Retour à NetBlade guide

Comprendre votre réseau, et en faire quelque chose

NetBlade est fait pour celles et ceux qui administrent des réseaux, mais le réseau d’une maison et celui d’un petit bureau obéissent aux mêmes règles. Ce guide explique les quelques mots qui comptent, ce qu’est SNMP et pourquoi il change tout, comment préparer les ordinateurs Windows et Linux à se laisser lire, et quoi faire concrètement pour un réseau plus rapide et plus sûr. Rien n’est supposé acquis.

01glossaire

Les mots qui comptent, sans jargon

Huit termes suffisent pour lire n’importe quel écran de NetBlade et comprendre ce qui se passe sur votre réseau.

Adresse IP: Le numéro par lequel un appareil se fait trouver dans le réseau, par exemple 192.168.1.14. À la maison elle est privée et ne vaut rien dehors : celle que le monde voit est unique, celle du routeur.
Sous-réseau et /24: L’enclos à l’intérieur duquel les appareils se parlent directement. 192.168.1.0/24 signifie « toutes les adresses de 192.168.1.1 à 192.168.1.254 » : exactement celles que NetBlade essaie, une par une, quand il scanne.
Passerelle: L’appareil qui fait sortir le trafic du sous-réseau : à la maison, le routeur. S’il ne répond pas, ce n’est pas internet qui est lent : c’est le premier pas qui est cassé.
MAC et fabricant (OUI): L’adresse physique de la carte réseau, inscrite en usine. Ses trois premiers octets disent qui l’a fabriquée : c’est ainsi qu’une IP anonyme devient « imprimante HP » ou « caméra Hikvision ».
DHCP et bail: Le routeur prête les adresses, pour une durée limitée. C’est pourquoi un appareil peut changer d’IP du jour au lendemain, et pourquoi il vaut mieux identifier les choses par la MAC que par l’adresse.
Port et service: Un appareil peut offrir plusieurs services sur la même adresse : le port dit auquel vous frappez. 22 c’est SSH, 80 et 443 le web, 445 le partage de fichiers Windows, 9100 l’impression directe. Un port « ouvert », c’est un service à l’écoute — et tout service à l’écoute peut être attaqué.
ARP et voisinage: La table qui relie adresse IP et adresse physique à l’intérieur du même réseau. Android la laisse lire aux apps, iOS non : c’est la raison technique de la principale différence entre les deux versions.
Latence, gigue et perte: Le temps que met une réponse, la variation de ce temps, et le nombre de paquets qui ne reviennent jamais. Un appel vidéo saccadé, ce n’est presque jamais « internet lent » : c’est en général de la gigue ou de la perte sur le Wi-Fi.

02protocole

SNMP, expliqué à qui n’en fait pas métier

SNMP est la langue dans laquelle les équipements réseau répondent aux questions qu’on leur pose sur eux-mêmes. Il est ancien, il est partout, et presque personne à la maison ne sait qu’il l’a déjà sous la main.

Le nom vient de Simple Network Management Protocol, et il fonctionne avec la même simplicité : chaque information qu’un équipement connaît de lui-même a une adresse numérique ; vous demandez cette adresse, l’équipement répond par la valeur. Rien à installer, aucun compte : routeurs, switches administrables, imprimantes, NAS, onduleurs, caméras et la plupart des serveurs le parlent déjà.

La différence pratique est là : sans SNMP, un scan ne peut que frapper aux ports et déduire. Avec SNMP, c’est l’équipement qui vous le dit — modèle, version du firmware, temps depuis l’allumage, niveau de toner, espace disque libre, quelles adresses physiques il voit sur quel port.

Ce que vous y gagnez vraiment

Du routeur : la table des adresses physiques, c’est-à-dire le nom et le fabricant de tout ce qui est connecté — sur iPhone, c’est la seule voie.
D’un switch administrable : quel appareil est branché sur quel port, et combien de trafic y passe. C’est la différence entre une liste d’adresses et une carte du réseau.
D’une imprimante : modèle, compteur de pages et niveau de toner, sans se lever.
D’un NAS ou d’un serveur : espace libre, charge CPU, état des interfaces.
D’un onduleur : charge de la batterie et autonomie restante.

