VTP et propagation des VLANs
Définition
Le VTP (VLAN Trunking Protocol) est un protocole propriétaire Cisco qui synchronise automatiquement la base de données VLANs entre tous les switches d'un même domaine VTP. Quand un VLAN est créé, modifié ou supprimé sur un switch VTP Server, le changement est propagé à tous les switches VTP Client via les liens trunk.
Contexte
La certification CCST couvre VTP car il est présent par défaut sur les switches Cisco et peut causer des incidents majeurs si mal compris (suppression massive de VLANs). La bonne pratique moderne est d'utiliser VTP en mode transparent ou off pour éviter les risques.
Détails techniques
Modes VTP
| Mode | Crée/supprime VLANs | Propage les changements | Synchronise depuis les autres |
|---|---|---|---|
| Server | Oui | Oui | Oui |
| Client | Non | Oui (relaye) | Oui |
| Transparent | Oui (localement) | Relaye sans appliquer | Non |
| Off (VTP v3) | Oui (localement) | Non | Non |
Fonctionnement
- Tous les switches d'un même domaine VTP et mot de passe échangent des messages VTP via les trunks
- Chaque modification incrémente le revision number
- Un switch avec un revision number plus élevé écrase la base VLANs des autres switches
- Les VLANs ajoutés/supprimés sont synchronisés automatiquement
Risque majeur : VTP Bomb
Si un switch avec un revision number supérieur est connecté au réseau (ex. un ancien switch de lab), il peut écraser tous les VLANs de production :
Scénario catastrophe :
1. Switch de lab avec revision 50 (pas de VLANs configurés)
2. Connecté au réseau de production (revision 30, 20 VLANs)
3. Le lab a un revision supérieur → il écrase la production
4. Tous les VLANs de production sont supprimés → blackout total
Contre-mesures
| Action | Commande |
|---|---|
| Utiliser le mode Transparent | vtp mode transparent |
| Réinitialiser le revision number | Changer le domaine VTP puis revenir |
| Utiliser VTPv3 (primary server) | vtp version 3 + vtp primary |
| Protéger par mot de passe | vtp password <secret> |
Configuration
! Mode recommandé : transparent
Switch(config)# vtp mode transparent
Switch(config)# vtp domain CAMPUS
! Vérification
Switch# show vtp status
VTP Version : 2
Configuration Revision : 0
Maximum VLANs supported : 4096
Number of existing VLANs : 7
VTP Operating Mode : Transparent
VTP Domain Name : CAMPUS
VTP Version 3
Améliorations de VTPv3 :
- Support des VLANs étendus (1006–4094)
- Rôle Primary Server explicite (un seul peut modifier)
- Propagation de la base MST (Multiple Spanning Tree)
- Meilleure sécurité contre les écrasements accidentels
Exemple concret
Un administrateur a 15 switches dans un campus. Il configure le switch cœur de réseau en VTP Server, les switches d'accès en VTP Client. Quand il ajoute VLAN 50 (IoT) sur le serveur, le VLAN est automatiquement créé sur les 14 autres switches. Cependant, après un incident causé par un switch de lab, il migre tout en VTP Transparent et gère les VLANs manuellement ou via un outil d'automatisation (Ansible).