VLAN, trunk et réseau invité

1. Ce qu'il faut savoir

Un VLAN divise logiquement un réseau physique en plusieurs réseaux distincts, sans câblage supplémentaire. Le trunk 802.1Q permet de faire transiter plusieurs VLAN sur un seul lien entre équipements.

2. Définitions essentielles

• VLAN (Virtual LAN) : réseau local virtuel, qui segmente logiquement un réseau physique en plusieurs domaines de broadcast distincts.
• Port access : port de switch qui n'appartient qu'à UN SEUL VLAN, généralement celui où se connecte un appareil final (PC, imprimante...).
• Port trunk : port qui transporte PLUSIEURS VLAN simultanément entre deux équipements (typiquement entre deux switches, ou switch-routeur).
• 802.1Q : norme qui définit le marquage (tagging) des trames pour identifier à quel VLAN chacune appartient sur un lien trunk.
• Réseau invité : VLAN dédié aux visiteurs, isolé du réseau interne pour des raisons de sécurité.

3. Notions principales

• Sans VLAN, tous les appareils d'un même switch partagent le même domaine de broadcast (voir MC23), même si l'entreprise voudrait les séparer logiquement (comptabilité, production, invités...).
• Un port access appartient à un seul VLAN : les trames qui en sortent ne sont pas marquées (l'appareil final ne sait rien du VLAN).
• Un port trunk transporte plusieurs VLAN en ajoutant une étiquette 802.1Q à chaque trame, pour que l'équipement de l'autre côté sache à quel VLAN elle appartient.
• Un réseau invité en VLAN séparé empêche les visiteurs d'accéder aux ressources internes, tout en leur donnant un accès Internet.

4. Procédure / méthode

Mettre en place un cas simple : (1) créer les VLAN nécessaires sur le switch (ex. VLAN 10 = interne, VLAN 20 = invités) ; (2) configurer les ports des appareils finaux en mode access sur le bon VLAN ; (3) configurer en trunk le port reliant deux switches (ou switch et routeur) pour que les deux VLAN puissent y transiter ; (4) vérifier l'isolation entre VLAN si voulue.

5. Exemple concret

Un ordinateur branché sur un port configuré par erreur en VLAN invité au lieu du VLAN interne n'aura accès qu'à Internet, pas aux ressources internes (serveurs, imprimantes internes) — un cas fréquent d'erreur de configuration de port à vérifier en priorité.

6. Pièges fréquents

• Brancher un appareil final sur un port trunk par erreur (il ne comprendra pas les trames marquées 802.1Q).
• Oublier de configurer le port trunk entre deux switches, coupant la communication d'un VLAN entre eux.
• Mélanger réseau invité et réseau interne sur le même VLAN par erreur de configuration.

À retenir