Comment configurer un VLAN en 12 étapes : création et configuration

Points clés à retenir

• La configuration d’un VLAN est un processus en 12 étapes. Celles-ci comprennent la préparation d’identifiants VLAN uniques, la création d’un schéma réseau, la configuration des ports de commutateur et l’affectation des ports de commutateur aux VLAN. (Accéder à la section)
• Les VLAN statiques et dynamiques répondent à des objectifs différents. Ils sont comparés en fonction de leurs avantages selon la taille, la complexité et les exigences du réseau. (Accéder à la section)
• Il est impératif de suivre correctement le processus de configuration du VLAN et de réévaluer régulièrement ses performances afin de garantir la sécurité et l’efficacité du réseau. (Accéder à la section)

La configuration d’un réseau local virtuel (VLAN) peut être un processus complexe, en particulier si vous exploitez un vaste réseau d’entreprise, un réseau reposant sur des architectures anciennes ou hybrides, ou un réseau prenant en charge des charges de travail spécifiques qui nécessitent des mesures de sécurité et de conformité réglementaire supplémentaires.

Chaque processus de configuration de VLAN sera quelque peu différent, selon les spécifications que vous aurez définies, et certaines de ces étapes — en particulier les étapes cinq à huit — pourront être réalisées simultanément, dans un ordre légèrement différent, voire de manière plus automatisée si vous choisissez de configurer un VLAN dynamique.

Néanmoins, en règle générale, votre réseau a les meilleures chances de fonctionner correctement si vous réalisez les 12 étapes de configuration de VLAN suivantes et documentez au fur et à mesure vos processus, stratégies et exigences.

1. Réfléchir aux regroupements de VLAN

Dans un réseau local traditionnel dépourvu de barrières virtuelles, tous les appareils et composants réseau communiquent et partagent des informations entre eux ; vous êtes probablement en train de configurer un VLAN précisément parce que cette configuration de base est trop permissive pour répondre à vos exigences. Mais quels sont les segments idéaux pour faire fonctionner votre réseau de manière optimale et sécurisée ?

À ce stade de la création et de la configuration du VLAN, il est temps de déterminer quels regroupements de VLAN sont les plus pertinents compte tenu de la complexité stratégique de votre réseau. Tenez compte non seulement du nombre de VLAN dont vous aurez besoin, mais aussi de la fonction de chacun et de la manière dont ils doivent être configurés pour remplir cette fonction. Alors que de nombreuses organisations s’en tiennent à des limites plus traditionnelles, comme les sites physiques ou les services, il existe peut-être des moyens plus efficaces et plus sûrs de regrouper vos VLAN et de définir leurs règles.

Par exemple, si votre entreprise travaille en étroite collaboration avec une société de services professionnels tierce qui doit accéder à certaines applications et données RH et de sécurité, mais pas à d’autres, vous pourriez diviser vos VLAN en fonction de ceux qui nécessitent des contrôles de gestion des identités et des accès plus souples ou plus stricts. Déterminez ensuite quels utilisateurs et appareils correspondent à chaque regroupement et seront affectés à celui-ci.

2. Préparer des identifiants VLAN uniques

Chaque VLAN que vous configurez doit posséder un numéro d’identification VLAN unique afin de segmenter le trafic réseau aux bons endroits et de garder une documentation organisée lorsque plusieurs VLAN sont utilisés simultanément. Les identifiants VLAN sont exclusivement numériques et vont de 1 à 4 095. Même si vous n’avez pas nécessairement « besoin » que ces identifiants VLAN soient opérationnels pour le moment, il est judicieux de les définir dès maintenant afin de pouvoir les utiliser pour annoter votre schéma réseau à l’étape suivante.

3. Créer un schéma ou une carte logique du réseau

Avant même de commencer à configurer vos VLAN et à connecter les appareils et les commutateurs, le meilleur moyen de garantir la réussite de votre configuration réseau VLAN consiste à représenter les spécificités et les relations de votre réseau dans un schéma. Les libellés et les connexions que vous représentez à ce stade de la création du VLAN vous fourniront les annotations et la structure organisationnelle nécessaires pour suivre tous les appareils, commutateurs, routeurs et autres composants requis par vos plans d’architecture.

