1. Configurer et diagnostiquer #
Les cmdlets réseau.
Configuration IP #
Get-NetIPConfiguration # vue d'ensemble (équivalent moderne d'ipconfig /all)
Get-NetAdapter | Format-Table Name, Status, LinkSpeed, MacAddress
New-NetIPAddress -InterfaceAlias 'Ethernet' -IPAddress 10.0.10.21 -PrefixLength 24 -DefaultGateway 10.0.10.1
Set-DnsClientServerAddress -InterfaceAlias 'Ethernet' -ServerAddresses 10.0.10.10, 10.0.10.11
Set-NetIPInterface -InterfaceAlias 'Ethernet' -Dhcp Enabled # repasser en DHCP
Rename-NetAdapter -Name 'Ethernet' -NewName 'LAN'Bonne pratique : Donnez une adresse IP fixe (ou une réservation DHCP) aux serveurs, et utilisez les DNS internes (contrôleurs de domaine) sur toutes les machines du domaine.
Diagnostiquer par couches #
| Couche | Question | Commande |
|---|---|---|
| Lien | la carte est-elle connectée ? | Get-NetAdapter |
| IP | ai-je une adresse et une passerelle ? | Get-NetIPConfiguration |
| Routage | la cible répond-elle ? | Test-NetConnection 10.0.10.1, tracert |
| DNS | le nom se résout-il ? | Resolve-DnsName srv-fs01 |
| Port | le service écoute-t-il, le pare-feu laisse-t-il passer ? | Test-NetConnection srv-fs01 -Port 445 |
| Service local | quel processus écoute ? | Get-NetTCPConnection -State Listen |
Test-NetConnection srv-web01 -Port 443 -InformationLevel Detailed
Get-NetTCPConnection -State Listen | Sort-Object LocalPort |
Select-Object LocalAddress, LocalPort, @{n='Processus'; e={(Get-Process -Id $_.OwningProcess).Name}}
Resolve-DnsName corp.exemple.fr -Type SOA ; Clear-DnsClientCache
Get-NetRoute -AddressFamily IPv4 | Where-Object DestinationPrefix -eq '0.0.0.0/0'2. Le service DHCP #
Distribuer les adresses automatiquement.
Installer et configurer DHCP #
Install-WindowsFeature DHCP -IncludeManagementTools
Add-DhcpServerInDC -DnsName srv-dc01.corp.exemple.fr -IPAddress 10.0.10.10 # autoriser le serveur dans AD
Add-DhcpServerv4Scope -Name 'LAN Paris' -StartRange 10.0.20.100 -EndRange 10.0.20.250 -SubnetMask 255.255.255.0 -LeaseDuration 8.00:00:00
Set-DhcpServerv4OptionValue -ScopeId 10.0.20.0 -Router 10.0.20.1 -DnsServer 10.0.10.10, 10.0.10.11 -DnsDomain corp.exemple.fr
Add-DhcpServerv4Reservation -ScopeId 10.0.20.0 -IPAddress 10.0.20.50 -ClientId 'AA-BB-CC-11-22-33' -Name 'Imprimante-RDC'
Get-DhcpServerv4ScopeStatistics # taux d'occupation
Add-DhcpServerv4Failover -Name 'FO-Paris' -PartnerServer srv-dc02 -ScopeId 10.0.20.0 -LoadBalancePercent 50 -SharedSecret (Read-Host)À savoir : Le basculement DHCP (failover) partage les étendues entre deux serveurs, en équilibrage de charge ou en secours : plus besoin de la règle « 80/20 ». Sur un autre sous-réseau, un relais DHCP (IP helper) sur le routeur transmet les demandes.
3. Le pare-feu Windows #
Bloquer par défaut, ouvrir précisément.
Profils et règles #
Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile # profil actif de chaque réseau
New-NetFirewallRule -DisplayName 'APP - API métier 8443' -Direction Inbound -Protocol TCP -LocalPort 8443 `
-RemoteAddress 10.0.20.0/24 -Profile Domain -Action Allow
Get-NetFirewallRule -DisplayGroup 'Bureau à distance' | Enable-NetFirewallRule # « Remote Desktop » en anglais
Set-NetFirewallProfile -Profile Domain, Private, Public -LogBlocked True -LogFileName '%SystemRoot%\System32\LogFiles\Firewall\pfirewall.log'Erreur courante : Désactiver le pare-feu « pour tester » et oublier de le réactiver, ou ouvrir un port à toutes les adresses. Créez une règle précise (port, protocole, adresses sources, profil) et pilotez le pare-feu par GPO sur tout le parc.
4. L'accès à distance #
RDP, WinRM et SSH.
Bureau à distance, WinRM et OpenSSH #
| Accès | Port | Usage |
|---|---|---|
| Bureau à distance (RDP) | 3389 | session graphique ; exiger l’authentification NLA |
| WinRM / PowerShell Remoting | 5985 / 5986 | administration en PowerShell, Windows Admin Center |
| OpenSSH Server | 22 | shell distant, scp et sftp, PowerShell 7 par SSH |
# Bureau à distance avec NLA
Set-ItemProperty 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections -Value 0
Set-ItemProperty 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1
Enable-NetFirewallRule -DisplayGroup 'Bureau à distance'
# OpenSSH Server
Get-WindowsCapability -Online -Name OpenSSH.Server* # préinstallé sur Windows Server 2025
Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0 # versions antérieures
Set-Service sshd -StartupType Automatic ; Start-Service sshd
ssh admin@srv-fs01 ; scp .\outil.zip admin@srv-fs01:C:/Temp/Erreur courante : Exposer le port 3389 (RDP) sur Internet : c'est l'une des premières portes d'entrée des rançongiciels. Passez par un VPN, une passerelle Bureau à distance ou un bastion, avec authentification multifacteur.
Commandes à connaître #
| Action | Commande |
|---|---|
| Configuration IP | Get-NetIPConfiguration |
| Tester un port | Test-NetConnection srv01 -Port 3389 |
| Résoudre un nom | Resolve-DnsName srv01.corp.exemple.fr |
| Ports en écoute | Get-NetTCPConnection -State Listen |
| Créer une étendue DHCP | Add-DhcpServerv4Scope -Name LAN -StartRange 10.0.20.100 -EndRange 10.0.20.250 -SubnetMask 255.255.255.0 |
| Ouvrir un port | New-NetFirewallRule -DisplayName 'HTTPS' -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow |
| Activer PowerShell Remoting | Enable-PSRemoting -Force |
| Purger le cache DNS | Clear-DnsClientCache |
