Dans beaucoup de petites structures, tout est branché sur le même réseau : les ordinateurs de l’équipe, le serveur de fichiers, l’imprimante, les caméras de surveillance, la box TV, le Wi-Fi des clients et le téléphone personnel du stagiaire. Pratique, mais dangereux : un seul appareil compromis peut voir et attaquer tous les autres.
La segmentation du réseau, généralement avec des VLAN, découpe ce réseau unique en zones isolées, avec des règles de communication explicites entre elles. L’ANSSI rappelle régulièrement que la segmentation des systèmes fait partie des priorités pour limiter l’impact d’une compromission. Bonne nouvelle : c’est accessible à une TPE, avec du matériel abordable.
L’essentiel en 30 secondes
- Un VLAN est un réseau logique séparé, qui partage les mêmes câbles et commutateurs que les autres.
- Le minimum : un réseau invités et un réseau objets connectés, isolés des postes de travail.
- La communication entre VLAN passe par un pare-feu, avec une règle par défaut : tout est interdit sauf ce qui est explicitement autorisé.
- Matériel nécessaire : un routeur-pare-feu capable de gérer les VLAN, des commutateurs administrables et des bornes Wi-Fi multi-SSID.
Pourquoi segmenter ?
- Limiter la propagation : un rançongiciel qui infecte un poste ne doit pas pouvoir atteindre directement le serveur de sauvegarde ou les caméras.
- Isoler les appareils peu fiables : caméras, imprimantes, téléviseurs, thermostats, alarmes connectées reçoivent rarement des mises à jour et sont des cibles faciles.
- Protéger des visiteurs : le Wi-Fi des clients ne doit jamais donner accès à vos ressources.
- Faciliter la surveillance : un trafic inhabituel entre deux zones devient visible.
Un plan de segmentation type
| VLAN | Nom | Contenu | Accès autorisés |
|---|---|---|---|
| 10 | Postes | Ordinateurs de l’équipe | Internet, serveurs (ports nécessaires), imprimantes |
| 20 | Serveurs | Serveur de fichiers, logiciel métier | Répond aux postes, mises à jour sortantes |
| 30 | Administration | Interfaces d’administration, NAS de sauvegarde | Accessible uniquement depuis le poste d’administration |
| 40 | Imprimantes et VoIP | Imprimantes, téléphones IP | Reçoit des postes, sortie limitée |
| 50 | Objets connectés | Caméras, alarme, écrans, domotique | Internet limité, aucun accès aux autres VLAN |
| 60 | Invités | Wi-Fi clients et appareils personnels | Internet uniquement, isolation entre clients |
Pour une très petite structure, trois zones suffisent souvent : professionnel, objets connectés, invités.
Le plan d’adressage
Associez à chaque VLAN un sous-réseau facile à lire, par exemple 192.168.10.0/24 pour le VLAN 10, 192.168.20.0/24 pour le VLAN 20, etc. Le troisième octet rappelle le numéro du VLAN, ce qui simplifie énormément le diagnostic. Chaque VLAN a son propre serveur DHCP (souvent le routeur) et sa passerelle.
Les règles de filtrage entre VLAN
Le principe : refus par défaut, puis des autorisations précises. Exemples de règles :
- Postes → Serveurs : autorisé uniquement sur les ports utiles (partage de fichiers, logiciel métier).
- Postes → Imprimantes : autorisé sur les ports d’impression.
- Objets connectés → tous les VLAN internes : interdit.
- Invités → tous les VLAN internes : interdit.
- Administration : accessible uniquement depuis une adresse ou un poste dédié.
- Tous → Internet : autorisé, avec filtrage DNS si possible.
Pensez aux services qui traversent les zones : la découverte automatique des imprimantes ou de la diffusion vers un écran utilise souvent des protocoles multicast (mDNS) qui ne passent pas d’un VLAN à l’autre. Il faut alors un relais mDNS ou un ajout manuel des imprimantes.
Le matériel nécessaire
- Un routeur-pare-feu capable de gérer les VLAN et des règles inter-VLAN. Les box grand public en sont rarement capables : on les place alors en mode « bridge » ou devant un pare-feu dédié.
- Des commutateurs administrables (« smart » ou « managed ») qui gèrent le marquage 802.1Q : ports « access » pour les appareils, ports « trunk » vers le routeur et les bornes Wi-Fi.
- Des bornes Wi-Fi capables de diffuser plusieurs réseaux (SSID), chacun associé à un VLAN.
Mise en œuvre pas à pas
- Inventaire de tous les appareils et de leurs besoins de communication.
- Plan : VLAN, sous-réseaux, règles.
- Configuration du routeur : interfaces VLAN, DHCP, règles de pare-feu (en commençant permissif et journalisé).
- Configuration des commutateurs : trunk vers le routeur, ports access par zone.
- Wi-Fi : un SSID par zone, isolation des clients sur le réseau invités.
- Migration progressive des appareils, zone par zone, en dehors des heures de travail.
- Durcissement : passage aux règles strictes après observation des journaux.
- Documentation : plan à jour, sauvegarde des configurations.
Les pièges à éviter
- Le VLAN 1 par défaut laissé actif sur tous les ports : changez le VLAN natif et désactivez les ports inutilisés.
- L’interface d’administration des équipements accessible depuis tous les VLAN.
- Le « tout autoriser » temporaire qui devient permanent.
- Oublier la documentation : six mois plus tard, personne ne sait plus pourquoi telle règle existe.
Questions fréquentes
Un réseau invités sur la box suffit-il ?
C’est un excellent début, et souvent la première mesure à prendre. Mais il ne protège pas vos postes des objets connectés installés sur le réseau principal.
Les VLAN ralentissent-ils le réseau ?
Non, pas de façon perceptible pour une petite structure. Le filtrage entre VLAN demande un routeur suffisamment puissant si les transferts internes sont importants.
Faut-il remplacer tout le matériel ?
Pas forcément. Les câbles restent les mêmes ; ce sont le routeur, les commutateurs et parfois les bornes Wi-Fi qui doivent être compatibles.
La segmentation remplace-t-elle l’antivirus ?
Non, elle complète les autres protections : elle limite les dégâts quand une autre barrière a cédé.
Pouvez-vous auditer notre réseau ?
Oui. Nos audits réseau et cybersécurité comprennent un plan de segmentation adapté à votre structure.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
