Segmentation réseau : VLAN, couches et contrôle d'accès

La segmentation réseau transforme un réseau physique en plusieurs réseaux logiques : pour qu’un téléphone sur le réseau invité, un poste de la comptabilité et un serveur ne se retrouvent jamais par hasard dans le même domaine de diffusion, et pour que le trafic entre eux passe par un point de contrôle où quelqu’un a écrit les règles.

Pensez à une route. L’asphalte seul n’organise pas la circulation ; le marquage au sol, si. Une ligne continue entre deux voies signifie : pas de changement, le trafic de la comptabilité ne dérive jamais sur la voie des invités. Une ligne discontinue signifie : passage autorisé, mais seulement à un endroit signalé et selon ses règles. Sur un réseau, les lignes continues sont les frontières de VLAN, et les lignes discontinues le routeur, le switch de niveau 3 ou le pare-feu où le trafic entre segments est autorisé, inspecté ou refusé. Un réseau à plat est une route sans aucun marquage : elle fonctionne tant que le trafic est léger, puis chacun gêne tout le monde.

Ce guide est la carte. Chaque section dit ce que fait une partie de la segmentation, où elle échoue sur le terrain et où aller plus loin. Deux parties ont déjà leur propre article : Qu’est-ce qu’un VLAN ? et Qu’est-ce que l’ARP, et où s’arrête le domaine de diffusion ?

Pourquoi segmenter un réseau ?

La segmentation limite deux choses : la portée d’une diffusion et la distance qu’un intrus peut parcourir. Un réseau à plat paie les deux en silence.

La première, c’est le bruit. Chaque appareil d’un réseau à plat appelle régulièrement tous les autres : pour trouver l’adresse matérielle d’un voisin, demander une adresse IP ou s’annoncer. Chaque diffusion atteint chaque carte réseau et interrompt brièvement chaque processeur. Avec quelques dizaines d’appareils, personne ne le remarque. Avec quelques centaines, dont des téléphones, des caméras et des imprimantes qui supportent moins bien ces interruptions que des serveurs, le réseau ralentit d’une manière difficile à cerner.

La seconde pèse plus lourd. Les appareils d’un même domaine de diffusion se découvrent sans rien demander à personne. Un portable qui rejoint le réseau invité trouve l’adresse du serveur de comptabilité sans obstacle, et des protocoles comme l’ARP croient n’importe quelle réponse. Dans un réseau à plat, « quelqu’un de non autorisé est entré » signifie toujours « il est entré partout ». La segmentation n’empêche pas le premier pas ; elle réduit la salle à laquelle il donne accès.

Quand n’en avez-vous pas besoin ? Dans un bureau de trois personnes avec un routeur, elle n’apporte rien de mesurable et ajoute de la maintenance. Le critère n’est pas le nombre d’appareils, mais de pouvoir terminer la phrase « ce groupe ne doit pas atteindre celui-là ».

La carte et le terrain : topologie logique et physique

Tout réseau a deux topologies, et c’est dans l’écart entre les deux qu’échouent la plupart des plans de segmentation.

La topologie logique est la carte : comment le trafic est censé circuler, quels segments existent, quelles règles les séparent. Elle est dessinée dans un outil et toujours impeccable. La topologie physique est le terrain : quel câble est réellement branché sur quel port, quel switch a été coincé dans quelle baie, et ce qui a été ajouté depuis le schéma. Elle ne correspond jamais exactement à la carte.

L’écart le plus fréquent a un nom sur le terrain : le switch non administrable que quelqu’un a posé sous un bureau faute de deux ports. C’est un étage construit sans permis. Il fonctionne le plus souvent, donc personne ne le retire, et il sape en silence la conception au-dessus : il agrandit un domaine de diffusion censé rester petit, cache au switch administrable chaque appareil branché derrière lui, et un port prévu pour un appareil de confiance en sert désormais plusieurs inconnus.

On peut le trouver sans y toucher. Un port de switch voit normalement une seule adresse MAC ; si la table MAC d’un switch administrable en montre plusieurs sur un port, quelque chose derrière multiplie les trames. La signature mesurée figure dans Qu’est-ce que l’ARP ? La règle qui en découle : la segmentation se conçoit sur la carte, mais s’applique sur le terrain. Avant de changer quoi que ce soit, découvrez ce qui est réellement branché.

