Fiches de Révision Complètes

BUT R&T
Réseaux & Télécommunications

Réseaux · Systèmes · Cybersécurité · Automatisation

Imabith HOUNGBO IUT de Rouen 2026 12 chapitres
01 Modèles OSI & TCP/IP
01

Modèles OSI & TCP/IP

Comprendre comment les données voyagent sur un réseau

Le modèle OSI — 7 couches

Cadre conceptuel standardisant les fonctions réseau. Chaque couche a un rôle précis et communique uniquement avec les couches adjacentes. En pratique on utilise TCP/IP, mais OSI reste la référence pour diagnostiquer.

7
Application
HTTP, FTP, DNS, SMTP, SSH, SNMP
Données
6
Présentation
TLS/SSL, JPEG, ASCII, MPEG
Données
5
Session
NetBIOS, RPC, PPTP
Données
4
Transport
TCP, UDP — ports source/destination
Segment
3
Réseau
IP, ICMP, ARP, OSPF, RIP, BGP
Paquet
2
Liaison
Ethernet, Wi-Fi 802.11, VLAN 802.1Q
Trame
1
Physique
Câbles RJ45, fibre optique, Wi-Fi RF, coaxial
Bit
💡 Moyen mnémotechnique (7→1) : "All People Seem To Need Data Processing"

Encapsulation / Décapsulation

Chaque couche ajoute un en-tête (header) à l'émission, et le retire à la réception.

CoucheActionRésultat
ApplicationCrée les donnéesDonnées brutes
TransportAjoute port source/dest, numéro de séquenceSegment TCP / Datagramme UDP
RéseauAjoute IP source/dest, TTLPaquet IP
LiaisonAjoute MAC source/dest, CRCTrame Ethernet
PhysiqueConvertit en signaux électriques/optiquesBits transmis

TCP/IP — les 4 couches

Modèle OSI (7 couches)
  • Application
  • Présentation
  • Session
  • Transport
  • Réseau
  • Liaison
  • Physique
Modèle TCP/IP (4 couches)
  • Application (7+6+5)
  • Transport (4)
  • Internet/Réseau (3)
  • Accès réseau (2+1)
02 Adressage IP & Sous-réseaux
02

Adressage IP & Sous-réseaux

IPv4, masques CIDR, calcul de plages, adresses spéciales

Structure d'une adresse IPv4

32 bits = 4 octets séparés par des points. Ex : 192.168.1.100. Chaque octet = 0–255. L'adresse se divise en partie réseau + partie hôte selon le masque.

Adresses spéciales à connaître
  • 127.0.0.1 — Loopback (soi-même). Disponible même sans réseau.
  • 0.0.0.0 — Route par défaut ou adresse non assignée.
  • 255.255.255.255 — Broadcast général (tous les hôtes du LAN).
  • Adresse réseau — Première adresse de la plage (ex : 192.168.1.0) — non attribuable.
  • Adresse broadcast — Dernière adresse (ex : 192.168.1.255) — non attribuable.
  • 169.254.x.x — APIPA : IP auto-attribuée quand le DHCP échoue.

Plages d'adresses privées (RFC 1918)

PlageCIDRMasqueHôtes maxUsage
10.0.0.0 – 10.255.255.25510.0.0.0/8255.0.0.016 777 214Grandes entreprises
172.16.0.0 – 172.31.255.255172.16.0.0/12255.240.0.01 048 574Entreprises moyennes
192.168.0.0 – 192.168.255.255192.168.0.0/16255.255.0.065 534Domicile / PME

Notation CIDR — masques courants

Formule : Hôtes = 2(32−CIDR) − 2  (réseau + broadcast retirés)

CIDRMasqueHôtesExempleUsage typique
/8255.0.0.016 777 21410.0.0.0/8Classe A — grands réseaux
/16255.255.0.065 534172.16.0.0/16Classe B
/24255.255.255.0254192.168.1.0/24Réseau local standard
/25255.255.255.128126192.168.1.0/25Moitié de /24
/26255.255.255.19262192.168.1.0/26Quart de /24
/27255.255.255.22430192.168.1.0/27Petit département
/28255.255.255.24014192.168.1.0/28Très petit réseau
/29255.255.255.2486192.168.1.0/29Mini réseau
/30255.255.255.2522192.168.1.0/30Lien point à point (WAN)
/32255.255.255.2551192.168.1.1/32Hôte unique (loopback, route statique)
03 Ports & Protocoles
03

Ports & Protocoles

Tableau complet, TCP vs UDP, 3-way handshake

Qu'est-ce qu'un port ?

Un port est un numéro 16 bits (0–65535) identifiant un service sur une machine. IP = machine, port = programme. Un socket = IP + Port. Ex : 192.168.1.10:443 = HTTPS sur cette machine.

0 – 1023
Well-Known Ports — services standards réservés
1024 – 49151
Registered Ports — applications enregistrées
49152 – 65535
Dynamic / Ephemeral — ports temporaires client

