Réseaux, topologies et équipements

Un réseau relie des appareils afin qu’ils puissent échanger des données et partager des ressources. Ouvrir un dossier partagé, imprimer un document et charger un site web font tous intervenir des appareils qui communiquent, mais les données ne suivent pas toujours le même chemin.

Appareils, liaisons et règles

Chaque appareil connecté est un nœud. Un terminal crée ou reçoit les données : ordinateur portable, téléphone, serveur, imprimante ou caméra. Un équipement intermédiaire, comme un commutateur, un routeur, un point d’accès ou un pare-feu, transmet ou contrôle les données entre les terminaux. Un serveur reste un terminal même lorsqu’il sert des centaines de clients.

Une carte d’interface réseau (NIC) assure la connexion filaire ou sans fil d’un appareil à un support. Un câble Ethernet en cuivre transporte des signaux électriques ; une fibre optique transporte de la lumière et convient aux liaisons plus longues ou aux lieux exposés aux interférences électriques. Le Wi-Fi, les réseaux cellulaires et le Bluetooth utilisent la radio. Un ordinateur portable peut posséder une interface filaire et une interface sans fil.

Les appareils suivent des protocoles, c’est-à-dire des règles de communication convenues. Ethernet gère les liaisons locales filaires, le Wi-Fi les liaisons locales sans fil, le protocole Internet (IP) transporte les paquets entre les réseaux et le protocole de transfert hypertexte sécurisé (HTTPS) sécurise les requêtes web. Le respect de règles communes permet aux équipements de différents fabricants de fonctionner ensemble. Les données circulent en petites unités portant des adresses source et de destination : des trames sur les liaisons locales et des paquets entre les réseaux.

Deux adresses aux rôles différents

Une adresse MAC Ethernet ordinaire comporte 48 bits, représentés par six paires de chiffres hexadécimaux. Une interface possède une adresse attribuée par son fabricant, mais le logiciel peut utiliser une adresse attribuée localement. De nombreux téléphones et ordinateurs portables utilisent des adresses MAC Wi-Fi privées qui diffèrent selon les réseaux. Déplacer un ordinateur portable dans un autre bureau change généralement son adresse IP ; son adresse MAC filaire reste normalement la même. Ne considère pas une adresse MAC comme une identité immuable pour tout un ordinateur.

Capacité, débit atteint et délai

La bande passante est le débit maximal d’une liaison. Le débit effectif est le débit réellement atteint. La latence est le délai de transmission, généralement mesuré en millisecondes. Une liaison de grande capacité peut malgré tout présenter un long délai, et le trafic concurrent peut réduire le débit effectif sans modifier la bande passante annoncée.

Les débits réseau utilisent les bits par seconde : 1 Mbit/s correspond à 1 000 000 bit/s et 1 Gbit/s à 1 000 Mbit/s. Les tailles de fichiers utilisent les octets : 1 octet correspond à 8 bits. Dans les symboles anglais, la différence entre b minuscule et B majuscule est importante.

Pour un fichier de 1 Go sur une liaison à 100 Mbit/s :

1. Convertis les octets en bits : $1000000000\times 8=8000000000$ bits.
2. Divise par le débit : $8000000000÷100000000=80$ secondes.
3. À 1 Gbit/s, le même transfert idéal prend 8 secondes. La surcharge protocolaire et le partage du trafic allongent les transferts réels.

Une liaison à 100 Mbit/s transporte donc au maximum 12,5 Mo par seconde, et non 100 Mo par seconde. Distingue aussi le Wi-Fi de l’accès à Internet : le Wi-Fi permet de rejoindre le réseau local ; un routeur et un fournisseur d’accès à Internet (FAI) fournissent l’accès au-delà de ce réseau. L’impression locale peut continuer à fonctionner pendant une panne d’Internet.

Les noms des réseaux décrivent souvent leur étendue et la propriété de leurs liaisons. Commence par les appareils et les sites reliés, puis demande-toi qui exploite les liaisons. La vitesse d’une connexion ne suffit pas à déterminer son type de réseau.

D’une personne à des bureaux éloignés

Ces catégories pratiques ont des frontières approximatives. Une université peut posséder un réseau de campus entre ses bâtiments et louer une connexion WAN vers un site de recherche dans une autre ville. Un réseau étendu rapide reste un réseau étendu. Internet relie les réseaux à l’échelle mondiale et n’a pas de propriétaire unique ; il est souvent décrit comme le plus grand réseau étendu.

Deux autres termes répondent à des questions différentes. Un réseau de stockage (SAN) est nommé d’après sa fonction : relier des serveurs à un stockage partagé. SOHO, pour petit bureau ou bureau à domicile, décrit une petite installation, souvent construite autour d’un routeur Internet tout-en-un.

Comment relier des sites éloignés

Une liaison louée fournit une connexion point à point dédiée à bande passante fixe. Le réseau de commutation multiprotocole par étiquette (MPLS) d’un fournisseur ou Metro Ethernet peut aussi relier des sites d’entreprise. Un accès haut débit professionnel peut utiliser la ligne d’abonné numérique (DSL) sur le câblage téléphonique, le câble sur le réseau de télévision ou la fibre jusqu’aux locaux. Les réseaux cellulaires 4G/5G et le satellite atteignent des lieux où les connexions fixes sont difficiles et peuvent fournir des liaisons de secours.

Un réseau privé virtuel (VPN) ajoute un tunnel chiffré sur un autre réseau, souvent Internet. La connexion physique provient toujours d’un fournisseur d’accès à Internet ; le tunnel protège le trafic entre ses extrémités. Le réseau étendu défini par logiciel (SD-WAN) gère plusieurs liaisons WAN de manière centralisée et choisit des chemins adaptés aux applications. Par exemple, un bureau peut disposer de liaisons fibre et cellulaire, le trafic des applications étant dirigé selon l’état des liaisons.

Pourquoi un débit élevé peut sembler lent

Un satellite géostationnaire se trouve à environ 35 786 km au-dessus de l’équateur. Une requête monte et redescend, puis la réponse monte et redescend à son tour. Même le plus court de ces allers-retours couvre environ 143 000 km. À environ 300 000 km/s, le seul trajet du signal prend environ 0,48 seconde, soit 480 ms. Les équipements et le reste du trajet ajoutent du délai.

Les satellites en orbite terrestre basse sont beaucoup plus proches et leur délai de transmission est plus faible. Cette comparaison concerne la latence, et non le nombre de bits qu’un service peut transporter par seconde. Un téléchargement volumineux et une conversation vocale en direct peuvent donc être ressentis très différemment sur une même connexion satellite.

