Ports d’accès et liaisons de jonction

Une fois les VLAN en place, les ports de commutateur se répartissent en deux grandes catégories : les ports d’accès et les ports de jonction. Un port d’accès transporte le trafic d’un seul VLAN et se connecte aux appareils terminaux. Un port de jonction transporte simultanément le trafic de plusieurs VLAN et relie les commutateurs entre eux. Connaître cette différence est essentiel pour construire un réseau VLAN à plusieurs commutateurs, et c’est un sujet très apprécié aux examens.

Un port d’accès appartient à un seul VLAN exactement. Vous y branchez un appareil terminal — un PC, une imprimante ou un téléphone — qui se retrouve alors dans le VLAN affecté. L’appareil ignore l’existence des VLAN ; il envoie et reçoit simplement des trames normales. Le commutateur associe discrètement tout ce qui se trouve sur ce port à son VLAN unique. La plupart des ports d’un bâtiment sont des ports d’accès.

Un port de jonction transporte le trafic de plusieurs VLAN sur une seule liaison. Les jonctions relient généralement un commutateur à un autre, ou un commutateur à un routeur. Comme plusieurs VLAN partagent la jonction, le commutateur doit étiqueter chaque trame avec son identifiant de VLAN afin que l’autre extrémité sache où elle appartient. Sans jonctions, il faudrait un câble distinct par VLAN entre les commutateurs, ce qui serait peu pratique.

Comment une jonction distingue-t-elle les VLAN ? Grâce à l’étiquetage 802.1Q, la norme d’étiquetage des VLAN. Lorsqu’une trame entre dans la jonction, le commutateur insère une petite étiquette contenant l’identifiant du VLAN. Le commutateur récepteur lit cette étiquette, identifie le VLAN de la trame, puis retire l’étiquette avant de transmettre la trame à un port d’accès. L’étiquetage permet à un seul câble de transporter plusieurs VLAN en toute sécurité.

Une jonction possède un VLAN natif dont le trafic traverse la jonction sans étiquette. Par défaut, il s’agit du VLAN 1. Toute trame qui arrive sur la jonction sans étiquette est considérée comme appartenant au VLAN natif. Pour des raisons de sécurité, les administrateurs changent souvent le VLAN natif afin qu’il ne soit plus le VLAN 1 et vérifient que les deux extrémités de la jonction utilisent la même configuration, car une incohérence peut provoquer une fuite de trafic entre les VLAN.

La configuration d’un port d’accès est simple : définissez le port comme port d’accès et affectez-lui son VLAN. L’exemple ci-dessous montre un port placé dans le VLAN 20 pour le PC d’un utilisateur. Tout appareil qui y est branché rejoint le VLAN 20. Les ports d’accès sont les points terminaux du système VLAN, où les appareils ordinaires se connectent sans avoir à comprendre l’étiquetage.

Une jonction est configurée pour transporter les VLAN qui doivent circuler entre les commutateurs. L’exemple définit un port comme jonction et le limite à deux VLAN. Restreindre les VLAN autorisés sur une jonction est une bonne pratique : cela réduit la propagation des diffusions et limite l’exposition si un VLAN ne doit pas atteindre un commutateur donné.

Imaginez trois commutateurs hébergeant chacun les VLAN 10, 20 et 30. Avec des jonctions, un seul câble entre les commutateurs transporte les trois VLAN, en les étiquetant pour que chacun reste séparé. Sans jonctions, il faudrait trois câbles par paire de commutateurs. Les jonctions permettent aux VLAN de s’étendre à tout un bâtiment ou un campus tout en conservant un câblage simple.

Un cas particulier combine les deux concepts : un téléphone IP auquel est connecté un PC. Le port fonctionne principalement comme un port d’accès pour le VLAN de données du PC, mais il étiquette aussi le trafic vocal pour un VLAN voix distinct. Un seul câble peut ainsi transporter les données PC non étiquetées et la voix téléphonique étiquetée, une configuration courante qui combine sur un même port un fonctionnement de type accès et de type jonction.

Deux erreurs fréquentes se distinguent. Premièrement, oublier d’autoriser un VLAN sur une jonction, ce qui empêche les appareils de ce VLAN d’atteindre un autre commutateur. Deuxièmement, une incohérence de VLAN natif, lorsque les deux extrémités ne s’accordent pas sur le VLAN non étiqueté, ce qui entraîne des problèmes de connectivité étranges ou des risques de sécurité. Lorsque le trafic VLAN échoue mystérieusement entre des commutateurs, vérifiez d’abord la liste des VLAN autorisés sur la jonction et le VLAN natif.

Retenez les rôles : les ports d’accès relient les appareils terminaux et transportent un seul VLAN ; les ports de jonction relient les commutateurs et transportent plusieurs VLAN au moyen d’étiquettes 802.1Q, avec un VLAN natif non étiqueté. Les ports d’accès sont les portes par lesquelles passent les appareils ; les jonctions sont les autoroutes entre les commutateurs. Ensemble, ils permettent aux VLAN de s’étendre proprement et en toute sécurité sur un réseau de toute taille.

Testez vos connaissances sur les ports.

Les ports de commutateur sont des ports d’accès ou des ports trunk. Un port d’accès connecte un appareil terminal et transporte un seul VLAN. Un port trunk connecte des commutateurs et transporte plusieurs VLAN, en utilisant le marquage 802.1Q pour indiquer le VLAN de chaque trame. Un trunk possède un VLAN natif qui circule sans marquage (VLAN 1 par défaut). Les trunks permettent aux VLAN de s’étendre sur plusieurs commutateurs avec un câblage simple. En cas de dysfonctionnement des trunks, vérifiez les VLAN non autorisés et les incohérences de VLAN natif.