Discussion :

[musicman]

Bonjour,
Je suis assez novice en réseau, j'ai quelques notions mais je butte souvent sur des incompréhensions de paramétrages. Après plusieurs recherches, je n'ai toujours pas saisi de façon claire la marche à suivre pour que ça fonctionne tout le temps)
Je vous explique ce que je veux faire, comment je l'ai fai, et j'aimerais savoir si ma démarche est bonne ou si il y a mieux. Merci d'avance.

Dans mon métier, il arrive que j'utilise des appareils en réseaux, ce ne sont pas des ordis, juste des machines qui, via le port ethernet, me permette de les contrôler à distance (dans un réseau local).
Dans tous ces appareils, il y a plusieurs familles (j'entends par là : plusieurs appareils A, plusieurs appareils B, plusieurs appareils C). Et le nombre varie selon la journée de travail.

Pour ne rien mélangé, j'ai décidé arbitrairement d'allouer une ip fixe pour chaque appareil de mon stock de la façon suivante :
_ Famille A : 192.168.0.X (plage de 192.168.0.1 à 192.168.0.254, avec un masque de sous-réseau en 255.255.0.0)
_ Famille B : 192.168.1.X (plage de 192.168.1.1 à 192.168.1.254, avec un masque de sous-réseau en 255.255.0.0)
_ Famille C : 192.168.2.X (plage de 192.168.2.1 à 192.168.2.254, avec un masque de sous-réseau en 255.255.0.0)

Tout ce petit monde est relié entre eux via des switch simple (non manageable), et je récupère une sortie de ces switch pour le mettre sur un routeur auquel mon ordi est branché.

Le routeur à pour ip :
192.168.0.254
255.255.0.0

Mon ordi est en mode DHCP donc il prend une adresse que lui alloue le routeur (du même type que ce dernier ex : 192.168.0.100 - 255.255.0.0).
De cette façon je vois toutes mes machines sur les différents logiciels (un logiciel par famille d'appareils).

Voilà ce que j'ai fait et qui apparemment fonctionne mais je ne suis pas sûr de moi non plus.
L'idée est d'avoir 1 sous-réseaux pour chaque famille (3 sous-réseaux), qui transit sur 1 seul réseau auquel j'ai accès avec mon ordi.

Est-ce que les masque que j'utilise pour mes appareils sont bon? ou faut-il les passer en 255.255.255.0 pour différencier chaque sous-réseaux? (j'ai l'impression qu'en faisant comme mon exemple, je n'ai pas 3 sous réseaux mais 1 seul réseau pouvant comporter quelques 6000 adresses)
Comment s'y prend t-on pour une architecture de ce type? (si mon exemple comporte des défaillances)
Il y a-t-il des choses importantes à configurer dans le routeurs?

Merci de m'avoir lu.

Rémy

[becket]

Salut,

Réponse courte :
Baser la segmentation de ton réseau uniquement sur la configuration est une illusion. Et de fait
Lorsque tu écris 192.168.0.1/255.255.0.0 ou 192.168.1.0/255.255.0.0, c'est exactement le même réseau.

Si tu voulais segmenter, tu dois

1 - Commencer par changer le masque -> 255.255.255.0
2 - Utiliser des VLANS (
3 - Utiliser un routeur avec une path ( vlan + ip + masque ) dans chaque réseau pour permettre la communication entre tous ces devices ( -> un firewall non superflu ) et vers internet

[musicman]

Bonjour Becket et merci pour ta réponses.

Donc c'est bien ce qu'il me semblait, je n'ai qu'un seul réseau.
Le masque doit être changé pour tout le monde? (appareils, routeurs, ordi?) oui je sais j'ai de grosses lacunes (on va dire surtout des incertitudes).

Pour info, il n'y a aucune connexion internet dans ce réseaux et j'ai donc viré tous les firewall du routeur et ordi. Je suis toujours sur place avec mon ordi quand il s'agit d'avoir une visu sur mes appareils.

Le routeur utilisé pour le moment est un TP-Link Archer C2 AC750. Je ne sais pas si il peut gérer plusieurs VLANS.
Après certaines recherches rapides, il faudrait que chaque famille d'appareils soit reliés sur un switch manageable (qui lui gère les différents vlans) et qui serait relié à mon routeur?

