Exploitation, automatisation et dépannage des réseaux

Les documents réseau répondent à différentes questions : où va un câble, à quel sous-réseau appartient un équipement ou quel service a été promis. Utilise des noms d’équipements cohérents dans tous les documents pour passer d’une vue à l’autre sans avoir à deviner.

Choisis une vue adaptée à la tâche

Un schéma physique du réseau montre les emplacements et les connexions réelles : salles, baies, prises murales, panneaux de brassage et ports de commutateur. Un schéma logique du réseau montre les relations entre les éléments qui acheminent le trafic, comme les VLAN, les sous-réseaux, les passerelles et les routes. Deux espaces de travail situés à des étages différents peuvent appartenir au même VLAN même si leurs câbles aboutissent dans des baies différentes.

Sépare ces vues lorsqu’un schéma combiné devient difficile à lire. Relie-les par des noms comme « SW1 » et « PP1 », sans te fier à une position supposée sur la page.

Suis un câble jusqu’à son port

Un plan d’implantation en baie montre les positions des équipements en unités de rack. Une unité, 1U, mesure 44,45 mm de hauteur. Inclus les panneaux de brassage et les unités de distribution électrique ainsi que les commutateurs et les routeurs.

Un plan de câblage consigne l’identifiant, les extrémités et le type d’un câble. Par exemple : « Câble A-12 : panneau de brassage 1 port 12 vers SW1 Gi1/0/12, Cat 6. » Place le même identifiant aux deux extrémités. Si le cordon est remplacé, reporte l’étiquette et mets à jour le plan.

Supposons qu’un utilisateur à la prise 2.14 signale une connexion inactive. Trouve d’abord cette prise dans le plan de câblage. Suis son câble permanent jusqu’au panneau, puis identifie le cordon de brassage et le port de commutateur. Le document physique t’indique où effectuer les tests ; le document logique t’indique ensuite quels VLAN et sous-réseau ce port doit desservir.

Consigne les adresses, les équipements et les engagements

La gestion des adresses IP (IPAM) consigne l’usage, le VLAN, la passerelle, la plage DHCP, les réservations et les adresses statiques de chaque sous-réseau. Consulte l’IPAM avant d’attribuer une adresse fixe afin qu’elle ne soit pas déjà utilisée par un autre équipement ou incluse dans le pool dynamique.

Un inventaire du parc informatique identifie chaque équipement par son modèle, son numéro de série, son emplacement et son micrologiciel, avec les dates de garantie et d’assistance. Une carte thermique Wi-Fi consigne la couverture sur un plan d’étage. Les procédures opérationnelles standard décrivent les tâches répétitives, tandis que les références de performance conservent les mesures du fonctionnement normal.

Un accord de niveau de service (SLA) précise les engagements de service d’un fournisseur, notamment les objectifs de disponibilité, de réponse et de réparation. Pour la disponibilité sur une année de 365 jours :

À 99,9 %, cela représente 8,76 heures ; à 99,99 %, environ 52,6 minutes. Utilise la période de mesure réelle de l’accord pour vérifier son respect. Un rapport mensuel doit utiliser le nombre d’heures du mois concerné.

Après une réparation ou un changement, mets à jour les vues concernées, les relevés de câblage, le plan d’adressage et l’inventaire. Un document correct permet au prochain technicien de commencer avec des éléments fiables.

Un paramètre actif, un paramètre enregistré et une sauvegarde sont trois choses différentes. Gérer les trois évite qu’un redémarrage, une panne d’équipement ou une modification erronée ne se transforme en longue interruption.

Conserve une configuration récupérable

Sur Cisco IOS, la configuration courante est active en mémoire. La configuration de démarrage est la copie enregistrée utilisée au démarrage. Une commande modifie normalement la configuration courante immédiatement. Enregistre une configuration approuvée et vérifiée avec :

copy running-config startup-config

Une sauvegarde stockée hors de l’équipement protège contre la perte de l’équipement lui-même. Nomme-la avec le nom de l’équipement, la date et la version, et effectue-en une avant chaque changement ainsi qu’à intervalles réguliers. Une sauvegarde du mois dernier peut ne pas contenir un VLAN ajouté hier. Compare son contenu et sa date avant de la restaurer.

Une configuration de référence définit la norme approuvée pour un rôle d’équipement. La dérive de configuration est l’écart entre cette norme et les paramètres réels. Par exemple, un commutateur d’accès peut encore autoriser Telnet alors que la norme exige SSH. Compare les paramètres pour identifier ce qui a changé, puis vérifie si la différence a été approuvée.

Choisis un chemin d’administration

Telnet utilise TCP 23 et transmet les identifiants en clair. Désactive-le. Le durcissement consiste aussi à remplacer les identifiants par défaut, à désactiver les services et ports inutilisés et à appliquer les mises à jour de sécurité.

L’administration dans la bande partage le chemin utilisé par le trafic de production. L’administration hors bande dispose d’un chemin distinct, par exemple un serveur de consoles accessible par une connexion cellulaire. C’est utile lorsqu’un changement de routage supprime l’accès normal. Un bastion d’administration est un point d’entrée durci depuis lequel les administrateurs accèdent aux équipements gérés.

Planifie les mises à jour et les remplacements

Teste le micrologiciel sur un petit groupe avant un déploiement à grande échelle. Consigne la version, la sauvegarde, les tests et la méthode de récupération. Les annonces de fin de vie des fournisseurs contiennent plusieurs dates : la fin de commercialisation marque l’arrêt des commandes ; des étapes ultérieures marquent la fin de la maintenance, des correctifs de sécurité et enfin de l’assistance. Planifie le remplacement avant l’arrêt des correctifs de sécurité.

Pour remplacer un commutateur, vérifie le nombre et la vitesse des ports, les émetteurs-récepteurs pris en charge, la compatibilité du micrologiciel et la capacité PoE. Un équipement disposant d’assez de ports de données mais sans PoE laissera les téléphones et points d’accès raccordés sans alimentation.

Installe un équipement de remplacement compatible, restaure la bonne sauvegarde et teste les liaisons, les VLAN et les services. Enregistre le résultat vérifié et mets à jour l’inventaire, les schémas et le relevé des sauvegardes. Lors de la mise hors service, transfère d’abord les fonctions de l’ancien équipement. Efface ensuite sa configuration et les identifiants enregistrés à l’aide de la procédure de réinitialisation ou d’effacement sécurisé du fournisseur, puis organise son élimination selon le processus de l’organisation.

Même une commande correcte peut interrompre un service qui ne devait pas l’être ou intervenir au mauvais moment. La gestion des changements donne à chaque changement un motif, un responsable, une approbation, un test et un moyen de revenir en arrière si le résultat est inacceptable.

Prépare un changement qu’une autre personne peut réaliser

Une demande de changement identifie les équipements et les services concernés, explique le motif et énumère les étapes exactes de mise en œuvre. Elle indique aussi l’impact et les risques, une fenêtre de maintenance, un plan de test et un plan de retour arrière.

