Réseau & Cybersécurité

1.1 Qu'est-ce qu'un réseau informatique ?

Un réseau informatique est un ensemble d'équipements interconnectés (ordinateurs, serveurs, smartphones, imprimantes, objets connectés) permettant de partager des ressources et d'échanger des informations. Les réseaux constituent aujourd'hui le système nerveux de l'économie numérique mondiale.

1.2 Chronologie des réseaux

1.3 Classification par étendue géographique

1.4 Topologies réseau

1.5 Supports de transmission

• Câble UTP Cat5e : 1 Gbps jusqu'à 100 m — réseaux domestiques et PME
• Câble UTP Cat6/6A : 10 Gbps jusqu'à 55/100 m — entreprises modernes
• Câble Cat8 : 40 Gbps jusqu'à 30 m — datacenters
• Fibre optique monomode : Plusieurs Tbps sur des centaines de km — backbone Internet
• Fibre optique multimode : 10-100 Gbps jusqu'à 550 m — intra-datacenter
• Wi-Fi 6 (802.11ax) : 9,6 Gbps théoriques — bureaux, stades, lieux denses
• Wi-Fi 7 (802.11be) : 46 Gbps théoriques — ultra haute densité

2.1 Pourquoi des modèles en couches ?

Les réseaux sont complexes. Les modèles en couches permettent de décomposer cette complexité en niveaux indépendants, facilitant la conception, le dépannage et l'interopérabilité entre équipements de différents fabricants.

2.2 Le modèle OSI — 7 couches

2.3 Le modèle TCP/IP — 4 couches

2.4 TCP vs UDP

Établissement TCP (3-Way Handshake) :
Client                         Serveur
  |  -------- SYN --------->  |   "Je veux me connecter"
  |  <--- SYN + ACK --------- |   "OK, je suis prêt"
  |  -------- ACK --------->  |   "Parfait, commençons"
  |  ====== DONNÉES ========  |
  |  -------- FIN --------->  |   Fermeture connexion

2.5 Encapsulation des données

Données Application
→ [En-tête TCP][Données]          = Segment (couche 4)
→ [En-tête IP][Segment]           = Paquet  (couche 3)
→ [En-tête Ethernet][Paquet][FCS] = Trame   (couche 2)
→ 010110001011...                 = Bits    (couche 1)

3.1 Structure d'une adresse IPv4

Une adresse IPv4 est composée de 32 bits, représentés en 4 octets décimaux séparés par des points. Exemple : 192.168.1.100

3.2 Adresses IP privées (RFC 1918)

3.3 Notation CIDR et table des masques

3.4 Exercice pratique — Calcul de sous-réseau

Adresse : 192.168.10.50 /26

1. Masque /26 → 255.255.255.192
   Binaire : 11111111.11111111.11111111.11000000

2. Adresse réseau : AND entre IP et masque
   50  = 00110010
   192 = 11000000
   AND = 00000000 → 192.168.10.0

3. Broadcast : 192.168.10.63 (0 + 64 - 1 = 63)

4. Plage hôtes : 192.168.10.1 → 192.168.10.62
   (62 hôtes utilisables)

5. Sous-réseaux /26 dans un /24 : 4 sous-réseaux
   → .0/26  → .64/26  → .128/26  → .192/26

3.5 IPv6 — La révolution de l'adressage

Format : 8 groupes de 4 chiffres hexadécimaux (128 bits)
Complet  : 2001:0db8:85a3:0000:0000:8a2e:0370:7334
Abrégé   : 2001:db8:85a3::8a2e:370:7334
           (:: = groupes de zéros consécutifs)

Adresses importantes :
::1           → Loopback (équivalent 127.0.0.1)
fe80::/10     → Lien-local (auto-configuré)
fc00::/7      → Adresses privées (ULA)
ff00::/8      → Multicast
2000::/3      → Adresses publiques routables

4.1 DNS — Domain Name System

Le DNS est l'annuaire d'Internet : il traduit les noms lisibles (google.com) en adresses IP numériques.

