📘 Module Académique : Systèmes de Réseau à Commutation Virtuelle (VLAN)

Imaginez un immeuble de bureaux moderne. Physiquement, il s'agit d'un seul grand bâtiment. Cependant, il est divisé en étages (VLAN), chacun appartenant à une société ou un service différent (service financier, R&D, marketing). Les ascenseurs et les escaliers représentent les liaisons de trunk, transportant des employés (trames de données) de tous les étages. Le hall d'entrée au rez-de-chaussée est le *VLAN natif* – un espace commun où les visiteurs (trames non étiquetées) peuvent arriver avant d'être dirigés vers l'étage approprié. Les règles de sécurité (politiques du commutateur) empêchent les employés du 3ème étage d'accéder librement aux bureaux du 10ème étage, même s'ils partagent le même ascenseur.

Le réseau local moderne est un système vivant de segmentation logique. Le commutateur est l'organe central, mais son intelligence réside dans sa capacité à créer des univers logiques parallèles (VLAN) sur une même infrastructure physique. Chaque univers possède ses propres règles de diffusion, sa table d'adressage et ses politiques de sécurité. La santé du système dépend de la cohérence de la cartographie de ces univers entre les commutateurs (trunking), de l'isolement strict entre eux et de la gestion sécurisée de leur point d'administration.

Causalités clés :

• Si un hôte est déplacé physiquement sur un port d'un autre VLAN, alors il perd la connectivité L2 avec son ancien segment logique.
• Si le VLAN natif est mal configuré et coïncide avec un VLAN de données, alors le trafic non étiqueté peut créer des failles de sécurité et des conflits.
• Si un VLAN est supprimé de la base de données, alors tous ses ports assignés sont réinitialisés au VLAN par défaut (VLAN 1), rompant potentiellement la connectivité.

Les VLAN opèrent au niveau de la couche 2 (Liaison de données) du modèle OSI et correspondent à la couche Accès Réseau du modèle TCP/IP. Ils sont une fonctionnalité des commutateurs (switches), pas des routeurs (bien que les routeurs soient essentiels pour l'interconnexion des VLAN). Leur rôle est de substituer la segmentation logique à la segmentation physique, créant des domaines de broadcast distincts au sein d'un même domaine de collision (qui est, sur un switch moderne, réduit à chaque port).

Frontières et relations :

• En amont (Couche 1) : S'appuient sur une infrastructure physique unique (câbles, fibres, ports du switch).
• En aval (Couche 3) : Nécessitent un routeur (physique ou logique) pour communiquer entre eux. C'est le principe du routage inter-VLAN.
• Interaction avec le Spanning Tree Protocol (STP) : Chaque VLAN peut avoir sa propre topologie d'arbre pour éviter les boucles, concept évoluant vers le PVST+ (Per-VLAN Spanning Tree+).

Fonctionnement d'un Port d'Accès (Access Port) :

1. Assignation statique : Un port est configuré pour appartenir à un seul VLAN (ex: `switchport mode access`, `switchport access vlan 10`).
2. Traitement des trames entrantes : Toute trame reçue sur ce port est considérée comme appartenant au VLAN assigné. Elle est non étiquetée (untagged).
3. Traitement des trames sortantes : Les trames destinées à un hôte sur ce port sont transmises sans étiquette (tag).
4. Condition de validité : Le VLAN assigné doit exister dans la base de données du switch.

Fonctionnement d'un Port de Trunk (Trunk Port) - 802.1Q :

1. Encapsulation : Le port est configuré pour transporter le trafic de plusieurs VLAN (`switchport mode trunk`).
2. Étiquetage (Tagging) : Pour chaque trame devant traverser le trunk, le switch insère un en-tête 802.1Q (4 octets) entre l'en-tête Ethernet source et le champ Type. Cet en-tête contient notamment le Tag Protocol Identifier (TPID, 0x8100) et le VLAN Identifier (VID, 12 bits).
3. VLAN Natif (Native VLAN) : Les trames destinées au VLAN natif sont transmises sans étiquette sur le trunk. À la réception, toute trame non étiquetée est associée au VLAN natif configuré localement sur le port.
4. Séquence d'établissement : Sur les équipements Cisco, le Dynamic Trunking Protocol (DTP) peut négocier automatiquement l'état de trunk. Les modes clés sont :
   • `dynamic desirable` (initie activement la négociation),
   • `dynamic auto` (attend passivement),
   • `trunk` (forcé manuellement),
   • `access` (forcé en mode accès).