L’impact décrit ce que les travaux peuvent interrompre. L’évaluation des risques examine ce qui pourrait mal se passer et la gravité des conséquences. La mise à jour d’un commutateur cœur peut déconnecter plusieurs étages ; la modification d’un port d’accès inutilisé a une portée bien plus limitée. Les changements importants peuvent nécessiter un examen par un comité consultatif des changements (CAB).

Une fenêtre de maintenance est une période convenue pour des travaux susceptibles de perturber le service. Indique aux utilisateurs quels services peuvent être interrompus et pendant combien de temps. Prévois assez de temps pour effectuer le changement, le tester et rétablir le fonctionnement avant la fin de la fenêtre.

Fais du retour arrière une décision, pas un espoir

Un plan de retour arrière indique à la fois comment rétablir l’état de fonctionnement précédent et quand le faire. « Restaurer si nécessaire » laisse la décision dans le flou. « Si les utilisateurs de test ne peuvent pas se connecter 15 minutes après la mise à jour, démarrer sur l’image précédente » donne à l’opérateur un critère mesurable.

Avant de commencer, effectue une sauvegarde récente et confirme que l’image précédente ou les autres fichiers de récupération sont disponibles. Vérifie aussi que l’opérateur pourra toujours accéder à l’équipement si le chemin d’administration habituel est défaillant.

Par exemple, une mise à jour du commutateur cœur est prévue de 22 h 00 à 23 h 00. Le plan conserve l’ancienne image en mémoire flash et exige que toutes les liaisons montantes et cinq serveurs essentiels soient accessibles après le redémarrage. L’heure limite de décision du retour arrière doit laisser assez de temps dans la fenêtre pour démarrer sur l’ancienne image et répéter ces tests de service. Attendre 22 h 59 pour décider rendrait le plan inefficace.

Utilise la procédure adaptée au changement

Une urgence exige malgré tout une action maîtrisée et une trace écrite. Consigne chaque changement pour qu’un autre technicien puisse savoir ce qui a été fait. Pendant le diagnostic, modifier plusieurs paramètres ensemble empêche de savoir lequel a aidé et complique le rétablissement.

Vérifie et clôture

Suis les étapes approuvées, puis teste l’amélioration attendue et les services susceptibles d’avoir été touchés. Une connexion à l’interface d’administration ne suffit pas à savoir si les utilisateurs peuvent accéder à leurs applications.

Consigne le résultat, y compris tout retour arrière. Mets à jour les schémas, l’IPAM, l’inventaire et les sauvegardes de configuration concernés par le changement. Ne clôture la demande qu’une fois les tests terminés et les documents mis en conformité avec l’installation. Si un problème apparaît plus tard, ces horodatages et ces actions fourniront un point de départ pour le diagnostic.

« Le réseau est lent » décrit un symptôme, pas une mesure. Choisis des indicateurs qui décrivent le problème de l’utilisateur et compare-les à un relevé du fonctionnement normal.

Mesure la capacité, le débit et le délai

La bande passante est le débit maximal d’une liaison. Le débit effectif est le débit réellement atteint. La surcharge protocolaire, les erreurs et la congestion maintiennent le débit utile en dessous de la capacité annoncée. Le taux d’utilisation exprime la part de capacité utilisée :

Pour 450 Mbit/s sur une liaison à 1 Gbit/s, convertis la capacité en 1 000 Mbit/s. Le taux d’utilisation est de 45 %. Mélanger Mbit/s et Gbit/s sans conversion donne un rapport qui n’a pas de sens.

La latence est le temps de parcours, couramment mesuré sous forme de temps aller-retour (RTT). La gigue est la variation du délai entre les paquets. La perte de paquets est la part des paquets qui n’arrivent pas. Perdre 3 paquets de test sur 200 représente une perte de 1,5 %.

Supposons que les temps aller-retour successifs soient de 20, 24, 21, 35 et 20 ms. Leur somme est de 120 ms, donc leur moyenne est de 24 ms. Les écarts absolus entre valeurs voisines sont de 4, 3, 14 et 15 ms. Leur moyenne est de 9 ms : c’est une façon utile de calculer la gigue. Les produits de supervision peuvent utiliser d’autres méthodes ; compare donc des résultats mesurés de la même façon.

Adapte les indicateurs au service

Pour les appels vocaux, les objectifs courants sont un délai aller simple inférieur à environ 150 ms, une gigue inférieure à environ 30 ms et une perte inférieure à environ 1 %. Ce sont des repères de qualité d’appel, pas une conversion du temps aller-retour en mesure exacte du délai aller simple. Un téléchargement de fichier peut renvoyer les données manquantes, mais les retransmissions augmentent la durée totale. Un appel peut, quant à lui, présenter des coupures audibles.

Une liaison à large bande passante peut malgré tout offrir un service interactif médiocre si le délai ou les pertes sont élevés. Vérifie ces mesures ainsi que le débit effectif. Supervise aussi le processeur, la mémoire, la température, les ventilateurs, les alimentations, l’état des interfaces et les compteurs d’erreurs ou de rejets. Une forte utilisation du processeur peut retarder les réponses d’administration ou le trafic de contrôle même lorsqu’une liaison de données dispose encore de capacité.

Établis la normale avant de définir les alertes

Une référence de performance consigne le comportement normal pendant des périodes calmes et chargées représentatives. Recueille plusieurs semaines de mesures à intervalles d’échantillonnage réguliers. Une valeur du lundi matin est particulièrement utile lorsqu’elle est comparée à d’autres valeurs du lundi matin.

Un seuil déclenche une alerte à une valeur fixée, souvent associée à une durée : « taux d’utilisation supérieur à 80 % pendant 10 minutes ». La durée évite de réagir à chaque brève pointe. La détection des anomalies par alerte cherche plutôt à savoir si le comportement diffère de la normale, par exemple un trafic sortant anormalement élevé à 03 h 00.

La supervision de la disponibilité vérifie les réponses ; la supervision des performances suit les débits et les délais ; la supervision des configurations détecte les changements de paramètres. La découverte du réseau trouve les équipements qui peuvent manquer dans les documents. Choisis un test de service pour vérifier si ce service fonctionne : un équipement peut répondre à ping alors que son service web s’est arrêté.

Les graphiques montrent comment une valeur évolue ; les journaux montrent ce qui s’est passé. SNMP fournit des mesures et des notifications provenant des équipements, tandis que syslog transporte les messages d’événements. Ensemble, ils aident à comprendre le déroulement et les effets d’une interruption.

Demande des mesures aux agents

Un gestionnaire SNMP, souvent intégré à un système de gestion du réseau (NMS), interroge un agent sur chaque équipement. Une base d’informations de gestion (MIB) décrit les variables disponibles. Un identifiant d’objet (OID) situe une variable dans l’arborescence.

Par exemple, 1.3.6.1.2.1.1.3.0 identifie sysUpTime, mesuré en centièmes de seconde depuis le dernier démarrage du logiciel de gestion réseau. Une remise à zéro de cette valeur peut indiquer aussi bien le redémarrage du processus de gestion que celui de l’équipement. Compare-la à d’autres éléments avant de signaler un redémarrage complet.

