CCNA 200-301 · Commutation

Les VLANs (Virtual LAN)

Segmenter un réseau physique en réseaux logiques isolés : principe, avantages, numérotation et configuration des VLANs (data & voice).

Présentation des VLANs

Un VLAN (Virtual LAN), ou Réseau Local Virtuel, est une solution astucieuse qui permet de diviser un réseau Ethernet physique en plusieurs sous-réseaux logiquement distincts. Malgré leur partage d’une infrastructure physique unique, ces sous-réseaux agissent comme s’ils étaient séparés, offrant une isolation entre eux.

Pour mieux visualiser cela, imaginons une entreprise composée de trois départements : Secrétariat, Direction et Commercial. Dans un scénario traditionnel, pour isoler la communication de chaque groupe, l’administrateur aurait besoin de trois switchs distincts. Cette solution, non seulement coûteuse, manquerait également de flexibilité.

En revanche, avec la technologie VLAN, on peut obtenir cette séparation tout en économisant sur le matériel. Il suffirait simplement de créer trois VLANs distincts sur un switch :

• VLAN 10 pour le Secrétariat
• VLAN 20 pour la Direction
• VLAN 30 pour le Commercial

Grâce à cette configuration, les membres de chaque groupe peuvent communiquer librement entre eux au sein de leur VLAN respectif. Mais ils restent isolés des autres groupes, tout comme s’ils étaient connectés à des switchs physiques séparés.

Décryptage de la table CAM : prenons un moment pour plonger dans la mécanique de notre switch et examiner sa table CAM.

À la lecture de cette table, on note que chaque adresse MAC est associée à un VLAN spécifique. Pour que notre switch puisse acheminer efficacement une trame à son destinataire, il est impératif que l’expéditeur et le destinataire appartiennent au même VLAN.

La notion de VLAN : visibilité et marquage des trames

Lorsque deux PC sont branchés sur le même équipement et font partie du même VLAN, comment cela fonctionne-t-il en coulisse ? Les PC sont-ils conscients de leur appartenance à un VLAN ? Leurs trames sont-elles marquées (taguées) ?

Compréhension du VLAN pour les PC : les PC ou autres dispositifs finaux (imprimantes, serveurs) ne sont généralement pas au courant de leur appartenance à un VLAN. Pour eux, ils sont simplement connectés à un réseau. Le VLAN est transparent pour ces dispositifs et reste une abstraction au niveau du switch pour organiser et contrôler le trafic.

Tagging des trames dans un VLAN : lorsque deux PC du même VLAN communiquent entre eux et sont connectés au même switch, la trame n’a pas besoin d’être taguée. Le switch sait déjà à quel VLAN chaque port appartient. C’est seulement lorsque la trame doit quitter le switch pour aller vers un autre switch à travers un lien trunk que le marquage (ou tagging) devient nécessaire.

Les avantages des VLANs

Les réseaux d’entreprise modernes doivent être flexibles, sécurisés et faciles à gérer. Dans cette optique, les VLANs ont été introduits pour surmonter les défis posés par les grands domaines de diffusion traditionnels. Examinons leurs avantages distincts.

• Réduction de la surcharge CPU : les VLANs réduisent le nombre d’appareils qui reçoivent des trames de diffusion (broadcast), diminuant la charge de travail du CPU de chaque appareil.
• Amélioration de la sécurité : les VLANs limitent la diffusion de trames à un sous-ensemble d’appareils ; moins d’hôtes reçoivent des trames potentiellement nuisibles ou non pertinentes.
• Politiques de sécurité distinctes : vous pouvez appliquer des politiques différentes à chaque VLAN selon les exigences de chaque service.
• Conception plus flexible : regroupez les utilisateurs par département, fonction ou projet plutôt que par emplacement physique.
• Résolution de problèmes plus rapide : un incident est souvent limité au VLAN concerné, ce qui facilite le diagnostic.
• Réduction de la charge pour STP : en limitant un VLAN à un seul switch d’accès, vous réduisez la complexité du Spanning Tree Protocol.

Numérotation VLAN

Identifiant VLAN (VLAN ID) : chaque VLAN est identifié par un VLAN ID unique. Ce numéro sert à marquer le trafic Ethernet appartenant à un VLAN spécifique, surtout lorsqu’il traverse des liens transportant plusieurs VLANs. Il existe trois types de VLANs :

• Les VLANs 1 à 1001 sont les VLANs « normaux » et peuvent être utilisés pour n’importe quel type de trafic Ethernet.
• Les VLANs 1002 à 1005 sont réservés pour des raisons historiques (Token Ring, FDDI) et ne doivent pas être utilisés en Ethernet moderne.
• Les VLANs 1006 à 4094 sont les VLANs « étendus ».

VLAN par défaut

Le VLAN 1 est le VLAN par défaut sur la plupart des commutateurs : tous les ports en sont membres par défaut à l’initialisation. De nombreuses fonctions de gestion (CDP, VTP…) utilisent également le VLAN 1. Pour des raisons de sécurité, il est recommandé de ne pas utiliser le VLAN 1 pour le trafic des utilisateurs.

Affecter un VLAN

Il existe plusieurs méthodes pour affecter un VLAN à un port ou à un dispositif :

• Affectation statique : l’administrateur attribue manuellement un port à un VLAN. C’est la méthode la plus basique et la plus utilisée.
• Affectation dynamique : un serveur (RADIUS) assigne le VLAN selon des critères (adresse MAC, nom d’utilisateur).
• Affectation basée sur le protocole : le type de protocole (IP, IPX) détermine le VLAN.
• Affectation par Voix : pour les téléphones IP ; le trafic vocal est placé dans un VLAN dédié pour la qualité des appels.

Configuration VLAN

Configuration VLAN Voice

Port d’accès vs port trunk

Le routage inter-VLAN

Deux VLANs ne peuvent pas communiquer sans un équipement de couche 3 (routeur ou switch L3). Il existe trois méthodes :

• Routeur à interfaces séparées : une interface physique par VLAN — coûteux en ports, peu utilisé.
• Router-on-a-stick : un seul lien trunk vers le routeur, avec des sous-interfaces.
• Switch de couche 3 avec SVI : la solution la plus courante en entreprise.

Router-on-a-stick (sous-interfaces sur le routeur, port switch en trunk) :

R(config)# interface g0/0.10
R(config-subif)# encapsulation dot1Q 10
R(config-subif)# ip address 192.168.10.1 255.255.255.0
R(config)# interface g0/0.20
R(config-subif)# encapsulation dot1Q 20
R(config-subif)# ip address 192.168.20.1 255.255.255.0

Switch de couche 3 avec SVI (ne pas oublier ip routing) :

SW(config)# ip routing
SW(config)# interface vlan 10
SW(config-if)# ip address 192.168.10.1 255.255.255.0
SW(config)# interface vlan 20
SW(config-if)# ip address 192.168.20.1 255.255.255.0

Les commandes de vérification

SW# show vlan brief
SW# show interfaces trunk
SW# show interfaces fa0/1 switchport
SW# show vlan id 10

Les pièges de l’examen

• Chaque VLAN = 1 domaine de broadcast = 1 sous-réseau IP.
• Router-on-a-stick : sous-interfaces + encapsulation dot1Q <id> + port switch en trunk.
• Pour un switch L3 : ne pas oublier ip routing.
• VLAN 1 = VLAN par défaut ; éviter de l’utiliser pour les données ou la gestion.
• show interfaces trunk pour vérifier les VLANs autorisés et le VLAN natif.

Questions fréquentes sur les VLAN