Configurer les paramètres réseau sous Windows

La même démarche existe pour Linux : Configurer les paramètres réseau sous Linux.

Préparer l’intervention

Tous les exemples de cette page utilisent la fiche d’adressage ci-dessous. Remplace ces valeurs par celles de ton propre plan d’adressage : dans les blocs de code, ce sont ces valeurs (interface, adresses, nom d’hôte, domaine) qu’il faut adapter.

Paramètre	Valeur d’exemple	Rôle
Interface réseau	`Ethernet0`	Carte sur laquelle on applique la configuration
Nom d’hôte	`PC-SIO-20`	Nom de la machine sur le réseau
Réseau	`192.168.50.0/24`	Réseau logique auquel appartient la machine
Adresse IPv4	`192.168.50.20`	Identifie la machine dans ce réseau (doit être unique)
Masque	`255.255.255.0` (/24)	Délimite la partie « réseau » et la partie « hôte »
Passerelle par défaut	`192.168.50.254`	Routeur à qui envoyer tout ce qui sort du réseau local
DNS primaire / secondaire	`192.168.50.10` / `192.168.50.11`	Serveurs qui traduisent les noms en adresses IP
Suffixe DNS	`sio.lab`	Domaine ajouté automatiquement aux noms courts

Prérequis

Un compte membre du groupe Administrateurs local (ou administrateur du domaine).
Un accès à la machine qui ne dépend pas du réseau : console de la VM (vCenter, Proxmox…) ou accès physique.
La fiche d’adressage validée : adresse libre, hors de l’étendue DHCP, cohérente avec le réseau.

Relever la configuration actuelle

Avant toute modification, on enregistre l’état de départ. Il servira de référence en cas de retour arrière.

# Dans un terminal PowerShell lancé « en tant qu'administrateur »
Get-NetAdapter                           # nom exact des interfaces (ici Ethernet0)
Get-NetIPConfiguration -Detailed         # IP, passerelle, DNS, profil réseau
ipconfig /all > C:\Temp\config-avant.txt  # sauvegarde texte de l'état initial

Une configuration réseau est un tout cohérent

On parle souvent de « changer l’adresse IP » d’une machine. En réalité, une configuration IPv4 repose sur au moins quatre paramètres qui dépendent les uns des autres : l’adresse, le masque, la passerelle et le ou les serveurs DNS. Modifier l’un d’eux sans vérifier les autres est la cause la plus fréquente des pannes après intervention.

§ Les règles de cohérence à connaître

L’adresse IP et la passerelle doivent appartenir au même réseau, défini par le masque. Une passerelle hors du réseau est injoignable.
L’adresse IP ne doit être ni l’adresse du réseau (192.168.50.0), ni l’adresse de diffusion (192.168.50.255), ni déjà utilisée par une autre machine.
Une adresse fixe doit être hors de la plage distribuée par le serveur DHCP (ou faire l’objet d’une réservation), sinon le conflit apparaîtra plus tard, au hasard d’un bail.
Il n’y a qu’une seule passerelle par défaut. Pour joindre d’autres réseaux par un autre routeur, on ajoute des routes statiques.
Sur un poste membre d’un domaine Active Directory, le DNS doit être un contrôleur de domaine : avec un DNS public, plus d’ouverture de session réseau, plus de GPO, plus de jonction au domaine.

Ce qu’un changement peut casser

Le tableau suivant sert de liste de contrôle : pour chaque paramètre modifié, il indique les effets possibles sur la machine elle-même, mais aussi sur le reste du système d’information.