Get, GetNext et GetBulk lisent des valeurs ; Set modifie une valeur autorisée. Les requêtes sont normalement envoyées au port UDP 161 de l’agent. Un trap SNMP est envoyé sans sollicitation au port UDP 162 du gestionnaire. Un inform SNMP demande un acquittement, ce qui permet de renvoyer une notification perdue.

Une interrogation toutes les cinq minutes donne 288 relevés par variable et par jour. Une liaison peut tomber en panne et se rétablir entre deux interrogations. Les traps ajoutent un signalement rapide des événements, tandis que les interrogations périodiques détectent aussi un agent qui cesse complètement de répondre.

Protège le trafic d’administration

SNMPv1 et v2c utilisent une chaîne de communauté transmise en clair. L’accès en lecture seule permet les requêtes ; l’accès en lecture-écriture autorise aussi Set. SNMPv3 propose noAuthNoPriv, authNoPriv et authPriv, ce dernier assurant l’authentification et le chiffrement. Privilégie authPriv. Si v2c est nécessaire, change les chaînes de communauté par défaut, utilise un accès en lecture seule et limite les adresses des gestionnaires autorisés à interroger l’équipement.

Lis et filtre les messages syslog

Syslog envoie les messages à un collecteur central, traditionnellement par UDP 514. Les transports TCP et TLS sont aussi disponibles ; TLS utilise couramment TCP 6514. La collecte centrale conserve les événements après la perte du tampon local d’un équipement.

Plus le numéro est faible, plus la gravité est élevée. Un niveau configuré à 4 envoie les niveaux 0 à 4. Il exclut les messages de notification, d’information et de débogage. Des messages de débogage nombreux peuvent charger les équipements ; active-les donc brièvement pour une investigation ciblée.

Dans %LINEPROTO-5-UPDOWN, LINEPROTO identifie la catégorie syslog et 5 signifie notification. Des changements d’état répétés sur une interface indiquent une liaison instable et orientent l’inspection vers son câble ou ses composants optiques.

Place les événements sur une chronologie commune

Synchronise les horloges des équipements avec NTP. Sinon, un décalage de sept minutes peut faire apparaître un événement du pare-feu avant sa cause. L’agrégation des journaux rassemble les enregistrements dans un stockage unique interrogeable ; un SIEM ajoute la corrélation et les alertes entre sources. Définis une durée de conservation et protège les journaux contre toute altération. Enfin, teste le chemin de collecte : un port de notification ou de journalisation bloqué peut empêcher un collecteur fonctionnel de recevoir des éléments.

Les questions sur le trafic ne demandent pas toutes le même niveau de détail. Pour trouver l’émetteur le plus actif sur une semaine, utilise des résumés. Pour examiner une réponse manquante dans un échange, observe les paquets.

Commence par les éléments adaptés

Un flux regroupe des paquets selon des champs comme les adresses source et destination, les ports et le protocole. NetFlow et IPFIX exportent des enregistrements contenant des nombres de paquets, des totaux d’octets et des heures. Ces enregistrements décrivent le trafic sans stocker le contenu des paquets. Un collecteur peut classer les hôtes les plus actifs ou montrer à quel moment une sauvegarde a saturé une liaison montante.

sFlow échantillonne les paquets, par exemple un sur 1 000, et exporte leurs premiers octets avec les compteurs d’interface. Ces octets contiennent généralement des en-têtes et peuvent inclure une partie de la charge utile. L’échantillonnage donne une estimation des comportements du trafic ; il n’enregistre pas intégralement chaque échange.

La télémétrie en continu et les API offrent d’autres moyens de collecter des données d’exploitation. La télémétrie peut transmettre les mesures en permanence au lieu d’attendre une interrogation.

Capture un échange

Une capture de paquets enregistre les paquets au niveau d’une interface. Un analyseur de protocoles comme Wireshark décode leurs en-têtes et la charge utile capturée. tcpdump permet de capturer en ligne de commande. Recherche la séquence des messages : une requête sans réponse, des retransmissions TCP répétées ou un échange DHCP qui s’arrête à Discover.

Les données applicatives chiffrées capturées restent chiffrées si les informations nécessaires au déchiffrement ne sont pas disponibles. Les en-têtes et les horaires des paquets peuvent malgré tout aider à diagnostiquer l’échange.

Un filtre de capture contrôle ce qui est enregistré. Par exemple, host 192.168.1.20 and port 53 limite une capture tcpdump au trafic du port DNS impliquant cet hôte. Un filtre d’affichage modifie ce que tu vois après la capture : dns dans Wireshark affiche le trafic DNS décodé, tandis que ip.addr == 192.168.1.20 affiche les paquets impliquant cette adresse. Masquer un paquet avec un filtre d’affichage le laisse dans la capture.

Place la capture sur le chemin du trafic

Un hôte sur un réseau commuté voit normalement son propre trafic de monodiffusion et les diffusions, mais pas le trafic de tous les autres hôtes. La mise en miroir de ports, appelée SPAN sur les équipements Cisco, copie le trafic des ports ou VLAN sélectionnés vers un port de surveillance. Un TAP réseau effectue une copie matérielle du trafic d’une liaison indépendamment du commutateur.

Effectue des captures et des analyses uniquement dans les limites de ton autorisation ; limite la collecte aux besoins de l’investigation, protège les données sensibles et respecte les règles de conservation et de suppression de l’organisation.

Supposons qu’une requête apparaisse avant un pare-feu, mais qu’aucune réponse n’y apparaisse. Cette observation laisse plusieurs causes possibles. Compare les captures avant et après le pare-feu avec ses journaux. Si la requête atteint l’autre côté et qu’une réponse y revient sans jamais atteindre le côté initial, ces éléments permettent de circonscrire le problème au passage de retour à travers cet équipement. Conserve les points d’observation et les horodatages avec les constatations.

Un signalement comme « pas d’accès à Internet » laisse la cause indéterminée. Une méthode structurée transforme ce signalement en problème vérifiable, puis en réparation contrôlée. Distingue les observations des explications : « tous les clients de l’étage 2 sont en panne » est un constat ; « le nouveau commutateur est en cause » est une hypothèse.

Passe du symptôme à une cause testée

Les sept étapes sont :

1. Identifier le problème. Recueille les symptômes, les journaux et les mesures. Demande quand le problème a commencé, qui est concerné et ce qui a changé. Reproduis-le si possible et traite les problèmes distincts un par un.
2. Établir une hypothèse de cause probable. Vérifie les possibilités évidentes et choisis la cause qui correspond le mieux aux éléments recueillis.
3. Tester l’hypothèse. Choisis un test dont le résultat peut étayer ou réfuter la cause proposée. Si le test ne la confirme pas, formule une nouvelle hypothèse ou procède à une escalade.
4. Établir un plan d’action et identifier les effets. Décide comment corriger la cause confirmée et ce que les travaux pourraient interrompre.
5. Mettre en œuvre la solution ou procéder à une escalade. Suis le processus de gestion des changements et consigne chaque action.
6. Vérifier toutes les fonctionnalités et appliquer des mesures préventives. Vérifie que les utilisateurs peuvent travailler et contrôle les autres services concernés, puis réduis le risque de récurrence.
7. Documenter les constatations, les actions, les résultats et les enseignements. Consigne la cause, les éléments recueillis, la correction et le résultat pour les interventions futures.