Rémy

[becket]

- Le masque doit être changé pour tout le monde
- tu dois avoir une adresse ip de passerelle différente dans chaque réseau ( 192.168.0.254, 192.168.1.254, 192.168.2.254 ... par exemple, etc )

- Le mécanisme de vlan est assez simple à expliquer :

Image que tu possèdes 2x 5pc et 2 switch
- Chaque groupe de pc étant branché sur "son" switch. On a dans ce cas, deux réseaux physique qui ne peuvent pas communiquer entre eux.
- Dans cette situation, on a besoin d'un routeur pour passer proprement d'un réseau à un autre ( si on rajoutait un switch entre les deux, on aurait plus qu'un seul réseau physique )

Si maintenant on veut faire la même avec un seul switch ( lorsqu'il permet de le faire )
- on crée alors un vlan supplémentaire ( il existe forcément un vlan par défaut ), on assigne un certain nombre de portes à ce nouveau vlan et on se retrouve dans la même situation que si l'on avait avec deux switch physiques

L'avantage du switch avec des vlan, c'est que l'on est pas obligé d'acheter autant de switch que de réseau que l'on veut créer.


Une fois que tu as compris cela, il est facile de comprendre que pour faire communiquer deux switch éloignés l'un de l'autre physiquement et que l'on veuille faire passer plusieurs vlans, il faut que la liaison entre les deux fasse la différence entre chaque réseau.

C'est possible grace à un système de tag que le switch va ajouter pour que l'on ne mélange pas le trafic d'un réseau avec celui d'un autre

[musicman]

Bonjour Becket,
Merci pour ces précisions.
Je me suis renseigné sur ce que tu m'as di et je pense avoir compris plus de choses. Désolé de ne pas avoir répondu avant mais le travail....
Donc pour résumer (si j'ai bien compris), je dois intercallé un switch manageable entre tous mes réseaux, créer un vlan sur ce switch pour chaque réseau, et "ponté" chaque vlan sur un nouveau vlan commun pour que je puisse avoir chaque réseaux sur mon ordi de controle (avec des tag).
Bref, une dernière question : J'ai 3 réseaux différents que je veux controler sur mon ordi, penses-tu qu'un switch TP-Link TL-SG105E ferait l'affaire?
J'ai cru comprendre qu'il était manageable, mais étrangement, je trouve des infos sur le net qui di qu'il y a des versions non manageable, pour un même produit, même référence, je suis un peu perdu.
Je cherche un petit produit pas trop cher et simple pour un novice pour le moment.
Merci encore de toute ton aide.
Bonne journée

[becket]

Il y a du vrai et du faux dans ce que tu énonces, donc on va faire le tour :

Tout d'abord, Effectivement avec un switch "vlan" lorsques tu configures une porte dans un vlan particulier et que tu y branches un switch non manageable, alors toutes les portes du switch non nanageable feront partie de ce vlan particulier.

Par contre pour autoriser la communication entre ces vlans, tu ne dois surtout pas "ponter" les vlan entre eux mais tu dois placer un routeur qui aura une connexion dans chaque vlan.

La solution la plus simple consiste à avoir une carte réseau sur le routeur pour chaque vlan. La solution la plus utilisée sera de créer des sous interfaces tagués sur le routeur et de présenter cette interface à un port configuré en trunk ( qui laisse passer le trafic en tagué ) sur le switch vlan.

Par rapport au matériel dont tu parles, la premiere référence que j'ai trouvé parle effectivement de vlan et de management. N'ayant jamais utilisé ce matériel, je ne saurait vraiment pas te dire.

Dans le doute, n'hésite pas à prendre contact avec le vendeur.

Par contre, la facilité de mise en place va beaucoup dépendre l'interface et de comment certains concept sont mis en oeuvre.

J'ai déjà rencontré des interfaces de configuration sur lesquelles j'ai du réfléchir à deux fois avant d'appliquer mes changement parce que la façon de présenter les choses n'est pas du tout, mais alors pas du tout standardisé.

[musicman]

Bonjour,
Ok je comprend certaines choses de mieux en mieux mais le boulet que je suis est tombé sur des articles. Je voudrais savoir si avec un switch de type L3 on ne pourrait pas se passer de routeur? Je te met un lien de chez TP-Link qui explique, il me semble, ce que je veux faire :
https://www.tp-link.com/fr/support/faq/887/

Aussi, est-ce seulement une bonne chose de tout vouloir séparé? Je sais que ça fonctionnait en mode un gros réseaux pour pleins de machine (avec masque 255.255.0.0) mais est-ce pertinent?

Je te joins un fichier excel (désolé d'avoir fais ça là dedans mais c'est plus pour être sur que tu ais la possibilité de le modifier) où il y a un synoptique de ce que je veux faire exactement avec certaines contraintes (il y a 2 Feuilles).

