Concevoir une architecture réseau

Démarche : un besoin fonctionnel répond à « que doit-on pouvoir faire ? » ; une exigence technique répond à « dans quelles conditions, avec quelles limites ? ». On range ensuite chaque exigence technique dans une famille du tableau du cours (partie 1).

1. et b)

3. Les phrases 3 et 9 ne sont pas vérifiables : « rapide » et « sécurisé » n’ont ni grandeur, ni unité, ni méthode de contrôle.

1. Faux : chaque couche ne se relie qu’aux couches voisines ; deux commutateurs d’accès passent par la distribution. Sinon, le chemin des données devient imprévisible.
2. Vrai : c’est le cœur replié, recommandé pour un site d’un seul bâtiment.
3. Faux : le cœur doit transporter vite et sans interruption ; le filtrage se fait en distribution.
4. Vrai : il porte les passerelles .1 de chaque VLAN, route entre les VLAN et filtre.
5. Vrai : si le commutateur central tombe, toutes les branches de l’étoile sont isolées.

3. Surréservation = 48 × 1 ÷ 1 = 48 : 1. C’est trop pour cet étage : 6 bornes Wi-Fi chargées le soir peuvent chacune dépasser 100 Mbit/s, et la voix des 30 téléphones partage le même lien. Il faut au moins doubler le lien montant (agrégation de liens, SISR-02), ou mieux passer à un lien à 10 Gbit/s (4,8 : 1).

Données : bloc 172.16.40.0/24 ; marge 20 % arrondie à l’entier supérieur. Formule : un /p offre 2^(32 − p) − 2 hôtes.

2. Attribution du plus grand au plus petit (à besoin égal de préfixe, on suit l’ordre des besoins) :

Chaque réseau commence juste après la diffusion du précédent, sur une adresse multiple de sa taille (0, 64, 128, 160, 176).

3. Adresses libres : de 172.16.40.184 à 172.16.40.255, soit 72 adresses, sous forme de réseaux : 172.16.40.184/29 et 172.16.40.192/26. Le bloc est utilisé à 184 ÷ 256 ≈ 71,88 %.

4. Sans marge, 28 hôtes tiennent dans un /27 (30 hôtes) : il ne resterait que 2 adresses libres, et le premier appareil ajouté (un poste de soins, une imprimante d’étiquettes) obligerait à renuméroter tout le segment. La marge fait passer au /26 et évite cette renumérotation.

1. Ports : 7 + 5 + 2 + 1 + 1 + 1 = 17. Pour garder 20 % de ports libres, les 17 ports utilisés ne doivent pas dépasser 80 % du total : 17 ÷ 0,8 = 21,25, soit 22 ports au moins → commutateur de 24 ports. Ports libres : 24 − 17 = 7, soit 7 ÷ 24 ≈ 29,2 % : l’objectif de 20 % est atteint.

2. Puissance réservée au pire cas :

Modèle X (195 W) : il manque 34,8 W ; certains appareils ne seraient pas alimentés. Modèle Y (370 W) : il reste 140,2 W, soit une occupation de 229,8 ÷ 370 ≈ 62,1 %. Le modèle Y convient.

3. Consommation réelle : 7 × 4,5 + 5 × 13 + 2 × 9 = 31,5 + 65 + 18 = 114,5 W, soit 58,7 % du budget de X. On ne peut pas pour autant choisir X : si le commutateur réserve la puissance selon la classe annoncée (fonctionnement par défaut de beaucoup de modèles), il refusera d’alimenter les derniers appareils. Une borne peut aussi consommer davantage en pleine charge ou quand on active de nouvelles fonctions. On dimensionne au pire cas ; l’allocation selon la consommation mesurée est un réglage qui se vérifie, pas une hypothèse de départ.

4. Le téléphone IP contient un petit commutateur : le câble mural arrive au téléphone, et le poste se branche sur le second port du téléphone. Un seul port du commutateur sert donc deux appareils, dans deux VLAN différents (voix et données, SISR-02). Inconvénient : si le téléphone tombe en panne ou n’est plus alimenté, le poste perd aussi le réseau.

1. Site n = 9 : deuxième octet 40 + 9 = 49.

Aucun de ces réseaux ne chevauche ceux des huit sites, de Vellacor et de sa DMZ.

2. Deuxième octet en binaire : 40 = 0010 1000 ; 47 = 0010 1111 ; 49 = 0011 0001.

• 10.40.0.0/13 couvre les deuxièmes octets dont les 5 premiers bits valent 00101, soit 40 à 47 : 49 n’est pas couvert.
• 10.32.0.0/11 couvre ceux dont les 3 premiers bits valent 001, soit 32 à 63 : 49 est couvert.

