- Les VLAN segmentent le réseau physique en réseaux logiques isolés, réduisant ainsi le trafic de diffusion et améliorant les performances.
- L'utilisation correcte des ports d'accès, des liaisons trunk et des VLAN natifs est essentielle pour prévenir les attaques par saut de VLAN et usurpation d'identité de commutateur.
- Le routage inter-VLAN doit toujours être accompagné de listes de contrôle d'accès (ACL) ou de pare-feu qui contrôlent précisément qui peut communiquer avec qui.
- VACL, PVLAN et une gestion rigoureuse des ports inutilisés renforcent la sécurité et le contrôle dans les réseaux d'entreprise complexes.
Si vous gérez un réseau d'entreprise, vous savez que garantir un fonctionnement rapide et sécurisé est un véritable défi. À mesure que les équipes, les services et les applications se développent, les diffusions, les goulots d'étranglement et les problèmes de sécurité se multiplient.
L'un des outils les plus puissants pour mettre de l'ordre dans ce chaos est le VLAN (réseau local virtuel) . Bien conçus et configurés, ils permettent de segmenter le réseau, de réduire le trafic inutile, d'isoler les services et de protéger les services critiques… mais mal implémentés, ils peuvent devenir une faille de sécurité ou un véritable cauchemar administratif.
Qu'est-ce qu'un VLAN exactement et pourquoi est-ce important pour la sécurité ?
Un VLAN est essentiellement un réseau logique distinct qui utilise la même infrastructure physique : mêmes commutateurs, même câblage, mêmes points d’accès Wi-Fi. Logiquement, les périphériques d’un VLAN se comportent comme s’ils appartenaient à un réseau local distinct, même s’ils sont situés à des étages différents ou dans des bâtiments différents.
Cela permet à un groupe d'ordinateurs, de serveurs, de téléphones IP, d'imprimantes ou de caméras IP de former leur propre domaine de diffusion , isolé des autres groupes. Les paquets de diffusion et de multidiffusion restent confinés à leur VLAN au lieu de saturer l'ensemble du réseau, ce qui améliore les performances et simplifie le contrôle des interactions réseau.
En entreprise, il est courant de créer des VLAN pour différents services (comptabilité, ingénierie, marketing) , pour séparer le trafic de gestion, pour la voix, pour les invités, pour l'IoT, ou même un VLAN de sauvegarde dédié. Chaque VLAN possède ses propres règles de routage, de sécurité et de qualité de service.
De plus, les VLAN sont un élément clé des stratégies de segmentation et de Zero Trust : les réseaux ne sont plus considérés comme « totalement fiables » et les surfaces d’attaque sont définies. Une panne ou une infection dans un VLAN ne doit pas entraîner l’effondrement de toute l’organisation par effet domino.
Concepts de base : ports d’accès, liaisons trunk et VLAN natif
Pour bien comprendre la configuration et la sécurité des VLAN, trois concepts sont essentiels : les ports d’accès, les ports trunk et les VLAN natifs . La maîtrise de ces trois concepts simplifie considérablement le reste.
Un port d'accès est un port de commutateur qui achemine le trafic d'un seul VLAN vers un périphérique : PC, imprimante, caméra IP, téléphone, etc. Le trafic quitte le commutateur et atteint le périphérique sans étiquette 802.1Q. En interne, le commutateur connaît le VLAN auquel appartient le périphérique, mais ce dernier ne reçoit pas l'étiquette.
Un port trunk est une liaison entre des périphériques réseau (commutateur-commutateur, commutateur-routeur, commutateur-point d'accès) par laquelle transitent simultanément plusieurs VLAN . Dans ce cas, les trames portent l'étiquette 802.1Q indiquant le VLAN auquel elles appartiennent. Cela permet d'étendre les VLAN à l'ensemble de la topologie et de faire transiter plusieurs réseaux logiques sur la même liaison physique.
Le VLAN natif est utilisé pour le trafic non étiqueté sur une liaison 802.1Q. Chaque trame entrant dans un port trunk sans étiquette est affectée à ce VLAN natif. Par défaut, sur de nombreux équipements, il s'agit du VLAN 1, et c'est là que les problèmes de sécurité commencent si cette configuration n'est pas modifiée.
