VLANs et segmentation réseau

Dans un immeuble de bureaux, personne n'imagine laisser tous les locaux ouverts les uns sur les autres : la comptabilité, l'accueil et la salle des serveurs ont des portes et des badges différents. Les réseaux informatiques obéissent à la même logique, qu'on appelle segmentation. Dans cette leçon, vous découvrez les VLAN, l'un des outils les plus répandus pour la mettre en œuvre.

La leçon précédente a montré que tout ce qui partage un même réseau local se fait mutuellement confiance, plus qu'il ne faudrait. Segmenter, c'est réduire cette confiance. C'est aussi une compétence que vous retrouverez dans la conception de votre propre laboratoire, au prochain chapitre.

Un seul réseau plat : le problème

Imaginez une PME où tout est branché sur le même switch et le même réseau : les ordinateurs des employés, les caméras, l'imprimante, le serveur de fichiers, la Wi-Fi des visiteurs. On parle de réseau plat. Il est simple à installer, mais présente de gros défauts :

• Le trafic de diffusion (ARP, DHCP…) atteint tout le monde, ce qui ralentit les gros réseaux.
• La compromission d'une seule machine (une caméra jamais mise à jour, un ordinateur infecté) offre un point d'appui pour atteindre toutes les autres : c'est le mouvement latéral.
• Impossible de contrôler finement qui peut parler à quoi : les visiteurs sont sur le même réseau que les serveurs.

Le VLAN : plusieurs réseaux logiques sur un même matériel

Un VLAN (Virtual Local Area Network, réseau local virtuel) découpe un switch physique en plusieurs réseaux logiques indépendants. Deux machines de VLAN différents sont séparées au niveau de la couche 2 : elles ne se voient pas, comme si elles étaient reliées à des switches distincts, même si les câbles aboutissent au même boîtier.

Chaque VLAN possède un identifiant numérique (de 1 à 4094) et, en pratique, son propre sous-réseau IP. Un exemple de plan pour une petite entreprise :

Ports d'accès et ports « trunk »

Deux types de ports de switch sont à connaître :

• Un port d'accès est rattaché à un seul VLAN. L'ordinateur qui y est branché ignore l'existence des VLAN : il envoie des trames ordinaires, et le switch les « étiquette » en interne.
• Un port trunk relie deux équipements réseau (switch à switch, switch à routeur) et transporte plusieurs VLAN à la fois. Chaque trame y reçoit une étiquette 802.1Q, c'est-à-dire quelques octets supplémentaires indiquant le numéro du VLAN auquel elle appartient. Dans Wireshark, ces étiquettes apparaissent sous le nom « 802.1Q Virtual LAN ».

Pour que les VLAN puissent malgré tout communiquer quand c'est nécessaire (l'employé doit pouvoir accéder au serveur de fichiers), on utilise le routage inter-VLAN : un routeur ou un switch de niveau 3 relie les VLAN, et c'est à cet endroit que l'on applique les règles de filtrage : les employés peuvent atteindre le serveur de fichiers, mais pas l'inverse ; les invités ne peuvent atteindre qu'Internet.

Un VLAN, ce n'est pas un pare-feu

C'est l'erreur la plus fréquente : croire qu'un VLAN suffit à sécuriser. Un VLAN sépare les réseaux, mais ne décide rien tout seul. La sécurité vient des règles appliquées là où les VLAN se rejoignent (listes de contrôle d'accès, pare-feu). Et la configuration du switch compte : des erreurs courantes (ports laissés dans un mode permissif, VLAN par défaut utilisé partout, ports inutilisés non désactivés) peuvent permettre à un intrus de se glisser d'un VLAN à un autre, ce qu'on appelle un « saut de VLAN ». Les bonnes pratiques ne sont pas compliquées :

• configurer explicitement chaque port (accès ou trunk) plutôt que de laisser la négociation automatique ;
• désactiver les ports inutilisés ;
• ne pas utiliser le VLAN par défaut pour des machines réelles ;
• filtrer le trafic entre VLAN avec le principe du refus par défaut ;
• isoler le VLAN d'administration des équipements réseau.

La segmentation, bien au-delà des VLAN

Le principe général est celui de la défense en profondeur : plusieurs barrières successives plutôt qu'une seule. Un attaquant qui franchit la première se heurte à la suivante. On distingue :

• la segmentation physique (réseaux véritablement distincts) ;
• la segmentation logique (VLAN, sous-réseaux, pare-feu internes) ;
• la microsegmentation, qui contrôle les flux machine par machine, notamment dans les centres de données et le cloud.

Elle sert aussi la conformité : certaines réglementations imposent d'isoler les systèmes qui traitent des données de paiement ou des données de santé. Pour les systèmes industriels ou hospitaliers, difficiles à mettre à jour, une bonne segmentation est souvent la meilleure protection possible.

Lien avec votre laboratoire

Dans votre laboratoire virtuel, vous n'aurez pas de switch physique : l'hyperviseur crée des réseaux virtuels (réseau interne, réseau « hôte uniquement »). Le principe est identique : chaque réseau virtuel est un « VLAN » dans lequel vous placez les machines qui doivent se voir. Vous verrez comment cela fonctionne au chapitre suivant.

À vous de jouer

Exercice : concevoir un plan de segmentation. Une petite agence immobilière dispose de : 8 ordinateurs de bureau, 2 ordinateurs portables de direction, un serveur de fichiers, un site web hébergé en interne sur un serveur, une imprimante réseau, 3 caméras de surveillance et un Wi-Fi pour les clients.

1. Proposez des VLAN et un sous-réseau pour chaque groupe.
2. Décrivez en une ligne chaque règle de filtrage inter-VLAN nécessaire.
3. Quel équipement d'une telle agence vous semble le plus risqué à laisser sur le réseau des employés, et pourquoi ?

Jusqu'ici, nous avons raisonné en IPv4. Mais Internet est en train de changer de système d'adressage, et vos réseaux utilisent déjà souvent l'IPv6 sans que vous le sachiez. Dernière leçon du chapitre.