En bref: Nous expliquons comment la division du réseau en VLAN renforce la sécurité et l'organisation de l'infrastructure IT.
Dans de nombreuses petites et moyennes entreprises, tous les appareils — ordinateurs des collaborateurs, imprimantes, caméras IP, téléphones, et parfois même le réseau invité — fonctionnent sur un seul réseau commun. C'est pratique au départ, mais à mesure que l'entreprise se développe, cela devient une source de problèmes de sécurité et de performance. Voici ce qu'est un VLAN et comment la segmentation permet d'organiser l'infrastructure réseau.
Qu'est-ce qu'un VLAN
Le VLAN (Virtual Local Area Network) est une méthode de division logique d'un réseau physique unique en plusieurs réseaux virtuels indépendants les uns des autres. Les appareils situés sur des VLAN différents ne se voient pas directement entre eux, même s'ils sont connectés au même commutateur — la communication entre eux doit passer par un routeur ou un pare-feu, où elle peut être contrôlée et filtrée. Techniquement, cela se fait par le marquage des trames réseau conformément à la norme 802.1Q, qui permet à un seul câble (dit trunk, ou lien agrégé) de transporter simultanément le trafic de plusieurs VLAN.
Les usages les plus courants en entreprise
- Réseau invité — les visiteurs et prestataires accèdent à Internet sans avoir accès aux ressources internes de l'entreprise, comme les serveurs ou les imprimantes réseau.
- Téléphonie VoIP — séparer le trafic voix des données réduit le risque de saturation du réseau et facilite la priorisation des appels vocaux.
- Caméras IP et systèmes de sécurité — l'isolation par rapport au réseau bureautique limite le risque qu'un appareil IoT mal sécurisé devienne une porte d'entrée vers le reste de l'infrastructure.
- Serveurs et ressources critiques — l'accès au service comptabilité ou à la salle serveur peut être limité exclusivement à certains VLAN, indépendamment de l'emplacement physique du poste concerné.
Ce qu'il faut pour mettre en œuvre la segmentation
La segmentation VLAN nécessite des commutateurs administrables prenant en charge la norme 802.1Q, ainsi qu'un routeur ou un pare-feu capable d'assurer le routage entre réseaux virtuels (routage inter-VLAN). Côté réseau sans fil, il faut en outre des points d'accès prenant en charge plusieurs SSID, chacun pouvant être associé à un VLAN différent — un seul appareil physique peut ainsi desservir simultanément le réseau de l'entreprise et le réseau invité, tout en conservant une séparation complète du trafic.
Règle pratique : plus le réseau comporte de types d'appareils différents — ordinateurs, téléphones, caméras, imprimantes, systèmes AV —, plus la segmentation VLAN apporte de bénéfices ; dans un petit réseau bureautique homogène, son absence se fait moins sentir.
Résumé
Les VLAN ne sont pas une option réservée aux grandes entreprises — c'est un outil d'organisation de base qui, pour un coût raisonnable, augmente significativement le niveau de sécurité et la clarté du réseau de l'entreprise. Il est préférable de prévoir la segmentation dès la conception du réseau, mais elle peut tout aussi bien être introduite sur une infrastructure déjà en service — il suffit alors de planifier avec soin l'ordre des changements pour ne pas interrompre l'activité de l'entreprise.
À lire aussi : Cisco