Tableau des ports essentiels

PortProtoServiceDescription
20TCPFTP-DATATransfert des données FTP (mode actif)
21TCPFTPContrôle de session FTP
22TCPSSHConnexion distante chiffrée — remplace Telnet
23TCPTelnetConnexion distante non chiffrée — DÉPRÉCIÉ
25TCPSMTPEnvoi d'emails entre serveurs de messagerie
53TCP/UDPDNSRésolution de noms de domaine en IP
67UDPDHCP serverAttribution d'adresses IP (côté serveur)
68UDPDHCP clientRequête DHCP (côté client)
69UDPTFTPTransfert de fichiers simplifié (PXE boot, config routeurs)
80TCPHTTPWeb non chiffré
88TCP/UDPKerberosAuthentification Active Directory
110TCPPOP3Réception d'emails (téléchargement et suppression du serveur)
123UDPNTPSynchronisation d'horloge réseau
137-139TCP/UDPNetBIOSPartage de fichiers Windows (ancien — remplacé par SMB/445)
143TCPIMAPRéception d'emails avec synchronisation serveur
161UDPSNMPSupervision et monitoring réseau (Zabbix, Nagios)
389TCPLDAPAnnuaire — Active Directory, OpenLDAP
443TCPHTTPSWeb chiffré (HTTP + TLS)
445TCPSMBPartage de fichiers/imprimantes Windows (Samba)
514UDPSyslogJournaux système centralisés
587TCPSMTP STARTTLSEnvoi d'emails avec chiffrement (moderne — préféré à 25)
636TCPLDAPSLDAP chiffré (TLS)
993TCPIMAPSIMAP chiffré
995TCPPOP3SPOP3 chiffré
1194UDPOpenVPNTunnel VPN OpenVPN
1433TCPMSSQLMicrosoft SQL Server
1812UDPRADIUS authAuthentification RADIUS (Wi-Fi WPA Enterprise, VPN)
1813UDPRADIUS acctComptabilité RADIUS
3306TCPMySQL/MariaDBBase de données MySQL
3389TCPRDPBureau à distance Windows (Remote Desktop Protocol)
5985TCPWinRM HTTPAdministration distante Windows PowerShell Remoting
5986TCPWinRM HTTPSWinRM chiffré
8006TCPProxmoxInterface web Proxmox VE
8080TCPHTTP-altProxy, reverse proxy, applications web alternatives
51820UDPWireGuardTunnel VPN WireGuard (aussi utilisé par Tailscale)

TCP vs UDP — différences fondamentales

TCP — Transmission Control Protocol
  • Orienté connexion — établit un circuit avant d'envoyer
  • Fiable — accusés de réception (ACK) pour chaque segment
  • Contrôle de flux et de congestion
  • Ordre garanti des paquets (numéros de séquence)
  • Retransmission automatique si perte
  • Plus lent mais sûr
  • Usages : HTTP/S, SSH, FTP, SMTP, RDP, SQL
UDP — User Datagram Protocol
  • Sans connexion — envoie directement (fire & forget)
  • Pas de garantie de livraison
  • Pas de contrôle d'ordre des paquets
  • Pas de retransmission automatique
  • Très rapide, faible latence
  • L'application gère elle-même la fiabilité si besoin
  • Usages : DNS, DHCP, NTP, VoIP, streaming, jeux

Le 3-way handshake TCP

Avant tout échange TCP, une connexion est établie en 3 étapes :

ÉtapeDirectionFlagDescription
1 — SYNClient → ServeurSYNLe client envoie un numéro de séquence initial (ISN) et demande à ouvrir la connexion
2 — SYN-ACKServeur → ClientSYN + ACKLe serveur accepte, envoie son propre ISN et confirme l'ISN du client (ISN+1)
3 — ACKClient → ServeurACKLe client confirme. La connexion est établie. Les données peuvent transiter.
FermetureL'un ou l'autreFIN + ACKFermeture propre en 4 étapes (FIN, ACK, FIN, ACK)
04 DNS & DHCP
04

DNS & DHCP

Résolution de noms, attribution dynamique d'adresses

DNS — Domain Name System

Le DNS traduit un nom lisible (www.google.com) en adresse IP (142.250.x.x). C'est l'annuaire téléphonique d'Internet. Port 53 UDP (requêtes), 53 TCP (transferts de zone, réponses > 512 octets).

Fonctionnement d'une requête DNS

ÉtapeActeurAction
1Client (résolveur stub)Vérifie le cache local (/etc/hosts, cache OS). Si présent → réponse immédiate.
2Client → Résolveur récursifEnvoie la requête au serveur DNS configuré (FAI, 8.8.8.8, 1.1.1.1…)
3Résolveur → Serveur racineInterroge les 13 serveurs racine (.) pour obtenir les serveurs du TLD (.com)
4Résolveur → Serveur TLDObtient les serveurs NS du domaine (google.com)
5Résolveur → Serveur authoritativeObtient l'enregistrement A final. Met en cache selon le TTL.
6Résolveur → ClientRetourne l'IP. Le client peut se connecter.

Types d'enregistrements DNS

TypeUsageExemple
ANom → IPv4www.exemple.com → 93.184.216.34
AAAANom → IPv6www.exemple.com → 2606:2800::1
CNAMEAlias vers un autre nommail.exemple.com → ghs.google.com
MXServeur de messagerieexemple.com MX 10 mail.exemple.com
PTRReverse DNS (IP → nom)34.216.184.93.in-addr.arpa → www.exemple.com
NSServeurs de noms du domaineexemple.com NS ns1.hebergeur.com
TXTDonnées textuelles libresSPF, DKIM, vérification domaine Google
SOAStart of AuthorityTTL, admin, serial de la zone DNS
SRVLocalise un service_ldap._tcp.corp.local → DC:389

DHCP — Dynamic Host Configuration Protocol

Attribue automatiquement : adresse IP, masque, passerelle, DNS. Ports 67 UDP (serveur) / 68 UDP (client).

La séquence DORA — les 4 étapes
  • D — DISCOVER : le client broadcast "Qui peut me donner une IP ?" (src 0.0.0.0 → dst 255.255.255.255)
  • O — OFFER : le serveur répond "Je t'offre 192.168.1.50 pour 24h"
  • R — REQUEST : le client broadcast "J'accepte cette offre" (informe les autres serveurs DHCP)
  • A — ACKNOWLEDGE : le serveur confirme "L'IP est à toi jusqu'à expiration du bail"
Option DHCPDescriptionExemple
Option 3Passerelle par défaut (gateway)192.168.1.1
Option 6Serveur(s) DNS8.8.8.8, 8.8.4.4
Option 15Nom de domainecorp.local
Option 42Serveur NTP192.168.1.1
Option 51Durée du bail (lease time)86400 secondes = 24h
Option 66/67Serveur TFTP + nom du fichier (PXE boot)192.168.1.10 / pxelinux.0

Réservation DHCP : association IP fixe ↔ adresse MAC. Le serveur attribue toujours la même IP à cette machine tout en gardant le mécanisme DHCP.

