Segmenter un réseau avec des VLAN est devenu un réflexe quasi indispensable pour quiconque cherche à optimiser la sécurité et la performance de son infrastructure. Que ce soit sur un switch Cisco, TP-Link ou Mikrotik, la maîtrise des commandes de configuration reste la clé pour déployer ces réseaux virtuels de façon fluide et efficace. À travers cet article, le jeu des commandes essentielles se dévoile, révélant les subtilités qui font la différence pour gérer, vérifier et sécuriser vos VLAN.
L’article en bref
Décryptage des commandes incontournables pour configurer des VLAN sur switch Cisco, TP-Link et Mikrotik, afin de segmenter et maîtriser son réseau facilement.
- Fondamentaux VLAN : Création et gestion simple des VLAN sur trois marques majeures
- Configuration avancée : Ports Access vs Trunk et protocoles essentiels expliqués
- Outils de vérification : Commandes clés pour diagnostiquer les VLAN et les interfaces
- Pratiques sécurisées : Sécurisation et bonnes habitudes pour un réseau robuste
Maîtriser ces commandes garantit un réseau segmenté, agile et sécurisé, adapté aux besoins actuels.
Clés pour démarrer la configuration VLAN sur un switch Cisco
Pour qui veut manipuler la segmentation réseau dans un environnement Cisco, comprendre la hiérarchie des modes dans l’interface en ligne de commande (CLI) est la première étape. Le passage du mode User EXEC à Privileged EXEC avec enable puis à la configuration globale via configure terminal est la porte d’entrée vers toute action.
La création d’un VLAN à proprement parler commence par vlan [ID], suivi du nommage avec name [nom] pour faciliter le repérage. L’interface VLAN, ou SVI (Switched Virtual Interface), créée via interface vlan [ID], sert ensuite à attribuer une adresse IP et un masque, indispensable pour la gestion à distance du switch.
Attribuer un port en mode Access s’effectue en sélectionnant les interfaces avec interface gigabitethernet 0/1, suivi de switchport mode access et switchport access vlan [ID]. Le détail de la configuration VLAN et des ports s’affiche aisément grâce à show vlan ou show interfaces switchport.
Focus sur la configuration Trunk et les protocoles associés
Les ports Trunk, qui transportent les trames de plusieurs VLANs, nécessitent une attention particulière. La commande switchport mode trunk active ce mode, souvent précédée par le réglage de l’encapsulation via switchport trunk encapsulation dot1q sur Cisco.
Le protocole propriétaire Dynamic Trunking Protocol (DTP) gère la négociation automatique et doit être configuré ou désactivé selon l’environnement pour éviter des conflits inutiles. Pour contrôler le trafic sur un trunk, switchport trunk allowed vlan [ID1,ID2,…] liste les VLANs autorisés à transiter.
Enfin, le protocole Spanning Tree, activé par défaut sur Cisco, joue un rôle crucial dans la prévention des boucles réseau, et peut être paramétré pour optimiser les performances.
Les commandes essentielles pour la gestion VLAN sur TP-Link et Mikrotik
Si Cisco reste le maître incontesté de l’entreprise, TP-Link et Mikrotik offrent des options intéressantes, notamment à moindre coût et avec une prise en main rapide. La configuration des VLAN y est aussi impérative pour segmenter le réseau et isoler les flux.
Chez TP-Link, l’interface Web conviviale est généralement privilégiée, mais les modèles supportant le CLI utilisent des commandes proches, permettant de créer des VLANs, d’affecter des ports aux VLANs et de configurer le mode trunk. La structuration repose souvent sur des interfaces logiques similaires à Cisco.
Chez Mikrotik, système souvent préféré pour sa puissance et sa flexibilité, la configuration VLAN s’effectue via le terminal avec des commandes spécifiques comme /interface vlan add pour créer un VLAN et /interface bridge port pour gérer l’appartenance des ports. Leur documentation évolue régulièrement, mais la logique de séparation des réseaux reste la même.
En situation réelle, Mikrotik excelle dans les environnements où la personnalisation granulaire du réseau est requise, tandis que TP-Link convainc pour des installations simples et rapides.
