Qu’est-ce qu’un VLAN et pourquoi s’en servir
Un VLAN (Virtual Local Area Network) est un réseau virtuel : plusieurs groupes d’appareils partagent le même commutateur, mais ne se voient pas.
Dans un collège, les élèves et le personnel ne doivent pas être sur le même réseau. Un seul commutateur, deux groupes séparés.
À la fin, tu sauras dire qui peut parler à qui.
À la fin de cette leçon
Remarque
Je peux garder deux groupes séparés sur un seul commutateur.
Mots clés
| Mot | Ce que ça veut dire |
|---|---|
| Commutateur | un boîtier qui relie les appareils d’un même réseau par des câbles |
| VLAN | un réseau virtuel : un groupe de ports qui forme son propre réseau |
| Port d’accès | un port du commutateur qui appartient à un seul VLAN |
| Port trunk | un port qui transporte plusieurs VLAN vers un autre appareil |
| Étiquette | un petit numéro ajouté à un message pour dire de quel VLAN il vient |
| Routeur sur un bâton | un routeur qui relie des VLAN par un seul câble vers le commutateur |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Un commutateur seul ne sépare personne
Dans un commutateur normal, tous les ports sont dans le même réseau. Un message de diffusion arrive chez tout le monde.
Un élève et un professeur branchés au même commutateur se voient donc. C’est un risque : un élève pourrait chercher les ordinateurs du personnel.
Regarde le commutateur, le routeur et les hôtes
sudo vlanlab statusAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Lis la table des VLAN du commutateur
sudo ip netns exec sw bridge vlan showAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Tous les ports sont d’abord en VLAN 1
Le premier Run liste cinq machines : sw, r1, h10, h20 et srv. Chaque hôte a une adresse, par exemple 10.10.0.11 pour h10.
Le second montre la table du commutateur. Chaque port, p-h10, p-h20, p-srv et p-r1, n’est que dans le VLAN 1. Rien n’est encore séparé.
Un port d’accès, un port trunk
Un port d’accès appartient à un seul VLAN. L’ordinateur branché dessus ne sait rien des VLAN.
Un port trunk transporte plusieurs VLAN sur un seul câble. Chaque message porte une étiquette avec le numéro du VLAN. Le trunk va vers le routeur.
Exemple travaillé : le plan d’un collège
| Port | Branché à | Type | VLAN |
|---|---|---|---|
| 1 | Salle des professeurs | accès | 30 |
| 2 | Salle informatique des élèves | accès | 40 |
| 3 | Imprimante partagée | accès | 30 |
| 24 | Routeur | trunk | 30 et 40 |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Deux VLAN se parlent seulement par un routeur
Deux VLAN sont deux réseaux différents. Pour qu’ils se parlent, un routeur doit les relier. Il reçoit les messages par le trunk.
C’est aussi là qu’on met les règles : le routeur peut laisser passer un VLAN vers un autre, ou le refuser. La séparation devient un choix.
Teste si h20 voit srv sans routeur
sudo ip netns exec h20 arping -c 2 -I eth0 10.10.0.100Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Une réponse directe prouve l’absence de séparation
h20 est un appareil du futur VLAN 20, srv un serveur du VLAN 10. Au départ, les deux sont dans le VLAN 1.
Le test arping (une question sur le réseau local) obtient donc une réponse de srv, sans passer par aucun routeur. Après le lab, cette réponse ne doit plus venir.
Une erreur fréquente
Attention
Beaucoup croient qu’un VLAN est un mur de sécurité. Il sépare, mais seul le routeur décide ce qui passe entre deux VLAN. Un trunk mal réglé laisse passer tous les VLAN : vérifie toujours la liste.