Je modifie…	Conséquences possibles	Ce que je dois vérifier / mettre à jour
L’adresse IP	Les clients qui utilisaient l’ancienne adresse ne trouvent plus le service. Risque de conflit avec une machine existante.	Enregistrements DNS (A et PTR), réservations DHCP, règles et alias du pare-feu, supervision (Zabbix), inventaire (GLPI), configuration des applications qui écoutent sur une IP précise, clés SSH connues des clients, certificats
Le masque	Trop petit : des machines du même réseau deviennent « distantes », la passerelle peut se retrouver hors réseau. Trop grand : la machine croit joindre directement des hôtes qui sont derrière un routeur, et ne passe plus par la passerelle (ni par le pare-feu).	Cohérence avec le plan d’adressage, présence de la passerelle dans le réseau, adresse de diffusion
La passerelle	Plus aucun accès hors du réseau local. Une passerelle erronée ou malveillante peut détourner le trafic.	Même réseau que l’IP, une seule passerelle par défaut, routes statiques éventuelles
Le ou les DNS	Plus de résolution de noms, même si le réseau « marche » (le ping par IP fonctionne). Un DNS externe fait fuiter les noms internes et casse l’annuaire.	DNS internes en premier, suffixe de recherche, enregistrement dynamique de la machine
Le nom d’hôte	Enregistrement DNS obsolète, compte ordinateur de l’annuaire à renommer, certificats émis pour l’ancien nom.	Annuaire AD, DNS, certificats
Le mode (DHCP → fixe)	Conflit futur si l’adresse choisie appartient à l’étendue DHCP.	Exclusion ou réservation dans le serveur DHCP
Le réseau / VLAN	Tout le plan change : IP, masque, passerelle, parfois DNS. Les règles de filtrage qui s’appliquaient ne sont plus les mêmes.	Plan d’adressage du nouveau VLAN, règles de pare-feu entre VLAN

Rappel : notation CIDR et masque

Les outils graphiques demandent souvent le masque en notation décimale, les outils en ligne de commande en longueur de préfixe (notation CIDR). Il faut savoir passer de l’une à l’autre.

CIDR	Masque décimal	Adresses utilisables	Exemple de réseau
/8	`255.0.0.0`	16 777 214	`10.0.0.0/8`
/16	`255.255.0.0`	65 534	`172.16.0.0/16`
/24	`255.255.255.0`	254	`192.168.50.0/24`
/25	`255.255.255.128`	126	`192.168.50.0/25` → .1 à .126
/26	`255.255.255.192`	62	`192.168.50.64/26` → .65 à .126
/27	`255.255.255.224`	30	`192.168.50.32/27` → .33 à .62
/28	`255.255.255.240`	14	`192.168.50.16/28` → .17 à .30
/30	`255.255.255.252`	2	Liaison point à point entre deux routeurs

Adresses privées et adresses publiques

Avant de choisir une adresse, il faut savoir à quelle catégorie elle appartient. Ces deux notions ne s’opposent pas sur la « qualité » de l’adresse, mais sur sa portée : où elle est valable et qui peut la joindre.

La différence entre les deux notions

Critère	Adresse publique	Adresse privée
Portée	Valable et routée sur Internet	Non routée sur Internet : valable uniquement à l’intérieur d’un réseau local ou d’entreprise
Unicité	Unique au niveau mondial	Unique seulement dans le réseau qui l’utilise : des millions de réseaux réutilisent `192.168.1.0/24`
Attribution	Distribuée par l’IANA, puis les registres régionaux (le RIPE NCC pour l’Europe), puis les FAI et hébergeurs	Choisie librement par l’administrateur réseau, sans demande à personne
Coût / rareté	Ressource rare en IPv4, payante (louée par le FAI ou l’hébergeur)	Gratuite et abondante
Accès depuis Internet	Joignable directement si aucun filtrage ne l’empêche	Pas joignable directement : il faut une traduction d’adresse (NAT) ou une redirection de port
Exemple	L’adresse de ta box côté Internet, celle d’un serveur web hébergé	L’adresse de ton PC à la maison ou au lycée

Les plages à connaître (RFC 1918 et plages spéciales)

Plage	Étendue	Usage
`10.0.0.0/8`	10.0.0.0 → 10.255.255.255	Privée (RFC 1918) — grandes infrastructures, beaucoup de sous-réseaux
`172.16.0.0/12`	172.16.0.0 → 172.31.255.255	Privée (RFC 1918) — attention : 172.32.x.x est publique !
`192.168.0.0/16`	192.168.0.0 → 192.168.255.255	Privée (RFC 1918) — réseaux domestiques et petites structures
`169.254.0.0/16`	169.254.0.1 → 169.254.255.254	Adresse « lien local » (APIPA) : la machine se l’attribue seule quand aucun serveur DHCP ne répond. C’est un symptôme de panne, pas une configuration.
`127.0.0.0/8`	127.0.0.1 en pratique	Boucle locale (localhost) : la machine elle-même
`100.64.0.0/10`	100.64.0.0 → 100.127.255.255	Partagée par les opérateurs (CGNAT, RFC 6598) — à ne pas utiliser en interne

Comment une machine en adresse privée accède-t-elle à Internet ?