• 802.1Q (IEEE Standard)
  • Objectif : Définir le format d'étiquetage (tag) des trames Ethernet pour l'identification du VLAN.
  • Couche OSI : 2 (Sous-couche MAC).
  • Encapsulation : Insertion d'un champ de 4 octets dans l'en-tête Ethernet standard.
  • Champs importants :
    • TPID (Tag Protocol Identifier, 0x8100) : Identifie la trame comme une trame 802.1Q.
    • PCP (Priority Code Point, 3 bits) : Utilisé pour la QoS (Class of Service).
    • DEI (Drop Eligible Indicator, 1 bit) : Indicateur pour la QoS.
    • VID (VLAN Identifier, 12 bits) : Identifiant du VLAN (1-4094). VID=0 est réservé pour le trafic de priorité, VID=4095 (0xFFF) est réservé.
• Dynamic Trunking Protocol (DTP - Cisco Propriétaire)
  • Objectif : Négocier automatiquement l'état de trunk (trunk/access) et le type d'encapsulation (802.1Q/ISL) entre deux ports Cisco.
  • Interaction : Fonctionne via des trames multicast échangées périodiquement. Incompatible avec les équipements non-Cisco.
• VLAN de Données
  • Objectif : Transporter le trafic utilisateur standard (HTTP, FTP, messagerie, etc.).
• VLAN de Gestion
  • Objectif : Fournir un chemin d'accès IP pour administrer le commutateur (SSH, SNMP, Telnet). Bonnes pratiques : Créer un VLAN dédié, différent du VLAN 1 et du VLAN natif, et y assigner une adresse IP de management sur l'interface virtuel `VLAN X`.
• VLAN Voix
  • Objectif : Isoler et prioriser le trafic de téléphonie IP. Fonctionne souvent avec des mécanismes de Quality of Service (QoS) pour garantir la bande passante et réduire la latence.
• VLAN Natif (802.1Q Native VLAN)
  • Objectif : Transporter les trames non étiquetées sur un lien trunk. Il doit être identique aux deux extrémités d'un trunk pour éviter les fuites de VLAN. Erreur conceptuelle majeure : Croire qu'il s'agit du VLAN par défaut pour le trafic inconnu. Son rôle est spécifique au transport sur trunk.
• VLAN Par Défaut (VLAN 1)
  • Objectif : VLAN initial auquel tous les ports sont assignés à la mise sous tension. Il ne peut être supprimé. Il transporte également certains trafics de contrôle comme DTP, CDP et PAgP par défaut. Confusion fréquente : L'assimiler au VLAN natif ou de gestion. Il est recommandé de ne l'utiliser pour aucun trafic utilisateur ou de gestion.

Gestion de la base de données des VLAN :

• VLAN de Portée Normale (Normal-Range VLANs, 1-1005) :
  • Stockés dans le fichier `vlan.dat` en mémoire FLASH. Cette persistance est indépendante de la `startup-config` et `running-config`.
  • Créés avec la commande `vlan [id]` en mode configuration globale.
• VLAN de Portée Étendue (Extended-Range VLANs, 1006-4094) :
  • Stockés uniquement dans la configuration courante (`running-config`) et, si sauvegardés, dans la `startup-config` en NVRAM.
  • Offrent moins de fonctionnalités (ex: pas de support VTP en mode transparent pour certains).

Un expert pense en termes de logique, pas de physique. Voici sa démarche :

1. Cartographie logique avant câblage : Définir les besoins de segmentation (par service, par sécurité, par application) et assigner les ID de VLAN de manière cohérente à l'échelle du réseau.
2. Sécurité par défaut : Jamais utiliser le VLAN 1. Changer le VLAN natif sur tous les trunks vers un VLAN dédié, inutilisé pour les données. Créer un VLAN de management dédié avec des politiques d'accès restrictives.
3. Principe de moindre privilège sur les trunks : Utiliser `switchport trunk allowed vlan [liste]` pour n'autoriser que les VLAN strictement nécessaires sur chaque liaison trunk. Cela limite la portée des erreurs et des attaques.
4. Anticipation des effets de bord :
   • Ajouter un nouveau VLAN ? Penser à l'ajouter aux listes `allowed vlan` sur tous les trunks pertinents.
   • Configurer un nouveau trunk ? Vérifier la cohérence du VLAN natif des deux côtés.
   • Supprimer un VLAN ? Identifier d'abord tous les ports assignés et les reconfigurer ou accepter qu'ils basculent sur le VLAN 1.
5. Documentation comme partie intégrante de l'opération : Maintenir une matrice VLAN (ID, nom, description, sous-réseau IP associé) et une matrice de trunk (ports, VLANs autorisés, VLAN natif).

Penser comme un système : Une modification sur un commutateur (VLAN, trunk) a des répercussions sur la connectivité logique de dizaines d'appareils. L'expert modélise mentalement ces répercussions avant d'agir.

Lois Conceptuelles :

Équations Mentales :

Règles de Raisonnement & Rappels via l'analogie :

• VLAN Hopping : Attaque où un attaquant exploite une double étiquetage 802.1Q ou une mauvaise configuration du VLAN natif pour accéder à un VLAN non autorisé. Contre-mesures : Placer les ports non fiables en mode accès, utiliser un VLAN natif dédié et non utilisé, désactiver DTP (`switchport nonegotiate`).
• Private VLANs (PVLANs) : Technique de segmentation avancée au sein d'un même VLAN primaire, permettant d'isoler les hôtes au niveau L2 tout en partageant une même passerelle L3. Comprend les ports Promiscuous, Isolated, et Community.
• VLAN Translation (QinQ / 802.1ad) : Mécanisme d'empilement d'étiquettes ("tag stacking") utilisé par les fournisseurs de service pour transporter les VLANs clients (VLAN C) à travers leur propre réseau en les encapsulant dans un VLAN de service (VLAN S).
• Mux/Selective QinQ : Évolution de QinQ où l'encapsulation dans un VLAN de service est conditionnelle (basée sur le VLAN C ou le port).
• Vision Vendor-Neutral : Comprendre que si 802.1Q est un standard, ses implémentations (DTP, commandes CLI, gestion des VLAN étendus) varient. L'administrateur expert doit savoir lire la documentation d'un fournisseur (Juniper avec ses VLAN "family ethernet-switching", Arista, etc.) pour en déduire les concepts universels sous-jacents.
• Interconnexion avec la virtualisation : Les VLANs sont fondamentaux dans les datacenters virtuels. Les commutateurs virtuels (vSwitch d'ESXi, Open vSwitch) supportent le trunking 802.1Q, permettant aux VLANs de s'étendre du réseau physique jusqu'aux interfaces réseau des machines virtuelles.