Configuration d’un commutateur Cisco SF302-08PP

Référence

HL-PRC-002

Version

0.1

Date d’édition

23/08/2026

Création des VLAN, affectation des ports, trunk vers le pare-feu et migration du plan de gestion vers le VLAN d’administration, sans perte d’accès.

1. Objet

Cette procédure décrit la configuration d’un commutateur d’accès administrable de petite capacité en commutateur de distribution pour une infrastructure segmentée : création des VLAN, affectation des ports d’accès et des liens agrégeant plusieurs VLAN, puis raccordement au pare-feu qui assure le routage inter-VLAN.

Elle traite en particulier la migration du plan de gestion depuis le VLAN par défaut vers le VLAN d’administration. Cette opération est le point délicat de l’intervention : l’équipement ne dispose que d’une seule adresse de gestion, et un enchaînement de commandes mal ordonné coupe l’accès sans retour possible hors console série.

2. Périmètre et prérequis

Périmètre

Couvert : création et nommage des VLAN, ports d’accès, liens agrégeant plusieurs VLAN vers les hyperviseurs, trunk d’uplink vers le pare-feu, mise en place d’un chemin de secours, migration du plan de gestion, nom d’hôte, enregistrement de la configuration.

Hors périmètre : configuration du pare-feu (voir HL-PRC-001), port miroir pour analyse de trafic, contrôle d’accès par port, alimentation par le réseau, agrégation de liens, arbre couvrant, mise à jour du micrologiciel.

Prérequis

• Pare-feu déjà configuré et opérationnel — le VLAN d’administration doit être routé et desservi en DHCP avant la migration du plan de gestion.
• Adresse de gestion initiale connue et session en ligne de commande ouverte, sur le VLAN par défaut.
• Deux chemins réseau distincts vers l’équipement pendant la migration : le port d’administration et un chemin de secours indépendant.
• Un port libre et un câble supplémentaire pour établir ce chemin de secours vers le routeur d’accès.
• Poste d’administration capable de basculer entre adressage automatique et adressage fixe, et de désactiver ses autres interfaces réseau.
• Câble console adapté au connecteur de l’équipement — recommandé même s’il n’est pas utilisé nominalement.

3. Rôles et responsabilités

4. Procédure de configuration

Paramètres de la procédure

Les valeurs ci-dessous sont celles de l’implémentation de référence et sont reprises telles quelles dans les blocs de commandes. Sur une autre installation, adapter le tableau puis régénérer les commandes avant de les appliquer.

Plan des ports

Étapes

1. État des lieux

Relever la version, le mode de fonctionnement et la configuration active avant toute modification. La désactivation de la pagination évite de tronquer les sorties longues.

terminal datadump
show version
show running-config
show vlan

Vérifier la présence de la directive plaçant l’équipement en mode de niveau 2 : elle confirme la contrainte d’adresse de gestion unique décrite en section 2.

2. Création et nommage des VLAN

configure
vlan database
vlan 10,20,30,40,50,60,70,80,99,999
exit
interface vlan 10
name ADM
exit
# répéter pour 20 SRV, 30 DMZ, 40 CLI, 50 VOIP,
# 60 DEP, 70 WFI, 80 LAB, 99 CLUSTER, 999 UNUSED

Le VLAN inutilisé sert de VLAN natif au trunk d’uplink : il permet d’en retirer le VLAN par défaut sans laisser de trafic non étiqueté sur le lien.

3. Ports des hyperviseurs et des équipements d’accès

Les ports des hyperviseurs portent le VLAN de production sans étiquette et le VLAN de synchronisation avec étiquette : l’hyperviseur gère lui-même le second sur son pont.

interface range fastethernet1-3
switchport mode trunk
switchport trunk native vlan 20
switchport trunk allowed vlan add 99
exit
interface fastethernet4
switchport mode access
switchport access vlan 70
exit
interface range fastethernet5-8
switchport mode access
switchport access vlan 20
exit

4. Trunk d’uplink vers le pare-feu

Le lien vers le pare-feu transporte les huit VLAN routés, tous étiquetés. Le VLAN de synchronisation en est exclu.

interface gigabitethernet1
switchport mode trunk
switchport trunk allowed vlan add 10,20,30,40,50,60,70,80
exit

5. Enregistrement intermédiaire

Sortir du mode configuration et écrire la configuration en mémoire persistante. Cette étape est indispensable : sans elle, tout redémarrage perd le travail effectué.

end
copy running-config startup-config

6. Établissement du chemin de secours

Avant toute manipulation du plan de gestion, ouvrir un second chemin vers l’équipement, indépendant du port d’administration.

configure
interface fastethernet8
switchport access vlan 1
end
copy running-config startup-config

Raccorder ensuite un port réseau du routeur d’accès au port de secours. Le commutateur devient joignable sur son adresse initiale depuis tout poste du réseau du routeur d’accès, y compris par liaison sans fil.