Grâce à la traduction d’adresses (NAT), réalisée par la box, le routeur ou le pare-feu (pfSense, par exemple). Quand le poste 192.168.50.20 sort vers Internet, le routeur remplace l’adresse source privée par sa propre adresse publique et mémorise la correspondance pour renvoyer la réponse au bon poste. Vu d’Internet, tout le réseau interne se cache derrière une seule adresse publique.

L’intérêt des adresses privées en cybersécurité

✅ Ce que les adresses privées apportent

Pas d’exposition directe : un attaquant sur Internet ne peut pas initier une connexion vers 192.168.50.20, car aucun routeur d’Internet ne sait acheminer cette adresse. Pour qu’un service interne soit joignable, il faut une décision volontaire (redirection de port, publication via un proxy inverse).
Masquage de la topologie : le plan d’adressage interne (nombre de machines, découpage en sous-réseaux) n’est pas visible de l’extérieur.
Cloisonnement facilité : la liberté de découper 10.0.0.0/8 en nombreux sous-réseaux (un par VLAN : serveurs, postes, administration, invités…) permet d’appliquer des règles de filtrage précises entre zones.
Économie d’adresses publiques : quelques adresses publiques suffisent pour tout un établissement, ce qui réduit aussi le nombre de points d’entrée à surveiller.

⚠️ Ce que les adresses privées n’apportent PAS

Le NAT n’est pas un pare-feu. Il ne filtre rien : il traduit. La protection réelle vient des règles de filtrage du pare-feu, qui doivent exister aussi entre les réseaux internes.
Aucune protection contre une menace interne : un poste compromis dans le réseau voit toutes les adresses privées de son sous-réseau. D’où l’intérêt de la segmentation en VLAN.
Les connexions sortantes restent possibles : un logiciel malveillant qui « appelle » son serveur de commande traverse le NAT sans difficulté. Il faut filtrer aussi le trafic sortant.
UPnP peut ouvrir des ports tout seul sur une box ou un routeur : à désactiver sur un équipement professionnel.
IPv6 : une machine peut avoir une adresse IPv6 globale (publique) en plus de son adresse IPv4 privée. Le filtrage doit couvrir les deux protocoles.

Mode opératoire

Trois méthodes aboutissent au même résultat. L’interface graphique convient à une intervention ponctuelle ; PowerShell est à privilégier en administration (Windows Server Core, scripts, traçabilité) ; netsh reste utile sur d’anciens systèmes et se retrouve encore dans beaucoup de documentations.

Méthode A — Panneau de configuration (toutes versions)

Appuyer sur Windows + R, saisir ncpa.cpl puis valider : la fenêtre Connexions réseau s’ouvre.
Faire un clic droit sur la carte concernée (Ethernet0) puis Propriétés.
Sélectionner Protocole Internet version 4 (TCP/IPv4) puis cliquer sur Propriétés.
Cocher Utiliser l’adresse IP suivante et renseigner l’adresse 192.168.50.20, le masque 255.255.255.0 et la passerelle par défaut 192.168.50.254.
Cocher Utiliser l’adresse de serveur DNS suivante et renseigner le serveur préféré 192.168.50.10 et le serveur auxiliaire 192.168.50.11.
Cliquer sur Avancé…, onglet DNS : renseigner le suffixe DNS sio.lab et laisser cochée l’option Enregistrer les adresses de cette connexion dans le système DNS.
Cocher Valider les paramètres en quittant (Windows lance un diagnostic à la fermeture) puis cliquer sur OK et Fermer.

Méthode B — Application Paramètres (Windows 11)

Ouvrir Paramètres (Windows + I) › Réseau et Internet › Ethernet (ou Wi-Fi › propriétés du réseau).
En face de Attribution d’adresse IP, cliquer sur Modifier, puis choisir Manuel.
Activer IPv4 et renseigner l’adresse IP, le masque de sous-réseau, la passerelle, le DNS préféré et le DNS auxiliaire.
Dans Attribution du serveur DNS, laisser le chiffrement DNS sur Non chiffré uniquement dans un réseau d’entreprise (voir encadré ci-dessous), puis Enregistrer.