Modification du tunnel siège-Vellacor : 10.48.0.0/16 et 10.49.0.0/16 sont contigus et se résument en 10.48.0.0/15 (0011 0000 et 0011 0001 ont 7 bits communs : 8 + 7 = 15). On peut donc déclarer 10.40.0.0/13 et 10.48.0.0/15, ou passer au résumé unique 10.32.0.0/11, que le plan réserve déjà à Kervanet : il couvre les sites jusqu’à n = 23 et évite de retoucher le tunnel à chaque nouveau site.

3. Arguments contre 192.168.1.0/24 :

1. Chevauchement : c’est le réseau de nombreuses boxes ; un salarié ou un technicien de Vellacor connecté depuis chez lui, ou un futur VPN, rencontrerait le même réseau des deux côtés, et le routage deviendrait impossible.
2. Hors du plan : le réseau ne tient pas dans le bloc du site ni dans le résumé du tunnel ; il faudrait des exceptions partout (VPN, filtrage, supervision, documentation).
3. Aucune segmentation : personnel, imprimantes et clients du Wi-Fi seraient dans le même domaine de diffusion, sans filtrage possible entre eux.

4. Étude d’impact (exemple de réponse complète) :

5. Ordre de migration (exemple) :

1. Préparer hors site : configurer et tester en maquette le pare-feu, le commutateur et les bornes avec le nouveau plan ; préparer les comptes.
2. Installer en parallèle : poser le nouveau matériel à côté de la box, sans couper l’existant ; monter et tester le VPN.
3. Basculer en période creuse (basse saison, nuit) : migrer les postes un par un (adressage DHCP, intégration au domaine), puis les imprimantes et les bornes ; tester chaque étape.
4. Retirer l’ancien : désactiver le réseau de la box une fois tout vérifié, mettre à jour la documentation et la supervision ; garder la possibilité de revenir en arrière jusqu’à la recette.

1. Du /48 au /56 : 56 − 48 = 8 bits, soit 2⁸ = 256 préfixes /56. Du /56 au /64 : 8 bits, soit 256 réseaux /64 par site. Au total : 2¹⁶ = 65 536 réseaux /64.

Forme complète du préfixe du VLAN 30 de Royan : 2001:0db8:4b40:0430:0000:0000:0000:0000/64.

3. 2001:0db8:4b40:0430:0000:0000:0000:0a2f : zéros de tête supprimés → 2001:db8:4b40:430:0:0:0:a2f ; suite de trois groupes nuls remplacée par :: → 2001:db8:4b40:430::a2f.

2001:db8:4b40:899::2 : 4 groupes avant ::, 1 après, donc :: remplace 8 − 5 = 3 groupes → 2001:0db8:4b40:0899:0000:0000:0000:0002.

1. Un /120 casse l’autoconfiguration (SLAAC exige un /64) et le fonctionnement attendu de nombreux équipements. On ne cherche pas à « économiser » en IPv6 : un /64 par réseau local, quel que soit le nombre d’appareils.
2. Un /64 par site interdit de découper en réseaux locaux valides : un /72 est plus petit qu’un /64. C’est l’inverse : un /56 par site, puis des /64.
3. 2001:db8:4a20:810::/64 appartient au préfixe de Vellacor (2001:db8:4a20::/48) : c’est un chevauchement entre deux organisations reliées par VPN. Le bon préfixe est 2001:db8:4b40:810::/64.

5. Sans translation d’adresses, les postes et les appareils du Wi-Fi ont des adresses globales, routables depuis Internet. La translation d’adresses IPv4 cachait, de fait, les réseaux internes ; en IPv6, seule la politique de filtrage du pare-feu protège : refuser par défaut toute connexion entrante, n’autoriser que les réponses aux connexions sortantes, et isoler le VLAN 30 des réseaux internes comme en IPv4 (B3SISR-02). Il faut aussi filtrer les annonces de routeur illégitimes sur les réseaux des clients.

1. Appareils au pic : 62 × 2 × 1,5 = 186. Par borne actuelle : 186 ÷ 6 = 31. Plage standard : 151 adresses, soit un manque de 186 − 151 = 35 adresses au pic.

2. Bornes nécessaires : 62 ÷ 6 ≈ 10,33, arrondi à 11 bornes. Le maximum de 12 bornes par site est respecté. Appareils par borne : 186 ÷ 11 ≈ 16,9.

