Discussion :

[azier]

Bonjour à tous et à toutes,

Je m'exerce au découpage de réseau. J'aimerai avoir votre avis :

Au sein d'une entreprise, il existe 3 départements : Marketing, Production et développement.

A partir de ces départements, j'ai créé des sous-réseau :

-Dans mon premier sous réseau(Marketing), il y a 91 machines (30 pc + 6 imprimantes et 55 pc fixe)

-Dans mon deuxième sous réseau(Production), il y a 106 machines (2 serveurs + 20 serveurs pour de la diffusion + 6 serveurs pour des ressources communes + 70 pc fixe + 8 imprimantes)

Dans mon troisième sous réseau(développement), il y a que 32 pc fixe

L'IP privé n'est pas stipulé. On sait juste que le fournisseur d'accès internet donne le préfixe de réseau 190.70.1.0 / 27. J'imagine que c'est l'IP publique.

En ip privée, j'ai donc choisis 192.168.0.1 / 23

Ce qui nous donne :

-Pour le premier sous réseau : 192.168.0.1 / 23

-Pour le deuxième sous réseau : 192.168.0.127 / 25

-Pour le troisième 192.168.1.1/26

Cela paraît il correct ?

Merci à vous.

Cordialement,

Azier

[becket]

Salut,

Non, ce n'est pas correct car tes réseaux se chevauchent.

En effet 192.168.0.127 / 25 et 192.168.1.1/26 sont contenus dans 192.168.0.1 / 23

[azier]

Salut,

Non, ce n'est pas correct car tes réseaux se chevauchent.

En effet 192.168.0.127 / 25 et 192.168.1.1/26 sont contenus dans 192.168.0.1 / 23

J'ai aussi ajouté un firewall en 192.168.0.2 / 23 et un routeur en 192.168.0.1 / 23

Image un peu plus parlante :


Il suffit donc de mettre un le premier sous réseau à 192.168.0.1/25 cela règle le problème, non ? J'ai mal recopié, ce que j'avais fait. Je vais me re-pencher là dessus car j'ai un peu de mal.

Cordialement,

Azier

[becket]

Tu as 3 réseaux :

- Production
- Marketing
- Dev

Dans la solution que tu as dessinée, tu as en plus une liaison entre un routeur et un firewall

Cela fait donc 4 réseaux

Dans la pratique, a moins d'avoir une bonne raison, tu vas faire sauter ton routeur pour ne passer que par le firewall

Ce qui nous re-fait 3 Réseaux

Pour que cela fonctionne, tu dois avoir 3 ip privée sur ton firewall et une ip publique

A partir de la, le plus petit réseau que tu peux prendre pour faire tenir tes 3 réseaux est un /24

Il ne te reste plus qu'a le découper

[Invité]

Salut,

quand on fait l'IP design de LAN internes, l'algorithme consiste à dimensionner les blocs du plus grand au plus petit et faire en sorte que les différents blocs soient le plus contigus possibles (je reviendrai sur l'importance de cette remarque).

Je vais reprendre les choses en partant du bloc privé 172.16.0.0/12.
A toi de faire la même chose avec le bloc 192.168.0.0/16.

Tes différents LAN internes contiennent 106+91+32=229 hosts.
On va donc subnetter le bloc 172.16.0.0/24.

1) Réseau de Prod 106 machines

Pour adresser un tel réseau, on part de la première puissance de 2 strictement supérieure au nombre de hosts à adresser.
Donc ici, 2^7.
32-7=25.
Le réseau IP qui portera la Prod sera le réseau 172.16.0.0/25. Cet espace d'adressage couvre les adresses 172.16.0.0 à 172.16.0.127.
Attention, les adresses aux bornes 172.16.0.0 et 172.16.0.127 ne sont pas utilisables (c'est la raison pour laquelle la puissance de 2 recherchée doit être strictement supérieure).
On réserve la dernière adresse .126 pour la gateway du réseau.

2) Réseau du Marketing 91 machines

On veut adresser 91 machines.
La puissance de 2 recherchée est 2^6 et 32-6=26.
Les adresses 172.16.0.0 à 172.16.0.127 étant utilisées par la Prod, il suffit de prendre le bloc contigu 172.16.0.128/26 qui est l'ensemble des adresses 172.16.0.128 à 172.16.0.191. La dernière adresse .190 est réservée pour la gateway.

3) Réseau du Dev 32 machines

Là, cf remarque ci-dessus, la puissance recherchée est 2^6.
32-6=26.
Bloc contigu 172.16.0.192/26 qui est l'ensemble des adresses 172.16.0.192 à 172.16.0.255.
La dernière adresse .254 sera réservée pour la gateway.

Bon, voilà pour les LAN internes.

Maintenant, il faut s'occuper de la liaison du routeur avec le firewall. Ce qu'on appelle le réseau d'interco.
Dans ce genre d'infra, je recommanderais de positionner au minimun un /29.
Parce que même si c'est a priori un lien IP point-à-point, peut-être qu'un jour tu voudras positionner une sonde, un proxy, ou tout autre équipement qui nécessitera une adresse IP.

Partons donc sur un /29 et prenons l'espace d'adressage après le bloc qu'on vient de consommer, soit 172.16.1.0/29 qui est l'espace d'adressage 172.16.1.0 à 171.16.1.7. Puis mettons les premières et dernières adresses IP pour monter le lien.