05 VLAN & Switching
05

VLAN & Switching

Segmentation réseau, 802.1Q, STP, inter-VLAN routing

VLAN — Virtual Local Area Network

Segmentation logique d'un réseau physique. Des machines dans le même VLAN communiquent comme si elles étaient sur le même switch, même si elles sont physiquement sur des équipements différents. Les VLANs isolent le trafic de broadcast.

AvantageExplication
SécuritéIsolation du trafic entre services (VLAN RH séparé du VLAN IT, VLAN invités isolé)
PerformanceRéduit les domaines de broadcast → moins de trafic inutile sur chaque segment
FlexibilitéRegroupement logique indépendant de la localisation physique des équipements
GestionFacilite l'administration, le troubleshooting et la mise en quarantaine

Types de ports sur un switch

TypeRôleTag VLANUsage
AccessConnecté à un terminal (PC, imprimante, téléphone IP)Non taggéUn seul VLAN. La machine ne voit pas le tag.
TrunkEntre deux switches, ou switch ↔ routeurTaggé 802.1QTransporte plusieurs VLANs simultanément
HybrideMix access + trunkPartielTéléphonie IP (voix taggé, données non taggé)
802.1Q — Standard de tagging VLAN
  • Tag inséré dans l'en-tête Ethernet (entre MAC src et EtherType) : 4 octets.
  • Contient : 3 bits PCP (priorité QoS), 1 bit DEI, 12 bits VLAN ID (0–4094).
  • VLAN 1 = VLAN natif par défaut (non taggé sur trunk Cisco).
  • VLAN 1002–1005 réservés Cisco. Plage normale : 1–1001. Étendue : 1006–4094.
  • Inter-VLAN routing : les VLANs ne communiquent pas par défaut → besoin d'un routeur ou switch L3 (ou "router-on-a-stick" avec sous-interfaces).

STP — Spanning Tree Protocol (802.1D)

Évite les boucles dans un réseau commuté. Sans STP, une boucle de broadcast paralyserait le réseau (broadcast storm). STP désactive les liens redondants et les réactive si le lien principal tombe.

État du port STPDescriptionDurée
BlockingReçoit les BPDU, ne transmet pas de données. Évite les boucles.
ListeningÉcoute les BPDU, détermine son rôle dans la topologie.15s
LearningApprend les adresses MAC, ne transmet pas encore.15s
ForwardingTransmet les données normalement. État actif.
DisabledAdministrativement désactivé.

RSTP (802.1w) = Rapid STP, convergence en < 1s au lieu de 30–50s. MSTP (802.1s) = Multiple STP, une instance par groupe de VLANs.

06 Routage
06

Routage

Statique, RIP, OSPF, BGP, tables de routage

Concept de routage

Le routage achemine un paquet IP d'un réseau source vers un réseau destination via un ou plusieurs routeurs. Chaque routeur consulte sa table de routage pour décider vers quelle interface envoyer le paquet. La règle de sélection : route la plus spécifique (masque le plus long).

Exemple de table de routage

DestinationMasquePasserelleInterfaceMétriqueSource
0.0.0.00.0.0.0192.168.1.1eth01Route par défaut
192.168.1.0255.255.255.00.0.0.0eth00Connecté directement
10.0.0.0255.255.255.0192.168.1.254eth0110OSPF
172.16.0.0255.255.0.0192.168.1.253eth0120RIP

Statique vs Dynamique

Routage statique
  • Configuré manuellement par l'admin
  • Stable, prévisible, aucune surcharge protocolaire
  • Ne s'adapte pas aux pannes automatiquement
  • Adapté aux petits réseaux ou liens WAN point-à-point
  • Commande Cisco : ip route 10.0.0.0 255.255.255.0 192.168.1.1
Routage dynamique
  • Routes apprises automatiquement via protocoles
  • S'adapte aux changements de topologie
  • Génère du trafic (hello, update, LSA…)
  • Indispensable sur les grands réseaux
  • Exemples : RIP, OSPF, EIGRP, BGP

RIP — Routing Information Protocol

Caractéristiques RIP
  • Type : Distance Vector (vecteur de distance)
  • Métrique : nombre de sauts (hops) — max 15. Au-delà = réseau inaccessible (infini = 16).
  • RIPv1 : classful, pas de VLSM, broadcast toutes les 30s.
  • RIPv2 : classless, supporte VLSM/CIDR, multicast 224.0.0.9, authentification MD5.
  • Convergence : lente (30s updates). Loop prevention : split horizon, poison reverse, hold-down timers.
  • Administrative Distance : 120 (moins fiable qu'OSPF=110).

OSPF — Open Shortest Path First

Protocole à état de lien (Link State). Chaque routeur connaît la topologie complète et calcule les chemins optimaux avec l'algorithme de Dijkstra (SPF).

CaractéristiqueDétail
TypeLink State — chaque routeur envoie des LSA (Link State Advertisement) à tous
AlgorithmeDijkstra (SPF — Shortest Path First)
MétriqueCoût = 10⁸ / bande passante (en bps). Fibre (coût 1) > FastEth (10) > ADSL (plus)
Mise à jourDéclenchée par événement (pas périodique) — convergence rapide
Multicast224.0.0.5 (tous routeurs OSPF) / 224.0.0.6 (DR/BDR seulement)
AD110 — plus fiable que RIP (120)
AreasArea 0 = backbone obligatoire. Multi-area pour scalabilité. Area 0 relie toutes les autres.
DR/BDRDesignated Router / Backup DR — élu sur réseaux multi-accès pour réduire les LSA
AuthentificationSupporte MD5 et SHA — sécurise l'échange de LSA
OSPFv3Version pour IPv6
BGP — Border Gateway Protocol (bonus)

Protocole de routage inter-AS (entre opérateurs). Utilisé sur Internet. Path Vector. Administrative Distance = 20 (externe) / 200 (interne iBGP). Très complexe — pas au programme BUT mais bon à connaître.

