Trois modes. C'est tout ce que propose Cisco pour réagir quand une adresse MAC indésirable se présente sur un port du réseau, et la fonctionnalité de sécurité qui gère ça, le port security, tient entièrement dans ces trois réponses possibles. La plupart des techniciens débutants que je croise n'en retiennent qu'une, en général la plus radicale, et elle finit par se retourner contre eux dans la semaine qui suit.
Un collègue avait branché un vieux routeur personnel sur une prise murale pour mieux capter le wifi dans son coin de bureau, et ça a suffi à paralyser une bonne partie du réseau de l'étage pendant un bon moment, tout le monde hurlant au téléphone sans comprendre pourquoi plus rien ne passait. C'est cet épisode qui m'a poussé vers une formation Cisco en français, taillée pour quelqu'un qui sait déjà brancher un câble et vérifier un ping, mais qui n'a jamais appris à verrouiller un port contre ce genre de bêtise. Voici les questions qu'on me pose le plus souvent depuis, par des collègues ou par des lecteurs du site, et les réponses que je donne sans détour.
Le Port Security, à quoi ça sert vraiment sur un réseau d'entreprise ?
La couche 2 du modèle OSI, celle de la liaison de données, est l'endroit où vivent les adresses MAC, et c'est aussi là que se passent la plupart des bêtises. Le port security, en gros, c'est la liste d'invités du switch: sans lui, n'importe quelle machine branchée sur une prise murale entre et discute avec le réseau comme si elle avait toujours eu sa place. Avec, le switch vérifie d'abord si l'adresse qui se présente a le droit d'être là, un peu comme un videur qui compare une plaque d'immatriculation à une liste avant de laisser passer la voiture.
Pour qui n'a jamais ouvert le modèle OSI, retenez juste ceci: une adresse MAC est censée être unique et gravée dans le matériel, et forcer un port à n'en reconnaître qu'une poignée transforme une prise murale banale en entrée filtrée. C'est tout le principe, et c'est suffisant pour comprendre tout ce qui suit.
Pas besoin d'être ingénieur réseau pour s'y mettre
Pas besoin non plus d'un bagage impressionnant. Si vous n'avez jamais touché l'adressage IP, le routage, la commutation ou les protocoles réseau de base, ce n'est pas par ce module qu'il faut commencer: ça se joue d'abord dans une formation Cisco pour débutant, avant de venir chercher le port security spécifiquement.
Avant ça, j'avais démarré une formation certifiante qui m'a semblé bien au-dessus de ce qu'un hobby de technicien de proximité pouvait justifier, et je l'ai laissée tomber à mi-parcours: le ton était trop théorique, trop loin de ce que je vivais vraiment en intervention. Les critères qui comptent réellement quand on compare plusieurs formations avant de payer, j'en détaille certains ailleurs un par un; ici, le seul qui pèse, c'est si le module est assez carré pour qu'on retienne la logique et pas uniquement la commande à recopier. Ce module ne prépare pas non plus à une certification, ça reste un autre sujet avec ses propres exigences. Et si vous cherchez le récit complet d'un parcours autodidacte plutôt qu'une revue de module, ça existe, mais ce n'est pas cet article.
Mon labo tient sur un coin de bureau: deux écrans, un vieux Raspberry Pi qui fait tourner mon petit serveur de test, des câbles Ethernet partout sous la table parce que je ne fais pas confiance au wifi pour le poste principal, et un carnet couvert de schémas de sous-réseaux tracés à la main, parce que je retiens mieux en dessinant qu'en recopiant un slide.
Protect, restrict, shutdown : trois réflexes, un seul qui survit à la vraie vie
Le cours liste trois réponses possibles quand une adresse MAC non autorisée se présente sur un port verrouillé, et chacune raconte une philosophie différente de la sécurité. Protect jette discrètement le trafic indésirable à la poubelle, sans bruit. Restrict fait la même chose mais prévient quelqu'un, en général via une alerte SNMP. Shutdown, lui, coupe carrément la prise, pas de négociation possible.
Restrict. Presque toujours. C'est mon réglage par défaut depuis que j'ai vu ce qui se passe en vrai: un utilisateur change de bureau, branche son poste sur une nouvelle prise, et si cette prise est en shutdown, c'est vous qu'il va appeler en râlant deux minutes plus tard, pas le service sécurité.
Je me souviens d'un exercice sur Packet Tracer où j'ai configuré un port en shutdown par erreur et où je me suis littéralement auto-exclu de l'administration du switch pendant un bon moment, en plein lab. Le ventilateur de la tour s'était mis à ronfler plus fort dès que la machine virtuelle avait démarré, comme pour accompagner ma panique silencieuse devant l'écran. C'est le genre de moment où on se sent revenir à zéro, et pourtant c'est exactement là qu'on retient la leçon pour de bon.
Le mode sticky, ou l'astuce qui évite de taper 48 bits à la main
Sticky, c'est la commande qui m'a vraiment sauvé la mise. Une adresse MAC fait 48 bits, et personne n'a envie de la saisir à la main pour chaque poste d'un bureau entier. Avec le mode sticky, le switch apprend seul l'adresse de l'appareil branché et l'écrit directement dans sa configuration, une fois pour toutes.
