Segmentation et architecture réseau

Définition

La segmentation découpe un réseau en sous-réseaux isolés pour limiter la propagation d'une attaque. L'architecture réseau organise ces segments en zones de confiance, du périmètre exposé vers le cœur protégé. Un incident dans un segment ne donne pas accès aux autres.

VLAN et 802.1Q

Un VLAN (Virtual Local Area Network) regroupe des ports d'un ou plusieurs commutateurs dans un même domaine de diffusion, indépendamment de la position physique. Le standard 802.1Q marque les trames avec un identifiant VLAN (tag) sur les liaisons trunk. Deux VLAN différents ne communiquent pas directement : le trafic doit passer par un routeur ou un commutateur de couche 3.

Exemple concret : dans un lycée, le VLAN 10 porte les postes administratifs, le VLAN 20 les salles informatiques, le VLAN 30 les caméras. Un poste infecté du VLAN 20 ne peut pas joindre directement les postes du VLAN 10, même branché sur le même commutateur.

Zones de confiance

L'architecture classique distingue trois zones. Le réseau externe est non fiable, c'est Internet. Le réseau interne est considéré comme fiable, avec les postes et les serveurs métier. La DMZ (zone démilitarisée) héberge les services accessibles depuis l'extérieur, comme le web et la messagerie, avec un niveau de confiance intermédiaire. Chaque frontière entre zones est filtrée par un pare-feu.

Périmètre et défense en profondeur

Le périmètre est la frontière entre le réseau de l'organisation et l'extérieur, matérialisée par des pare-feu, des routeurs filtrants et des points d'accès contrôlés. La défense en profondeur superpose plusieurs couches de protection : pare-feu, segmentation, antivirus, contrôle d'accès. Si une couche tombe, la suivante freine l'attaquant. Une architecture plate, sans segmentation, donne à chaque machine compromise l'accès à tout le réseau.