Sécuriser ses switches et routeurs Cisco : la checklist essentielle

On sécurise les postes et les serveurs, on installe un pare-feu… et on oublie les switches et les routeurs. Pourtant, un équipement réseau avec un accès Telnet ouvert, un mot de passe par défaut ou un firmware de cinq ans est une cible de choix : celui qui le contrôle voit et peut détourner tout le trafic. Cette checklist s'applique aux équipements Cisco IOS, et ses principes valent pour toutes les marques.

---

TL;DR

• Administration uniquement en SSH, depuis un réseau de gestion dédié, avec des comptes nominatifs.
• Centralisez l'authentification (AAA avec RADIUS ou TACACS+) et gardez un compte local de secours.
• Désactivez les services inutiles, passez en SNMPv3, synchronisez l'heure (NTP) et envoyez les journaux vers un serveur central.
• Mettez à jour le système, sauvegardez les configurations et comparez-les régulièrement.

---

1. Sécuriser l'accès d'administration

• SSH version 2 uniquement, Telnet et HTTP désactivés. L'interface web, si elle est utilisée, doit l'être en HTTPS.
• Restreindre les lignes VTY par une liste de contrôle d'accès : seuls les postes d'administration peuvent se connecter.
• Réseau de gestion séparé (VLAN d'administration) pour les interfaces de gestion. Voir segmentation par VLAN.
• Délai d'inactivité sur les sessions et limitation des tentatives de connexion.
• Port console protégé par mot de passe, et équipements dans un local fermé.
• Bannière d'avertissement indiquant que l'accès est réservé et surveillé.

---

2. Comptes et mots de passe

• Un compte par administrateur, jamais de compte partagé « admin ».
• Mots de passe stockés avec un chiffrement fort (types de hachage modernes), pas l'ancien chiffrement réversible.
• AAA centralisé (RADIUS ou TACACS+, relié à l'annuaire) : quand quelqu'un quitte l'entreprise, son accès est coupé partout d'un coup.
• Niveaux de privilège : un technicien de premier niveau n'a pas besoin de modifier la configuration.
• Journalisation des commandes (accounting) pour savoir qui a changé quoi.
• Un compte local de secours, au mot de passe conservé en lieu sûr, pour le cas où le serveur AAA est injoignable.

---

3. Désactiver ce qui ne sert pas

• Services de découverte (CDP, LLDP) désactivés sur les ports vers l'extérieur et vers les utilisateurs.
• Petits services réseau hérités, serveur HTTP, source routing désactivés.
• Ports inutilisés administrativement fermés.
• Négociation automatique des trunks désactivée sur les ports d'accès.

---

4. Supervision, heure et journaux

• NTP : tous les équipements à la même heure, sinon impossible de reconstituer un incident.
• Syslog vers un serveur central, avec une conservation adaptée.
• SNMPv3 avec authentification et chiffrement ; supprimez les communautés SNMPv1/v2c « public » et « private ».
• Alertes sur les événements importants : port qui tombe, changement de configuration, échecs de connexion répétés.
• NetFlow ou sFlow pour savoir qui consomme la bande passante et repérer des flux anormaux.

---

5. Protéger le plan de contrôle et les données

• Authentification des protocoles de routage (OSPF, BGP) pour empêcher l'injection de fausses routes.
• Limitation du trafic destiné au processeur de l'équipement (control plane policing) sur les routeurs exposés.
• ACL sur les interfaces vers Internet pour bloquer les adresses privées et réservées.
• Protections de niveau 2 sur les switches : DHCP snooping, inspection ARP, protection Spanning Tree (BPDU guard).

---

6. Mises à jour, sauvegardes et cycle de vie

• Suivre les avis de sécurité du constructeur et planifier les mises à jour du système.
• Remplacer les équipements en fin de support : ils ne reçoivent plus de correctifs.
• Sauvegarder automatiquement les configurations et garder un historique pour comparer les changements.
• Documenter : schéma du réseau, plan d'adressage, rôle de chaque port important.

---

Ce que fait IPBRIDGE

IPBRIDGE est revendeur Fortinet, pfSense (Netgate), Ubiquiti et Avaya au Maroc : nous fournissons le matériel et les licences, et nous assurons l'installation, la configuration et le suivi.

IPBRIDGE audite et sécurise les équipements réseau des entreprises au Maroc : revue des configurations Cisco et multi-marques, durcissement selon cette checklist, mise en place de l'AAA, de la supervision et des sauvegardes automatiques, plan de mise à jour et de renouvellement. Nous livrons un rapport des écarts et la documentation à jour.

À lire aussi : audit de sécurité réseau · VPN site à site.

Services liés : Réseau informatique d'entreprise · Support et infogérance

FAQ

Pourquoi abandonner Telnet ?

Telnet transmet les identifiants et les commandes en clair : n'importe qui sur le chemin peut les lire. SSH chiffre la session.

Faut-il un serveur RADIUS ou TACACS+ ?

Dès qu'il y a plusieurs administrateurs ou plusieurs équipements, c'est fortement recommandé : les comptes sont gérés à un seul endroit et chaque action est tracée.

À quelle fréquence mettre à jour un switch ?

Suivez les avis de sécurité du constructeur : appliquez rapidement les correctifs critiques, et planifiez les autres lors de fenêtres de maintenance régulières.

Ces conseils valent-ils pour d'autres marques ?

Oui. Les commandes changent, mais les principes (accès chiffré, comptes nominatifs, services réduits, journaux centralisés, mises à jour) s'appliquent à tous les équipements réseau.

Comment savoir si mes équipements sont bien configurés ?

Par un audit de configuration qui compare chaque équipement à une référence de sécurité et liste les écarts à corriger, par ordre de priorité.

---

En résumé

Les switches et routeurs sont au cœur du réseau : les sécuriser demande surtout de la rigueur. Accès chiffrés et restreints, comptes nominatifs, services inutiles coupés, journaux centralisés et mises à jour régulières suffisent à fermer la grande majorité des portes.

Demander mon bilan IT gratuit · 📞 +212 771 929102