Les réseaux VLAN

Cours et travaux dirigés

Les réseaux VLAN

COURS

I. Qu’est-ce qu’un réseau VLAN ?

Un VLAN (Virtual Local Area Network ou Virtual LAN, en français Réseau Local Virtuel) est un réseau local regroupant un ensemble de machines de façon logique et non physique.

En effet dans un réseau local la communication entre les différentes machines est régie par l'architecture physique.

Grâce aux réseaux virtuels (VLANs) il est possible de s'affranchir des limitations de l'architecture physique (contraintes géographiques, contraintes d'adressage, ...) en définissant une segmentation logique (logicielle) basée sur un regroupement de machines grâce à des critères (adresses MAC, adresses ip, numéros de port, protocole, etc.).

II. Les différentes topologies de VLAN

Plusieurs types de VLAN sont définis, selon le critère de commutation et le niveau auquel il s'effectue.

A. VLAN de niveau 1 (couche « physique »)

Un VLAN de niveau 1 (aussi appelés VLAN par port, en anglais Port-Based VLAN) définit un réseau virtuel en fonction des ports de raccordement sur le commutateur ;

Les Vlans par port associent un port d'un switch à un numéro de Vlan. On dit alors que le port est « tagué suivant le Vlan donné ». Le switch entretient ensuite une table qui lie chaque Vlan au port associé. Le taggage des ports peut se faire de manière statique ou de manière dynamique (voir la norme 802.1q). Pour établir une interconnexion entre deux commutateurs, on crée « lien marqué », on parle de « liens tagués » ou « liens trunk ».

Avantage du vlan port :

Une attaque extérieure ne pourra se faire qu'en branchant le PC pirate sur un port taggué. Le pirate a donc besoin d'avoir accès à la machine physique pour pénétrer le Vlan.

Inconvénient du vlan port :

Le principal inconvénient du Vlan par port est qu'il nécessite une configuration lourde et contraignante sur chaque switch. A chaque déplacement de poste, il faut modifier les switchs correspondant.

B. VLAN de niveau 2 (couche « liaison »)

Un VLAN de niveau 2 (également appelé VLAN MAC, VLAN par adresse IEEE ou en anglais MAC Address-Based VLAN) consiste à définir un réseau virtuel en fonction des adresses MAC des stations. Ce type de Vlan est généralement utilisé pour regrouper les utilisateurs par service.

Ce type de VLAN est beaucoup plus souple que le VLAN par port car le réseau est indépendant de la localisation de la station ;

Avantage du vlan mac :

• Les Vlans de niveau 2 permettent une sécurité au niveau de l'adresse MAC, c'est à dire qu'un pirate souhaitant se connecter sur le Vlan devra au préalable récupérer une adresse MAC du Vlan pour pouvoir entrer.

• Les Vlans de niveau 2 offrent des possibilités de centralisation des tables Vlans adresses MAC. Chaque Switch interroge ensuite cette table pour connaitre les informations nécessaires à une adresse MAC donnée.

Inconvénient du vlan mac :

• Le Vlan de niveau 2 offre une sécurité moindre que le Vlan par port de par la possibilité de spoofer l'adresse MAC.

• De plus, il n'y a pas de contrôle de flux prévu ce qui nécessite un bon dimensionnement du réseau.

C. VLAN de niveau 3 (couche « réseau »)

La mise en place de Vlan de niveau 3 est conditionnée par l'utilisation d'un protocole routable (IP, autres protocoles propriétaires ...). On distingue plusieurs types de VLAN de niveau 3 :

• Le VLAN par sous-réseau ou VLAN IP (en anglais Network Address-Based VLAN) associe des sous-réseaux selon l'adresse IP source des datagrammes, c'est-à-dire que l'on indique les adresses IP (ou une plage d'IP) qui appartiendront à tel ou tel VLAN.

L'attribution des Vlans se fait de manière automatique en décapsulant le paquet (envoyé) pour obtenir l'adresse IP de la machine source. Cette adresse va déterminer à quel Vlan appartient la machine.

Ce type de solution apporte une grande souplesse dans la mesure où la configuration des commutateurs se modifient automatiquement en cas de déplacement d'une station. En contrepartie une légère dégradation de performances peut se faire sentir dans la mesure où les informations contenues dans les paquets doivent être analysées plus finement.

• Le VLAN par protocole (en anglais Protocol-Based VLAN) permet de créer un réseau virtuel par type de protocole (par exemple TCP/IP, IPX, AppleTalk, etc.), regroupant ainsi toutes les machines utilisant le même protocole au sein d'un même réseau.

Avantage du vlan de niveau 3 :

L'avantage du Vlan de niveau 3 est qu'il permet une affectation automatique à un Vlan suivant une adresse IP. Par conséquent, il suffit de configurer les clients pour joindre les groupes souhaités.

Inconvénient du vlan de niveau 3 :

• Les Vlans de niveau 3 souffrent de lenteur par rapport aux Vlans de niveau 1 et 2. En effet, le switch est obligé de décapsuler le paquet pour obtenir l'adresse IP de la machine source pour pouvoir détecter à quel Vlan appartient le paquet. Il faut donc des équipements plus couteux (car ils doivent pouvoir décapsuler le niveau 3) pour une performance moindre.

• La sécurité est beaucoup plus faible par rapport aux Vlans de

...