Un service peut être demandé à un système central ou partagé directement par les ordinateurs qui l’utilisent. Ces deux organisations changent la façon de gérer les comptes, les fichiers et les sauvegardes. Les rôles appartiennent aux logiciels : la forme du boîtier d’un ordinateur renseigne donc peu sur le modèle de partage.

Un client demande ; un serveur fournit

Dans un réseau client-serveur, les clients demandent des services à des serveurs dédiés. Un navigateur web est le client d’un serveur web. Un ordinateur de bureau peut demander un dossier partagé à un serveur de fichiers et envoyer une tâche par un serveur d’impression. La messagerie, les bases de données et la connexion centralisée sont d’autres rôles courants des serveurs.

Un serveur d’annuaire et d’authentification, comme Microsoft Active Directory, conserve les comptes et vérifie les connexions. Un serveur du protocole de configuration dynamique des hôtes (DHCP) attribue des adresses réseau. Un serveur du système de noms de domaine (DNS) résout les noms, comme « example.com », en adresses. Une machine physique peut exécuter plusieurs services, tandis qu’un service très sollicité peut être réparti sur plusieurs machines.

Le matériel serveur est conçu pour la fiabilité et un grand nombre d’utilisateurs, mais un ordinateur de bureau peut exécuter un logiciel serveur. De même, un service cloud reste client-serveur : le navigateur demande le service aux serveurs du fournisseur.

Partage entre pairs

Dans un réseau pair à pair (P2P), chaque ordinateur peut demander et fournir des services. Trois personnes peuvent partager des dossiers et une imprimante depuis leurs propres ordinateurs. Le dossier partagé dépend de l’ordinateur qui l’héberge : éteins cet ordinateur et son dossier devient inaccessible.

Dans un groupe de travail Windows, chaque ordinateur conserve ses propres comptes. Si une personne utilise plusieurs ordinateurs, ces comptes doivent être gérés séparément. Dans un domaine, un annuaire conserve les comptes de manière centralisée. Un administrateur peut désactiver un compte central lorsqu’un salarié quitte l’entreprise.

Choisir selon le travail à accomplir

Un cabinet dentaire commence avec quatre ordinateurs qui partagent une imprimante et un dossier. Le pair à pair est simple à cette taille. Avec 25 membres du personnel, l’accès aux dossiers patients doit être contrôlé, les comptes doivent être supprimés de manière centralisée et les sauvegardes doivent s’exécuter chaque nuit. Une organisation client-serveur, avec des serveurs locaux ou des services cloud adaptés, rend ces tâches gérables.

La centralisation concentre aussi les responsabilités. Si un seul serveur fournit un service essentiel, sa panne interrompt ce service en l’absence de redondance. La redondance maintient un service disponible malgré une panne ; les sauvegardes restaurent des données antérieures après une perte ou une détérioration. Une organisation peut avoir besoin des deux.

Certaines applications combinent les organisations. Un service d’appel vidéo peut utiliser des serveurs centraux pour la connexion et la recherche d’autres utilisateurs, puis envoyer directement les flux entre les participants. Décris le rôle de chaque composant au lieu de supposer que toutes les connexions d’une application suivent un seul modèle.

Une topologie décrit les liaisons entre les équipements. La topologie physique décrit les équipements et les câbles. La topologie logique décrit la circulation des données. Lis les connexions sans te fier à la forme que prend le schéma sur la page.

Suivre les liaisons et les pannes possibles

Les premières versions d’Ethernet sur câble coaxial utilisaient un bus. Les réseaux locaux filaires modernes utilisent couramment des étoiles et des étoiles étendues. Les anneaux restent utiles dans les réseaux de fibre des fournisseurs. Dans un réseau étendu en étoile autour d’un site central, « hub » désigne le site central, et non un ancien concentrateur Ethernet.

Une étoile est facile à étendre, car un nouveau terminal nécessite un câble et un port libre sur l’équipement central. Elle permet aussi de limiter facilement les effets d’un défaut de câble. Son centre reste un point de défaillance unique. Un maillage partiel coûte plus cher en raison de certaines liaisons supplémentaires, mais maintient disponibles des routes importantes.

Compter une seule fois les liaisons d’un maillage complet

Avec cinq sites, chaque site est relié à quatre autres. La multiplication donne 20 extrémités de liaison, mais chaque liaison a été comptée à ses deux extrémités. Divise par deux :

Ici, $n$ est le nombre de nœuds et $L$ le nombre de liaisons non orientées. Cinq sites nécessitent 10 liaisons et quatre ports par site. Dix sites nécessitent 45 liaisons et neuf ports chacun. Cette croissance rapide rend le maillage complet coûteux ; la plupart des réseaux réservent les liaisons supplémentaires aux endroits qui en ont le plus besoin.

Les dispositions physiques et logiques peuvent différer

Un ancien concentrateur peut se trouver au centre de câbles disposés physiquement en étoile. Il répète chaque signal entrant sur les autres ports, de sorte que tous les appareils entendent le trafic partagé : logiquement, il se comporte comme un bus. Les équipements Token Ring pouvaient aussi utiliser un câblage en étoile tout en faisant circuler les données dans un anneau logique.

Un commutateur moderne apprend les destinations et envoie le trafic de monodiffusion connu sur la liaison correspondante, ce qui forme une étoile logique. Les systèmes réels combinent souvent plusieurs architectures : chaque agence possède une étoile, les agences sont reliées au siège comme les branches d’une étoile et le siège possède un maillage partiel. Cette combinaison est une topologie hybride.

Un grand campus est plus facile à étendre lorsque les commutateurs ont des rôles précis. Une architecture hiérarchique sépare les connexions des terminaux, les décisions relatives aux politiques et le transport à haut débit. Ce sont des fonctions du réseau, et non des étages d’un bâtiment.

Trois rôles

Une liaison montante transporte le trafic d’un commutateur d’accès vers le reste du réseau. La couche de distribution rassemble un grand nombre de ces connexions. C’est généralement là que l’on décide si le trafic peut passer d’un réseau interne à un autre. Le cœur transporte ensuite le trafic entre les blocs de distribution. En conservant le filtrage détaillé à la couche de distribution, on évite de ralentir le réseau dorsal par des traitements inutiles.

