Un poste compromis sur le réseau d’un hôtel, et ce sont les données du PMS (Property Management System), les terminaux de paiement et la vidéosurveillance qui se retrouvent exposés d’un coup. Ce scénario arrive quand tout le trafic circule sur un seul réseau à plat, sans cloisonnement. Le VLAN (Virtual Local Area Network) est la première brique pour éviter cette propagation.
On va voir comment ce mécanisme fonctionne concrètement, où il protège vraiment, et à quel moment il ne suffit plus.
A lire aussi : Sécuriser vos données selon le RGPD avec des mesures efficaces
VLAN define : un réseau logique indépendant du câblage physique
Un VLAN est un réseau local virtuel. Il permet de regrouper des machines qui partagent les mêmes règles de communication, sans tenir compte de leur emplacement physique sur le câblage. Deux postes branchés sur le même switch peuvent appartenir à des VLAN différents et ne jamais se voir.
Le fonctionnement repose sur la couche 2 du modèle OSI. Chaque trame Ethernet est marquée par un identifiant de VLAN (le tag 802.1Q) quand elle transite entre les switches. Les ports du switch sont configurés soit en mode accès (un seul VLAN attribué), soit en mode trunk (transport de plusieurs VLAN sur un même lien physique).
A voir aussi : Accès aux données personnelles : qui peut consulter vos informations ?
En pratique, on crée un VLAN pour chaque usage distinct : un pour les postes bureautiques, un pour la téléphonie IP, un pour le Wi-Fi invités, un pour les systèmes critiques. Chaque VLAN forme un domaine de broadcast isolé, ce qui signifie qu’un appareil sur le VLAN invités ne reçoit pas le trafic du VLAN comptabilité.
Segmentation VLAN et sécurité réseau : ce que le cloisonnement empêche réellement
La segmentation par VLAN limite la surface d’attaque. Si un poste est infecté par un ransomware sur le VLAN bureautique, le trafic malveillant ne peut pas atteindre directement le VLAN des serveurs de bases de données. La menace reste contenue dans son segment.
C’est aussi un levier de conformité. Dans le secteur hôtelier, des architectures récentes utilisent la segmentation VLAN pour isoler le PMS et les données clients du Wi-Fi invités et des objets connectés (domotique, vidéosurveillance). L’objectif est de limiter l’exposition des données personnelles aux seuls segments nécessaires, ce qui facilite le respect du RGPD.
Ce que la segmentation VLAN ne fait pas
Un VLAN seul ne filtre pas le trafic. Il sépare, il ne contrôle pas. Si un routage inter-VLAN est activé sans règles de filtrage, les VLAN communiquent entre eux librement. On perd alors tout le bénéfice du cloisonnement.
Les discussions techniques sur ce sujet le rappellent régulièrement : un VLAN est un mur, pas un garde. Le mur empêche le passage par défaut, mais dès qu’on ouvre une porte (le routage), il faut un mécanisme de contrôle d’accès pour vérifier qui passe.
- Sans ACL (Access Control List) ou firewall, le routage inter-VLAN annule le cloisonnement de sécurité
- Le VLAN hopping (exploitation de trunks mal configurés) reste un vecteur d’attaque connu si les ports non utilisés ne sont pas désactivés
- Un switch mal configuré avec un VLAN natif par défaut sur les trunks peut exposer un segment entier
Configuration VLAN sur firewall de nouvelle génération : le VLAN comme interface de sécurité
Les firewalls de nouvelle génération (NGFW) comme ceux documentés par Cisco (Secure Firewall, anciennement Firepower) permettent de créer des interfaces VLAN logiques directement sur le firewall. Chaque interface VLAN fonctionne alors comme une interface physique dédiée, avec ses propres politiques de sécurité.
Concrètement, on peut appliquer sur chaque VLAN : des ACL granulaires, de l’inspection de paquets, de la détection d’intrusion (IDS/IPS) et du filtrage applicatif. Le VLAN devient un point d’ancrage pour des politiques de type Zero Trust, où chaque flux entre segments est vérifié et autorisé explicitement.
Pourquoi cette approche change la donne sur le terrain
Dans une architecture classique, le switch gère les VLAN et le firewall gère la sécurité périmétrique. Les deux systèmes coexistent, mais le trafic inter-VLAN peut passer par un simple routeur L3 sans inspection. En intégrant les VLAN comme interfaces du NGFW, tout le trafic inter-segments passe par le moteur d’inspection.
Les retours varient sur ce point selon la taille du réseau : sur une PME avec trois ou quatre VLAN, cette configuration reste simple à maintenir. Sur un campus avec des dizaines de VLAN, la gestion des règles par interface devient un chantier à part entière qui nécessite une planification rigoureuse.
Erreurs fréquentes de configuration VLAN qui compromettent la sécurité
La technologie VLAN protège à condition d’être configurée correctement. Sur le terrain, on rencontre des patterns qui réduisent la sécurité à néant.
- Laisser le VLAN 1 comme VLAN natif sur les trunks : c’est le comportement par défaut de la plupart des switches, et c’est aussi la cible principale du VLAN hopping. Changer le VLAN natif et désactiver les ports trunk inutilisés est la première mesure à appliquer
- Créer des VLAN sans politique de filtrage associée : le cloisonnement existe sur le papier, mais le routage inter-VLAN laisse passer tout le trafic
- Négliger la gestion des VLAN sur les points d’accès Wi-Fi : un SSID invités mappé sur le mauvais VLAN expose le réseau interne
- Ne pas documenter l’attribution des VLAN : au fil du temps, des ports changent d’affectation sans mise à jour de la matrice, et on se retrouve avec des machines sur des segments auxquels elles ne devraient pas appartenir
La segmentation VLAN reste une des briques les plus efficaces pour contenir les menaces et organiser la gestion du trafic réseau. La condition, c’est que chaque VLAN soit associé à une politique de contrôle explicite. Un VLAN bien configuré et adossé à un firewall qui inspecte les flux inter-segments, voilà ce qui protège réellement les données. Sans ce couplage, on obtient un organigramme réseau propre sur un schéma, mais perméable en production.
