Les VLAN expliqués simplement : séparer les réseaux de l’entreprise sur les mêmes câbles

Les ordinateurs de la comptabilité, le téléphone d’un visiteur, l’imprimante, les caméras du parking : dans beaucoup de PME, tout ce petit monde partage le même réseau, parce qu’il n’y en a qu’un. Le jour où quelqu’un parle de « faire des VLAN », le mot sonne comme une affaire de spécialiste. L’idée est pourtant simple, et elle ne demande souvent aucun câble de plus.

Qu’est-ce qu’un VLAN, en une phrase ?

Un VLAN (pour « Virtual LAN », réseau local virtuel) est un réseau séparé qui passe par le même matériel que les autres. Les mêmes câbles, les mêmes commutateurs (les boîtiers à prises de la baie) et les mêmes bornes Wi-Fi transportent plusieurs réseaux à la fois, qui ne se mélangent pas.

Prenez un immeuble de bureaux. Les couloirs et les ascenseurs sont communs, mais chaque société a sa porte et sa clé. Le VLAN, c’est la porte : tout le monde emprunte le même câble, chacun reste chez soi.

C’est l’une des briques de l’organisation d’un réseau d’entreprise, avec le pare-feu et les accès à distance. Notre guide de l’architecture du réseau d’entreprise les replace toutes dans l’ordre.

Comment ça marche, sans entrer dans la technique ?

Chaque morceau de données qui circule sur le réseau peut porter une petite étiquette : le numéro de son VLAN. La façon de poser cette étiquette est décrite par une norme internationale, l’IEEE 802.1Q, que suivent les commutateurs professionnels. Trois idées suffisent pour comprendre le reste :

• Une prise appartient à un réseau. La prise du bureau de la comptabilité est rangée dans le réseau de l’équipe ; celle de la caméra du parking, dans le réseau des caméras. L’appareil branché n’a rien à régler.
• Un nom de Wi-Fi correspond à un réseau. Le Wi-Fi de l’équipe mène au réseau de l’équipe, le Wi-Fi des visiteurs au réseau des visiteurs. Une seule borne diffuse les deux.
• Les câbles entre les boîtiers portent tous les réseaux à la fois. Entre la passerelle, les commutateurs et les bornes, les données circulent avec leur étiquette, et chaque appareil sait où les livrer.

Le matériel doit savoir le faire, mais c’est désormais courant. À titre d’exemple, la fiche du petit commutateur UniFi Lite 8 PoE annonce jusqu’à 1 000 VLAN, et celle de la passerelle UniFi Cloud Gateway Ultra mentionne la séparation du trafic par VLAN. Une box d’opérateur, elle, propose rarement plus qu’un réseau invité simple : c’est l’une des raisons de poser un routeur professionnel derrière elle, comme l’explique notre article Box de l’opérateur ou routeur professionnel.

Pourquoi séparer les réseaux d’une PME ?

Parce qu’un appareil qui se trouve sur un réseau peut chercher à atteindre tout ce qui s’y trouve. L’agence américaine de cybersécurité, la CISA, le dit en termes clairs dans ses recommandations pour les équipements réseau : découper le réseau en zones limite le chemin d’un intrus, et regrouper les appareils selon leur rôle aide à contenir une intrusion même s’il a déjà mis un pied dedans. Elle cite les VLAN parmi les moyens d’y arriver sans matériel supplémentaire.

Dans une PME, les raisons sont très concrètes :

• Un visiteur n’a rien à faire à côté de la comptabilité. Son téléphone ou l’ordinateur d’un prestataire n’est pas forcément à jour. Sur son propre réseau, il a Internet, et rien d’autre. C’est tout le sujet de notre article sur le Wi-Fi des visiteurs.
• Une caméra ou un objet connecté est souvent le maillon faible. Posé une fois, rarement mis à jour, il gagne à vivre à part, loin des ordinateurs. Notre article sur les caméras de surveillance en entreprise détaille ce que le réseau doit prévoir.
• La téléphonie se porte mieux sur son propre réseau. Sur le même commutateur, la fiche UniFi citée plus haut mentionne un « Voice VLAN », un réseau réservé à la voix. On peut ainsi la traiter à part quand le débit manque.
• Une panne ou un incident se circonscrit. Si un appareil se comporte mal, on coupe son réseau sans arrêter toute l’entreprise.

