Réseau d’entreprise · VLAN & segmentation

Découpage type pour 50 à 200 utilisateurs : 1) Users (PC, smartphones), 2) Servers (AD, fileshare, BDD), 3) Voice (téléphones VoIP), 4) IoT (alarme, badgeuse, capteurs), 5) Cameras (vidéosurveillance), 6) Printers (imprimantes), 7) Guest (invités), 8) Management (admin équipements). Optionnel : 9) DMZ (services exposés), 10) Production (OT industriel). 6 à 10 VLANs couvrent la quasi-totalité des cas.

Switches L2 si vous avez un firewall qui fait le routage inter-VLAN (typiquement pfSense, OPNsense, UDM Pro, MX Meraki). Switches L3 si vous voulez router à la couche switch (perf supérieure, ACL distribuées). Pour PME : généralement L2 + firewall central. Pour ETI / multi-sites : L3 distribué.

Toujours les mêmes : 1) des VLANs créés mais un routage inter-VLAN ouvert, donc une segmentation cosmétique. 2) Le VLAN 1 laissé en VLAN natif partout, avec le management dessus. 3) Des trunks configurés en mode « tous VLANs » au lieu d’être limités aux VLANs nécessaires. 4) Le DHCP oublié sur les nouveaux VLANs le jour de la bascule. 5) Les imprimantes isolées mais les flux d’impression non autorisés dans les ACL. 6) Le VLAN de management accessible depuis le VLAN Users. 7) Zéro documentation, donc un an plus tard personne n’ose plus toucher aux règles.

Côté matériel, une configuration UniFi (switch L3 24 ports, 4 AP Wi-Fi 6 et UDM Pro) ne demande aucune licence. L’équivalent Meraki coûte plus cher à l’achat et ajoute une licence annuelle obligatoire. Le coût de l’intervention (audit, design, bascule, documentation) dépend du nombre de sites, de l’état du câblage, du nombre de VLANs et des fenêtres de bascule disponibles. Nous établissons un devis écrit sous 48 h après un premier échange.

Tout-en-un (UDM Pro, MX Meraki) : simplicité, console unifiée et prix, mais point de défaillance unique et fonctionnalités firewall parfois plus limitées. Firewall dédié (Fortinet, pfSense, WatchGuard) : meilleure profondeur sécurité, mais 2 consoles à gérer. Pour une PME de 30 à 150 utilisateurs : tout-en-un est généralement le bon choix.

WPA3-Enterprise (auth 802.1X via RADIUS, intégré Entra ID/AD) est l’idéal pour le SSID employés : chaque utilisateur s’authentifie avec son compte personnel, pas un PSK partagé. Permet révocation par utilisateur (départ collaborateur), audit individuel. WPA3-Personal (PSK) suffit pour Guest et IoT. WPA2 reste acceptable mais en fin de vie.

Trois options : 1) BYOD interdit (politique stricte), 2) BYOD sur le VLAN Guest (accès Internet seulement, pas au LAN), 3) BYOD sur un VLAN dédié, avec accès limité aux services cloud (M365, Slack) via le firewall, mais pas aux serveurs internes. C’est la troisième option que nous recommandons le plus souvent.

Pour la majorité des PME, non. Les VLANs sont isolés logiquement (switches managés), le trafic ne sort pas du LAN. Le chiffrement applicatif (HTTPS, SMB encrypted, RDP TLS) protège les flux sensibles. Chiffrement L2 (MACsec) ou L3 (IPsec interne) pertinent pour secteurs très sensibles (défense, données couvertes par le secret professionnel), pas pour PME standard.

Méthodologie en 4 phases : 1) lab + test, 2) bascule des VLANs non critiques d’abord (Guest, IoT, Cameras), là où le risque est faible, 3) bascule du VLAN Users le soir ou le week-end avec retour arrière prévu, 4) bascule des serveurs en dernier (le plus critique). Le plan de rollback documenté à chaque étape est ce qui rend la bascule sereine : au pire, nous revenons en arrière en une heure.