Regrouper les équipements par rôle limite aussi les perturbations. La panne d’un commutateur d’accès touche les appareils qui y sont reliés, tandis que les autres commutateurs d’accès peuvent continuer à fonctionner. L’ajout d’un bloc d’accès permet d’étendre le réseau sans repenser chaque connexion.

Deux couches pour un campus plus petit

Un cœur de réseau réduit combine les rôles de distribution et de cœur dans une seule paire de commutateurs. Cette solution utilise moins d’équipements et coûte moins cher, ce qui la rend utile pour un bâtiment de plusieurs étages ou un campus plus petit. Elle laisse moins de possibilités d’extension et de redondance que des blocs de distribution et un cœur séparés.

Un très petit bureau doté d’un seul commutateur n’a pas besoin de couches formelles. À l’autre extrême, un campus comportant de nombreux bâtiments bénéficie de trois couches. Choisis l’architecture selon le nombre de blocs, le trafic qu’ils échangent et les besoins d’extension. Un commutateur situé à un étage intermédiaire n’est pas nécessairement un commutateur de distribution ; il peut simplement connecter les postes de cet étage.

Étudier une architecture redondante

Supposons que trois bâtiments comptent chacun quatre étages, avec un commutateur d’accès par étage :

1. Il y a $3\times 4=12$ commutateurs d’accès.
2. Chaque commutateur d’accès possède une liaison montante vers chacun des deux commutateurs de sa paire de distribution.
3. Le total est de $12\times 2=24$ liaisons montantes.

Si un commutateur de distribution tombe en panne, les commutateurs d’accès disposent toujours de l’autre liaison montante et de l’autre commutateur de distribution. Si un commutateur d’accès tombe lui-même en panne, ses terminaux perdent malgré tout leur connexion directe. Les liaisons montantes redondantes protègent les chemins situés au-dessus du commutateur d’accès ; elles ne remplacent pas ce commutateur.

Un commutateur décide quelle liaison locale doit transporter une trame. Il apprend à partir du trafic, sans qu’un technicien ait besoin de saisir l’adresse de chaque terminal. Il est ainsi plus efficace qu’un ancien concentrateur, qui répète chaque signal sur tous les autres ports.

Apprendre la source, transmettre à la destination

Un commutateur conserve une table des adresses MAC qui associe les adresses des interfaces aux ports. À la réception d’une trame, il apprend l’adresse source sur le port d’entrée, puis recherche l’adresse de destination.

L’inondation exclut le port d’entrée. Elle reste limitée au VLAN de la trame. Les entrées inutilisées de la table expirent ; 300 secondes est une valeur par défaut courante, ce qui permet à la table de suivre les appareils déplacés ou déconnectés.

Pars d’une table vide, avec l’ordinateur A sur le port 1, B sur le port 2 et C sur le port 3. A envoie une trame à B. Le commutateur apprend A sur le port 1 mais n’a pas appris B : il inonde donc les ports 2 et 3. C rejette la trame parce qu’elle est adressée à B. B répond : le commutateur apprend B sur le port 2 et connaît déjà A, il envoie donc la réponse uniquement sur le port 1. Par la suite, les trames de A vers B peuvent être envoyées uniquement sur le port 2.

Signaux partagés et liaisons distinctes

Un concentrateur fait partager la bande passante à tous les terminaux, qui émettent à tour de rôle : c’est le semi-duplex. Des émissions simultanées provoquent des collisions. Chaque port de commutateur fournit une liaison distincte et fonctionne normalement en duplex intégral, en émettant et en recevant simultanément sans collision. Les appareils partagent toujours les diffusions au sein de leur VLAN, appelé domaine de diffusion.

Un commutateur non administrable fonctionne sans configuration. Un commutateur administrable offre des réglages et une supervision pour les VLAN, la sécurité des ports, l’alimentation et les statistiques de trafic. Les entreprises utilisent des commutateurs administrables pour contrôler et observer leurs réseaux.

Séparer les réseaux logiques et fournir l’alimentation

Un VLAN divise un réseau physique commuté en réseaux locaux logiques distincts, par exemple pour le personnel, les invités et les caméras. Des VLAN différents ont besoin du routage pour échanger du trafic. Un commutateur de couche 2 transmet selon l’adresse MAC ; un commutateur de couche 3 route aussi selon l’adresse du protocole Internet (IP) entre les VLAN et les sous-réseaux.

L’alimentation par Ethernet (PoE) transporte l’alimentation et les données sur le même câble, ce qui est utile pour les téléphones, les caméras et les points d’accès. Les limites côté commutateur et la puissance côté appareil diffèrent parce que la résistance du câble consomme une partie de l’énergie :

Vérifie à la fois la norme prise en charge par un port et le budget total du commutateur. Un commutateur qui possède assez de ports peut malgré tout manquer de puissance pour tous les appareils connectés.

Un commutateur trouve un port de destination local ; un routeur trouve un chemin vers un autre réseau utilisant le protocole Internet (IP). Le routeur examine l’adresse IP de destination d’un paquet et consulte une table de routage. Ses interfaces sont reliées à différents réseaux.

Déterminer si la destination est locale

Un ordinateur portable possède l’adresse 192.168.10.25 sur le réseau 192.168.10.0/24. Pour ce réseau /24, les trois premiers nombres identifient le réseau. Sa passerelle par défaut est 192.168.10.1.

1. Une demande d’impression vers 192.168.10.40 reste sur le même réseau et passe par le commutateur jusqu’à l’imprimante.
2. Une requête vers le serveur web 203.0.113.80 est destinée à un autre réseau.
3. L’ordinateur portable envoie ce paquet à sa passerelle par défaut, l’interface du routeur sur son réseau local.
4. Le routeur choisit l’étape suivante vers le serveur.

Une table de routage répertorie les réseaux de destination avec un saut suivant ou une interface de sortie. Une route par défaut fournit un saut suivant lorsqu’aucune route plus précise ne correspond. En l’absence de route correspondante et de route par défaut, le routeur rejette le paquet. La passerelle par défaut de l’ordinateur et la route par défaut du routeur sont des paramètres liés, situés sur des équipements différents, et non deux noms interchangeables pour un même paramètre.

Les routeurs séparent les domaines de diffusion locaux ordinaires. Ils réduisent aussi de un la durée de vie (TTL) d’un paquet à chaque saut de routage et le rejettent lorsqu’elle atteint zéro, ce qui empêche sa circulation sans fin dans une boucle de routage.