Le modèle à trois couches : cœur, distribution, accès

L’architecture classique d’un réseau commuté comporte trois couches, chacune avec son rôle dans la segmentation.

• Cœur (core) : la dorsale qui transporte le trafic entre les parties du réseau. Conçue pour la vitesse et la disponibilité ; si elle tombe, tous les segments sont coupés les uns des autres. Gardez les règles hors du cœur ; son rôle est de transporter.
• Distribution : là où les segments se rejoignent. On y trouve généralement les passerelles par défaut des VLAN, le routage entre eux et les premières règles d’accès : les endroits à ligne discontinue.
• Accès : là où se branchent les appareils. Les switchs de périphérie décident à quel VLAN appartient chaque port et si un appareil peut seulement se connecter.

Dans les petits réseaux, cœur et distribution se confondent dans une paire de switchs, et c’est très bien. L’essentiel est que les fonctions restent distinctes : acheminement au centre, règles aux jonctions, admission en bordure.

La redondance du cœur est la bonne pratique : deux switchs de cœur, pour que l’un puisse tomber sans tout emporter. Tous les budgets ne le permettent pas sur chaque site. Une alternative viable pour de nombreux petits sites : quelques switchs de secours préconfigurés au siège et une sauvegarde rigoureuse de la configuration de chaque équipement, pour que le remplacement du cœur d’une agence soit un échange, pas une reconstruction. Cela ne marche que si les configurations sont sauvegardées automatiquement et comparables de façon centralisée.

Les goulets d’étranglement se cachent aux frontières entre couches. Un bâtiment peut disposer d’un accès gigabit tandis qu’un utilisateur n’obtient que dix Mbit/s, parce qu’un vieux cordon ou une vieille prise négocie une vitesse inférieure. Un point d’accès capable du gigabit mais relié au switch à 100 Mbit/s s’étouffe dès que dix personnes lancent une visioconférence. Repérez ces points grâce aux graphiques d’utilisation des ports de votre supervision avant d’acheter quoi que ce soit.

Les VLAN : tracer les lignes

Un VLAN découpe un switch en plusieurs réseaux logiquement séparés en attachant à chaque trame un tag 802.1Q de 4 octets. Chaque VLAN est son propre domaine de diffusion : des appareils sur le même switch mais dans des VLAN différents ne s’entendent pas.

Deux rôles de port portent la conception. Un port access appartient à un seul VLAN et cache le tag à l’appareil, si bien que PC, imprimantes et caméras n’ont jamais à connaître les VLAN. Un port trunk transporte plusieurs VLAN entre switchs, routeurs et serveurs, chaque trame gardant son tag. Un détail faux, le VLAN natif d’un trunk, et deux réseaux peuvent être reliés sans que personne ne le voie ; laissé par défaut (VLAN 1), il fait atterrir chaque port inutilisé de chaque switch dans le même segment.

Quatre règles couvrent la plupart des erreurs : n’utiliser le VLAN 1 pour rien ; placer le VLAN natif sur un numéro inutilisé, identique aux deux bouts de chaque trunk ; mettre les ports inutilisés dans un VLAN qui ne mène nulle part et les désactiver ; et, en passant un port en trunk, fixer le VLAN natif avant de changer le mode, sous peine de couper votre propre session. Le tag, les rôles de port, un laboratoire avec deux VLAN sur un câble, les deux pièges de capture et un chemin VLAN qui ne fonctionnait que dans un sens sont dans Qu’est-ce qu’un VLAN ?

Domaines de diffusion et ARP : où se dresse le mur

Le mur que construit un VLAN est un domaine de diffusion, et le protocole qui montre où il se dresse est l’ARP. Chaque appareil résout l’adresse IP d’un voisin en adresse matérielle par une question diffusée ; si la question n’atteint pas le voisin, aucun trafic ne passe, quelle que soit la justesse apparente des réglages IP.

La table ARP est donc le premier outil de diagnostic d’un réseau segmenté, avant même le ping. Le ping peut se taire pour bien des raisons, l’ARP non. Une entrée REACHABLE avec un ping sans réponse signifie : l’appareil est là, quelque chose filtre l’ICMP. Une entrée qui ne se complète jamais signifie : l’appareil est dans un autre domaine de diffusion ou absent, et chercher dans les tables de routage ou les règles de pare-feu est du temps perdu.