Architecture et conception de réseaux avec VLAN
Dans les réseaux de moyenne et grande taille, on utilise généralement une topologie à trois couches : cœur, distribution et accès. Chaque couche a un rôle spécifique, et la manière dont elles sont combinées avec les VLAN revêt une grande importance pratique.
La couche d'accès comprend les commutateurs qui connectent directement les utilisateurs et les périphériques. Ces commutateurs possèdent le plus grand nombre de ports d'accès et c'est là que sont définis la plupart des VLAN (utilisateurs, voix, IoT, etc.). C'est à ce niveau que l'attribution des ports et les mesures de sécurité physique (prévention des branchements non autorisés) requièrent le plus d'attention.
La couche de distribution est constituée de commutateurs qui agrègent le trafic provenant de plusieurs commutateurs d'accès . C'est généralement à ce niveau que s'effectue le routage entre les VLAN, que des listes de contrôle d'accès (ACL) plus précises sont appliquées, que les liaisons fibre optique sont terminées, que des liaisons (EtherChannel) sont ajoutées et que des politiques plus avancées (QoS, contrôle des tempêtes de trafic, etc.) sont mises en œuvre.
La couche cœur abrite les liaisons de distribution et la passerelle vers Internet ou les réseaux externes. Dans les très grands réseaux, elle gère généralement uniquement la commutation à haut débit , avec très peu de fonctions supplémentaires, afin de réduire la latence et la complexité.
Lors de la conception d'un réseau avec des VLAN, il est conseillé de définir au préalable les groupes logiques nécessaires (par fonction, criticité, niveau de confiance, etc.) puis de les implémenter dans un schéma IP bien planifié (sous-réseaux, masques, VLSM, plages dynamiques et statiques) et dans une répartition claire des ports sur chaque commutateur.
Types de VLAN et utilisations courantes
La norme la plus répandue pour l'étiquetage des trames sur les liaisons trunk est la norme IEEE 802.1Q . Elle ajoute 4 octets à l'en-tête Ethernet avec l'identifiant du VLAN et d'autres champs, permettant ainsi au commutateur de savoir précisément à quel VLAN appartient chaque trame sans avoir à encapsuler la trame entière.
Lors de la configuration de VLAN avec la norme 802.1Q sur les commutateurs, chaque port peut être marqué comme étiqueté ou non étiqueté pour un VLAN spécifique. Un port peut être étiqueté dans plusieurs VLAN (cas typique d'une liaison trunk) mais non étiqueté dans un seul (celui que le périphérique final verra s'il s'agit d'un port d'accès).
Outre les VLAN standard basés sur la norme 802.1Q, d'autres modalités sont couramment utilisées en entreprise : VLAN basés sur les ports, VLAN basés sur les adresses MAC, VLAN de gestion, VLAN de contrôle, VLAN natifs personnalisés, VLAN hybrides, et même VXLAN dans les centres de données et les environnements cloud nécessitant des millions de réseaux logiques. Il convient également d'envisager des technologies telles que la norme 802.1X et les VLAN dynamiques pour une allocation et une sécurité avancées.
Le VLAN de gestion est exclusivement réservé à l'accès administratif aux commutateurs, routeurs, points d'accès, pare-feu et systèmes de surveillance. Il possède généralement son propre sous-réseau IP et des listes de contrôle d'accès (ACL) strictes qui limitent les utilisateurs autorisés à y accéder. Il est fortement déconseillé de gérer des périphériques depuis les mêmes VLAN que les utilisateurs.
Le VLAN dit de contrôle est dédié au trafic des protocoles réseau internes : STP, protocoles de routage, CDP, LLDP, VTP, etc. La séparation de ce trafic du trafic de données ou de gestion réduit le bruit, améliore la stabilité et permet l’application de mesures de sécurité spécifiques.
VLAN 1, VLAN natif et pourquoi ils constituent un problème de sécurité
Sur la plupart des commutateurs, le VLAN 1 est configuré comme VLAN par défaut et natif sur tous les ports. Cela signifie que, si cette configuration n'est pas modifiée, tout le trafic non étiqueté entrant sur un trunk sera acheminé vers le VLAN 1, et tous les ports seront considérés comme faisant partie de ce VLAN.
Le problème, c'est que tout attaquant un tant soit peu averti le sait. Le VLAN 1 est une cible de choix pour le saut de VLAN , l'usurpation d'identité de commutateur et d'autres attaques exploitant les configurations par défaut pour infiltrer d'autres VLAN.