Une réparation rapide doit tout de même être vérifiée. Le remplacement d’un cordon de brassage peut rétablir une liaison alors que l’application présente un défaut distinct.

Choisis où commencer

L’approche ascendante commence par l’alimentation, le câblage et les liaisons, puis remonte par la commutation, l’adressage et les services. Elle convient à l’absence de voyant de liaison. L’approche descendante commence par l’application et descend. Elle peut convenir à une panne limitée à un service.

La méthode « diviser pour régner » teste un point intermédiaire comme la passerelle par défaut. Un test réussi de la passerelle oriente l’attention vers le routage ou les services en amont. Un échec oriente vers l’adressage local, l’appartenance au VLAN et le chemin physique, tout en gardant le filtrage parmi les possibilités lors de l’interprétation d’une sonde.

Traite une panne partagée

Les utilisateurs de l’étage 2 perdent l’accès à 09 h 10. Les clients filaires et sans fil sont touchés, et leur commutateur d’accès a été remplacé à 09 h 00. Cette étendue oriente vers un chemin partagé plutôt que vers le câble d’un seul utilisateur.

L’hypothèse est que la configuration de la liaison trunk manque sur la liaison montante de remplacement. show interfaces trunk ne répertorie aucune liaison trunk. Compare les paramètres actifs à la sauvegarde précédente pour vérifier la différence de configuration. Planifie une restauration en expliquant l’interruption au responsable de l’étage, mets-la en œuvre, puis vérifie l’accès à la passerelle, aux services distants et auprès d’utilisateurs représentatifs.

Consigne la configuration manquante et les tests réussis. Ajoute la restauration et la vérification de la configuration à la procédure de remplacement.

Procède à une escalade avec des éléments utiles

Procède à une escalade lorsque l’accès ou les compétences nécessaires dépassent ton rôle, ou lorsque les tests mènent à un équipement géré par une autre équipe. Transmets les utilisateurs et services touchés, les horaires, les changements récents, les résultats exacts, les hypothèses testées et les modifications déjà effectuées. Le prochain technicien pourra ainsi poursuivre à partir des éléments disponibles au lieu de répéter la première heure de travail.

Exécute les tests depuis l’hôte ou le segment concerné et conserve leurs résultats exacts. Comparer un hôte défaillant à un voisin qui fonctionne révèle souvent une différence de paramètres plus rapidement qu’un test depuis un réseau d’administration sans rapport avec le problème.

Lis d’abord les paramètres locaux

Sur les autres systèmes Linux, consulte /etc/resolv.conf pour obtenir les informations du résolveur. ifconfig affiche les paramètres des interfaces sous macOS et les anciens systèmes de type Unix ; les routes et DNS nécessitent des vérifications distinctes. Sur un client censé utiliser DHCP, une adresse locale au lien 169.254.x.x attribuée automatiquement oriente vers un échec d’obtention du bail.

Teste des points de plus en plus éloignés

ping envoie des messages ICMP Echo Request et indique les réponses, les temps aller-retour et les pertes. Teste le bouclage 127.0.0.1, l’adresse propre de l’hôte, la passerelle, une adresse distante et un nom. Cela permet de distinguer le logiciel local, le réseau local, la connectivité en amont et la résolution de noms.

« Request timed out » signifie qu’une réponse n’est pas arrivée à temps. La cause peut être une cible arrêtée, un filtrage ou une route manquante dans un sens ou dans l’autre. « Destination host unreachable » signale un échec d’acheminement depuis l’hôte ou un routeur. Des messages « TTL expired in transit » répétés suggèrent une boucle de routage ; examine la route et le chemin.

L’échec d’une sonde laisse le filtrage parmi les causes possibles. Teste aussi l’application requise, avec le bon nom et le bon protocole.

Trace le chemin et résous les noms

tracert sous Windows et traceroute sous Linux ou macOS envoient des sondes avec des valeurs de durée de vie croissantes. Les routeurs où la durée de vie expire peuvent renvoyer un message ICMP Time Exceeded. Windows utilise des sondes ICMP Echo ; Linux utilise normalement des sondes UDP.

Une ligne d’astérisques suivie de sauts qui répondent montre l’absence de réponse d’un routeur alors que les sondes suivantes continuent leur chemin. Une absence de réponse à partir d’un saut jusqu’à la fin peut résulter d’un filtrage ou d’un défaut sur le chemin. Une hausse persistante du temps aller-retour indique où chercher, mais inclut le trajet de retour et le traitement de la réponse. Confirme-la par des tests répétés et des mesures d’interface.

nslookup www.example.com et dig www.example.com interrogent DNS. Si une adresse est accessible mais que le nom ne peut pas être résolu, examine les paramètres du résolveur et les enregistrements.

Ajoute des éléments sur la liaison locale et le service

arp -a affiche les correspondances IP-MAC en cache. Pour tester un contact actuel avec la passerelle, efface cette entrée, envoie du trafic et vérifie si une nouvelle entrée apparaît. Une ancienne entrée peut subsister après une panne.

netstat, ou ss sous Linux, affiche les connexions et les ports en écoute. pathping et mtr combinent les informations sur le chemin avec des mesures répétées des pertes. nmap vérifie les ports ouverts sur les cibles autorisées, tandis qu’iperf mesure le débit effectif atteint entre deux terminaux. Un socket en écoute sur TCP 443 montre qu’un service local attend des connexions ; un test distinct depuis un client vérifie si le chemin réseau permet de l’atteindre.

Les tests sur un hôte montrent un symptôme depuis un terminal. Les commandes show des commutateurs et des routeurs ajoutent la vue de l’équipement : si un port est activé, quel VLAN transporte son trafic et où ira le prochain paquet. Les commandes présentées ici utilisent la syntaxe Cisco IOS.

Lis l’état sans t’y arrêter

show ip interface brief répertorie les adresses, l’état physique Status et l’état du protocole de liaison Protocol. Interprète les deux champs d’état ensemble :

Sur les commutateurs, show interfaces status ajoute le VLAN d’accès, la vitesse, le mode duplex et des états comme connected, notconnect ou err-disabled. show interfaces fournit des débits et des compteurs détaillés, notamment les erreurs CRC, les trames trop courtes, les trames géantes, les collisions et les rejets en sortie.

Un port up/up peut transporter le mauvais VLAN ou accumuler des trames endommagées. Une vérification utile relie donc l’état à la configuration prévue et à l’évolution des compteurs sur un intervalle mesuré.

Suis le trafic à travers la commutation et le routage

show mac address-table localise une adresse MAC apprise par port et par VLAN. show vlan brief répertorie l’appartenance des ports d’accès. show interfaces trunk identifie les liaisons trunk et les VLAN qu’elles transportent.

