Qu’est-ce qu’un VLAN et pourquoi est-il utile

Un commutateur relie de nombreux appareils au sein d’un même réseau. Mais vous pouvez parfois vouloir répartir ces appareils en groupes distincts, même s’ils partagent le même commutateur physique. Un VLAN (réseau local virtuel) fait exactement cela : il divise logiquement un commutateur en plusieurs réseaux indépendants. Cette leçon explique ce qu’est un VLAN et les avantages réels qu’il apporte en matière de sécurité, de performances et d’organisation.

Sans VLAN, chaque port d’un commutateur appartient au même domaine de diffusion. Un domaine de diffusion est l’ensemble des appareils qui reçoivent tous un message de diffusion. Lorsqu’un appareil émet une diffusion, tous les autres appareils du commutateur la reçoivent. Sur un grand réseau plat, cela entraîne un bavardage permanent en arrière-plan et aucune séparation entre les différents groupes d’utilisateurs ou d’appareils.

Un VLAN divise le commutateur en domaines de diffusion distincts. Les ports affectés au VLAN 10 forment un réseau ; les ports du VLAN 20 en forment un autre. Les appareils du VLAN 10 ne peuvent pas atteindre directement ceux du VLAN 20, même s’ils sont branchés sur le même commutateur, sauf si un routeur les relie. Chaque VLAN se comporte comme un commutateur isolé placé à l’intérieur du commutateur physique.

Les VLAN améliorent la sécurité grâce à la séparation. Vous pouvez placer le Wi-Fi invité dans un VLAN, les appareils des employés dans un autre et les caméras de sécurité dans un troisième. Un appareil invité compromis ne peut pas communiquer directement avec les caméras ni avec les VLAN des employés, car le trafic reste séparé. Le contrôle des quelques points où les VLAN se connectent — généralement un routeur ou un pare-feu — vous permet d’y appliquer des règles.

Les VLAN améliorent également les performances en réduisant la taille des domaines de diffusion. Les diffusions restent dans leur propre VLAN au lieu d’inonder tout le commutateur. Des domaines de diffusion plus petits signifient moins de bande passante gaspillée et moins de traitement sur chaque appareil. Sur un réseau très sollicité, répartir des centaines d’appareils entre plusieurs VLAN réduit sensiblement le bruit de diffusion et maintient une bonne réactivité.

Les VLAN vous permettent de regrouper les appareils selon leur rôle plutôt que selon leur emplacement. Les employés des finances peuvent partager un VLAN qu’ils soient au premier ou au troisième étage, car l’appartenance au VLAN dépend de l’affectation du port et non du câblage. Ce regroupement logique clarifie les politiques, la nomenclature et le dépannage, puisque chaque VLAN correspond à un groupe significatif comme les ventes, la voix ou les serveurs.

Chaque VLAN possède un identifiant de VLAN numérique compris entre 1 et 4094. Le VLAN 1 est celui par défaut dans lequel tous les ports commencent. Les administrateurs attribuent d’autres identifiants pour créer de nouveaux VLAN, souvent selon une organisation claire, par exemple le VLAN 10 pour le personnel, le 20 pour les invités et le 30 pour la voix. L’identifiant permet aux commutateurs d’étiqueter le trafic de chaque VLAN et de le séparer du reste.

Pour placer un appareil dans un VLAN, l’administrateur affecte son port de commutateur à cet identifiant de VLAN. L’extrait ci-dessous illustre le principe sur un commutateur administrable courant. Après cette configuration, tout appareil branché sur ce port appartient au VLAN 10. Déplacez le câble vers un port du VLAN 20 et l’appareil rejoint plutôt le VLAN 20, sans qu’il soit nécessaire de refaire le câblage du bâtiment.

Si les VLAN sont isolés, comment peuvent-ils communiquer lorsque c’est nécessaire ? Par l’intermédiaire d’un routeur ou d’un commutateur de couche 3 qui effectue le routage entre eux, parfois appelé routage inter-VLAN. Le routeur devient la passerelle contrôlée entre les VLAN, et vous pouvez y appliquer des règles d’accès. Ainsi, les VLAN restent séparés par défaut, mais peuvent échanger délibérément du trafic sous votre contrôle.

Un exemple courant dans le monde réel est le VLAN voix. Les téléphones IP sont placés dans leur propre VLAN afin que leur trafic soit séparé des données informatiques ordinaires, ce qui aide à prioriser les appels et à maintenir une excellente qualité vocale. De nombreux téléphones possèdent un port de commutateur intégré pour un PC, ce qui permet au téléphone d’étiqueter son propre VLAN voix tout en faisant passer les données de l’ordinateur dans un VLAN distinct sur le même câble.

Les VLAN transforment un commutateur physique unique en plusieurs réseaux logiques. Ils assurent la sécurité par l’isolation, les performances grâce à des domaines de diffusion plus petits et l’organisation en regroupant les appareils selon leur rôle. Chaque VLAN possède un identifiant, les ports sont affectés aux VLAN et un routeur les relie lorsque cela est nécessaire. Cette flexibilité explique pourquoi les VLAN sont présents dans presque tous les réseaux professionnels et occupent une place importante dans l’examen Network+.

Un VLAN divise logiquement un commutateur physique en réseaux distincts, chacun constituant son propre domaine de diffusion. Les VLAN améliorent la sécurité grâce à l’isolation, les performances en limitant les diffusions et l’organisation en regroupant les appareils selon leur rôle. Chaque VLAN possède un identifiant de VLAN numérique (de 1 à 4094, 1 étant la valeur par défaut), et les ports sont affectés aux VLAN. Les appareils de VLAN différents ont besoin d’un routeur pour communiquer. Les VLAN voix séparent le trafic téléphonique afin d’améliorer la qualité des appels.