid":{"rendered":"https:\/\/procyb.fr\/?p=2691"},"modified":"2026-10-15T13:37:47","modified_gmt":"2026-10-15T11:37:47","slug":"tip-3-7-mettre-en-service-et-securiser-un-equipement-reseau","status":"publish","type":"post","link":"https:\/\/procyb.fr\/index.php\/2026\/10\/13\/tip-3-7-mettre-en-service-et-securiser-un-equipement-reseau\/","title":{"rendered":"TIP 3.7 \u2013 Mettre en service et s\u00e9curiser un \u00e9quipement r\u00e9seau"},"content":{"rendered":"\n
\n
\n

Niveau : Interm\u00e9diaire<\/p>\n\n\n\n

Dur\u00e9e : 90 min<\/p>\n\n\n\n

Module : Infrastructure TIP<\/p>\n<\/div>\n<\/div>\n\n\n\n

Mettre en service un \u00e9quipement r\u00e9seau ne consiste pas simplement \u00e0 le brancher.<\/p>\n\n

Un switch manageable, un routeur, un pare-feu ou un point d\u2019acc\u00e8s Wi-Fi doit \u00eatre identifi\u00e9, raccord\u00e9, configur\u00e9, s\u00e9curis\u00e9, test\u00e9 et document\u00e9<\/strong> avant d\u2019\u00eatre consid\u00e9r\u00e9 comme op\u00e9rationnel.<\/p>\n\n

Une mauvaise configuration peut avoir des cons\u00e9quences importantes : perte de connectivit\u00e9, acc\u00e8s non autoris\u00e9, mauvaise segmentation r\u00e9seau ou interruption de plusieurs utilisateurs.<\/p>\n\n

\n\n

\ud83c\udfaf Objectifs du cours<\/h3>\n\n

\u00c0 la fin de ce cours, tu devras \u00eatre capable de :<\/p>\n\n

    \n
  • pr\u00e9parer une intervention sur un \u00e9quipement r\u00e9seau ;<\/li>\n
  • identifier correctement l\u2019\u00e9quipement et son r\u00f4le ;<\/li>\n
  • r\u00e9aliser les principaux contr\u00f4les physiques ;<\/li>\n
  • configurer une adresse IP de gestion ;<\/li>\n
  • modifier les identifiants d\u2019administration par d\u00e9faut ;<\/li>\n
  • privil\u00e9gier HTTPS et SSH pour l\u2019administration ;<\/li>\n
  • v\u00e9rifier et mettre \u00e0 jour le firmware selon la proc\u00e9dure ;<\/li>\n
  • comprendre l\u2019int\u00e9r\u00eat d\u2019un r\u00e9seau ou VLAN d\u2019administration ;<\/li>\n
  • d\u00e9sactiver les services et ports inutiles lorsque la politique le pr\u00e9voit ;<\/li>\n
  • configurer l\u2019heure, la journalisation et la supervision ;<\/li>\n
  • sauvegarder la configuration ;<\/li>\n
  • tester l\u2019\u00e9quipement avant sa mise en production ;<\/li>\n
  • documenter les modifications r\u00e9alis\u00e9es.<\/li>\n<\/ul>\n\n<\/div>\n\n
    \n\n\n\n
    \n\n\n\n\n\n\n\n\n\n<\/feMerge>\n<\/filter>\n<\/defs>\n\n\nMISE EN SERVICE D’UN \u00c9QUIPEMENT R\u00c9SEAU\n<\/text>\n\n\n\n\n\n\n\n\n\n\n\nHTTPS \/ SSH\n<\/text>\n\n\n192.168.99.10\n<\/text>\n\n\n\n\n\n\n\n\nPOSTE D’ADMINISTRATION\n<\/text>\n<\/g>\n\n\n\n\n\n\n\n\n\n\n\n\nSWITCH MANAGEABLE\n<\/text>\n\n\n\n\n\n\n\n\n\n<\/g>\n\n\n\n\n\nIP de gestion : 192.168.99.2\n<\/text>\n\n<\/g>\n\n\n\n\n\n\n\n\n\n\nS\u00c9CURISATION\n<\/text>\n\n<\/g>\n\n\n\n\n\n\n\n\nAcc\u00e8s HTTPS \/ SSH\n<\/text>\n\n\n\n\nIP de gestion\n<\/text>\n\n\n\n\nFirmware\n<\/text>\n\n\n\n\nJournalisation\n<\/text>\n\n\n\n\nSauvegarde config\n<\/text>\n\n<\/g>\n\n<\/svg>\n\n<\/div>\n\n
    \n\n