Une conséquence surprend à chaque fois : deux appareils du même bloc d’adresses ne sont pas forcément dans le même domaine de diffusion. Le masque dit « voisin », le câble dit « non », et l’ARP croit le câble. La version mesurée, avec les durées du cache ARP, l’ARP gratuit et l’ARP spoofing, est dans Qu’est-ce que l’ARP ?

Le routage entre segments : les lignes discontinues

Des appareils de VLAN différents ne se joignent pas directement, même sur le même switch. Il faut entre eux quelque chose en couche 3, et ce n’est pas une limite, c’est la conception. Trois architectures s’en chargent : le router-on-a-stick (un trunk vers un routeur, une sous-interface par VLAN ; tout le trafic inter-VLAN partage ce lien), le switch de niveau 3 (il route lui-même, rapidement) et le pare-feu (quand le trafic entre segments doit être contrôlé par des règles : exactement le point de contrôle pour lequel la segmentation existe).

Router entre VLAN ne supprime pas l’isolation : cela la concentre en un seul endroit. Dans un réseau à plat, il n’existe aucun endroit où écrire « les invités peuvent aller sur Internet, mais sur rien d’interne » ; avec des segments, il en existe exactement un. Chaque VLAN a sa propre plage d’adresses, sans chevauchement.

À la frontière, l’adressage exige un traitement particulier : la demande DHCP est une diffusion qui s’arrête au bord du VLAN, d’où la nécessité d’un relais DHCP sur le routeur ou le switch de niveau 3. D’autres services qu’un appareil obtenait gratuitement sur le réseau à plat (résolution de noms, heure) peuvent disparaître en silence lors d’un changement de segment ; l’article sur les VLAN montre un serveur de temps mesuré qui a continué sur un repli silencieux.

Sécuriser la bordure : port security et 802.1X

La segmentation décide de ce qu’un port peut atteindre. La couche d’accès décide de qui peut utiliser le port. Sans cela, chaque prise réseau d’une salle de réunion est une porte ouverte sur le VLAN auquel elle appartient par hasard.

Le port security est la base : limiter le nombre d’adresses MAC qu’un port peut apprendre, et décider de ce qui se passe au-delà. Il arrête le cas opportuniste (un switch non administrable branché sur une prise de bureau), mais pas un attaquant déterminé, puisqu’une adresse MAC se copie. Combinez-le avec des ports inutilisés désactivés et placés dans un VLAN sans issue.

Le 802.1X est le vrai contrôle. Un port ainsi configuré ne donne aucun accès à un nouvel appareil tant qu’il ne s’est pas authentifié. Le switch transmet les identifiants (nom d’utilisateur et mot de passe, ou mieux, un certificat) à un serveur RADIUS, qui répond en trois temps, le classique AAA : authentification (l’appareil est-il ce qu’il prétend ?), autorisation (où peut-il aller ? Le serveur RADIUS peut indiquer au switch dans quel VLAN placer le port, de sorte que la même prise envoie le portable de la comptabilité dans le VLAN comptabilité et celui d’un invité dans le VLAN invité) et traçabilité (accounting : qui s’est connecté, quand, combien de temps).

Déployez le 802.1X d’abord en mode surveillance. Imposé immédiatement, une erreur de configuration bloque des appareils légitimes : imprimantes, téléphones, équipements du bâtiment incapables de s’authentifier. Journalisez quelques jours ce qui serait bloqué, créez des exceptions avec leur propre VLAN restreint, puis seulement imposez. Même ordre pour la Dynamic ARP Inspection : surveiller, lire, puis imposer.

La sortie vers Internet : NAT et pare-feu

Passer d’un segment à l’autre dans votre réseau, c’est voyager entre les villes de votre propre pays : il faut un itinéraire, mais personne ne contrôle votre passeport à chaque carrefour. Quitter le pays, c’est-à-dire aller sur Internet, c’est autre chose.

À la frontière, le NAT (traduction d’adresses) donne à vos appareils internes une adresse publique acceptée par le monde extérieur, si bien que des centaines d’appareils partagent une adresse publique. La table de traduction de l’équipement frontière retient à quel appareil interne appartient chaque connexion ; c’est aussi pourquoi un serveur interne reste injoignable depuis l’extérieur tant que personne ne le publie délibérément.