Par exemple, une imprimante utilise 10.20.30.45, adresse que l’IPAM attribue au VLAN 30. Son adresse MAC apparaît sur Gi1/0/14 dans le VLAN 1. Les éléments recueillis orientent vers l’affectation du port. Après une correction maîtrisée vers le VLAN 30, teste à nouveau l’accès à l’imprimante et mets à jour le relevé du changement.

show ip route répertorie les routes directement connectées, statiques et apprises, y compris la passerelle de dernier recours. Si les sous-réseaux locaux fonctionnent mais que les réseaux distants sont inaccessibles, examine la route par défaut et le chemin de retour. show ip arp ajoute les correspondances IP-MAC locales du routeur.

Vérifie les paramètres, l’alimentation et les événements

show running-config affiche les paramètres actifs pour les comparer à la sauvegarde ou à la configuration de référence. show power inline montre la consommation PoE par port et le budget restant du commutateur. show logging fournit le tampon local des événements, qui peut relier une panne à une liaison instable, à un événement de protection ou à un problème d’alimentation.

Conserve le résultat exact de la commande et son horodatage. Un changement d’état ultérieur est plus facile à interpréter lorsque l’observation précédente est conservée.

Identifie l’autre extrémité

Cisco Discovery Protocol (CDP) est propre à Cisco ; Link Layer Discovery Protocol (LLDP) est la norme IEEE 802.1AB. Tous deux annoncent des informations aux voisins directement connectés, comme le nom, le modèle, le port et l’adresse d’administration de l’équipement.

Utilise show cdp neighbors ou show lldp neighbors pour confirmer où aboutit une liaison montante lorsque le schéma est incomplet. Combine ce relevé des voisins avec le plan de câblage et les détails du port local. Le nom d’un voisin aide à localiser la connexion ; les vérifications du VLAN, des routes et des services permettent de déterminer si cette connexion prend en charge le trafic prévu.

Un câble fonctionnel peut placer un hôte dans le mauvais VLAN, et un routeur fonctionnel peut ne pas disposer de la route nécessaire à une réponse. Compare les paramètres réels au plan d’adressage et suis le service défaillant dans les deux sens.

Vérifie le sous-réseau et la passerelle de l’hôte

Pour un accès IPv4 routé, un hôte a besoin d’une adresse unique, du bon masque et d’une passerelle accessible sur son sous-réseau. DNS est également nécessaire pour convertir les noms en adresses. La communication par adresse IP peut fonctionner alors que DNS est en panne.

Considérons 10.1.1.130/25. Son réseau est 10.1.1.128/25 et sa plage utilisable va de .129 à .254. Une passerelle d’adresse 10.1.1.1 se trouve hors de ce sous-réseau. Consulte l’IPAM : soit la passerelle documentée doit se trouver dans le /25, soit le masque prévu est en réalité /24. N’invente pas une passerelle simplement parce que son numéro te paraît familier.

Une adresse IP en double peut provoquer un accès intermittent lorsque différentes adresses MAC sont associées à une même adresse IP. Utilise les informations ARP et la table MAC du commutateur pour localiser le second équipement. Corrige l’attribution statique ou la réservation DHCP en maintenant l’IPAM à jour.

Distingue DHCP de DNS

Un client DHCP qui n’obtient pas de bail peut utiliser une adresse automatique 169.254.x.x. Vérifie le serveur, les adresses disponibles dans le pool, le VLAN du client et le chemin du relais lorsque le serveur se trouve sur un autre sous-réseau. Sur les équipements Cisco, le relais est couramment configuré avec ip helper-address.

Un pool allant de 192.168.5.100 à .199 contient 100 adresses, en comptant les deux extrémités. Un 101e client simultané a besoin d’une autre adresse libre. Des baux plus courts récupèrent plus tôt les adresses des clients partis ; les clients actifs renouvellent leur bail, donc sa durée ne peut pas augmenter la capacité simultanée du pool.

Pour DNS, examine les adresses de résolveurs reçues par l’hôte et interroge le serveur prévu. Vérifie l’enregistrement concerné. Après correction d’un enregistrement modifié, ipconfig /flushdns vide le cache local périmé d’un client Windows. Vider le cache d’un client ne peut pas corriger un enregistrement erroné sur le serveur.

Vérifie la commutation, les routes et les règles

Supprime la cause de l’état err-disabled avant de réactiver le port. Sur un port Cisco, cela peut nécessiter shutdown suivi de no shutdown, une fois le défaut corrigé.

Une requête peut atteindre un serveur alors que la réponse n’a pas de route vers le sous-réseau source. Vérifie les deux sens. Pour le filtrage du trafic, examine les compteurs de correspondances et les journaux de la règle concernée. Un échange ICMP réussi teste ICMP, tandis que le trafic TCP ou UDP de l’application suit ses propres règles.

Utilise l’étendue du problème pour choisir les composants partagés à examiner : un seul hôte touché oriente vers une cause locale ; tout un sous-réseau oriente vers sa passerelle, son commutateur d’accès, son service DHCP ou sa liaison montante.

L’absence de voyant de liaison, les coupures et rétablissements répétés, une vitesse anormalement basse et des erreurs de trame en augmentation justifient tous une vérification physique rapide. Commence par les connexions visibles et un remplacement facile, comme celui d’un cordon de brassage par un cordon dont le bon fonctionnement est connu, puis choisis un outil qui mesure le défaut suspecté.

Comprends les défauts du cuivre

Un circuit ouvert est un conducteur rompu ; un court-circuit relie des conducteurs qui devraient être séparés. Un mauvais câblage place des fils sur des broches non prévues. Une paire dépairée peut conserver la continuité de broche à broche tout en mélangeant les paires torsadées physiques, ce qui provoque de la diaphonie. Un simple test de continuité peut ne pas la détecter.

Conserve les torsades des paires près du raccordement ; une détorsion excessive, au-delà d’environ 13 mm, réduit le rejet du bruit. L’atténuation est la perte de signal avec la distance. La diaphonie est une interférence entre paires, mesurée en NEXT près de l’extrémité émettrice et en FEXT à l’extrémité distante. Les interférences électromagnétiques proviennent de sources électriques externes comme les moteurs ou les câbles électriques adjacents.

Un canal Ethernet standard à paires torsadées autorise 100 m, généralement 90 m de câble fixe plus 10 m de cordons de brassage. Cat 5e prend en charge 1 Gbit/s sur 100 m ; Cat 6 prend en charge 10GBASE-T sur des longueurs plus courtes, jusqu’à environ 55 m selon les conditions d’installation ; Cat 6A prend en charge 10GBASE-T sur 100 m.

Choisis l’outil adapté à la question sur le cuivre

Pour un câble de 42 m, un test TDR depuis la prise murale trouve un circuit ouvert à 37 m. La rupture se trouve à environ 5 m de l’extrémité côté panneau. Le sens du test compte : l’affichage donne la distance depuis l’instrument, pas depuis l’extrémité la plus facile à atteindre.

Un test de continuité réussi vérifie les connexions, tandis qu’une certification de catégorie mesure aussi des performances comme la perte, la diaphonie et la perte par réflexion.

