Qu'est-ce qu'un VLAN ?

Un réseau local virtuel (VLAN) est un regroupement logique de ports de commutateurs et de périphériques qui forme son propre domaine de diffusion, indépendamment de l'emplacement physique ou du câblage. Les VLAN limitent les inondations de diffusion et de multidiffusion inutiles, isolent le trafic entre différents groupes de périphériques et permettent aux administrateurs de réorganiser un réseau en modifiant la configuration plutôt qu'en installant de nouveaux câbles.

Points clés à retenir

• Les VLAN regroupent les périphériques en domaines de diffusion isolés, et non en fonction du câblage.
• La segmentation permet de réduire les diffusions inutiles et les inondations de multidiffusion.
• Les ports « trunk » acheminent plusieurs VLAN balisés sur une seule liaison physique.
• Les ports d'accès acheminent le trafic non balisé vers un seul identifiant VLAN explicite.
• Versa VOS associe les identifiants VLAN aux domaines de pont et aux sous-interfaces.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · VLAN et Versa · FAQ

Pourquoi un VLAN est-il important ?

Les réseaux commutés plats et non segmentés placent tous les appareils connectés dans un seul domaine de diffusion : une imprimante, un ordinateur portable d’invité et un serveur financier voient tous le trafic de diffusion des autres, et les séparer implique de recâbler les ports vers des commutateurs différents. Les VLAN transforment cette séparation en un simple changement de configuration : c’est l’affectation d’un port à un VLAN, et non son câblage, qui détermine le domaine de diffusion auquel un appareil appartient.

Cela présente des avantages directs en termes de sécurité et de performances. Le fait de confiner le trafic de diffusion et de multidiffusion à un VLAN évite un inondation inutile du reste du réseau, tandis que le fait de séparer le trafic des invités, de l’IoT, de la voix et de l’entreprise dans des VLAN distincts limite l’accès d’un appareil compromis au reste du réseau. Les VLAN permettent également une segmentation basée sur l’identité : un appareil authentifié via 802.1X peut être placé dans un VLAN choisi par un serveur RADIUS, le VLAN « invité » servant de solution de secours pour les appareils qui ne s’authentifient jamais.

Qu'est-ce qu'un VLAN ?

Chaque VLAN est identifié par un identifiant de VLAN (VLAN ID), un nombre entier compris entre 1 et 4 094, conformément à la norme IEEE 802.1Q. Un port de commutateur accède à un VLAN selon l’un des deux modes suivants : un port d’accès achemine le trafic d’un seul et unique VLAN, les trames non balisées étant considérées comme appartenant à l’identifiant de ce VLAN ; un port de jonction achemine plusieurs VLAN sur une seule liaison, chaque trame étant balisée avec l’identifiant du VLAN auquel elle appartient.

Chaque VLAN forme son propre domaine d'apprentissage et de transfert sur le commutateur : les adresses MAC sont mémorisées séparément pour chaque VLAN, et le trafic entrant sur les ports d'un VLAN est transmis uniquement vers les autres ports de ce même VLAN, sans jamais franchir les limites de celui-ci. Le routage entre VLAN nécessite un saut de couche 3, car un VLAN est en soi une entité de couche 2.

Types de VLAN

Les VLAN d’accès constituent le cas le plus simple : un port se voit attribuer un identifiant VLAN explicite, et toute trame non balisée qui y arrive est considérée comme appartenant à ce VLAN – il s’agit de la configuration courante à la périphérie du réseau. Les VLAN de type « trunk » (balisés) acheminent plusieurs VLAN sur une seule liaison montante ; la configuration trunk accepte généralement une liste d’identifiants VLAN, y compris des plages, plutôt qu’un identifiant unique. Le VLAN natif est le seul VLAN sur un port trunk que le commutateur traite comme non balisé ; ainsi, un périphérique incapable de baliser le trafic peut tout de même accéder au trunk. Les VLAN dynamiques sont attribués à chaque périphérique au moment de l’authentification : un échange 802.1X avec un serveur RADIUS détermine le VLAN auquel un périphérique est rattaché, un VLAN invité servant de solution de secours en cas d’échec de l’authentification.

