Sur un réseau local classique, tous les équipements partagent le même domaine de diffusion. Un poste qui envoie une requête broadcast touche chaque machine connectée au switch, même celles qui n’ont rien à voir avec l’échange. Quand le réseau grandit, ce bruit de fond ralentit les flux et expose des ressources qui devraient rester cloisonnées. Le VLAN répond exactement à ce problème en découpant un switch physique en plusieurs segments logiques indépendants.
VLAN et domaine de broadcast : le mécanisme que le câblage seul ne règle pas
Dans un LAN traditionnel, chaque trame broadcast (requête ARP, découverte DHCP) est relayée à tous les ports du switch. Plus le nombre d’équipements augmente, plus ce trafic parasite consomme de bande passante. Ajouter un second switch ne change rien si les deux restent dans le même domaine de diffusion.
Un VLAN crée une frontière logique à l’intérieur du switch. Les ports assignés au VLAN 10 ne reçoivent que les broadcasts du VLAN 10. Chaque VLAN forme son propre domaine de broadcast, comme s’il s’agissait de switches physiquement séparés. Le câblage reste identique, mais le comportement du réseau change radicalement.
Ce découpage se fait au niveau de la couche 2 (liaison de données) du modèle OSI. Le switch lit l’identifiant VLAN dans la trame Ethernet et oriente le trafic vers les ports concernés. Aucun routeur n’intervient à ce stade, ce qui rend la segmentation rapide à mettre en place et peu coûteuse en matériel.
Configuration VLAN sur un switch : ports access et trunk
Deux modes de ports coexistent sur un switch compatible VLAN. Comprendre leur rôle évite la majorité des erreurs de configuration.
Port access : un équipement, un VLAN
Un port configuré en mode access appartient à un seul VLAN. Le poste branché dessus ignore qu’un VLAN existe : le switch ajoute et retire le tag VLAN de façon transparente. Ce mode convient à tout équipement terminal (PC, imprimante, téléphone IP, capteur IoT).
La commande type sur un switch Cisco ressemble à ceci :
- interface GigabitEthernet0/1 pour sélectionner le port physique
- switchport mode access pour définir le mode
- switchport access vlan 20 pour rattacher ce port au VLAN 20
Sur d’autres constructeurs, la logique reste la même : on associe un numéro de VLAN à un port physique.
Port trunk : faire transiter plusieurs VLAN entre switches
Quand deux switches doivent partager les mêmes VLAN, un lien trunk transporte les trames de plusieurs VLAN sur un seul câble. Chaque trame reçoit un tag (étiquette 802.1Q) qui indique à quel VLAN elle appartient. Le switch distant lit ce tag, puis envoie la trame uniquement sur les ports access du VLAN correspondant.
Un trunk mal configuré laisse passer tous les VLAN par défaut. Restreindre la liste des VLAN autorisés sur chaque trunk est une bonne pratique de sécurité et de gestion des flux.
Topologie VLAN en entreprise : séparer les flux sans multiplier le matériel
Vous avez déjà remarqué qu’un réseau d’entreprise mélange des usages très différents ? Postes bureautiques, téléphones IP, bornes Wi-Fi invités, automates industriels. Sans VLAN, tous ces équipements communiquent librement au niveau Ethernet.
La segmentation par VLAN permet de créer des périmètres adaptés à chaque usage :
- Un VLAN dédié à la téléphonie IP isole le trafic voix et préserve la qualité des appels
- Un VLAN invités empêche les visiteurs d’accéder aux serveurs internes
- Un VLAN administration restreint l’accès aux interfaces de gestion des switches et routeurs
- Un VLAN OT/IoT cantonne les automates et capteurs dans un segment séparé du réseau bureautique
Chaque VLAN possède généralement son propre sous-réseau IP. Pour que deux VLAN communiquent, un routeur ou un switch de couche 3 doit assurer le routage inter-VLAN. Ce point de passage devient l’endroit idéal pour appliquer des listes de contrôle d’accès (ACL) qui filtrent les flux autorisés entre segments.
VLAN et sécurité réseau : une brique nécessaire, pas suffisante
La segmentation VLAN réduit la surface d’attaque. Si un poste du VLAN invités est compromis, l’attaquant reste confiné dans ce domaine de broadcast. Il ne voit pas les trames des autres VLAN.
Cette isolation a des limites. Un VLAN ne remplace pas un pare-feu ni une politique de contrôle d’accès. Un attaquant qui obtient un accès au trunk peut injecter des trames taggées vers un autre VLAN (attaque dite VLAN hopping). Pour s’en prémunir, il faut désactiver le protocole DTP (Dynamic Trunking Protocol) sur les ports access et ne jamais utiliser le VLAN natif par défaut (VLAN 1) pour du trafic de production.
Dans les environnements industriels, le référentiel IEC 62443 classe le VLAN comme mécanisme adapté à un niveau de sécurité basique (SL1). Ce cadre exige des politiques d’accès explicites et documentées entre VLAN, notamment pour les échanges entre sous-systèmes SCADA, MES et historiens. Les ACL inter-VLAN deviennent non optionnelles dans les architectures conformes à ces exigences normatives.
Planifier ses VLAN : trois questions avant de toucher à la config
Avant d’ouvrir la console du switch, posez-vous ces questions :
Quels flux doivent être isolés les uns des autres ? La réponse détermine le nombre de VLAN. Trop peu de VLAN laissent des segments trop larges. Trop de VLAN compliquent l’administration et multiplient les règles de routage inter-VLAN.
Quels switches doivent partager quels VLAN ? Cette cartographie définit les liens trunk et les VLAN autorisés sur chacun. Documenter cette information dans un schéma de topologie évite les surprises lors d’un dépannage.
Qui administre les VLAN et comment ? Un VLAN d’administration séparé, accessible uniquement depuis des postes identifiés, protège les interfaces de gestion des équipements réseau. Séparer le VLAN de gestion du VLAN de production est un principe de base souvent négligé sur les petits réseaux.
Le VLAN reste le premier outil de structuration d’un réseau local. Sa mise en place ne demande ni matériel supplémentaire ni licence logicielle, juste un switch compatible et une planification claire. Les architectures plus avancées (microsegmentation, SDN, zero trust) s’appuient toutes sur cette brique de départ pour affiner le contrôle des flux.
