Corrigé bac NSI 2026 Métropole jour 1 — Exercice 1 : Réseau d'un lycée : adressage CIDR, routage RIP et OSPF, chiffrement et HTTPS

Partie A : Configuration IP du site3

1. Une adresse IPv4 est codée sur 32 bits, soit quatre octets ; on convertit chaque octet séparément en l'écrivant comme somme de puissances de 2 ($128,64,32,16,8,4,2,1$) :

• $172=128+32+8+4\to \text{10101100}$ ;
• $16\to \text{00010000}$ ;
• $32\to \text{00100000}$ ;
• $15=8+4+2+1\to \text{00001111}$ ;
• $255=128+64+32+16+8+4+2+1\to \text{11111111}$ ;
• $240=128+64+32+16\to \text{11110000}$ ;
• $0\to \text{00000000}$.

Adresse IP : 10101100.00010000.00100000.00001111
Masque     : 11111111.11111111.11110000.00000000

2. Le masque comporte $8+8+4=20$ bits à 1 : c'est le réseau 172.16.32.0/20, ce qui laisse $32-20=12$ bits pour la partie machine, donc $2^{12}=4096$ adresses. Deux d'entre elles sont réservées : l'adresse du réseau (tous les bits machine à 0) et l'adresse de diffusion (broadcast, tous les bits machine à 1). Le réseau peut donc accueillir $2^{12}-2=4094$ hôtes.

L'adresse du réseau s'obtient par un ET logique bit à bit entre l'adresse et le masque : sur le troisième octet, $\text{00100000}\wedge \text{11110000}=\text{00100000}=32$, d'où 172.16.32.0. L'adresse de diffusion met à 1 les 12 bits machine : troisième octet $\text{00101111}=47$, quatrième $255$, soit 172.16.47.255. Les adresses utilisables par les hôtes vont donc de 172.16.32.1 (première) à 172.16.47.254 (dernière).

Ce que le correcteur attend : ne pas oublier de retirer les deux adresses réservées ($4094$ et non $4096$), et ne pas s'arrêter à 172.16.32.255 : le bloc /20 couvre les troisièmes octets de 32 à 47. On peut ajouter que, par la convention de l'administrateur, la dernière adresse 172.16.47.254 est occupée par la passerelle, ce qui laisse $4093$ adresses pour les autres machines.

3. Le paramètre mal configuré est la passerelle (gateway 172.16.48.254). Cette adresse n'appartient pas au sous-réseau de l'hôte : le ET logique avec le masque donne $48=\text{00110000}$, soit le réseau 172.16.48.0/20, celui du site4, et non 172.16.32.0/20. Les symptômes sont cohérents : pour joindre une machine du même sous-réseau (serveurs, imprimantes du site3) l'hôte n'a pas besoin de passerelle, cela fonctionne ; pour joindre Internet, il doit remettre ses paquets à la passerelle, qui est inaccessible puisqu'elle n'est pas sur son réseau local.

Le test de connectivité vers 172.16.47.254 réussit : c'est la dernière adresse utilisable du sous-réseau du site3, donc, selon la convention, l'adresse de l'interface du routeur R2 dans le site3. Correction : gateway 172.16.47.254.

4. Dans le réseau 192.168.0.8/30, il reste $32-30=2$ bits pour la partie machine, soit $2^2=4$ adresses : 192.168.0.8 (adresse du réseau), 192.168.0.9, 192.168.0.10 et 192.168.0.11 (adresse de diffusion). Seules deux adresses sont utilisables, ce qui suffit exactement pour un lien point à point entre deux routeurs : par exemple 192.168.0.9 pour l'interface de R2 et 192.168.0.10 pour celle de R4 (ou l'inverse).

Partie B

5. Le traceroute liste, dans l'ordre, les routeurs traversés depuis l'hôte du site3 : R2 (sa passerelle, 172.16.47.254), puis R3, puis R4, puis R5, puis le routeur du fournisseur d'accès. Le chemin suivi de R2 à R5 est donc

$$\text{R2}\to \text{R3}\to \text{R4}\to \text{R5},$$

qui emprunte trois liens réseau : son coût RIP est 3.

6. RIP choisit toujours la route de plus petit nombre de sauts. Or le schéma montre un lien direct entre R2 et R4 (le réseau 192.168.0.8/30) : la route $\text{R2}\to \text{R4}\to \text{R5}$ n'emprunte que deux liens, coût 2, strictement inférieur au coût 3 de la route observée. Le réseau ne route donc pas les paquets par le meilleur chemin : c'est le dysfonctionnement.

Cause possible : le lien R2--R4 est hors service ou n'est pas encore opérationnel (câble débranché, interface désactivée, adresses du réseau 192.168.0.8/30 non encore configurées sur les deux routeurs, comme le suggère la question 4). Faute de ce lien, RIP a convergé vers la meilleure route restante, qui passe par R3. Une autre cause recevable : les tables de routage RIP ne sont pas encore mises à jour après une modification du réseau (RIP échange ses tables toutes les 30 secondes et converge lentement).

