VLAN, les notions fondamentales

Définition

Un VLAN (Virtual LAN) est un domaine de broadcast logique configuré par logiciel sur un switch: les ports placés dans un même VLAN se voient entre eux comme s'ils étaient branchés sur le même petit switch dédié, et sont isolés des autres VLANs, même physiquement à côté. Au lieu d'acheter un switch par service, un seul châssis héberge plusieurs réseaux séparés.

Contexte

C'est une première approche: le blueprint 200-301 introduit les VLANs en thème 1 (rôle de la segmentation) et les traite vraiment en thème 2.1/2.2 avec le trunking 802.1Q, les ports trunk et la native VLAN, couverts dans le chapitre Network Access (vlan_et_trunking_802_1q, ports_access_et_ports_trunk). Ici: ce qu'est un VLAN, pourquoi on en met, comment on en crée un, et ce qu'il faut quand un VLAN s'étend sur deux switchs.

Détails techniques

VLAN = domaine de broadcast

Sans VLAN, tous les ports d'un switch appartiennent au même domaine de diffusion: une trame FF:FF:FF:FF:FF:FF entre sur un port ressort sur tous les autres. Le VLAN découpe le switch en domaines de broadcast distincts. Conséquence directe: un VLAN est un sous-réseau. Communication entre deux VLANs = passage par une passerelle de couche 3 (SVI sur switch L3), puis routage classique entre les sous-réseaux.

VLAN 1 par défaut

Au premier démarrage, chaque port Catalyst est membre du VLAN 1, nommé "default". Le VLAN 1 a trois particularités: il ne peut pas être supprimé, il sert de native VLAN par défaut sur les trunk, et les trames de contrôle (CDP, PAgP, une partie des BPDUs) y transitent historiquement sans tag. Le déplacer hors de l'usage utilisateur et confier la native VLAN à un VLAN dédié sont des bonnes pratiques de durcissement, pas des obligations d'examen basiques.

Pourquoi des VLANs plutôt que des switchs séparés

Critère	Un switch par service	VLANs sur un switch
Câblage	Des cordons et des ports multipliés par le nombre de services	Un câble par poste
Coût	Multiplié par le nombre de services	Mutualisé
Administratif	Déplacement physique d'un poste	Un port à reconfigurer
Isolation	Physique, totale	Logique, forte mais dépend de la config

Bénéfices à retenir pour l'examen: limitation des domaines de broadcast, sécurité par séparation des services (voix, données, invités, management), souplesse: un utilisateur déménage sans changer de sous-réseau tant qu'on réaffecte son port au bon VLAN, et confinement des incidents. Le corollaire: un port n'appartient qu'à un seul VLAN à la fois en mode access; pour porter plusieurs VLANs sur un même lien, il faut un trunk.

Numérotation et noms

• VLAN ID valide: 1 à 4094 (champ de 12 bits). 0 et 4095 sont réservés.
• VLANs normaux 1 à 1005: historiquement stockés dans vlan.dat; étendus 1006 à 4094 en base de données sur les plateformes classiques.
• Un nom lisible (COMPTA, VOIX, GUESTS) remplace le nom par défaut VLAN0010 et rend show vlan brief vérifiable d'un coup d'œil.

Configurer un VLAN et y placer un port

IOS moderne configure les VLANs en mode global; la vieille commande vlan database (mode VLDB, stockage vlan.dat) reste dans la littérature et les vieux labs:

! Creation d'un VLAN (mode config global, IOS moderne)
SW1(config)# vlan 10
SW1(config-vlan)# name COMPTA
SW1(config-vlan)# exit
! Affectation d'un port d'acces
SW1(config)# interface GigabitEthernet1/0/5
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 10
! Verification
SW1# show vlan brief
VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
1    default                          active    Gi1/0/2, Gi1/0/3
10   COMPTA                           active    Gi1/0/5
SW1# show interfaces GigabitEthernet1/0/5 switchport
 Name: Gi1/0/5
 Switchport: Enabled
 Administrative Mode: static access
 Operational Mode: static access
 Administrative Access VLAN: 10

Le port bascule immédiatement: la table MAC du VLAN change, et si le SVI existe, l'hôte doit être dans le bon sous-réseau pour sortir du VLAN.

Un VLAN sur deux switchs: le trunk est obligatoire

Un VLAN qui vit sur deux châssis ne se propage pas par magie: le lien entre les switchs doit transporter le trafic de tous les VLANs concernés, identifiés par un tag 802.1Q de 4 octets posé sur la trame. C'est un trunk, et il n'y a pas d'alternative sans multiplexer les câbles (un lien par VLAN). Le détail de l'encapsulation, de la native VLAN et de switchport trunk allowed vlan appartient au chapitre Network Access (article VLAN et trunking 802.1Q). Retiens juste: multi-switch implique trunk, et VTP est un distributeur de base VLANs, pas un transporteur de trafic.

Exemple concret

Un plateau de 48 postes sur deux Catalyst 2960 en cascade. Avant: un seul VLAN, une tempête de broadcast due à une boucle sur le switch 2 paralyse aussi le switch 1, et la comptabilité voit passer les diffusion scans du réseau invités. Après: trois VLANs (10 COMPTA, 20 VENTES, 30 GUESTS), le lien entre les deux châssis configuré trunk (802.1Q), les passerelles SVI 172.16.10.1/24, 172.16.20.1/24, 172.16.30.1/24 sur le switch de distribution. La nouvelle boucle du VLAN 30 un mois plus tard ne touche ni le VLAN 10 ni le VLAN 20: seul le réseau invités ralentit, l'incident est isolé, le switch 1 continue de router les deux autres sous-réseaux.