VLAN 802.1Q — Segmentation et inter-VLAN routing
La segmentation réseau par VLAN (Virtual Local Area Network) est une technique fondamentale en PME pour isoler les flux : serveurs, postes, IoT, Wi-Fi invité — chaque groupe dans son propre réseau logique, même sur la même infrastructure physique.
Pourquoi segmenter avec des VLAN ?
Sans segmentation, tous les appareils sur le même commutateur peuvent communiquer librement. Un malware sur un poste utilisateur peut scanner et atteindre les serveurs critiques. La segmentation VLAN crée des barrières logiques :
- VLAN 10 — Serveurs : accès restreint, seuls les flux nécessaires autorisés
- VLAN 20 — Postes utilisateurs : navigation web, accès aux applications
- VLAN 30 — Wi-Fi invité : internet uniquement, pas d'accès au LAN interne
- VLAN 40 — IoT : imprimantes, caméras IP, isolées du reste
Le standard 802.1Q — étiquetage des trames
Le standard IEEE 802.1Q définit comment les VLAN sont identifiés sur le réseau. Chaque trame Ethernet reçoit une étiquette (tag) de 4 octets ajoutée dans l'en-tête, contenant :
- TPID : 0x8100 (identifie la trame comme taguée 802.1Q)
- VID (VLAN ID) : numéro du VLAN de 1 à 4094
Ports Access vs ports Trunk
Port Access : connecte un appareil final (poste, imprimante, serveur). Le port appartient à un seul VLAN. La trame sort du port sans étiquette (l'appareil ne sait pas qu'il est dans un VLAN).
Port Trunk : connecte deux équipements réseau (switch à switch, switch à routeur/pare-feu). Il transporte les trames de plusieurs VLAN simultanément, avec les étiquettes 802.1Q.
graph TD
SW1["Switch de distribution"]
SW2["Switch d'accès bureau"]
FW["Pare-feu / Routeur"]
PC1["Poste VLAN 20"]
SRV["Serveur VLAN 10"]
GUEST["Wi-Fi invité VLAN 30"]
FW ---|Trunk 802.1Q VLAN 10,20,30| SW1
SW1 ---|Trunk 802.1Q| SW2
SW2 ---|Access VLAN 20| PC1
SW1 ---|Access VLAN 10| SRV
SW1 ---|Access VLAN 30| GUEST
Inter-VLAN routing — communiquer entre VLAN
Par défaut, les VLAN sont . Pour permettre au VLAN 20 (postes) d'accéder au VLAN 10 (serveurs), il faut du .