    1. Identifier le r\u00f4le de l\u2019\u00e9quipement<\/h2>\n\n

    Avant toute intervention, il faut savoir pr\u00e9cis\u00e9ment sur quel \u00e9quipement tu travailles.<\/p>\n\n

    Il peut s\u2019agir d\u2019un :<\/p>\n\n

      \n
    • switch ;<\/li>\n
    • routeur ;<\/li>\n
    • pare-feu ;<\/li>\n
    • point d\u2019acc\u00e8s Wi-Fi ;<\/li>\n
    • contr\u00f4leur Wi-Fi ;<\/li>\n
    • \u00e9quipement VPN ;<\/li>\n
    • autre \u00e9quipement r\u00e9seau administrable.<\/li>\n<\/ul>\n\n

      Une modification r\u00e9alis\u00e9e sur le mauvais \u00e9quipement peut avoir un impact important sur l\u2019infrastructure.<\/p>\n\n

      \n\n

      2. Collecter les informations avant intervention<\/h2>\n\n

      Avant de modifier quoi que ce soit, r\u00e9cup\u00e8re les informations n\u00e9cessaires.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
      Information<\/th>\nExemple<\/th>\n<\/tr>\n<\/thead>\n\n
      Nom de l\u2019\u00e9quipement<\/td>\nSW-BAT-A-01<\/td>\n<\/tr>\n\n
      Type<\/td>\nSwitch manageable 24 ports<\/td>\n<\/tr>\n\n
      Adresse IP de gestion<\/td>\n192.168.99.2<\/td>\n<\/tr>\n\n
      R\u00e9seau de gestion<\/td>\n192.168.99.0\/24<\/td>\n<\/tr>\n\n
      Passerelle<\/td>\n192.168.99.1<\/td>\n<\/tr>\n\n
      Localisation<\/td>\nBaie r\u00e9seau b\u00e2timent A<\/td>\n<\/tr>\n\n
      R\u00f4le<\/td>\nSwitch utilisateurs \u00e9tage 1<\/td>\n<\/tr>\n\n<\/tbody>\n\n<\/table>\n\n
      \n\n\ud83d\udca1 R\u00e9flexe professionnel<\/strong>\n\n

      V\u00e9rifie toujours le plan d\u2019adressage et la documentation r\u00e9seau<\/strong> avant d\u2019attribuer une adresse IP.<\/p>\n\n<\/div>\n\n

      \n\n

      3. Photographier ou noter l\u2019\u00e9tat initial<\/h2>\n\n

      Avant une intervention importante, il peut \u00eatre utile de conserver une trace de l\u2019\u00e9tat initial conform\u00e9ment aux proc\u00e9dures internes.<\/p>\n\n

      Tu peux notamment noter :<\/p>\n\n

        \n
      • le c\u00e2blage ;<\/li>\n
      • les ports utilis\u00e9s ;<\/li>\n
      • les voyants ;<\/li>\n
      • la version du firmware ;<\/li>\n
      • la configuration r\u00e9seau ;<\/li>\n
      • la configuration PoE ;<\/li>\n
      • les VLAN utilis\u00e9s.<\/li>\n<\/ul>\n\n

        L\u2019objectif est de pouvoir comprendre ce qui a chang\u00e9 et, si n\u00e9cessaire, revenir \u00e0 l\u2019\u00e9tat pr\u00e9c\u00e9dent.<\/p>\n\n