Un VLAN, ça bloque tout, tout seul ?

Non, et c’est le piège le plus courant. Le VLAN range les appareils dans des réseaux différents. Ce qui passe d’un réseau à l’autre se décide ailleurs : à la passerelle, par les règles du pare-feu. Selon le matériel et son réglage, deux réseaux peuvent encore se parler tant qu’aucune règle ne l’interdit.

La CISA recommande d’ailleurs, en plus du découpage, de limiter les communications inutiles entre appareils et entre zones. En pratique, on écrit des règles simples :

• les visiteurs vont sur Internet, et nulle part ailleurs ;
• l’équipe peut regarder les images des caméras, les caméras n’ont pas accès aux ordinateurs ;
• les téléphones parlent à leur standard, pas aux postes de la comptabilité.

Puis on vérifie, depuis un appareil de chaque réseau, que ce qui doit être bloqué l’est vraiment. Les règles elles-mêmes sont le sujet de notre article Règles de pare-feu : ce qu’une PME devrait bloquer et autoriser.

VLAN ou câblage séparé : le tableau

	Un seul réseau	Des VLAN sur le même matériel	Deux câblages distincts
Câbles à poser	Aucun de plus	Aucun de plus, en général	Un second réseau complet
Séparation des appareils	Aucune	Oui, réglée à la passerelle	Oui, physique
Passage contrôlé d’un réseau à l’autre	Impossible à régler	Règle par règle	Difficile, sauf matériel en plus
Ajouter un réseau plus tard	Impossible	Un réglage	Un nouveau chantier
Matériel nécessaire	N’importe lequel	Commutateurs, bornes et passerelle compatibles	Le double

Pour une PME, les VLAN séparent les appareils avec le matériel existant, à condition qu’il soit compatible.

Combien de VLAN faut-il ?

Le moins possible, mais assez pour que chaque famille d’appareils soit chez elle. Dans la plupart des PME, quatre ou cinq réseaux suffisent : l’équipe, les visiteurs, les caméras, la téléphonie, et parfois les équipements (imprimantes, écrans, badgeuse). Trop de réseaux compliquent les règles sans rien protéger de plus.

Le bon découpage part de la liste de ce qui est branché. Notre article Caméras, téléphones, invités, bureaux : quel réseau pour chaque appareil ? propose une méthode pour la faire, appareil par appareil.

Faut-il changer tout le matériel ?

Pas forcément. Les VLAN passent par les câbles en place. Ce sont la passerelle, les commutateurs et les bornes qui doivent savoir les gérer. Un vieux commutateur bas de gamme ou une box seule peuvent bloquer ; le reste se garde souvent. On le vérifie appareil par appareil lors de la visite, gratuite dans un rayon de 30 km autour d’Overijse, et le prix se donne après cette visite.

Ce que fait SateLink

Romuald et son équipe partent de ce qui est branché chez vous, proposent un découpage simple, puis règlent les réseaux sur une passerelle, des commutateurs et des bornes UniFi : l’équipe, les visiteurs, les caméras, la téléphonie. Les réseaux séparés sont réglés et vérifiés ; le pare-feu reste en général à votre main, au besoin nous le réglons ; les plans et les accès vous sont remis. SateLink Solution est une entreprise indépendante, qui pose et configure ce matériel sans appartenir à ces sociétés.

Ce que comprend une installation est décrit sur la page Réseau et Wi-Fi. Ensuite, si vous le souhaitez, la maintenance Sérénité surveille le réseau à distance et tient la documentation à jour.

En résumé

• Un VLAN est un réseau séparé qui passe par les mêmes câbles, commutateurs et bornes que les autres.
• Une prise ou un nom de Wi-Fi appartient à un réseau ; les câbles entre boîtiers portent tous les réseaux, étiquetés selon la norme IEEE 802.1Q.
• La CISA recommande de découper le réseau en zones et de limiter les communications inutiles entre elles.
• Le VLAN range, le pare-feu décide : sans règle, la séparation peut rester théorique.
• Quatre ou cinq réseaux suffisent à la plupart des PME, souvent sans recâbler.

L’appel de cadrage est gratuit : trente minutes pour savoir quels réseaux séparer chez vous, et si votre matériel peut le faire.