VLAN et trunks

Sommaire

1. Définition
2. Pourquoi des VLAN
3. Les types de VLAN
4. Créer un VLAN
5. Le trunk
6. Routage inter-VLAN

Segmenter logiquement un réseau physique, sans multiplier les commutateurs ni les câbles.

1. Définition

VLAN (Virtual LAN) = réseau local virtuel. Il sépare logiquement un réseau physique en plusieurs sous-réseaux : sur un même commutateur, plusieurs groupes de machines fonctionnent comme s'ils étaient sur des réseaux distincts.

2. Pourquoi des VLAN

Sans VLAN : un seul domaine de diffusion, un broadcast part vers tout le monde. Avec les VLAN :

les broadcasts restent confinés dans leur VLAN ;
le trafic inutile diminue ;
les performances sont meilleures ;
la sécurité est renforcée — un poste compromis dans un VLAN ne voit pas le trafic des autres ;
l'administration est plus simple.

On regroupe les postes par service, fonction ou usage : administration, RH, serveurs, téléphones IP, Wi-Fi, imprimantes. Chaque VLAN correspond en général à un réseau IP distinct.

Effet concret : un PC du VLAN 20 envoie une diffusion, seuls les équipements du VLAN 20 la reçoivent. Ceux des VLAN 30 ou 40 ne la voient pas. Un VLAN = un domaine de diffusion = une isolation logique.

3. Les types de VLAN

Type	Rôle
VLAN de données	Trafic des utilisateurs : VLAN des élèves, du service RH, de la comptabilité
VLAN de gestion	Administration des équipements réseau : SSH, Telnet, HTTP/HTTPS, SNMP. Il porte l'adresse IP de gestion du commutateur
VLAN voix	Réservé aux téléphones IP : sépare la voix des données, permet d'appliquer une priorité au trafic et améliore la qualité des communications
VLAN par défaut	Sur les commutateurs Cisco, tous les ports sont dans le VLAN 1 au départ. Il existe toujours et ne peut pas être supprimé
VLAN natif	Sur un lien trunk, le VLAN dont les trames circulent sans tag

Deux bonnes pratiques liées : ne pas laisser le réseau en VLAN 1, et ne pas utiliser le VLAN 1 comme VLAN natif. On choisit un VLAN dédié et inutilisé pour ce rôle (souvent le 99). Laisser le VLAN 1 partout facilite les attaques de type VLAN hopping, puisque c'est la valeur que l'attaquant essaiera en premier.

4. Créer un VLAN

enable
configure terminal

 vlan 10
  name ADMIN
 exit

 vlan 20
  name RH
 exit
exit

show vlan brief          ! lister les VLAN et les ports associés

Associer un port à un VLAN :

configure terminal
 interface fastEthernet 0/1
  switchport mode access
  switchport access vlan 10
  no shutdown
 exit
exit

Un port en mode access appartient à un seul VLAN et transporte des trames non taguées : c'est le mode des ports auxquels on branche un poste de travail ou une imprimante.

Pour plusieurs ports d'un coup :

interface range fastEthernet 0/1 - 8
 switchport mode access
 switchport access vlan 10

5. Le trunk

Port trunk = port transportant plusieurs VLAN sur un même lien. Un seul câble entre deux commutateurs, au lieu d'un par VLAN.

Les trames sont taguées avec leur identifiant VLAN (802.1Q), sauf celles du VLAN natif.

Un trunk sert à relier deux commutateurs, un commutateur à un routeur, ou un commutateur à un serveur ou un hyperviseur qui héberge des machines dans plusieurs VLAN.

configure terminal
 interface gigabitEthernet 0/1
  switchport mode trunk
  switchport trunk allowed vlan 10,20,30,99
  switchport trunk native vlan 99
  no shutdown
 exit
exit

show interfaces trunk        ! vérifier les trunks actifs

switchport trunk allowed vlan limite les VLAN autorisés à traverser le lien : c'est l'application du moindre privilège au niveau 2. Sans cette restriction, tous les VLAN passent.

Le VLAN natif doit être identique aux deux extrémités du trunk. Une divergence provoque des erreurs de correspondance signalées par le protocole CDP et, surtout, un trafic qui atterrit dans le mauvais VLAN.

La négociation DTP, le VLAN hopping, le port security et l'agrégation de liens sont traités dans la fiche Sécurité de la commutation.

6. Routage inter-VLAN

Deux VLAN différents ne communiquent pas directement : le commutateur travaille en couche 2, l'isolation est totale. Il faut un équipement de couche 3 :

un routeur — classiquement en router-on-a-stick : une seule interface physique reliée en trunk, découpée en sous-interfaces, une par VLAN ;
ou un commutateur multicouche (switch de niveau 3), qui route directement entre ses VLAN.

! Router-on-a-stick sur le routeur
interface gigabitEthernet 0/0
 no shutdown
exit

interface gigabitEthernet 0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.254 255.255.255.0
exit

interface gigabitEthernet 0/0.20
 encapsulation dot1Q 20
 ip address 192.168.20.254 255.255.255.0
exit

Chaque sous-interface devient la passerelle par défaut des postes de son VLAN.

À retenir

Un VLAN segmente logiquement un réseau sur une même infrastructure physique.
Chaque VLAN forme un domaine de diffusion distinct.
En général, un VLAN correspond à un sous-réseau IP.
Un trunk transporte plusieurs VLAN sur un seul port.
La communication entre VLAN nécessite du routage inter-VLAN.

À retenir

VLAN = réseau local virtuel : découpe logique d'un réseau physique
1 VLAN = 1 domaine de diffusion = 1 sous-réseau IP
Port access = 1 seul VLAN, trames non taguées → poste, imprimante
Port trunk = plusieurs VLAN sur 1 lien, trames taguées 802.1Q → switch-switch, switch-routeur
VLAN natif = le seul non tagué sur un trunk — identique aux deux bouts, jamais le VLAN 1
VLAN 1 = VLAN par défaut, ne peut pas être supprimé → ne pas l'utiliser
Communication entre VLAN → impossible en couche 2 → routeur ou switch niveau 3
show vlan brief | show interfaces trunk