Inspecte et teste la fibre

Les défauts de fibre comprennent les extrémités sales ou rayées, une courbure excessive, une incompatibilité entre fibre et composants optiques, et l’inversion des chemins d’émission et de réception. Vérifie les caractéristiques des émetteurs-récepteurs et la polarité avant de remplacer un long câble.

Un localisateur visuel de défauts (VFL) envoie une lumière rouge visible pour révéler certaines ruptures et courbures trop serrées. Une source lumineuse et un photomètre optique mesurent la perte. Un OTDR identifie les événements optiques et leurs distances. Un microscope d’inspection vérifie l’état du connecteur. Une fiche de bouclage réseau relie l’émission d’un port à sa réception pour un test local du port.

Ne regarde jamais dans l’extrémité d’une fibre, dans un émetteur-récepteur ou dans la sortie d’un localisateur visuel de défauts. Respecte les règles de sécurité électrique du site et le rayon de courbure minimal du câble.

Après le remplacement ou la réparation d’un composant, répète le test approprié et consigne l’étiquette du câble, le résultat et les valeurs mesurées. Cela relie la réparation à la preuve que la liaison installée respecte désormais son exigence.

Une liaison peut rester active alors que des trames endommagées, des paramètres incompatibles ou une alimentation insuffisante perturbent le travail. Lis l’évolution des erreurs de l’interface et vérifie les caractéristiques physiques aux deux extrémités.

Interprète l’évolution des compteurs

Les compteurs s’accumulent : commence donc par conserver les valeurs actuelles et leur horodatage. Compare ensuite les valeurs sur un intervalle de trafic connu, ou remets les compteurs à zéro pendant un test maîtrisé. Un total élevé depuis la mise en service peut correspondre à un ancien événement ; un compteur qui augmente rapidement indique un problème actuel.

Les erreurs CRC identifient les trames reçues endommagées. Examine le câblage, les connecteurs, les interférences, les composants optiques et les paramètres duplex. Pour 2 500 erreurs sur 1 000 000 de paquets reçus, la proportion d’erreurs est de 0,25 %. Elle doit rester proche de zéro sur une liaison en bon état.

Les trames trop courtes sont inférieures au minimum Ethernet de 64 octets. Les trames géantes dépassent la limite de trame applicable ; une trame Ethernet standard sans étiquette mesure au maximum 1 518 octets. Vérifie les paramètres de l’unité de transmission maximale et des trames jumbo si tu soupçonnes un trafic de taille excessive. Les rejets en sortie indiquent quant à eux du trafic écarté de la file d’attente d’envoi, souvent pendant une congestion.

Fais correspondre la vitesse et le mode duplex

À 100 Mbit/s, fixer une extrémité en duplex intégral tout en laissant l’autre en mode automatique peut créer une incompatibilité. L’extrémité automatique détecte la vitesse mais revient au semi-duplex lorsqu’elle ne peut pas négocier le mode duplex. Attends-toi à des collisions tardives du côté semi-duplex et à des trames endommagées ou trop courtes du côté duplex intégral.

Configure les deux extrémités en autonégociation, ou utilise les mêmes paramètres fixes pris en charge aux deux extrémités. Confirme ensuite la vitesse, le mode duplex et les nouveaux nombres d’erreurs. Une désactivation administrative, un état err-disabled et une interface membre suspendue d’une agrégation de liens exigent chacun une vérification de la configuration ou de la cause de protection, et non un remplacement systématique du câble.

Vérifie le PoE par port et au total

L’alimentation par Ethernet (PoE) fournit les données et l’alimentation électrique sur le même câble en cuivre. Les limites côté commutateur sont les suivantes :

Les pertes dans le câble expliquent la différence. Un équipement nécessitant PoE+ peut ne pas fonctionner ou redémarrer sur un port limité à la norme af. Additionne aussi toutes les puissances allouées côté commutateur : huit points d’accès de 30 W et dix caméras de 15,4 W nécessitent 394 W. Cela dépasse de 24 W un budget de 370 W. show power inline indique les puissances allouées par port et la puissance restante. Ajoute une capacité adaptée ou déplace des charges vers une autre alimentation.

Choisis des composants optiques et des pièces de remplacement compatibles

Les émetteurs-récepteurs doivent correspondre en vitesse, longueur d’onde et type de fibre aux deux extrémités. Vérifie les modules pris en charge, les connexions d’émission et de réception et la puissance optique reçue. Une faible puissance reçue oriente vers des connecteurs sales, une fibre endommagée ou une perte excessive sur le trajet.

En cas de réinitialisation matérielle ou de surchauffe, examine les ventilateurs, les alimentations, la température et les journaux. Remplace les pièces par des modèles compatibles, puis vérifie les paramètres de liaison, les erreurs, l’alimentation et les services. Garde des pièces de rechange critiques identifiées dans l’inventaire.

Une application lente peut être le signe d’une liaison montante saturée, de trames endommagées ou d’un long chemin. Mesure les débits, le délai, la gigue et les pertes aux points pertinents avant de choisir une amélioration.

Trouve la ressource qui limite le trafic

La congestion se produit lorsque le trafic entrant dépasse la capacité d’une liaison : les files d’attente s’allongent, le délai augmente et des trames sont rejetées. La contention est la concurrence pour une ressource partagée, comme un canal sans fil. Un goulot d’étranglement est le point qui limite le chemin. Un serveur à 10 Gbit/s ne peut pas envoyer à ce débit vers des clients accessibles par une liaison à 1 Gbit/s.

La sursouscription compare la capacité totale d’accès à la capacité totale des liaisons montantes. Quarante-huit ports à 1 Gbit/s derrière deux liaisons montantes actives à 10 Gbit/s donnent :

C’est un rapport de capacités, pas une mesure de l’utilisation actuelle. La sursouscription est courante, car les clients transmettent rarement tous à pleine vitesse. Un taux d’utilisation élevé et durable des liaisons montantes et des rejets en sortie montrent quand la capacité partagée devient insuffisante.

Estime correctement un transfert

Convertis la taille du fichier en octets en bits avant de la diviser par un débit en bits. Avec des préfixes décimaux, un fichier de 2 Go contient 16 000 mégabits.

À un débit effectif de 80 Mbit/s, le transfert prend 200 s. Le débit nominal donne une borne minimale idéale ; le débit effectif mesuré donne une estimation plus utile pour la planification. Diviser directement des gigaoctets par des mégabits par seconde ignore à la fois la conversion des préfixes et les huit bits d’un octet.

Explique le délai et les pertes

La propagation sur une distance prend du temps ; la sérialisation place les bits sur la liaison ; les équipements ajoutent des délais de traitement et d’attente. Dans la fibre, la lumière parcourt environ 200 km par milliseconde. Augmenter la bande passante locale ne peut pas supprimer le temps de parcours d’un chemin distant.

Les pertes peuvent provenir de rejets dans les files d’attente, d’erreurs physiques, de matériel surchargé ou d’interférences sans fil. TCP retransmet les données manquantes et réduit son débit d’envoi : même une perte modérée peut donc fortement réduire le débit effectif. Les médias en temps réel peuvent quant à eux présenter des coupures.

