Les objets connectés, les ordinateurs de la famille, les invités, un serveur maison : tout ce petit monde partage souvent le même réseau. Une caméra mal sécurisée peut alors voir et attaquer votre NAS. Les VLAN permettent de séparer ces équipements en plusieurs réseaux isolés, avec le même matériel et les mêmes câbles.
Le principe
Un VLAN (Virtual LAN) découpe un switch physique en plusieurs switchs virtuels. Deux équipements dans des VLAN différents ne se voient pas, comme s'ils étaient branchés sur deux switchs sans lien entre eux.
Chaque VLAN porte un numéro (l'identifiant, ou VLAN ID, de 1 à 4094) et correspond en général à un sous-réseau IP :
| VLAN | Nom | Sous-réseau | Contenu |
|---|---|---|---|
| 10 | Confiance | 192.168.10.0/24 | Ordinateurs, téléphones de la famille |
| 20 | Serveurs | 192.168.20.0/24 | NAS, serveur maison |
| 30 | Objets | 192.168.30.0/24 | TV, caméras, prises connectées |
| 40 | Invités | 192.168.40.0/24 | Wi-Fi invités, accès Internet seul |
Tagué ou non tagué : la notion clé
Pour transporter plusieurs VLAN sur un même câble, le switch ajoute une petite étiquette (tag) dans chaque trame Ethernet, définie par la norme IEEE 802.1Q. Elle indique à quel VLAN appartient la trame.
Chaque port d'un switch se configure selon deux modes :
Port non tagué (untagged, ou port « access »)
Le port appartient à un seul VLAN. Le switch retire l'étiquette avant d'envoyer la trame. L'équipement branché (un PC, une imprimante) ne sait même pas qu'il est dans un VLAN.
Usage : les postes, imprimantes, caméras, tout équipement final.
Port tagué (tagged, ou port « trunk »)
Le port transporte plusieurs VLAN à la fois, chaque trame portant son étiquette. L'équipement en face doit comprendre le 802.1Q.
Usage : la liaison entre deux switchs, vers le routeur ou le pare-feu, vers une borne Wi-Fi qui diffuse plusieurs réseaux (un SSID par VLAN), vers un hyperviseur.
Le VLAN natif
Sur un port tagué, un VLAN peut circuler sans étiquette : c'est le VLAN natif (souvent le VLAN 1 par défaut). Les trames non étiquetées reçues sur ce port y sont rangées. Gardez-le identique des deux côtés d'une liaison, sinon des trames atterrissent dans le mauvais réseau.
Selon les constructeurs, le vocabulaire change : access/trunk chez Cisco, untagged/tagged chez HPE Aruba ou Netgear, native VLAN/tagged VLAN management chez UniFi. Le principe reste le même.
Et pour que les VLAN communiquent ?
Isolés, les VLAN ne peuvent pas se parler, ni même accéder à Internet. Il faut un routeur ou un pare-feu qui possède une interface dans chaque VLAN (souvent des sous-interfaces sur un seul port tagué) et qui :
- sert de passerelle à chaque sous-réseau ;
- distribue les adresses par DHCP dans chaque VLAN ;
- applique les règles de filtrage entre VLAN.
C'est là que se joue la sécurité. Exemple de politique raisonnable :
| De | Vers | Autorisé |
|---|---|---|
| Confiance | Serveurs | Oui, sur les ports utiles (partages, interface web) |
| Confiance | Objets | Oui, pour piloter les objets |
| Objets | Confiance, Serveurs | Non |
| Invités | Tout le réseau local | Non, Internet uniquement |
| Serveurs | Internet | Oui, pour les mises à jour |
Astuce
Commencez par tout bloquer entre VLAN, puis ouvrez uniquement les flux nécessaires. Le pare-feu est avec état sur la plupart des équipements : autoriser Confiance → Objets laisse passer les réponses, sans ouvrir Objets → Confiance.
Les pièges courants
- Oublier le DHCP : un VLAN sans serveur DHCP laisse les appareils sans adresse (169.254.x.x sous Windows).
- Couper sa propre administration : changer le VLAN du port par lequel vous administrez le switch vous déconnecte. Gardez une console ou un port de secours.
- Le mDNS et la diffusion : la découverte automatique (AirPlay, Chromecast, imprimantes) ne traverse pas les VLAN. Il faut activer un relais mDNS sur le routeur, ou accepter de passer par l'adresse IP.
- Le VLAN 1 partout : évitez d'y mettre vos équipements de production, c'est le VLAN par défaut de tous les ports.
À retenir
- Un VLAN = un réseau isolé, en général un sous-réseau IP.
- Port non tagué : un seul VLAN, pour les équipements finaux. Port tagué : plusieurs VLAN, entre équipements réseau.
- Le routeur ou pare-feu relie les VLAN et décide de ce qui passe : c'est lui qui apporte la sécurité.