        \n\n

        4. V\u00e9rifier l\u2019installation physique<\/h2>\n\n

        Avant de commencer la configuration, v\u00e9rifie :<\/p>\n\n

          \n
        • l\u2019alimentation ;<\/li>\n
        • la fixation de l\u2019\u00e9quipement ;<\/li>\n
        • la ventilation ;<\/li>\n
        • l\u2019\u00e9tat des c\u00e2bles ;<\/li>\n
        • le brassage ;<\/li>\n
        • les ports utilis\u00e9s ;<\/li>\n
        • les \u00e9ventuelles liaisons fibre ;<\/li>\n
        • les contraintes PoE.<\/li>\n<\/ul>\n\n

          Un probl\u00e8me physique peut rendre inutile toute tentative de configuration logicielle.<\/p>\n\n

          \n\n

          5. Identifier les interfaces d\u2019administration<\/h2>\n\n

          Selon le mat\u00e9riel, plusieurs m\u00e9thodes d\u2019administration peuvent \u00eatre disponibles :<\/p>\n\n\n\n\n\n\n\n\n\n\n\n
          M\u00e9thode<\/th>\nUtilisation<\/th>\n<\/tr>\n<\/thead>\n\n
          Interface web<\/td>\nAdministration avec un navigateur<\/td>\n<\/tr>\n\n
          SSH<\/td>\nAdministration s\u00e9curis\u00e9e en ligne de commande<\/td>\n<\/tr>\n\n
          Console s\u00e9rie \/ USB<\/td>\nAcc\u00e8s local direct \u00e0 l\u2019\u00e9quipement<\/td>\n<\/tr>\n\n
          Contr\u00f4leur central<\/td>\nAdministration centralis\u00e9e de plusieurs \u00e9quipements<\/td>\n<\/tr>\n\n<\/tbody>\n\n<\/table>\n\n
          \n\n

          6. Premi\u00e8re connexion \u00e0 un \u00e9quipement neuf<\/h2>\n\n

          Un \u00e9quipement neuf peut \u00eatre livr\u00e9 avec :<\/p>\n\n

            \n
          • une adresse IP par d\u00e9faut ;<\/li>\n
          • une adresse obtenue par DHCP ;<\/li>\n
          • un assistant de configuration ;<\/li>\n
          • un acc\u00e8s console local.<\/li>\n<\/ul>\n\n

            La proc\u00e9dure du constructeur ou celle de l\u2019organisation doit \u00eatre suivie.<\/p>\n\n

            \n\n\u26a0\ufe0f Attention<\/strong>\n\n

            N\u2019effectue jamais une r\u00e9initialisation usine sur un \u00e9quipement en production simplement pour retrouver son mot de passe.<\/p>\n\n

            Tu pourrais supprimer toute sa configuration.<\/p>\n\n<\/div>\n\n

            \n\n

            7. Configurer l\u2019adresse IP de gestion<\/h2>\n\n

            L\u2019\u00e9quipement doit disposer d\u2019une adresse permettant son administration.<\/p>\n\n

            Exemple :<\/p>\n\n\n\n\n\n\n\n\n\n\n\n
            Param\u00e8tre<\/th>\nValeur<\/th>\n<\/tr>\n<\/thead>\n\n
            Adresse<\/td>\n192.168.99.2<\/td>\n<\/tr>\n\n
            Pr\u00e9fixe<\/td>\n\/24<\/td>\n<\/tr>\n\n
            Passerelle<\/td>\n192.168.99.1<\/td>\n<\/tr>\n\n
            DNS<\/td>\n192.168.99.10<\/td>\n<\/tr>\n\n<\/tbody>\n\n<\/table>\n\n

            L\u2019adresse doit respecter le plan d\u2019adressage de l\u2019organisation.<\/p>\n\n

            \n\n

            8. \u00c9viter les conflits d\u2019adresses<\/h2>\n\n

            Avant d\u2019attribuer une adresse statique, v\u00e9rifie qu\u2019elle n\u2019est pas d\u00e9j\u00e0 utilis\u00e9e.<\/p>\n\n

