Tu vois le moment où tu branches un PC sur un switch, tu mets une IP, et… ça marche. Et puis tu ajoutes un deuxième service, un troisième, un Wi-Fi invité, un réseau pour la supervision, un pour la VoIP. Et là, tout devient flou, parce que « tout le monde parle à tout le monde » et tu finis par te demander si ton réseau n’est pas devenu un grand couloir sans portes.
Les VLAN, c’est justement ces portes. Sauf que, comme toutes les portes, si tu te trompes de clé, tu restes dehors. Ou pire, tu laisses la mauvaise personne entrer.
Ce guide est pensé comme un anti-boulette. Pas un cours hyper théorique, plutôt un truc que tu peux relire avant un TP, un lab, ou une conf de switch en prod (même petite). Et si tu veux d’autres labs du même style, garde sous la main BTS SIO2 SISR Tech Lab sur https://sio1blog.blogspot.com/ , c’est typiquement le genre de sujet qu’on creuse côté terrain.
VLAN : l’idée simple (et ce que ça change vraiment)
Un VLAN, c’est un réseau logique. Sur un même switch physique, tu crées plusieurs « bulles » isolées.
- VLAN 10 : administratif
- VLAN 20 : étudiants
- VLAN 30 : serveurs
- VLAN 99 : management
Et là, point crucial : un VLAN = un domaine de broadcast. Donc ARP, DHCP Discover, etc., restent dans leur bulle (sauf configuration spéciale).
Ce que ça apporte :
- segmentation (limiter qui parle à qui)
- réduction du broadcast (souvent)
- plus propre pour la sécu et le dépannage
- et oui, c’est aussi la base pour faire du réseau « propre » en entreprise
Ce que ça ne fait pas, par magie :
- ça ne remplace pas un firewall
- ça ne chiffre rien
- ça ne « route » pas entre VLAN (il faut un routeur ou un switch L3)
Deux types de ports : access et trunk (là où 80 % des boulettes arrivent)
On va aller droit au but : sur un switch, un port est généralement soit en access, soit en trunk.
Port access : un seul VLAN, point
Un port access transporte un seul VLAN. Typiquement, un PC, une imprimante, une caméra IP.
Exemple mental :
- Fa0/1 en access VLAN 20
- Tu branches un PC dessus
- Le PC est « dans » le VLAN 20
Port trunk : plusieurs VLAN sur le même câble
Un trunk transporte plusieurs VLAN, grâce au tag 802.1Q. Typiquement :
- switch vers switch
- switch vers routeur (router-on-a-stick)
- switch vers hyperviseur
- switch vers point d’accès (SSID multiples)
Le trunk, c’est pratique. Et c’est aussi l’endroit où tu peux ouvrir trop large sans t’en rendre compte.
Notion à connaître : VLAN natif (native VLAN)
Sur un trunk 802.1Q, il existe un VLAN dit « natif » : c’est celui qui circule sans tag. Souvent VLAN 1 par défaut (et c’est rarement une bonne idée de le laisser tel quel).
Pourquoi c’est une source de galères :
- mismatch de native VLAN entre deux switches = comportements bizarres
- risque de VLAN hopping dans certains contextes
- confusion en dépannage, parce que « ça passe mais pas comme prévu »
Bon réflexe :
- définir explicitement le VLAN natif
- éviter VLAN 1 pour la prod
- et surtout, être cohérent des deux côtés du trunk
Un mini plan d’adressage réaliste (pour ne pas faire n’importe quoi)
Un VLAN, ce n’est pas juste un numéro. En général, on associe un VLAN à un sous-réseau IP.
Exemple :
- VLAN 10 (admin) : 192.168.10.0/24
- VLAN 20 (users) : 192.168.20.0/24
- VLAN 30 (serveurs) : 192.168.30.0/24
- VLAN 99 (mgmt) : 192.168.99.0/24
La passerelle de chaque VLAN sera sur un routeur ou un switch L3 :
- 192.168.10.1
- 192.168.20.1
- etc.
Configuration de base sur Cisco IOS (simple, propre, lisible)
On part sur un switch Cisco classique. Les commandes peuvent varier un peu selon modèle, mais la logique reste.
1) Créer les VLAN
bash conf t vlan 10 name ADMIN vlan 20 name USERS vlan 30 name SERVEURS vlan 99 name MGMT end
2) Mettre un port en access VLAN 20
bash conf t interface fastEthernet0/1 switchport mode access switchport access vlan 20 spanning-tree portfast end
Note : portfast sur un poste client, oui. Sur un trunk ou un switch, non.