Pour le Wi-Fi, examine la faiblesse du signal, l’encombrement des canaux, les interférences, le nombre excessif de clients et les clients qui restent associés à un point d’accès éloigné. Compare avec un test filaire réalisé au même endroit pour distinguer les problèmes radio des problèmes touchant une plus grande partie du chemin.

Choisis une amélioration fondée sur les mesures

Dans une agence, les appels se coupent de 13 h 00 à 15 h 00. La liaison Internet à 100 Mbit/s atteint 95 Mbit/s, et les enregistrements de flux identifient une sauvegarde à 70 Mbit/s. Déplacer cette sauvegarde à 22 h 00 réduit la charge de l’après-midi à environ 25 Mbit/s. La qualité de service peut ensuite donner la priorité aux appels pendant les pointes restantes.

Parmi les autres améliorations figurent l’augmentation de la capacité d’un goulot d’étranglement, l’ajout de capacité par agrégation de liens, la correction de défauts du micrologiciel ou le remplacement d’un équipement surchargé. L’agrégation de liens augmente la capacité disponible pour l’ensemble des flux ; un flux peut toutefois rester limité à une seule liaison membre. La qualité de service modifie la priorité, pas la capacité totale. Mesure à nouveau sous une charge comparable pour vérifier l’amélioration.

Le transfert à l’exploitation consiste à montrer que le réseau installé respecte ses exigences et à laisser des documents utilisables par le prochain exploitant. Une connexion Internet réussie ne couvre qu’une petite partie de cette tâche.

Transforme les exigences en tests documentés

Pars des objectifs convenus pour les équipements, les services, la couverture et les performances. Établis une liste de vérification qui associe chaque exigence à un test et à un résultat. Inclus les nouveaux équipements et les composants réparés.

Teste chaque liaison permanente, compare les étiquettes aux deux extrémités avec le plan de câblage, puis répare les défauts et teste à nouveau les liaisons. Utilise un certificateur lorsque le contrat exige une certification de catégorie. Conserve le rapport et les résultats mesurés de chaque liaison avec son identifiant.

Pour la configuration, vérifie que les identifiants par défaut ont été remplacés, que le micrologiciel stable approuvé est installé, que l’heure et NTP sont réglés et que les adresses IP, les VLAN et la sécurité sans fil prévus sont configurés. Désactive les ports et services inutilisés. Enregistre et sauvegarde les paramètres finaux vérifiés.

Teste chaque service et chaque segment

Utilise des clients de test sur des ports représentatifs dans chaque VLAN et sur chaque réseau sans fil. Vérifie qu’ils obtiennent l’adresse prévue, atteignent la passerelle, résolvent les noms et accèdent aux serveurs et aux services Internet requis.

Teste ensuite les types d’équipements installés : les téléphones passent des appels, les imprimantes impriment, les caméras transmettent leur flux et les points d’accès desservent les clients. Si une redondance a été installée, réalise le test de basculement convenu dans une fenêtre maîtrisée, par exemple en retirant une liaison montante et en vérifiant la continuité du service requis.

Consigne le lieu, l’heure, la méthode et le résultat du test. Une défaillance limitée à un VLAN doit faire l’objet d’un résultat distinct même si les autres VLAN réussissent les tests.

Mesure et optimise

Mesure le débit effectif entre des terminaux définis, ainsi que la latence et les pertes. Pour le sans-fil, vérifie la couverture du signal pièce par pièce. Ces premiers relevés constituent une référence de performance.

L’optimisation améliore une installation déjà fonctionnelle. Elle peut consister à choisir un canal sans fil moins encombré, à utiliser une bande plus rapide prise en charge, à corriger des problèmes de micrologiciel, à renforcer la sécurité ou à remplacer un composant lent. Modifie un élément à la fois et répète la mesure pertinente afin de pouvoir attribuer le résultat au changement.

Supposons qu’une prise murale réussisse un test de continuité de base, mais que le trafic qui y passe produise des erreurs CRC de plus en plus nombreuses. Un test de raccordement plus performant identifie une paire dépairée. Raccorde-la de nouveau, répète les tests du câble et du trafic, puis consigne « Prise 1.04 : conforme après nouveau raccordement ». Mets à jour le plan afin que l’emplacement et le résultat restent associés.

Remets le dossier de transfert à l’exploitation

Fournis les schémas physiques et logiques, les plans de câblage et les rapports de test, le plan d’adressage, l’inventaire du parc avec les numéros de série et les micrologiciels, ainsi que les sauvegardes de configuration actuelles. Transmets les identifiants d’administration par un canal sécurisé. Inclus les instructions d’assistance courante et de récupération.

L’automatisation permet à un administrateur de décrire une fois un changement et de l’appliquer à de nombreux équipements. Elle collecte aussi l’état, sauvegarde les paramètres et compare les configurations réelles à la norme approuvée. La personne qui l’utilise doit toujours comprendre le résultat attendu.

Décris les paramètres sous une forme reproductible

L’infrastructure en tant que code (IaC) stocke les définitions de l’infrastructure dans des fichiers texte versionnés. Une modification examinée consigne ce qui a changé et pourquoi. Les modèles peuvent partager des paramètres communs, tandis que des variables fournissent le nom, l’adresse d’administration et la liste des VLAN de chaque équipement.

Une opération idempotente atteint le même état souhaité lorsqu’elle est répétée. Si le VLAN 30 correspond déjà à la définition, une tâche idempotente adaptée le laisse inchangé. La répétition ne consiste pas à créer une autre copie de la ressource.

L’historique des versions aide à récupérer les définitions antérieures, mais le réseau installé doit toujours être vérifié après l’application d’une version. L’état des équipements et des services dépendants détermine si un retour arrière réussit.

Reconnais les outils courants

Ansible utilise des inventaires et des playbooks YAML. Il accède normalement aux équipements réseau par SSH ou API sans installer d’agent sur les équipements. Terraform décrit les ressources de manière déclarative en HCL, compare la configuration souhaitée à l’état enregistré et aux informations du fournisseur, affiche un plan, puis applique les actions approuvées. Il est courant pour les ressources cloud et celles des contrôleurs.

Puppet et Chef utilisent traditionnellement des agents qui obtiennent leur configuration auprès d’un service central. Ces outils diffèrent par leur mode de fonctionnement, mais chacun nécessite des définitions correctes, un accès approprié et un moyen de vérifier les résultats.

L’automatisation facilite aussi les sauvegardes courantes, les contrôles de conformité, la détection des dérives et la collecte des états. Le provisionnement sans intervention permet à un nouvel équipement d’obtenir automatiquement sa configuration initiale lorsqu’il est connecté.

Maîtrise la portée d’un changement

Un modèle correct réduit les saisies répétées et les incohérences de paramètres. Un modèle défectueux peut propager la même erreur à toutes les cibles. Examine le changement proposé, teste-le sur un petit groupe, vérifie le résultat et étends le déploiement par étapes maîtrisées. Conserve les sauvegardes et un plan de retour arrière dans le cadre du processus habituel de gestion des changements.

