Accueil » Technologies » VLAN : segmenter son réseau d'entreprise pour la sécurité et la performance

VLAN : segmenter son réseau d'entreprise pour la sécurité et la performance

VLAN : segmenter son réseau d'entreprise pour la sécurité et la performance

Un VLAN (Virtual Local Area Network) est un réseau logique qui regroupe des équipements comme s'ils étaient sur le même switch physique, quel que soit leur emplacement réel. Il permet de découper un réseau d'entreprise en segments isolés — bureaux, téléphonie, vidéosurveillance, invités — sans tirer de nouveaux câbles ni ajouter de switchs. Les VLAN améliorent la sécurité (isolation du trafic), les performances (limitation des domaines de broadcast) et simplifient l'administration.

Un VLAN (Virtual Local Area Network) est un réseau local virtuel : il permet de créer plusieurs réseaux logiques indépendants sur une même infrastructure physique de switchs et de câbles. Concrètement, deux ordinateurs branchés sur le même switch peuvent appartenir à deux VLAN différents et ne jamais communiquer directement, tandis que deux postes situés à des étages différents peuvent partager le même VLAN comme s'ils étaient côte à côte. La technologie est normalisée par l'IEEE sous la référence 802.1Q.

Qu'est-ce qu'un VLAN ?

Sans VLAN, tous les équipements branchés sur un switch (et les switchs reliés entre eux) forment un seul domaine de broadcast : chaque message de diffusion (requête ARP, DHCP, découverte réseau) est envoyé à tout le monde. Sur un réseau de 200 postes, cela génère un trafic parasite constant et fait qu'une seule mauvaise configuration ou un poste infecté peut affecter l'ensemble du réseau. Un VLAN découpe ce domaine unique en plusieurs sous-réseaux logiques : le VLAN 10 pour la comptabilité, le VLAN 20 pour la production, le VLAN 30 pour la téléphonie IP, le VLAN 40 pour le Wi-Fi invité, etc. Chaque VLAN correspond généralement à son propre sous-réseau IP.

Comment ça fonctionne

Le principe repose sur le marquage (tagging) 802.1Q. Lorsqu'une trame Ethernet doit traverser un lien partagé entre deux switchs, le switch insère une étiquette de 4 octets contenant l'identifiant du VLAN (VID, de 1 à 4094). Le switch distant lit cette étiquette et sait à quel VLAN appartient la trame, puis la retire avant de la livrer au poste destinataire.

On distingue deux types de ports :

  • Port d'accès (access) : rattaché à un seul VLAN, il connecte un équipement terminal (PC, imprimante, caméra) qui ignore tout du VLAN. Les trames y circulent sans étiquette.
  • Port trunk (agrégé) : transporte plusieurs VLAN étiquetés simultanément, typiquement entre deux switchs ou vers un routeur/pare-feu. C'est l'autoroute qui relie les segments.

Pour qu'un VLAN communique avec un autre (par exemple pour qu'un poste bureautique accède à un serveur situé dans un autre VLAN), il faut un routage inter-VLAN, assuré par un switch de niveau 3 (Layer 3) ou un routeur/pare-feu. C'est à ce point de passage que l'on applique les règles de filtrage : c'est là que réside toute la valeur sécurité du VLAN.

Avantages et limites

  • Sécurité : le trafic d'un VLAN est invisible aux autres. Un poste invité ne peut pas atteindre le serveur comptable, une caméra compromise ne peut pas scanner le réseau bureautique.
  • Performance : chaque VLAN est un domaine de broadcast réduit, ce qui diminue le trafic parasite et améliore la réactivité.
  • Souplesse : déplacer un poste d'un service à l'autre se fait en changeant l'affectation d'un port, sans recâblage.
  • Qualité de service : on peut prioriser le VLAN voix (téléphonie IP) sur le VLAN données grâce à la QoS.

Côté limites : le VLAN ne chiffre rien (l'isolation est logique, pas cryptographique), une mauvaise configuration de trunk peut ouvrir des failles (VLAN hopping), et le routage inter-VLAN mal filtré annule le bénéfice sécurité. Un VLAN nécessite aussi des switchs administrables — les switchs non manageables ne le supportent pas.

Cas d'usage : pour qui ?