Ce que je n'ai pas trop compris quand tu me dis d'utiliser des routers, c'est comment tu les branches? Chaque réseau arrive sur le LAN de chaque routeur et tous les routeurs viennent sur un switch? Encore des lacunes quoi.......
Merci encore

[becket]

Bonjour,
Ok je comprend certaines choses de mieux en mieux mais le boulet que je suis est tombé sur des articles. Je voudrais savoir si avec un switch de type L3 on ne pourrait pas se passer de routeur? Je te met un lien de chez TP-Link qui explique, il me semble, ce que je veux faire :
https://www.tp-link.com/fr/support/faq/887/

Un switch l3 peut jouer indifféremment le role de routeur ou de switch. Donc oui, cela peut le faire.
La question que je me pose, c'est est ce que ce matériel propose un serveur dhcp.
Si oui, c'est cook
Si non, c'est chiant, il faut faire de la configuration supplémentaire en plus d'implémenter un serveur dhcp

Aussi, est-ce seulement une bonne chose de tout vouloir séparé? Je sais que ça fonctionnait en mode un gros réseaux pour pleins de machine (avec masque 255.255.0.0) mais est-ce pertinent?

Ne connaissant pas l'infra, c'est compliqué de porter un jugement sur la pertinence de mettre en place une segmentation.
La question que tu dois te poser, c'est si cela fait sens d'interdire une communication entre deux device de réseaux différents.
Si oui, alors, la segmentation à un role à jouer
Si non, C'est une couche de complexité supplémentaire inutile ( le plus souvent )

Ce que je n'ai pas trop compris quand tu me dis d'utiliser des routers, c'est comment tu les branches? Chaque réseau arrive sur le LAN de chaque routeur et tous les routeurs viennent sur un switch? Encore des lacunes quoi.......
Merci encore

Comment expliquer simplement ? Parce que vu de l'extérieur, rien ne ressemble plus aux prises réseaux d'un switch aux prises réseau d'un routeur.

Sans rentrer dans les détails, c'est essentiellement une histoire de configuration, la plupart du temps, un prise peu être affecté soit à un travail uniquement de switching ou à un travail uniquement de routage.

En mode switch :

• le matériel va vérifier si il connaît la mac-adresse de destination ( niveau 2 ) en consultant sa table de commutation (cette table lie un mac adresse avec une interface / porte)
• Si elle connaît déjà cette mac, le matériel va envoyer ce qu'elle a reçu vers le port en question. Sinon, elle va l'envoyer sur toutes les portes

Lorsque l'on a plusieurs vlans, tout se passe comme si on avait plusieurs tables de commutation.

En mode routeur

• le matériel va consulter sa table de routage et vérifier si il connaît une route pour l'adresse ip de destination (niveau 3) . ( Cette table lie des réseaux ip/masque et des interfaces de sortie )
• Si il connaît une route, il va utiliser l'interface "routeur" associée à cette route pour cette envoyer ce qu'il a reçu ( il va également modifier l'adresse mac de destination ). Si il ne connaît pas de route, il va utiliser sa route par défaut

Pour faire un raccourci grossier, si une interface possède une adresse ip, c'est une interface "routeur", si une interface appartient à un ou plusieurs VLANs ( mais pas d'ip ) alors c'est une interface "switch".

Cas concret :

Imaginons que tu branche le cable bleu ( 192.168.1.0 ) sur la porte 1 du switch L3
Imaginons que tu branche le cable orange ( 192.168.2.0 ) sur la porte 1 du switch L3
Imaginons que tu branche le cable rouge ( 192.168.3.0 ) sur la porte 1 du switch L3

Tu vas configurer la porte 1 un en mode l3 avec une adresse ip dans ce réseau : 192.168.1.1/24
Tu vas configurer la porte 2 un en mode l3 avec une adresse ip dans ce réseau : 192.168.2.1/24
Tu vas configurer la porte 3 un en mode l3 avec une adresse ip dans ce réseau : 192.168.3.1/24

Et donc donner une adresse dans le réseau 192.168.1.0/24 dans tout ce qui est repris avec du cable bleu avec comme default gw : 192.168.1.1
et ainsi de suite

...

[musicman]

D'accord.
Merci pour tous ces éclaircissements.

Pour l'option L3, je peux voir si ce modèle conviendrait car j'en ai en ma possession : Netgear GS724TPv2

Sinon par curiosité, si on prend l'exemple que tu m'avais donné au début, la marche à suivre serait : ??????
_ un réseau ampli - 192.168.1.x/24 - va sur un routeur n°1 LAN 192.168.1.0/24 - sort du routeur WAN 192.168.0.1/24
_ un réseau hf - 192.168.2.x/24 - va sur un routeur n°2 LAN 192.168.2.0/24 - sort du routeur WAN 192.168.0.2/24
_ un réseau DANTE - 169.254.x.x/16 - va sur un routeur n°3 LAN 169.254.0.1/16 - sort du routeur WAN 192.168.0.3/24
_ les 3 WAN vont sur un switch non manageable et je branche mon ordi 192.168.0.4/24 sur ce switch et là j'ai tout le monde ???