# Commandes de débogage DNS
nslookup google.com              # Résolution basique
nslookup -type=MX google.com     # Enregistrements mail
dig google.com                   # Détails complets (Linux)
dig google.com +trace            # Résolution étape par étape
dig -x 8.8.8.8                  # DNS inverse
host google.com                  # Résolution simple

4.2 DHCP — Processus DORA

# Configuration DHCP Linux (isc-dhcp-server)
# /etc/dhcp/dhcpd.conf
subnet 192.168.1.0 netmask 255.255.255.0 {
  range 192.168.1.100 192.168.1.200;
  option routers 192.168.1.1;
  option domain-name-servers 8.8.8.8, 1.1.1.1;
  default-lease-time 86400;
  max-lease-time 172800;
  # IP fixe par MAC
  host serveur-web {
    hardware ethernet AA:BB:CC:11:22:33;
    fixed-address 192.168.1.10;
  }
}

4.3 Codes de réponse HTTP

4.4 SSH — Accès à distance sécurisé

# Connexion SSH
ssh user@192.168.1.10
ssh -p 2222 user@192.168.1.10       # Port personnalisé

# Clés SSH (authentification sans mot de passe)
ssh-keygen -t ed25519 -C "admin@nb3bn.ma"
ssh-copy-id user@192.168.1.10

# Sécurisation /etc/ssh/sshd_config
Port 2222
PermitRootLogin no
PasswordAuthentication no
MaxAuthTries 3
AllowUsers alice bob

# Tunnel SSH
ssh -L 8080:192.168.1.20:80 user@bastion  # Tunnel local
ssh -R 9000:localhost:3000 user@serveur   # Tunnel distant

4.5 FTP, SFTP et SCP

# SFTP — chiffré via SSH (RECOMMANDÉ)
sftp user@192.168.1.10
> put fichier.txt /var/www/
> get /etc/nginx/nginx.conf ./

# SCP — copie sécurisée en une commande
scp fichier.txt user@192.168.1.10:/var/www/html/
scp -r ./projet/ user@srv:/var/www/

5.1 Hub vs Switch — La différence fondamentale

# Configuration Cisco IOS — Switch L2 manageable
Switch> enable
Switch# configure terminal

! Interface de gestion
interface vlan 1
  ip address 192.168.1.2 255.255.255.0
  no shutdown

! Créer VLANs
vlan 10
  name ADMINISTRATION
vlan 20
  name INFORMATIQUE
vlan 99
  name INVITES

! Port accès (hôte final)
interface FastEthernet0/1
  switchport mode access
  switchport access vlan 10
  spanning-tree portfast

! Port trunk (inter-switch, vers routeur)
interface GigabitEthernet0/1
  switchport mode trunk
  switchport trunk allowed vlan 10,20,99
  switchport trunk native vlan 1

5.2 Routeur — Couche 3

# Configuration Cisco IOS — Routeur
Router# configure terminal

! Interface WAN vers FAI
interface GigabitEthernet0/0
  ip address 10.0.0.2 255.255.255.252
  no shutdown

! Interface LAN
interface GigabitEthernet0/1
  ip address 192.168.1.1 255.255.255.0
  no shutdown

! Route par défaut
ip route 0.0.0.0 0.0.0.0 10.0.0.1

! NAT (partage d'une seule IP publique)
ip nat inside source list 1 interface Gi0/0 overload
access-list 1 permit 192.168.0.0 0.0.255.255
interface Gi0/0
  ip nat outside
interface Gi0/1
  ip nat inside

5.3 VLANs — Segmentation logique

5.4 Spanning Tree Protocol (STP)

5.5 Firewalls — Types

# iptables Linux — pare-feu serveur
iptables -P INPUT DROP        # Tout bloquer par défaut
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

iptables -A INPUT -i lo -j ACCEPT    # Loopback OK
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables-save > /etc/iptables/rules.v4

