VLAN : segmenter son réseau d'entreprise

Un VLAN (Virtual Local Area Network) est un réseau local virtuel. Défini par la norme IEEE 802.1Q, il découpe les mêmes switchs et le même câblage en plusieurs réseaux logiques séparés : un pour les bureaux, un pour les caméras, un pour les invités. Les machines de VLAN différents ne communiquent plus que par un routeur ou un pare-feu, qui peut filtrer ce qui passe. À condition d'avoir des switchs administrables, c'est un moyen efficace de renforcer la sécurité sans doubler le câblage.

Pourquoi segmenter votre réseau ?

Sécurité par isolation

Si un ordinateur de bureau est infecté, le logiciel malveillant ne peut pas atteindre directement les caméras ni le serveur s'ils sont dans d'autres VLAN. Pour les joindre, il doit traverser le pare-feu, qui peut refuser. La segmentation limite les dégâts d'un incident ; elle ne remplace pas un antivirus ni des mises à jour.

Contrôle du trafic

Vous décidez qui parle à qui :

• Les caméras ne dialoguent qu'avec l'enregistreur, pas avec les ordinateurs.
• Les invités accèdent à Internet, pas à vos données internes.
• Le serveur n'a pas d'accès sortant à Internet, sauf ce que vous autorisez (par exemple ses mises à jour).

Moins de câblage

Plutôt que de tirer un réseau physique par usage, vous utilisez les mêmes switchs et les mêmes câbles, et vous séparez les usages par VLAN. Pour le câblage lui-même, voir le prix d'un point RJ45 et Cat6 ou Cat6A.

Comment fonctionne un VLAN

• Port d'accès (access) : le port appartient à un seul VLAN. L'appareil branché (PC, caméra, imprimante) n'a rien à configurer, il ignore l'existence du VLAN.
• Port trunk : le port transporte plusieurs VLAN à la fois, par exemple entre deux switchs, vers le pare-feu ou vers une borne Wi-Fi. Chaque trame porte alors une étiquette (tag) 802.1Q de 4 octets, qui contient le numéro de VLAN sur 12 bits. Les numéros utilisables vont de 1 à 4094.
• VLAN natif : sur un trunk, c'est le VLAN dont les trames circulent sans étiquette. Les deux extrémités du trunk doivent être d'accord. Évitez d'y mettre le VLAN 1 ou un VLAN utilisé : réservez un VLAN inutilisé (voir les limites plus bas).
• Routage entre VLAN : seul un équipement de niveau 3 fait passer le trafic d'un VLAN à l'autre. Soit le pare-feu, qui reçoit tous les VLAN par un trunk et porte une adresse de passerelle par VLAN. Soit un switch de niveau 3, mais alors, s'il route sans règles de filtrage, la segmentation ne protège plus rien.
• Switch administrable obligatoire : un switch non administrable (sans interface de configuration) ne gère pas les VLAN.

Exemple d'une PME

Prenons une agence de 15 personnes. Chaque VLAN a son sous-réseau, avec le pare-feu comme passerelle :

Sur un switch administrable de 24 ports avec PoE, l'affectation des ports pourrait être :

Le point d'accès émet un réseau Wi-Fi interne rattaché au VLAN 10 et un réseau invités rattaché au VLAN 40. Certaines bornes veulent une adresse de gestion non étiquetée : vérifiez la documentation de la vôtre. Les caméras PoE demandent un switch dont le budget PoE couvre leur consommation : voir caméra Wi-Fi ou filaire PoE et le prix d'une installation IP en PoE.

Pour des caméras analogiques ou HDCVI reliées à un XVR en coaxial, il n'y a rien à mettre en VLAN côté caméras : seul le port réseau du XVR est concerné (voir caméra IP ou analogique). Certains enregistreurs à ports PoE intégrés placent déjà les caméras sur un réseau interne distinct.

Règles de pare-feu entre VLAN

Les règles sont lues dans l'ordre : la première qui correspond s'applique. Un pare-feu à état laisse revenir les réponses aux connexions autorisées, il est donc inutile de créer la règle inverse.

