Éléments_clés:

• 🏰 Remparts extérieurs: Pare-feu NGFW, Routeur VPN. Protègent des armées extérieures (Internet).
• 🚪 Portes d'entrée contrôlées: Pont-levis avec gardes (802.1X, AAA). Vérifie l'identité avant d'entrer.
• 🏘️ Quartiers séparés: Différents quartiers du château (VLANs) isolés par des murs.
• 🕵️ Traîtres et espions: Un serviteur corrompu (BYOD infecté) peut ouvrir une porte de service (attaque ARP).
• 📜 Annonces publiques non vérifiées: Les crieurs publics (CDP, ARP, DTP) diffusent des informations précieuses et non vérifiées.
• ⚔️ Usurpation d'identité: Un ennemi revêt l'armure d'un chevalier (usurpation MAC/IP).

### Niveau 1 (CCNA) : Configuration Fondamentale

! 1. Configuration de base AAA pour l'authentification des administrateurs
Switch(config)# aaa new-model
Switch(config)# aaa authentication login default group tacacs+ local
Switch(config)# aaa authorization exec default group tacacs+ local 
Switch(config)# aaa accounting exec default start-stop group tacacs+
Switch(config)# tacacs server TACACS-SERVER
Switch(config-server-tacacs)# address ipv4 10.1.1.100
Switch(config-server-tacacs)# key S3cr3tK3y!

! 2. Activation de DHCP Snooping et DAI sur le VLAN 10
Switch(config)# ip dhcp snooping
Switch(config)# ip dhcp snooping vlan 10
Switch(config)# ip arp inspection vlan 10
Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# ip dhcp snooping trust
Switch(config-if)# ip arp inspection trust

### Niveau 2 (Production Sécurisée) : Hardening

! 1. Durcissement avancé des ports d'accès
Switch(config)# interface range GigabitEthernet0/2-24
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 10
Switch(config-if-range)# switchport nonegotiate ! DÉSACTIVE DTP
Switch(config-if-range)# switchport port-security
Switch(config-if-range)# switchport port-security maximum 3
Switch(config-if-range)# switchport port-security mac-address sticky
Switch(config-if-range)# switchport port-security violation restrict
Switch(config-if-range)# switchport port-security aging time 2
Switch(config-if-range)# switchport port-security aging type inactivity
Switch(config-if-range)# ip dhcp snooping limit rate 15
Switch(config-if-range)# spanning-tree portfast
Switch(config-if-range)# spanning-tree bpduguard enable

### Niveau 3 (Expert/Automatisation) : Script & Scale

# Script Python utilisant Netmiko pour auditer et durcir la sécurité des ports
from netmiko import ConnectHandler
import getpass

def harden_switch_access_ports(device):
    """Applique la configuration de sécurité sur tous les ports non-trunk."""
    commands = [
        'interface range g0/1-48 , f0/1-48',
        'switchport mode access',
        'switchport nonegotiate',
        'switchport port-security',
        'switchport port-security maximum 3 violation restrict',
        'switchport port-security mac-address sticky',
        'spanning-tree bpduguard enable',
        'ip dhcp snooping limit rate 10',
        'exit',
        'ip dhcp snooping',
        'ip dhcp snooping vlan 10,20,99',
        'interface range g0/49-50',
        'ip dhcp snooping trust',
        'ip arp inspection trust',
    ]
    output = device.send_config_set(commands)
    return output

if __name__ == "__main__":
    password = getpass.getpass()
    switch = {
        'device_type': 'cisco_ios',
        'host': '192.168.1.10',
        'username': 'admin',
        'password': password,
        'secret': password,
    }
    connection = ConnectHandler(**switch)
    connection.enable()
    result = harden_switch_access_ports(connection)
    print(result)
    connection.disconnect()

Fix et Rollback :

! FIX : Identifier et désactiver le port du serveur rogue
SW-ACC-1# show mac address-table address 
SW-ACC-1(config)# interface GigabitEthernet0/15
SW-ACC-1(config-if)# shutdown
SW-ACC-1(config-if)# description QUARANTINE_DHCP_ROGUE
SW-ACC-1# clear ip arp inspection vlan 20

! VÉRIFICATION
SW-ACC-1# show ip dhcp snooping binding

! ROLLBACK (si erreur de diagnostic)
SW-ACC-1(config)# interface GigabitEthernet0/15
SW-ACC-1(config-if)# no shutdown
SW-ACC-1(config-if)# no description

🔹 Mini-Modèle Mental