6.1 Évolution des standards Wi-Fi

6.2 Sécurité Wi-Fi — de WEP à WPA3

6.3 Architecture Wi-Fi entreprise

6.4 Réseaux mobiles — 4G et 5G

6.5 Technologies sans fil complémentaires

7.1 Commandes réseau Linux essentielles

# === INFORMATIONS RÉSEAU ===
ip addr show                    # Toutes les interfaces et IPs
ip addr show eth0               # Interface spécifique
ip link show                    # État des interfaces (UP/DOWN)
ip route show                   # Table de routage
ip neigh show                   # Table ARP

# === CONFIGURATION IP ===
ip addr add 192.168.1.100/24 dev eth0    # Ajouter IP temporaire
ip addr del 192.168.1.100/24 dev eth0   # Supprimer IP
ip link set eth0 up                      # Activer interface
ip link set eth0 down                    # Désactiver interface
ip route add default via 192.168.1.1     # Route par défaut

# === TESTS DE CONNECTIVITÉ ===
ping 8.8.8.8                    # Test ICMP
ping -c 4 -i 0.5 192.168.1.1   # 4 pings, intervalle 0.5s
ping6 ::1                       # Ping IPv6
traceroute google.com           # Chemin des paquets
mtr google.com                  # Traceroute temps réel (My Traceroute)

# === PORTS ET PROCESSUS ===
ss -tuln                        # Sockets en écoute
ss -tulnp                       # Avec le processus associé
lsof -i :80                    # Processus utilisant le port 80
nmap 192.168.1.0/24            # Scan réseau
nmap -sV -p 1-1000 192.168.1.1 # Scan ports + versions

7.2 Configuration réseau permanente — Ubuntu/Debian (Netplan)

# /etc/netplan/01-netcfg.yaml
network:
  version: 2
  renderer: networkd
  ethernets:
    eth0:
      dhcp4: no
      addresses:
        - 192.168.1.10/24
      gateway4: 192.168.1.1
      nameservers:
        addresses: [8.8.8.8, 1.1.1.1]
        search: [monentreprise.local]
    eth1:
      dhcp4: yes   # Interface DHCP

# Appliquer
netplan apply
netplan --debug apply   # Mode debug

7.3 Configuration CentOS/RHEL/Rocky Linux

# /etc/sysconfig/network-scripts/ifcfg-eth0
TYPE=Ethernet
BOOTPROTO=static
DEVICE=eth0
ONBOOT=yes
IPADDR=192.168.1.10
PREFIX=24
GATEWAY=192.168.1.1
DNS1=8.8.8.8

# Redémarrer réseau
systemctl restart NetworkManager

# nmcli (NetworkManager CLI)
nmcli device status
nmcli con mod eth0 ipv4.addresses 192.168.1.20/24
nmcli con up eth0

7.4 Serveur web Nginx

# Installation
apt update && apt install nginx -y
systemctl enable --now nginx

# Virtual host /etc/nginx/sites-available/monsite.conf
server {
    listen 80;
    server_name monsite.com www.monsite.com;
    root /var/www/monsite;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }
    location /api/ {
        proxy_pass http://localhost:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
    return 301 https://$host$request_uri;
}
server {
    listen 443 ssl http2;
    server_name monsite.com;
    ssl_certificate /etc/letsencrypt/live/monsite.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/monsite.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
}

# Activer
ln -s /etc/nginx/sites-available/monsite.conf /etc/nginx/sites-enabled/
nginx -t && systemctl reload nginx

7.5 Let's Encrypt — Certificats SSL gratuits

apt install certbot python3-certbot-nginx -y
certbot --nginx -d monsite.com -d www.monsite.com
certbot renew --dry-run   # Test renouvellement auto

7.6 Monitoring réseau

# Logs
journalctl -u nginx -f            # Logs Nginx temps réel
tail -f /var/log/auth.log         # Tentatives d'authentification

# Monitoring temps réel
iftop                             # Bande passante par connexion
nethogs                           # Trafic par processus
vnstat                            # Statistiques historiques
nload eth0                        # Charge réseau graphique