Liste pour maîtriser les commandes VLAN indispensables sur Cisco, TP-Link et Mikrotik
- Créer un VLAN : Cisco :
vlan [ID], Mikrotik :/interface vlan add - Associer un port à un VLAN en mode Access : Cisco :
switchport mode access+switchport access vlan [ID] - Configurer un port Trunk : Cisco :
switchport mode trunk, encapsulationdot1q - Afficher la configuration VLAN : Cisco :
show vlan, Mikrotik :/interface vlan print - Attribuer une adresse IP à une interface VLAN : Cisco :
interface vlan [ID]+ip address [adresse] - Modifier ou supprimer un VLAN : Cisco :
no vlan [ID], Mikrotik :/interface vlan remove
| Commande | Objectif | Exemple Cisco | Exemple Mikrotik |
|---|---|---|---|
| Créer VLAN | Définir un VLAN identifié par un numéro | vlan 10 |
/interface vlan add name=vlan10 vlan-id=10 interface=ether1 |
| Définir port Access VLAN | Associer un port à un seul VLAN | switchport mode access |
/interface bridge port add bridge=bridge1 interface=ether2 |
| Configurer un port Trunk | Transporter plusieurs VLANs sur un port | switchport mode trunk |
/interface bridge vlan add bridge=bridge1 tagged=ether3 vlan-ids=10,20 |
| Afficher VLANs configurés | Vérifier la liste des VLANs | show vlan |
/interface vlan print |
| Attribuer IP à interface VLAN | Gérer le routeur ou switch à distance | interface vlan 10 |
/ip address add address=192.168.10.1/24 interface=vlan10 |
Exemples de vérifications et dépannage VLAN sur Cisco et Mikrotik
La réussite d’une configuration VLAN passe quasi systématiquement par une série de vérifications. Les commandes affichant le statut des interfaces et des VLANs, comme show ip interface brief, show vlan, ou encore show interfaces trunk sur Cisco, permettent d’identifier rapidement un problème d’association, de mise en service ou de négociation.
Chez Mikrotik, l’examen des ponts VLANs avec /interface bridge vlan print et la surveillance des ports avec /interface bridge port print apportent des indices précieux. Le ping entre différentes parties du réseau VLAN est également un réflexe incontournable lors d’un diagnostic.
Pour éviter les confusions, voici un rappel précieux : un VLAN ne communique pas avec un autre VLAN sans routage ou commutateur L3. Il est donc essentiel d’ajouter cette étape pour les réseaux larges ou complexes. Cette segmentation fine garantit que chaque flux circule seulement là où il doit.
Bonnes pratiques de sécurité pour la configuration VLAN en 2026
Un réseau segmenté peut être un rempart efficace contre les intrusions, mais seulement si la configuration tient compte des risques. La sécurisation des ports par port-security sur Cisco ou les listes d’accès (ACL) bloquant des flux non souhaités sont des essentiels.
Changer le VLAN natif par défaut (souvent VLAN 1) pour en utiliser un moins visible réduit les attaques par VLAN hopping. Le chiffrement des sessions (SSH plutôt que Telnet) pour accéder aux équipements est une autre couche indispensable. Enfin, désactiver des protocoles propriétaires, notamment DTP, évite des relations non désirées entre équipements différents.
Qu’est-ce qu’un VLAN et pourquoi l’utiliser ?
Un VLAN est un réseau local virtuel qui segmente un réseau physique en plusieurs réseaux logiques, améliorant la sécurité, la gestion et la performance en isolant les flux.
Quelle est la différence entre un port Access et Trunk ?
Un port Access appartient à un seul VLAN et connecte un appareil final, tandis qu’un port Trunk transporte le trafic de plusieurs VLANs entre switches ou vers un routeur.
Comment vérifier la bonne configuration d’un VLAN sur Cisco ?
Les commandes comme show vlan, show interfaces switchport et show interfaces trunk permettent de vérifier l’état et l’appartenance des ports aux VLANs.
Peut-on configurer un VLAN sans interface de gestion (SVI) ?
Oui, un VLAN peut être créé et affecté à des ports sans interface SVI, mais cette dernière est nécessaire pour gérer le switch à distance sur ce VLAN.
Pourquoi désactiver DTP sur certains ports ?
DTP automatise la négociation trunk qui peut provoquer des liens inattendus, surtout avec des équipements non-Cisco. Le désactiver évite des problèmes de sécurité et de stabilité.
