Réseau d'entreprise — VLAN & segmentation

Découpage type pour 50-200 utilisateurs : 1) Users (PC, smartphones), 2) Servers (AD, fileshare, BDD), 3) Voice (téléphones VoIP), 4) IoT (alarme, badgeuse, capteurs), 5) Cameras (vidéosurveillance), 6) Printers (imprimantes), 7) Guest (invités), 8) Management (admin équipements). Optionnel : 9) DMZ (services exposés), 10) Production (OT industriel). 6-8 VLANs couvrent la quasi-totalité des cas.

Switches L2 si vous avez un firewall qui fait le routage inter-VLAN (typique pfSense, OPNsense, UDM Pro, MX Meraki). Switches L3 si vous voulez router à la couche switch (perf supérieure, ACL distribuées). Pour PME : généralement L2 + firewall central. Pour ETI / multi-sites : L3 distribué.

Toujours les mêmes : 1) des VLANs créés mais un routage inter-VLAN ouvert, donc une segmentation cosmétique. 2) Le VLAN 1 laissé en native VLAN partout, avec le management dessus. 3) Des trunks configurés en mode « tous VLANs » au lieu d'être limités aux VLANs nécessaires. 4) Le DHCP oublié sur les nouveaux VLANs le jour de la bascule. 5) Les imprimantes isolées mais les flux d'impression non autorisés dans les ACL. 6) Le VLAN de management accessible depuis le VLAN Users. 7) Zéro documentation, donc un an plus tard personne n'ose plus toucher aux règles.

Matériel UniFi (switch L3 24 ports + 4 AP Wi-Fi 6 + UDM Pro) : ~3-4 K€. Matériel Meraki équivalent : ~6-10 K€ + licences ~1 500 €/an. Intervention (audit + design + bascule + doc) : 12-18 K€. Total UniFi : 15-22 K€. Total Meraki : 20-30 K€ initial + 1,5 K€/an.

Tout-en-un (UDM Pro, MX Meraki) : avantages = simplicité, console unifiée, prix. Inconvénients = single point of failure, fonctionnalités firewall parfois plus limitées. Firewall dédié (Fortinet, pfSense, Watchguard) : meilleure profondeur sécurité, mais 2 consoles à gérer. Pour PME 30-150 users : tout-en-un est généralement le bon choix.

WPA3-Enterprise (auth 802.1X via RADIUS, intégré Entra ID/AD) est l'idéal pour le SSID employés : chaque utilisateur s'authentifie avec son compte personnel, pas un PSK partagé. Permet révocation par utilisateur (départ collaborateur), audit individuel. WPA3-Personal (PSK) suffit pour Guest et IoT. WPA2 reste acceptable mais en fin de vie.

Trois options : 1) BYOD interdit (politique stricte), 2) BYOD sur VLAN Guest (accès Internet seulement, pas LAN), 3) BYOD sur VLAN BYOD dédié avec accès limité aux services cloud (M365, Slack) via firewall, mais pas aux serveurs internes. Option 3 est la plus utilisée en 2026.

Pour la majorité des PME, non. Les VLANs sont isolés physiquement (switches managés), le trafic ne sort pas du LAN. Le chiffrement applicatif (HTTPS, SMB encrypted, RDP TLS) protège les flux sensibles. Chiffrement L2 (MACsec) ou L3 (IPsec interne) pertinent pour secteurs très sensibles (défense, secret professionnel niveau APD), pas pour PME standard.

Méthodologie en 4 phases : 1) lab + test, 2) bascule des VLANs non critiques d'abord (Guest, IoT, Caméras), là où le risque est faible, 3) bascule du VLAN Users le soir ou le weekend avec retour arrière prévu, 4) bascule des serveurs en dernier (le plus critique). Le plan de rollback documenté à chaque étape est ce qui rend la bascule sereine : au pire, on revient en arrière en une heure.