Les versions, en deux lignes

v1 et v2c : l’accès est protégé par un seul mot, la community, qui circule en clair. C’est presque toujours public, en lecture seule. Très bien dans la maison, jamais exposé à internet.
v3 : utilisateur, mot de passe d’authentification et trafic chiffré. Si l’appareil la gère, c’est le bon choix — NetBlade la parle, avec MD5 ou SHA pour l’authentification et DES ou AES pour la confidentialité.

Comment l’activer, appareil par appareil

Routeur domestique : page d’administration, section avancée ou gestion, entrée SNMP. Beaucoup de modèles du commerce l’ont ; certains routeurs d’opérateur non, et là il n’y a rien à faire.
NAS Synology : Panneau de configuration › Terminal et SNMP › Activer le service SNMP. Sur QNAP : Panneau de configuration › Réseau et services de fichiers › SNMP.
Imprimantes : page web de l’imprimante, section réseau, SNMP. Souvent actif d’usine.
Switches administrables : dans la configuration, SNMP ; mettez une community en lecture seule et, si elle existe, préférez la v3.
Windows et Linux : sous Windows c’est une fonctionnalité facultative à ajouter, sous Linux le paquet snmpd. Pour les ordinateurs, l’inventaire par WinRM ou SSH donne toutefois bien davantage.

Trois règles pour ne pas se faire mal

Changez la community d’usine quand l’appareil le permet, et gardez-la en lecture seule : en écriture, SNMP peut aussi modifier la configuration.
N’ouvrez jamais le port 161/UDP vers internet. SNMP dans le réseau est un outil ; exposé dehors, c’est un cadeau.
Les identifiants que vous donnez à NetBlade restent sur le téléphone, chiffrés, et ne sont envoyés à personne.

Pourquoi NetBlade s’appuie dessus

Parce que c’est la seule source qui ne devine pas. Un ping dit que quelque chose répond, un port ouvert suggère un service : SNMP, lui, rapporte ce que l’équipement sait de lui-même. Sur iPhone, où le système ne laisse pas lire les adresses matérielles des voisins, c’est aussi le seul moyen de savoir qui sont vraiment les appareils de la liste. Il suffit de l’activer sur le routeur : l’app fait le reste.

03windows

Préparer un PC Windows à se laisser lire

NetBlade n’installe rien sur les machines : il se connecte avec les identifiants que vous lui donnez, et lit. Ce qu’il arrive à lire dépend de ce que le PC laisse demander, et cela se règle avec deux commandes, à lancer une seule fois sur le PC, dans PowerShell en administrateur.

Sans rien toucher : ce que donne SMB

Avec un compte administrateur de ce PC et le partage de fichiers actif, Windows en dit déjà beaucoup : nom de la machine, édition et build exacte, disques et espace libre, profils utilisateur, dossiers partagés et programmes installés lus directement dans les binaires — la façon la plus précise de savoir quelle version tourne vraiment.

La commande qui ouvre tout le reste

Matériel, processeur, mémoire, numéro de série du BIOS, services en cours, mises à jour installées, antivirus et s’il tourne vraiment, pare-feu profil par profil, BitLocker, TPM, comptes locaux et démarrage automatique viennent de WinRM, le service de gestion à distance que Windows livre éteint. On l’allume ainsi, et il n’ouvre le port 5985 que sur les réseaux classés privés :

winrm quickconfig

S’il manque les disques et les administrateurs (PC en groupe de travail)

Sur un PC hors domaine, Windows remet aux comptes locaux un jeton filtré quand ils arrivent par le réseau : le mot de passe est bon, et le partage administratif est refusé quand même. Cette clé de registre lève le filtre — ou utilisez le compte Administrateur intégré, auquel il ne s’applique pas :

New-ItemProperty -Path ‘HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System’ -Name LocalAccountTokenFilterPolicy -PropertyType DWord -Value 1 -Force

