Un VLAN, pour Virtual Local Area Network, est une segmentation logique d’un réseau physique. Sur un même switch, il permet de créer plusieurs réseaux isolés les uns des autres, sans ajouter de câble ni de matériel supplémentaire. Chaque VLAN forme un domaine de broadcast distinct : les trames envoyées par un équipement dans un VLAN ne parviennent pas aux équipements des autres VLAN.
Domaine de broadcast : le problème que le VLAN résout
Avant de configurer quoi que ce soit, il faut comprendre ce qu’est un domaine de broadcast. Quand un appareil envoie une trame de diffusion (par exemple pour trouver l’adresse d’un serveur sur le réseau local), cette trame atteint tous les autres appareils connectés au même switch.
A lire en complément : Qu'est-il préférable d'apprendre, Kubernetes ou Docker ?
Sur un réseau plat, sans segmentation, chaque poste, imprimante et téléphone IP reçoit ces trames. Plus le nombre d’équipements augmente, plus le volume de broadcast monte, et plus la bande passante utile diminue.
Le VLAN coupe ce flux. En affectant les ports du switch à des VLAN différents, on crée des frontières logiques. Un poste dans le VLAN 10 ne reçoit que les broadcasts du VLAN 10. Ceux du VLAN 20 restent cantonnés au VLAN 20. Le réseau physique est le même, mais le trafic est cloisonné au niveau logique.
A lire aussi : Qu'est-ce qu'un cluster et un nœud dans Kubernetes ?
Port access et port trunk sur un switch
Un switch compatible VLAN propose deux modes de port principaux : access et trunk. Comprendre leur différence est la clé pour configurer un réseau segmenté.
Port access
Un port en mode access appartient à un seul VLAN. L’équipement branché dessus (un PC, une imprimante, un téléphone) envoie et reçoit du trafic uniquement dans ce VLAN. La trame qui sort du poste ne porte aucune étiquette de VLAN : c’est le switch qui sait, grâce à la configuration du port, à quel VLAN le trafic appartient.
Port trunk
Un port trunk transporte le trafic de plusieurs VLAN simultanément. Il est utilisé pour relier deux switchs entre eux, ou pour connecter un switch à un routeur ou un pare-feu. Pour distinguer les trames des différents VLAN sur un même lien physique, le switch ajoute une étiquette (tag) à chaque trame selon la norme IEEE 802.1Q.
Cette étiquette contient le numéro du VLAN d’origine. Le switch ou le routeur à l’autre bout du câble lit ce tag, identifie le VLAN, et traite la trame en conséquence. Sans trunk, il faudrait un câble dédié entre chaque switch pour chaque VLAN, ce qui reviendrait à multiplier le câblage.
VLAN et sécurité réseau : ce que la segmentation fait (et ne fait pas)
Segmenter un réseau en VLAN apporte plusieurs bénéfices concrets :
- Réduire la surface d’attaque en limitant les communications entre groupes d’équipements qui n’ont pas besoin de se parler (postes utilisateurs et serveurs d’administration, par exemple)
- Contenir un incident : si un poste est compromis dans le VLAN 30, le trafic malveillant ne circule pas vers le VLAN 40 sans passer par un routeur ou un pare-feu
- Séparer les flux sensibles : téléphonie IP, vidéosurveillance, réseau invité ou équipements industriels peuvent chacun disposer de leur propre VLAN
Là où beaucoup s’arrêtent, c’est sur une nuance capitale. Un VLAN ne constitue pas, à lui seul, une frontière de sécurité. Il sépare des domaines de broadcast au niveau 2 du modèle OSI. Dès qu’un routeur ou un pare-feu autorise les échanges inter-VLAN sans restriction, un attaquant peut pivoter d’un segment à l’autre.
La sécurité dépend donc des règles appliquées en amont : ACL (listes de contrôle d’accès), règles de pare-feu, contrôle des flux entre VLAN. Sans ces filtres, la segmentation reste purement organisationnelle.
Routage inter-VLAN : faire communiquer deux VLAN
Par défaut, deux VLAN ne se voient pas. Si le service comptabilité (VLAN 10) doit accéder à un serveur de fichiers situé dans le VLAN serveurs (VLAN 50), il faut un équipement de niveau 3 pour assurer le routage.
Deux options courantes existent :
- Un routeur physique connecté au switch via un port trunk, qui reçoit le trafic étiqueté de chaque VLAN et le route selon ses règles (configuration parfois appelée « router on a stick »)
- Un switch de niveau 3 (switch L3), capable de router le trafic entre VLAN directement, sans passer par un équipement externe
- Un pare-feu qui assure à la fois le routage et le filtrage des flux entre VLAN, solution préférée quand la sécurité prime
Le choix entre ces options dépend de la taille du réseau et du niveau de contrôle souhaité sur les flux. Dans un petit réseau d’entreprise, un switch L3 suffit souvent. Pour un environnement où des données sensibles cohabitent avec un réseau invité, le pare-feu offre un filtrage plus granulaire.
VLAN d’administration et tendances vers la microsegmentation
Dans les bonnes pratiques de gestion réseau, le VLAN d’administration mérite un traitement spécifique. Ce VLAN regroupe les interfaces de gestion des switchs, routeurs et points d’accès Wi-Fi. Le séparer du trafic utilisateur évite qu’un poste compromis puisse accéder directement à la configuration des équipements réseau.
Les VLAN restent un socle largement utilisé pour créer de grandes zones : utilisateurs, serveurs, invités, systèmes industriels. La tendance récente pousse toutefois vers la microsegmentation, qui applique des règles plus fines au niveau des applications ou de l’identité, plutôt qu’en fonction de la seule position réseau. Les architectures Zero Trust s’appuient sur ce principe pour limiter les déplacements latéraux d’un attaquant, même à l’intérieur d’un VLAN.
Le VLAN n’est pas obsolète pour autant. Il constitue la première couche de segmentation, celle qui structure le réseau avant d’appliquer des politiques plus fines. Maîtriser la distinction entre port access et port trunk, savoir où placer un pare-feu entre deux VLAN, et isoler l’administration du reste du trafic : ces trois réflexes couvrent la majorité des besoins d’un réseau local d’entreprise.
