VLAN (Virtual Local Area Network)

general

Définition

Un VLAN (Virtual Local Area Network) est une technique de segmentation réseau au niveau Layer 2 (liaison de données) qui permet de regrouper logiquement des ports de switches distincts dans des domaines de broadcast séparés, indépendamment de leur emplacement physique. Les VLANs sont le mécanisme fondamental de la segmentation réseau dans les environnements d'entreprise. Sans VLAN, tous les équipements connectés à un switch appartiennent au même domaine de broadcast : chaque trame ARP, DHCP ou NetBIOS est envoyée à tous les ports du switch. Cela pose des problèmes de performance (le trafic de broadcast sature les réseaux larges), de sécurité (n'importe quel hôte peut voir les annonces de tous les autres), et de gestion (impossible de séparer logiquement des groupes d'utilisateurs ou de serveurs sans câblage physique différent). Les VLANs sont configurés sur les switches managés (Cisco, Juniper, HPE, Dell) en attribuant à chaque port un identifiant VLAN (VID) de 1 à 4094. Le protocole 802.1Q (IEEE) définit le tagging VLAN qui permet de transporter plusieurs VLANs sur un même lien physique (trunk) en ajoutant un tag de 4 octets (incluant le VID de 12 bits) à chaque trame Ethernet. Les usages typiques des VLANs en entreprise incluent : VLAN poste de travail (regroupant tous les PC utilisateurs), VLAN serveurs d'application, VLAN DMZ, VLAN gestion réseau (accès SSH/SNMP aux équipements, accessible uniquement depuis les postes d'administration), VLAN imprimantes et IoT (isolés des postes principaux), VLAN VoIP (QoS dédiée pour la qualité des appels), et VLAN invité/BYOD (accès Internet uniquement). La sécurité des VLANs repose sur plusieurs bonnes pratiques : désactiver tous les ports inutilisés (VLAN noir, shutdown), ne pas utiliser le VLAN natif par défaut (VLAN 1) pour le trafic opérationnel, activer BPDU Guard et PortFast sur les ports d'accès, utiliser Private VLANs pour isoler les serveurs dans un même VLAN, et activer DHCP Snooping et Dynamic ARP Inspection pour prévenir les attaques ARP poisoning.

802.1Q VLAN Tagging et configuration des trunks

Le protocole 802.1Q définit l'encapsulation VLAN pour les liens trunk. Un tag 802.1Q de 4 octets est inséré dans la trame Ethernet après l'adresse MAC source, contenant le PCP (Priority Code Point pour QoS), le DEI (Drop Eligible Indicator), et le VID (VLAN Identifier, 12 bits). Les ports trunk transportent plusieurs VLANs simultanément et sont configurés entre switches et entre switches et routers/firewalls. Le VLAN natif d'un trunk est transmis sans tag (pour la compatibilité avec les équipements non-VLAN) — une configuration à sécuriser car des attaques VLAN hopping peuvent exploiter le VLAN natif pour traverser les segments.

VLAN hopping — attaques et protections

Les attaques VLAN hopping permettent à un attaquant sur un VLAN de contourner la segmentation et d'accéder à d'autres VLANs. Deux techniques principales : Switch Spoofing (un hôte malveillant se comporte comme un switch trunk en envoyant des trames DTP, négociant un port trunk avec le switch de l'entreprise) et Double Tagging (encapsuler deux tags 802.1Q pour sauter vers le VLAN natif). Les protections incluent : désactiver DTP (switchport nonegotiate), ne pas utiliser VLAN 1 comme VLAN natif, configurer un VLAN natif inutilisé dédié (ex: VLAN 999), et activer BPDU Guard sur tous les ports d'accès pour détecter les équipements réseau non autorisés.

VLANs dans les environnements virtualisés

Dans les hyperviseurs (VMware vSphere, Microsoft Hyper-V, KVM), les VLANs sont implémentés via les virtual switches (vSwitch, vDS). Chaque VM peut être assignée à un VLAN distinct via un port group taggé, maintenant la segmentation de bout en bout. Dans Kubernetes, les CNI plugins (Calico, Cilium, Flannel) peuvent utiliser les VLANs sous-jacents ou des overlays VXLAN pour la segmentation des pods. Les softwares VLAN (VXLAN — Virtual eXtensible LAN) étendent la segmentation au-delà des limites des 4096 VLANs 802.1Q en utilisant un identifiant de 24 bits (16 millions de segments possibles), essentiel pour les grands environnements cloud multi-tenant.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis