Procédure de création de VLANs avec Cisco & Stormshield & VMware

Tutoriel Cisco - Stormshield - VMware

Tutorial Thumbnail

Bien souvent en entreprise et bien que cela soit la base de la base niveau sĂ©cu, nous devons sĂ©parer chaque type de ressource dans un VLAN. Dans le cas de serveurs par exemple, ces derniers doivent ĂȘtres dans un rĂ©seau propre avec politique de filtrage adaptĂ©e Ă  l'accĂšs et Ă  l'utilisation du serveur (rĂ©guler l'accĂšs Ă  Internet, autoriser certaines machines / utilisateurs / rĂ©seaux Ă  accĂ©der aux ressources du serveurs...).


L'objectif de ce guide sera de présenter un mode opératoire qui consistera à monter un réseau autour d'un VLAN. Plus précisément, nous allons créer une interface Trunk qui se chargera de diffuser les VLANs créés sur le Switch. Ensuite, puisque nous utiliseront VMware VCSA, nous nous chargerons de créer les interfaces dédiées aux VLANS créés (création de vSwitch). Puis, pour terminer, nous allons créer l'interface VLAN sur le firewall Stormshield SNS et ainsi que les différentes rÚgles de filtrage de base afin d 'accéder à Internet.


Avant de commencer

Afin de mieux organiser les choses, il est plus recommander en entreprise comme chez vous pour des labs ou des maquettes de répertorier toutes votre infrastructure. Plus précisément, il est avantageux de mieux recenser les différents réseaux, machines, serveurs au sein d'un classeur Excel, par exemple, et d'y inscrire toutes les informations de votre infrastructure.


Généralement, dans une matrice de flux, nous y retrouverons les éléments de bases tel que :

  • Le nom de la machine,
  • Une description des services applicatifs, des ressources accessibles et disponibles,
  • Son adresse IP,
  • Son interface rĂ©seau physique rattachĂ©e Ă  la machine,
  • L'ID du VLAN et le nom du VLAN,
  • Le nom du firewall (si vous en avez plusieurs),
  • Version du systĂšme d'exploitation.


Le fait de rĂ©aliser des documents de ce type est la base en entreprise. Prenez le temps de poser les choses et de recenser chacune des machines, chaque rĂ©seau de crĂ©Ă© et je vous garantie que ça vous simplifiera la vie 😉


Configuration sur le Switch (Cisco IOS)

Il est nĂ©cessaire ensuite de crĂ©er l'interface sur le Cisco afin de diffuser le VLAN. Les commandes sont rĂ©alisĂ©es sur un switch Cisco (l'Ă©quivalent des commandes pour d'autres constructeurs sont facilement accessibles sur Internet 😉).


Création du VLAN

Se connecter en mode privilégié sur le switch Cisco :

SW001>en
  *> Password:***********
SW001#conf t


Création du VLAN (ex : création VLAN avec l'ID 10 ; nom = vlan_id_10) :

SW001(config)#vlan 10
SW001(config-vlan)#name vlan_id_10
SW001(config-vlan)#no sh
	*%VLAN 308 is not shutdown.*
SW001(config-vlan)#
Ici, on ne renseigne pas d'adresse IP pour l'interface du switch.


On affecte le VLAN ID 10 créé à une interface du Switch :

SW001(config)#interface fastEthernet 1/0/28
SW001(config-if)#switchport access vlan 10
SW001(config-if)#no sh
Nous allons ici affecter Ă  l'interface 28 (la derniĂšre interface du Switch 28 ports) le VLAN 10. On active en plus de cela l'interface avec la commande no shutdown.


Création de l'interface Trunk

Un Trunk est un lien direct entre deux Ă©quipements, le plus souvent entre deux switchs configurĂ©s de telle sorte Ă  y faire circuler des trames Ethernet modifiĂ©es comportant des informations relatives au VLAN sur lequel elles transitent. En effet, l’avantage de cette solution est ainsi de faire passer l’ensemble des VLANs sur le switch distant.



Prenons l’exemple de deux switchs sont reliĂ©s l’un Ă  l’autre, chacun ayant Ă©tĂ© configurĂ© avec 2 VLANs : le VLAN 1 et le VLAN 2.

Le but ici est que le trafic du VLAN1 de gauche puisse circuler sur le VLAN1 de droite et idem pour le VLAN2. Afin que cela soit possible, il faut configurer la liaison entre les deux switchs en « Trunk » 
 ou plus prĂ©cisĂ©ment configurer une encapsulation dot1Q des trames lorsqu’elles transitent sur le lien de sorte que le switch qui la reçoit peut ensuite la relayer dans le bon VLAN.