Si quelque chose ne répond pas

Rien sur le port 445 : le PC est éteint, sur un autre réseau, ou son profil de pare-feu est Public. Passez-le en Privé et autorisez le partage de fichiers et d’imprimantes.
Nom d’utilisateur ou mot de passe refusés : en domaine il faut le domaine et le nom d’utilisateur, en groupe de travail un compte local avec le champ domaine vide. Un compte sans mot de passe ne peut pas se connecter par le réseau, par conception.
Groupes locaux illisibles : Windows limite l’énumération distante des comptes (RestrictRemoteSAM). Le reste de l’inventaire n’en souffre pas.
Sur iPhone et iPad, la seule voie est WinRM : la première commande est donc celle qui compte ; les programmes installés sont lus dans le registre plutôt que dans les binaires.

NetBlade ne change rien sur vos PC : ces commandes, c’est vous qui les lancez, quand et si vous le voulez — et elles s’annulent quand vous voulez.

04linux

Préparer une machine Linux

Rien de particulier ici : le serveur SSH suffit, et presque toutes les distributions l’ont déjà en marche. NetBlade se connecte, exécute une poignée de lectures, et referme.

Vérifiez que SSH écoute : sur la machine, systemctl status ssh (ou sshd). S’il n’y est pas, installez-le avec le gestionnaire de paquets de la distribution.
Utilisez un compte ordinaire, pas root : les lectures de l’inventaire n’ont besoin d’aucun privilège.
Mot de passe ou clé, comme vous préférez : les identifiants restent sur le téléphone, chiffrés, et peuvent être liés à la machine ou au réseau enregistré.
Ni sudo ni écriture : NetBlade lit la distribution, le noyau, le nom d’hôte, le temps depuis l’allumage, le processeur, la mémoire, les disques, les paquets, les services et les interfaces. Chaque commande se protège elle-même : un outil absent de cette distribution laisse un champ vide au lieu de faire échouer la lecture.

Si la connexion est refusée, c’est presque toujours le serveur SSH éteint ou un port autre que 22 ; si l’empreinte de la clé d’hôte change, NetBlade s’arrête et vous le dit au lieu de continuer.

05en pratique

Sept gestes pour tirer le meilleur de votre réseau

Dans l’ordre : du premier scan au réseau qui vous prévient tout seul quand quelque chose change.

Faites le premier scan et donnez un nom aux choses

Noms, notes, icônes et étiquettes sont enregistrés. Ce qui reste sans nom est exactement ce qui mérite un coup d’œil : dans une maison normale, les inconnus sont trois ou quatre, pas vingt.

Enregistrez le réseau

À partir de là, NetBlade distingue un appareil nouveau d’un appareil qui a toujours été là, et la chronologie tient le compte de qui est arrivé et de qui a disparu.

Activez SNMP sur le routeur

C’est le geste qui rend tout le reste plus précis : fabricants, adresses matérielles et, si le switch est administrable, la carte de ce qui est branché sur quel port.

Regardez les ports ouverts de ce que vous laissez allumé

NAS, caméras, imprimantes, domotique. Tout service à l’écoute dont vous ne vous servez pas n’est que surface exposée : coupez-le depuis l’appareil lui-même.

Contrôlez le routeur

Mot de passe d’usine, redirections de ports oubliées, UPnP qui ouvre des ports tout seul. La sécurité du routeur, c’est la sécurité de tout ce qui est derrière.

Mesurez pendant que le problème se produit

Le moniteur de latence sépare en une minute la connexion lente du Wi-Fi lent : si le ping vers le routeur danse déjà, ce n’est pas la faute de l’opérateur.

Sur Android, choisissez le canal Wi-Fi et mesurez la couverture

L’analyseur montre à quel point chaque fréquence est encombrée, et le relevé pièce par pièce dit où un répéteur est vraiment utile, au lieu de l’acheter au hasard.

Téléchargez NetBlade et essayez-le sur votre réseau

Gratuit, sans compte, et les scans restent sur l’appareil.

Google Play App Store Bientôt