  • PME multi-services : séparer comptabilité, commercial, production et direction sur des VLAN distincts.
  • Téléphonie IP : un VLAN voix dédié, prioritaire, isolé des données pour garantir la qualité des appels.
  • Vidéosurveillance : isoler les caméras IP et l'enregistreur sur leur propre VLAN, sans exposition à Internet.
  • Hôtellerie et espaces publics : un VLAN invité cloisonné qui ne voit jamais le réseau interne.
  • Écoles et administrations : séparer réseau pédagogique, administratif et Wi-Fi élèves.

Conseils d'achat

Pour déployer des VLAN, le point de départ est un switch administrable (managed) ou au minimum smart-managed. Voici les critères à vérifier :

  • Support 802.1Q : indispensable, présent sur tout switch manageable sérieux. Vérifiez le nombre de VLAN simultanés supportés (256, 512, 4094).
  • Niveau 2 ou niveau 3 : un switch L2 gère les VLAN mais pas le routage entre eux ; un switch L3 fait le routage inter-VLAN en interne, sans passer par le pare-feu, ce qui accélère les échanges internes. Pour un réseau de plus de 3-4 VLAN actifs, un cœur L3 est recommandé.
  • Ports et débit : prévoyez des liens montants (uplinks) rapides (1G, 2,5G ou 10G / SFP+) pour les trunks entre switchs, sous peine de goulet d'étranglement.
  • Fonctions de sécurité : Voice VLAN automatique, protection contre le VLAN hopping, ACL par port, private VLAN pour l'hôtellerie.
  • Interface d'administration : web claire ou CLI selon votre équipe. Sur mv.ma, privilégiez les gammes smart-managed pour les PME et fully-managed pour les infrastructures critiques.

Enfin, si votre réseau comporte du Wi-Fi, choisissez des points d'accès qui savent diffuser plusieurs SSID mappés chacun sur un VLAN : c'est ainsi qu'on relie proprement un Wi-Fi invité à son VLAN cloisonné.

Questions fréquentes

Quelle est la différence entre un VLAN et un sous-réseau IP ?
Un VLAN est une séparation de niveau 2 (couche liaison) réalisée par le switch, tandis qu'un sous-réseau IP est une séparation de niveau 3 (couche réseau). En pratique on associe presque toujours un VLAN à un sous-réseau IP unique : le VLAN isole le trafic physique, le sous-réseau organise l'adressage. Le routage inter-VLAN fait le lien entre les deux quand une communication est autorisée.
Ai-je besoin d'un switch administrable pour utiliser des VLAN ?
Oui. Les VLAN reposent sur le marquage 802.1Q, qui n'est disponible que sur les switchs administrables (managed) ou smart-managed. Un switch non manageable (unmanaged) traite tous ses ports comme un seul réseau et ne peut ni créer, ni étiqueter des VLAN. C'est le premier équipement à prévoir pour une segmentation.
Combien de VLAN puis-je créer sur mon réseau ?
La norme 802.1Q autorise 4094 VLAN utilisables (identifiants 1 à 4094). En pratique, le nombre réel dépend des capacités de votre switch, souvent limité à 256 ou 512 VLAN simultanés sur les modèles PME. Pour la plupart des entreprises, entre 4 et 20 VLAN suffisent amplement à couvrir tous les services.
Le VLAN protège-t-il vraiment contre les cyberattaques ?
Le VLAN isole logiquement le trafic et limite fortement la propagation latérale d'une attaque : une caméra ou un poste invité compromis ne peut pas scanner ni atteindre les autres segments. Mais il ne chiffre rien et n'est efficace que si le routage inter-VLAN est filtré par un pare-feu ou des ACL. Il faut le combiner à des règles de filtrage pour obtenir une vraie sécurité.
Comment faire communiquer deux VLAN entre eux ?
Il faut un routage inter-VLAN, assuré soit par un switch de niveau 3 (Layer 3), soit par un routeur ou un pare-feu relié par un port trunk. C'est à ce point de passage que l'on applique les règles d'autorisation ou de blocage. Sans routage, deux VLAN restent totalement étanches l'un à l'autre.

Catégories liées

Commutateurs Réseaux Réseaux Routeur

Technologies associées

QoS : prioriser la voix et la vidéo sur votre réseau LACP : agréger plusieurs liens réseau pour plus de débit et de redondance Multi-Gigabit : Ethernet 2,5G, 5G et 10G sur câble cuivre PoE (Power over Ethernet) : tout comprendre pour bien choisir