Segmentation réseau par VLAN : séparer postes, serveurs, caméras et invités
Dans beaucoup d'entreprises, tous les appareils sont sur le même réseau : postes, serveurs, imprimantes, caméras, téléphones IP, Wi-Fi des visiteurs. C'est un réseau « à plat ». Il fonctionne, jusqu'au jour où un seul appareil compromis permet d'atteindre tous les autres. La segmentation par VLAN est la façon la plus simple et la plus économique de cloisonner ce réseau.
TL;DR
- Un VLAN crée des réseaux séparés sur les mêmes switches.
- Séparez au minimum : postes, serveurs, téléphonie, caméras et équipements connectés, invités, administration.
- Les VLAN ne communiquent qu'à travers un pare-feu ou un routeur, où l'on définit ce qui est autorisé.
- Activez les protections des switches (DHCP snooping, inspection ARP, sécurité des ports) et désactivez les ports inutilisés.
Pourquoi segmenter
- Limiter la propagation : un rançongiciel sur un poste ne doit pas pouvoir atteindre directement les serveurs ou les sauvegardes.
- Isoler les appareils fragiles : caméras, imprimantes et objets connectés sont rarement mis à jour et souvent vulnérables.
- Protéger le Wi-Fi invités : les visiteurs accèdent à Internet, pas à vos fichiers.
- Améliorer les performances : moins de trafic de diffusion par réseau, et une qualité de service possible pour la téléphonie.
- Faciliter les audits : des donneurs d'ordre ou des normes (ISO 27001, PCI DSS) exigent souvent une séparation des réseaux.
Un plan de VLAN type pour une PME
| VLAN | Contenu | Accès typiques autorisés |
|---|---|---|
| 10 – Utilisateurs | Postes de travail | Internet, serveurs applicatifs, imprimantes |
| 20 – Serveurs | Serveurs de fichiers, ERP, annuaire | Réponses aux utilisateurs, sauvegardes |
| 30 – Téléphonie | Téléphones IP, IPBX | IPBX et opérateur SIP uniquement |
| 40 – Caméras / IoT | Caméras, contrôle d'accès, équipements connectés | Enregistreur vidéo uniquement, pas Internet par défaut |
| 50 – Invités | Wi-Fi visiteurs | Internet uniquement |
| 99 – Administration | Interfaces de gestion des switches, bornes, pare-feu | Postes d'administration uniquement |
Dans un site industriel, ajoutez un VLAN pour la production (automates, supervision), strictement séparé de la bureautique.
Les briques techniques
Ports d'accès et trunks
Un port d'accès appartient à un seul VLAN (un poste, une caméra). Un port trunk (norme 802.1Q) transporte plusieurs VLAN entre switches, vers les bornes Wi-Fi ou vers le pare-feu. N'autorisez sur chaque trunk que les VLAN nécessaires.
Routage inter-VLAN
Pour passer d'un VLAN à l'autre, le trafic doit être routé. Faites-le de préférence par le pare-feu, qui applique des règles et journalise les flux. Un switch de niveau 3 peut router plus vite, mais il faut alors des listes de contrôle d'accès (ACL) pour filtrer.
Protections des switches
- DHCP snooping : empêche un appareil de distribuer de fausses adresses IP.
- Inspection ARP dynamique : bloque l'usurpation d'adresses, utilisée pour intercepter le trafic.
- Sécurité des ports ou authentification 802.1X : seuls les appareils autorisés se connectent.
- VLAN privés : les appareils d'un même VLAN (par exemple les caméras) ne se parlent pas entre eux.
- Ports inutilisés désactivés et placés dans un VLAN « parking ».
- Spanning Tree correctement configuré pour éviter les boucles qui paralysent le réseau.
Les erreurs fréquentes
- Créer des VLAN… puis autoriser tout le trafic entre eux sur le pare-feu.
- Laisser le VLAN 1 par défaut pour les utilisateurs et la gestion des switches.
- Autoriser tous les VLAN sur tous les trunks.
- Oublier le Wi-Fi : chaque nom de réseau (SSID) doit correspondre à un VLAN.
- Ne pas documenter : six mois plus tard, personne ne sait plus quel port appartient à quel VLAN.
Migrer un réseau à plat sans tout casser
- Inventorier les appareils et leurs flux (qui parle à qui).
- Définir le plan de VLAN et les plages d'adresses.
- Créer les VLAN et les règles sur le pare-feu, en mode journalisation d'abord.
- Migrer par groupe : invités et caméras d'abord (peu de risques), puis téléphonie, serveurs et postes.
- Resserrer progressivement les règles en s'appuyant sur les journaux.
Ce que fait IPBRIDGE
IPBRIDGE est revendeur Fortinet, pfSense (Netgate), Ubiquiti et Avaya au Maroc : nous fournissons le matériel et les licences, et nous assurons l'installation, la configuration et le suivi.
IPBRIDGE conçoit et met en place la segmentation des réseaux d'entreprise au Maroc : plan de VLAN, configuration des switches (Cisco, FortiSwitch, Aruba et autres), Wi-Fi par SSID, règles de pare-feu entre zones, protections des ports et documentation. La migration se fait par étapes pour ne pas interrompre l'activité.
À lire aussi : sécuriser ses switches et routeurs · hybrid mesh firewall et flux est-ouest.
Services liés : Réseau informatique d'entreprise · Cybersécurité
FAQ
Faut-il changer ses switches pour faire des VLAN ?
Seulement s'ils ne sont pas « managés ». Les switches de bureau non administrables ne gèrent pas les VLAN ; la plupart des switches professionnels le font.
Les VLAN suffisent-ils pour sécuriser le réseau ?
Non. Ils séparent les réseaux, mais la sécurité vient des règles appliquées entre eux par le pare-feu, et des protections activées sur les switches.
Combien de VLAN créer ?
Assez pour séparer les usages qui n'ont pas les mêmes besoins de sécurité, sans en créer trop pour rester gérable. Cinq à huit VLAN suffisent pour la plupart des PME.
Les téléphones IP doivent-ils être dans un VLAN séparé ?
Oui. Un VLAN voix permet de prioriser la téléphonie et de limiter les flux vers l'IPBX. Les switches peuvent attribuer automatiquement ce VLAN aux téléphones.
La segmentation ralentit-elle le réseau ?
Non, si le pare-feu ou le switch qui route entre les VLAN est bien dimensionné. Elle réduit même le trafic de diffusion dans chaque réseau.
En résumé
La segmentation par VLAN transforme un réseau à plat, où tout le monde voit tout, en zones séparées avec des règles claires. C'est une mesure peu coûteuse qui limite fortement l'impact d'une attaque et facilite l'exploitation du réseau.
Demander mon bilan IT gratuit · 📞 +212 771 929102
Un point de départ, sans engagement
Le bilan IT gratuit de 30 minutes vous donne un état des lieux de votre parc, les risques classés par gravité et une feuille de route chiffrée.
© 2026 IPBRIDGE — Infogérance, cybersécurité et téléphonie IP au Maroc