3. Rester en /24 (plan respecté) en élargissant la plage comme pour TRA : de .20 à .250, soit 231 adresses ; occupation au pic : 186 ÷ 231 ≈ 80,5 %. Avec un bail court, les adresses des appareils partis sont libérées rapidement. L’exception est écrite dans le tableau d’adressage du site.

4. Débit : Wi-Fi 62 × 0,5 × 8 = 248 Mbit/s ; postes 9 × 2 = 18 Mbit/s ; téléphonie 9 × 0,1 = 0,9 Mbit/s ; total 266,9 Mbit/s ; avec 30 % de marge : 266,9 × 1,3 ≈ 347 Mbit/s.

5. En 2,4 GHz, avec des canaux de 20 MHz, seuls trois canaux ne se recouvrent pas (1, 6 et 11). Onze bornes ne peuvent donc pas avoir chacune un canal propre. On alterne 1, 6 et 11 de façon que deux bornes voisines (sur un même étage ou l’une au-dessus de l’autre) n’aient pas le même canal, on réduit la puissance d’émission pour limiter la portée de chaque borne, et on oriente les appareils récents vers la bande de 5 GHz (et 6 GHz pour le Wi-Fi 6E et 7), qui offre beaucoup plus de canaux.

1. Nombre de bornes : 9 + 5 + 4 + 6 + 7 + 4 + 3 + 8 = 46.

L’option 1 coûte 3 620 € de moins sur 4 ans.

2. L’électricité est identique pour les deux options : elle s’ajoute au même montant des deux côtés et ne change pas l’écart. On peut l’omettre pour comparer, mais il faut la compter pour donner le coût total. Composantes absentes : la mise en œuvre (installation, configuration, formation), la fin de vie (dépose et recyclage des anciennes bornes), la maintenance (remplacement d’une borne en panne hors garantie), les pertes en cas de panne de l’outil de gestion.

3. Coût de l’option 1 = 11 040 + 1 200 + h × 60 × 48 ; il égale 24 500 quand h × 2 880 = 24 500 − 12 240 = 12 260, soit h ≈ 4,26 h par mois. Au-delà d’environ 4 h 15 d’administration par mois, l’option 2 devient moins chère.

4. Notes pondérées :

• option 1 : 0,40 × 5 + 0,20 × 3 + 0,20 × 4 + 0,20 × 3 = 2 + 0,6 + 0,8 + 0,6 = 4,0 / 5 ;
• option 2 : 0,40 × 4 + 0,20 × 5 + 0,20 × 2 + 0,20 × 4 = 1,6 + 1 + 0,4 + 0,8 = 3,8 / 5.

Le classement est fragile : l’écart n’est que de 0,2 point. Si l’exploitation pesait 30 % et le coût 30 %, l’option 2 passerait devant (option 1 : 1,5 + 0,9 + 0,8 + 0,6 = 3,8 ; option 2 : 1,2 + 1,5 + 0,4 + 0,8 = 3,9). Et l’estimation de 3 h d’administration est proche du seuil de 4,26 h. Il faut le dire au client.

5. Exemple de recommandation :

« Madame Le Bihan, pour le renouvellement des 46 bornes Wi-Fi, nous recommandons l’option 1 (contrôleur local hébergé par Vellacor). Sur 4 ans, son coût de possession est de 20 880 € HT contre 24 500 € HT pour la gestion en nuage, et elle garde les données de gestion chez Vellacor, sans dépendance à un service hébergé hors de l’Union européenne. Réserves : l’avantage repose sur une administration de 3 h par mois ; au-delà d’environ 4 h, l’option en nuage devient moins chère. L’option en nuage offre aussi un meilleur tableau de bord. Nous proposons de mesurer le temps d’administration réel pendant 6 mois et de faire un point au comité de pilotage. La décision vous appartient. »

2. « Les deux schémas ne répondent pas à la même question. Le schéma physique dit où sont les équipements et comment ils sont câblés : baie, commutateur, numéros de ports, prises, bornes, caméras. Il sert à l’installateur et au technicien qui intervient sur place. Le schéma logique dit comment circulent les données : VLAN, réseaux IP, passerelles sur le pare-feu, tunnel vers le siège, accès Internet, zones isolées. Il sert à configurer et à dépanner à distance. Les mélanger produit un dessin surchargé qu’on ne sait plus lire. »

3. Tableau de brassage proposé :

Ports utilisés : 1 + 5 + 3 + 1 + 2 + 1 = 13 ; libres : 3, soit 3 ÷ 16 = 18,75 % : l’objectif de 20 % n’est pas atteint. Puissance réservée : 5 × 7 + 3 × 30 + 2 × 15,4 = 155,8 W, à comparer au budget du commutateur. Deux solutions : accepter l’écart par écrit (le site est petit et sa croissance limitée) ou, au prochain renouvellement, choisir un 24 ports (11 ports libres, 45,8 %).