07 VPN & Sécurité réseau
07

VPN & Sécurité réseau

Tunnels chiffrés, pare-feu, NAT, RADIUS

VPN — Virtual Private Network

Crée un tunnel chiffré entre deux points sur un réseau non sécurisé (Internet). Garantit confidentialité, intégrité et authenticité. Deux usages : site-to-site (relier deux sites) et remote access (accès distant sécurisé).

ProtocolePortChiffrementAvantagesInconvénients
OpenVPN1194 UDP / 443 TCPTLS/SSL (AES-256)Open source, très sûr, bypass firewall via 443Config complexe, moins rapide que WireGuard
WireGuard51820 UDPChaCha20-Poly1305Ultra rapide, code minimal (4000 lignes), modernePlus récent, moins d'outils de gestion
IPSec/IKEv2500 / 4500 UDPAES, 3DESNatif Windows/iOS, rapide, standard entreprisePeut être bloqué par NAT strict
L2TP/IPSec1701 UDPAES via IPSecNatif sur tous les OSDouble encapsulation, lent
PPTP1723 TCPMPPE 128-bitSimple à configurerCassé cryptographiquement — NE PAS UTILISER
Tailscale — VPN mesh basé sur WireGuard
  • Réseau mesh peer-to-peer : chaque nœud se connecte directement aux autres (pas de serveur central).
  • Authentification via SSO (Google, GitHub, Microsoft…). Très simple à déployer.
  • Exit node : un nœud qui route tout le trafic Internet — utile pour contourner des restrictions.
  • Subnet router : expose un réseau local entier (192.168.1.0/24) aux autres nœuds Tailscale.
  • Utilisé dans ton projet personnel Pi-hole + Tailscale pour le filtrage DNS à distance.

Pare-feu (Firewall)

TypeDescriptionExemple
Stateless / Packet filterFiltre paquet par paquet selon IP/port/protocole. Rapide mais limité — ne voit pas l'état des connexions.iptables -A INPUT -p tcp --dport 80 -j ACCEPT
StatefulSuit l'état des connexions TCP (SYN_SENT, ESTABLISHED…). Plus intelligent : bloque les réponses non sollicitées.nftables, Windows Firewall, pfSense
WAF (Web App Firewall)Couche 7 — inspecte le contenu HTTP. Bloque injections SQL, XSS, CSRF.ModSecurity, AWS WAF
NGFWNext-Gen : DPI (Deep Packet Inspection), IPS/IDS, authentification utilisateur, SSL inspection.Palo Alto, Fortinet, pfSense+Snort

NAT — Network Address Translation

TypeDescriptionUsage
SNAT / MasqueradeSource NAT : traduit l'IP privée en IP publique à la sortie vers InternetAccès Internet depuis un réseau privé
DNAT / Port ForwardDestination NAT : redirige un port public vers une machine interneExposer un serveur web interne (80 → 192.168.1.10:80)
PAT / NAPTPort Address Translation : plusieurs IP privées partagent une IP publique via des ports distinctsBox FAI — toute la maison partage une IP publique
08 Active Directory
08

Active Directory

Structure, objets, GPO, Kerberos, LDAP, commandes PowerShell

Vue d'ensemble

Active Directory (AD DS) est le service d'annuaire Microsoft. Il centralise l'authentification et l'autorisation dans un domaine Windows. Tout passe par le Domain Controller (DC) qui héberge la base NTDS.DIT.

Structure logique de l'AD

ObjetDescriptionExemples
Forest (Forêt)Plus haute unité d'administration. Contient un ou plusieurs domaines. Partage le schéma AD.corp.local
Domain (Domaine)Unité principale. Partage une politique de sécurité commune. A son propre DC.rh.corp.local, it.corp.local
OU (Org. Unit)Conteneur logique pour organiser objets. Les GPO s'appliquent aux OUs.OU=IT,DC=corp,DC=local
UserCompte utilisateur. Authentifié via Kerberos (port 88).jdupont@corp.local (UPN)
GroupRegroupement pour simplifier l'attribution de droits. Types : Security / Distribution.GRP_Admins, GRP_RH
ComputerObjet machine jointe au domaine. S'authentifie aussi avec Kerberos.PC-IMABITH$
GPOGroup Policy Object — stratégies appliquées aux OUs (sécurité, logiciels, bureau…)GPO_Firewall, GPO_MotDePasse

GPO — Group Policy Objects

Tout ce qu'il faut savoir sur les GPO
  • GPMC : console de gestion (gpmc.msc). Lier, éditer, simuler les GPO.
  • Paramètres Computer : s'appliquent au démarrage de la machine (indépendamment de l'utilisateur).
  • Paramètres User : s'appliquent à l'ouverture de session de l'utilisateur.
  • Héritage : Site → Domaine → OU (du parent vers l'enfant). Possible de bloquer l'héritage.
  • Ordre d'application (LSDOU) : Local → Site → Domain → OU. La dernière appliquée gagne (sauf "Enforced").
  • Filtrage WMI : applique une GPO uniquement si une condition WMI est vraie (ex : Windows 11 uniquement).
  • gpupdate /force : force l'application immédiate.
  • gpresult /r : voir les GPO appliquées à l'utilisateur/machine courant.
  • Résultats de stratégie : RSOP.msc ou gpresult /H rapport.html pour auditer.

