Comment sécurisé les ports des Switch

Introduction

Dans un réseau d’entreprise, la sécurité ne se limite pas aux pare-feux ou aux antivirus. Les équipements réseau eux-mêmes, comme les switches, constituent une première ligne de défense souvent sous-estimée.

Par défaut, un port de switch accepte n’importe quel équipement qui s’y connecte. Cela peut représenter un risque important : branchement d’un poste non autorisé, intrusion interne ou encore attaques visant à perturber le réseau.

Dans ce tutoriel, nous allons voir comment sécuriser les ports d’un switch Cisco grâce à la fonctionnalité port-security. Cette dernière permet de contrôler précisément quels équipements sont autorisés à se connecter, en se basant sur leur adresse MAC.

Nous aborderons les différentes méthodes de configuration (manuelle et automatique), ainsi que les mécanismes de réaction en cas de violation de sécurité.

Il y a deux méthodes, la première consiste à enregistrer manuellement l’adresse MAC autorisée et la seconde consiste à prendre comme adresse MAC autorisée celle de l’hôte qui va se connecter et envoyer une trame en premier à ce port du Switch Cisco.

Pour rappel, l’adresse MAC correspond à l’adresse physique de la machine c'est-à-dire de sa carte réseau.

Sécurisation manuelle de l’accès

Dans un premier temps, on va sécuriser manuellement l’accès en définissant une adresse MAC précise pour un port. Dans le but d’empêcher n’importe quel poste de travail de se connecter.

Nous allons nous baser sur la création d'une maquette avec l'application Packer Tracer :

Méthode manuelle

Après avoir mise ene place les adresse IP et récupéré les adresse MAC de chaque ordinateu, nous allons mettre en place la méthode manuel.

Pour le moment, il n’y a pas de sécurité, les postes de travail peuvent se connecter sur n’importe quel port du Switch et communiquer entre eux.

Étant donné qu’il y a des clients nomades (PC Portables) ils pourraient facilement changer de port sur le Switch donc nous allons autoriser uniquement le « Client Nomade 1 » à se connecter au port 2 du Switch, pour éviter que le « Client Nomade 2 » s’y connecte.

Ce qui correspond à : Passer en mode privilégié puis en mode de configuration et ensuite dans la configuration de l’interface FE 0/2 (port 2). En passe cette interface en mode « access » au lieu de « dynamic » puis on active la sécurité du port « port-security ». Pour finir, on définit l’adresse MAC autorisée sur cette interface.

Maintenant, nous allons sécuriser le Switch avec ce commande ci-dessous :

          ! ── Passer en mode privilégié ─────────────────────────
          Switch> enable

          ! ── Entrer en mode de configuration globale ───────────
          Switch# configure terminal

          ! ── Accès à l'interface fstEthernet 0/2 ───────────
          Switch(config)# interface FastEthernet 0/2

          ! ── Mettre le mode Access à l'interface fstEthernet 0/2 ───────────
          Switch(config-if)# switchport mode access

          ! ── Sécuriser l'interface fstEthernet 0/2 ───────────
          Switch(config-if)# switchport port-security
          Switch(config-if)# switchport port-security mac-address Adresse MAC du PC
        

Lorsque l’on débranche le « Client Nomade 1 » et que l’on branche le « Client Nomade 2 » on peut voir que la connexion est active (elle peut se désactiver) mais si on effectue un ping avec le « Client LAN » vers le « Client Nomade 2 » il n’y a pas de réponse. La protection s’applique bien.

Nous venons de voir la première méthode manuelle

Sécurisation automatique de l’accès

Il est possible de sécuriser l’accès de manière automatique c'est-à-dire que l’on active le « port-security » et c’est le premier hôte qui va se connecter et envoyer une trame qui va en être en quelque sorte le propriétaire. Tout le temps qu’il n’y ait pas de trame, l’adresse MAC du PC connecté n’est pas enregistrée.

Par exemple, paramétrons de cette manière le port 3 (Interface FastEthernet 0/3) :

          ! ── Passer en mode privilégié ─────────────────────────
          Switch> enable

          ! ── Entrer en mode de configuration globale ───────────
          Switch# configure terminal

          ! ── Accès à l'interface fstEthernet 0/3 ───────────
          Switch(config)# interface FastEthernet 0/3

          ! ── Mettre le mode Access à l'interface fstEthernet 0/3 ───────────
          Switch(config-if)# switchport mode access

          ! ── Sécuriser l'interface fstEthernet 0/3 ───────────
          Switch(config-if)# switchport port-security
          Switch(config-if)# switchport port-security mac-address stricky
        

Le port est actif et le PC connecté, il ne reste plus qu’à envoyer une trame (par exemple pinger le PC « Client LAN ») pour que l’adresse MAC du « Client Nomade 2 » soit enregistrée.

Configurer la réaction lors de la violation de la sécurité

Lorsqu’un hôte non autorisé se connecte sur un port sécurisé, le switch se doit de réagir à cette violation de la sécurité. Pour cela il utilise la commande « switchport port-security violation » avec 3 options différentes, qui sont :

• La première méthode « shutdown » : Elle désactive l’interface lorsque qu’il y a violation.

Pour la réactiver, il faut désactiver le port manuellement et le réactiver manuellement pour qu’il redevienne actif. Pour cela, allez dans la configuration de l’interface et saisissez la commande « shutdown » pour désactiver puis « no shutdown » pour activer l’interface.

• La deuxième méthode « protect » : Toutes les trames ayant des adresses MAC sources inconnues sont bloquées et les autres autorisées.
• La troisième et dernière méthode « restrict » : Alerte SNMP envoyée et le compteur de violation est incrémenté.

Exemple si on veut ajouter ce paramètre sur une interface déjà sécurisée :

          ! ── Passer en mode privilégié ─────────────────────────
          Switch> enable

          ! ── Entrer en mode de configuration globale ───────────
          Switch# configure terminal

          ! ── Accès à l'interface fstEthernet 0/3 ───────────
          Switch(config)# interface FastEthernet 0/3

          ! ── Mettre le mode Access à l'interface fstEthernet 0/3 ───────────
          Switch(config-if)# switchport mode access

          ! ── Sécuriser l'interface fstEthernet 0/3 ───────────
          Switch(config-if)# switchport port-security
          Switch(config-if)# switchport port-security violation Nom de la métohode utilisé
        

Augmenter le nombre d’adresses MAC autorisées sur un port

Par défaut, il est possible d’autoriser une seule adresse MAC sur chacun des ports mais il est possible d’augmenter le nombre d’adresses grâce à la commande :

• switchport port-security maximum x

Où X correspond au nombre maximum d’adresses que vous souhaitez autoriser.

Conclusion

La sécurisation des ports d’un switch est une étape essentielle pour renforcer la sécurité d’un réseau local. Grâce à la fonctionnalité port-security, il est possible de limiter les accès, de contrôler les équipements connectés et de réagir efficacement en cas de tentative non autorisée.

Cependant, cette protection ne doit pas être utilisée seule. Elle s’inscrit dans une stratégie de sécurité globale incluant d’autres mécanismes comme le VLAN, le DHCP Snooping ou encore le contrôle d’accès réseau (NAC).

Bien configurée, la sécurité des ports permet de réduire considérablement les risques d’intrusion physique ou logique, tout en gardant une bonne maîtrise des équipements présents sur le réseau.