8.1 La triade CIA — Piliers de la sécurité

8.2 Principales attaques réseau

8.3 Fail2ban — Protection brute force

apt install fail2ban -y
systemctl enable --now fail2ban

# /etc/fail2ban/jail.local
[DEFAULT]
bantime  = 3600
findtime = 600
maxretry = 5

[sshd]
enabled = true
port    = 22,2222
logpath = /var/log/auth.log
maxretry = 3

[nginx-http-auth]
enabled = true
port    = http,https

# Commandes
fail2ban-client status          # Jails actives
fail2ban-client status sshd     # Détail SSH
fail2ban-client unban 1.2.3.4  # Débloquer une IP

8.4 IDS, IPS et SIEM

# Suricata IDS/IPS
apt install suricata -y
systemctl start suricata
tail -f /var/log/suricata/fast.log   # Alertes en temps réel

8.5 Hardening — Bonnes pratiques

9.1 Cryptographie — Les 3 piliers

9.2 TLS/SSL — Sécuriser les communications web

# Vérifier un certificat
openssl s_client -connect google.com:443
openssl s_client -connect google.com:443 | openssl x509 -noout -dates

# Générer clé + CSR
openssl genrsa -out server.key 4096
openssl req -new -key server.key -out server.csr   -subj "/C=MA/L=Casablanca/O=NB3BN/CN=www.nb3bn.ma"

# Voir détails d'un certificat
openssl x509 -in certificate.crt -text -noout

# Tester la config TLS : https://www.ssllabs.com/ssltest/
# Objectif : note A ou A+

9.3 VPN — Types et protocoles

# WireGuard — VPN moderne ultra-simple
# Serveur : /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <SERVER_PRIVATE_KEY>

[Peer]
PublicKey = <CLIENT_PUBLIC_KEY>
AllowedIPs = 10.0.0.2/32

# Client : /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.2/24
PrivateKey = <CLIENT_PRIVATE_KEY>
DNS = 8.8.8.8

[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
Endpoint = vpn.monentreprise.com:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

wg-quick up wg0
systemctl enable wg-quick@wg0

9.4 PKI — Infrastructure à clés publiques

# CA interne avec OpenSSL
openssl genrsa -aes256 -out ca.key 4096
openssl req -new -x509 -days 3650 -key ca.key -out ca.crt

# Signer un certificat serveur
openssl x509 -req -days 365 -in server.csr   -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt

10.1 Wireshark — L'analyseur de paquets de référence

Wireshark est le sniffer réseau le plus utilisé au monde. Il capture et analyse le trafic réseau en temps réel ou depuis des fichiers .pcap.

10.2 Interface Wireshark — 5 zones clés

10.3 Filtres Wireshark essentiels

## Filtres par protocole
http          tls / https     dns
tcp           udp             icmp        arp

## Filtres par adresse
ip.addr == 192.168.1.10       # Source OU destination
ip.src == 192.168.1.10        # Source uniquement
ip.dst == 8.8.8.8             # Destination uniquement
ip.addr == 192.168.1.0/24    # Tout un sous-réseau

## Filtres par port
tcp.port == 80                # Source OU destination
tcp.dstport == 443            # Port destination
tcp.srcport == 52000          # Port source

## Combinaisons avancées
ip.src == 192.168.1.10 and tcp.dstport == 80
not arp and not dns
tcp.flags.syn == 1            # Paquets SYN (nouvelle connexion)
tcp.flags.rst == 1            # RST (connexion refusée/coupée)

## Filtres HTTP
http.request.method == "POST"
http.response.code == 404
dns.qry.name contains "google"
tcp.analysis.retransmission   # Retransmissions (perte de paquets)
tcp.analysis.zero_window      # Goulot d'étranglement

10.4 tcpdump — Capture en ligne de commande

# Capture basique
tcpdump -i eth0
tcpdump -i eth0 -w capture.pcap   # Sauvegarder pour Wireshark

# Filtres courants
tcpdump -i eth0 port 80
tcpdump -i eth0 host 192.168.1.10
tcpdump -i eth0 net 192.168.1.0/24
tcpdump -i eth0 'tcp and port 443'