Kerberos — protocole d'authentification AD

ÉtapeDescription
1 — AS-REQClient → KDC : demande un TGT (Ticket Granting Ticket) en s'authentifiant avec hash du mot de passe
2 — AS-REPKDC → Client : répond avec le TGT chiffré (valide 10h par défaut)
3 — TGS-REQClient → KDC : présente le TGT et demande un ticket de service (TGS) pour une ressource
4 — TGS-REPKDC → Client : délivre le ticket de service chiffré avec la clé du service cible
5 — AP-REQClient → Service : présente le ticket au serveur cible (partage, SQL, Exchange…)
6 — Accès accordéLe service valide le ticket via sa propre clé et autorise l'accès

Ports Kerberos : 88 TCP/UDP. KDC = Key Distribution Center (rôle sur le DC). Attaques : Pass-the-Ticket, Kerberoasting, Golden Ticket (KRBTGT compromis).

Commandes PowerShell AD essentielles

CommandeDescription
Get-ADUser -Filter *Liste tous les utilisateurs du domaine
Get-ADUser -Identity jdupont -Properties *Détails complets d'un utilisateur spécifique
New-ADUser -Name 'Jean Dupont' -SamAccountName jdupont -Enabled $trueCréer un utilisateur
Set-ADAccountPassword -Identity jdupontChanger le mot de passe d'un compte
Enable-ADAccount / Disable-ADAccount -Identity jdupontActiver / désactiver un compte
Add-ADGroupMember -Identity GRP_IT -Members jdupontAjouter un utilisateur à un groupe
Get-ADComputer -Filter * | Select Name,OperatingSystemLister les machines et leur OS
Get-GPO -AllLister toutes les GPO du domaine
Invoke-GPUpdate -Computer PC01 -ForceForcer gpupdate sur une machine distante
Move-ADObject -Identity DN -TargetPath 'OU=IT,DC=corp,DC=local'Déplacer un objet dans une autre OU
09 Linux
09

Linux

Commandes essentielles, droits, services, réseau, scripting

Commandes essentielles

CatégorieCommandeDescription
Navigationls -laListe détaillée avec fichiers cachés et permissions
cd /cheminChanger de répertoire
pwdAfficher le répertoire courant
find / -name "*.conf" 2>/dev/nullRechercher des fichiers (supprime erreurs)
tree -L 2Afficher arborescence sur 2 niveaux
Fichierscp -r src/ dst/Copier récursivement
mv src dstDéplacer ou renommer
rm -rf dossier/Supprimer récursivement (⚠️ irréversible)
cat / less / tail -fAfficher / paginer / suivre en temps réel
grep -rn "motif" /cheminRechercher avec numéro de ligne
sed -i 's/ancien/nouveau/g' fichierRemplacer dans un fichier (in-place)
awk '{print $1,$3}' fichierExtraire des colonnes
Droitschmod 755 script.shChanger les permissions (notation octale)
chown user:group fichierChanger propriétaire et groupe
ls -lVoir les permissions de tous les fichiers
sudo commandeExécuter en tant que root
visudoÉditer le fichier sudoers de façon sécurisée
Réseauip aVoir les interfaces et leurs adresses IP
ip rAfficher la table de routage
ss -tulnVoir les ports en écoute (remplace netstat)
ping -c 4 8.8.8.8Tester la connectivité (4 paquets)
traceroute / tracepathTracer le chemin vers une destination
nmap -sV -p- IPScanner tous les ports et versions des services
curl -I https://exemple.comVoir les headers HTTP d'un serveur
dig exemple.com ARequête DNS (enregistrement A)
Processusps auxLister tous les processus avec détails
kill -9 PIDTuer un processus (force)
htopMoniteur interactif (CPU, RAM, processus)
Servicessystemctl start/stop/restart nomGérer un service systemd
systemctl enable/disable nomActiver/désactiver au démarrage
systemctl status nomVoir l'état détaillé d'un service
journalctl -u nom -f --since "1h ago"Logs d'un service en temps réel
Packages (Debian)apt update && apt upgrade -yMettre à jour la liste et les paquets
apt install paquetInstaller un paquet
dpkg -l | grep paquetVérifier si un paquet est installé

Permissions Linux — notation octale

Chaque fichier a 3 niveaux : propriétaire (u), groupe (g), autres (o). Chaque niveau : r=4, w=2, x=1.

ValeurBinaireDroitsSignification
0000---Aucun droit
4100r--Lecture seulement
5101r-xLecture + exécution
6110rw-Lecture + écriture
7111rwxTous les droits
Exemples pratiques chmod
  • chmod 755 script.sh → rwxr-xr-x (propriétaire tout, groupe+autres r+x)
  • chmod 644 fichier.txt → rw-r--r-- (propriétaire rw, autres lecture)
  • chmod 600 cle.pem → rw------- (clé privée SSH : propriétaire seulement)
  • chmod +x script.sh → ajoute le droit d'exécution sans changer le reste
  • chmod -R 755 dossier/ → applique récursivement
10 Virtualisation & Docker
10

Virtualisation & Docker

VMs, LXC, conteneurs, Proxmox VE, Docker Compose

Types d'hyperviseurs

TypeDescriptionExemples
Type 1 (bare-metal)S'installe directement sur le matériel. Performances optimales. Usage professionnel/production.Proxmox VE, VMware ESXi, Microsoft Hyper-V, Xen
Type 2 (hosted)S'installe sur un OS hôte existant. Moins performant. Usage desktop/test.VirtualBox, VMware Workstation, QEMU (en mode hosted)

VM vs Conteneur

Machine Virtuelle (VM — KVM)
  • OS complet dédié à chaque VM
  • Isolation forte — kernel séparé
  • Plus lourd en ressources (RAM, CPU, disque)
  • Démarrage en 1–5 minutes
  • Idéal pour Windows ou OS différents de l'hôte
  • Snapshot, live migration, clonage
Conteneur (LXC / Docker)
  • Partage le kernel de l'hôte Linux
  • Isolation plus légère (namespaces, cgroups)
  • Très léger — quelques MB de RAM
  • Démarrage en quelques secondes
  • Idéal pour services Linux, microservices
  • Portable — même comportement partout

