On branche une vingtaine de postes sur un switch, on lance un broadcast, et tout le monde le reçoit. Serveurs de paie, imprimantes, postes stagiaires : même domaine de diffusion, même exposition. C’est exactement ce scénario qui pousse à définir des VLAN dans la configuration du switch pour découper le trafic avant qu’il ne pose problème.
Ce que produit la commande vlan define sur un switch
Sur un commutateur Cisco (ou compatible IOS), taper vlan 10 en mode configuration globale crée une entrée dans la base de données VLAN du switch. Cette entrée porte un identifiant numérique (le VLAN ID) et, facultativement, un nom lisible via la commande name.
Concrètement, le switch ajoute une ligne dans sa table interne (visible avec show vlan brief). Tant qu’aucun port n’est associé à ce VLAN, il existe mais ne transporte rien. C’est un conteneur logique vide.
La numérotation va de 1 à 4094. Le VLAN 1 est le VLAN par défaut : tous les ports y sont rattachés à la sortie d’usine. Les VLAN 1002 à 1005 sont réservés aux protocoles hérités (Token Ring, FDDI). En pratique, on travaille entre 2 et 1001 sur la plupart des plates-formes de campus.
Affecter un port en mode access ou trunk
Créer le VLAN ne suffit pas. Il faut ensuite dire au switch quels ports appartiennent à quel réseau logique. Deux modes coexistent sur chaque interface physique.
Port access : un VLAN, un port
On passe l’interface en mode access avec switchport mode access, puis on l’associe au VLAN choisi via switchport access vlan 10. Le port ne transporte alors que le trafic de ce VLAN. C’est le réglage standard pour un poste de travail, une imprimante ou un téléphone IP (avec un voice VLAN complémentaire).
Port trunk : plusieurs VLAN sur un seul lien
Entre deux switchs, ou entre un switch et un routeur, on a besoin de faire transiter plusieurs VLAN sur le même câble. Le mode trunk (commande switchport mode trunk) encapsule chaque trame avec un tag 802.1Q qui porte le VLAN ID. Le switch d’en face lit ce tag et dirige la trame vers le bon VLAN.
Un trunk mal filtré expose tous les VLAN du réseau. On restreint donc les VLAN autorisés sur chaque trunk avec switchport trunk allowed vlan suivi de la liste explicite. Laisser passer l’intégralité des VLAN par défaut est une erreur fréquente en production.
Routage inter-VLAN : pourquoi le switch seul ne suffit pas
Par définition, deux VLAN ne communiquent pas entre eux au niveau 2. Si le poste du VLAN 10 doit joindre un serveur du VLAN 20, il faut un équipement de couche 3 : un routeur physique ou un switch multicouche (layer 3).
La méthode classique, dite « router on a stick », consiste à relier le routeur au switch par un trunk et à créer une sous-interface par VLAN sur le routeur. Chaque sous-interface porte l’adresse IP de la passerelle du VLAN correspondant.
Sur un switch layer 3, on active le routage directement avec ip routing puis on crée des interfaces VLAN (SVI) :
interface vlan 10avec l’adresse IP de la passerelle du VLAN 10, ce qui évite un équipement externeinterface vlan 20pour le deuxième réseau, avec sa propre passerelle- Des ACL appliquées sur chaque SVI pour contrôler le trafic autorisé entre VLAN et limiter la surface d’attaque
Le routage inter-VLAN sur un switch L3 est plus rapide qu’avec un routeur externe parce que le traitement reste dans le matériel (ASIC) du commutateur.
VLAN et sécurité réseau : une brique, pas un mur
On lit souvent que les VLAN « isolent » le trafic. En pratique, un VLAN sépare les domaines de broadcast mais ne filtre rien au niveau 3 ou 4. Une trame qui traverse un routeur ou un switch L3 mal configuré franchit la frontière sans difficulté.
Les référentiels de cybersécurité récents, comme l’IEC 62443 ou le NIST CSF, classent le VLAN comme une mesure de ségrégation minimale. Ils exigent que chaque VLAN soit complété par :
- Des règles de filtrage en déni par défaut entre les zones (ACL ou pare-feu)
- Une description formelle de la zone : actifs présents, type de trafic, niveau de confiance
- Des journaux (logs) sur les flux inter-VLAN pour démontrer la conformité lors d’un audit
Sur les réseaux industriels (OT), séparer IT et OT dans des VLAN distincts est un prérequis d’audit, mais les auditeurs vérifient systématiquement que des ACL ou un pare-feu complètent la segmentation. Le VLAN seul ne passe plus les contrôles de conformité.
VXLAN et évolution du rôle des VLAN sur les réseaux récents
Sur les architectures de campus ou de datacenter récentes, le VLAN défini localement sur le switch n’est plus toujours l’unité principale de segmentation. Les déploiements VXLAN/EVPN encapsulent le trafic VLAN dans des tunnels IP entre les switchs leaf, ce qui lève la limite classique de 4094 VLAN par domaine.
Dans ce modèle, le VLAN local reste nécessaire côté port access (le poste ne voit aucune différence), mais c’est le VNI (VXLAN Network Identifier) qui porte la segmentation de bout en bout à travers le fabric. On définit toujours un VLAN sur le switch, mais sa portée s’arrête au leaf local.
Les retours varient sur ce point : certaines équipes conservent un mapping VLAN-VNI strict à l’échelle du campus, d’autres laissent chaque leaf gérer ses propres numéros de VLAN tant que le VNI reste cohérent. Le choix dépend de la taille du réseau et des outils d’automatisation en place.
Définir un VLAN sur un switch reste le geste fondamental de toute segmentation réseau, que le fabric soit traditionnel ou VXLAN. La différence, c’est que ce geste s’accompagne désormais de règles de filtrage, de documentation par zone et, sur les architectures modernes, d’un identifiant d’overlay qui prolonge la segmentation au-delà du switch physique.