Méthode C — PowerShell (recommandée en administration)

Toutes les commandes s’exécutent dans une console PowerShell lancée en tant qu’administrateur. On commence par supprimer l’ancienne configuration : New-NetIPAddress échoue si une passerelle par défaut existe déjà sur l’interface.

# 1. Identifier l'interface
Get-NetAdapter | Format-Table Name, InterfaceIndex, Status, MacAddress

# 2. Supprimer l'ancienne adresse et l'ancienne passerelle, désactiver le DHCP
$if = "Ethernet0"
Set-NetIPInterface -InterfaceAlias $if -Dhcp Disabled
Remove-NetIPAddress -InterfaceAlias $if -AddressFamily IPv4 -Confirm:$false -ErrorAction SilentlyContinue
Remove-NetRoute -InterfaceAlias $if -DestinationPrefix "0.0.0.0/0" -Confirm:$false -ErrorAction SilentlyContinue

# 3. Adresse, masque (longueur de préfixe) et passerelle — en une seule commande
New-NetIPAddress -InterfaceAlias $if -IPAddress 192.168.50.20 -PrefixLength 24 `
                 -DefaultGateway 192.168.50.254

# 4. Serveurs DNS (ordre = ordre de priorité) et suffixe DNS
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 192.168.50.10,192.168.50.11
Set-DnsClient -InterfaceAlias $if -ConnectionSpecificSuffix "sio.lab" -RegisterThisConnectionsAddress $true

# 5. Contrôle
Get-NetIPConfiguration -InterfaceAlias $if

Méthode D — netsh (ancienne syntaxe, toujours valable)

REM Invite de commandes (cmd) lancée en tant qu'administrateur
netsh interface ipv4 show config
netsh interface ipv4 set address name="Ethernet0" static 192.168.50.20 255.255.255.0 192.168.50.254
netsh interface ipv4 set dnsservers name="Ethernet0" static 192.168.50.10 primary
netsh interface ipv4 add dnsservers name="Ethernet0" 192.168.50.11 index=2

Modifier le nom de la machine

Le nom d’hôte fait partie de l’identité réseau de la machine. Sur un poste membre d’un domaine, le renommage met aussi à jour le compte ordinateur dans l’Active Directory : il faut donc des droits suffisants sur le domaine.

# Poste hors domaine
Rename-Computer -NewName "PC-SIO-20" -Restart
# Poste membre d'un domaine (identifiants d'un compte autorisé à renommer)
Rename-Computer -NewName "PC-SIO-20" -DomainCredential SIO\adm-dupont -Restart

Contrôler le profil réseau

Après un changement, le profil réseau doit être cohérent, car il détermine les règles du pare-feu Windows. Sur un poste membre du domaine, le profil DomainAuthenticated n’apparaît que si le poste joint un contrôleur de domaine… donc si le DNS est correct. Un DNS erroné fait basculer le poste dans un autre profil, avec d’autres règles de pare-feu.

Get-NetConnectionProfile
# Réseau de confiance hors domaine uniquement :
Set-NetConnectionProfile -InterfaceAlias "Ethernet0" -NetworkCategory Private

Passer de DHCP à adresse fixe, et inversement

Changer de mode d’adressage ne se limite pas à cocher une case sur la machine. Une adresse fixe est gérée sur la machine ; une adresse DHCP est gérée sur le serveur DHCP. Basculer de l’un à l’autre revient donc à déplacer la responsabilité de la configuration, et il faut intervenir des deux côtés — ainsi que dans le DNS.

Adresse fixe, DHCP ou réservation : que choisir ?