Si l'enregistreur doit se synchroniser sur une horloge Internet ou être consulté à distance, autorisez-le seul vers Internet ou, mieux, passez par un VPN (voir aussi accès à distance aux caméras). La réglementation interdit la connexion à internet des systèmes de vidéosurveillance des structures publiques et de celles dont les caméras filment l'espace ouvert au public (décret exécutif n° 09-410 modifié par le décret n° 16-61, art. 20 bis) ; vérifiez votre situation avant d'ouvrir l'accès à distance.

Comment mettre en place des VLAN

Étape 1 : auditer l'existant

Notez :

• Vos switchs et votre routeur ou pare-feu sont-ils administrables et gèrent-ils le 802.1Q ? C'est un point de la fiche constructeur. La boutique référence par exemple le GENATA GNT-P5428GC, un switch 24 ports Gigabit PoE décrit comme « manageable L2+ », à 65 000 DA HT (prix de la boutique asloitech.com au 06/11/2026, selon disponibilité). Vérifiez la prise en charge du 802.1Q sur la fiche avant achat, et retrouvez les autres équipements dans la rubrique réseau de la boutique.
• Ce qui est branché au réseau : ordinateurs, serveurs, caméras, imprimantes, bornes Wi-Fi.
• Les données ou appareils sensibles qui justifient une isolation.

Étape 2 : planifier les VLAN

• Un VLAN par usage réellement distinct (bureaux, serveurs, caméras, invités).
• Un numéro par VLAN. Une convention simple : 10, 20, 30, 40, avec un sous-réseau dont le troisième nombre est le numéro du VLAN (192.168.10.0/24 pour le VLAN 10).
• Un VLAN de gestion (par exemple le VLAN 99) pour l'administration des switchs et des bornes, joignable seulement depuis le poste de l'administrateur.

Étape 3 : configurer le switch

Voici deux exemples, à adapter à votre matériel et à tester avant la mise en production. Le premier concerne MikroTik, une des deux marques de pare-feu que nous fournissons ; le second, Cisco IOS, sert de point de comparaison.