En tout cas merci pour ta patience, tes explications. Ce monde est vraiment nouveau pour moi et ça à l'air très intéressant.

Bonne soirée

[becket]

... Euh Ton switch n'est pas du tout L3

Par contre, je ne comprend pas pourquoi dans ton exemple tu as indication "routeur WAN"

_ un réseau ampli - 192.168.1.x/24 - va sur un routeur n°1 LAN 192.168.1.0/24 - sort du routeur WAN 192.168.0.1/24

• un réseau ampli - 192.168.1.x/24 -> OK
• va sur un routeur n°1 LAN 192.168.1.0/24 -> On configure la porte ( ou l'interface ) 1 l'adresse ip 192.168.1.1/24
• - sort du routeur WAN 192.168.0.1/24 -> ???

... etc etc

Une fois que l'interface est crée, une route vers ce réseau est crée automatiquement dans la table de routage
Une fois que tous les interfaces sont configurés, le switch L3 ( ou le routeur ) connaît "tout" le réseau et tout les devices peuvent parler ensembles

Il est possible ( cela dépend du matériel ) que tu sois obligé de créer une interface vlan L3 et que assigne l'adresse à cette interface vlan l3. Le lien entre le vlan et l'interface vlan l3 doit aussi se faire

[musicman]

Alors j'ai essayé de prendre plus de temps pour mieux comprendre les différentes façons de procéder.

Déjà je m'étais planté de modèle de switch que j'avais à dispo, c'est un Netgear GS716T mais je ne pense pas que ça change quoique ce soit.
Mon message précédent ne contient que des mauvaises compréhensions de ma part et donc ne sert à rien.

Pour ce qui serait d'un switch L2+/L3 pour faire ce que je veux, que me conseillerais-tu?
Est-ce que ce produit ferais l'affaire? : Netgear GS108Tv3
Netgear annonce qu'il est L2+/L3 il me semble, mais pourrais-je, par exemple, passer 7 réseaux locaux (1 sur chaque port) et sur le dernier port, avoir un réseau local commun?

Merci encore

[becket]

Re,

En ce qui concerne le netgear, effectivement, il y a le strict minimum pour pouvoir donner l'appellation L3.
Pour ta topologie entre mettre ce Netgear et faire du L3 ou faire un grand réseau local, il n'y a pas beaucoup de différences.
En effet, ce switch ne fait pas serveur dhcp et ne donne pas la possibilité de faire des ACL ( liste de contrôle d'accès ) donc a partir du moment ou tout est configuré, tu ne peux pas interdire le trafic entre tous tes réseaux.

Si je devait choisir du matériel pour cette topologie ? Le choix va essentiellement dépendre du contexte de la priorité

- La disponibilité
- Le coût
- La facilité d'utilisation / de configuration
- Besoin spécifiques ( bruit, fonctionnalité nécessaire ... etc )

Personnellement et pour un besoin personnel dans ce cas de figure, j'aurais tendance à partir sur un truc pas cher avec un max de fonctionnalité.


J'ai essayé récemment du mikrotik avec un switch 4 port SFP+ 10Gb et un Copper 1 Gb avec des fonctionnalités réservées normalement aux pros pour moins de 150€.
Donc je partirais sur quelque chose de silencieux comme : Mikrotik RB4011iGS+RM

- 10 portes gigabit
- 1 SFP+ 10gb
- Serveur DHCP
- VLAN
- Routage statique
- Routage dynamique
.. etc etc


Et tout cela pour à peine 200€

[musicman]

Bonjour,

Alors ce qu'il y a d'intéressant ici, c'est que tu arrives avec des questions, et quand tu penses avoir mieux compris ce que t'es venu chercher, ben tu repars avec 4 fois plus de questions

J'ai fait rapidement 2-3 recherches sur ce que tu m'as dit par rapport aux faiblesses du GS108Tv3.
Je pense, pour que tout soit clair pour nous 2, repartir sur un exemple type de ce que j'ai besoin. Je vais prendre un exemple différent du miens (par rapport aux machines utilisées) :