Enfin, l'interco entre le firewall et ton opérateur.
Là, il te donne le pool d'adresses publiques 190.70.1.0/27.
Il y a plusieurs cas de figure, ton interco peut être sur un réseau privé.
Si non, tu vas "brûler" 2 de tes adresses publiques, la .1 et la .2 par exemple, c'est ce que j'ai représenté ici :

D'un point de vue routage, voilà ce qu'il faudra configurer, a minima :

1) Sur le switch/routeur, une default route avec 172.16.1.6 comme next hop,
2) Sur le firewall, une seule route statique 172.16.0.0/24 avec 172.16.1.1 comme next hop suffira puisque c'est l'espace d'adressage qu'on a subnetté à l'origine. Ça parait anecdotique sur une petite infra comme ça mais sur de grosses architectures, quand l'IP Design est fait à l'arrache, on n'arrive plus agréger les destinations IP. Alors ça fait grossir les tables de routage, ça mange de la mémoire, et ça impacte parfois les performances.

Enfin pour les flux vers/de l'Internet, tu vas faire du Source/Destination NAT...

Voilà

-VX

[azier]

Bonjour,

Merci d'avoir pris le temps en tout cas. Quand tu dis "l'algorithme consiste à dimensionner les blocs du plus grand au plus petit et faire en sorte que les différents blocs soient le plus contigus possibles" Cela revient à découper une pizza, on divise par 2 puis ainsi de suite.

Petite question qui me turlupine pourquoi prendre un masque / 16 ?

Il s'avère que je me suis trompé pour le réseau prod, c'est 104, mais c'est un détail.
Par contre, je ne comprends pas pour le Réseau du Marketing. On à 91 machines, la puissance de 2 recherchée ne serait pas 2^7 et 32-7=25 ? Ce qui changerait les plages d'adresse.

Edit :

192.168.0.1 / 16

1/ 1) Réseau de Prod 104 machines

2^7 = 128 32-7=25

192.168.0.0 /25 -> plage d'adresses 192.168.0.0 à 192.168.0.127 - .0 et .127 non utilisable

2/ Réseau du Marketing 91 machines

2^7= 128 32-7=25

192.168.0.128 / 25 -> plage d'adresses 192.168.0.128 à 192.168.0.255 - .0 et .255 non utilisable

3/ Réseau du Dev 32 machines

2^6 = 64 32-6=26

192.168.1.0 / 26 -> plage d'adresses 192.168.1.0 à 192.168.1.63 - .0 et .63 non utilisable

En tout cas, je commence à y voir un peu mieux, merci à toi.

Cordialement,

Azier

[Invité]

Oui, tu as raison pour le subnet du marketing, je me suis trompé, et j'en conclus que tu as compris la mécanique du subnetting, parfait :-)

-VX

[azier]

Oui, tu as raison pour le subnet du marketing, je me suis trompé, et j'en conclus que tu as compris la mécanique du subnetting, parfait :-)

-VX

Merci à toi en tout cas, par contre une petite question qui me turlupine pourquoi prendre un masque / 16 ?

[Invité]

Merci à toi en tout cas, par contre une petite question qui me turlupine pourquoi prendre un masque / 16 ?

Les réseaux privés RFC1918 sont 10/8, 172.16/12 et 192.168/16...
Le masque /16 est le bloc entier mais on s'en fiche puisque ce sera subnetté en /25 et /26...
J'aurais pu te demander de refaire l'exo en partant du 10.0.0.0/8... Là, même chose, le /8 désigne le bloc entier et tu utiliseras des subnets/25 et /26.

Ça répond à ta question ?

-VX

[azier]

Yes parfait, je vais me pencher sur le réseau d'interco et ça sera parfait. Merci beaucoup en tout cas

Bonne soirée,

Cordialement

Azier

[Invité]

Tu as 3 réseaux :

- Production
- Marketing
- Dev

Dans la solution que tu as dessinée, tu as en plus une liaison entre un routeur et un firewall

Cela fait donc 4 réseaux

Dans la pratique, a moins d'avoir une bonne raison, tu vas faire sauter ton routeur pour ne passer que par le firewall

Ce qui nous re-fait 3 Réseaux

Pour que cela fonctionne, tu dois avoir 3 ip privée sur ton firewall et une ip publique

A partir de la, le plus petit réseau que tu peux prendre pour faire tenir tes 3 réseaux est un /24

Il ne te reste plus qu'a le découper

Becket,

j'avais bien lu tes inputs mais j'ai pas eu le temps de répondre encore...

D'accord avec toi sur le fait que faire sauter le routeur et remonter tout le routage inter-vlan au niveau du fw évitera de créer un vlan d'interco supplémentaire. Après, ça relève d'une décision côté client... Savoir ce qui lui parait le plus important... Parce que plus de fw, plus de routage inter-vlans...

Là, on en est à un exercice académique (enfin je pense ) et je me suis plié au "Cahier de Charges implicite".

Dans la vraie vie, si cette infra était sensible/critique, on monterait des stacks pour tirer les VLAN internes, et on construirait un cluster de firewalls, c'est certain...

-VX

[azier]

Voilà ce que donne le schéma physique du réseau, je me suis permis de faire une folie et de rajouter une borne wifi pour les ordinateurs portables

Pour le routeur + firewall, c'est moi qui est construit ainsi il n'y avait aucune contrainte

[becket]

Becket,

j'avais bien lu tes inputs mais j'ai pas eu le temps de répondre encore...

D'accord avec toi sur le fait que faire sauter le routeur et remonter tout le routage inter-vlan au niveau du fw évitera de créer un vlan d'interco supplémentaire. Après, ça relève d'une décision côté client... Savoir ce qui lui parait le plus important... Parce que plus de fw, plus de routage inter-vlans...

Là, on en est à un exercice académique (enfin je pense ) et je me suis plié au "Cahier de Charges implicite".

Dans la vraie vie, si cette infra était sensible/critique, on monterait des stacks pour tirer les VLAN internes, et on construirait un cluster de firewalls, c'est certain...

-VX

Nous sommes absolument d'accord !