Tom Daluzeau
← Parcours Réseau · TP
Réseau · TP · leçon 4 / 8TP 2 et 3 · VLAN15 minTerminée

VLAN, trunk, routage inter-VLAN et sécurité de port

Tu sais créer un VLAN et y placer un port, monter un trunk 802.1Q, router entre VLAN avec un routeur et des sous-interfaces, situer VTP, et verrouiller un port avec port-security.

Mis à jour le

À recouper avec le cours. Cette leçon a été écrite à partir du plan du chapitre, avant relecture avec les supports. En cas de doute, le cours fait foi.

Pourquoi on voit ça

Dans une entreprise, la comptabilité, les ventes et les invités sont branchés sur les mêmes switchs. Pourtant, on ne veut pas qu’ils soient dans le même réseau : trop de diffusions, et aucune séparation. Acheter un switch par service coûterait cher.

La réponse, c’est le VLAN : plusieurs réseaux séparés sur le même matériel. Les TP 2 et 3 enchaînent tout ce qui va avec : relier les switchs (trunk), faire communiquer les VLAN (routage inter-VLAN), diffuser la liste des VLAN (VTP), puis verrouiller les prises (sécurité de port). C’est la sécurité DIC appliquée à la couche 2.

Ce qu’est un VLAN

Un VLAN (Virtual LAN) est un réseau local virtuel : un groupe de ports du switch qui se comportent comme s’ils étaient sur un switch à part.

  • Un VLAN = un domaine de diffusion. Une diffusion envoyée dans le VLAN 10 n’arrive jamais dans le VLAN 20.
  • Un VLAN = un réseau IP. Par exemple VLAN 10 → 192.168.10.0/24, VLAN 20 → 192.168.20.0/24.
  • Par défaut, tous les ports sont dans le VLAN 1.
Switch S1 diffusion bloquée PC1 PC2 PC3 PC4 VLAN 10 · 192.168.10.0/24 VLAN 20 · 192.168.20.0/24
Un seul switch, deux réseaux : la diffusion de PC1 reste dans le VLAN 10.

Créer un VLAN et y mettre un port

S1(config)# vlan 10
S1(config-vlan)# name COMPTA
S1(config-vlan)# exit
S1(config)# interface f0/1
S1(config-if)# switchport mode access
S1(config-if)# switchport access vlan 10
Commande Ce qu’elle fait
vlan 10 Crée le VLAN numéro 10
name COMPTA Lui donne un nom
switchport mode access Le port sert à brancher une machine : il porte un seul VLAN
switchport access vlan 10 Range ce port dans le VLAN 10

On vérifie avec show vlan brief : la liste des VLAN et les ports de chacun.

Le trunk et 802.1Q

Deux switchs portent chacun les VLAN 10 et 20. Entre eux, un seul câble. Pour qu’il transporte plusieurs VLAN, on le passe en trunk.

S1(config)# interface g0/1
S1(config-if)# switchport mode trunk

Sur un trunk, le switch ajoute à chaque trame une étiquette avec le numéro du VLAN. La norme de cette étiquette s’appelle 802.1Q (on dit « dot1q »). Le switch d’en face lit l’étiquette, la retire et remet la trame dans le bon VLAN.

étiquette 802.1Q + trame 10 trame 20 trame lien trunk S1 S2 PC A VLAN 10 PC B VLAN 20 PC C VLAN 10 PC D VLAN 20 ports access : un seul VLAN, pas d'étiquette ports access : un seul VLAN, pas d'étiquette
Sur le trunk, l'étiquette dit à quel VLAN appartient chaque trame. Elle est retirée à l'arrivée.
Port Nombre de VLAN Étiquette On y branche
access Un seul Non Un PC, une imprimante
trunk Plusieurs Oui, 802.1Q Un autre switch, un routeur

On vérifie avec show interfaces trunk.

Le routage inter-VLAN : « router-on-a-stick »

Deux VLAN sont deux réseaux : pour passer de l’un à l’autre, il faut un routeur. Plutôt que d’utiliser un câble par VLAN, on relie le routeur au switch par un seul lien trunk, et on découpe l’interface du routeur en sous-interfaces, une par VLAN.

R1 · interface g0/0 g0/0.10 · VLAN 10 192.168.10.1 g0/0.20 · VLAN 20 192.168.20.1 trunk 802.1Q un seul câble Switch S1 PC du VLAN 10 passerelle 192.168.10.1 PC du VLAN 20 passerelle 192.168.20.1
Un seul câble vers le routeur, une sous-interface par VLAN : son adresse est la passerelle du VLAN.