Je suis un prestataire pouvant fournir du matériel de bureautique sur des évènements.
J'ai dans mon stock :
_ 200 imprimantes
_ 200 photocopieurs
Pour des raisons soit matériels, soit de facilité, chaque appareil a une IP fixe. Toutes les imprimantes sont sur 192.168.1.0/24 et les photocopieurs sur 192.168.2.0/24. Chaque appareil est équipé d'une étiquette indiquant le numéro de son adresse IP pour une facilité visuelle d'installation et de maintenance.
Chaque évènement est différent, il se peut que je doivent fournir 10 imprimantes et 1 photocopieur ou alors 50 imprimantes et 30 photocopieurs.
Quand je suis sur le lieu de prestation, j'installe le matériel demandé par le client et je dois faire communiquer toutes les imprimantes et photocopieurs avec tous les ordi des clients (choses qu'on ne fait jamais bien entendu mais c'est pour l'exemple). Les ordi clients étant branchés sur un switch relié a un routeur qui leur attribut une adresse DHCP en 192.168.0.0/24.
En gros, n'importe quel ordi client doit pouvoir envoyer ou récupérer une information de n'importe quelle imprimante ou photocopieur sur place. Aucune connexion internet n'est utilisée, on fonctionne en circuit fermé.

1ère question :
Dans cette configuration, est-ce que le GS108Tv3 est suffisant ?

2ème question :
Dans cette configuration, est-ce nécessaire de travailler avec plusieurs réseaux? N'est-il pas plus simple de fonctionner avec un réseau unique en 192.168.0.0/16?

Je sais que pour avoir essayé, la config en 192.168.0.0/16 fonctionne facilement. Mais je ne sais pas à quel point je risque d'avoir des soucis, c'est clairement de l'ignorance.

Je vais attendre ta réponse déjà sur ces 2 questions avant de t'en posé une 3ème (qui j'espère, pour ta patience, sera la dernière).

Merci

[becket]

1 - Suffisant oui, si tu utilises un serveur dhcp sur le coté et si tu n'as besoin que d'un seul serveur dhcp pour tout tes lans.
Ce qui semble être le cas de ton exemple avec des photocopieurs / imprimantes

2 - Dans ces conditions, comme je l'ai déjà expliqué, il n'y a que peu d’intérêt d'avoir une solution routé par rapport à un grand LAN en /16.

[musicman]

1 - Suffisant oui, si tu utilises un serveur dhcp sur le coté et si tu n'as besoin que d'un seul serveur dhcp pour tout tes lans.
Ce qui semble être le cas de ton exemple avec des photocopieurs / imprimantes

Dans ce cas, si j'ai bien compris, notre serveur dhcp sera le routeur tout bête que j'ai mis sur les ordi clients?

2 - Dans ces conditions, comme je l'ai déjà expliqué, il n'y a que peu d’intérêt d'avoir une solution routé par rapport à un grand LAN en /16.

Donc la solution qui fonctionnerait bien et la moins onéreuse serait un grand LAN en /16??

[becket]

A partir du moment ou je n'avez pas besoin de contrôler/autoriser le trafic entre les différents intervenants.
La solution d'un grand lan est la plus facile et la moins onéreuse.

[musicman]

ok merci pour ces infos.

Par contre même si cette configuration est ce que je vais avoir dans 95% des cas, je me suis aperçu qu'il va falloir séparer certains réseaux pour les 5% restant....
Donc je pense essayer avec la config GS108T même si c'est plus prise de tête.


Une dernière question bête :
Sur un post du tout début, tu me disais, il me semble, qu'avec un switch manageable (donc plusieurs vlan pour mes réseaux) vers un lien trunck sur un routeur et l'ordi brancher sur l'ordi, ça pourrais marcher (je me trompe peut-être). Dans ce cas, quel type de routeur utiliser? As-tu un modèle 1er prix à conseiller?

Merci
Et promis j'arrête de t'embéter

[becket]

Pour le moins cher possible, tu peux tout à fait réutiliser un vieux pc et le transformer en routeur avec du Linux / Bsd ( Il existe même des versions spécialisée routeur/firewall qui sont très bien faites )

Sinon, il te reste les solutions "toutes faites", ce que je trouve de moins cher sur un site marchant, c'est de l'ubiquiti. Je n'en ai jamais utilisé personnellement mais les commentaires/avis que j'ai pu trouvé sur internet semblent être assez positif.

Personnellement, j'aurais tendance à partir sur du pfsense que je connaît bien mais ce n'est pas la solution la plus simple que je connaisse

[musicman]

D'accord merci pour tout.

J'ai regardé la marque Ubiquiti, il y a bien sûr plusieurs modèles. Même si ce n'est pas la solution que je vais choisir je pense, penses-tu que le modèle "EdgeRouter X" suffirait?
Merci encore.

[becket]

il semblerait bien que oui