Le ping passe. Quatre paquets, zéro perte, une réponse propre en quelques millisecondes, mais l'utilisateur ne peut toujours pas ouvrir son dossier de compta. Ce genre de ticket revient souvent en support informatique : le réseau semble en pleine forme, mais une couche de sécurité invisible bloque le trafic quelque part entre le poste et le serveur. C'est ce type de situation qui m'a poussé vers les ACL Cisco, en autoformation, seul devant mes notes, sans étiquette de formateur ni certification en poche.
Petite précision avant d'aller plus loin : certains liens de cet article sont affiliés, et si vous vous inscrivez à une formation par ce biais, je touche une commission sans supplément pour vous. Ça finance mes soirées de test, rien de plus.
ACL standards, ACL étendues : deux logiques de filtrage
Une ACL, c'est un peu comme un videur à l'entrée d'une boîte : une liste de critères, et une décision binaire, on passe ou on reste dehors. Chez Cisco, le videur lit sa liste dans un ordre précis, du haut vers le bas, et s'arrête à la première ligne qui correspond au paquet. Peu importe ce qu'il y a plus bas — si une règle bloque tout en ligne un, une autorisation en ligne dix ne sert à rien. Mes bases en routage IP tenaient déjà la route avant que je m'attaque à ce chapitre ; c'est le filtrage qui me manquait, pas l'adressage.
Deux familles existent, et le choix entre elles change tout. Les ACL standards ne regardent que l'adresse IP source, avec des numéros de liste entre 1 et 99 ou 1300 et 1999 — efficace, mais grossier : on bloque tout ce qui vient d'un point donné, sans distinction. Les ACL étendues, elles, occupent les plages 100 à 199 et 2000 à 2699, et permettent de trier par protocole ou par port : autoriser le ping ICMP tout en bloquant le HTTP, par exemple. C'est ce niveau de détail dans la Formation Cisco : réseaux et systèmes qui m'a permis de comprendre pourquoi mon ticket de compta bloquait sans bloquer le ping. Les protocoles réseau eux-mêmes, ICMP, HTTP, TCP et consorts, ne sont qu'effleurés dans ce chapitre-là — largement suffisant pour lire une ACL, pas pour prétendre tout maîtriser.
Le masque générique se calcule à l'envers
Le masque générique (wildcard mask) fonctionne à rebours du masque de sous-réseau qu'on connaît tous au support. Pour un /24 classique, 255.255.255.0, le masque générique devient 0.0.0.255. L'astuce qui m'a débloqué : prendre 255.255.255.255 et soustraire le masque de sous-réseau, le résultat tombe tout seul. Une fois le déclic passé, c'est devenu un réflexe, un peu comme apprendre à passer les vitesses sans regarder le levier.
J'ai testé ça sur Packet Tracer, le simulateur gratuit de Cisco, pour ne pas risquer de faire tomber un vrai réseau en pleine journée de boulot. Le moment où le premier ping revient enfin sur une interface protégée par une ACL correctement écrite, après plusieurs essais où tout restait muet, ça vaut plus qu'un long discours sur la théorie.
Avant d'atterrir sur cette formation-là, j'avais démarré un cursus certifiant nettement plus cher, abandonné à mi-parcours parce que le rythme et le format ne collaient pas à mes soirées. Une certification n'est pas l'objectif ici — juste comprendre assez pour ne plus deviner face à un ticket ; la préparation à une certification est un chantier à part, que je ne couvre pas ici. Taoufik, un copain croisé sur un serveur Discord d'entraide, a une méthode inverse à la mienne : il ouvre la documentation officielle avant même la première vidéo d'un cours, alors que moi je préfère voir tourner l'exemple avant de lire la théorie derrière. Deux façons d'apprendre seul le soir, aucune n'a raison sur l'autre.
Filtrer au plus près de la source ou centraliser sur le cœur de réseau
Les manuels recommandent presque tous de filtrer au plus près de la source, pour économiser de la bande passante avant que le trafic indésirable ne traverse tout le réseau. Sur le papier, l'argument tient. Sur nos réseaux d'entreprise de taille moyenne, multiplier les ACL sur chaque routeur de périphérie devient vite un cauchemar à maintenir, et ça alourdit des processeurs de branche qui n'ont rien d'impressionnant. Gérer des dizaines de listes qui grandissent avec le temps, c'est aussi là qu'une formation Python concrète prend tout son sens, pour automatiser la lecture des journaux plutôt que de les parcourir ligne par ligne un soir de fatigue.
Centraliser le filtrage sur le cœur de réseau ou sur le pare-feu principal change la donne : plus de puissance de calcul, une vue d'ensemble, et une seule liste à auditer plutôt que quinze. Mon conseil tient en une phrase : filtrez en périphérie quand un seul site a un besoin de sécurité spécifique et isolé, centralisez dès que vous gérez plusieurs sites avec la même politique à appliquer partout. Pour les techniciens qui débutent sur ce terrain, apprendre à sécuriser les réseaux avec une formation Cisco évite pas mal de pièges classiques, et pour ceux qui jonglent avec plusieurs sites distants, mieux vaut d'abord maîtriser enfin le routage IP avant de vouloir filtrer chaque paquet à la source. La méthode de diagnostic elle-même, remonter du symptôme jusqu'à la règle fautive plutôt que de tout réécrire au hasard, c'est un sujet en soi que je n'aborde pas ici.
Commencer par le réseau ou par Python
Une lectrice, Vanessa Kergoat, m'a écrit récemment pour me demander si elle devait commencer par le réseau ou par Python. Elle avait déjà comparé plusieurs avis avant de m'envoyer sa question, une personne qui relit un comparatif deux fois avant de se décider. Je n'ai pas de réponse universelle sur le choix entre Python et JavaScript comme première porte d'entrée, ce comparatif existe ailleurs et mérite mieux qu'une réponse en passant. Ce qui compte davantage à mes yeux, ce sont les critères qui font qu'une formation tient la route ou pas : un français clair, des exercices ancrés dans des situations réelles de terrain, et un rythme qui survit à une semaine chargée.
À Vanessa, j'ai répondu ce que je répète à chaque technicien support qui hésite : comprendre comment un paquet circule sert tout de suite, alors qu'une variable ou une fonction Python reste abstraite tant qu'on n'a rien à automatiser avec. La Formation Cisco : réseaux et systèmes reste mon premier réflexe pour ça, malgré des passages sur les vieux protocoles un peu longs. Une fois les bases posées, une formation au langage Python permet d'attaquer les boucles, la logique conditionnelle et les premiers scripts qui parlent à une API plutôt que de tout faire à la main — pas besoin d'aller très loin pour que ça change le quotidien d'un poste support.
Retenir la bonne leçon du ticket de compta
Le ticket de compta, au final, tenait à une ACL étendue mal ordonnée sur l'interface d'entrée du routeur, rien à voir avec le câble ou la carte réseau qu'on soupçonne en premier. Comprendre ça a changé ma façon de lire un ticket bloqué. Verdict : oui, ça vaut le détour pour qui reçoit encore des tickets « ça marche pas » sans savoir par où commencer à chercher. Ce n'est pas réservé aux futurs ingénieurs réseau, et ce n'est pas non plus la formation qui rend expert du jour au lendemain. Elle donne juste les clés pour arrêter de deviner.