Critère	Adresse fixe (statique)	DHCP (adresse dynamique)	Réservation DHCP
Où est la configuration ?	Sur la machine	Sur le serveur DHCP	Sur le serveur DHCP, liée à l’adresse MAC
Adresse toujours identique ?	Oui	Pas garanti	Oui
Changer de DNS ou de passerelle	Machine par machine	Une seule modification sur le serveur	Une seule modification sur le serveur
Fonctionne si le DHCP est en panne ?	Oui	Non (au renouvellement du bail)	Non
Risque d’erreur	Saisie manuelle, doublons, oublis lors des évolutions	Faible	Faible (attention au changement de carte réseau : nouvelle MAC)
Usage typique	Serveurs d’infrastructure : contrôleurs de domaine, DNS, le serveur DHCP lui-même, routeurs, pare-feu, commutateurs	Postes de travail, portables, invités	Imprimantes réseau, bornes Wi-Fi, équipements à joindre par une adresse stable

De DHCP vers adresse fixe

Relever ce que la machine reçoit actuellement du DHCP : adresse MAC, masque, passerelle, DNS, suffixe. Ce sont les bonnes valeurs du réseau — elles serviront pour la configuration fixe.
Choisir une adresse hors de l’étendue DHCP, conforme au plan d’adressage, et vérifier qu’elle est libre. Si aucune adresse hors étendue n’est disponible, ajouter une exclusion dans le serveur DHCP.
Côté serveur DHCP : supprimer le bail en cours de la machine, et la réservation éventuelle. Sinon le serveur considère l’ancienne adresse comme encore attribuée jusqu’à l’expiration du bail.
Appliquer la configuration fixe sur la machine (voir « Mode opératoire »).
Côté DNS : créer ou corriger les enregistrements A et PTR. Un enregistrement créé dynamiquement par le DHCP peut être supprimé automatiquement à l’expiration du bail : la machine « disparaît » alors du DNS quelques jours après l’intervention.
Mettre à jour la documentation : plan d’adressage, inventaire, supervision.

# Adresse MAC et paramètres actuellement reçus du DHCP
ipconfig /all        # « Adresse physique », « Serveur DHCP », « Bail obtenu / expirant »
Get-NetIPConfiguration -InterfaceAlias "Ethernet0" -Detailed

D’une adresse fixe vers DHCP

Côté serveur DHCP : vérifier que l’étendue du réseau a encore des adresses libres et que ses options sont correctes (003 routeur, 006 serveurs DNS, 015 nom de domaine). La machine recevra exactement ces valeurs.
Si la machine doit garder une adresse stable : créer une réservation à partir de son adresse MAC. Sinon, supprimer l’éventuelle exclusion devenue inutile pour récupérer l’adresse dans l’étendue.
Côté DNS : supprimer l’enregistrement statique de l’ancienne adresse. Sinon le nom continue de pointer vers une adresse qui sera un jour attribuée à une autre machine — un client pourrait alors envoyer des données (identifiants compris) au mauvais destinataire.
Basculer la machine en DHCP, en effaçant tous les paramètres saisis à la main (voir ci-dessous).
Contrôler le bail obtenu : adresse dans l’étendue attendue, passerelle et DNS reçus du serveur, aucune adresse 169.254.x.x.
Mettre à jour tout ce qui référençait l’ancienne adresse : règles de pare-feu, supervision, listes blanches, documentation.

$if = "Ethernet0"
# 1. Supprimer l'adresse et la passerelle saisies à la main (sinon elles restent en plus de celles du DHCP)
Remove-NetIPAddress -InterfaceAlias $if -AddressFamily IPv4 -Confirm:$false -ErrorAction SilentlyContinue
Remove-NetRoute -InterfaceAlias $if -DestinationPrefix "0.0.0.0/0" -Confirm:$false -ErrorAction SilentlyContinue
# 2. Réactiver le DHCP pour l'adresse ET pour les DNS
Set-NetIPInterface -InterfaceAlias $if -Dhcp Enabled
Set-DnsClientServerAddress -InterfaceAlias $if -ResetServerAddresses
# 3. Demander un bail
ipconfig /release
ipconfig /renew

Par l’interface graphique : dans les propriétés TCP/IPv4, cocher Obtenir une adresse IP automatiquement et Obtenir les adresses des serveurs DNS automatiquement. Oublier la seconde case est une erreur classique : la machine garde des DNS fixes, qui ne seront plus mis à jour.

