VLAN et trunks : organiser un réseau commuté

Les VLAN séparent les domaines de diffusion

Sans segmentation supplémentaire, les ports d’un même VLAN partagent un domaine de diffusion. Des domaines plus petits améliorent l’organisation et limitent le trafic de diffusion ainsi que le périmètre des pannes. Le regroupement logique peut suivre les besoins de communication plutôt que l’emplacement physique des câbles.

Un port d’accès affecte le trafic non balisé d’un terminal à un VLAN. Un trunk transporte les trames de plusieurs VLAN autorisés grâce aux balises IEEE 802.1Q ; le VLAN natif peut circuler sans balise selon la configuration. La balise de quatre octets apparaît entre les champs MAC source et type et transporte un identifiant VLAN compris entre 1 et 4094.

Les appareils de VLAN différents nécessitent un routage de couche 3, même sur le même commutateur physique. La segmentation ne devient un contrôle de sécurité qu’avec des règles régissant le trafic entre VLAN. Planifiez les réseaux serveurs, utilisateurs, administration, voix et invités selon les communications nécessaires, pas uniquement selon les services de l’entreprise.

Exemples de configuration d’accès et de trunk

Un terminal peut envoyer des trames Ethernet ordinaires tandis que le commutateur lui affecte son VLAN d’accès. Une liaison entre équipements réseau peut à l’inverse transporter plusieurs VLAN. Ces exemples de style Cisco illustrent la configuration ; appliquez-les uniquement aux interfaces prévues et dans le cadre d’une conception convenue.

• Port d’accès : interface Gi0/1 → switchport mode access → switchport access vlan 10
• Port trunk : interface Gi0/24 → switchport mode trunk → switchport trunk allowed vlan 10,20

Les deux extrémités d’un trunk doivent être cohérentes

Configurez de façon cohérente le mode trunk, le VLAN natif et les VLAN autorisés aux deux extrémités. Un VLAN absent d’un trunk peut ne fonctionner que dans une partie du réseau. Une incohérence de VLAN natif peut provoquer des avertissements, une classification incorrecte et des problèmes de sécurité. Ne transportez pas tous les VLAN sur tous les trunks sans nécessité.

De nombreux environnements limitent le VLAN 1 et la négociation automatique des trunks. Désactivez les ports d’accès inutilisés et placez-les dans un VLAN inutilisé. L’accès d’administration appartient à un réseau distinct et contrôlé.

Utiliser la table MAC pour voir où arrivent les trames

Vérifiez l’existence du VLAN, le mode du port, le VLAN d’accès, les autorisations du trunk et l’état de Spanning Tree. La table MAC doit montrer les terminaux sur le VLAN et le port attendus. Si une entrée manque, la trame n’est pas arrivée ou a été rejetée auparavant.

Ping n’est pas un test complet de VLAN, car le routage, les ACL et les pare-feu des hôtes influencent aussi son résultat. Les captures de paquets et les vérifications ciblées de couche 2 séparent les problèmes de segmentation des défauts situés plus haut dans la pile.