7. Bascule du port d’administration

Depuis la session ouverte par le chemin de secours, placer le port du poste d’administration dans le VLAN cible. La session en cours n’est pas affectée puisqu’elle transite par le port de secours.

configure
interface gigabitethernet2
switchport mode access
switchport access vlan 10
end
copy running-config startup-config

8. Validation du VLAN cible

Contrôler que le poste d’administration obtient bien une adresse du VLAN cible et atteint la passerelle. Ce contrôle conditionne la suite.

# depuis le poste d’administration
ipconfig
ping 10.10.10.254

9. Migration du plan de gestion

Depuis la session ouverte par le chemin de secours, attribuer l’adresse au VLAN cible. L’adresse initiale disparaît au même instant et la session de secours se ferme.

configure
interface vlan 10
ip address 10.10.10.253 255.255.255.0

10. Reprise et enregistrement

Depuis le poste d’administration raccordé au port désormais dans le VLAN cible, ouvrir une session sur la nouvelle adresse, compléter la passerelle et enregistrer.

# depuis le poste d’administration
ssh admin@10.10.10.253
# puis sur l’équipement
configure
ip default-gateway 10.10.10.254
end
copy running-config startup-config

11. Nom d’hôte

configure
hostname sw01
end
copy running-config startup-config

12. Retrait du chemin de secours

Rendre le port de secours à son usage nominal et retirer le câble vers le routeur d’accès. Le VLAN par défaut n’a plus aucun port membre.

configure
interface fastethernet8
switchport access vlan 20
end
copy running-config startup-config

Retour arrière

Pièges connus

5. Intégration réseau

Plan de gestion

Composition des liens agrégeant plusieurs VLAN

Dépendances

• Pare-feu — assure le routage inter-VLAN, la distribution DHCP et la résolution de noms. Son indisponibilité rend le commutateur injoignable, faute de passerelle sur le VLAN de gestion.
• Routeur d’accès — nécessaire uniquement pendant l’intervention, pour le chemin de secours. Aucune dépendance en fonctionnement nominal.
• Poste d’administration — seul port du VLAN d’administration en dehors du trunk. Sa déconnexion isole le plan de gestion du commutateur.

6. Durcissement et sécurité

• Plan de gestion isolé dans le VLAN d’administration, hors du VLAN par défaut et hors des VLAN de production.
• VLAN par défaut vidé — aucun port membre après retrait du chemin de secours, et VLAN natif du trunk déplacé vers un VLAN sans usage.
• Plan de synchronisation cloisonné — le VLAN de cluster n’est présent que sur les ports des hyperviseurs et n’atteint jamais le pare-feu.
• Réseau sans fil invité séparé sur un port d’accès dédié, sans adjacence avec les VLAN internes.
• Configuration enregistrée après chaque étape validée, pour garantir un état de reprise connu.

Dettes techniques

7. Vérifications finales

8. Références et historique des révisions

Documentation éditeur

• Cisco Systems — Cisco Small Business 300 Series Managed Switch Administration Guide. La section relative à l’adressage en mode de niveau 2 établit la contrainte d’adresse IPv4 unique portée par le VLAN de gestion.
• Cisco Systems — Cisco 300 Series Managed Switches Quick Start Guide. Donne la composition des ports et le budget d’alimentation par le réseau.
• Cisco Systems — Defining an IPv4 Interface in Layer 2 System Mode. Décrit la sélection du VLAN de gestion et les modes d’attribution d’adresse.

Documents associés

• HL-PRC-001 — Mise en service d’un pare-feu Juniper SRX300. Décrit le trunk homologue, le plan d’adressage et la matrice de flux.

Historique des révisions