Le pare-feu est la douane. Il vérifie non seulement la destination du trafic, mais aussi ce qu’il transporte : filtrage web par catégories, prévention d’intrusion, inspection du contenu. Pour la segmentation, l’essentiel est que le même équipement applique souvent à la fois la sortie vers Internet et les règles entre segments internes, et que les deux jeux de règles méritent le même soin. Un pare-feu qui inspecte tout ce qui sort mais laisse chaque segment interne joindre tous les autres n’a fait que la moitié du travail. Placez les utilisateurs VPN dans leur propre segment avec leurs propres règles, et protégez leurs identifiants par un second facteur, car un compte VPN volé se retrouve au cœur du réseau.

Priorité sur les voies partagées : la QoS

La segmentation sépare le trafic ; la QoS (qualité de service) décide de ce qui passe en premier quand le trafic partage un lien. Quand une ambulance allume sa sirène, les voitures s’écartent ; la QoS accorde ce traitement à la voix et à la vidéo, parce qu’un appel ne tolère ni retard ni gigue, alors qu’un téléchargement remarque à peine quelques millisecondes.

La priorité voyage avec la trame : le tag 802.1Q qui porte le numéro de VLAN comporte aussi un champ de priorité de 3 bits, d’où la configuration conjointe habituelle du VLAN voix et de la QoS. Deux réserves : la QoS n’agit qu’en cas de congestion et n’agrandit pas un lien simplement trop petit. Et le trafic d’administration (journaux, supervision, gestion des équipements) mérite aussi d’être protégé ; s’il partage un lien saturé avec les utilisateurs, il est parmi les premiers abandonnés, précisément quand vous en avez besoin.

Étiquettes et documentation : faire coïncider carte et terrain

Un réseau segmenté n’est gérable que si quelqu’un sait quel câble va où. L’étiquetage physique est l’assurance la moins chère du métier. Responsable de nombreux sites, vous ne pouvez pas vous déplacer à chaque panne, mais vous pouvez dire à quelqu’un sur place : « vérifiez le câble à l’étiquette rouge Server_01 sur le switch 3 ». Sans étiquettes, cette phrase devient une énigme.

Les descriptions logicielles des ports ne suffisent pas seules. Un technicien déplace un câble du port 5 au port 12 et oublie la description ; l’écran affiche « Camera_05 », et c’est une imprimante qui est branchée. Une étiquette sur le câble voyage avec le câble et reste la seule source fiable sur place. Comme au tableau électrique : une note disant que la cuisine est sur le disjoncteur 3 ne sert à rien si l’électricien l’a déplacée sur le 5.

Pour la segmentation, tenez une fiche par VLAN (numéro, nom, rôle, plage d’adresses, passerelle, règles autorisées en entrée et en sortie) et une par trunk (les deux extrémités, VLAN autorisés, VLAN natif). Et nommez les VLAN sur les switchs eux-mêmes ; six mois plus tard, un nom est souvent le seul indice.

Conclusion : les lignes coûtent peu, les mauvaises lignes coûtent cher

La segmentation n’est pas un produit, c’est un ensemble de lignes que l’on trace puis que l’on fait respecter : en bordure, aux jonctions, à la frontière. Les lignes elles-mêmes coûtent peu ; un VLAN, c’est quelques commandes. Ce qui coûte cher, c’est une mauvaise ligne : un VLAN natif laissé par défaut, un VLAN invité routé librement vers le réseau interne, un switch non administrable dont personne ne connaît l’existence, un serveur déplacé dans un nouveau segment qui a perdu sa source de temps en silence.

Une courte liste pour commencer :

• Connaître le terrain : compter les adresses MAC par port et identifier ce qui se cache derrière chaque port qui en montre plus d’une.
• Retirer le VLAN 1 : aucun trafic, aucune interface d’administration, aucun trunk avec le VLAN 1 comme natif.
• Garer les ports inutilisés : VLAN sans issue et désactivation.
• Écrire les règles des jonctions : chaque passage autorisé entre segments existe parce que quelqu’un l’a décidé et l’a noté.
• Admettre en bordure : port security partout, 802.1X là où c’est le plus important, d’abord en surveillance.
• Protéger l’administration : son propre VLAN, joignable uniquement depuis les postes des administrateurs.
• Étiqueter les câbles : l’étiquette est la fiche qui survit.

Les articles de ce guide vont plus loin là où le terrain échoue d’abord : Qu’est-ce qu’un VLAN ? pour le tag et les ports, Qu’est-ce que l’ARP ? pour le domaine de diffusion et le premier contrôle quand un appareil est injoignable.