VLAN en entreprise : segmenter son réseau pas à pas, sans tout casser

La réponse courte : un VLAN découpe un même réseau physique en plusieurs réseaux logiques, mais il ne protège rien tout seul. La sécurité vient du filtrage entre ces réseaux. Pour segmenter sans casser l’existant, faites l’inventaire des équipements, créez un petit nombre de zones, écrivez noir sur blanc qui doit parler à qui, puis migrez une famille d’équipements à la fois en testant à chaque étape. Le plus gros risque n’est pas technique : c’est de basculer tout le monde d’un coup sans savoir quels flux existaient.

Chez ALLSAFE SOLUTIONS, à Casablanca, nous réalisons ce type de chantier dans le cadre de nos projets d’infrastructure réseau et WiFi au Maroc. Ce guide reprend la méthode que nous suivons, en s’appuyant sur la documentation de Cisco, Fortinet et WatchGuard citée en fin d’article. Les numéros de VLAN et les adresses donnés ici sont des exemples, à adapter à votre réseau.

Pourquoi segmenter : ce que change un VLAN

Dans un réseau « à plat », postes, serveurs, téléphones, caméras, imprimantes et visiteurs partagent le même espace. Une caméra compromise ou un poste touché par un rançongiciel peut alors tenter d’atteindre tout le reste, sans passer par le moindre contrôle. C’est exactement ce que cherche à éviter le Zero Trust en PME, et c’est une mesure qui compte aussi face aux rançongiciels : limiter la propagation.

Segmenter apporte trois bénéfices concrets :

• La sécurité : un incident reste contenu dans sa zone, et chaque échange entre zones passe par une règle.
• La qualité : la voix ne subit plus le bruit de diffusion des autres équipements, un point détaillé dans les erreurs qui ruinent la qualité des appels.
• La lisibilité : à chaque zone correspond une plage d’adresses, ce qui simplifie le diagnostic et la supervision.

La segmentation est aussi attendue par les référentiels : notre guide PCI DSS pour les commerçants explique pourquoi les terminaux de paiement gagnent à être isolés, et l’agence américaine CISA recommande de superposer les niveaux de segmentation.

Les notions à maîtriser en cinq lignes

Notion	Ce que c’est	À retenir
VLAN	Réseau logique identifié par un numéro, normalisé par 802.1Q	Numéros utilisables de 1 à 4094 ; certains constructeurs en réservent quelques-uns
Port access	Port rattaché à un seul VLAN, sans étiquette	Pour un poste, une imprimante, une caméra
Port trunk	Port qui transporte plusieurs VLAN étiquetés	Entre switchs, vers le pare-feu, les bornes WiFi, un hyperviseur
VLAN natif	VLAN dont le trafic circule sans étiquette sur un trunk	Doit être identique aux deux extrémités du lien
Routage inter-VLAN	Passage d’un VLAN à l’autre	Passe obligatoirement par un équipement de niveau 3 : c’est là que l’on filtre

Ce dernier point est le cœur du sujet. Cisco le rappelle : le trafic entre VLAN doit être routé. Si ce routage est assuré par un switch de niveau 3 sans liste de contrôle d’accès, tous vos VLAN communiquent librement et la segmentation reste théorique. Pour une PME, nous recommandons de faire passer ces échanges par le pare-feu, qui les filtre et les journalise.

Étape 1 : inventorier les équipements et les flux

Avant de créer quoi que ce soit, listez tout ce qui est branché : postes, serveurs, NAS, standard téléphonique, téléphones, bornes WiFi, imprimantes, caméras et enregistreur, pointeuses, terminaux de paiement, automates. Pour chacun, notez l’emplacement, le switch, le port et l’adresse IP si elle est fixe.

Cherchez surtout les dépendances cachées : le logiciel de pointage qui interroge les pointeuses, le copieur qui dépose ses scans sur un serveur, l’application métier qui appelle un poste précis, l’enregistreur consulté depuis le bureau du gérant. Ce sont ces flux oubliés qui provoquent les appels au support le lendemain de la bascule. Vérifiez aussi que vos switchs sont administrables : un switch non administrable ne sait pas séparer les VLAN, comme nous l’expliquons dans baie de brassage et switch PoE : comment choisir.

Étape 2 : définir peu de zones, mais les bonnes

Le bon critère n’est ni le service ni l’étage, mais le niveau de confiance et le besoin d’accès. Une zone n’a de sens que si elle a ses propres règles.