            Tu peux notamment consulter :<\/p>\n\n

              \n
            • le plan d\u2019adressage ;<\/li>\n
            • l\u2019outil d\u2019inventaire ;<\/li>\n
            • le serveur DHCP ;<\/li>\n
            • la documentation r\u00e9seau.<\/li>\n<\/ul>\n\n

              Un simple ping ne garantit pas qu\u2019une adresse est libre : un \u00e9quipement peut ne pas r\u00e9pondre \u00e0 ICMP.<\/p>\n\n

              \n\n

              9. Donner un nom explicite \u00e0 l\u2019\u00e9quipement<\/h2>\n\n

              Un \u00e9quipement r\u00e9seau doit poss\u00e9der un nom coh\u00e9rent avec les r\u00e8gles de nommage.<\/p>\n\n

              Exemples :<\/p>\n\n

              SW-PARIS-BAT-A-01\n\nAP-ETAGE-02-03\n\nFW-SITE-Rennes-01<\/code><\/pre>\n\n
              Un nom clair facilite :<\/p>\n\n
                \n
              • la supervision ;<\/li>\n
              • le diagnostic ;<\/li>\n
              • la documentation ;<\/li>\n
              • la journalisation.<\/li>\n<\/ul>\n\n
                \n\n
                10. Modifier les identifiants par d\u00e9faut<\/h2>\n\n
                Un \u00e9quipement ne doit pas rester administrable avec des identifiants connus ou par d\u00e9faut.<\/p>\n\n
                Par exemple :<\/p>\n\n
                admin \/ admin\n\nadmin \/ password<\/code><\/pre>\n\n
                Ces identifiants doivent \u00eatre remplac\u00e9s selon la politique de l\u2019organisation.<\/p>\n\n
                \n\n
                \u2705 \u00c0 retenir<\/h3>\n\n
                La pr\u00e9sence d\u2019identifiants d\u2019administration par d\u00e9faut constitue un risque important.<\/p>\n\n<\/div>\n\n
                \n\n
                11. Utiliser des comptes nominatifs lorsque c\u2019est possible<\/h2>\n\n
                Lorsque l\u2019\u00e9quipement le permet, l\u2019utilisation de comptes individuels facilite :<\/p>\n\n
                  \n
                • la tra\u00e7abilit\u00e9 ;<\/li>\n
                • la r\u00e9vocation des droits ;<\/li>\n
                • l\u2019identification des actions ;<\/li>\n
                • l\u2019application du principe de moindre privil\u00e8ge.<\/li>\n<\/ul>\n\n
                  Un compte partag\u00e9 doit \u00eatre \u00e9vit\u00e9 lorsqu\u2019une solution plus tra\u00e7able existe.<\/p>\n\n
                  \n\n
                  12. Privil\u00e9gier HTTPS<\/h2>\n\n
                  Une interface web d\u2019administration doit utiliser un protocole chiffr\u00e9 lorsque l\u2019\u00e9quipement le permet.<\/p>\n\n
                  On privil\u00e9gie :<\/p>\n\n
                  HTTPS<\/code><\/pre>\n\n
                  plut\u00f4t que :<\/p>\n\n
                  HTTP<\/code><\/pre>\n\n
                  HTTPS permet de prot\u00e9ger la session d\u2019administration contre l\u2019\u00e9coute du trafic r\u00e9seau.<\/p>\n\n
                  \n\n
                  13. Privil\u00e9gier SSH<\/h2>\n\n
                  Pour l\u2019administration en ligne de commande, on privil\u00e9gie g\u00e9n\u00e9ralement :<\/p>\n\n
                  SSH<\/code><\/pre>\n\n
                  plut\u00f4t qu\u2019un protocole ancien non chiffr\u00e9 comme :<\/p>\n\n
                  Telnet<\/code><\/pre>\n\n
                  SSH chiffre les \u00e9changes entre le poste d\u2019administration et l\u2019\u00e9quipement.<\/p>\n\n
                  \n\n\n\n
                  \n\n\n\n\nS\u00c9CURISER L’ADMINISTRATION R\u00c9SEAU\n<\/text>\n\n\n\n\n\n\n\n\n\n\n\n\n<\/g>\n\n\n\n\n\n\u00c9QUIPEMENT R\u00c9SEAU\n<\/text>\n\n\n\n\n\n\n\nHTTPS \/ SSH\n<\/text>\n\n\n\nVLAN ADMIN\n<\/text>\n\n\n\nFIRMWARE\n<\/text>\n\n\n\nNTP \/ SYSLOG\n<\/text>\n\n\n\nSAUVEGARDE\n<\/text>\n\n<\/g>\n\n\n\n\n\n\n\n\n\n\n\n<\/g>\n\n<\/svg>\n\n<\/div>\n\n