Un routeur et un terminal de ligne ont des rôles différents

Un routeur sans fil de petit bureau ou bureau à domicile (SOHO) combine un routeur, un petit commutateur, un point d’accès, un pare-feu, un service d’adressage utilisant le protocole de configuration dynamique des hôtes (DHCP) et la traduction d’adresses réseau (NAT). La NAT permet aux appareils privés de partager une adresse Internet publique. Certains boîtiers intègrent aussi le modem. Le Wi-Fi provient de la fonction de point d’accès, et non du routage lui-même.

Suivre une requête Internet

Un ordinateur portable à domicile envoie une requête web par Wi-Fi au point d’accès du boîtier tout-en-un. Le routeur la transmet vers le fournisseur, la NAT traduit l’adresse source privée et le modem ou l’ONT transporte le trafic sur la liaison d’accès du fournisseur. Le fournisseur d’accès à Internet (FAI) et d’autres routeurs l’acheminent ensuite jusqu’au serveur web. Le trafic de réponse revient à l’ordinateur portable par l’équipement de périphérie ; son chemin sur Internet peut différer de celui de l’aller.

Les routeurs de périphérie d’entreprise peuvent assurer la terminaison de tunnels de réseau privé virtuel (VPN), utiliser deux fournisseurs pour la résilience et appliquer la qualité de service (QoS) pour favoriser le trafic sensible aux délais, comme la voix. Un commutateur de couche 3 est courant pour le routage interne rapide, tandis qu’un routeur de périphérie offre les interfaces et services de réseau étendu (WAN) nécessaires à la frontière avec le fournisseur.

Un point d’accès sans fil (AP) relie les appareils Wi-Fi à un réseau local filaire. Il fait passer les trames sans fil sur Ethernet par sa connexion au commutateur. Les utilisateurs reconnaissent le réseau sans fil à son identifiant d’ensemble de services (SSID), le nom affiché dans la liste Wi-Fi de leur appareil.

Organiser la couverture autour de connexions filaires

Un point d’accès autonome ne route pas entre les réseaux. Un routeur sans fil domestique contient à la fois un point d’accès et un routeur, ce qui peut masquer la différence. Les réseaux d’entreprise placent généralement des points d’accès distincts là où les utilisateurs ont besoin de couverture et les relient par câble à des commutateurs administrables. L’alimentation par Ethernet (PoE) peut alimenter chaque point d’accès par ce même câble.

La couverture radio dépend des murs, des matériaux du bâtiment, de la distance et des interférences. Un point d’accès peut desservir quelques pièces ou un espace ouvert ; une salle très fréquentée peut nécessiter davantage de capacité même lorsque la puissance du signal est bonne. Règle les points d’accès voisins sur des canaux sans chevauchement pour limiter les interférences entre leurs émissions.

Plusieurs points d’accès peuvent proposer le même SSID et les mêmes paramètres de sécurité dans un bâtiment. Lorsqu’une personne se déplace, son téléphone peut passer en itinérance vers un autre point d’accès. Des paramètres cohérents facilitent ce déplacement, même si la couverture et le comportement du client influencent toujours le passage d’un point à l’autre. Des barres de signal pleines décrivent la connexion radio au point d’accès, et non la vitesse ou la disponibilité d’Internet au-delà.

Administrer plusieurs points d’accès

L’administration centralisée peut appliquer les SSID et la sécurité de façon cohérente et ajuster les canaux et la puissance d’émission. Elle réduit le travail nécessaire pour répéter les changements sur de nombreux équipements.

Là où le câblage est impossible, les points d’accès maillés et les répéteurs relaient le trafic sans fil. Cette liaison de collecte sans fil consomme aussi du temps d’antenne : les sauts supplémentaires réduisent donc généralement le débit effectif. Une liaison de collecte filaire transporte directement le trafic du point d’accès vers le commutateur sans utiliser de temps d’antenne Wi-Fi pour ces sauts de relais.

Séparer le personnel et les invités

Utilise l’accès Wi-Fi protégé 3 (WPA3), ou WPA2 si des équipements plus anciens l’exigent. Le mode personnel utilise une phrase de passe partagée. Le mode entreprise vérifie les identifiants individuels des utilisateurs auprès d’un serveur d’authentification, ce qui permet de supprimer l’accès d’une personne sans remplacer le mot de passe partagé de tous. La sécurité de WEP est compromise et cette norme ne convient pas à l’accès du personnel.

Prenons un bureau avec un point d’accès à chacun de ses trois étages. Chacun possède une connexion PoE filaire vers le commutateur de l’étage. Tous proposent « Office » pour le personnel et « Guest » pour les visiteurs. Le trafic du personnel est associé au réseau local virtuel (VLAN) du personnel, tandis que celui des invités est associé à un VLAN distinct dont les règles autorisent l’accès à Internet et bloquent l’accès aux ressources internes. Un second SSID fournit un nom ; l’affectation au VLAN et les règles de trafic assurent la séparation effective.

Un pare-feu contrôle le trafic entre les réseaux ou les zones à l’aide de règles. Les règles peuvent examiner la source, la destination, le protocole et le port. Un port identifie une extrémité de service, comme le port 443 du protocole de contrôle de transmission (TCP) pour le trafic web sécurisé.

Adapter la protection au trafic

Un pare-feu réseau protège une zone ; un pare-feu hôte protège un appareil. Le pare-feu hôte d’un ordinateur portable reste utile lorsque celui-ci quitte le bureau. Ensemble, ils assurent une défense en profondeur, avec une protection en plusieurs points.

Étudier une liste ordonnée de règles

De nombreux pare-feu réseau utilisent le traitement à la première correspondance : ils examinent les règles de haut en bas et s’arrêtent à la première correspondance. Le trafic sans correspondance reçoit la politique par défaut, généralement un refus implicite. Les règles de traitement diffèrent selon les produits ; par exemple, Windows Defender Firewall donne la priorité aux blocages explicites sur les autorisations et autorise normalement le trafic sortant.

Utilise un pare-feu à première correspondance avec refus par défaut et ces règles :

1. Autoriser TCP 443 de toute source vers le serveur web 203.0.113.10.
2. Refuser tout le trafic provenant de 198.51.100.0/24.
3. Autoriser TCP 22 de l’administrateur 198.51.100.7 vers ce serveur web.

