Chapitre 01
Contexte OT/IT & poste de diagnostic

1. Ce qu'on diagnostique : une cellule d'automatisme

Avant de sortir la moindre commande, il faut une carte mentale de ce qui est branché. Une cellule Siemens typique s'organise autour d'un CPU S7-1500 qui joue le rôle de contrôleur Profinet (Profinet IO-Controller). Il pilote des IO-devices — des périphériques décentralisés comme des stations ET 200SP, des variateurs, des îlots de vannes — à travers un ou plusieurs switches managés (gamme Scalance, par exemple). Ces switches sont souvent câblés en anneau avec le protocole de redondance MRP, pour qu'une coupure de câble ne fasse pas tomber la ligne.

Par-dessus ce trafic temps réel circulent d'autres flux : la supervision et la configuration (OPC-UA vers un serveur, un SCADA, un edge), l'administration des switches (SNMP, web), et l'accès depuis le monde bureautique via un pare-feu IT/OT.

2. OT n'est pas IT

En informatique de gestion (IT), on optimise le débit et on tolère la latence : un mail qui arrive 200 ms plus tard, personne ne le remarque. En automatisme (OT, Operational Technology), c'est l'inverse : le trafic Profinet temps réel attend un échange toutes les 1 à 4 ms, de façon régulière comme un métronome. Ce qui compte, ce n'est pas le débit mais la régularité (le jitter) et l'absence de perte.

Conséquence pour le diagnostic : les réflexes IT peuvent être contre-productifs. Un scan de ports agressif, un « ping de la mort », une tempête de broadcast peuvent perturber un automate qui n'a pas été conçu pour encaisser du trafic parasite. D'où une règle de conduite.

3. Tes deux postes de diagnostic

Tout le cours suppose l'un de ces deux points d'observation, tous deux capables d'accéder au segment Profinet :

• Poste A — laptop Windows + WSL2 (Debian ou Ubuntu). C'est le poste du quotidien, transportable, mais avec une subtilité réseau majeure détaillée au §4.
• Poste B — edge device Debian déjà câblé dans l'armoire, atteint en ssh. Son interface Ethernet est physiquement sur le réseau machine : la capture couche 2 y est directe, sans aucune gymnastique.

Quand une commande se comporte différemment sur l'un ou l'autre, le cours le précisera. Par défaut, tout ce qui suit s'exécute dans un shell Debian/Ubuntu identique sur les deux.

4. Le piège WSL2 : le NAT qui cache le fil

Par défaut, WSL2 place ta distribution Linux derrière un routeur NAT : Linux reçoit une interface virtuelle (souvent eth0 dans un réseau en 172.x.x.x) reliée à un switch virtuel Hyper-V, pas à la carte Ethernet physique du laptop. Vérifie-le :

$ ip -brief addr
lo               UNKNOWN        127.0.0.1/8 ::1/128
eth0             UP             172.24.108.3/20 fe80::215:5dff:fe6c:1a2b/64

Cette adresse en 172.x n'est pas celle de ton réseau machine (typiquement 192.168.0.x en Profinet). Conséquence directe : un tcpdump lancé ici ne verra jamais une trame Profinet du fil — il n'observe que le trafic du switch virtuel WSL. C'est la première source de confusion du débutant : « je capture, mais rien ne passe ».

La solution : le mode réseau « miroir »

Windows 11 (et WSL récent) propose un mode réseau miroir (mirrored) qui donne à Linux les mêmes interfaces que Windows — carte Ethernet physique comprise. On l'active dans le fichier .wslconfig, à la racine de ton profil Windows (C:\Users\<toi>\.wslconfig) :

# C:\Users\<toi>\.wslconfig
[wsl2]
networkingMode=mirrored

Puis, depuis PowerShell, on redémarre le sous-système :

wsl --shutdown

Après redémarrage, ip -brief addr dans WSL montre désormais les interfaces réelles du laptop (par ex. eth3 avec l'IP du réseau machine). La capture couche 2 devient possible directement dans WSL.

5. Installer la boîte à outils

Une seule session d'installation suffit pour tout le cours. Sur Debian/Ubuntu (WSL comme edge) :

# Mettre à jour l'index des paquets
sudo apt update

# Couches basses & capture
sudo apt install -y iproute2 ethtool tcpdump tshark

# Découverte & scan
sudo apt install -y lldpd nmap arp-scan

# Supervision & MIB SNMP
sudo apt install -y snmp snmp-mibs-downloader

# Outils Profinet & OPC-UA en Python
sudo apt install -y python3-pip
pip install --user pnio-dcp asyncua

Deux points d'attention à l'installation :

• tshark demande si les utilisateurs non-root peuvent capturer (« Should non-superusers be able to capture packets? »). Réponds Oui pour éviter de tout lancer en sudo — cela configure les capacités sur dumpcap.
• lldpd est un démon : une fois installé, il tourne en tâche de fond et collecte les voisins LLDP. On l'interrogera avec lldpctl au chapitre 3.

$ ip -V; tshark -v | head -1; nmap --version | head -1
ip utility, iproute2-6.1.0
TShark (Wireshark) 4.2.2
Nmap version 7.94 ( https://nmap.org )

Récapitulatif

Exercices

$ ip -brief addr
lo     UNKNOWN  127.0.0.1/8 ::1/128
eth0   UP       172.24.108.3/20 ...

[wsl2]
networkingMode=mirrored

$ ip -brief addr | grep -v 172\\.
eth3   UP       192.168.0.71/24 ...

$ for t in tshark nmap lldpd; do "$t" -v 2>&1 | head -1; done
TShark (Wireshark) 4.2.2
Nmap version 7.94 ( https://nmap.org )
lldpd 1.0.16