                  \n\n
                  14. Restreindre l\u2019acc\u00e8s \u00e0 l\u2019administration<\/h2>\n\n
                  Lorsque l\u2019architecture le permet, l\u2019interface d\u2019administration ne doit pas \u00eatre accessible depuis n\u2019importe quel r\u00e9seau.<\/p>\n\n
                  Une organisation peut par exemple utiliser :<\/p>\n\n
                    \n
                  • un VLAN d\u2019administration ;<\/li>\n
                  • un poste d\u2019administration d\u00e9di\u00e9 ;<\/li>\n
                  • des r\u00e8gles de pare-feu ;<\/li>\n
                  • des listes d\u2019acc\u00e8s ;<\/li>\n
                  • un VPN d\u2019administration.<\/li>\n<\/ul>\n\n
                    Le technicien doit respecter l\u2019architecture pr\u00e9vue et ne pas ouvrir l\u2019administration inutilement.<\/p>\n\n
                    \n\n
                    15. Mettre \u00e0 jour le firmware<\/h2>\n\n
                    Le firmware contient le logiciel interne de l\u2019\u00e9quipement.<\/p>\n\n
                    Une mise \u00e0 jour peut apporter :<\/p>\n\n
                      \n
                    • des corrections de s\u00e9curit\u00e9 ;<\/li>\n
                    • des corrections de bugs ;<\/li>\n
                    • des am\u00e9liorations de stabilit\u00e9 ;<\/li>\n
                    • de nouvelles fonctions.<\/li>\n<\/ul>\n\n
                      \n\n\u26a0\ufe0f Mise \u00e0 jour = op\u00e9ration sensible<\/strong>\n\n
                      Avant une mise \u00e0 jour :<\/p>\n\n
                        \n
                      • lire les notes de version ;<\/li>\n
                      • v\u00e9rifier la compatibilit\u00e9 ;<\/li>\n
                      • sauvegarder la configuration ;<\/li>\n
                      • pr\u00e9voir une interruption \u00e9ventuelle ;<\/li>\n
                      • conna\u00eetre la proc\u00e9dure de retour arri\u00e8re.<\/li>\n<\/ul>\n\n<\/div>\n\n
                        \n\n
                        16. Ne pas mettre \u00e0 jour en production sans pr\u00e9paration<\/h2>\n\n
                        Une mise \u00e0 jour r\u00e9seau peut provoquer :<\/p>\n\n
                          \n
                        • un red\u00e9marrage ;<\/li>\n
                        • une interruption de r\u00e9seau ;<\/li>\n
                        • une perte temporaire des t\u00e9l\u00e9phones IP ;<\/li>\n
                        • une coupure Wi-Fi ;<\/li>\n
                        • une incompatibilit\u00e9 inattendue.<\/li>\n<\/ul>\n\n
                          Elle doit donc \u00eatre planifi\u00e9e conform\u00e9ment aux proc\u00e9dures de l\u2019entreprise.<\/p>\n\n
                          \n\n
                          17. Configurer l\u2019heure correctement<\/h2>\n\n
                          Les \u00e9quipements r\u00e9seau doivent disposer d\u2019une heure correcte.<\/p>\n\n
                          Un service comme NTP<\/strong> permet de synchroniser leur horloge.<\/p>\n\n
                          Cela est particuli\u00e8rement important pour :<\/p>\n\n
                            \n
                          • les journaux ;<\/li>\n
                          • la supervision ;<\/li>\n
                          • les certificats ;<\/li>\n
                          • l\u2019analyse d\u2019incidents.<\/li>\n<\/ul>\n\n
                            Un \u00e9v\u00e9nement enregistr\u00e9 \u00e0 une heure incorrecte complique fortement le diagnostic.<\/p>\n\n
                            \n\n
                            18. Configurer la journalisation<\/h2>\n\n