La requête TCP 22 de l’administrateur atteint d’abord la règle 2 et est refusée. La règle 3 n’est jamais examinée. Déplacer l’autorisation précise de l’administrateur au-dessus du refus général laisse passer cette connexion. La requête TCP 443 du même administrateur correspond à la règle 1 et est autorisée. Une requête de 192.0.2.50 vers TCP 25 ne correspond à aucune règle et atteint le refus par défaut.

Séparer les services exposés des activités internes

Une zone démilitarisée (DMZ) héberge les services publics comme un serveur web. Elle se trouve derrière des règles qui distinguent Internet à l’extérieur, la zone des services publics et le réseau interne. Si le serveur public est compromis, les ressources internes restent protégées par une frontière contrôlée distincte.

Un système de détection d’intrusion (IDS) examine une copie du trafic provenant d’un port miroir ou d’un TAP réseau et émet des alertes. Un système de prévention d’intrusion (IPS) est placé en ligne et peut rejeter le trafic qui le traverse. Tous deux peuvent utiliser des signatures d’attaques connues ou détecter des comportements qui diffèrent d’une référence normale. Les signatures nécessitent des mises à jour ; la détection d’anomalies peut trouver des attaques inconnues mais produit aussi de fausses alertes.

Un faux positif signale un trafic inoffensif ; un faux négatif laisse passer une attaque réelle. Les faux positifs d’un système de prévention d’intrusion en ligne peuvent interrompre les utilisateurs légitimes. Un équipement de gestion unifiée des menaces (UTM) combine des fonctions comme le pare-feu, la prévention d’intrusion, l’analyse, le filtrage et le réseau privé virtuel (VPN). La protection nécessite toujours plusieurs couches : le trafic web ou de messagerie autorisé peut transporter du contenu nuisible.

Les équipements réseau spécialisés ajoutent des services autour du chemin de commutation et de routage de base. Choisis un équipement selon sa fonction. Un boîtier physique et une machine virtuelle peuvent assurer la même fonction réseau.

Répartir et relayer les requêtes

Un répartiteur de charge distribue les requêtes entre un groupe de serveurs derrière une adresse virtuelle partagée. Il vérifie l’état des serveurs et cesse de sélectionner un serveur défaillant. Avec une répartition cyclique entre S1, S2 et S3, les requêtes 1 à 7 vont à S1, S2, S3, S1, S2, S3 et S1. Si S2 échoue à son contrôle d’état, les nouvelles requêtes alternent entre S1 et S3. L’algorithme du plus petit nombre de connexions est une autre méthode : il choisit le serveur qui possède le moins de sessions actives.

Un proxy direct agit pour les utilisateurs qui envoient des requêtes vers Internet. Il peut filtrer les sites web, mettre du contenu en cache et enregistrer les accès. Un proxy inverse agit pour les serveurs qui reçoivent des requêtes et prend en charge des tâches comme le chiffrement, la mise en cache ou la répartition de charge. Un réseau de diffusion de contenu (CDN) conserve des copies dans de nombreux lieux afin que les utilisateurs reçoivent le contenu depuis des serveurs proches, ce qui réduit le délai et la charge du serveur d’origine.

Connecter les sites ou les utilisateurs distants en toute sécurité

Un réseau privé virtuel (VPN) transporte le trafic réseau dans un tunnel chiffré sur un réseau public. Un VPN site à site relie des réseaux par des passerelles. Un VPN d’accès distant relie l’appareil d’un utilisateur à l’organisation. Un concentrateur VPN assure la terminaison de nombreux tunnels d’utilisateurs distants.

Une configuration en tunnel intégral envoie le trafic Internet de l’appareil dans le tunnel. Une configuration en tunnel fractionné y envoie une partie du trafic de l’entreprise et laisse le reste utiliser la connexion Internet locale. Un proxy direct relaie les requêtes d’une application ; sa fonction diffère donc du transport du trafic réseau dans un tunnel. Vérifie quel trafic le VPN est configuré pour transporter avant de prévoir son chemin.

Fichiers, blocs de disque et alimentation électrique

Un NAS utilise couramment les protocoles de fichiers Server Message Block (SMB) ou Network File System (NFS). Un SAN peut utiliser Fibre Channel ou Internet Small Computer Systems Interface (iSCSI) sur Ethernet. Les utilisateurs voient un dossier partagé sur le NAS ; un serveur voit un volume en mode bloc provenant du SAN. La différence tient au type d’accès présenté, et non simplement au nombre de disques dans l’armoire.

Les serveurs d’entreprise sont souvent montés en baie et exécutent plusieurs machines virtuelles. Les fonctions réseau comme les pare-feu, les routeurs et les répartiteurs de charge peuvent aussi s’exécuter comme des équipements virtuels. Place les commutateurs, le routeur et le pare-feu sur une alimentation protégée, tout comme les serveurs : un serveur en fonctionnement ne peut pas servir les utilisateurs à travers un commutateur éteint. Un répartiteur de charge évite d’envoyer de nouvelles requêtes aux serveurs défaillants, mais il ne restaure pas les données supprimées ; c’est le rôle des sauvegardes.

Le réseau d’une petite entreprise forme une chaîne de fonctions reliées. La ligne du fournisseur aboutit à un modem ou à un terminal de réseau optique (ONT). Un routeur et un pare-feu protègent la périphérie. Un commutateur principal relie les serveurs et le stockage aux commutateurs d’accès, qui connectent les postes de travail, les imprimantes, les caméras et les points d’accès sans fil (AP).

Connecter un appareil au bon endroit

Un chemin filaire typique est appareil → cordon de brassage → prise murale → câble permanent dans le mur → panneau de brassage → cordon de brassage → port de commutateur. Le panneau de brassage assure la terminaison du câblage fixe ; il ne commute pas le trafic. Les appareils fixes qui ont besoin de performances stables, notamment les systèmes de stockage, les imprimantes, les caméras et les points d’accès, se prêtent bien aux connexions filaires.

Les appareils mobiles rejoignent le réseau local sans fil (WLAN) à l’aide du nom du réseau du personnel, ou identifiant d’ensemble de services (SSID). Utilise WPA3, ou WPA2 pour les équipements compatibles plus anciens. Désactive la configuration Wi-Fi protégée (WPS), en particulier sa méthode vulnérable par code PIN. Attribue aux imprimantes, caméras et autres périphériques fixes des adresses du protocole Internet (IP) réservées ou fixes afin que leurs utilisateurs puissent continuer à les trouver.

Calculer un budget de puissance

Un commutateur possède un budget total d’alimentation par Ethernet (PoE) de 370 W. Il réserve 30 W pour chacun des six points d’accès PoE+ et 15,4 W pour chacune des quatre caméras.