Votre équipe peut choisir de créer ce schéma manuellement ou à l’aide d’outils déjà présents dans votre portefeuille. Toutefois, un certain nombre d’outils gratuits ou peu coûteux de création de schémas réseau proposent spécifiquement des modèles et des icônes qui facilitent la représentation du réseau que vous configurez, souvent au moyen d’interfaces et d’outils low-code/no-code. Si vous souhaitez trouver un outil de création de schémas réseau pour rendre cette étape plus efficace, envisagez d’investir dans l’une de ces meilleures solutions logicielles et outils de création de schémas réseau.

4. Facultatif : acheter du matériel supplémentaire

En fonction des exigences de regroupement des VLAN et de la ou des conceptions que vous avez élaborées au cours des trois étapes précédentes, vous devriez avoir une idée plus précise du matériel ou des logiciels manquants à acheter. Vous avez peut-être plus de regroupements de VLAN que prévu et devez ajouter des commutateurs et des routeurs. Ou bien votre organisation se développe rapidement et vous souhaitez acheter de nouveaux commutateurs dotés de davantage de ports pour connecter plus d’appareils. Il est également possible que vous passiez d’une configuration réseau principalement sur site à une configuration hybride ou cloud nécessitant de nouveaux logiciels ou de nouvelles relations avec des tiers.

Quelles que soient vos nouvelles exigences, commencez par dresser l’inventaire des équipements réseau que vous possédez actuellement, en indiquant notamment les formats, configurations, nombres de ports, débits et autres détails pertinents pour la configuration du VLAN concernant les commutateurs et les routeurs. Dressez ensuite une liste distincte des outils réseau qui vous manquent, de leur coût et de toute autre information particulière à prendre en compte lors de l’achat. 

5. Connecter les appareils réseau aux ports de commutateur appropriés

Vous devez maintenant connecter les serveurs VLAN, les appareils des utilisateurs finaux et les autres appareils réseau concernés — à condition que leurs adresses IP soient déjà configurées — aux ports de commutateur sélectionnés pour le groupe VLAN correspondant. Même si les appareils, ports, commutateurs et routeurs n’ont pas encore nécessairement été configurés pour s’aligner sur un VLAN et une fonction donnés, vous devez tout de même savoir quels appareils et composants réseau sont affectés à quels VLAN. Si vous ne savez pas quels ports de commutateur doivent être reliés à chaque appareil, consultez votre schéma réseau (ou revenez à l’étape de création du schéma réseau et créez un diagramme plus détaillé). 

Si vous choisissez de créer un VLAN dynamique plutôt qu’un VLAN statique, les étapes cinq à huit pourront être légèrement différentes. Vous pourrez par exemple consacrer ces étapes à la création ou à l’identification des protocoles appropriés fondés sur des règles pour vos appareils et à la mise en place de règles d’automatisation, plutôt qu’à la connexion manuelle des ports et des appareils aux VLAN.

6. Configurer les ports de commutateur

Maintenant que vos appareils sont connectés aux bons ports de commutateur, il est temps de configurer ces ports afin qu’ils fonctionnent conformément aux rôles qui leur sont attribués. Nombre de vos ports devront simplement être configurés en tant que ports d’accès dans les paramètres du commutateur ; un port d’accès est une connexion simple qui permet aux appareils de se connecter à un seul VLAN. Les ports d’accès sont les mieux adaptés aux appareils et aux utilisateurs qui n’utiliseront pas le balisage VLAN ou le routage inter-VLAN. 

Les ports trunk se configurent également dans les paramètres d’un commutateur, mais ils sont conçus pour gérer un trafic à plus grande bande passante et peuvent prendre en charge le trafic de plusieurs VLAN. Les appareils ne doivent être connectés à des ports trunk que s’ils sont autorisés et configurés pour le balisage VLAN et le routage inter-VLAN. Avant de passer à l’étape suivante, vérifiez que les appareils sont connectés au type de port de commutateur adapté à leurs besoins opérationnels.

