Segmentation réseau et domaines de broadcast
Définition
Segmenter un réseau, c'est le découper en domaines plus petits: chaque port de switch constitue un domaine de collision, chaque interface de routeur ou de VLAN constitue un domaine de broadcast. Un switch seul isole les collisions mais propage toute diffusion à tous ses ports; seul un équipement de couche 3, physique ou logique (SVI), arrête le trafic broadcast.
Contexte
Le thème 1.1 du blueprint 200-301 demande de justifier les choix de conception: topologies, impact des technologies sur la taille des domaines. Les questions d'examen opposent systématiquement les deux notions: combien de domaines de collision et de broadcast dans un diagramme, et quel équipement les sépare. En conception réelle, la segmentation répond à trois problèmes: limiter la charge des diffusions, contenir les incidents, et autoriser des politiques de sécurité et de routage différentes par zone.
Détails techniques
Domaine de collision contre domaine de broadcast
| Domaine de collision | Domaine de broadcast | |
|---|---|---|
| Définition | Zone où deux émissions simultanées se perçoivent | Zone où une trame destination FF:FF:FF:FF:FF:FF est retransmise sur tous les ports |
| Créé par | Média partagé, hub, répéteur | Toute trame de diffusion, tout flood inconnu |
| Séparé par | Port de switch (full duplex) | Routeur, SVI, frontière de VLAN |
| Conséquence d'un domaine trop grand | Backoff, collisions, débit effondré | Traitement CPU sur chaque hôte, tempête de broadcast |
En réseau commuté full duplex moderne, les collisions ont disparu du plan de données: le vrai enjeu de segmentation est le broadcast. Un domaine de 300 postes voit chaque ARP, chaque requête DHCP, chaque announcement de protocole de routage multicast 224.0.0.x arriver sur 299 cartes réseau.
Le rôle de chaque équipement
Le switch filtre: il apprend les adresses MAC source par port et ne renvoie une trame unicast connue que vers le port destinataire. Le routeur, lui, ne relaye jamais le broadcast de couche 2: une trame FF:FF:FF:FF:FF:FF reçoit un traitement (elle est destinée au routeur) puis est morte, sauf conversion explicite en couche 3. C'est pourquoi "plus de broadcast" en conception rime toujours avec "plus de frontières de couche 3".
Les coûts du broadcast non maîtrisé
Chaque trame broadcast est interceptée par le pilote réseau de chaque hôte: interruption, passage dans la pile TCP/IP, parfois réponse. À faible dose (1 à 2 % du trafic, ordre de grandeur courant en entreprise), c'est invisible. Au-delà, les postes ralentissent. Trois mécanismes alimentent les dérives:
- Les tempêtes de broadcast: une boucle de couche 2 sans STP ou un NIC défectueux émettant en continu inondent tous les ports. Le trafic explose, la table MAC est battue en brèche, le switch sature.
- L'inconnu unicast flood: une destination absente de la table MAC (ou table saturée) est envoyée comme un broadcast, sur tous les ports du VLAN. Les attaquants l'exploitent pour renifler du trafic.
- Les protocoles bavards: NetBIOS, certaines découvertes automatiques d'imprimantes, certains modes de téléphonie génèrent du broadcast permanent même sans utilisateur.
Les bénéfices attendus d'une segmentation
| Bénéfice | Mécanisme | Gain mesurable |
|---|---|---|
| Performance | Domaine réduit: chaque ARP touche 30 hôtes au lieu de 300 | Moins d'interruptions par poste, débit utile préservé |
| Contrôle du broadcast | Les diffusions s'arrêtent à la frontière de VLAN / de sous-réseau | Une tempête reste confinée à son VLAN |
| Sécurité | Le trafic d'un VLAN ne se voit pas d'un autre VLAN sans routage explicite | ACL applicables à la passerelle inter-VLAN |
| Disponibilité | Incident isolé: un loop, un DHCP fou ou un ransomware ver de réseau reste dans son périmètre | MTTR réduit, périmètre de remédiation borné |
VLAN et routage inter-VLAN
Le VLAN est l'outil de segmentation de couche 2: il crée des domaines de broadcast logiques sur un même switch physique, sans recâbler. Il ne remplace pas le routeur: chaque VLAN est un sous-réseau, et passer du VLAN 10 au VLAN 20 exige une passerelle de couche 3 (SVI sur switch L3 ou router-on-a-stick). Le design courant associe les deux: segmentation L2 par VLAN, contrôle et sécurité L3 à la passerelle. Les dimensions usuelles: un sous-réseau /24 offre 253 hôtes utilisables, et la règle pratique retenue en entreprise est de rester sous 200 à 300 hôtes par domaine de broadcast.
! Segmentation L2 par VLAN sur un switch 24 ports
SW1(config)# vlan 10
SW1(config-vlan)# name COMPTA
SW1(config)# vlan 20
SW1(config-vlan)# name IT
! Passerelles de couche 3 (switch L3)
SW1(config)# interface Vlan10
SW1(config-if)# ip address 172.16.10.1 255.255.255.0
SW1(config)# interface Vlan20
SW1(config-if)# ip address 172.16.20.1 255.255.255.0
! Ports d'accès
SW1(config)# interface GigabitEthernet1/0/1
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 10
Exemple concret
Une PME de 120 postes est câblée sur 5 switchs en étoile, un seul VLAN, un seul /22 (172.16.0.0/22). Chaque requête ARP d'un poste est reçue par 119 autres. Le lundi à 8h, l'ouverture simultanée des sessions Windows et les découvertes automatiques de périphériques montent le trafic de diffusion à 7 % du flux total: les postes vieillissants gèlent. Dans la même semaine, un câble branché par erreur entre deux ports d'un switch de bureau crée une boucle sans blocage: tout le site tombe. La refonte découpe le réseau en 4 VLAN (direction, ventes, technique, invités) avec passerelles SVI: la boucle suivante reste confinée au VLAN invité, le broadcast moyen retombe sous 1,5 %, et les ACL inter-VLAN deviennent possibles.