Les réponses ci-dessous sont un exemple de ce que la commission attend. D’autres choix sont recevables s’ils sont justifiés par le besoin et cohérents avec l’existant.

APhase 1 — Analyse et choix

1. Reformulation et questions

Reformulation : « Créer à Port-Neuf un réseau Wi-Fi dédié aux séminaires, isolé du reste, avec 100 Mbit/s garantis vers Internet, une clé renouvelée à chaque séminaire et l’accès à deux écrans sans fil, opérationnel avant le 7 décembre 2026 sans couper le Wi-Fi des clients. »

Questions à poser à la commission (exemples) :

• Le réseau sert-il seulement dans la salle de réunion, ou aussi dans d’autres salles ou au bar ?
• Les participants doivent-ils accéder à des ressources de Kervanet (imprimante, documents) ou seulement à Internet ?
• Qui change la clé et la remet à l’organisateur (réception, Vellacor) ? Avec quel outil ?
• Les 100 Mbit/s sont-ils garantis pendant les seuls créneaux de séminaire ou en permanence ?
• Quel budget est prévu ? Une intervention de l’installateur pour tirer des câbles est-elle possible avant le 7 décembre ?
• Les écrans existent-ils déjà ? Quel protocole de diffusion utilisent-ils ?

2. Exigences techniques mesurables

3. Impact sur l’existant

4. Le segment

• VLAN 35 « Séminaire » (numéro libre, choisi près du VLAN 30 des clients pour la lisibilité).
• Réseau 10.41.35.0/24, passerelle 10.41.35.1 sur le pare-feu du siège, DNS = pare-feu (comme le VLAN 30).
• Calcul de la plage : 80 participants × 2 appareils = 160 ; avec 10 % de marge : 176. La plage standard (151 adresses) est insuffisante ; plage retenue .20 à .250 : 231 adresses, occupation au pic 176 ÷ 231 ≈ 76,2 %. Bail court (2 h), adapté à des participants qui ne restent qu’une journée.
• Vérifications : 10.41.35.0/24 ne chevauche aucun réseau de Port-Neuf (10.41.10, 20, 30, 40, 99), ni le /23 envisagé un temps pour le VLAN 30 (10.41.30.0/23 s’arrête à 10.41.31.255). Il est contenu dans 10.41.0.0/16 et donc dans 10.40.0.0/13, déclaré dans le tunnel siège-Vellacor : Vellacor pourra superviser les bornes, qui restent, elles, gérées dans le VLAN 99.

5. Bornes, PoE et coût

• Appareils actifs : 160 × 0,5 = 80 ; à 30 au plus par borne : 80 ÷ 30 ≈ 2,67 → 3 bornes dans la salle.
• Ports : 3 sur les 6 libres de KV-PNF-SW02 → il en restera 3.
• PoE : 290 + 3 × 30 = 380 W > 370 W : budget dépassé de 10 W. Solutions : ne réserver que pour 2 bornes sur ce commutateur (290 + 60 = 350 W) et alimenter la troisième par un injecteur PoE ; ou vérifier si le commutateur peut allouer selon la consommation mesurée (une borne consomme réellement moins de 30 W) ; ou, à terme, remplacer le commutateur. Le dossier retient l’injecteur pour la 3e borne, solution simple et réversible, et note le budget PoE de SW02 comme point de vigilance.
• Investissement (hors injecteur, à chiffrer) : bornes 3 × 240 = 720 € ; prises 3 × 180 = 540 € ; main-d’œuvre 1,5 jour d’alternant × 400 + 0,5 jour de responsable technique × 680 = 600 + 340 = 940 € ; total 2 200 € HT.

6. Débit garanti et écrans

• 100 Mbit/s garantis : sur un lien de 1 Gbit/s, c’est 10 % de la capacité. On configure sur le pare-feu une règle de répartition du débit qui réserve au moins 100 Mbit/s au segment séminaire et bride le VLAN 30 des clients quand le lien sature (qualité de service, SISR-07). Sur le lien 4G/5G de secours, le séminaire passe en mode dégradé, ce qu’il faut annoncer à Kervanet.
• Écrans sans fil : les placer dans le VLAN 35 avec une adresse fixe hors de la plage (par exemple 10.41.35.10 et .11) ; la diffusion d’écran fonctionne alors dans le même segment, sans ouvrir de flux vers les réseaux internes. Le SSID séminaire doit autoriser la communication entre appareils vers ces deux adresses (option d’isolement des clients de la borne à régler en conséquence).