Contrôler le bail reçu :

ipconfig /all | findstr /i "DHCP Bail IPv4 Passerelle DNS"
Get-NetIPAddress -InterfaceAlias "Ethernet0" -AddressFamily IPv4 | Select IPAddress, PrefixOrigin
# PrefixOrigin doit valoir « Dhcp » (et non « Manual »)

Cybersécurité : DHCP et adresse fixe face aux attaques

⚠️ Le serveur DHCP pirate (rogue DHCP)

Une machine en DHCP accepte la première offre reçue. Un attaquant — ou simplement une box branchée par erreur sur le réseau — qui répond plus vite que le vrai serveur peut distribuer sa propre passerelle et ses propres DNS : tout le trafic des victimes passe alors par lui (attaque de l’homme du milieu) ou vers de faux sites.

DHCP snooping sur les commutateurs : seuls les ports déclarés « de confiance » (ceux qui mènent au vrai serveur DHCP) ont le droit d’envoyer des offres DHCP.
Dynamic ARP Inspection (DAI), qui s’appuie sur la table du DHCP snooping, bloque l’usurpation d’adresses IP par empoisonnement ARP.
Port security limite le nombre d’adresses MAC par port et empêche l’épuisement de l’étendue (DHCP starvation), une attaque qui consomme toutes les adresses pour en priver les postes légitimes.
Authentification 802.1X des équipements avant tout accès au réseau.

Cybersécurité : les bons réflexes

Un changement de configuration réseau est une opération sensible : mal faite, elle rend un service indisponible (atteinte à la disponibilité) ; mal choisie, elle peut exposer une machine ou détourner son trafic (atteinte à la confidentialité et à l’intégrité).

Les réflexes avant, pendant et après l’intervention

⚠️ Avant d’intervenir

Modifier l’adresse d’une machine à laquelle tu es connecté en Bureau à distance (RDP) coupe ta session. Sur une VM, travaille depuis la console de l’hyperviseur (console web de vCenter, Proxmox…) : si la nouvelle configuration est fausse, tu pourras toujours corriger.
Vérifie que l’adresse est libre avant de l’attribuer (ping, consultation du DHCP et du DNS, plan d’adressage). Un doublon d’adresse provoque une coupure aléatoire des deux machines — c’est aussi la technique utilisée par un attaquant pour usurper une machine.
Travaille avec un compte d’administration dédié, pas avec un compte utilisateur aux droits élevés en permanence (principe du moindre privilège).
Relève et sauvegarde la configuration actuelle : en cas de problème, tu dois pouvoir revenir à l’état connu.

⚠️ Pendant et après l’intervention

Dans le LAN, n’utilise que des serveurs DNS du LAN — en DNS primaire comme en DNS secondaire, jamais 8.8.8.8 ou 1.1.1.1 sur un poste ou un serveur. Seul le serveur DNS interne interroge l’extérieur. Cette règle est essentielle : elle est détaillée plus bas, dans « Le DNS : dans le LAN, uniquement des serveurs du LAN ».
Vérifie la passerelle : c’est par elle que passe tout le trafic sortant. Une mauvaise passerelle (ou une passerelle usurpée) permet une interception de type « homme du milieu ».
Ne choisis pas un masque plus large que nécessaire : un masque trop grand fait communiquer la machine en direct avec des hôtes qu’elle devrait joindre à travers le pare-feu, et contourne donc le filtrage.
Contrôle les services qui écoutent après le changement : un service configuré pour écouter sur « toutes les interfaces » sera exposé sur la nouvelle adresse et sur le nouveau réseau.
Mets à jour les règles qui dépendent de l’adresse : pare-feu, listes blanches (Fail2ban, accès SSH ou RDP réservés à certaines IP), supervision. Une règle oubliée, c’est soit une panne, soit une ouverture non maîtrisée.

Le DNS : dans le LAN, uniquement des serveurs du LAN

Le DNS est le premier service sollicité pour chaque connexion : celui qui répond aux requêtes DNS décide vers quelle adresse partent les postes. C’est pourquoi le choix des serveurs DNS est une décision de sécurité, pas seulement de fonctionnement. La règle est simple : dans le LAN, les machines n’utilisent que des adresses appartenant au LAN, y compris pour le DNS. Les accès Internet passent par une chaîne à deux niveaux :

Poste / serveur du LAN	→ DNS interne	→ Redirecteurs vérifiés	→ Internet
`192.168.50.20` · DNS 1 et 2 = DNS internes	`192.168.50.10` / `.11` · répond seul pour `sio.lab`	opérateur, Quad9, DNS4EU… · pour les noms Internet	serveurs faisant autorité

⚠️ Le piège : un DNS externe « en secours » en DNS secondaire

C’est l’erreur la plus fréquente : DNS primaire interne, et 8.8.8.8 en secondaire « au cas où ».