Proxmox VE — éléments clés

ÉlémentDescription
Interface webhttps://IP:8006 — gestion complète via navigateur (VMs, LXC, stockage, réseau)
KVMVirtualisation complète via QEMU/KVM. VMs avec OS complet (Windows, Linux).
LXCConteneurs Linux légers partageant le kernel Proxmox. Plus léger qu'une VM complète.
StorageLocal (LVM, ZFS), NFS, Ceph. Images QCOW2 (VMs), subvolumes/raw (LXC).
RéseauBridges Linux (vmbr0, vmbr1…). vmbr0 = bridge par défaut vers interface physique. Support VLANs.
SnapshotSauvegarde instantanée de l'état. Réversible (utile avant mises à jour risquées).
Backupvzdump — sauvegarde vers stockage local ou NFS. Planifiable via l'interface.
HAHigh Availability — migration automatique si un nœud tombe (cluster Proxmox, Corosync).
CLI utilesqm start/stop/status 100 (VMs) · pct start/stop/enter 101 (conteneurs) · pvesm status (stockage)

Docker — commandes essentielles

CommandeDescription
docker pull nginx:alpineTélécharger une image depuis Docker Hub
docker run -d -p 80:80 --name web nginxLancer en arrière-plan, port mappé hôte:conteneur
docker ps / docker ps -aConteneurs actifs / tous (incluant stoppés)
docker stop / start / restart nomGérer le cycle de vie d'un conteneur
docker exec -it nom bashOuvrir un shell interactif dans le conteneur
docker logs -f --tail 50 nomSuivre les 50 dernières lignes de logs
docker inspect nomDétails JSON complets (réseau, volumes, config)
docker rm nom / docker rmi imageSupprimer conteneur / image
docker volume ls / create / rmGérer les volumes (persistance des données)
docker network ls / create / inspectGérer les réseaux Docker (bridge, host, overlay)
docker build -t monapp:1.0 .Construire une image depuis un Dockerfile
docker compose up -dLancer tous les services du compose.yml en arrière-plan
docker compose downArrêter et supprimer conteneurs + réseaux compose
docker compose logs -fVoir les logs de tous les services compose
docker statsUtilisation CPU/RAM de tous les conteneurs en temps réel
docker system prune -aNettoyer images, conteneurs et volumes inutilisés

Exemple docker-compose.yml

# Stack web + base de données
services:
  web:
    image: nginx:alpine
    ports:
      - "80:80"
    volumes:
      - ./html:/usr/share/nginx/html:ro
    depends_on: [db]
    restart: unless-stopped

  db:
    image: mariadb:10
    environment:
      MYSQL_ROOT_PASSWORD: secret
      MYSQL_DATABASE: appdb
    volumes:
      - db_data:/var/lib/mysql
    restart: unless-stopped

volumes:
  db_data:
11 Cybersécurité
11

Cybersécurité

Modèle CIA, hardening, attaques courantes, RADIUS

Le modèle CIA — piliers de la sécurité

PilierDescriptionMenaces associéesContre-mesures
ConfidentialitéSeuls les autorisés accèdent aux donnéesÉcoute réseau, vol de données, accès non autorisé, fuitesChiffrement (TLS, AES), contrôle d'accès, VPN, classification des données
IntégritéLes données ne sont pas altérées sans autorisationMan-in-the-Middle, injection SQL, ransomware, corruptionHash (SHA-256, MD5), signatures numériques, sauvegardes vérifiées
AvailabilitéLe service est accessible quand nécessaireDDoS, pannes matérielles, ransomware, erreurs humainesRedondance, HA, sauvegardes, anti-DDoS, PRA/PCA

Hardening système — checklist complète

ActionDétailOutil / Commande
Désactiver services inutilesChaque service = surface d'attaque potentiellesystemctl disable nom / GPO
Politique de mots de passe fortsMin 12 caractères, complexité, expiration 90j, historiqueGPO > Password Policy / PAM (Linux)
MFA (Multi-Factor Auth)2ème facteur : OTP TOTP, clé physique (YubiKey), pushMicrosoft Authenticator, Duo, RADIUS
Mises à jour régulièresCorriger les CVE (vulnérabilités connues) rapidementapt upgrade / WSUS / Windows Update
Pare-feu activéBloquer tous les ports non nécessaires par défautiptables, nftables, Windows Firewall, GPO
Désactiver Telnet / FTPRemplacer par SSH / SFTP (chiffrés)systemctl disable telnet / vsftpd
Renommer le compte adminÉviter les attaques sur le compte par défaut connuGPO > Security Options > Rename admin
Principe du moindre privilègeDroits minimaux nécessaires à chaque rôleRBAC, groupes AD granulaires, sudo limité
Chiffrement des disquesProtéger les données au repos (vol physique)BitLocker (Windows) / LUKS (Linux)
Audit et journalisationDétecter intrusions et anomalies via logs centralisésSyslog / Zabbix / Windows Event Log / SIEM
O&O ShutUp11Désactiver la télémétrie Windows (envoi données Microsoft)ooShutUp11.exe (mode recommandé)
Désactiver USB si inutileÉviter vol de données par support amovibleGPO > Device Installation Restrictions
Verrouillage de sessionDéconnexion automatique après inactivitéGPO > Screen saver timeout
Séparation des privilègesCompte admin ≠ compte utilisateur courantDeux comptes distincts par admin