Dans une attaque par usurpation de commutateur, par exemple, l'attaquant connecte son appareil à un port où DTP est actif en mode dynamique et négocie une liaison trunk avec le commutateur, obtenant ainsi l'accès à plusieurs VLAN qui ne devraient jamais atteindre un hôte.
Dans une attaque par double étiquetage, deux étiquettes 802.1Q sont mélangées dans la même trame, profitant du fait que le VLAN natif ne transite pas par une étiquette, pour tenter de passer d'un VLAN à un autre via un trunk mal sécurisé.
Pour toutes ces raisons, les recommandations de sécurité actuelles sont claires : n’utilisez pas le VLAN 1 pour les utilisateurs , ne le laissez pas comme VLAN natif sur les liaisons trunk, ne lui attribuez pas d’adresse IP de gestion et, si possible, isolez-le ou même filtrez-le afin qu’il ne transporte pas de trafic de production.
Meilleures pratiques pour la conception et l'allocation des ports
L'une des décisions cruciales lors de la configuration des VLAN consiste à répartir les ports du commutateur entre les VLAN et à gérer les ports inutilisés. Cela peut paraître anodin, mais les performances et la sécurité en dépendent.
Sur les ports d'accès, il est conseillé de ne laisser qu'un seul VLAN non étiqueté (celui de l'utilisateur ou du périphérique concerné) et d'exclure les autres. Cela empêche l'interface de « voir » des VLAN qui ne lui appartiennent pas, même en cas de modification accidentelle des paramètres.
Sur les liaisons trunk, il est recommandé de configurer explicitement les VLAN autorisés (par exemple, `switchport trunk allowed vlan 10, 20, 99`) plutôt que de transmettre tous les VLAN du réseau. Chaque liaison trunk ne doit transporter que les VLAN dont elle a réellement besoin.
Pour les ports inutilisés, la meilleure pratique consiste à les désactiver , à les assigner à un VLAN isolé (« trou noir ») sans passerelle ni DHCP, et à s'assurer qu'ils ne sont pas configurés comme ports trunk ni que le protocole DTP n'est activé. Cela empêche toute personne de connecter un périphérique et d'apparaître soudainement sur le réseau de production.
Dans les environnements comportant de nombreux ports, il est essentiel de documenter précisément les périphériques connectés à chaque interface , d'étiqueter le câblage et de tenir à jour les schémas de câblage. De nombreux problèmes de connectivité VLAN sont dus à des déplacements de câbles sans mise à jour de la documentation ; un guide de câblage permet d'éviter ces erreurs.
VLAN « non-sortie » et ports inutilisés
Une technique simple et très efficace pour protéger les ports libres consiste à créer un VLAN « sans sortie » , c'est-à-dire un VLAN sans DHCP, routage ni services, et à y placer tous les ports d'accès qui ne sont pas utilisés.
L'idée est que même si quelqu'un connecte un appareil à l'un de ces ports, cet hôte ne recevra pas d'adresse IP, n'aura pas de passerelle, ne pourra pas communiquer avec d'autres appareils et son trafic restera totalement isolé. C'est une sorte de limbes réseau.
Dans de nombreux environnements, un identifiant spécifique, tel que VLAN 777, 999 ou 4094 , est utilisé à cet effet. Le commutateur est configuré pour exclure tous les autres VLAN de ces ports, aucune interface de couche 3 n'est définie pour ce VLAN et celui-ci n'est annoncé sur aucun routeur.
De plus, il est recommandé de désactiver le protocole DTP sur tous les ports d'accès avec l'option switchport nonegotiate , afin qu'ils ne tentent jamais de devenir automatiquement des liaisons trunk en négociant avec le voisin.
VLAN pour la voix, les données et les périphériques spéciaux
Dans les réseaux utilisant la téléphonie IP et le trafic voix , il est courant de séparer ce trafic dans un VLAN spécifique, distinct de celui des PC. Cette pratique se justifie par deux raisons : les exigences de qualité de service et la sécurité.
Le trafic voix est extrêmement sensible à la latence, à la gigue et à la perte de paquets. S'il est mélangé sans discernement avec des téléchargements importants, du streaming vidéo ou des sauvegardes, la qualité des appels se dégrade rapidement. Isoler la voix dans un VLAN dédié permet de la prioriser grâce à la QoS et d'appliquer des politiques plus précises.
