Introduction

L’une des com­pé­tences clés à maî­tri­ser pour le CCNA est la com­pré­hen­sion appro­fon­die du pro­to­cole VTP (VLAN Trun­king Pro­to­col), son fonc­tion­ne­ment et les risques asso­ciés. Nous allons explo­rer en détail les dan­gers poten­tiels liés à l’u­ti­li­sa­tion de VTP et les rai­sons pour les­quelles il est pré­fé­rable de le désac­ti­ver dans la plu­part des envi­ron­ne­ments réseau.

Table des matières

1. Qu’est-ce que le pro­to­cole VTP ?
2. Fonc­tion­ne­ment de VTP
3. Ver­sions de VTP
4. Risques et menaces liés à VTP
5. Pour­quoi désac­ti­ver VTP ?
6. Com­ment désac­ti­ver VTP ?
7. Bonnes pra­tiques de ges­tion de VTP
8. Conclu­sion

Qu’est-ce que le protocole VTP ?

Le pro­to­cole VTP (VLAN Trun­king Pro­to­col) est un pro­to­cole pro­prié­taire déve­lop­pé par Cis­co Sys­tems pour la ges­tion cen­tra­li­sée des VLANs (Vir­tual Local Area Net­works) sur un réseau com­mu­té. VTP per­met de créer, sup­pri­mer et renom­mer des VLANs de manière uni­forme sur l’en­semble des com­mu­ta­teurs d’un même domaine VTP.

Fonctionnement de VTP

VTP fonc­tionne selon un modèle client-ser­veur. Un com­mu­ta­teur confi­gu­ré en mode ser­veur VTP devient res­pon­sable de la base de don­nées des VLANs pour l’en­semble du domaine. Les autres com­mu­ta­teurs en mode client se syn­chro­nisent auto­ma­ti­que­ment avec le ser­veur VTP pour obte­nir les mises à jour de la base de données.

Lors­qu’un nou­veau VLAN est créé sur le ser­veur VTP, celui-ci est auto­ma­ti­que­ment pro­pa­gé à tous les autres com­mu­ta­teurs du domaine. De même, la sup­pres­sion ou le renom­mage d’un VLAN sur le ser­veur est réper­cu­té sur l’en­semble du réseau.

Versions de VTP

Risques et menaces liés à VTP

Bien que VTP faci­lite gran­de­ment la ges­tion des VLANs, il com­porte éga­le­ment des risques et menaces poten­tiels qu’il est impor­tant de connaître :

Propagation non désirée des VLANs

Le prin­ci­pal dan­ger de VTP est la pro­pa­ga­tion auto­ma­tique et incon­trô­lée des VLANs sur l’en­semble du réseau. Un VLAN créé par erreur ou de manière mal­veillante sur le ser­veur VTP sera ins­tan­ta­né­ment déployé sur tous les com­mu­ta­teurs clients, pou­vant cau­ser des pro­blèmes de sécu­ri­té et de performance.

Modification accidentelle ou malveillante de la base de données VTP

Toute modi­fi­ca­tion de la base de don­nées VTP sur le ser­veur (ajout, sup­pres­sion ou renom­mage de VLANs) sera réper­cu­tée sur l’en­semble du réseau. Une erreur de confi­gu­ra­tion ou une attaque ciblée sur le ser­veur VTP peut donc avoir des consé­quences désastreuses.

Vulnérabilités de sécurité

Des failles de sécu­ri­té ont été iden­ti­fiées dans cer­taines implé­men­ta­tions de VTP, per­met­tant à des atta­quants poten­tiels de prendre le contrôle du ser­veur VTP et de com­pro­mettre l’in­té­gri­té du réseau.

Pourquoi désactiver VTP ?

Face à ces risques, la recom­man­da­tion géné­rale est de désac­ti­ver VTP dans la plu­part des envi­ron­ne­ments réseau, sauf dans des cas spé­ci­fiques où une ges­tion cen­tra­li­sée des VLANs est vrai­ment nécessaire.

Meilleure maîtrise et sécurité du réseau

En désac­ti­vant VTP, vous repre­nez le contrôle total de la confi­gu­ra­tion des VLANs sur chaque com­mu­ta­teur. Cela vous per­met de mieux sécu­ri­ser votre réseau en évi­tant les pro­pa­ga­tions non dési­rées et les modi­fi­ca­tions accidentelles.

Réduction des risques d’erreurs de configuration

Lorsque VTP est désac­ti­vé, les VLANs sont gérés loca­le­ment sur chaque com­mu­ta­teur. Cela réduit consi­dé­ra­ble­ment les risques d’er­reurs de confi­gu­ra­tion et de syn­chro­ni­sa­tion entre les dif­fé­rents équipements.

Conformité aux meilleures pratiques de sécurité

La désac­ti­va­tion de VTP est géné­ra­le­ment recom­man­dée par les orga­nismes de sécu­ri­té et les bonnes pra­tiques Cis­co pour ren­for­cer la sécu­ri­té des réseaux d’entreprise.

Comment désactiver VTP ?

Pour désac­ti­ver VTP, vous devez confi­gu­rer chaque com­mu­ta­teur en mode trans­pa­rent ou ser­veur, en fonc­tion de vos besoins spé­ci­fiques. Voi­ci les étapes à suivre :

1. Confi­gu­rez l’in­ter­face trunk en mode sta­tique :
   

   interface GigabitEthernet0/1
    switchport mode trunk
    switchport trunk encapsulation dot1q

   
   
2. Ou en mode VTP ser­veur si néces­saire :
   

   vtp mode server
    vtp domain MONDOMAINE
    vtp password MONMOTDEPASSE

   
   
3. Véri­fiez la confi­gu­ra­tion VTP avec la com­mande :
   

   show vtp status

   
   

Bonnes pratiques de gestion de VTP

Si vous devez uti­li­ser VTP dans votre envi­ron­ne­ment, voi­ci quelques bonnes pra­tiques à suivre :

• Défi­nis­sez une stra­té­gie VTP cohé­rente et docu­men­tée au niveau de l’entreprise.
• Assu­rez-vous que seuls les com­mu­ta­teurs auto­ri­sés peuvent agir en tant que ser­veurs VTP.
• Uti­li­sez sys­té­ma­ti­que­ment des mots de passe VTP robustes pour sécu­ri­ser la communication.
• Effec­tuez des audits régu­liers de la confi­gu­ra­tion VTP sur l’en­semble du réseau.
• For­mez et sen­si­bi­li­sez vos équipes tech­niques aux risques liés à VTP.

Conclusion

Le pro­to­cole VTP, bien que pra­tique pour la ges­tion cen­tra­li­sée des VLANs, com­porte de nom­breux risques poten­tiels en termes de sécu­ri­té et de fia­bi­li­té du réseau. Dans la plu­part des cas, il est recom­man­dé de désac­ti­ver VTP et de gérer les VLANs de manière locale sur chaque com­mu­ta­teur. Cela vous per­met­tra de mieux maî­tri­ser votre infra­struc­ture réseau et de vous confor­mer aux meilleures pra­tiques de sécurité.