Windows n’interroge pas « le primaire, puis le secondaire si le primaire est en panne » : si le premier serveur tarde à répondre, le client bascule sur l’autre et y reste. Avec un DNS externe en secondaire, le poste se met à interroger Google ou Cloudflare, qui ne connaissent pas sio.lab ni les enregistrements de l’Active Directory : ouverture de session lente ou impossible, GPO non appliquées, lecteurs réseau absents… de façon aléatoire, ce qui rend la panne très difficile à diagnostiquer.

Et du point de vue de la sécurité, le poste contourne le filtrage et la journalisation du DNS interne, et révèle à un tiers les noms internes qu’il cherche.

Choisir les redirecteurs. Un DNS externe se choisit sur des critères précis :

Fiabilité et disponibilité : un opérateur reconnu, des adresses anycast, toujours deux adresses déclarées.
Filtrage proposé : blocage des domaines malveillants (hameçonnage, logiciels malveillants), voire des contenus inadaptés.
Confidentialité : politique de conservation des journaux — le résolveur voit tous les noms consultés par l’organisation.
Juridiction : un service relevant du droit européen n’offre pas les mêmes garanties qu’un service relevant du droit américain (RGPD, souveraineté).
Validation DNSSEC : le résolveur vérifie l’authenticité des réponses signées.

Résolveur	Adresses IPv4	Filtrage	À savoir
DNS de l’opérateur Internet	Fournies par le FAI	Variable, souvent aucun	Proches du réseau, donc rapides ; appliquent les blocages imposés par la justice
Cloudflare	`1.1.1.1` / `1.0.0.1`	Aucun	Très rapide ; société américaine
Cloudflare for Families	`1.1.1.2` / `1.0.0.2` `1.1.1.3` / `1.0.0.3`	Malveillants Malveillants + contenus adultes	Mêmes serveurs que Cloudflare, avec filtrage
Google Public DNS	`8.8.8.8` / `8.8.4.4`	Aucun	Très répandu ; société américaine
Quad9	`9.9.9.9` / `149.112.112.112`	Malveillants	Fondation à but non lucratif de droit suisse
DNS4EU « Protective »	`86.54.11.1` / `86.54.11.201`	Malveillants	Résolveur soutenu par l’Union européenne ; d’autres profils existent (protection de l’enfance, blocage publicitaire, non filtré)

Déclarer les redirecteurs sur le serveur DNS interne.

Sur un serveur DNS Windows (en général le contrôleur de domaine) — par la console Gestionnaire DNS : clic droit sur le serveur › Propriétés › onglet Redirecteurs › Modifier…, ou en PowerShell :

# Déclarer les redirecteurs (ici Quad9) et vérifier
Set-DnsServerForwarder -IPAddress 9.9.9.9,149.112.112.112
Get-DnsServerForwarder
# La carte réseau du contrôleur de domaine pointe vers LUI-MÊME (ou vers un autre DC)
# — jamais vers un DNS externe : c'est le rôle des redirecteurs.

Sur pfSense : System › General Setup › renseigner les serveurs DNS externes, puis Services › DNS Resolver › cocher Enable Forwarding Mode. Le résolveur de pfSense transmet alors les requêtes aux serveurs déclarés au lieu de résoudre lui-même depuis les serveurs racine.

Imposer la règle par le pare-feu. Sans filtrage, rien n’empêche un poste mal configuré — ou un logiciel malveillant — d’interroger directement un DNS externe. Les règles suivantes, sur le pare-feu de sortie, rendent la règle obligatoire :

Ordre	Source	Destination	Ports	Action
1	LAN	DNS internes (`192.168.50.10`, `.11`)	53 TCP/UDP	Autoriser
2	DNS internes	Redirecteurs déclarés (ex. Quad9)	53 TCP/UDP, 853 TCP	Autoriser
3	LAN	Toute destination	53 TCP/UDP, 853 TCP (DNS over TLS)	Bloquer (et journaliser)

Le DNS over HTTPS (DoH) passe par le port 443, comme le web : il ne peut pas être bloqué par port. On le neutralise par la configuration des navigateurs et des systèmes (stratégies de groupe, politiques d’entreprise) et par le blocage des résolveurs DoH connus sur le proxy ou le pare-feu.