VLAN et Versa

Versa Les périphériques VOS (VOS : Operating System) appliquent les identifiants VLAN au niveau des interfaces : une sous-interface Ethernet, Ethernet agrégée ou IRB se configure en mode accès avec un identifiant VLAN unique ou en mode trunk avec une liste d’identifiants VLAN, ainsi qu’un identifiant VLAN natif facultatif. Le VOS regroupe les interfaces de couche 2 en instances de commutateur virtuel (VSI) ; au sein d’une VSI, chaque domaine de pont est associé à un identifiant VLAN unique doté de sa propre table de transfert MAC, et les interfaces rejoignent un domaine de pont en faisant correspondre les identifiants VLAN. La traduction VLAN permet à une interface d’utiliser un identifiant VLAN différent de celui de son domaine de pont – voir « Configurer le transfert de couche 2 ».

Sur les appareils de la gamme « Titan », les VLAN se configurent via le portail Titan en mode « Routé » (couche 3) ou « Commuté » (couche 2), avec un nom de VLAN, un ID de VLAN et, pour les VLAN commutés, une interface IRB ; le portail Titan prend également en charge l’attribution dynamique de VLAN via 802.1X et RADIUS, avec des options de repli « invité » et « par défaut » – voir « Configurer les connexions LAN ». Les modèles de périphériques appliquent le même modèle d’accès/trunk, ainsi que des listes de VLAN pour les commutateurs virtuels EVPN, conformément à la section « Configurer les fonctionnalités de base ».

Questions fréquentes

Quelle est la différence entre un VLAN et un sous-réseau ?

Un VLAN est un domaine de diffusion de couche 2 défini par la configuration d'un commutateur et des balises 802.1Q. Un sous-réseau est un bloc d'adresses IP de couche 3. Dans les déploiements, on associe souvent un sous-réseau à un VLAN, mais les deux concepts sont distincts : un VLAN peut exister sans qu'aucun sous-réseau IP routé n'y soit associé.

Quelle est la différence entre un VLAN d'accès et un VLAN de liaison ?

Un port d'accès achemine exactement un VLAN et considère les trames non balisées comme lui appartenant – ce qui est caractéristique des ports de terminaux. Un port trunk achemine plusieurs VLAN sur une seule liaison, en balisant chaque trame afin que le commutateur destinataire trie le trafic vers le domaine approprié.

Qu'est-ce qu'un VLAN natif, et en quoi est-ce important ?

Le VLAN natif est le seul VLAN d'un port trunk que le commutateur ne marque pas ; les trames non marquées transitant par ce port trunk lui sont attribuées. Une incompatibilité entre les VLAN natifs de deux commutateurs connectés peut entraîner une fuite de trafic entre des VLAN censés rester séparés.

Combien de VLAN un réseau peut-il prendre en charge ?

Le champ d'étiquette IEEE 802.1Q prend en charge les identifiants VLAN compris entre 1 et 4094, soit la même plage que celle proposée par les interfaces VOS d'Versa . Le nombre d'identifiants utilisables dans un déploiement donné est limité par les contraintes d'échelle du commutateur et de la plateforme avant que ce plafond ne devienne un facteur déterminant.

Comment fonctionne le routage entre les VLAN sur le système d'exploitation VOS d'Versa ?

Une interface IRB (Integrated Routing and Bridging) associe une interface de couche 3 à un domaine de pont de couche 2, ce qui permet aux paquets d'être acheminés vers et depuis le VLAN lié à ce domaine. Les paramètres standard de couche 3, tels que le DHCP et le VRRP, se configurent sur l'interface IRB.

En savoir plus sur les VLAN

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux VLAN, voici quelques liens qui pourraient vous intéresser.