# Affichage détaillé
tcpdump -i eth0 -vvv -X port 80   # Hexadécimal complet
tcpdump -i eth0 -A port 80        # ASCII (HTTP lisible)

10.5 Méthodologie d'analyse réseau

10.6 Nmap — Scanner de réseau

# Découverte d'hôtes
nmap -sn 192.168.1.0/24           # Ping scan
nmap -PR 192.168.1.0/24           # ARP scan (LAN)

# Scan de ports
nmap 192.168.1.10                  # 1000 ports communs
nmap -p 1-65535 192.168.1.10      # Tous les ports
nmap -sV 192.168.1.10             # Versions des services
nmap -O 192.168.1.10              # Détection OS (root)
nmap -A 192.168.1.10              # Tout en un

# Scripts NSE
nmap --script vuln 192.168.1.10   # Vulnérabilités connues

11.1 Cloud Computing — Les 3 modèles de service

11.2 AWS — Services réseau

# AWS CLI — Créer un VPC avec sous-réseaux
aws ec2 create-vpc --cidr-block 10.0.0.0/16 --region eu-west-1

# Sous-réseau public
aws ec2 create-subnet   --vpc-id vpc-xxx --cidr-block 10.0.1.0/24   --availability-zone eu-west-1a

# Security Group (pare-feu instance)
aws ec2 create-security-group   --group-name WebServer-SG --vpc-id vpc-xxx   --description "Web server SG"

aws ec2 authorize-security-group-ingress   --group-id sg-xxx --protocol tcp --port 443 --cidr 0.0.0.0/0
aws ec2 authorize-security-group-ingress   --group-id sg-xxx --protocol tcp --port 22 --cidr 10.0.0.0/8

11.3 SDN et NFV

11.4 Réseau Docker

# Types de réseaux Docker
docker network ls
# bridge   : réseau par défaut, conteneurs isolés avec NAT
# host     : partage réseau de l'hôte (Linux)
# overlay  : multi-hôte (Swarm / Kubernetes)
# none     : aucun réseau

# Créer un réseau personnalisé
docker network create --driver bridge   --subnet 172.20.0.0/24   --gateway 172.20.0.1   app-network

# Connecter conteneurs
docker run -d --name web --network app-network nginx
docker run -d --name db --network app-network postgres

# docker-compose.yml — réseau automatique
services:
  web:
    image: nginx
    ports: ["80:80"]
    networks: [frontend, backend]
  api:
    image: node:20
    networks: [backend]
  db:
    image: postgres
    networks: [backend]
networks:
  frontend:
  backend:
    internal: true  # Pas d'accès Internet

11.5 Kubernetes — Réseau de pods

# Service Kubernetes (LoadBalancer externe)
apiVersion: v1
kind: Service
metadata:
  name: web-service
spec:
  type: LoadBalancer
  selector:
    app: web
  ports:
    - protocol: TCP
      port: 80
      targetPort: 8080

# Ingress — routage HTTP
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: web-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  rules:
  - host: monsite.com
    http:
      paths:
      - path: /api
        pathType: Prefix
        backend:
          service:
            name: api-service
            port:
              number: 3000

12.1 Présentation du projet

12.2 Cahier des charges

12.3 Plan d'adressage IP

Espace global : 10.0.0.0/8

=== CASABLANCA (Siège) ===
Infrastructure : 10.1.0.0/24
  Firewall NGFW  : 10.1.0.1
  Switch Core L3 : 10.1.0.2
  Contrôleur Wi-Fi : 10.1.0.3
  Serveur AD/DNS : 10.1.0.10
  Serveur fichiers : 10.1.0.11

VLAN 10 - Administration : 10.1.10.0/24
VLAN 20 - Formateurs     : 10.1.20.0/24
VLAN 30 - Salle A        : 10.1.30.0/24
VLAN 40 - Salle B        : 10.1.40.0/24
VLAN 50 - Imprimantes    : 10.1.50.0/24
VLAN 99 - Invités Wi-Fi  : 10.1.99.0/24 (Internet only)
VLAN 100 - DMZ           : 10.1.100.0/24

