Un VLAN est un réseau local virtuel : il sépare logiquement des appareils qui utilisent les mêmes switches. On peut ainsi distinguer les postes, les invités, les téléphones ou les caméras sans installer un réseau physique pour chaque usage.
Cette séparation crée des domaines de diffusion distincts. Pour faire communiquer deux sous-réseaux associés à des VLAN différents, il faut du routage de niveau 3 et des règles d’accès adaptées. Un VLAN seul ne remplace pas un pare-feu.
Les notions essentielles sont le VLAN affecté à un port, les trames étiquetées 802.1Q, les ports access et les liaisons trunk.
- Qu'est-ce qu'un VLAN ?
Un VLAN est un réseau local virtuel qui permet de regrouper plusieurs dispositifs informatiques de manière logique, indépendamment de leur emplacement physique.
En d'autres termes, il s'agit de créer des réseaux distincts au sein d'un même réseau physique, facilitant ainsi la gestion, la sécurité et les performances.
On parle de la norme 802.1Q (dot1q) définie par l'IEEE.
On peut voir le réseau physique comme une maison, les VLANs comme des pièces de cette maison et les règles de communication entre les VLANs comme des portes qui laissent passer certaines choses / dans certains sens.
- Pourquoi utiliser des VLANs ?
Il existe plusieurs raisons pour lesquelles les VLANs sont utilisés:
a. Séparation logique: Les VLANs permettent de séparer les appareils selon leurs fonctions ou départements, même s'ils sont physiquement connectés au même réseau. Par exemple, on peut créer un VLAN pour le département des ventes et un autre pour le service informatique, assurant ainsi une meilleure organisation et une sécurité accrue.
b. Sécurité: En isolant les différents départements ou groupes d'utilisateurs, on réduit le risque d'accès non autorisé aux données sensibles et on facilite la mise en place de politiques de sécurité spécifiques pour chaque VLAN.
c. Amélioration des performances: La création de VLANs réduit la congestion du réseau en limitant la diffusion des paquets de données aux seuls appareils concernés. Cela permet d'optimiser les performances du réseau.
d. Gestion simplifiée: Les VLANs simplifient la gestion du réseau en réduisant le nombre de commutateurs physiques nécessaires. Il est également plus facile de déployer et de modifier les configurations de réseau.
- Comment fonctionnent les VLANs ?
Sur une liaison qui transporte plusieurs VLAN, le marquage IEEE 802.1Q permet généralement d’indiquer à quel VLAN appartient une trame Ethernet. Un terminal raccordé à un port access envoie en général des trames non étiquetées : le switch les associe au VLAN configuré sur ce port.
Comment un appareil est-il affecté à un VLAN ?
L’affectation peut dépendre du port ou d’une politique dynamique, par exemple après authentification. Les exemples ci-dessous présentent deux approches sans couvrir tous les mécanismes.
a. VLANs basés sur le port: Dans ce type de VLAN, les ports des commutateurs sont attribués à un VLAN spécifique. Les appareils connectés à ces ports font automatiquement partie du VLAN correspondant.
b. VLANs basés sur l'adresse MAC: Dans ce cas, les appareils sont associés à un VLAN spécifique en fonction de leur adresse MAC (Media Access Control). Cette méthode permet une plus grande flexibilité, car les appareils peuvent être déplacés sans avoir besoin de reconfigurer les ports des commutateurs.
La configuration des ports, Trunk & Access
Les VLANs (réseaux locaux virtuels) permettent de diviser un réseau physique en plusieurs réseaux logiques distincts. Pour que les données circulent correctement entre ces réseaux virtuels, les commutateurs (switches) doivent être configurés avec des réglages spécifiques. Il y a deux types de configurations principales : Access et Trunk.
- Access : Le réglage "Access" est utilisé pour connecter des appareils individuels, tels que des ordinateurs ou des imprimantes, à un VLAN spécifique. Pensez à un bureau où chaque employé est connecté à son propre réseau de département (par exemple, marketing, finances ou ressources humaines).
Chaque port configuré en mode Access est associé à un seul VLAN. Ainsi, lorsque vous connectez un ordinateur à ce port, il fait automatiquement partie du VLAN assigné à ce port. Le réglage Access est idéal pour les scénarios où les dispositifs sont connectés à un seul VLAN et ne doivent pas communiquer directement avec d'autres VLANs.
Un port trunk transporte plusieurs VLAN sur une même liaison, par exemple entre switches, vers une borne WiFi ou vers un routeur. Il prolonge ces réseaux ; il ne réalise pas, à lui seul, la communication entre des sous-réseaux différents.
Les VLAN autorisés et le traitement des trames non étiquetées doivent être cohérents aux deux extrémités du trunk. Le VLAN natif est souvent transporté sans étiquette, selon la configuration des équipements. Le routage inter-VLAN reste une fonction distincte.
N'hésitez pas à lire la documentation de Cisco Meraki sur le sujet des VLANs.
Les VLANs sont un outil puissant pour simplifier la gestion des réseaux informatiques et améliorer leur performance et leur sécurité. En comprenant les bases des VLANs, vous serez mieux à même d'optimiser votre infrastructure réseau et de répondre aux besoins spécifiques de votre entreprise.
Ils peuvent être utilisés sur les réseaux filaires, les réseaux WiFi
Questions fréquentes
Qu’est-ce qu’un VLAN ?
Un VLAN est un réseau local virtuel. Il permet de séparer logiquement plusieurs usages sur une même infrastructure physique, par exemple invités, postes internes, téléphonie, caméras ou administration.
Pourquoi utiliser des VLAN en entreprise ?
Les VLAN améliorent la sécurité, réduisent certains trafics inutiles, organisent les usages et permettent d'appliquer des règles différentes selon les appareils ou services.
Quelle différence entre un port access et un port trunk ?
Un port access transporte généralement un seul VLAN vers un appareil final. Un port trunk transporte plusieurs VLAN, souvent entre switches, routeurs, bornes WiFi ou firewalls.
Les VLAN suffisent-ils à sécuriser un réseau ?
Non. Les VLAN segmentent, mais il faut aussi des règles firewall, une bonne configuration WiFi, des mots de passe, des mises à jour, de la supervision et une documentation claire.
BoucheCousue peut-il reprendre une segmentation VLAN existante ?
Oui. Nous pouvons auditer les VLAN, corriger les trunk/access, documenter les usages, simplifier ce qui est devenu illisible et sécuriser les échanges entre segments.