Vérifier que la règle est respectée :

# Le poste ne doit connaître que des DNS du LAN
Get-DnsClientServerAddress -AddressFamily IPv4
# Le pare-feu doit BLOQUER une requête directe vers un DNS externe (échec attendu)
Resolve-DnsName www.example.com -Server 8.8.8.8 -DnsOnly
# … alors que la résolution via le DNS interne fonctionne
Resolve-DnsName www.example.com

Vérifier et dépanner

On teste de l’intérieur vers l’extérieur, dans cet ordre : chaque test ne vaut que si le précédent a réussi. Cela permet de localiser immédiatement la couche en défaut.

Ordre	Test	Commande	Si ça échoue…
1	La configuration est-elle appliquée ?	`ipconfig /all`	Erreur de saisie, mauvaise interface, configuration non rechargée
2	La pile IP et ma propre adresse répondent ?	`ping 127.0.0.1` puis `ping 192.168.50.20`	Carte désactivée, pilote, adresse non attribuée
3	Je joins ma passerelle ?	`ping 192.168.50.254`	IP ou masque faux, mauvais VLAN / groupe de ports, câble
4	Je sors du réseau local ?	`ping 1.1.1.1` ou `tracert -d 1.1.1.1`	Passerelle absente ou fausse, filtrage, routage
5	Les noms sont-ils résolus ?	`Resolve-DnsName srv-web.sio.lab` / `nslookup`	DNS faux ou injoignable, suffixe manquant
6	Le service attendu est-il accessible ?	`Test-NetConnection srv-web.sio.lab -Port 443`	Pare-feu, service arrêté, règle non mise à jour

Symptômes fréquents

Symptôme observé	Cause la plus probable
Adresse en `169.254.x.x`	Aucun serveur DHCP n’a répondu (câble, VLAN, service DHCP) — ou retour en DHCP mal fait
« Conflit d’adresse IP » / connexion qui coupe par intermittence	Adresse déjà utilisée par une autre machine
Les machines du réseau local répondent, rien au-delà	Passerelle absente, fausse ou hors du réseau
`ping 1.1.1.1` fonctionne, mais pas les noms	DNS absent, faux ou injoignable
Les sites Internet fonctionnent, pas les noms internes	DNS public configuré à la place du DNS interne, ou suffixe DNS manquant
Certaines machines du « même réseau » sont injoignables	Masque incohérent entre les machines

ipconfig /flushdns       # vider le cache DNS après un changement de DNS
ipconfig /registerdns    # forcer l'enregistrement du poste dans le DNS
arp -a                   # voir les correspondances IP ↔ MAC (détection de doublons)
Get-NetRoute -AddressFamily IPv4   # table de routage complète

À toi de jouer

✍️ Exercice — Migration d’un poste vers le VLAN « Administration »

Le poste PC-SIO-20 doit être déplacé dans le réseau d’administration 10.20.30.0/26. La passerelle est la dernière adresse utilisable du réseau ; les DNS restent 192.168.50.10 et 192.168.50.11 (joignables par routage). Le poste doit prendre la cinquième adresse utilisable.

Calcule le masque décimal, l’adresse de diffusion, la plage utilisable, l’adresse du poste et celle de la passerelle.
Liste tous les éléments du système d’information à mettre à jour en plus du poste lui-même (au moins cinq).
Écris la suite de commandes PowerShell qui réalise la migration.
Explique pourquoi un masque /24 saisi par erreur poserait un problème de sécurité et pas seulement un problème de fonctionnement.
Les DNS sont dans un autre réseau que le poste : est-ce un problème ? Justifie.
Un an plus tard, le poste repasse en DHCP. Liste les actions à mener sur le serveur DHCP, dans le DNS et sur le poste, puis écris les commandes PowerShell correspondantes.

© 2026 Bruno Jousseaume. Ce cours est publié sous licence CC BY-NC-SA 4.0 : vous pouvez le partager et l’adapter en citant l’auteur et un lien vers cette page, sans usage commercial, et en partageant vos adaptations sous la même licence.