Un VLAN regroupe des appareils dans un même réseau logique, indépendamment de leur branchement physique. Derrière cet acronyme (Virtual Local Area Network, ou réseau local virtuel), le principe reste accessible : découper un réseau physique en plusieurs réseaux isolés les uns des autres, sans acheter de matériel supplémentaire. Pour comprendre ce que fait concrètement un VLAN, il suffit de penser à des cloisons virtuelles posées à l’intérieur d’un même câblage.
Réseau physique et réseau logique : ce que change le VLAN
Dans un réseau classique (LAN), tous les appareils branchés sur un même commutateur (switch) peuvent se voir et s’envoyer des données. Un ordinateur du service comptabilité peut, techniquement, recevoir les messages diffusés par une imprimante du service marketing. Ce n’est pas toujours souhaitable.
Le VLAN intervient à ce niveau. Il crée une frontière logique : les appareils assignés au VLAN 10 ne voient que les autres appareils du VLAN 10, même s’ils partagent le même switch que ceux du VLAN 20.
| Critère | Réseau LAN classique | Réseau avec VLAN |
|---|---|---|
| Isolation entre groupes d’appareils | Aucune par défaut | Chaque VLAN forme un groupe étanche |
| Ajout d’un nouveau groupe | Nécessite un switch supplémentaire ou un câblage dédié | Configuration logicielle sur le switch existant |
| Diffusion réseau (broadcast) | Envoyée à tous les appareils du switch | Confinée au VLAN concerné |
| Communication entre groupes | Directe, sans contrôle | Passe obligatoirement par un routeur ou un switch de couche 3 |
| Déplacement d’un poste dans un autre bureau | Peut nécessiter un re-câblage | Réaffectation du port, sans changer de câble |
Ce tableau résume l’écart principal : un LAN sans VLAN fonctionne comme un grand open space sonore, tandis qu’un réseau segmenté en VLANs ressemble à des bureaux fermés, chacun avec sa propre ambiance.
Domaine de diffusion : le mécanisme que les définitions oublient souvent
La plupart des définitions grand public s’arrêtent à « un VLAN sépare des appareils ». Techniquement, un VLAN crée un domaine de diffusion distinct. Quand un appareil envoie un message à tous ses voisins (ce qu’on appelle un broadcast), ce message reste confiné à son VLAN.
Sur un réseau sans VLAN, chaque broadcast atteint tous les appareils du switch. Plus le réseau grandit, plus ces messages polluent la bande passante. En segmentant le réseau, le VLAN réduit ce bruit et améliore la fluidité pour chaque groupe.
Ce point a une conséquence directe sur la sécurité. Un logiciel malveillant qui tente de scanner le réseau depuis un poste compromis ne verra que les machines de son propre VLAN, pas celles des autres groupes. Le confinement du broadcast limite la surface d’attaque en cas d’incident.
VLAN sur plusieurs switchs : un réseau logique sans frontière géographique
Autre idée reçue fréquente : un VLAN serait limité à un seul switch. En réalité, un même VLAN peut s’étendre sur plusieurs commutateurs reliés entre eux par des liens configurés pour transporter plusieurs VLANs simultanément (appelés liens trunk).
Prenons un cas concret. Une entreprise occupe deux étages, chacun équipé de son propre switch. Le service des ressources humaines a des postes aux deux étages. Grâce au VLAN, ces postes appartiennent au même réseau logique, quel que soit l’étage, sans câblage spécifique entre eux. Le lien trunk entre les deux switchs achemine le trafic du VLAN RH (et des autres VLANs) de manière transparente.
Cette capacité rend les VLANs particulièrement utiles pour les organisations réparties sur plusieurs sites ou bâtiments, à condition que les commutateurs soient interconnectés.
Communication entre VLANs : pourquoi un routeur reste indispensable
Un VLAN isole, par conception. Deux appareils situés dans des VLANs différents ne peuvent pas communiquer directement, même s’ils sont branchés sur le même switch physique. Pour qu’un poste du VLAN Comptabilité accède à un serveur placé dans le VLAN Serveurs, le trafic doit passer par un routeur ou un switch de couche 3.
Ce passage obligé par un équipement de routage n’est pas un défaut. C’est une mesure de contrôle. L’administrateur réseau peut y appliquer des règles précises :
- Autoriser le VLAN Comptabilité à accéder au serveur de fichiers, mais pas aux caméras de surveillance
- Bloquer tout trafic entre le VLAN Invités (Wi-Fi visiteurs) et le VLAN Interne
- Limiter la bande passante accordée à un VLAN spécifique pour préserver les ressources des autres
Sans ce mécanisme de routage inter-VLAN, chaque groupe reste dans sa bulle, ce qui convient parfaitement pour des équipements qui n’ont aucune raison de communiquer entre eux (caméras, imprimantes, objets connectés).
Cas d’usage courants : quels appareils isoler en priorité
La segmentation par VLAN ne se limite pas aux grandes entreprises. Elle concerne toute organisation qui connecte des appareils aux niveaux de confiance différents sur un même réseau.
- Les objets connectés (caméras, capteurs, thermostats) représentent un risque : leur firmware est rarement mis à jour, et les isoler dans un VLAN dédié empêche un appareil compromis d’atteindre le reste du réseau
- Les réseaux Wi-Fi invités méritent un VLAN séparé pour que les visiteurs accèdent à internet sans voir les ressources internes de l’organisation
- Les serveurs critiques (bases de données, applications métier) gagnent à être regroupés dans un VLAN distinct, accessible uniquement depuis les VLANs autorisés via des règles de routage
- Les postes de travail peuvent être segmentés par service (RH, finance, technique) pour limiter les accès croisés non nécessaires
La logique est toujours la même : regrouper ce qui doit communiquer, séparer ce qui n’en a pas besoin.
VLAN et sécurité : une couche utile, pas une solution complète
Un VLAN apporte du cloisonnement, pas du chiffrement. Les données qui circulent à l’intérieur d’un VLAN ne sont pas protégées contre l’interception si quelqu’un accède physiquement au réseau. Le VLAN complète un pare-feu et des règles d’accès, il ne les remplace pas.
En revanche, combiné à un pare-feu placé entre les VLANs, il permet de filtrer finement les flux. Cette association constitue un socle solide pour la gestion de la sécurité réseau, en particulier dans les environnements où cohabitent des équipements aux niveaux de confiance très différents.
Le VLAN reste l’un des outils les plus accessibles pour structurer un réseau, réduire le bruit lié aux broadcasts et limiter les dégâts en cas d’incident. Sa mise en place ne demande pas de matériel supplémentaire, seulement un commutateur compatible et une configuration adaptée aux besoins réels de l’organisation.