7. Définir les spécifications des VLAN dans les paramètres du commutateur réseau

Tout le travail préparatoire est terminé : il est temps de créer les réseaux locaux virtuels souhaités dans les paramètres du commutateur réseau. Pour ce faire, accédez aux interfaces de gestion de votre commutateur réseau, puis à la section permettant de créer des VLAN. Créez le nombre de VLAN jugé nécessaire au cours des étapes précédentes et attribuez-leur les identifiants VLAN uniques sélectionnés à l’étape deux.

8. Affecter les ports de commutateur aux VLAN

N’oubliez pas que les étapes cinq à huit peuvent se dérouler dans un ordre légèrement différent selon votre équipe et ses préférences. Si vous n’avez pas encore affecté les ports de commutateur au VLAN approprié, il est temps de le faire. Les ports balisés (ports trunk) sont probablement déjà associés aux bons VLAN, mais vous devez vérifier à ce stade qu’ils sont correctement configurés. Pour les ports non balisés (ports d’accès), vous devrez les connecter manuellement au VLAN approprié. N’oubliez pas que les ports trunk peuvent être associés à plusieurs VLAN, lorsque cela est pertinent.

9. Facultatif : ajouter des balises VLAN

Le balisage VLAN est le processus par lequel le trafic réseau VLAN est segmenté et spécialisé davantage. Lorsque des balises VLAN sont utilisées, les appareils et ports associés interagissent automatiquement avec les appareils et ports qui partagent ces mêmes balises ; toutefois, les balises permettent également aux administrateurs réseau de diriger davantage le trafic et de prendre en charge des scénarios de routage inter-VLAN au cas par cas. 

Le balisage VLAN est particulièrement adapté aux réseaux présentant des schémas de trafic complexes et une grande diversité d’utilisateurs, d’appareils et d’autorisations de sécurité. Si vous choisissez de configurer des ports trunk qui transportent plusieurs VLAN, comme indiqué à l’étape six, vous devrez vous assurer qu’au moins certains de vos VLAN reçoivent des balises afin que le trafic ne se mélange pas dans les ports trunk. 

Si vous ne savez pas si votre réseau bénéficierait de balises VLAN, lisez cet article détaillé sur le sujet pour vous aider à prendre votre décision : VLAN balisés ou non balisés : quand utiliser chacun d’eux.

10. Facultatif : configurer le routage inter-VLAN

Si votre réseau nécessite des communications entre VLAN dans le cadre de ses activités courantes, vous devrez utiliser les balises VLAN configurées à l’étape précédente pour diriger le routage inter-VLAN. Même si cela semble contre-intuitif d’ouvrir le flux de trafic entre les VLAN, de nombreuses organisations choisissent de le faire, car la couche différente à laquelle opèrent les routeurs leur permet tout de même de contrôler les types de trafic qui circulent entre les VLAN, ainsi que le moment et la manière dont les appareils et les utilisateurs passent d’un VLAN à l’autre. Dans le cadre de la configuration inter-VLAN, vous devrez peut-être également configurer ou vérifier vos contrôles d’accès VLAN, afin de vous assurer que seuls les utilisateurs et appareils autorisés peuvent bénéficier du routage inter-VLAN.

11. Tester la qualité de votre VLAN

Maintenant que tout est configuré, il est temps de tester la connectivité et les performances du réseau. Assurez-vous que tous les appareils d’un même VLAN peuvent interagir entre eux et, inversement, qu’ils ne peuvent pas atteindre les appareils d’autres VLAN. Ping et traceroute sont deux outils efficaces pour tester la connectivité et les performances des VLAN, mais un certain nombre d’autres outils de sécurité et de gestion réseau peuvent également être adaptés.

12. Documenter et réévaluer régulièrement les performances du VLAN

Les réseaux d’entreprise évoluent fréquemment, notamment à mesure que de nouveaux appareils et utilisateurs, de nouvelles exigences matérielles et logicielles ainsi que de nouveaux cas d’utilisation opérationnels et de sécurité apparaissent. Les administrateurs réseau et/ou les membres de l’équipe de sécurité réseau doivent tenir à jour un schéma réseau, un inventaire des équipements, des journaux des modifications et toute autre documentation de configuration, afin de visualiser facilement l’état actuel du réseau, de déterminer si des vulnérabilités sont apparues et où, et d’identifier les éventuelles modifications nécessaires pour améliorer les performances du réseau. Chaque fois que vous suivez ce processus, mettez à jour votre documentation afin de conserver un historique complet du réseau et des actions entreprises pour le maintenir.

