Image by: Brett Sayles

Comprendre les VLAN et le standard 802.1Q

Selon une étude récente de IBM Security, 95% des violations de réseau pourraient être évitées par une segmentation efficace. Dans ce tutoriel technique, nous explorerons comment segmenter votre réseau local grâce aux VLAN (Virtual Local Area Networks) et au tagging 802.1Q. Les VLAN permettent de diviser un réseau physique en plusieurs domaines de diffusion logiques, isolant ainsi les flux sensibles comme les services financiers ou les systèmes IoT. Le protocole IEEE 802.1Q ajoute un tag de 4 octets dans l’en-tête Ethernet, contenant notamment le VLAN ID (VID) qui identifie le domaine virtuel. Cette segmentation améliore :

• La sécurité en limitant la propagation des attaques
• Les performances en réduisant le broadcast traffic
• La flexibilité d’administration

Les ports trunk transmettent des frames taggués entre switches, tandis que les ports access envoient du trafic non taggué vers les terminaux. Une étude de Cisco révèle que les réseaux segmentés réduisent de 45% les incidents de sécurité.

Fonctionnement du tagging 802.1Q

Lorsqu’une frame traverse un trunk port :

1. Le switch insère le tag 802.1Q entre l’adresse source et le champ EtherType
2. Le VID (12 bits) détermine l’appartenance au VLAN
3. Le switch destinataire retire le tag avant transmission au port d’accès

« L’implémentation correcte du 802.1Q est la fondation d’une segmentation réseau robuste » – Guide d’architecture réseau NIST SP 800-125

Création de VLAN sur switches Cisco

Configuration typique sur Cisco IOS avec un switch Catalyst 2960 :

1. Entrer en mode configuration globale : configure terminal
2. Créer le VLAN : vlan 10 suivi de name Finance
3. Configurer un port en mode accès :

   interface GigabitEthernet0/1
    switchport mode access
    switchport access vlan 10

4. Définir un trunk port :

   interface GigabitEthernet0/24
    switchport trunk encapsulation dot1q
    switchport mode trunk

Vérifiez avec show vlan brief et show interfaces trunk. Pour une sécurité renforcée, désactivez le VLAN 1 natif avec switchport trunk native vlan 999 et utilisez des VLANs dédiés pour la gestion.

Bonnes pratiques Cisco

• Limiter les VLAN autorisés sur les trunks avec switchport trunk allowed vlan 10,20,30
• Activer BPDU Guard sur les ports d’accès : spanning-tree bpduguard enable
• Désactiver les ports inutilisés : shutdown

Création de VLAN sur switches Juniper

Avec Junos OS (EX Series), la configuration utilise une approche hiérarchique :

set vlans Finance vlan-id 10
set interfaces ge-0/0/1 unit 0 family ethernet-switching vlan members Finance
set interfaces ge-0/0/24 unit 0 family ethernet-switching port-mode trunk
set interfaces ge-0/0/24 unit 0 family ethernet-switching vlan members [Finance Marketing]

Validez avec show vlans et show interfaces ge-0/0/24. Les switches Juniper utilisent par défaut le VLAN-Based mode de traitement des frames.

Comparatif des commandes VLAN

Configuration du routage inter-VLAN

Deux approches principales permettent la communication entre VLANs :

• Router-on-a-Stick : Un routeur physique avec sous-interfaces
• Switching de couche 3 : Utilisation d’un switch L3 intégrant les fonctions de routage

Configuration Cisco pour Router-on-a-Stick :

interface GigabitEthernet0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0

Avec un switch L3 Cisco, activez simplement le routage IP :

ip routing
interface Vlan10
 ip address 192.168.10.1 255.255.255.0

Sur Juniper, utilisez les IRB interfaces :

set interfaces irb unit 10 family inet address 192.168.10.1/24
set vlans Finance l3-interface irb.10

Appliquez des ACL (Access Control Lists) pour filtrer le trafic inter-VLAN et limiter les risques.

Table comparative des méthodes de routage

Sécurisation des ports d’accès avec Port Security

La fonction Port Security sur les switches Cisco bloque les appareils non autorisés :

interface GigabitEthernet0/1
 switchport port-security
 switchport port-security maximum 2
 switchport port-security violation restrict
 switchport port-security mac-address sticky

Options de violation : shutdown (désactive le port), restrict (bloque le trafic + log), protect (bloque silencieusement). Sur Juniper, configurez MAC Limiting :

set ethernet-switching-options secure-access-port interface ge-0/0/1 mac-limit 2 action drop

Complétez avec 802.1X pour une authentification basée sur certificats. Les meilleures pratiques incluent :

• Déployer DHCP Snooping pour prévenir les rogue DHCP servers
• Activer Dynamic ARP Inspection contre les empoisonnements ARP
• Implémenter NAC (Network Access Control) pour la conformité des terminaux

Conclusion

La segmentation réseau via les VLANs et le 802.1Q constitue une défense fondamentale contre les menches internes et les mouvements latéraux de malware. Comme démontré, l’implémentation combine : 1) La création logique de VLANs 2) Le routage inter-VLAN contrôlé 3) Le durcissement des ports d’accès. Les solutions Cisco et Juniper offrent des approches complémentaires avec des performances équivalentes en environnement professionnel. Pour aller plus loin, explorez nos guides avancés sur la micro-segmentation ou formez-vous aux dernières normes comme VXLAN pour les datacenters. Commencez dès aujourd’hui par auditer votre plan d’adressage et cartographiez vos flux sensibles – votre premier VLAN de sécurité pourrait bloquer demain une cyberattaque majeure.