1. Puissance réservée aux points d’accès : $6\times 30=180$ W.
2. Puissance réservée aux caméras : $4\times \mathrm{15,4}=\mathrm{61,6}$ W.
3. Puissance totale réservée : $180+\mathrm{61,6}=\mathrm{241,6}$ W.
4. Budget restant : $370-\mathrm{241,6}=\mathrm{128,4}$ W.

Quatre appareils supplémentaires de 30 W nécessitent 120 W et peuvent être ajoutés. Cinq nécessitent 150 W et ne le peuvent pas. Ce sont les valeurs réservées côté commutateur ; la puissance fournie aux appareils est plus faible. Les seuls ports libres ne suffisent pas à déterminer si davantage d’appareils alimentés pourront fonctionner.

Préparer et tester la connexion

Change les identifiants par défaut, mets à jour le micrologiciel, désactive les services inutilisés et place les caméras et objets connectés sur un réseau local virtuel (VLAN) distinct. Un enregistreur vidéo en réseau (NVR) reçoit les enregistrements des caméras ; les téléphones utilisant la voix sur IP (VoIP), les équipements de contrôle d’accès et les appareils de mesure sont d’autres périphériques réseau courants.

Vérifie le voyant de liaison physique. Sous Windows, ipconfig affiche l’adresse IP, le masque et la passerelle par défaut ; ip addr sous Linux et ifconfig sous macOS affichent les adresses des interfaces. Un appareil Windows configuré pour utiliser le protocole de configuration dynamique des hôtes (DHCP) qui s’attribue automatiquement une adresse commençant par 169.254 n’a pas obtenu d’adresse DHCP. Vérifie son câble ou sa connexion Wi-Fi et le service DHCP. Utilise ping pour tester la passerelle, puis une adresse ou un nom sur Internet ; un ping bloqué peut aussi empêcher une réponse.

Un ordinateur portable du personnel qui imprime sur une imprimante de son propre sous-réseau utilise le chemin point d’accès → commutateur → imprimante. Pour un portail cloud, le chemin se poursuit par le commutateur principal, le pare-feu ou routeur, le terminal du fournisseur et le fournisseur d’accès à Internet (FAI) vers le cloud. Un routeur domestique ajouté sans planification peut introduire un autre service d’adressage et un réseau supplémentaire ; un point d’accès administrable est le moyen adapté pour étendre le Wi-Fi d’entreprise.

Un centre de données abrite des serveurs, des systèmes de stockage et des équipements réseau, avec un refroidissement, une sécurité physique et une alimentation redondante. Une organisation peut exploiter ses propres installations, louer de l’espace pour ses équipements en colocation ou utiliser les installations d’un fournisseur cloud. Le réseau doit relier les utilisateurs aux services ainsi que les services entre eux.

Baies et directions du trafic

Une baie 19 pouces standard accueille des panneaux avant de 482,6 mm de large. La hauteur des équipements se mesure en unités de rack : 1U = 44,45 mm, et une baie pleine hauteur courante accueille 42U. Un commutateur en tête de baie relie les serveurs de sa propre baie ; les commutateurs en bout de rangée rassemblent les câbles des serveurs d’une rangée de baies.

Le trafic nord-sud entre dans le centre de données ou en sort, comme une requête d’un utilisateur vers un site web. Le trafic est-ouest circule entre ses serveurs, par exemple lorsqu’un serveur web interroge une base de données ou qu’un système de stockage copie des données vers un autre serveur. Ces noms décrivent des relations, et non les points cardinaux sur un plan d’étage.

Construire des chemins prévisibles entre les serveurs

Dans une architecture spine-leaf, les serveurs se connectent aux commutateurs leaf, et chaque commutateur leaf se connecte à chaque commutateur spine. Dans l’architecture de base, les commutateurs leaf ne sont pas directement reliés entre eux et les commutateurs spine non plus. Le trafic entre des serveurs sur des commutateurs leaf différents suit le chemin leaf → spine → leaf.

Avec quatre commutateurs spine et huit commutateurs leaf, l’architecture nécessite $4\times 8=32$ liaisons entre leaf et spine. Un serveur sur le commutateur leaf 2 peut atteindre le commutateur leaf 7 par n’importe lequel des quatre commutateurs spine. La perte d’un commutateur spine laisse trois de ces chemins. Ajouter un commutateur leaf fournit davantage de ports pour les serveurs ; ajouter un commutateur spine fournit davantage de capacité entre les commutateurs leaf. La longueur constante des chemins convient à un trafic est-ouest important, qui peut emprunter des chemins plus longs dans une hiérarchie de campus traditionnelle.

Plusieurs ordinateurs dans un hôte

La virtualisation des serveurs exécute plusieurs machines virtuelles (VM) sur un hôte physique. Chaque machine virtuelle possède son propre système d’exploitation. Un hyperviseur alloue les ressources de l’hôte et fournit le matériel virtuel utilisé par les machines virtuelles.

Un commutateur virtuel relie les machines virtuelles à l’intérieur de l’hôte et les connecte au réseau physique par les interfaces réseau de l’hôte. Deux machines virtuelles sur le même commutateur virtuel peuvent échanger du trafic sans utiliser de commutateur physique ; un contrôle peut donc être nécessaire à l’intérieur du réseau virtuel.

Un conteneur regroupe une application et ses dépendances tout en partageant le noyau du système d’exploitation de l’hôte. Il est généralement plus petit et démarre plus vite qu’une machine virtuelle dotée de son propre système d’exploitation. Docker est une plateforme de conteneurs connue.

La virtualisation des fonctions réseau (NFV) exécute des fonctions comme les routeurs et les pare-feu sous forme de logiciels sur des serveurs standard. Le réseau défini par logiciel (SDN) sépare le plan de contrôle, qui décide des chemins du trafic, du plan de données, qui transmet le trafic. Un contrôleur central coordonne ces décisions dans l’ensemble du réseau.

Le cloud computing fournit à la demande des ressources informatiques partagées par un réseau. Les ressources peuvent être mises à disposition et libérées rapidement, et leur utilisation est mesurée. Le choix important concerne les tâches prises en charge par le fournisseur et celles qui restent au client.

Quelles sont les caractéristiques du cloud computing ?

