Ce qu’un routeur compatible VLAN fait et quand il est utile

Un routeur compatible VLAN peut séparer un réseau physique en plusieurs réseaux logiques, ce qui aide à limiter la propagation d’un problème et facilite la gestion des règles d’accès.

Ce qu’est le produit

Un routeur compatible VLAN est un routeur capable de comprendre et d’acheminer le trafic de plusieurs réseaux locaux virtuels, ou VLAN. Un VLAN est une manière de diviser un réseau physique en segments logiques séparés. Les appareils sur différents VLAN se comportent comme s’ils étaient sur des réseaux distincts, même s’ils partagent les mêmes commutateurs, câblages ou infrastructures sans fil.

En pratique, cela permet de séparer des appareils ayant différents niveaux de confiance. Par exemple, vous pouvez placer les ordinateurs portables des employés, le Wi-Fi invité, les imprimantes et les appareils IoT dans des VLAN séparés. Le routeur décide ensuite si ces segments peuvent communiquer entre eux, et sur quels ports ou protocoles.

Comment fonctionnent les VLAN

La plupart des routeurs compatibles VLAN utilisent la norme de marquage IEEE 802.1Q. Le trafic qui traverse une liaison trunk transporte une petite étiquette VLAN qui identifie à quel segment il appartient. Les ports qui se connectent à un seul appareil utilisent souvent un mode non étiqueté ou mode access, tandis que les liaisons entre routeurs, commutateurs et certains points d’accès utilisent un mode trunk étiqueté.

Le routeur peut attribuer à chaque VLAN son propre sous-réseau IP, sa plage DHCP, ses options DNS et sa politique de pare-feu. Cela signifie qu’un sous-réseau pour caméras peut recevoir des règles différentes de celles d’un sous-réseau pour ordinateurs portables. Le point important est que les VLAN ne bloquent pas automatiquement le trafic ; ce sont le routeur et les règles du pare-feu qui effectuent ce travail.

Les spécifications qui comptent

Lorsqu’on compare cette famille de produits, quelques détails techniques comptent davantage que les appellations marketing :

Prise en charge des VLAN : recherchez une véritable prise en charge 802.1Q, et pas seulement un simple commutateur pour réseau invité.
Contrôles du pare-feu : vous avez besoin d’un contrôle fondé sur des règles entre les VLAN, pas seulement d’un simple accès à Internet.
Débit de routage : le trafic inter-VLAN peut utiliser le CPU du routeur, ce qui peut faire baisser le débit sous charge.
Options DHCP et DNS : des pools d’adresses et une résolution de noms séparés facilitent la gestion des réseaux segmentés.
Nombre de ports et fonctionnalités Wi-Fi : si vous avez plusieurs commutateurs ou points d’accès, la prise en charge des ports trunk devient importante.

Pour les environnements plus vastes, les fonctionnalités de gestion comptent aussi : sauvegarde de configuration, journalisation, réservations DHCP statiques et capacité à créer et à étiqueter clairement de nombreux VLAN.

Schéma de configuration typique

Une conception courante consiste à créer un VLAN pour les appareils de confiance, un pour les invités et un pour les appareils non gérés ou plus risqués, comme les caméras, les prises connectées ou les capteurs. Chaque VLAN reçoit son propre sous-réseau, par exemple 192.168.10.0/24 et 192.168.20.0/24. Le routeur applique ensuite des règles qui n’autorisent que le trafic réellement nécessaire.

Les bonnes configurations suivent généralement une règle simple : autoriser par défaut l’accès sortant à Internet, autoriser l’accès inter-VLAN uniquement lorsque c’est nécessaire, et conserver les interfaces de gestion sur un VLAN administrateur restreint. Si un point d’accès sans fil est impliqué, il doit pouvoir associer les SSID aux VLAN appropriés sans ramener le réseau à un seul segment.

Limites et erreurs à éviter

Les VLAN sont utiles, mais ils ne sont pas magiques. Si un appareil est compromis et que les règles du routeur sont trop permissives, l’attaquant peut encore atteindre d’autres systèmes. Un routeur compatible VLAN n’est qu’une couche dans la conception globale. La sécurité des terminaux, les mises à jour et l’inventaire des appareils restent importants.

Les erreurs courantes incluent des balises VLAN incohérentes entre le routeur et le commutateur, le fait de placer l’accès de gestion sur tous les VLAN, de supposer que le Wi-Fi invité équivaut à l’isolation, et d’oublier de tester les services d’impression, de découverte ou de streaming après la segmentation. Un autre problème fréquent est de laisser d’anciennes règles en place, ce qui crée des chemins inattendus entre les réseaux.

Pour la maintenance continue, documentez les identifiants VLAN, les sous-réseaux et les flux autorisés. Sauvegardez la configuration après les modifications. Examinez les journaux à la recherche de connexions bloquées répétées, car elles révèlent souvent des appareils mal configurés ou un trafic qui devrait être explicitement autorisé.