7. Le débit est la quantité de données transmises par seconde : on souhaite le maximiser. Le coût d'une liaison, inversement proportionnel au débit d'après la formule $cout=10^8/debit$, mesure ce que « dépense » un paquet en empruntant la liaison : on souhaite le minimiser. OSPF choisit précisément la route de coût total minimal, c'est-à-dire de débit maximal.

8. On calcule d'abord le coût de chaque type de liaison :

• Ethernet, $10\text{Mbit/s}=10^7$ bit/s : $cout=10^8/10^7=10$ ;
• Fast Ethernet, $100\text{Mbit/s}=10^8$ bit/s : $cout=10^8/10^8=1$ ;
• Fibre optique, $4\text{Gbit/s}=4\times 10^9$ bit/s : $cout=10^8/(4\times 10^9)=1/40=0,025$.

Le site4 est relié au routeur R2, et seul R5 est relié à Internet : il faut donc trouver le chemin de coût minimal de R2 à R5. On compare les chemins possibles :

Le chemin de coût minimal est

$$\text{site4}\to \text{R2}\to \text{R1}\to \text{R3}\to \text{R4}\to \text{R5}\to \text{Internet},$$

de coût $1+0,025+0,025+0,025=1,075$.

Ce que le correcteur attend : avec OSPF, le chemin le moins coûteux n'est pas le plus court en nombre de sauts : quatre liens, contre deux pour R2 – R4 – R5, mais ce dernier emprunte un lien Ethernet à 10 Mbit/s dont le coût (10) écrase tout le reste. C'est la différence de fond entre RIP (nombre de sauts) et OSPF (débit des liens). Le coût de la fibre doit être calculé, $0,025$, et non arrondi à 0 : c'est lui qui départage R1 – R3 – R4 (coût $0,05$) de R1 – R4 (coût 1).

Remarque : dans les routeurs réels, le coût OSPF est un entier et tout résultat inférieur à 1 est ramené à 1 ; avec cette convention la fibre coûterait 1 et le chemin retenu serait R2 – R1 – R4 – R5 (coût $1+1+1=3$, contre 4 pour R2 – R1 – R3 – R4 – R5). Le sujet impose la formule $cout=10^8/debit$ sans plancher : on l'applique telle quelle, et la réponse attendue est bien le chemin par R1, R3 et R4, de coût $1,075$. Un candidat qui mentionne la convention du plancher, puis applique la formule du sujet, ne peut pas être pénalisé.

Partie C

9. Alice et Bob doivent préférer le chiffrement asymétrique.

Avec un chiffrement symétrique, une même clé secrète sert à chiffrer et à déchiffrer ; Alice et Bob devraient donc se transmettre cette clé avant leur premier message, à travers le réseau du lycée. Or le pirate est déjà présent sur ce réseau quand l'échange débute : il peut intercepter la clé au moment de sa transmission, puis déchiffrer toute la conversation.

Avec un chiffrement asymétrique, chacun possède une paire de clés : une clé publique, qui peut circuler en clair, et une clé privée, qui ne quitte jamais son ordinateur. Alice chiffre ses messages avec la clé publique de Bob ; seul Bob, avec sa clé privée, peut les déchiffrer, et réciproquement. Le pirate peut bien capturer les clés publiques et les messages chiffrés, il ne possède aucune clé privée : il ne peut pas lire les échanges. Rien de secret ne transite jamais sur le réseau.

En pratique, comme l'asymétrique est lent, on l'utilise pour échanger de façon sûre une clé de session symétrique, puis on chiffre la conversation avec celle-ci (chiffrement hybride) ; mais la réponse attendue au « lequel des deux » est bien l'asymétrique, seul capable de résoudre le problème de l'échange de clé en présence d'un espion.

10. Avec HTTP, les requêtes et les réponses circulent en clair sur le réseau : le pirate, qui contrôle une machine du site2 et a accès au réseau du lycée, peut capturer les paquets et lire directement le contenu de la conversation d'Alice et Bob, voire le modifier.

HTTPS est HTTP encapsulé dans le protocole TLS (port 443 au lieu de 80). Il apporte trois garanties absentes de HTTP :

• la confidentialité : les données sont chiffrées de bout en bout, selon le principe hybride de la question 9 (la clé de session symétrique est transmise chiffrée avec la clé publique du serveur) ; un paquet intercepté est illisible ;
• l'authentification : le serveur présente un certificat signé par une autorité de confiance, qui prouve son identité ; le pirate ne peut pas se faire passer pour Bob (attaque de « l'homme du milieu ») ;
• l'intégrité : toute altération des données en transit est détectée.

Avec HTTPS, le pirate voit passer des paquets entre Alice et Bob, mais n'en connaît ni le contenu ni ne peut les falsifier sans être détecté.