3) Mettre un trunk entre deux switches
bash conf t interface gigabitEthernet0/1 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 10,20,30,99 switchport trunk native vlan 99 end
Tu remarques le allowed vlan : c’est volontaire. Un trunk « open bar » est rarement une bonne idée.
Inter-VLAN : comment les VLAN se parlent (ou pas)
Sans routage, VLAN 10 et VLAN 20 ne se parlent pas. C’est normal.
Pour permettre la communication :
- soit un routeur avec sous-interfaces (router-on-a-stick)
- soit un switch couche 3 avec SVI
Option A : router-on-a-stick (routeur + trunk)
Sur le switch : trunk vers le routeur.
Sur le routeur : bash interface g0/0.10 encapsulation dot1Q 10 ip address 192.168.10.1 255.255.255.0
interface g0/0.20 encapsulation dot1Q 20 ip address 192.168.20.1 255.255.255.0
Option B : switch L3 (SVI)
bash conf t ip routing interface vlan 10 ip address 192.168.10.1 255.255.255.0 no shut interface vlan 20 ip address 192.168.20.1 255.255.255.0 no shut end
Les erreurs classiques (et comment les repérer vite)
On va les lister comme un pense-bête. Franchement, tu vas en cocher au moins une un jour.
1) « Le VLAN existe sur un switch, mais pas sur l’autre »
Symptôme : un trunk est up, mais certaines machines ne se voient pas.
Check : bash show vlan brief show interfaces trunk
2) Trunk en face, access de l’autre côté
Symptôme : ça marche parfois, puis plus rien, ou ça met le bazar.
Check : bash show interfaces switchport
3) VLAN pas autorisé sur le trunk
Symptôme : VLAN créé, ports access ok, mais rien ne traverse.
Check : bash show interfaces trunk
Tu veux voir ton VLAN dans « allowed and active ».
4) Native VLAN mismatch
Symptôme : logs CDP, STP qui part en vrille, trafic étrange.
Check : bash show interfaces trunk show spanning-tree vlan X
5) Tu as laissé VLAN 1 partout
Symptôme : « ça marche », mais c’est sale. Et plus tard tu le paies.
Bon réflexe :
- VLAN management dédié (ex : 99)
- pas de user ports dans VLAN 1
- limiter les VLAN autorisés sur trunk
Sécurité minimum viable : le pack anti « j’ai laissé ouvert »
Tu n’as pas besoin de devenir expert sécu pour déjà éviter les grosses portes ouvertes.
1) Désactiver les ports inutilisés
bash interface range fa0/10 - 24 shutdown
2) Mettre les ports inutilisés dans un VLAN parking
bash vlan 999 name PARKING
interface range fa0/10 - 24 switchport mode access switchport access vlan 999 shutdown
3) Limiter les VLAN sur les trunks
Toujours allowed vlan. Toujours.
4) Port-security sur les ports utilisateurs (option utile en lab)
bash interface fa0/1 switchport mode access switchport port-security switchport port-security maximum 2 switchport port-security violation restrict
VLAN et Wi-Fi : un truc qui surprend souvent au début
Un point d’accès, c’est souvent :
- un trunk côté switch
- plusieurs VLAN transportés
- un SSID mappé sur un VLAN
Exemple :
- SSID « STAFF » -> VLAN 10
- SSID « STUDENTS » -> VLAN 20
- SSID « GUEST » -> VLAN 50
Donc si ton Wi-Fi invité « voit » tes serveurs… ce n’est pas un bug mystérieux. C’est une config VLAN, ou un routage trop permissif, ou les deux.
Dépannage express : la checklist en 2 minutes
Quand « ça ne ping pas » entre deux machines censées être dans le même VLAN.
- Le port est-il dans le bon VLAN ? bash show vlan brief
- Le lien trunk transporte-t-il ce VLAN ? bash show interfaces trunk
- Le VLAN existe-t-il sur tous les switches du chemin ? bash show vlan brief
- Tu as du routage inter-VLAN ? Et la passerelle est-elle correcte ?
ipconfig/ip a- passerelle = IP de l’interface VLAN (SVI) ou sous-interface routeur
- STP bloque-t-il un port ? bash show spanning-tree
Tu fais ça calmement, et tu évites la spirale du « je change tout au hasard ».
Petit lab conseillé (rapide, formateur, et très BTS SIO)
Objectif : 2 switches, 2 VLAN, trunk, puis routage inter-VLAN.
