Définition simple
Un VLAN permet de créer plusieurs réseaux indépendants avec les mêmes switchs, par exemple un réseau pour les salariés et un autre pour les invités.
Définition technique
Les trames peuvent être identifiées par une balise IEEE 802.1Q. Les ports access transportent généralement un seul VLAN non marqué, tandis que les trunks transportent plusieurs VLAN. La communication entre VLAN nécessite du routage.
- PC — VLAN 10 Réseau utilisateurs
- Port d’accès VLAN affecté
- Trunk 802.1Q Transport des VLAN
- Second switch Reste dans le VLAN 10
- Autre PC Même domaine L2
Le trafic entre VLAN 10 et VLAN 20 nécessite un équipement ou une interface de routage de niveau 3, avec les règles de sécurité adaptées.
À quoi cela sert ?
Segmenter les usages, renforcer la sécurité et limiter les domaines de diffusion.
Exemple concret
Les postes sont placés dans le VLAN 10, les serveurs dans le VLAN 20 et les invités dans le VLAN 40 sans acheter trois réseaux physiques séparés.
Problèmes fréquents
- VLAN absent du trunk
- Port configuré dans le mauvais VLAN
- VLAN natif incohérent
- Règles inter-VLAN trop permissives ou bloquantes
Ports access, trunks et étiquettes 802.1Q
Un VLAN est avant tout une séparation logique de niveau 2. Sur un port d’accès, le commutateur associe généralement les trames non marquées du périphérique à un seul VLAN. Sur un trunk, il peut transporter plusieurs VLAN grâce au marquage IEEE 802.1Q. Le VLAN natif ou PVID correspond aux trames non marquées sur certains équipements : un désaccord de configuration entre deux extrémités peut provoquer des fuites de trafic ou des pannes difficiles à identifier.
Le numéro VLAN (par exemple 10 ou 20) est un identifiant de segmentation, pas une adresse IP. Associer le VLAN 10 au réseau 192.168.10.0/24 est une convention d’architecture, pas une obligation du protocole.
Pourquoi les VLAN ne se parlent pas automatiquement
- Deux postes dans le même VLAN partagent normalement un domaine de diffusion Ethernet, sous réserve des contrôles appliqués par les commutateurs.
- Deux VLAN distincts nécessitent une fonction de routage de niveau 3, souvent assurée par un pare-feu, un routeur ou un commutateur L3.
- La présence d’une route ne signifie pas que le trafic doit être autorisé : des règles de filtrage peuvent empêcher les invités d’accéder aux serveurs internes.
- Chaque VLAN possède fréquemment son propre sous-réseau, sa passerelle et son étendue DHCP ; des relais DHCP peuvent être nécessaires.
- Un équipement Wi-Fi peut associer un SSID à un VLAN, mais cela ne remplace ni une politique d’accès ni une conception radio adaptée.
Ce que la segmentation ne résout pas à elle seule
Créer des VLAN ne constitue pas une garantie de sécurité. La protection dépend des contrôles entre réseaux, de l’administration des équipements et de la bonne isolation des utilisateurs. Un trunk configuré pour transporter tous les VLAN vers un équipement non maîtrisé annule une partie de l’objectif. Des VLAN inutilisés ou mal documentés compliquent la maintenance.
Dans un site équipé de téléphones IP, de Wi-Fi invité et de postes administratifs, l’objectif est d’isoler les usages tout en autorisant uniquement les communications nécessaires : vers le DNS, le DHCP, les imprimantes ou les applications métier selon le besoin.
Termes associés
À retenir : VLAN sépare les domaines Ethernet ; le routage assure les communications entre VLAN et le pare-feu détermine ce qui doit être autorisé.