Qu'est-ce qu'un port d'accès ?

Un port d'accès est un mode d'interface de couche 2 utilisé pour les ports de commutateur qui se connectent directement à des périphériques finaux tels que des PC, des imprimantes et des téléphones. Il appartient à un seul VLAN – le VLAN d'accès –, traite les paquets entrants non balisés comme s'ils étaient balisés avec l'identifiant de ce VLAN, et rejette toute trame balisée dont l'identifiant de VLAN ne correspond pas.

Points clés à retenir

• Un port d'accès appartient à un seul et même VLAN, le VLAN d'accès.
• Les paquets entrants non étiquetés sont traités comme s'ils étaient étiquetés avec l'ID du VLAN d'accès.
• Les trames marquées qui ne correspondent pas au VLAN d'accès sont rejetées.
• Les ports « trunk » constituent leur équivalent et assurent la transmission de plusieurs VLAN entre les commutateurs.
• Les ports d'accès permettent d'ajouter le PoE, un VLAN vocal ou une configuration multihébergement à des fins de redondance.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Ports d’accès et Versa · FAQ

Pourquoi les ports d'accès sont-ils importants ?

La plupart des terminaux (PC, imprimantes, appareils photo, points d’accès) envoient et attendent des trames Ethernet simples, non balisées ; ils n’ont absolument aucune notion des balises VLAN. Les ports d’accès permettent à un commutateur d’acheminer ce trafic non balisé vers le VLAN approprié sans aucune configuration particulière sur le périphérique lui-même. C’est ce qui rend la segmentation basée sur les VLAN pratique à grande échelle : un administrateur configure une seule fois le mode et le VLAN du port, et chaque périphérique qui y est connecté hérite automatiquement du domaine de diffusion approprié.

Les ports d'accès constituent également une barrière de confinement. Étant donné qu'un port appartient à un seul et même VLAN et rejette les trames balisées non conformes, un périphérique – ou un pirate – qui y est connecté ne peut pas simplement baliser son propre trafic pour accéder à un autre VLAN. Cette restriction permet de garantir la segmentation entre les services, les invités et les zones de sécurité au niveau du port physique, plutôt que de dépendre du bon comportement de chaque périphérique connecté.

Qu'est-ce qu'un port d'accès ?

Un port d’accès est configuré en mode accès, l’un des deux modes d’interface de couche 2 pouvant être utilisés par un port de commutateur (l’autre étant le mode trunk). En mode accès, l’interface accepte les paquets non balisés et appartient à un seul VLAN, le VLAN d’accès : tout paquet non balisé entrant est traité comme s’il était balisé avec l’identifiant de ce VLAN, et toute trame balisée dont l’identifiant de VLAN ne correspond pas est rejetée. Les identifiants de VLAN d’accès sont généralement attribués dans la plage comprise entre 1 et 4 094, le VLAN 0 étant réservé à une interface entièrement non balisée.

Le mode « trunk » en est le pendant : une interface « trunk » accepte les paquets balisés et peut acheminer plusieurs identifiants VLAN ou plages d’identifiants VLAN sur une seule liaison, généralement entre des commutateurs, avec un identifiant VLAN natif défini de manière facultative afin qu’un paquet non balisé arrivant sur le « trunk » soit traité comme appartenant à ce VLAN natif. Un port d’accès, en revanche, correspond au cas simple d’un seul VLAN : un câble, un VLAN, sans aucun mécanisme de balisage que l’appareil connecté doive comprendre.

Types de ports d'accès

Le port d’accès standard correspond au cas par défaut : un port physique, un VLAN d’accès, destiné à un PC, une imprimante ou un point d’accès sans fil transmettant du trafic non balisé. Un port d’accès multihébergé étend ce comportement à deux commutateurs à la fois – en utilisant l’agrégation de liaisons multi-châssis (MC-LAG) – de sorte que le port se connecte à plusieurs périphériques réseau, ce qui améliore la fiabilité en cas de défaillance d’un commutateur en amont. Un port d’accès prenant en charge le PoE et un VLAN vocal associe une configuration en mode accès à un profil de port physique fournissant l’alimentation par Ethernet (PoE) et un VLAN vocal distinct – détecté via LLDP – pour les téléphones IP partageant un câble avec un PC. Un port d’accès peut également exiger une authentification 802.1X; un périphérique doit donc s’authentifier avant que le port ne transfère son trafic.

Ports d'accès & Versa

Versa configure les interfaces en mode « accès » à deux niveaux, couvrant à la fois la périphérie SD-WAN et la commutation LAN dédiée. Dans le workflow « Interfaces réseau » de l’ Secure SD-WAN de Concerto, une interface de couche 2 peut être définie en mode « Accès », ce qui la limite à un seul ID de VLAN et traite les paquets non balisés comme appartenant à ce VLAN – voir « Configurer les interfaces d’accès et de jonction dans Concerto ». Sur les commutateurs basés sur VOS (notamment les séries CSX4300, CSX4500 et CSX8300), l’assistant SD-LAN de Director configure les ports physiques de la même manière – mode « Access » ou « Trunk », avec un identifiant de VLAN pour les ports d’accès – et permet à un administrateur d’ajouter un profil de port physique pour le PoE, le LLDP et le VLAN vocal, ou un profil 802.1X pour l’authentification basée sur les ports, conformément à la section « Configurer le SD-LAN à l’aide de modèles de workflow ».

Questions fréquentes

Quelle est la différence entre un port d'accès et un port de jonction ?

Un port d'accès appartient à un seul VLAN et traite les paquets non balisés comme s'ils faisaient partie de ce VLAN. Un port trunk achemine plusieurs identifiants de VLAN sur une même liaison en exigeant des paquets balisés, ce qui permet aux commutateurs situés à chaque extrémité de distinguer les différents VLAN.

Un port d'accès peut-il appartenir à plusieurs VLAN ?

Non. Un port d'accès appartient à un seul VLAN, le VLAN d'accès. Pour acheminer plusieurs VLAN sur une même liaison, il faut utiliser le mode « trunk », qui accepte les paquets balisés correspondant à une liste ou à une plage spécifiée d'identifiants VLAN.

Que se passe-t-il lorsqu'une trame étiquetée arrive sur un port d'accès ?

Le commutateur rejette la trame si l'identifiant VLAN de celle-ci ne correspond pas au VLAN d'accès du port. Les ports d'accès gèrent le trafic non balisé d'un seul VLAN ; une trame balisée non conforme est rejetée plutôt que transmise.

Un port d'accès peut-il également fournir l'alimentation par Ethernet (PoE) ?

Oui. Le mode « Layer 2 » d’un port d’accès est indépendant de la fonction PoE : un profil de port physique peut fournir une alimentation PoE, avec une priorité configurable, à un périphérique connecté sur ce même port et configuré en mode « accès ».

Qu'est-ce qu'un port d'accès multihébergé ?

Il utilise l'agrégation de liaisons multi-châssis (MC-LAG) pour se connecter simultanément à plusieurs périphériques réseau en amont, plutôt qu'à un seul commutateur, ce qui améliore la fiabilité en cas de défaillance d'une connexion en amont.

En savoir plus sur Access Port

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux ports d'accès, ceux-ci méritent que vous y jetiez un œil.