Le rôle des VLANs¶

1. Objectif du cours¶

Comprendre la finalité des VLANs, leur fonctionnement logique sur une infrastructure commutée, la norme IEEE 802.1Q et les principaux types de VLANs rencontrés (notamment chez Cisco). Savoir relier VLANs et sous-réseaux et connaître les contraintes matérielles.

2. Notions et définitions essentielles¶

VLAN (Virtual Local Area Network) : segmentation logique d'un réseau physique permettant de créer plusieurs domaines de broadcast indépendants.
IEEE 802.1Q : norme qui insère une étiquette de 4 octets (32 bits) dans la trame Ethernet ; 12 bits sont réservés pour l'identifiant de VLAN. La modification de la trame implique un recalcul du CRC/FCS.
Types de trafic LAN : unicast (un hôte), broadcast (tous les hôtes), multicast (un groupe d'hôtes).
Port access : port de commutateur associé à un seul VLAN, ne place pas d'étiquette sur les trames des hôtes.
Port trunk : transporte le trafic de plusieurs VLANs entre équipements (commutateurs, routeurs, serveurs) et ajoute des étiquettes 802.1Q ; le VLAN natif transporte le trafic non balisé.
VLAN natif : VLAN affecté aux trames non étiquetées d'un trunk ; certains protocoles de couche 2 transitent par ce VLAN.
VLANs types (Cisco) : VLAN 1 (par défaut), VLAN utilisateur, VLAN de gestion, VLAN natif, VLAN vocal (voice), VLANs réservés (1002–1005).

3. Fonctionnement et principes¶

Un VLAN représente un LAN logique sur une infrastructure physique commutée : les hôtes d’un même VLAN partagent un plan d’adressage (même sous-réseau) et reçoivent les broadcasts du VLAN uniquement.
IEEE 802.1Q insère une étiquette de 4 octets dans la trame Ethernet pour identifier le VLAN d’origine ; cela permet au trunk de transporter simultanément plusieurs VLANs sur une même liaison physique.
Le switch utilise sa table de commutation (MAC Address Table) pour acheminer le trafic unicast via le port approprié ; il propage les broadcasts et multicast à tous les ports du VLAN concerné.
La segmentation par VLAN réduit la taille des domaines de broadcast et améliore la sécurité ; la communication inter-VLAN nécessite un routage ou des règles (ACL) sur un routeur/pare-feu.
Matériel : la possibilité de créer et gérer plusieurs VLANs dépend des capacités du switch ; les switches « tout public » ne permettent pas toujours la configuration de VLANs avancés, d’où l’usage de switches professionnels.

4. Commandes et manipulations¶

Non abordé dans ce cours

5. Sécurité et bonnes pratiques¶

Éviter d’utiliser le VLAN 1 pour le trafic utilisateur : VLAN 1 est le VLAN par défaut et contient des protocoles de contrôle (CDP, VTP, PAgP, DTP) — l’utiliser comme VLAN de production crée une faille potentielle.
Définir un VLAN de gestion distinct et lui attribuer une adresse IP pour accéder aux capacités d’administration du commutateur.
Si le VLAN natif est modifié, appliquer la modification sur toutes les liaisons trunk de l’infrastructure afin d’éviter des incohérences et des problèmes de sécurité/interopérabilité.
Préférer des switches professionnels pour la mise en place de VLANs et la gestion des fonctions réseau avancées.

6. Points essentiels à retenir pour le TSSR¶

Un VLAN = LAN logique ; il isole les domaines de broadcast et regroupe des hôtes partageant un même sous-réseau.
IEEE 802.1Q insère une étiquette de 4 octets dans la trame ; 12 bits servent pour l’ID VLAN (valeurs possibles utiles jusqu’à 4094).
Port access : un seul VLAN, pas d’étiquetage. Port trunk : plusieurs VLANs, étiquetage 802.1Q ; VLAN natif = trafic non étiqueté.
VLAN 1 est le VLAN par défaut sur tous les ports et ne peut pas être supprimé ; il transporte des protocoles de contrôle de couche 2.
VLANs réservés : 1002 à 1005 (utilisés pour FDDI/token ring) ; plages utilisables mentionnées dans le document.
Un VLAN doit correspondre à un plan d’adressage (sous-réseau) pour permettre la communication entre ses hôtes.
Le routage ou des ACL sont nécessaires pour la communication entre VLANs distincts.
VLAN voice : configuré pour le trafic vocal, se met via un port access qui crée un « mini-trunk » vers un téléphone IP et bénéficie généralement d’une priorité.
Toujours adapter la configuration du VLAN natif sur toutes les liaisons trunk si modifiée.

7. Tableau récapitulatif¶

Élément	Rôle / caractéristique	Exemple / contrainte
VLAN	Segmentation logique, domaine de broadcast	Hôtes d’un même VLAN partagent un sous-réseau
IEEE 802.1Q	Étiquette 4 octets insérée dans la trame	12 bits pour l’ID VLAN, recalcul du FCS
Port access	Un seul VLAN, pas d’étiquette	Connecte postes, serveurs ou téléphones IP
Port trunk	Plusieurs VLANs, ajout d’étiquettes	Transport entre commutateurs/routeurs
VLAN 1 vs VLAN réservé	VLAN 1 = défaut et omniprésent ; 1002–1005 réservés	Ne pas utiliser VLAN1 pour trafic utilisateur

8. Vérifications pratiques¶

Vérifier que les hôtes connectés au même VLAN ont un plan d’adressage commun (même sous-réseau) — le document montre des exemples 192.168.10.0/24, 192.168.20.0/24, etc.
Constater que les broadcasts restent confinés au VLAN concerné (réduction du domaine de broadcast).
S’assurer que les protocoles de contrôle (CDP, VTP, PAgP, DTP) transitent via le VLAN natif (et que tout changement du VLAN natif est synchronisé sur tous les trunks).
Confirmer que le VLAN 1 est présent par défaut et qu’il n’est pas supprimable.

9. Flashcards Anki¶

Qu'est-ce qu'un VLAN ? :: Une segmentation logique d'un réseau créant des domaines de broadcast indépendants. Quelle norme ajoute une étiquette à la trame pour identifier le VLAN ? :: IEEE 802.1Q. Quelle est la taille de l'étiquette 802.1Q insérée dans la trame ? :: 4 octets (32 bits). Combien de bits sont réservés pour l'ID VLAN dans 802.1Q ? :: 12 bits. Quel type de trafic un switch propage à tous les ports du VLAN d'origine ? :: Broadcast et multicast. Que fait un port access ? :: Transporte le trafic d'un unique VLAN sans ajouter d'étiquette. Que fait un port trunk ? :: Transporte plusieurs VLANs et ajoute des étiquettes 802.1Q. Quel est le rôle du VLAN natif sur un trunk ? :: Placer le trafic non balisé sur le VLAN natif. Pourquoi éviter d'utiliser VLAN 1 pour les utilisateurs ? :: Il est le VLAN par défaut et contient des protocoles de contrôle, créant une faille potentielle. Quelles plages de VLAN sont réservées (non exploitables) selon le document ? :: VLANs 1002 à 1005.