Un VLAN (Virtual Local Area Network) est un sous-réseau logique configuré sur un switch pour regrouper des équipements réseau indépendamment de leur emplacement physique. Cette segmentation de couche 2 du modèle OSI isole les flux de données entre groupes d’appareils, même s’ils partagent la même infrastructure câblée.
Tag 802.1Q : le mécanisme qui rend le VLAN possible
La plupart des articles sur les VLAN expliquent le concept sans détailler ce qui se passe concrètement dans la trame Ethernet. Le standard IEEE 802.1Q insère un champ de 4 octets dans l’en-tête de chaque trame réseau. Ce champ contient un identifiant de VLAN (le VLAN ID), codé sur 12 bits, ce qui permet théoriquement de créer jusqu’à 4 094 VLAN distincts sur un même switch.
Quand un paquet arrive sur un port configuré en mode access, le switch ajoute le tag correspondant au VLAN assigné à ce port. Le paquet circule ensuite sur le réseau interne avec cette étiquette. Lorsqu’il atteint le port de sortie vers l’équipement destinataire, le switch retire le tag avant de transmettre la trame.
Les ports trunk fonctionnent différemment : ils transportent simultanément les trames de plusieurs VLAN entre deux switches ou entre un switch et un routeur. Le tag 802.1Q reste présent sur toute la liaison trunk, ce qui permet à l’équipement en bout de chaîne de trier les trames par VLAN ID.
Segmentation VLAN : séparer les flux sans multiplier le matériel
Sur un réseau à plat (sans VLAN), chaque trame de broadcast atteint tous les équipements connectés au même switch. Avec quelques dizaines de postes, le volume de broadcast reste gérable. Avec plusieurs centaines d’équipements, les trames de diffusion consomment une part significative de la bande passante.
Le VLAN crée des domaines de broadcast isolés. Un poste dans le VLAN 10 (comptabilité, par exemple) n’envoie ses trames de broadcast qu’aux autres membres du VLAN 10. Les serveurs du VLAN 20 ne reçoivent jamais ce trafic.
Cette segmentation logique remplace ce qui nécessitait autrefois des switches physiquement séparés. Un seul commutateur peut héberger plusieurs VLAN, chacun se comportant comme un réseau local indépendant. Les bénéfices concrets :
- Réduction du trafic de broadcast, ce qui libère de la bande passante pour les flux applicatifs réels
- Isolation des équipements sensibles (serveurs de données, terminaux de paiement, objets IoT) dans des VLAN dédiés
- Flexibilité de gestion : déplacer un poste d’un service à un autre se fait par reconfiguration du port, sans intervention sur le câblage
Routage inter-VLAN et pare-feu : la frontière de sécurité réelle
Par défaut, deux VLAN ne communiquent pas entre eux. Pour autoriser des échanges (un poste du VLAN comptabilité qui accède à un serveur du VLAN données), il faut un équipement de couche 3 : un routeur ou un switch de niveau 3 capable de router les paquets entre VLAN.
C’est précisément à ce stade que la question de la sécurité devient critique. Le VLAN seul ne constitue pas une frontière de sécurité suffisante entre des zones de confiance différentes. L’Australian Cyber Security Centre le rappelle dans ses directives réseau de septembre 2026 : la segmentation VLAN doit être complétée par un filtrage explicite.
La bonne pratique consiste à placer un pare-feu en mode « default deny » entre les VLAN qui hébergent des niveaux de sensibilité différents. Le pare-feu n’autorise alors que les flux strictement nécessaires, identifiés par protocole, port et adresse source/destination.
Protections de couche 2 à activer sur le switch
Même au sein d’un VLAN, des attaques peuvent exploiter les mécanismes de couche 2. Les protections recommandées par les guides de sécurité réseau récents incluent :
- DHCP snooping : empêche un équipement malveillant de se faire passer pour un serveur DHCP et de distribuer de fausses configurations réseau
- Dynamic ARP Inspection (DAI) : vérifie la cohérence entre les adresses MAC et IP pour bloquer les attaques par empoisonnement ARP
- IP Source Guard : filtre le trafic en n’autorisant que les combinaisons IP/MAC validées par le DHCP snooping
Sans ces protections, un attaquant ayant accès à un port du VLAN peut intercepter le trafic des autres membres du même VLAN.
VLAN et segmentation moderne : une brique parmi d’autres
La segmentation par VLAN reste un outil fondamental dans l’architecture réseau d’entreprise, mais elle ne couvre qu’une partie du périmètre. Les attaques documentées en 2025-2026 contre des infrastructures industrielles montrent que le VLAN doit s’inscrire dans une stratégie de segmentation multicouche.
Dans les environnements qui mêlent postes de travail, objets connectés (IoT) et systèmes industriels (OT), le VLAN assure la séparation opérationnelle au niveau du switch. Le pare-feu gère le filtrage entre zones de confiance. Des approches complémentaires (micro-segmentation, contrôle d’accès réseau basé sur l’identité) viennent renforcer le dispositif pour les environnements les plus exposés.
Le VLAN n’a pas vocation à disparaître. Il reste la méthode la plus directe pour organiser les flux au niveau de l’infrastructure physique. Mais le considérer comme une solution de sécurité autonome serait une erreur de conception qui peut coûter cher lors d’un incident.
Toute architecture réseau qui repose sur des VLAN sans filtrage inter-zones ni protections de couche 2 présente une surface d’attaque plus large que ce que la segmentation logique laisse supposer. La configuration du switch mérite autant d’attention que celle du pare-feu.