Quand on parle d’encapsulation, on doit forcĂ©ment faire appel Ă  un protocole. UtilisĂ© de nos jours, le protocole dot1Q (norme IEEE 802.1Q) le protocole standard dĂ©fini par l’IEEE. Le dot1Q aura pour mission d’insĂ©rer un tag supplĂ©mentaire dans l’entĂȘte de la trame Ethernet et uniquement sur les VLANs autres que le VLAN natif. Pour rappel, le VLAN natif est celui utilisĂ© par les protocoles comme CDP par exemple pour s’échanger les informations.



Si une agrégation est effectuée par un Trunk sur une seule et unique interface du switch raccordée au firewall, il ne sera pas nécessaire de rajouter manuellement les VLANs à l'interface (recommandé).

Cependant, si vous souhaitez réaliser la configuration d'une interface Trunk, voici la procédure suivante :

SW001#conf t
Enter configuration commands, one per line. End with CNTL/Z.
SW001(config)#interface GigabitEthernet1/0/6
SW001(config-if)#description Trunk FW SNS
SW001(config-if)#switchport trunk encapsulation dot1q
SW001(config-if)#switchport mode trunk
SW001(config-if)#no sh

On choisis dans un premier temps notre interface de notre switch, celle qui sera connectée directement à notre firewall. Puis, on ajoute une description afin de mieux indentifer dans le futur l'interface. On définit quelques spécifications autours du Trunk à savoir d'instructions encapsulation dot1q , en premier, qui va autoriser



On peux vérifier les différentes interfaces Trunk avec show interfaces trunk :

SW001#show interfaces trunk

Port    Mode       Encapsulation Status    Native vlan
Gi1/0/2   on        802.1q     trunking   1
Gi1/0/48  on        802.1q     trunking   1

Port    Vlans allowed on trunk
Gi1/0/2   1-4094
Gi1/0/48  1-4094

Port    Vlans allowed and active in management domain
Gi1/0/2   1,101,120,122,124,126,128,130,140,200,202,204,206,208,210,212,214,216,218,222,300-302,304,306,308
Gi1/0/48  1,101,120,122,124,126,128,130,140,200,202,204,206,208,210,212,214,216,218,222,300-302,304,306,308

Port    Vlans in spanning tree forwarding state and not pruned
Gi1/0/2   1,101,120,122,124,126,128,130,140,200,202,204,206,208,210,212,214,216,218,222,300-302,304,306,308
Gi1/0/48  1,101,120,122,124,126,128,130,140,200,202,204,206,208,210,212,214,216,218,222,300-302,304,306,308
ICTDCLSW001#


On n'oublie pas de réaliser l'enregistrement de la configuration :

SW001(config)#exit
SW001#cop r s
	*Destination filename [startup-config]?
	*Building configuration...
	[OK*]*
SW001#


À noter que le VLAN doit ĂȘtre crĂ©Ă© uniquement sur le switch au prĂ©alable (Cisco, HP, Extreme...). Le firewall ne publie pas le VLAN (on garde ce rĂŽle pour le Switch 😉) !


Création du DSwitch avec VMware

Passons d'Ús à présent à la configuration complÚte afin d'accueillir nos différentes interfaces rattachées aux VLANs créés sur le Switch Cisco.


Créer le "Distributed Switch" (DSwitch) sur le VCSA

Afin de proposer aux VM le réseau VLAN, il est important de créer un switch virtuel distribué afin de permettre la distribution des VLANs par le biais de plusieurs interfaces virtuelles dédiées.

Dans Mise en rĂ©seau, sĂ©lectionnez votre Datacenter (ici : VemoTech) et effectuer un clic droit, puis Distributed Switch > Nouveau Distributed Switch :




Choisissez un nom pour le DSwitch, et spĂ©cifiez la version ESXi de celui-ci :




Les fonctionnalitĂ©s et amĂ©liorations des Distributed switch en version 6.6.0 est intĂ©ressant comme l’apprentissage MAC, mais encore en version 6.5.0 l’amĂ©liorations de la mise en miroir du port et en version 6.0.0 la prise en charge du « Network I/O Control version 3 Â» et de l’écoute IGMP/MLD.




Si jamais dans le futur, vous rĂ©alisez une upgrade du VCSA, une migration de la version du DSwitch sera nĂ©cessaire 😉


On souhaite avoir, par dĂ©faut, 4 liaisons montantes, on laisse actif le contrĂŽle rĂ©seau E/S et on dĂ©coche l’option « CrĂ©er un groupe de ports par dĂ©faut Â» : nous crĂ©erons plus tard manuellement nos groupes de ports :




Et voilĂ  ! Notre DSwitch est dĂ©sormais crĂ©Ă© :




Ajouter le DSwitch sur le(s) serveur(s) ESXi

Il est nĂ©cessaire de faire connaitre de DSwitch crĂ©Ă© sur le vCenter aux diffĂ©rents serveurs ESXi. Effectuez un clic droit sur le DSwitch crĂ©Ă© en question, puis Â« Ajouter et gĂ©rez des hĂŽtes Â» :




Dans ce cas de figure, on souhaite ajouter un serveur ESXi 6.7. SĂ©lectionnez l’option « Ajouter des hĂŽtes Â» :




Cliquez ensuite sur « Nouveaux hĂŽtes Â» afin d’ajouter le(s) serveur(s) ESXi qui recevrons le DSwitch :




Sélectionnez une liaison montante qui sera rattachée. Cette liaison sera la carte réseau (NIC) du serveur connecté au Switch, pour l'agrégation des VLANs avec le Trunk.