MikroTik RouterOS 7 (switch avec filtrage VLAN), d'après la documentation de MikroTik. ether1 est le trunk vers le pare-feu, ether2 et ether3 sont des ports d'accès du VLAN 10, ether4 un port d'accès du VLAN 20, et le VLAN 99 sert à la gestion :

``` /interface bridge add name=bridge1 frame-types=admit-only-vlan-tagged

/interface bridge port add bridge=bridge1 interface=ether1 frame-types=admit-only-vlan-tagged add bridge=bridge1 interface=ether2 pvid=10 frame-types=admit-only-untagged-and-priority-tagged add bridge=bridge1 interface=ether3 pvid=10 frame-types=admit-only-untagged-and-priority-tagged add bridge=bridge1 interface=ether4 pvid=20 frame-types=admit-only-untagged-and-priority-tagged

/interface bridge vlan add bridge=bridge1 tagged=ether1 vlan-ids=10 add bridge=bridge1 tagged=ether1 vlan-ids=20 add bridge=bridge1 tagged=ether1,bridge1 vlan-ids=99

/interface vlan add interface=bridge1 vlan-id=99 name=MGMT /ip address add address=192.168.99.2/24 interface=MGMT

# En dernier : activer le filtrage VLAN /interface bridge set bridge1 vlan-filtering=yes ```

Activez le filtrage VLAN en dernier, depuis un accès de secours : une erreur sur le VLAN de gestion ou sur le trunk coupe l'accès au switch.

Switch Cisco IOS (exemple de syntaxe, à titre de comparaison) :

`` vlan 10 name BUREAUX vlan 20 name SERVEUR vlan 30 name CAMERAS vlan 40 name INVITES vlan 999 name NATIF-INUTILISE ! interface GigabitEthernet0/1 switchport mode access switchport access vlan 10 ! interface GigabitEthernet0/24 description Vers le pare-feu switchport trunk allowed vlan 10,20,30,40 switchport trunk native vlan 999 switchport mode trunk switchport nonegotiate ``

Sur certains modèles, il faut saisir switchport trunk encapsulation dot1q avant switchport mode trunk. Les switchs D-Link et GENATA se configurent par leur interface web, avec les mêmes notions : VLAN, ports d'accès, ports trunk.

Étape 4 : adresses IP et DHCP

Chaque VLAN a son propre sous-réseau, et le pare-feu porte l'adresse de passerelle de chacun. Ce pare-feu peut être un MikroTik ou un Fortinet FortiGate, les deux marques que nous fournissons et installons. Pour le DHCP, deux options : un serveur DHCP par VLAN sur le pare-feu, ou un serveur central avec un relais DHCP sur chaque interface VLAN. Donnez des adresses fixes aux équipements qu'on doit retrouver (serveur, enregistreur, imprimante, bornes).

Étape 5 : écrire les règles de pare-feu

Reprenez le tableau de règles ci-dessus. Terminez par un refus de tout le reste, et journalisez les refus pendant les premiers jours pour repérer un flux légitime oublié.

Étape 6 : tester

Faites ces essais à la mise en service ; AsloTech les réalise dans le cadre des essais de recette :

• Un poste du VLAN 10 atteint-il le serveur du VLAN 20 ? Oui, sur les services autorisés seulement.
• Un poste du VLAN 10 non autorisé atteint-il l'enregistreur ? Non.
• Une caméra atteint-elle Internet ? Non. Branchez un portable temporaire sur un port caméra pour le vérifier.
• Un téléphone sur le Wi-Fi invité atteint-il Internet, mais aucune adresse interne, ni l'interface d'administration du pare-feu ? Oui pour Internet, non pour le reste.

Bonnes pratiques

• Documentez : un tableau avec numéro, nom, sous-réseau, passerelle et ports de chaque VLAN.
• Nommez : « VLAN 10 - Bureaux » se comprend, « VLAN 10 » seul non.
• Commencez simple : un VLAN par usage distinct. Chaque VLAN ajouté crée des règles à écrire, tester et maintenir.
• N'utilisez pas le VLAN 1 pour vos appareils et choisissez un VLAN natif inutilisé.
• Désactivez les ports inutilisés du switch.
• Sauvegardez la configuration du switch et du pare-feu après chaque modification (voir la règle 3-2-1).
• Gardez un accès de secours avant de modifier le trunk par lequel vous êtes connecté.
• Téléphones IP : un VLAN voix avec priorité de trafic est courant (voir standard téléphonique IP ou analogique).

Limites des VLAN

Un VLAN n'est pas une solution magique :

• Pas de chiffrement : le trafic d'un VLAN circule en clair sur le câble. Une personne qui s'y branche physiquement peut l'écouter.
• Pas d'authentification par défaut : quiconque branche un ordinateur sur un port d'accès du VLAN 10 entre dans ce VLAN. Désactivez les ports libres et, selon le switch, utilisez l'authentification 802.1X ou le verrouillage des ports (port security).
• Dépend des règles de filtrage : une règle « tout autoriser » entre VLAN annule la segmentation. Un switch de niveau 3 qui route sans règles aussi.
• Attaques de saut de VLAN (VLAN hopping) : par négociation d'un trunk (switch spoofing) ou par double étiquetage via le VLAN natif. On s'en protège en fixant les ports d'accès en mode accès, en désactivant la négociation de trunk et en utilisant un VLAN natif inutilisé.
• Aucune protection à l'intérieur d'un VLAN : un poste infecté atteint les autres postes du même VLAN.

Combinez les VLAN avec un pare-feu bien réglé et un Wi-Fi invité sécurisé. Pour choisir l'équipement qui fera la passerelle, voir MikroTik, Fortinet ou Cisco.

Prochaines étapes

Consultez notre page sécurité réseau et pare-feu pour une étude de votre réseau, et notre page vidéosurveillance si les caméras sont votre premier besoin d'isolation. Vous pouvez aussi lire comment sécuriser votre Wi-Fi invité pour ajouter un VLAN d'invités, ou pourquoi un pare-feu est indispensable pour définir les règles entre VLAN. Pour ranger switchs et pare-feu, voir baie de brassage.

Questions fréquentes

À lire aussi