Attaques courantes à connaître

AttaqueTypeDescriptionContre-mesure
PhishingSocial engineeringEmail frauduleux imitant une entité de confiance pour voler des identifiants ou installer un malwareSensibilisation utilisateurs, filtres email (SPF/DKIM), MFA
Brute forceCredentialTester toutes les combinaisons de mots de passe automatiquementLockout (5 tentatives), MFA, fail2ban, CAPTCHAs
Dictionary attackCredentialTester une liste de mots de passe courants (dictionnaire)Mots de passe complexes et longs, MFA
Man-in-the-MiddleNetworkIntercepter et potentiellement modifier les communications entre deux hôtesTLS/HTTPS, VPN, HSTS, certificats valides
ARP SpoofingNetworkEmpoisonner le cache ARP des machines pour se placer entre elles (MITM LAN)DAI (Dynamic ARP Inspection), port security
SQL InjectionApplicationInjecter du SQL dans un formulaire web pour accéder/modifier la base de donnéesRequêtes préparées (prepared statements), WAF, validation des entrées
XSSApplicationInjecter du JavaScript malveillant dans une page web pour voler des cookies ou redirigerSanitisation des entrées, Content Security Policy (CSP), HttpOnly cookies
RansomwareMalwareChiffrer tous les fichiers accessibles et demander une rançon en cryptoSauvegardes hors ligne (3-2-1), EDR, droits minimaux, snapshots
DDoSAvailabilitySaturer un service avec des milliers/millions de requêtes simultanéesAnti-DDoS (Cloudflare), rate limiting, scrubbing center, anycast
Pass-the-HashAD / KerberosRéutiliser un hash NTLM volé pour s'authentifier sans connaître le mot de passeProtected Users group, Credential Guard, LAPS
Pass-the-TicketAD / KerberosRéutiliser un ticket Kerberos TGT/TGS volé pour accéder à des ressourcesDurée de vie courte des tickets, détection SIEM
KerberoastingAD / KerberosDemander des TGS pour des comptes de service et craquer le hash hors ligneMots de passe longs pour les comptes de service, Managed Service Accounts

RADIUS — Remote Authentication Dial-In User Service

Centralise l'authentification pour les accès réseau : Wi-Fi WPA Enterprise, VPN, connexions PPP. Sépare authentification (qui ?), autorisation (droits ?) et comptabilité (traçabilité).

Flux RADIUS (AAA — Authentication, Authorization, Accounting)
  • 1. Client (NAS — Network Access Server) → Serveur RADIUS : Access-Request (identifiants chiffrés avec secret partagé)
  • 2. Serveur RADIUS → AD/LDAP : vérification des credentials
  • 3. Serveur RADIUS → NAS : Access-Accept (avec attributs RADIUS : VLAN, droits, timeout…) ou Access-Reject
  • Ports : 1812 UDP (authentification), 1813 UDP (accounting)
  • Protocoles d'auth : PAP (non chiffré), CHAP (challenge), EAP (extensible) — EAP-TLS = le plus sécurisé (certificats mutuels)
12 Automatisation
12

Automatisation

PowerShell, Bash, Python — exemples concrets R&T

PowerShell — fondamentaux

Shell et langage de script Microsoft basé sur .NET. Manipule des objets (pas du texte brut). Indispensable pour administrer Windows Server et Active Directory.

# Variables
$nom    = 'Imabith'
$liste  = @('item1', 'item2', 'item3')
$hash   = @{Nom='Imabith'; Age=23}

# Condition
if ($x -eq 'valeur') { ... }
elseif ($x -gt 5)       { ... }
else                       { ... }

# Opérateurs de comparaison : -eq -ne -lt -gt -le -ge -like -match -contains

# Boucles
foreach ($item in $liste) { Write-Host $item }
for ($i=0; $i -lt 10; $i++) { Write-Host $i }
1..10 | ForEach-Object { Write-Host $_ }

# Pipeline (la force de PowerShell)
Get-Process | Where-Object {$_.CPU -gt 10} | Sort-Object CPU -Descending | Select-Object -First 5

# Fonctions
function Get-Bonjour {
    param([string]$Nom)
    return "Bonjour $Nom"
}

# Gestion des erreurs
try {
    Get-ADUser -Identity "inexistant"
} catch {
    Write-Warning "Erreur : $_"
}

Script pratique — création en masse d'utilisateurs AD depuis CSV

# fichier CSV : Prenom,Nom,Service
Import-Csv 'utilisateurs.csv' | ForEach-Object {
    $sam = ($_.Prenom[0] + $_.Nom).ToLower()
    $upn = "$sam@corp.local"
    $ou  = "OU=$($_.Service),DC=corp,DC=local"
    $pwd = ConvertTo-SecureString 'P@ssw0rd!' -AsPlainText -Force

    New-ADUser -Name               "$($_.Prenom) $($_.Nom)" `
               -SamAccountName    $sam    `
               -UserPrincipalName $upn    `
               -Path              $ou     `
               -AccountPassword   $pwd    `
               -Enabled           $true

    Write-Host "[OK] Créé : $sam dans $ou" -ForegroundColor Green
}

Bash — fondamentaux

Shell standard Linux. Indispensable pour l'automatisation d'administration système, déploiement, cron jobs.

#!/bin/bash
# Shebang obligatoire en première ligne

# Variables (pas d'espaces autour de =)
NOM='Imabith'
DATE=$(date +%Y-%m-%d)      # Capture sortie d'une commande
IP_SERV='192.168.1.50'

# Tests de condition : -f fichier, -d dossier, -z chaîne vide, -n chaîne non-vide
if [ -f "/etc/hosts" ]; then
    echo "Fichier trouvé"
elif [ "$NOM" = 'Imabith' ]; then
    echo "Bonjour Imabith"
fi

# Boucle for — ping scan rapide
for ip in 192.168.1.{1..20}; do
    ping -c1 -W1 $ip &>/dev/null && echo "$ip : UP" || echo "$ip : DOWN"
done

# Boucle while — lire un fichier ligne par ligne
while read -r ligne; do
    echo "Traitement : $ligne"
done < fichier.txt

# Fonctions avec journalisation
log() { echo "[$(date +%H:%M:%S)] $1" | tee -a /var/log/monscript.log; }
log "Script démarré par $USER"