VLAN (exemple)	Zone	Sous-réseau (exemple)	Ce qu’on y place
10	Postes	10.10.10.0/24	Ordinateurs de l’entreprise, WiFi interne
20	Serveurs	10.10.20.0/24	Fichiers, applications, contrôleur de domaine
30	Voix	10.10.30.0/24	Téléphones IP, standard
40	Impression	10.10.40.0/24	Imprimantes, copieurs
50	Caméras et objets connectés	10.10.50.0/24	Caméras, enregistreur, pointeuses
60	Invités	10.10.60.0/24	WiFi visiteurs, internet uniquement
90	Administration	10.10.90.0/24	Interfaces de gestion des switchs, bornes et hyperviseurs
999	Ports inutilisés	aucun	Aucune adresse, aucun routage

Astuce simple : faire correspondre le numéro de VLAN au troisième octet de l’adresse. VLAN 30 et réseau 10.10.30.0 se lisent d’un coup d’œil lors d’un dépannage. Vérifiez aussi que ces plages ne chevauchent ni celles d’un autre site relié en VPN ni celles que l’on trouve sur les box domestiques des télétravailleurs. Si vous avez des sauvegardes sur site, isolez-les également dans une zone à part, avec des accès très réduits.

Étape 3 : écrire la matrice de flux

C’est le document le plus utile du projet, et le plus souvent absent. Il dit qui a le droit d’initier quoi vers qui, avant d’ouvrir la moindre console. Tout ce qui n’y figure pas est refusé.

Depuis	Vers	Autorisé	Exemple de flux
Postes	Serveurs	Oui, limité	Partages de fichiers, applications métier
Postes	Voix	Limité	Softphone vers le standard
Postes	Impression	Oui	Ports d’impression uniquement
Voix	Internet	Limité	Trunk SIP de l’opérateur, mises à jour
Caméras	Internet	Non	Consultation à distance par VPN uniquement
Invités	Réseau interne	Jamais	Internet seul
Administration	Tous	Oui	Depuis une liste réduite de postes
Tous	Administration	Non	Aucun accès depuis les autres zones

Sur les caméras IP comme sur les imprimantes multifonctions, cette logique évite d’exposer des équipements rarement mis à jour.

Étape 4 : créer les VLAN, les trunks et les règles

Sans y placer encore aucun équipement, préparez :

1. Les interfaces sur le pare-feu. Sur un FortiGate, chaque VLAN est une sous-interface d’un port physique relié au switch par un lien 802.1Q, avec son adresse, son DHCP et ses règles. Le trafic ne passe entre deux VLAN qu’une fois une règle créée, et les réponses à une session établie reviennent automatiquement. Chez WatchGuard, chaque VLAN est rattaché à une zone (Trusted, Optional ou External), et les règles s’appuient sur ces zones. Nous détaillons ces produits sur nos pages intégrateur Fortinet au Maroc et WatchGuard.
2. Les VLAN sur les switchs. Avec des FortiSwitch pilotés en FortiLink, les VLAN se créent sur le FortiGate, qui les pousse aux switchs ; chaque port reçoit un VLAN natif et une liste de VLAN autorisés, comme expliqué dans notre guide FortiSwitch, FortiAP et Security Fabric.
3. Les trunks. Sur chaque lien entre équipements, n’autorisez que les VLAN nécessaires, pas tous.
4. Le DHCP. Une étendue par VLAN. Si le serveur DHCP est central, il faut un relais, car les diffusions ne traversent pas les VLAN.
5. Les règles de filtrage, traduites depuis la matrice, avec journalisation.

Étape 5 : les cas qui demandent une attention particulière

• Téléphone avec PC branché derrière. Le port du switch porte le VLAN des postes sans étiquette et le VLAN voix avec étiquette. Le téléphone apprend son VLAN par configuration, par provisionnement ou par LLDP-MED si le switch le prend en charge. Le trafic reste séparé même sur un seul câble.
• Bornes WiFi. Le port de la borne est un trunk, et chaque réseau WiFi (SSID) est associé à un VLAN. Le WiFi interne et le WiFi invités partagent la même borne sans partager le même réseau, voir notre guide de déploiement d’un réseau WiFi d’entreprise.
• Découverte automatique. Les protocoles de découverte d’imprimantes ou d’écrans sans fil s’appuient souvent sur des diffusions qui ne traversent pas les VLAN : prévoyez une file d’impression sur serveur ou une adresse fixe.
• Hyperviseurs. Le port de l’hôte est un trunk et chaque machine virtuelle reçoit son VLAN sur le commutateur virtuel.