Le National Institute of Standards and Technology (NIST) identifie cinq caractéristiques : libre-service à la demande, accès réseau étendu, mutualisation des ressources, élasticité rapide et service mesuré. Un client peut demander des ressources sans attendre qu’une personne installe du matériel, y accéder par le réseau et ajuster la capacité à partir d’un ensemble partagé. La mesure rend l’utilisation et les frais visibles.

Les modèles de service répartissent le travail

Amazon EC2 et Azure Virtual Machines sont des exemples d’IaaS. Azure App Service et Google App Engine sont des exemples de PaaS. La messagerie Microsoft 365 et Salesforce sont des exemples de SaaS.

Le modèle de responsabilité partagée confie au fournisseur les installations physiques et l’infrastructure sous-jacente qu’il fournit. Les clients restent responsables de leurs données et des personnes qui peuvent y accéder. Corriger un système d’exploitation non mis à jour sur une machine virtuelle IaaS incombe au client. Un client SaaS ne corrige pas l’application du fournisseur, mais il supprime les utilisateurs partis et définit les droits d’accès. La portée des sauvegardes et leur durée de conservation doivent aussi répondre aux besoins du client.

Les modèles de déploiement décrivent qui utilise le cloud

Un cloud public sert de nombreux clients sur l’infrastructure d’un fournisseur. Une architecture multilocataire partage le matériel physique tout en isolant logiquement les ressources des clients. Un cloud privé sert une seule organisation ; il peut être sur site ou hébergé ailleurs. Un cloud hybride relie des ressources privées ou sur site à un cloud public afin de partager les charges de travail et les données. Un cloud communautaire sert des organisations ayant des besoins communs. Le multicloud consiste à utiliser plusieurs fournisseurs publics.

Un cloud hébergé de manière privée et une salle de serveurs sur site sont donc deux notions différentes. « Privé » décrit le public auquel le cloud est réservé, et non son adresse physique.

Augmenter la capacité et suivre la demande

La capacité de montée en charge est la possibilité d’augmenter la capacité. La montée en charge verticale utilise une machine plus puissante ; la montée en charge horizontale ajoute des machines. L’élasticité ajoute et retire automatiquement des ressources lorsque la demande change.

Une boutique en ligne fonctionne normalement avec deux serveurs. Une promotion déclenche l’ajout de huit serveurs, portant le total à dix ; ensuite, ces huit serveurs sont retirés. L’ajout de serveurs est une montée en charge horizontale, et leur ajout et leur retrait automatiques selon la demande illustrent l’élasticité. L’utilisation du cloud remplace les achats importants de matériel par des coûts d’utilisation continus et une mise à disposition rapide. Les équipements sur site offrent un contrôle direct sur le matériel et l’emplacement des données, et les services locaux peuvent rester disponibles pendant une panne d’Internet.

Un cloud privé virtuel (VPC) est un réseau isolé logiquement à l’intérieur d’un cloud public. Azure appelle son service correspondant réseau virtuel, ou VNet. Le client choisit les plages d’adresses, les divise en sous-réseaux et contrôle les routes et les filtres entre les ressources.

Séparer les points d’entrée publics des services privés

Prenons un VPC dont la plage est 10.0.0.0/16. Son sous-réseau public, 10.0.1.0/24, héberge un répartiteur de charge accessible au public. Son sous-réseau privé, 10.0.2.0/24, héberge des serveurs d’applications et une base de données.

Un sous-réseau public possède une route vers une passerelle Internet. Une ressource accessible depuis Internet a aussi besoin d’un adressage public adapté et de règles qui autorisent le trafic. Un sous-réseau privé n’a pas de route Internet directe vers ses ressources. Ses serveurs peuvent tout de même établir des connexions sortantes par une passerelle de traduction d’adresses réseau (NAT), par exemple pour télécharger des mises à jour. Cette passerelle autorise les réponses aux connexions initiées sans donner aux clients sur Internet un moyen direct d’établir des connexions vers les serveurs privés.

Placer la base de données derrière une frontière privée maintient les visiteurs publics au point d’entrée. L’application accède à la base de données par un chemin interne autorisé. Les termes « public » et « privé » décrivent des dispositions de routage ; ils doivent être cohérents avec les adresses et les règles pour produire les accès prévus.

Appliquer les filtres au bon niveau

Les groupes de sécurité sont associés aux instances ou aux interfaces réseau. Les listes de contrôle d’accès réseau (ACL réseau) s’appliquent aux frontières des sous-réseaux. Le comportement varie selon le fournisseur ; dans Amazon Web Services (AWS) :

Pour une installation simple avec serveur web et base de données, autorise le port TCP 443 des visiteurs publics vers le groupe du serveur web. Autorise le port TCP 3306 de la base de données uniquement depuis les membres du groupe du serveur web. La règle de la base de données limite la source à la couche web ; elle n’accorde pas le même accès à tous les visiteurs d’Internet. Combine ces filtres avec un routage privé et ne donne pas de point d’entrée public à la base de données.

Relier le bureau au cloud

Un réseau privé virtuel site à site (VPN) chiffre le trafic entre la passerelle du bureau et le réseau cloud sur Internet. Il est rapide à établir et relativement économique, mais dépend de la vitesse et du délai variables d’Internet. Les utilisateurs distants individuels utilisent un VPN d’accès distant.

Une connexion privée dédiée, comme AWS Direct Connect, Azure ExpressRoute ou Google Cloud Interconnect, évite l’Internet public et offre une bande passante et une latence plus prévisibles. Elle coûte plus cher et prend plus de temps à mettre en place. « Connexion privée » désigne le chemin de transport ; ne déduis pas de ce nom une garantie de chiffrement.

Pour l’architecture de la boutique en ligne, le répartiteur de charge public accepte les visiteurs, les serveurs privés récupèrent les mises à jour par NAT et les administrateurs utilisent le VPN entre le bureau et le cloud. La séparation de ces trois chemins permet de décrire précisément qui peut initier chaque connexion.

Un schéma réseau représente un ensemble d’équipements et de liaisons sous une forme utilisable par un technicien. Choisis la vue qui répond à la question : où un élément est installé, à quel réseau il appartient, comment le trafic circule ou combien de place il occupe dans une baie.

Choisir le bon schéma

Les schémas de couche 1 mettent l’accent sur les câbles et les ports. Ceux de couche 2 mettent l’accent sur les commutateurs, les VLAN et les liaisons trunk, qui transportent plusieurs VLAN. Ceux de couche 3 mettent l’accent sur les routeurs, les sous-réseaux, les adresses du protocole Internet (IP) et les passerelles. Des détails physiques et logiques peuvent aussi figurer sur des schémas combinés : lis donc les libellés et la légende.