Script pratique — déploiement agent Zabbix (comme en stage VNB-IT)

#!/bin/bash
ZABBIX_SERVER='192.168.1.50'
HOSTNAME=$(hostname)
log() { echo "[$(date)] $1"; }

log "Déploiement Zabbix Agent sur $HOSTNAME"

# Ajouter dépôt Zabbix
wget -qO /tmp/zabbix.deb \
  https://repo.zabbix.com/zabbix/6.4/debian/pool/main/.../zabbix-release_6.4.deb
dpkg -i /tmp/zabbix.deb && apt-get update -q

# Installer
apt-get install -y zabbix-agent2 || { log "ERREUR installation"; exit 1; }

# Configurer
sed -i "s/^Server=.*/Server=$ZABBIX_SERVER/" /etc/zabbix/zabbix_agent2.conf
sed -i "s/^Hostname=.*/Hostname=$HOSTNAME/"        /etc/zabbix/zabbix_agent2.conf

# Activer et démarrer
systemctl enable --now zabbix-agent2
log "Agent déployé : $HOSTNAME → $ZABBIX_SERVER"

Python — scripting réseau & système

import subprocess, socket, os, json
from datetime import datetime

# ─── Ping scanner réseau ───────────────────────────
def ping_scan(reseau, debut=1, fin=254):
    actifs = []
    for i in range(debut, fin+1):
        ip = f'{reseau}.{i}'
        res = subprocess.run(['ping','-c','1','-W','1',ip],
                               capture_output=True)
        if res.returncode == 0:
            actifs.append(ip)
            print(f'[UP]   {ip}')
        else:
            print(f'[DOWN] {ip}')
    return actifs

# ─── Vérification de port ─────────────────────────
def check_port(ip, port, timeout=1):
    with socket.socket() as s:
        s.settimeout(timeout)
        try:
            s.connect((ip, port))
            return True
        except:
            return False

# ─── Exemple combiné ──────────────────────────────
machines = ping_scan('192.168.1', 1, 20)
for m in machines:
    services = []
    for port, nom in [(22,'SSH'),(80,'HTTP'),(443,'HTTPS'),(3389,'RDP')]:
        if check_port(m, port):
            services.append(nom)
    print(f'{m} : {", ".join(services) or "aucun"}')

Bibliothèques Python utiles en R&T

BibliothèqueUsageInstallation
paramikoSSH depuis Python — connexion, exécution commandes, transfert fichierspip install paramiko
netmikoSSH multi-constructeurs (Cisco, Juniper, Huawei, Arista…)pip install netmiko
requestsRequêtes HTTP/REST API — interagir avec les APIs de vos équipementspip install requests
python-nmapWrapper Python autour de Nmap pour scanner des réseauxpip install python-nmap
scapyManipulation de paquets réseau — forger, capturer, analyserpip install scapy
pysnmpMonitoring SNMP — récupérer métriques d'équipements réseaupip install pysnmp
ldap3Interaction LDAP / Active Directory — requêtes, modification objets ADpip install ldap3
fabricDéploiement SSH automatisé — exécuter des tâches sur plusieurs serveurspip install fabric
ansible (CLI)Orchestration — automatiser config de centaines de machines via playbooks YAMLpip install ansible
Récapitulatif — ce qu'il faut maîtriser

Récapitulatif — les incontournables

Ce qu'un technicien R&T doit maîtriser pour son alternance BUT3

DomaineNotions absolument indispensables
Réseaux OSI/TCP7 couches OSI + rôle, encapsulation, modèle TCP/IP 4 couches
Adressage IPSubnetting CIDR, calcul 2^n−2, adresses privées RFC1918, loopback
PortsPar cœur : 22, 53, 67/68, 80, 88, 389, 443, 445, 1812, 3389 et leurs services
TCP/UDPDifférences fondamentales + 3-way handshake TCP (SYN/SYN-ACK/ACK)
DNSTypes A/AAAA/CNAME/MX/PTR/NS, résolution récursive/itérative, TTL
DHCPSéquence DORA, options 3/6/51, réservation par MAC
VLANAccess vs trunk, 802.1Q, inter-VLAN routing, STP états des ports
RoutageTable de routage, route par défaut, OSPF (Dijkstra, coût, areas), RIP (hops max 15)
VPNOpenVPN vs WireGuard vs IPSec, Tailscale mesh exit node, RADIUS EAP-TLS
Active DirectoryDC, OU, GPO (LSDOU), Kerberos TGT/TGS, LDAP 389, gpupdate /force, Get-ADUser
Linuxchmod octale (755/644/600), systemctl, journalctl, ss -tuln, ip a, find, grep, pipes
Dockerdocker run/ps/exec/logs, compose up/down, volumes, réseaux bridge
CybersécuritéCIA, principe moindre privilège, hardening checklist, attaques MITM/phishing/PtH
PowerShellforeach, if (-eq/-gt), fonctions, pipeline |, Get/New/Set-ADUser
Bash#!/bin/bash, variables, boucles for/while, conditions [ ], pipes, chmod +x, sed
Conseils pour ton alternance BUT3
  • Pratique sur GNS3 / Packet Tracer : configure un réseau multi-sites avec VLANs + OSPF + inter-VLAN routing.
  • Monte un homelab Proxmox : VM Windows Server + AD + clients Linux + Zabbix pour la supervision.
  • Déploie Pi-hole + Tailscale en Docker pour filtrage DNS et accès distant sécurisé (ton projet perso !).
  • Écris des scripts PowerShell pour automatiser la gestion AD : création, désactivation, rapports.
  • Documente tout : les recruteurs valorisent la rigueur documentaire. Procédures, schémas réseau, scripts commentés.
  • Certifications à envisager : CompTIA Network+, CompTIA Security+, Cisco CCNA — valorisent le CV.