Par exemple, un playbook destiné à mettre à jour un serveur NTP doit d’abord être testé sur des commutateurs choisis. Confirme la synchronisation horaire et l’accès d’administration avant de l’exécuter sur l’ensemble de l’inventaire. Une réussite signalée par l’outil doit être vérifiée par rapport à l’état des équipements et des services.

Examine les résultats de l’IA

L’IA prédictive et l’apprentissage automatique détectent les comportements inhabituels dans les données de supervision et prévoient les besoins de capacité ou les pannes possibles. L’IA générative peut résumer les événements, répondre aux questions ou préparer des configurations.

Une proposition plausible peut contenir un nom d’interface, une adresse ou une commande incorrects. Compare-la à la documentation réseau et teste-la avant sa mise en œuvre. L’IA peut aider à organiser les éléments recueillis ; elle ne supprime pas la responsabilité de vérifier l’action proposée et ses effets.

Une API définit comment un programme demande des données ou des actions à un autre. Les contrôleurs réseau exposent des API afin que les outils puissent lire l’état des équipements ou demander des changements sans parcourir les menus.

Lis un échange HTTP

Une API de type REST identifie les ressources par des URI, par exemple https://controller.example.com/api/v1/devices/42. Une requête possède une méthode, des en-têtes et parfois un corps. La réponse possède un code d’état et souvent des données. Les requêtes sans état contiennent le contexte nécessaire à leur traitement, y compris les éléments d’authentification lorsqu’ils sont requis.

Ces actions correspondent à CRUD : créer, lire, mettre à jour et supprimer. Consulte le contrat de la ressource de l’API pour connaître le corps accepté et le comportement exacts.

Lis le code d’état avant de considérer qu’une requête a réussi. 200 signifie OK, 201 signifie que la ressource a été créée et 204 indique une réussite sans contenu dans la réponse. Une réponse 400 signale une requête incorrecte ; examine son corps pour trouver un JSON mal formé, un champ manquant ou une valeur invalide. 401 concerne une authentification absente ou invalide. 403 signifie que la requête est refusée faute de droits suffisants dans le processus habituel d’administration authentifiée. 404 signifie que la ressource est introuvable ; 500 signale une erreur du serveur.

Protège les éléments d’authentification

L’authentification de base encode un nom d’utilisateur et un mot de passe mais ne les chiffre pas ; utilise-la uniquement sur HTTPS. Une clé API est un identifiant secret. L’accès par jeton envoie un jeton, souvent sous la forme Authorization: Bearer suivi de sa valeur. OAuth est un cadre couramment utilisé pour obtenir des jetons d’accès.

Une requête de lecture avec un jeton expiré peut renvoyer 401. La même requête avec un jeton valide peut renvoyer 200. Un compte en lecture seule qui tente une suppression peut recevoir 403. Changer le mot de passe ne donne pas à ce compte le droit de suppression.

Lis les valeurs et la structure JSON

JSON utilise des objets entre accolades et des tableaux ordonnés entre crochets. Les clés des objets et les valeurs de type chaîne utilisent des guillemets doubles droits. Les nombres, les booléens et null ne sont pas entre guillemets.

{
  "hostname": "SW1",
  "uptime_days": 41,
  "poe": true,
  "interfaces": [
    {"name": "Gi1/0/1", "vlan": 10},
    {"name": "Gi1/0/2", "vlan": 30}
  ]
}

L’objet extérieur possède quatre clés. interfaces contient deux objets, et la valeur VLAN de la seconde interface est le nombre 30. Écrire "30" en ferait une chaîne. L’en-tête Content-Type: application/json indique que le corps est au format JSON.

JSON interdit les commentaires, les chaînes entre guillemets simples et les virgules après le dernier élément. Il exige des virgules entre les éléments voisins. Vérifie la syntaxe séparément des exigences de l’API relatives aux champs : un JSON valide peut tout de même demander un VLAN invalide ou omettre un nom obligatoire. Lis le corps de la réponse pour connaître le problème signalé par le serveur.

Dans un réseau traditionnel, chaque équipement construit les informations de transmission à l’aide de ses propres fonctions de contrôle et est généralement administré par des sessions individuelles. Un réseau piloté par contrôleur ajoute une vue centrale et une politique partagée, tandis que les équipements continuent à transmettre le trafic.

Distingue trois fonctions

Un réseau défini par logiciel (SDN) sépare une grande partie du travail de contrôle des équipements de transmission et le coordonne par un contrôleur. La vue du contrôleur facilite la cohérence des politiques et l’automatisation. Les commutateurs et les routeurs conservent leur rôle dans le plan de données.

Situe les interfaces par rapport au contrôleur

Les interfaces nord relient les applications, les scripts et les tableaux de bord au contrôleur, souvent au moyen d’API REST. Une application y demande une politique ou lit l’état de l’ensemble du réseau.

Les interfaces sud relient le contrôleur aux équipements. Selon l’architecture, les technologies peuvent comprendre NETCONF, RESTCONF, OpenFlow, SNMP ou SSH. « Nord » et « sud » décrivent le rôle de l’interface, pas l’emplacement de ses extrémités dans le bâtiment.

Pour un changement du réseau invité, une application peut demander une politique par l’interface nord. Le contrôleur applique ensuite les paramètres aux équipements par l’interface sud et collecte les résultats. Un déploiement partiel doit tout de même être examiné ; l’administration centralisée rend les résultats visibles mais ne garantit pas que chaque cible a accepté le changement.

Distingue réseau sous-jacent et réseau superposé

Le réseau sous-jacent est le réseau physique d’équipements et de liaisons connectés en IP. Un réseau superposé crée un réseau virtuel au-dessus de celui-ci à l’aide de tunnels, comme VXLAN, pour transporter des segments distincts. Une fabric réseau réunit le réseau sous-jacent et le réseau superposé dans un système administré.

Un tunnel dépend toujours du chemin sous-jacent. Lorsqu’un terminal du réseau superposé est inaccessible, teste la connectivité du réseau sous-jacent avant de supposer que la politique du réseau virtuel est incorrecte.

Traduis l’intention en comportement vérifié

Avec le réseau fondé sur l’intention, l’administrateur énonce un objectif comme « les invités ne peuvent accéder qu’à Internet ». Le contrôleur le traduit en paramètres et vérifie si le comportement correspond à l’intention. Cisco Catalyst Center est un exemple de contrôleur d’administration de campus.

Le SD-WAN applique une politique centralisée aux connexions entre sites. Il peut diriger les applications sur plusieurs liaisons selon la qualité mesurée et la politique. Les commutateurs et points d’accès gérés dans le cloud offrent un modèle d’administration centralisée apparenté, au moyen d’un tableau de bord hébergé.

Les contrôleurs offrent un provisionnement plus rapide, des paramètres cohérents et une visibilité partagée. Ils exigent aussi de la sécurité, de la résilience et des compétences, et peuvent créer une dépendance envers un fournisseur. Pendant une panne du contrôleur, les équipements continuent généralement à transmettre le trafic existant dans les architectures courantes, tandis que les nouvelles politiques et opérations d’administration peuvent être indisponibles. Le comportement exact dépend de l’architecture et de l’état déjà conservé par les équipements.