1. Pourquoi segmenter avec les VLANs (Virtual Local Area Networks)

Par défaut, tous les équipements connectés à un commutateur partagent un même domaine de diffusion (broadcast domain) et peuvent communiquer directement entre eux sans contrôle. Dans un environnement professionnel suisse (banques, cliniques, administrations), cette promiscuité est inacceptable pour des raisons de sécurité, de performance et de conformité légale.

Les VLANs découpent un switch physique en plusieurs commutateurs virtuels logiquement isolés les uns des autres :

  • Sécurité renforcée : Les ordinateurs de la comptabilité (VLAN 20) ne peuvent pas intercepter le trafic des postes de développement (VLAN 30) ni des invités (VLAN 99).
  • Réduction du trafic parasite : Les paquets de diffusion (ARP, DHCP) restent cantonnés à l’intérieur de leur VLAN d’appartenance.
  • Flexibilité organisationnelle : Un collaborateur change de bureau sans changer de configuration réseau ; il suffit d’assigner son nouveau port au bon VLAN.

2. Ports d’accès vs Liaisons Trunk (IEEE 802.1Q)

Pour transporter le trafic de plusieurs VLANs sur un seul câble physique reliant deux commutateurs ou un commutateur à un routeur, nous configurons un Trunk :

# Configuration d'un port d'accès sur switch Cisco :
interface FastEthernet0/1
 switchport mode access
 switchport access vlan 10   # Assigne ce port au VLAN 10 (ex. Direction)

# Configuration d'une liaison Trunk 802.1Q entre switchs :
interface GigabitEthernet0/1
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,99

La norme 802.1Q insère un tag de 4 octets dans l’en-tête Ethernet, incluant l’identifiant du VLAN (VLAN ID sur 12 bits, soit 4096 VLANs possibles). À l’arrivée sur le switch distant, le tag est lu et retiré avant d’envoyer la trame vers le port d’accès final.

3. Le routage inter-VLAN : Faire communiquer des VLANs isolés

Puisque les VLANs sont hermétiques au niveau 2, le trafic doit impérativement traverser une passerelle de niveau 3 (routeur ou switch L3) pour passer d’un VLAN à un autre :

  • Architecture Router-on-a-Stick (ROAS) : Un câble physique unique relie le switch au routeur via un port Trunk. Sur le routeur, une interface physique est subdivisée en plusieurs sous-interfaces logiques (ex. Gig0/0.10, Gig0/0.20), chacune portant l’adresse IP de passerelle d’un VLAN.
  • Commutateur de niveau 3 (Switch Multicouche / L3 Switch) : Solution plus performante dans les entreprises modernes. Le routage inter-VLAN s’effectue directement au sein du châssis du switch via des interfaces virtuelles de routage (SVI – Switch Virtual Interfaces : interface Vlan 10) avec accélération matérielle ASIC.

Atelier de configuration sous Cisco IOS : Créez deux VLANs (VLAN 10 « RH » et VLAN 20 « Production »), assignez deux PC respectifs, configurez une sous-interface 802.1Q sur le routeur avec encapsulation dot1Q 10, et vérifiez que les deux PC peuvent désormais se joindre via leur passerelle par défaut.

PreviousNext