Cliquez sur le bouton « Attribuer une liaison montante Â» :




DĂ©finissez ensuite l’option d’attribution de la liaison sur « Automatique » :




Ignorez l’attribution des adaptateurs VMKernel. Ignorez Ă©galement la migration du rĂ©seau des machines virtuelles existantes. Cliquez sur « Terminer » afin de prendre en compte les modifications.




En se rendant dans les propriĂ©tĂ©s du DSwitch, puis dans l’onglet « HĂŽtes », nous distinguons bien que le serveur ESXi est rattachĂ© :




CrĂ©ation de l’interface Trunk de diffusion des VLANs crĂ©Ă©s sur le Switch

Il est nĂ©cessaire de crĂ©er une interface qui va permettre de distribuer les tags des VLAN crĂ©Ă©s sur le switch Cisco. Ă‰tant donnĂ© que nos VLAN seront crĂ©Ă©s sur le switch Cisco et que celui-ci dispose d’un port configurĂ© en Trunk, il est nĂ©cessaire de crĂ©er une jonction VLAN afin de faire connaitre la plage des VLANs crĂ©Ă©s.


Sur la console VCSA, effectuez un clic droit sur le DSwitch prĂ©cĂ©demment crĂ©Ă© afin de crĂ©er une nouvelle interface, puis « Groupe de ports distribuĂ©s » puis « Nouveau groupe de ports distribuĂ©s
 » :




SpĂ©cifiez un nom d’interface qui permettra d’identifier le VLAN (ici « TRUNK Â»). SpĂ©cifiez comme type de VLAN « Jonction VLAN Â» et laissez la plage de jonctions VLAN par dĂ©faut.




Validez les modifications. Votre interface pour le Trunk est dĂ©sormais crĂ©Ă©e ! đŸ« 



Création de l'interface sur le VMware vCenter (VCSA)

Une fois que notre DSwitch a bien été créé & configuré, nous allons poursuivre dans la configuration de VMware, plus précisément la création de groupe de port sur le VCSA. Sur notre "Distributed Switch", clic droit + "Groupe de ports distribués" > "Nouveau groupe de ports distribués..."




SpĂ©cifiez le nom correspondant au nom du VLAN. Assurez vous de respectez la mĂȘme syntaxe (mĂȘme nom de l'interface en se rĂ©fĂ©rant toujours sur le classeur Excel (Matrice RĂ©seaux) :




Renseignez l'ID du VLAN créé dans la partie VLAN > Type de VLAN = VLAN > ID du VLAN = 10 :




Terminer l'opération, l'interface est créée.




L’interface VLAN avec l'ID 10 a Ă©tĂ© crĂ©Ă©e sur le VCSA :




Création de l'interface VLAN sur le firewall

Avant tout, il est nécessaire de créer les interfaces qui seront trunkée sur une interface privée du pare-feu, qui cette derniÚre sera connectée au switch Cisco.

Rendez-vous dans CONFIGURATION > RÉSEAU > Interfaces, et la liste des interfaces du pare-feu apparait. SĂ©lectionnez l’interface qui servira de Trunk (par exemple « trunk_agg ») et cliquez sur Ajouter > VLAN > Pour « trunk_agg » :


Renseignez le nom de l’interface VLAN, l’ID de ce VLAN et dĂ©finissez l’interface comme Ă©tant interne au pare-feu (puisque dans notre cas nous souhaitons crĂ©er un rĂ©seau protĂ©gĂ© qui sera distribuĂ© par le SNS). Dans la partie « Plan d’adressage », dĂ©finissez l’adresse de passerelle du rĂ©seau.



Plusieurs informations à compléter :

  • Nom de l'interface du VLAN (respectez le mĂȘme nom) : ici vlan_id_10,
  • Commentaire : descriptif de l'interface VLAN (ressources qui y'a derriĂšre),
  • Interface parente : "in",
  • Identifiant : ID du VLAN (ici : 10),
  • Cette interface est : INTERNE (car le trafic proviendra du firewall),
  • Plan d'adressage fixe : @IP de la GW pour ce rĂ©seau + masque CIDR


Il est possible de crĂ©er d’autres VLAN sur une seule et mĂȘme interface physique afin d’en faire un Trunk, avec une configuration supplĂ©mentaire Ă  rĂ©aliser sur le Switch 😉

Niveau DĂ©butant

Technologies utilisées :

Proposer une modification
Antoine
Par Antoine
Rédigé le Jeudi 04 Janvier 2024