J’ai récemment mis la main sur quelques bornes Cisco Aironet 1220B-E-K9, j’ai donc décidé d’en faire profiter quelques amis.

Les réseaux locaux personnels étant la plupart du temps différents des réseaux d’entreprise (tout le monde ne fait pas du 802.1X avec plusieurs VLAN à la maison), j’ai décidé de faire un petit tutoriel pour mettre en place une configuration minimale pour rendre lesdites bornes fonctionnelles chez tout un chacun.

Les postulats de départ avant de commencer :

• votre borne est raccordée dans un réseau avec un serveur DHCP et vous êtes capables de récupérer l’IP assignée à votre borne ;
• vous n’avez pas de câble série Cisco ;
• vous avez une version d’IOS récente sur votre borne (pour les bornes que j’ai donné c’est le cas : c1200-k9w7-mx.123-8.JED1) ;
• vous avez un minimum de notions en réseau (vous savez ce qu’est une IP, un réseau, un masque de sous-réseau, une passerelle par défaut, une clef WPA, un SSID, etc.) ;
• la borne est dans une configuration d’usine.

Tout d’abord, on va se connecter à la borne en telnet (ouais c’est vieux, c’est moche et c’est pas sûr, mais c’est la configuration initiale, il y a pas le choix), on va activer les commandes privilégiées et on va passer en mode configuration. L’identifiant et le mot de passe par défaut est Cisco.

telnet 192.168.42.154
   
Trying 192.168.42.154...
Connected to 192.168.42.154.
Escape character is '^]'.
   
   
User Access Verification
   
Username: Cisco
Password: Cisco
ap>enable
Password: Cisco
ap#conf t
Enter configuration commands, one per line.  End with CNTL/Z.

On va maintenant la nommer et lui dire dans quel domaine elle est (faites le, c’est obligatoire pour la suite).

ap(config)#hostname sushi-ap
sushi-ap(config)#ip domain name fa0.org

On active les nouvelles commandes et fonctions de contrôle d’accès, puis on fait passer les nouvelles connexions directement en mode d’exécution (privilégié). Ensuite on créé un nouvel utilisateur (ici bcollet avec le mot de passe givemesushi), on supprime l’utilisateur par défaut (Cisco) et on enlève le mot de passe pour passer en mode d’exécution (qui n’est plus nécessaire maintenant).

sushi-ap(config)#aaa new-model
sushi-ap(config)#aaa authorization exec default local
sushi-ap(config)#username bcollet privilege 15 password givemesushi
sushi-ap(config)#no username Cisco
sushi-ap(config)#no enable secret

On va maintenant générer une clef RSA, nécessaire pour se connecter en SSH et en HTTPS (si vous laissez l’interface web activée).

sushi-ap(config)#crypto key generate rsa
The name for the keys will be: access-point.fa0.org
Choose the size of the key modulus in the range of 360 to 2048 for your
  General Purpose Keys. Choosing a key modulus greater than 512 may take
  a few minutes.
   
How many bits in the modulus [512]: 1024
% Generating 1024 bit RSA keys ...[OK]

On va maintenant n’autoriser les connexions console que en SSH et non plus en telnet.

sushi-ap(config)#line vty 0 15
sushi-ap(config-line)#transport input ssh
sushi-ap(config-line)#exit

On va rentrer maintenant dans le vif du sujet, à savoir fournir un accès sans-fil. Nous configurons ici un SSID sushi avec la clef ilovesushi.

sushi-ap(config)#dot11 ssid sushi
sushi-ap(config-ssid)#authentication key-management wpa
sushi-ap(config-ssid)#wpa-psk ascii ilovesushi
sushi-ap(config-ssid)#exit

Nous allons maintenant configurer l’interface radio 0 pour lui dire d’annoncer le SSID sushi avec CCMP comme chiffrement. Si vous avez encore des antiques Windows XP, rajoutez le mot clef tkip après aes-ccm (mais c’est mal^©).

sushi-ap(config)#interface dot11Radio 0
sushi-ap(config-if)#encryption mode ciphers aes-ccm
sushi-ap(config-if)#ssid sushi
sushi-ap(config-if)#no shutdown
sushi-ap(config-if)#exit

Les interfaces BVI sont des ponts entre plusieurs interfaces. Ici par défaut un pont est configuré entre l’interface radio et l’interface Ethernet. À savoir que l’IP du point d’accès doit être configurée sur le pont et non sur l’interface Ethernet, ce que nous allons faire maintenant, au lieu d’avoir un adressage via DHCP. Attention, votre connexion va être interrompue, vous devrez vous reconnecter (en SSH cette fois ci).

sushi-ap(config)#interface BVI 1
sushi-ap(config-if)#ip address 192.168.42.154 255.255.255.224
sushi-ap(config-if)#exit

On finalise la configuration réseau de la borne en lui donnant l’adresse de la passerelle par défaut et du serveur de nom.

sushi-ap(config)#ip default-gateway 192.168.42.129
sushi-ap(config)#ip name-server 8.8.8.8

Enfin, on désactive l’interface web. La première ligne sert à désactiver l’interface HTTP, la seconde l’interface HTTPS. Si vous souhaitez conserver un accès à l’interface web, gardez de préférence celui en HTTPS.

sushi-ap(config)#no ip http server
sushi-ap(config)#no ip http secure-server

Et voilà, c’est terminé, il ne nous reste plus qu’à sortir du mode de configuration et d’enregistrer les changements.

sushi-ap(config)#end
sushi-ap#write
Building configuration...
[OK]