De plus, les téléphones IP disposent généralement de leur propre système de marquage VLAN (802.1Q) : ils sont connectés en cascade au PC, le port côté réseau faisant office de liaison principale (voix marquée, données non marquées) et le port côté PC de port d'accès. Ceci exige une configuration des ports plus précise afin d'éviter les failles de sécurité.
Il est également conseillé de séparer les objets connectés, les systèmes domotiques, les caméras IP, les téléviseurs, les prises intelligentes , etc., en les répartissant sur des VLAN spécifiques. Ces appareils présentent souvent des failles de sécurité et des micrologiciels mal entretenus ; il est donc préférable de les tenir à l’écart du même réseau logique que les ordinateurs d’administration ou les serveurs critiques.
Dans l'univers Wi-Fi, la plupart des points d'accès professionnels permettent d'associer un SSID à chaque VLAN . Cela étend la segmentation du réseau filaire au réseau sans fil : VLAN de gestion, VLAN d'entreprise, VLAN IoT, VLAN invité, chacun avec son propre SSID et ses propres règles.
Routage entre les VLAN, les ACL et les pare-feu
Par conception, les VLAN ne peuvent pas communiquer entre eux au niveau de la couche 2. Pour que des périphériques situés sur des VLAN différents puissent communiquer, il est nécessaire d'utiliser la couche 3 : le routage inter-VLAN. Ce routage est généralement effectué par un routeur, un pare-feu ou un commutateur de couche 3.
Il existe deux approches principales. La première consiste à utiliser un routeur ou un pare-feu compatible 802.1Q connecté à un réseau dorsal de commutation. Le routeur crée des sous-interfaces (une par VLAN), leur attribue des adresses IP et fait office de passerelle. Le pare-feu , quant à lui, applique des règles précises concernant les communications entre les appareils.
La seconde approche consiste à utiliser un commutateur administrable de couche 3 au niveau de la distribution ou du cœur de réseau. Des interfaces VLAN (SVI) sont créées sur ce commutateur, faisant office de passerelles pour chaque sous-réseau. Le commutateur gère lui-même le routage interne et les listes de contrôle d'accès (ACL) correspondantes, déchargeant ainsi le routeur de périphérie de cette tâche.
Dans les deux cas, il est essentiel d'associer ce routage à des listes de contrôle d'accès (ACL) ou à des règles de pare-feu strictes. L'existence d'un chemin IP entre les VLAN n'implique pas que tout le trafic doive être autorisé. Le filtrage doit être effectué en fonction de la source, de la destination, des ports, des protocoles et du sens de la connexion.
Un exemple typique : le VLAN invité ne peut accéder qu’à Internet, le VLAN IoT ne peut communiquer qu’avec des serveurs spécifiques (tels que NTP, syslog ou un courtier MQTT), le VLAN étudiant ne peut pas accéder au VLAN de gestion, le VLAN de sauvegarde n’initie que des connexions au serveur de sauvegarde, etc.
Protocoles de gestion des VLAN : VTP et compagnie
Dans les grands réseaux comportant de nombreux commutateurs, la création manuelle de VLAN sur chaque périphérique est impraticable et source d'erreurs. C'est pourquoi des protocoles comme VTP (VLAN Trunking Protocol) dans l'écosystème Cisco permettent la distribution centralisée de la liste des VLAN.
Le protocole VTP définit trois modes de fonctionnement pour un commutateur : serveur, client et transparent . Les serveurs peuvent créer, renommer ou supprimer des VLAN et transmettre ces informations aux clients du même domaine. Les clients reçoivent et appliquent les modifications, mais ne les modifient pas. Les clients transparents ne traitent pas la base de données VLAN ; ils se contentent de retransmettre les informations.
Ces types de protocoles simplifient grandement la vie, mais ils comportent des inconvénients : une erreur dans un commutateur serveur, un mot de passe VTP mal géré ou un ancien commutateur réintroduit dans le réseau avec une base de données obsolète peuvent soudainement détruire la configuration VLAN dans toute l'organisation.