Taper une adresse MAC à la main sur chaque prise, c'est un peu comme visser chaque pièce d'un meuble en kit avec le mauvais tournevis: ça finit par rentrer, mais on y laisse sa soirée pour rien. Sticky, c'est le bon tournevis trouvé après coup.
Si vous jonglez déjà avec plusieurs réseaux virtuels pour séparer vos services, le module sur configurer des VLANs pour invités vaut le détour, c'est souvent là qu'on voit l'utilité réelle de verrouiller un port, surtout quand des visiteurs et des employés permanents se partagent le même câblage. Les listes de contrôle d'accès, elles, forment un chapitre entièrement à part que je ne déroule pas ici.
Verrouiller à outrance crée sa propre faille de sécurité
Verrouiller tous les ports au maximum donne un faux sentiment de contrôle. Si tout est réglé trop strictement, vous passez vos journées à débloquer des prises pour des collègues qui ont juste changé de souris ou de dock, et à force on désactive les alertes parce qu'elles polluent l'esprit, ou pire, on finit par tout laisser grand ouvert pour qu'on nous laisse tranquille. C'est ce que j'appelle la fatigue de la sécurité, et c'est elle, pas le pirate imaginaire, qui crée le vrai trou dans le réseau.
Ce module ne couvre pas tout, et c'est voulu. Il ne touche ni au DHCP, ni au wifi d'entreprise, et il ne remplace pas une vraie redondance réseau si un switch tombe en panne, ce sont des couches différentes d'une même maison. La sécurisation réseau au sens large, pare-feu et politique globale compris, reste un chantier à part entière, qu'un seul module sur le port security ne prétend pas couvrir. On ne sécurise pas la prise d'une imprimante de couloir comme on sécurise celle qui mène au serveur de comptabilité, même si les deux restent sur la même plage d'identifiants VLAN standards; la logique ne change pas, la sécurité qui bloque le travail finit toujours par être contournée.
Python ou Cisco, lequel apprendre en premier ?
Vanessa, qui m'a écrit après avoir atterri sur l'article consacré à la formation Cisco débutant, me demandait récemment si elle devait commencer par le réseau ou par Python. Elle avait déjà laissé tomber une formation en ligne à mi-chemin, pas assez accompagnée pour tenir jusqu'au bout, et elle ne voulait clairement pas revivre ça.
Le réseau donne une base concrète tout de suite: on voit un câble, un switch, un port qui s'éteint ou s'allume. Python, lui, paie plus tard mais plus largement, dès qu'on veut automatiser une tâche répétitive plutôt que la refaire à la main chaque semaine.
J'ai un copain de Discord, Taoufik, croisé sur un serveur d'entraide pendant qu'on suivait chacun un cours en ligne de Python, qui te sort un numéro de PEP en pleine conversation comme d'autres citent un article de loi. Il manipule des variables, écrit ses propres fonctions et enchaîne des conditions comme on respire, il automatise des tâches répétitives qui lui prendraient des heures sinon, et il lit des journaux de logs réseau avec quelques lignes de script là où je passerais la soirée à faire défiler l'écran. Il a un avis tranché sur Python contre JavaScript selon qu'on écrive un script ou une page web, il s'est monté un inventaire automatisé du parc de postes de son site, et il va chercher des données via une API externe depuis un de ses outils maison sans y réfléchir deux fois. Pour Vanessa, je lui ai conseillé le réseau d'abord: ça se voit, ça se touche, et ça motive à continuer même les soirs où rien ne clique du premier coup.
Est-ce que ça vaut le coup si on débute ?
Il y a peu, un collègue m'a demandé pourquoi un poste venait de se faire bannir du réseau sans prévenir, et j'ai répondu sans réfléchir, la logique était déjà là, intégrée, pas besoin de rouvrir mes notes ni de deviner. C'est ce genre de moment qui confirme qu'une formation a vraiment servi à quelque chose, bien plus qu'une quelconque note finale.
Pas besoin de dix ans de métier pour s'y mettre, juste de refaire les labs plusieurs fois jusqu'à ce que les commandes cessent de ressembler à du charabia. La méthode pour diagnostiquer une panne réseau pas à pas, du symptôme jusqu'à la cause, ferait un article entier à elle seule, donc je ne la résume pas ici. Ce que ce module apporte, en revanche, sert dès qu'il faut résoudre des pannes de connectivité plus complexes au bureau, parce qu'on commence enfin à comprendre ce qui se passe sous le capot plutôt que de redémarrer le switch en espérant que ça reparte.
Mon bilan, pour qui hésite encore: cette brique apporte une vraie tranquillité d'esprit. Je ne panique plus en voyant un équipement inconnu apparaître sur le réseau, je sais comment l'identifier et limiter les dégâts s'il n'a rien à faire là. C'est aussi une bonne étape avant de vouloir mettre en place une redondance réseau simple, pour que tout le bâtiment ne tombe pas si un seul switch rend l'âme. N'attendez pas le prochain routeur sauvage planté dans une prise murale pour vous y mettre, même à raison d'une heure par-ci par-là après le travail.