Étape 6 : migrer par lots et tester dans les deux sens

Déplacez une famille à la fois, dans un ordre qui limite le risque : invités, puis caméras et imprimantes, puis voix, puis postes, et serveurs en dernier. Pour chaque lot, prévoyez un retour arrière simple : la configuration d’origine sauvegardée, et les ports concernés notés.

Après chaque lot, testez ce qui doit marcher (internet, applications, appels entrants et sortants, impression) mais aussi ce qui doit échouer : depuis le WiFi invités, un serveur et l’interface d’un switch doivent rester inaccessibles. Un test positif seul ne prouve rien sur la segmentation. Surveillez ensuite les refus dans les journaux du pare-feu : ils révèlent les flux oubliés. Ajoutez une règle seulement si le besoin est justifié et documenté.

Durcir les switchs : six réglages à ne pas oublier

1. Ne pas utiliser le VLAN 1 pour les utilisateurs ni pour l’administration. Cisco et WatchGuard le déconseillent : c’est le VLAN par défaut, connu de tous, et il porte le trafic de contrôle sur les switchs Cisco, par exemple.
2. Choisir un VLAN natif dédié, sans utilisateurs, et le même aux deux extrémités du trunk.
3. Placer les ports inutilisés dans un VLAN sans issue, sans DHCP, sans routage ni accès d’administration, ou les désactiver.
4. Forcer le mode des ports : pas de négociation automatique de trunk sur les ports des utilisateurs (DTP chez Cisco).
5. Isoler l’administration : interfaces de gestion dans leur VLAN, accessibles depuis quelques postes seulement.
6. Activer les protections d’accès selon les modèles : sécurité de port, surveillance DHCP, NAC pour placer automatiquement un équipement dans le bon VLAN ou en quarantaine.

Les erreurs que nous corrigeons le plus souvent

Erreur	Conséquence	Correctif
VLAN créés, mais switch de niveau 3 qui route tout	Aucune séparation réelle	Faire passer les échanges par le pare-feu, ou ajouter des listes de contrôle d’accès
Règle « tout autoriser » entre zones	La segmentation n’existe que sur le schéma	Repartir de la matrice de flux
Tous les VLAN autorisés sur tous les trunks	Une erreur de branchement expose une zone entière	Limiter chaque trunk au nécessaire
VLAN natif différent des deux côtés	Trafic envoyé dans le mauvais VLAN	Aligner et documenter
Trop de VLAN, sans règles propres	Exploitation complexe, sans gain	Fusionner les zones aux mêmes besoins
Aucune documentation	Dépannage long, dérive des règles	Tenir à jour le plan et la matrice

Les limites du VLAN

Un VLAN ne remplace ni la mise à jour des équipements, ni un pare-feu bien configuré, ni l’authentification forte. À l’intérieur d’une même zone, les machines restent joignables entre elles : deux postes du VLAN 10 peuvent se parler, sauf isolation spécifique (VLAN privés, isolation des clients sur le WiFi invités, filtrage local sur les postes). Pour aller plus loin, on peut affiner la segmentation autour des systèmes les plus sensibles, mais il vaut mieux une segmentation simple et réellement appliquée qu’une architecture ambitieuse que personne ne maintient. Ces réglages relèvent de la cybersécurité des entreprises au Maroc autant que du réseau.

Comment nous procédons

Nous commençons par un audit initial offert : inventaire, relevé des switchs, repérage des flux réels et des risques. Nous livrons ensuite le plan des VLAN et d’adressage et la matrice de flux, à valider avec vous. Nous préparons les équipements, nous migrons par lots sur des créneaux convenus avec votre équipe, puis nous testons et documentons. Nous pouvons fournir les switchs, les bornes et les licences nécessaires, avec ou sans installation. Dans le cadre de notre infogérance au Maroc, le réseau est ensuite supervisé 24/7, et un incident critique est pris en charge en moins de 15 minutes.

Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées et nous partons de ce qui existe, pour réutiliser tout ce qui peut l’être.

Sources : Cisco, guide de configuration des VLAN IOS XE et bonnes pratiques VLAN pour routeurs Cisco Business ; Fortinet, VLAN sur FortiGate et VLAN sur FortiSwitch en FortiLink ; WatchGuard, à propos des VLAN ; CISA, segmentation en couches.