                            Un \u00e9quipement r\u00e9seau peut enregistrer des \u00e9v\u00e9nements comme :<\/p>\n\n
                              \n
                            • connexion d\u2019un administrateur ;<\/li>\n
                            • red\u00e9marrage ;<\/li>\n
                            • port activ\u00e9 ou d\u00e9sactiv\u00e9 ;<\/li>\n
                            • erreur mat\u00e9rielle ;<\/li>\n
                            • tentative d\u2019authentification ;<\/li>\n
                            • changement de configuration.<\/li>\n<\/ul>\n\n
                              Ces journaux peuvent rester localement ou \u00eatre envoy\u00e9s vers un serveur central, par exemple via Syslog<\/strong>.<\/p>\n\n
                              \n\n
                              19. Supervision et SNMP<\/h2>\n\n
                              De nombreux \u00e9quipements peuvent \u00eatre supervis\u00e9s avec SNMP<\/strong>.<\/p>\n\n
                              La supervision peut permettre de suivre :<\/p>\n\n
                                \n
                              • la disponibilit\u00e9 ;<\/li>\n
                              • le trafic ;<\/li>\n
                              • les erreurs ;<\/li>\n
                              • l\u2019utilisation des ports ;<\/li>\n
                              • la temp\u00e9rature ;<\/li>\n
                              • la consommation PoE.<\/li>\n<\/ul>\n\n
                                Lorsque la plateforme le permet, une version s\u00e9curis\u00e9e comme SNMPv3<\/strong> est pr\u00e9f\u00e9rable aux anciennes configurations reposant sur des communaut\u00e9s simples.<\/p>\n\n
                                \n\n
                                20. D\u00e9sactiver les services inutiles<\/h2>\n\n
                                Un \u00e9quipement peut proposer des fonctions qui ne sont pas utilis\u00e9es.<\/p>\n\n
                                Selon la politique de l\u2019organisation, il peut \u00eatre pertinent de d\u00e9sactiver :<\/p>\n\n
                                  \n
                                • HTTP si HTTPS est disponible ;<\/li>\n
                                • Telnet si SSH est disponible ;<\/li>\n
                                • services de d\u00e9couverte inutiles ;<\/li>\n
                                • protocoles d\u2019administration non utilis\u00e9s.<\/li>\n<\/ul>\n\n
                                  Le principe est simple :<\/p>\n\n
                                  un service inutile n\u2019a pas besoin d\u2019\u00eatre expos\u00e9.<\/strong><\/p>\n\n
                                  \n\n
                                  21. Ports inutilis\u00e9s d\u2019un switch<\/h2>\n\n
                                  Les ports inutilis\u00e9s peuvent \u00e9galement faire l\u2019objet de mesures de s\u00e9curit\u00e9.<\/p>\n\n
                                  Selon la politique r\u00e9seau, ils peuvent \u00eatre :<\/p>\n\n
                                    \n
                                  • d\u00e9sactiv\u00e9s ;<\/li>\n
                                  • plac\u00e9s dans un VLAN sp\u00e9cifique ;<\/li>\n
                                  • surveill\u00e9s ;<\/li>\n
                                  • document\u00e9s.<\/li>\n<\/ul>\n\n
                                    Il ne faut toutefois jamais modifier massivement les ports d\u2019un switch en production sans conna\u00eetre leur usage.<\/p>\n\n
                                    \n\n
                                    22. V\u00e9rifier le PoE<\/h2>\n\n
                                    Si le switch alimente des \u00e9quipements PoE, contr\u00f4le :<\/p>\n\n