BPhase 2 — Réalisation et recette

7. Programme de vérification du plan (Python 3, module ipaddress)

import ipaddress

seminaire = ipaddress.ip_network("10.41.35.0/24")
passerelle = ipaddress.ip_address("10.41.35.1")
debut_dhcp = ipaddress.ip_address("10.41.35.20")
fin_dhcp = ipaddress.ip_address("10.41.35.250")

existants = [ipaddress.ip_network(f"10.41.{v}.0/24") for v in (10, 20, 30, 40, 99)]
tunnel = [ipaddress.ip_network("10.40.0.0/13"), ipaddress.ip_network("10.48.0.0/16")]

print("Réseau :", seminaire, "masque", seminaire.netmask)
print("Passerelle dans le réseau :", passerelle in seminaire)
print("Plage DHCP dans le réseau :", debut_dhcp in seminaire and fin_dhcp in seminaire)
print("Passerelle hors de la plage :", not (debut_dhcp <= passerelle <= fin_dhcp))
print("Adresses de la plage :", int(fin_dhcp) - int(debut_dhcp) + 1)
conflits = [str(r) for r in existants if r.overlaps(seminaire)]
print("Chevauchements :", conflits if conflits else "aucun")
print("Couvert par le tunnel siège-Vellacor :", any(seminaire.subnet_of(t) for t in tunnel))

Résultat obtenu :

Réseau : 10.41.35.0/24 masque 255.255.255.0
Passerelle dans le réseau : True
Plage DHCP dans le réseau : True
Passerelle hors de la plage : True
Adresses de la plage : 231
Chevauchements : aucun
Couvert par le tunnel siège-Vellacor : True

8. Création de l’interface du VLAN 35 sur OPNsense (interface web d’OPNsense, d’après la documentation officielle consultée le 20/10/2026)

1. Interfaces ‣ Devices, section VLAN : ajouter un VLAN. Parent interface = l’interface physique reliée au commutateur (celle qui transporte déjà les VLAN 10 à 99) ; VLAN tag = 35 ; Description = « Seminaire ». Enregistrer et appliquer.
2. Interfaces ‣ Assignments : associer le nouveau périphérique VLAN à une nouvelle interface, puis l’ouvrir en cliquant sur son nom.
3. Cocher Enable interface, renseigner la description « SEMINAIRE », choisir IPv4 Configuration Type = Static IPv4, adresse 10.41.35.1, préfixe 24. Enregistrer et appliquer.
4. Configurer le service DHCP de l’interface : plage 10.41.35.20 à 10.41.35.250, DNS = 10.41.35.1, bail de 2 h (menus du service DHCP : SISR-04).
5. Écrire les règles de filtrage de l’interface, dans l’ordre : DNS vers le pare-feu (10.41.35.1, port 53) autorisé ; 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16 interdits ; Internet autorisé (SISR-03). Les écrans n’ont pas besoin de règle : ils sont dans le même VLAN que les participants, et leur trafic ne traverse pas le pare-feu.
6. Sur le commutateur de la maquette, ajouter le VLAN 35 à la liaison vers le pare-feu et aux ports des bornes (SISR-02) ; sur les bornes, créer le SSID « Kervanet-Seminaire » associé au VLAN 35, avec une clé WPA2/WPA3.
7. Sauvegarder la configuration du pare-feu (export) avant et après la modification : c’est le point de retour arrière.

9. Cahier de recette (postes Debian 13 de la maquette : PC1 connecté au SSID séminaire, PC2 dans le VLAN 10)

10. Ce que Lucas présente pendant la recette

• le plan d’adressage mis à jour et la sortie du programme de vérification ;
• le schéma logique de Port-Neuf avec le VLAN 35, daté et versionné ;
• la configuration du pare-feu (interface, DHCP, règles) et ses exports avant et après ;
• le cahier de recette rempli avec les captures, les heures et le journal du pare-feu ;
• les points de vigilance : budget PoE de KV-PNF-SW02, débit en mode dégradé sur la 4G/5G, suppression du forfait séminaire du portail captif ;
• la mise à jour de la documentation (GLPI, tableau de brassage, registre des traitements) et la procédure de changement de clé destinée à la réception.