Pourquoi la segmentation complique le diagnostic
Un réseau plat a peu d'endroits où casser. Un réseau segmenté en ajoute : le VLAN attribué au port, le passage entre VLAN, la règle de filtrage, la route.
La bonne nouvelle est que ces endroits sont peu nombreux et toujours les mêmes. Une méthode fixe, suivie dans l'ordre, trouve la panne bien plus vite que l'intuition.
L'ordre des vérifications
Ne sautez pas d'étape, même quand vous croyez savoir. C'est en sautant l'étape 1 qu'on cherche une heure une règle de filtrage sur un poste dont le câble est débranché.
1. Le lien physique. Voyant, câble, port. La question : le port est-il actif ?
2. Le VLAN du port. Un port dans le mauvais VLAN donne un symptôme trompeur : la machine fonctionne, elle ne voit simplement pas les bonnes ressources. C'est la panne la plus fréquente après un déménagement de poste.
3. L'adresse obtenue. Une adresse commençant par 169.254 signifie qu'aucune configuration n'a été reçue : le relais d'adresses ne traverse pas les VLAN sans être configuré pour cela.
4. La communication dans le même VLAN. Deux machines du même segment se voient-elles ? Si non, le problème est local et n'a rien à voir avec le routage.
5. La passerelle. Répond-elle depuis le poste ? Sinon, inutile de chercher plus loin.
6. Le passage entre VLAN. C'est ici qu'interviennent les règles de filtrage. Le symptôme typique : ça marche dans un sens et pas dans l'autre.
7. La sortie vers l'extérieur, et la résolution de noms, qui est un problème distinct.
Les trois symptômes qui parlent
Ça marche par adresse, pas par nom. Le réseau va bien, la résolution de noms est en cause. Ne touchez pas au routage.
Ça marche dans un sens seulement. Signature d'un filtrage qui autorise l'aller et bloque le retour, ou d'une route de retour absente.
Ça marche, mais c'est lent. Rarement du filtrage. Cherchez la saturation d'un lien, une négociation de vitesse incorrecte sur un port, ou une résolution de noms qui expire avant de basculer.
Vérifier depuis le bon endroit
Une erreur qui coûte des heures : diagnostiquer depuis un poste d'administration qui n'est pas dans le même segment que l'utilisateur.
Votre poste a souvent des droits différents et un chemin différent. Testez depuis le VLAN concerné, ou depuis une machine qui s'y trouve.
Ce qu'il faut noter avant de modifier
Trois lignes, et elles font gagner la moitié du temps :
- ce qui marche et ce qui ne marche pas, précisément, adresses à l'appui
- depuis quand, et ce qui a changé à ce moment
- ce qui a déjà été vérifié
La deuxième ligne résout à elle seule une grande part des cas. Un réseau qui fonctionnait hier et pas aujourd'hui a subi un changement, et il est presque toujours documenté quelque part.
À retenir
Sept étapes dans l'ordre, du câble vers le coeur. Par adresse mais pas par nom : c'est la résolution. Dans un sens seulement : c'est un filtrage ou une route de retour. Et diagnostiquez depuis le segment de l'utilisateur, pas depuis le vôtre.