Sur le routeur :

R1(config)# interface g0/0
R1(config-if)# no shutdown
R1(config-if)# interface g0/0.10
R1(config-subif)# encapsulation dot1Q 10
R1(config-subif)# ip address 192.168.10.1 255.255.255.0
R1(config-subif)# interface g0/0.20
R1(config-subif)# encapsulation dot1Q 20
R1(config-subif)# ip address 192.168.20.1 255.255.255.0
  • interface g0/0.10 crée une sous-interface. Le numéro après le point est libre, mais on prend celui du VLAN pour s’y retrouver.
  • encapsulation dot1Q 10 relie la sous-interface au VLAN 10. Elle se tape avant l’adresse IP.
  • L’adresse IP de la sous-interface est la passerelle des PC de ce VLAN.
  • L’interface physique g0/0 n’a pas d’adresse, mais doit être allumée.
  • Côté switch, le port relié au routeur est en switchport mode trunk.

VTP en bref

Créer les mêmes VLAN à la main sur dix switchs, c’est répétitif. VTP (VLAN Trunking Protocol) propage la liste des VLAN d’un switch aux autres, à travers les trunks. Les switchs doivent être dans le même domaine VTP.

Mode Créer, modifier, supprimer des VLAN Ce qu’il fait des annonces
server Oui Il les envoie aux autres
client Non Il les applique et les transmet
transparent Oui, mais seulement pour lui Il les transmet sans les appliquer 
S1(config)# vtp domain ESGI
S1(config)# vtp mode server

On vérifie avec show vtp status. Attention : VTP propage la liste des VLAN, pas l’affectation des ports. Il faut toujours ranger chaque port dans son VLAN.

La sécurité de port

Par défaut, n’importe qui peut brancher son portable sur une prise murale. La sécurité de port limite les adresses MAC autorisées sur un port.

S1(config)# interface f0/1
S1(config-if)# switchport mode access
S1(config-if)# switchport port-security
S1(config-if)# switchport port-security maximum 1
S1(config-if)# switchport port-security mac-address sticky
S1(config-if)# switchport port-security violation shutdown
Commande Ce qu’elle fait
switchport port-security Active la sécurité. Sans cette ligne, les autres ne servent à rien
maximum 1 Nombre d’adresses MAC autorisées (1 par défaut)
mac-address sticky Le switch apprend tout seul l’adresse de la première machine et l’enregistre dans la configuration
violation shutdown Choisit la réaction en cas d’intrus

Le port doit être en mode access avant d’activer la sécurité.

Les trois modes de violation

Il y a violation quand une adresse MAC non autorisée se présente alors que le maximum est atteint.

Mode Trames de l’intrus Message et compteur État du port
protect Jetées Non, rien Reste allumé
restrict Jetées Oui Reste allumé
shutdown (par défaut) Jetées Oui Coupé (err-disabled)

Du plus discret au plus sévère : protect, restrict, shutdown. Pour rallumer un port coupé, on retire l’intrus puis on tape shutdown et no shutdown sur l’interface.

protect restrict shutdown (par défaut) jette les trames + compte la violation jette les trames + coupe le port état err-disabled compte la violation jette les trames du plus discret au plus sévère
Chaque marche ajoute une conséquence à la précédente.

Vérifier

S1# show port-security
Secure Port  MaxSecureAddr  CurrentAddr  SecurityViolation  Security Action
                (Count)       (Count)          (Count)
--------------------------------------------------------------------
      Fa0/1              1            1                  0         Shutdown

show port-security interface f0/1 donne le détail d’un port : son état, le mode de violation, le nombre de violations et la dernière adresse MAC vue.

À retenir

  • Un VLAN = un domaine de diffusion = un réseau IP. vlan 10, puis sur le port switchport mode access et switchport access vlan 10.
  • Un trunk (switchport mode trunk) transporte plusieurs VLAN grâce à l’étiquette 802.1Q.
  • Router-on-a-stick : une sous-interface par VLAN (g0/0.10), encapsulation dot1Q 10, et son adresse IP est la passerelle du VLAN.
  • VTP propage la liste des VLAN dans un domaine : server (crée et annonce), client (apprend), transparent (gère les siens, laisse passer).
  • Sécurité de port : switchport port-security, maximum, mac-address sticky. Violation : protect (jette en silence), restrict (jette et compte), shutdown (coupe le port, par défaut).
  • Vérifier : show vlan brief, show interfaces trunk, show port-security.

Entraînement

12 questions, dont 4 à compléter. Tu réponds, on passe à la suivante. La note arrive à la fin.

Cartes · 8

Réviser les cartes ici

Espace : retourner