=== RABAT (Annexe) ===
VLAN 10 - Administration : 10.2.10.0/24
VLAN 20 - Formateurs     : 10.2.20.0/24
VLAN 30 - Salle          : 10.2.30.0/24
VLAN 99 - Invités        : 10.2.99.0/24

=== VPN INTER-SITES ===
Tunnel IPsec : 10.10.10.0/30
  Casablanca  : 10.10.10.1
  Rabat       : 10.10.10.2

12.4 Schéma d'architecture réseau

INTERNET
    |
[FIREWALL NGFW - Fortinet 100F]
  |            |
[DMZ]     [ROUTER-CORE]
               |
        [SWITCH CORE L3]
     |     |      |      |
 [Dist1][Dist2][AP-CTRL][SERVERS]
   |      |
[Acc1] [Acc2]  ← Switches accès par salle
VLAN 10-50     VLAN 99 (invités isolés)

12.5 Configuration Firewall NGFW (Fortinet)

# Zones : WAN | LAN (VLAN 10-50) | DMZ | INVITES (VLAN 99)

config firewall policy
  edit 1
    set name "LAN-Internet"
    set srcintf "vlan10" "vlan20" "vlan30" "vlan40"
    set dstintf "WAN"
    set action accept
    set service "HTTP" "HTTPS" "DNS"
    set ssl-ssh-profile "deep-inspection"
    set webfilter-profile "filtrage-salle"
  next
  edit 2
    set name "Invites-Internet"
    set srcintf "vlan99"
    set dstintf "WAN"
    set action accept
    set service "HTTP" "HTTPS"
  next
  edit 999
    set name "DENY-ALL"
    set action deny
    set logtraffic all
  next

12.6 VPN Site-à-Site IPsec

config vpn ipsec phase1-interface
  edit "VPN-Casa-Rabat"
    set interface "WAN"
    set ike-version 2
    set remote-gw 197.230.x.x    # IP publique Rabat
    set psksecret "Cl3_P@rtagee_S3cur1see!"
    set proposal aes256-sha256
    set dhgrp 14
  next
config vpn ipsec phase2-interface
  edit "VPN-P2-Casa-Rabat"
    set phase1name "VPN-Casa-Rabat"
    set proposal aes256-sha256
    set src-subnet 10.1.0.0 255.255.0.0
    set dst-subnet 10.2.0.0 255.255.0.0
  next

12.7 Active Directory (Windows Server 2022)

# PowerShell — Déploiement AD DS
Install-WindowsFeature AD-Domain-Services, DNS -IncludeManagementTools
Install-ADDSForest `
  -DomainName "nb3bn.local" `
  -DomainNetbiosName "NB3BN" `
  -SafeModeAdministratorPassword (ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force) `
  -InstallDns:$true -Force:$true

# OUs et utilisateurs
New-ADOrganizationalUnit -Name "Employes" -Path "DC=nb3bn,DC=local"
New-ADUser -Name "Ali Hassan" -SamAccountName "ahassan" `
  -UserPrincipalName "ahassan@nb3bn.local" `
  -Path "OU=Employes,DC=nb3bn,DC=local" `
  -AccountPassword (ConvertTo-SecureString "Form@2024!" -AsPlainText -Force) `
  -Enabled $true

12.8 Plan de sauvegarde — Règle 3-2-1

#!/bin/bash
# /opt/scripts/backup.sh — Exécuté par cron à 2h00
DATE=$(date +%Y%m%d_%H%M%S)
tar -czf /mnt/nas/backup_$DATE.tar.gz /var/www /etc /home /opt/data
az storage blob upload   --account-name nb3bnbackups   --container-name backups   --name backup_$DATE.tar.gz   --file /mnt/nas/backup_$DATE.tar.gz
find /mnt/nas/ -name "backup_*.tar.gz" -mtime +7 -delete
# Crontab : 0 2 * * * /opt/scripts/backup.sh >> /var/log/backup.log 2>&1

12.9 Documentation projet réseau

12.10 Certifications réseau et cybersécurité