Faut-il utiliser un VLAN statique ou un VLAN dynamique ?

Les VLAN statiques et dynamiques offrent des avantages différents aux administrateurs réseau, selon la taille, la complexité et les exigences de leur réseau. Nous expliquons ci-dessous le fonctionnement de chaque type et les situations dans lesquelles l’utiliser.

VLAN statique

Les VLAN statiques existent lorsque les administrateurs réseau connectent manuellement les appareils réseau à des ports de commutateur physiques et que ces appareils reçoivent leur affectation de VLAN en fonction de cette connexion. Si l’appareil doit être réaffecté à un nouveau VLAN, l’administrateur réseau le connecte physiquement à un nouveau port de commutateur déjà associé à ce VLAN. En d’autres termes, dans un VLAN statique, ce sont les ports de commutateur qui sont affectés aux VLAN, et non les appareils : ceux-ci reçoivent leurs instructions directement du port de commutateur auquel ils sont connectés.

Ce type de VLAN convient particulièrement aux réseaux de petite taille, ou aux réseaux qui changent peu et comportent peu de segments VLAN, car les administrateurs réseau doivent connecter manuellement (et parfois reconnecter) les appareils aux bons ports pour qu’ils fonctionnent. Dans un réseau plus vaste qui évolue fréquemment, cette seule tâche pourrait devenir un emploi à temps plein et être truffée d’erreurs. Les VLAN statiques sont particulièrement avantageux pour les administrateurs réseau qui ont besoin d’un VLAN facile à configurer, doté d’une infrastructure prévisible et de besoins limités en matière d’authentification.

VLAN dynamique

Un VLAN dynamique est un VLAN auquel les appareils sont affectés de manière dynamique et semi-automatisée. Des critères spécialisés déterminent quels appareils sont affectés à quels VLAN et à quel moment. Ces critères peuvent inclure des contrôles et protocoles spécialisés d’accès au réseau, des serveurs de stratégie d’appartenance aux VLAN (VMPS) et des bases de données, ou toute autre combinaison de serveurs et de règles fondées sur les données. Avec un VLAN dynamique, les appareils sont affectés aux VLAN, tandis que les ports ne sont généralement pas affectés à des VLAN particuliers ; ils constituent simplement le conduit par lequel circule le trafic des appareils préalablement affectés.

Les VLAN dynamiques sont particulièrement adaptés aux réseaux plus vastes et plus complexes qui doivent gérer des règles d’authentification et d’utilisation évoluant fréquemment. Leur mise en œuvre est beaucoup plus difficile que celle d’un VLAN statique, mais pour des règles et exigences réseau plus contraignantes, un VLAN dynamique fait finalement gagner du temps aux professionnels des réseaux, qui peuvent simplement mettre à jour les protocoles et les entrées VMPS lorsque de nouvelles affectations de VLAN sont nécessaires sur plusieurs appareils.

En résumé : l’importance de la préparation pour optimiser les performances d’un VLAN

Si le processus concret de configuration d’un VLAN peut se résumer à mettre à jour les paramètres du commutateur réseau et à connecter les appareils aux ports de commutateur du VLAN, la stratégie qui sous-tend une configuration VLAN réussie peut être bien plus complexe. Vous devrez prendre en compte les exigences particulières en matière de sécurité ou de conformité, les différents types d’appareils nécessitant un accès, ainsi que les ressources et la surveillance nécessaires pour mettre en place et maintenir un VLAN efficace. 

Toutes les étapes énumérées ci-dessus sont essentielles à la création et à la configuration d’un réseau VLAN durable. Mais la plus importante est peut-être de documenter votre démarche et l’architecture de votre réseau, en particulier à mesure qu’elles évoluent. Une documentation détaillée aidera les membres actuels de vos équipes réseau et sécurité à suivre les mises à jour et les problèmes réseau les plus importants, tout en garantissant que les futurs membres de l’équipe bénéficient de la formation de base nécessaire pour travailler efficacement dans votre écosystème VLAN.

À lire ensuite : Qu’est-ce que la sécurité réseau ? Définition, menaces et protections