Décoder les symboles et les libellés

Les conventions courantes représentent un routeur par un cercle avec des flèches, un commutateur par un boîtier plat, un pare-feu par un mur de briques, un point d’accès (AP) avec des ondes radio et un serveur sous forme de tour ou d’équipement en baie. Un nuage masque les détails internes d’Internet ou du réseau d’un fournisseur. Les traits pleins désignent souvent des liaisons filaires ; les pointillés peuvent désigner des liaisons sans fil ou des tunnels de réseau privé virtuel (VPN). La légende précise leur sens dans le schéma considéré.

Un nom comme « HQ-SW-02 » identifie le deuxième commutateur du siège. Dans la notation Cisco courante, « Gi1/0/2 » désigne un port GigabitEthernet, tandis que « Te1/1/1 » désigne un port à 10 gigabits. Des libellés comme « 1G » ou « 10G » indiquent la vitesse de la liaison ; « 192.168.20.0/24 » identifie un sous-réseau et « VLAN 20 Guest » donne le numéro et la fonction d’un réseau logique.

Suivre un chemin complet

Un schéma relie Internet → FW1 → CORE-SW → ACC-SW1 → AP1. La liaison trunk du commutateur transporte le VLAN 10 Staff et le VLAN 20 Guest. Le serveur SRV1 est connecté à CORE-SW dans le VLAN 30.

Le chemin vers Internet d’un téléphone invité est téléphone → AP1 → ACC-SW1 → CORE-SW → FW1 → Internet. Pour déterminer s’il peut atteindre SRV1, vérifie le routage et la politique du pare-feu entre les VLAN 20 et 30. Le partage d’un chemin physique passant par des commutateurs n’autorise pas les communications entre réseaux distincts.

Compter l’espace en baie

Une baie de 42U possède $42\times \mathrm{44,45}=1\mathrm{866,9}$ mm de hauteur de montage. Deux panneaux de brassage de 1U, deux commutateurs d’accès de 1U, un pare-feu de 1U, un routeur de 1U, deux serveurs de 2U, une unité de stockage de 2U et une unité sur batterie de 2U utilisent :

$2+2+1+1+4+2+2=14$ U.

Il reste donc $42-14=28$ U d’espace total de montage. Le plan d’implantation montre où se trouve cet espace libre. Vérifie la date, la version et le statut de plan des ouvrages exécutés du schéma avant de t’y fier pour un changement.

Des documents utiles permettent à un autre technicien de comprendre l’installation sans faire de suppositions. Mets-les à jour au fil des changements du réseau et conserve une copie accessible pendant une panne. Une installation techniquement correcte nécessite aussi une remise que les utilisateurs peuvent comprendre.

Tenir des documents aux fonctions claires

Un inventaire du parc informatique consigne la marque, le modèle, le numéro de série, l’emplacement, la version du micrologiciel ou du logiciel, les licences et la garantie de chaque équipement. Inclus les étapes du cycle de vie, notamment les dates de fin des correctifs de sécurité et de l’assistance technique. Une annonce de fin de vie ouvre un processus de cycle de vie ; elle ne met pas nécessairement fin aux mises à jour ce jour-là.

La gestion des adresses IP (IPAM) consigne les sous-réseaux et les adresses attribuées, réservées ou libres. Elle contribue à éviter les allocations en double et indique où trouver les appareils fixes comme les imprimantes et les caméras. Maintiens la cohérence du plan d’adressage avec les équipements réellement installés.

Étiquette les deux extrémités de chaque câble, ainsi que le panneau de brassage et la prise. Un plan de câblage relie ces étiquettes au service. Une ligne peut indiquer : prise « 2.14 » → panneau B port 14 → commutateur ACC-SW2 port 14 → VLAN 10 → imprimante PRN-2F. Un technicien peut alors identifier le bon port sans tirer sur les câbles pour en découvrir les extrémités.

Consigner le résultat installé et chaque changement

Le dossier des ouvrages exécutés montre ce qui a réellement été installé, y compris les changements effectués pendant les travaux. Le plan initial consigne l’intention ; le dossier des ouvrages exécutés facilite la maintenance ultérieure. La gestion des changements consigne et fait approuver les changements avant leur réalisation. Sauvegarde les configurations des équipements et conserve une configuration de référence dont le bon fonctionnement est connu afin de pouvoir annuler un changement qui échoue.

Pour une imprimante déplacée vers une autre prise, mets à jour son emplacement, la ligne du plan de câblage et le schéma concerné. Vérifie que le relevé d’adresses et les informations du port de commutateur correspondent toujours. Une seule entrée correcte parmi plusieurs documents contradictoires fait perdre du temps pendant une panne.

Interpréter un engagement de service

Un accord de niveau de service (SLA) fixe des objectifs mesurables comme la disponibilité et le délai de réponse. Pour traduire une disponibilité annuelle en durée d’indisponibilité, détermine d’abord la proportion d’indisponibilité. Pour une année de 365 jours :

$365\times 24=8760$ heures.

Avec une disponibilité de 99,9 %, la proportion d’indisponibilité est de 0,1 %, soit 0,001 :

$\mathrm{0,001}\times 8760=\mathrm{8,76}$ heures.

À 99,99 %, elle est de 0,01 %, soit 0,0001 :

$\mathrm{0,0001}\times 8760\times 60=\mathrm{52,56}$ minutes.

Lis la période de mesure et les exclusions du contrat lorsque tu appliques un SLA à un service réel. La disponibilité est différente du délai de première réponse du fournisseur à un signalement de panne.

Remettre le service en langage simple

Un court guide utilisateur explique à quel réseau Wi-Fi du personnel ou des invités se connecter, comment se connecter, comment ajouter l’imprimante concernée, les règles relatives aux mots de passe et qui contacter. Parcours les tâches avec les utilisateurs et vérifie qu’ils savent les accomplir. Donne à un utilisateur une instruction utile comme « Connecte-toi à Office avec ton compte personnel de l’entreprise. »

Conserve les mots de passe administrateur et les identifiants des équipements dans un gestionnaire ou un coffre-fort de mots de passe protégé. Ils n’ont pas leur place dans un guide utilisateur ou sur un schéma. Stocke une copie des documents techniques accessible pendant une panne, par exemple un classeur imprimé dans la baie ou une copie protégée en dehors du réseau qu’elle décrit.