Matériel :
- 2 switches (ou 1 switch + simulateur type Packet Tracer)
- 2 PC (ou VPCS)
- 1 routeur (ou switch L3)
Étapes :
- Crée VLAN 10 et 20 sur les deux switches
- Mets PC1 en VLAN 10, PC2 en VLAN 20
- Fais un trunk entre SW1 et SW2 (allowed 10,20)
- Vérifie : PC1 ne ping pas PC2 (normal)
- Ajoute router-on-a-stick ou SVI L3
- Vérifie : PC1 ping PC2 (ça route)
Si tu veux, tu peux documenter ça proprement en capture de commandes et en topo. C’est exactement le genre de rendu que tu peux publier ensuite sur BTS SIO2 SISR Tech Lab ( https://sio1blog.blogspot.com/ ), histoire d’avoir ton portfolio technique qui grossit, et pas juste des TP qui dorment.
Images utiles pour illustrer ton cours ou ton compte rendu
Tu peux en placer quelques-unes dans ton document, ça aide vraiment à expliquer.
Conclusion : ce qu’il faut retenir (sans se raconter d’histoires)
Les VLAN, ce n’est pas compliqué. Mais c’est piégeux, parce que tu peux avoir un réseau qui « a l’air de marcher » tout en étant mal segmenté, mal sécurisé, ou juste prêt à casser au prochain ajout.
Retiens ça :
- un port access = un VLAN
- un trunk = plusieurs VLAN, donc à limiter
- VLAN natif = à définir, et à garder cohérent
- inter-VLAN = nécessite du routage
- dépannage = vérifie VLAN, trunk, STP, passerelle, dans cet ordre
Et si tu veux aller plus loin, fais-toi un lab complet, prends des captures de show, fais un schéma, note les erreurs rencontrées. C’est là que tu progresses vite. Le blog BTS SIO2 SISR Tech Lab ( https://sio1blog.blogspot.com/ ) est aussi là pour ça, apprendre en faisant, et garder des traces propres de ce que tu sais vraiment faire.
Questions fréquemment posées
Qu'est-ce qu'un VLAN et à quoi sert-il dans un réseau ?
Un VLAN (Virtual Local Area Network) est un réseau logique qui permet de créer plusieurs segments isolés sur un même switch physique. Chaque VLAN forme un domaine de broadcast distinct, ce qui limite la communication entre les différents groupes, réduit le trafic broadcast, améliore la sécurité et facilite le dépannage.
Quelle est la différence entre un port access et un port trunk sur un switch ?
Un port access transporte un seul VLAN et est généralement utilisé pour connecter des périphériques comme des PC ou imprimantes. Un port trunk, quant à lui, transporte plusieurs VLAN simultanément grâce au protocole 802.1Q, ce qui est utile pour relier plusieurs switches, routeurs ou points d'accès Wi-Fi avec plusieurs SSID.
Qu'est-ce que le VLAN natif sur un port trunk et pourquoi faut-il y faire attention ?
Le VLAN natif est le VLAN dont les trames circulent sans tag sur un port trunk 802.1Q. Par défaut, c'est souvent le VLAN 1, ce qui peut poser problème en cas de mismatch entre switches ou exposer à des risques de sécurité comme le VLAN hopping. Il est recommandé de définir explicitement un VLAN natif cohérent et d'éviter d'utiliser le VLAN 1 en production.
Comment associer efficacement les VLAN à une adresse IP dans un réseau ?
Chaque VLAN doit être associé à un sous-réseau IP distinct pour assurer une bonne segmentation. Par exemple : VLAN 10 (administratif) utilise 192.168.10.0/24, VLAN 20 (utilisateurs) 192.168.20.0/24, etc. La passerelle correspondante se trouve sur un routeur ou switch de couche 3 avec une adresse IP dans chaque sous-réseau.
Le VLAN remplace-t-il les fonctions d'un firewall ou chiffre-t-il les données ?
Non, le VLAN ne remplace pas un firewall ni ne chiffre les communications. Il segmente simplement le réseau en domaines de broadcast isolés mais ne contrôle pas activement les accès ni ne sécurise les données par chiffrement.
Quelles sont les commandes de base pour configurer des VLANs et des ports sur un switch Cisco IOS ?
Pour créer des VLANs : 'conf t', puis 'vlan [numéro]', 'name [nom]', puis 'end'. Pour configurer un port en access : 'conf t', 'interface [type/numéro]', 'switchport mode access', 'switchport access vlan [numéro]', 'spanning-tree portfast', puis 'end'. Pour configurer un trunk : 'conf t', 'interface [type/numéro]', 'switchport trunk encapsulation dot1q', 'switchport mode trunk', puis 'end'.
0 Commentaires