Fin février, j'étais seul dans la salle serveur, accroupi sur un tabouret instable devant un rack qui brassait un air chaud et sec. L'odeur métallique caractéristique de l'électronique en surchauffe me chatouillait les narines, tandis que les reflets verts des LED clignotantes dansaient sur l'écran de mon vieux PC portable. C'est là que j'ai réalisé une chose stupide : j'utilisais encore Telnet pour administrer un vieux switch de distribution. En gros, j'envoyais mon mot de passe en clair sur le réseau, comme si j'écrivais mes codes de carte bleue au dos d'une carte postale. Il était temps que je me mette sérieusement à la page avec une formation Cisco digne de ce nom.
Pourquoi j'ai arrêté de faire confiance à Telnet
Quand on débute en informatique à côté de Rennes, on apprend souvent sur le tas. On se dit que tant que ça marche, c'est l'essentiel. Mais Telnet, c'est le vestige d'une époque où tout le monde il était beau, tout le monde il était gentil sur le réseau local. Aujourd'hui, n'importe qui avec un petit logiciel de capture peut intercepter vos identifiants. Pour passer au Secure Shell (SSH), j'avais besoin de comprendre non seulement la commande, mais toute la logique de cryptographie qui tourne derrière. Je ne voulais pas d'un cours théorique à deux mille euros dans un centre de formation guindé ; je cherchais quelque chose de concret, en français, que je puisse suivre le soir après mes journées de support.
C'est là que j'ai déniché cette formation Cisco axée sur la pratique. Ce qui m'a plu tout de suite, c'est que l'instructeur ne parlait pas comme un chercheur du CNRS. Il expliquait les concepts avec des analogies simples. Par exemple, configurer SSH, c'est comme remplacer une porte en bois par un sas de sécurité blindé où chaque visiteur doit présenter une clé unique et cryptée. Avant de plonger dans le dur, j'ai dû vérifier si mon matériel suivait. Pour faire du SSH version 2, qui est la norme de sécurité actuelle, il faut une version de Cisco IOS au moins égale à 12.1(3)T. Si votre équipement est plus vieux, vous êtes bloqué sur la version 1, qui est presque aussi trouée qu'une passoire.
Ma méthode d'apprentissage : un soir à la fois
Mi-avril, j'ai commencé à attaquer les modules sur la configuration VTY et les clés RSA. La formation est structurée de manière à ce qu'on ne se sente pas submergé. On commence par les bases : donner un nom d'hôte à l'appareil et définir un nom de domaine. Ça a l'air anodin, mais sans ça, le routeur refuse de générer les clés de chiffrement. C'est un peu comme essayer de faire un passeport sans avoir d'adresse fixe ; l'administration (ici, l'IOS Cisco) vous envoie balader.
J'ai passé pas mal de temps à comprendre pourquoi on recommande aujourd'hui une longueur de clé RSA de 2048 bits. Le cours expliquait que c'est le standard de robustesse actuel. En dessous, on prend des risques inutiles. Au-dessus, on peut ralentir certains vieux processeurs de switchs. C'est un équilibre à trouver. Pendant que j'apprenais à comprendre le fonctionnement des serveurs DHCP grâce à une formation Cisco en parallèle, je me rendais compte que chaque brique de sécurité que j'ajoutais rendait mon réseau un peu moins vulnérable aux bêtises que les utilisateurs pourraient faire sans le vouloir.
Le moment où j'ai failli tout casser
Après environ trois semaines de labs intensifs sur Cisco Packet Tracer, je me suis senti assez confiant pour tester ça en production sur un routeur de test. C'est là que le drame est arrivé. J'étais tellement concentré sur les commandes crypto key generate rsa que j'ai oublié de configurer correctement les lignes VTY. J'ai activé le transport input ssh, mais j'ai fait une erreur dans ma liste de contrôle d'accès (ACL). En un clic, j'ai bloqué mon propre accès IP.
Le sentiment est immédiat : une chute de pression dans l'estomac, les mains qui deviennent moites. Le terminal ne répond plus. On tape frénétiquement sur Entrée, mais le curseur reste désespérément immobile. Heureusement, la formation insistait lourdement sur la sécurité physique : j'avais mon câble console (le fameux câble bleu RJ45 vers USB) à portée de main. Sans cet accès physique, j'aurais été bon pour un aller-retour au bureau en pleine nuit. C'est une leçon que je n'oublierai jamais : ne jamais verrouiller la porte de l'intérieur sans avoir vérifié que vous avez le double des clés dans la poche. Pour ceux qui galèrent avec ces concepts, je recommande d'aller voir comment comprendre le rôle des ACL avec cette formation Cisco pour le support, ça évite bien des sueurs froides.
Au-delà de la config : le piège des clés orphelines
C'est ici que mon avis diverge un peu des guides classiques qu'on trouve partout. La plupart des formations vous disent : "Générez une clé, activez SSH sur le port 22, et voilà, vous êtes protégé". C'est faux. Ou du moins, c'est incomplet. Au fil de mes exercices, j'ai réalisé que la plus grosse faille n'est pas technique, elle est humaine. Limiter l'accès aux seules clés SSH est une erreur critique si vous ne gérez pas rigoureusement la rotation et la révocation des clés orphelines sur vos équipements.
Imaginez un collègue qui quitte l'entreprise. Si sa clé publique est toujours autorisée sur vos switchs de cœur de réseau, c'est une porte dérobée qui reste ouverte. La formation m'a appris à nettoyer mes configurations régulièrement. On ne se contente pas d'installer SSH une fois pour toutes ; on met en place une routine. Il faut vérifier qui a accès à quoi et supprimer les entrées inutiles. C'est un travail ingrat, mais c'est ce qui fait la différence entre un technicien qui applique des recettes de cuisine et un pro qui sécurise vraiment son infrastructure.
Mon verdict sur cette formation Cisco
Un dimanche pluvieux en mai, j'ai enfin terminé la sécurisation complète de notre petit parc à Rennes. Ce que je retiens de ces quelques mois d'auto-formation, c'est qu'il ne faut pas avoir peur de la ligne de commande. Oui, c'est austère au début. Oui, on se trompe de syntaxe. Mais une fois qu'on a compris que ip ssh version 2 est notre meilleur allié, on dort beaucoup mieux.
Est-ce qu'un débutant total peut s'y mettre ? Oui, à condition d'aimer bidouiller. Ce n'est pas une formation où on regarde des vidéos en mangeant des chips. Il faut pratiquer, faire des erreurs, se bloquer l'accès et trouver comment revenir en arrière. Je n'ai pas encore passé la certification CCNA, et honnêtement, je ne sais pas si j'en ai besoin tout de suite. Ce que je sais, c'est que mon réseau est maintenant bien plus robuste qu'avant. Une fois que j'ai eu sécurisé mes accès, j'ai d'ailleurs commencé à regarder comment mettre en place une redondance réseau simple avec une formation Cisco, parce que la sécurité c'est bien, mais si le switch tombe, personne ne travaille plus, SSH ou pas.
Si vous hésitez encore, mon conseil de collègue est simple : téléchargez Packet Tracer, trouvez une formation en français qui ne vous prend pas de haut, et commencez par sécuriser vos accès. C'est la base de tout. Le reste (le routage complexe, les VLANs, l'automatisation) viendra naturellement une fois que vous aurez les clés du château bien en main.