Par conséquent, dans de nombreuses conceptions actuelles, il est préférable d'utiliser VTP en mode transparent ou de ne pas l'utiliser du tout, en gérant les VLAN avec des outils d'automatisation (Ansible, modèles, contrôleurs centralisés, etc.) ou avec une conception plus statique et contrôlée.
Sécurité avancée : VACL, PVLAN et atténuation des attaques
À mesure que le réseau s'étend et que sa criticité augmente, les VLAN seuls ne suffisent plus. Pour un contrôle plus précis du trafic au sein d'un VLAN, on peut utiliser des VACL (listes de contrôle d'accès VLAN ou mappages VLAN) , permettant de filtrer ou de rediriger le trafic au niveau du VLAN, et non plus seulement sur des interfaces spécifiques.
Les VACL sont configurées en définissant des cartes d'accès par VLAN qui utilisent des listes d'accès IP ou MAC et spécifient ce qu'il faut faire avec le trafic correspondant : le laisser passer, le bloquer, l'envoyer vers un port de surveillance, le rediriger, etc. Elles sont ensuite appliquées globalement à un ou plusieurs VLAN sur le commutateur.
Pour isoler des hôtes au sein d'un même sous-réseau, on utilise les VLAN privés (PVLAN) . Ces derniers commencent par un VLAN principal, où se trouve généralement la passerelle, et créent ensuite des VLAN secondaires associés de deux types : isolés et communautaires.
Les VLAN secondaires isolés permettent à chaque hôte de voir uniquement la passerelle, et non les autres hôtes, même s'ils appartiennent au même VLAN secondaire isolé. Les VLAN secondaires communautaires permettent à un groupe d'hôtes de communiquer entre eux et avec la passerelle, mais pas avec les autres groupes d'hôtes appartenant au même VLAN principal.
Concernant les attaques spécifiques, outre les points déjà abordés concernant le VLAN 1 et le DTP, il est crucial d'atténuer le phénomène de saut de VLAN grâce au double marquage . Pour ce faire, il est recommandé de modifier le VLAN natif pour un VLAN non utilisé par les hôtes, de supprimer le VLAN natif des liaisons trunk si possible, de désactiver le DTP, de définir explicitement les ports comme étant d'accès ou trunk, et d'utiliser des commandes pour garantir que le VLAN natif est toujours marqué, en bloquant le trafic non marqué.
Diagnostic et maintenance des réseaux avec VLAN
Configurer un réseau avec des VLAN ne représente que la moitié du travail ; l’autre moitié consiste à le maintenir et à résoudre les problèmes sans perdre patience. Les problèmes de connectivité VLAN ont souvent des causes assez communes. Pour des guides et des procédures pratiques, consultez les ressources sur le dépannage réseau.
D'une part, il y a les erreurs physiques : des câbles déplacés d'un port à un autre sans mise à jour de la documentation, des ports configurés en accès là où il devrait s'agir d'un trunk, ou vice versa, des liaisons redondantes mal définies qui se terminent par des boucles si le protocole STP n'est pas correctement paramétré.
En revanche, il existe des défaillances logiques : des VLAN créés sur certains commutateurs mais pas sur d’autres, des listes de VLAN autorisées sur des liaisons trunk mal configurées , des plages DHCP qui ne correspondent pas aux masques ou des passerelles mal configurées sur les périphériques finaux.
Les principaux outils de diagnostic sont les commandes habituelles : show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute , etc. Les combiner avec des captures de trafic sur des ports spécifiques et un bon système de surveillance est très utile.
Il est également conseillé de revoir périodiquement les ACL, les règles de pare-feu, les PVLAN, les VACL et les configurations de gestion afin de s'assurer qu'aucune lacune n'a été laissée ouverte suite à des changements, des extensions ou des migrations de projet.
Une documentation claire (schémas VLAN, plages d'adresses IP, affectations de ports, description des politiques d'accès inter-VLAN) et une journalisation rigoureuse des modifications sont presque aussi importantes que les commandes de configuration elles-mêmes.
Grâce à une segmentation bien pensée, des VLAN correctement étiquetés, une gestion prudente des VLAN natifs, un routage inter-VLAN protégé par ACL et des habitudes de maintenance cohérentes, un réseau d'entreprise peut réaliser un bond considérable en matière de sécurité, de performance et de contrôle sans avoir besoin de reconstruire l'intégralité de l'infrastructure physique.
