DHCP dans mon projet PME : un serveur central pour plusieurs VLAN

Dans mon projet de réseau PME sur Cisco Packet Tracer, j'ai créé huit VLAN : Direction, RH, Finance, IT, Employés, Serveurs, Guest et Management.

Au début, je pouvais configurer les adresses IP manuellement sur chaque PC. Mais avec plusieurs réseaux, ce n'était pas très pratique. Il fallait saisir l'adresse IP, le masque, la passerelle et le DNS à chaque fois, sans faire d'erreur.

J'ai donc décidé d'utiliser un serveur DHCP central, placé dans le VLAN Serveurs, pour distribuer automatiquement les adresses IP aux différents postes du réseau.

1. À quoi sert DHCP ?

DHCP signifie Dynamic Host Configuration Protocol.

Son rôle est assez simple : fournir automatiquement aux machines les informations dont elles ont besoin pour communiquer sur le réseau.

Ces informations comprennent :

Une adresse IP

Un masque de sous-réseau

Une passerelle par défaut

Un serveur DNS

Lorsqu'un PC démarre, il peut demander une configuration au serveur DHCP. Cet échange se déroule généralement en quatre étapes, connues sous le nom de DORA.

Discover : le PC cherche un serveur DHCP.

Offer : le serveur propose une adresse IP.

Request : le PC demande à utiliser cette adresse.

Acknowledge : le serveur confirme l'attribution.

Le premier message est envoyé en broadcast. C'est justement ce qui pose un problème lorsqu'on utilise plusieurs VLAN.

2. Le problème avec les VLAN

Dans mon projet, le serveur DHCP possède l'adresse 192.168.60.40 et se trouve dans le VLAN 60.

Les ordinateurs des autres services appartiennent à des réseaux différents.

Par exemple :

Finance : 192.168.30.0/24

IT : 192.168.40.0/24

Employés : 192.168.50.0/24

Guest : 192.168.70.0/24

Le problème, c'est qu'un routeur ne transmet normalement pas les broadcasts d'un réseau vers un autre.

Un PC du VLAN IT qui cherche un serveur DHCP ne peut donc pas atteindre directement celui du VLAN Serveurs.

Sans mécanisme de relais, le PC risque de ne recevoir aucune adresse du serveur.

Sur un ordinateur Windows, ce type d'échec peut entraîner l'attribution d'une adresse 169.254.x.x, appelée APIPA.

3. Ma solution : ip helper-address

Dans mon infrastructure, j'utilise un routeur appelé R1-EDGE pour faire communiquer les VLAN avec la méthode Router-on-a-Stick.

Pour que les requêtes DHCP puissent atteindre le serveur, j'ai ajouté la commande ip helper-address sur les sous-interfaces concernées.

Voici la configuration du VLAN IT :

interface GigabitEthernet0/0.40
 encapsulation dot1Q 40
 ip address 192.168.40.1 255.255.255.0
 ip helper-address 192.168.60.40

La commande ip helper-address 192.168.60.40 indique au routeur où transmettre les requêtes DHCP des clients.

Le routeur agit alors comme un relais entre le PC et le serveur DHCP.

Dans mon projet, j'ai utilisé ce principe sur six VLAN : 10, 20, 30, 40, 50 et 70.

Le VLAN 60 n'a pas besoin de ce relais puisque le serveur DHCP s'y trouve directement. Quant au VLAN 99, il est réservé à l'administration des équipements, avec des adresses configurées manuellement.

4. Configuration des pools DHCP

Sur le serveur DHCP, j'ai créé des pools pour les différents réseaux clients.

Chaque pool contient les paramètres à attribuer aux machines du VLAN correspondant.

Pour le VLAN IT, par exemple :

Réseau       : 192.168.40.0/24
Passerelle   : 192.168.40.1
DNS          : 192.168.60.10
Masque       : 255.255.255.0

Le serveur utilise les informations transmises par le relais DHCP pour déterminer à quel réseau appartient le client et choisir le pool correspondant.

Un point important est de bien configurer la passerelle de chaque VLAN.

Pendant mon projet, j'ai rencontré un problème avec le PC-IT : il recevait une adresse IP automatiquement, mais sa passerelle n'était pas correcte.

J'ai donc vérifié le pool DHCP et corrigé la passerelle en utilisant 192.168.40.1.

Cela m'a permis de comprendre qu'obtenir une adresse IP ne signifie pas forcément que toute la configuration réseau est correcte.

5. Comment j'ai testé DHCP

Après avoir terminé la configuration, j'ai vérifié que les ordinateurs recevaient correctement leurs adresses IP.

Dans Cisco Packet Tracer, il suffit d'ouvrir un PC, d'aller dans Desktop, puis IP Configuration et de sélectionner DHCP.

On peut également consulter les informations réseau avec la commande :

ipconfig /all

Dans mon projet, le laptop du VLAN Guest a par exemple reçu :

Adresse IP : 192.168.70.101
Passerelle : 192.168.70.1

Pour renouveler une adresse DHCP, on peut utiliser les commandes suivantes dans le terminal d'un PC :

ipconfig /release
ipconfig /renew

Ensuite, je teste la communication avec la passerelle du VLAN.

Pour le PC-IT, je peux par exemple utiliser :

ping 192.168.40.1

Puis vérifier la connectivité avec les serveurs autorisés.

6. Le lien entre DHCP et la sécurité

Dans mon infrastructure, j'ai également configuré des ACL pour contrôler les communications entre certains VLAN.

Le réseau Guest, par exemple, est séparé des réseaux internes de l'entreprise.

Cependant, ses machines doivent toujours pouvoir obtenir une adresse IP automatiquement.

J'ai donc prévu une règle dans l'ACL du VLAN Guest pour autoriser les requêtes DHCP nécessaires.

Le serveur DNS interne utilise l'adresse 192.168.60.10, tandis que le serveur Web utilise 192.168.60.20.

Les invités peuvent interroger le DNS autorisé, mais ils ne doivent pas pouvoir accéder directement au serveur Web interne.

Cela permet de conserver le fonctionnement du DHCP et du DNS tout en limitant l'accès aux ressources de l'entreprise.

7. Que vérifier si DHCP ne fonctionne pas ?

Si un ordinateur ne reçoit pas son adresse IP, je commence par vérifier sa configuration réseau.

Ensuite, je regarde si son port est bien placé dans le bon VLAN et si les trunks transportent correctement ce VLAN.

Je contrôle aussi la configuration de ip helper-address sur R1-EDGE, l'accessibilité du serveur DHCP et les paramètres du pool correspondant.

Enfin, je vérifie les ACL pour m'assurer qu'elles ne bloquent pas les échanges DHCP.

Ces vérifications sont importantes, parce qu'un problème DHCP ne vient pas forcément du serveur lui-même. Il peut aussi provenir d'une erreur de VLAN, de routage ou de filtrage.

Conclusion

Ce projet m'a permis de mieux comprendre le fonctionnement de DHCP dans une infrastructure qui utilise plusieurs VLAN.

La partie la plus intéressante pour moi a été la configuration du relais DHCP avec ip helper-address, car elle permet à un seul serveur de distribuer des adresses à plusieurs réseaux différents.

J'ai aussi appris à vérifier les paramètres reçus par les clients, notamment la passerelle et le DNS.

C'est un exemple concret de ce que j'ai pu mettre en pratique sur Cisco Packet Tracer dans mon projet d'infrastructure réseau sécurisée d'une PME.