Le terme VLAN revient dans à peu près tous les guides réseau, souvent coincé entre une définition rapide et une liste de bénéfices génériques. Un VLAN (Virtual Local Area Network) désigne un réseau local virtuel qui regroupe des équipements selon des critères logiques, indépendamment de leur connexion physique.
Ce qui mérite davantage d’attention, c’est la place réelle qu’occupe le VLAN dans les architectures réseau actuelles, alors que les référentiels de sécurité les plus récents le repositionnent comme un contrôle de base, loin du niveau de protection exigé par les stratégies Zero Trust.
VLAN et trame 802.1Q : ce que le tag raconte du paquet
La segmentation par VLAN repose sur un mécanisme simple : chaque trame Ethernet se voit attribuer un identifiant (VLAN ID) via le standard IEEE 802.1Q. Ce tag de quatre octets, inséré dans l’en-tête de la trame, indique au commutateur à quel réseau logique le paquet appartient.
Les ports d’un commutateur fonctionnent selon deux modes. Un port en mode access appartient à un seul VLAN et transmet les trames sans tag visible pour l’équipement terminal. Un port en mode trunk, lui, transporte les trames de plusieurs VLAN simultanément, chacune identifiée par son VLAN ID.
Cette distinction access/trunk structure toute l’architecture. Un VLAN isole un domaine de broadcast, ce qui signifie qu’une trame diffusée sur le VLAN 10 ne sera jamais vue par un poste connecté au VLAN 20. La table MAC du commutateur associe chaque adresse physique à un port et à un VLAN, garantissant que le trafic reste cloisonné sans intervention d’un routeur.
Pour que deux VLAN communiquent, il faut un routage inter-VLAN, généralement assuré par un routeur ou un commutateur de couche 3. Ce point de passage devient alors un endroit où appliquer des règles de filtrage (listes de contrôle d’accès, pare-feu). Sans ce routage explicite, les segments restent hermétiques.
Segmentation VLAN dans les référentiels Zero Trust : un contrôle jugé insuffisant
Les référentiels de sécurité récents placent le VLAN bien en dessous du niveau de protection attendu par les architectures Zero Trust.
Le Zero Trust Maturity Model v2.0 de la CISA, publié en avril 2023, classe la segmentation par sous-réseau et VLAN au niveau de maturité « Initial ». Le niveau « Adapté », selon ce modèle, exige des micro-périmètres dynamiques appliqués par session, au niveau des workloads plutôt que des subnets.
La DoD Zero Trust Strategy, publiée en novembre 2022 par le Département de la Défense américain, va plus loin. Elle fixe une cible de mise en œuvre complète à l’horizon FY2027 et désigne la microsegmentation comme pilier de la capacité « Network & Environment ». Une organisation ne peut atteindre le niveau « Advanced » sans dépasser la segmentation par VLAN.
Cette rétrogradation n’invalide pas les VLAN. Elle les repositionne : un VLAN reste un mécanisme de segmentation de base, utile pour organiser le trafic et limiter les domaines de broadcast. En revanche, compter uniquement sur les VLAN pour contenir une menace latérale (mouvement latéral après compromission d’un poste) ne répond plus aux exigences des cadres de sécurité actuels.
Microsegmentation réseau : là où le VLAN ne va pas
La microsegmentation applique des politiques de sécurité non pas à un segment entier, mais à chaque workload, chaque machine virtuelle, voire chaque conteneur. Le contrôle s’exerce au niveau applicatif, pas au niveau du port physique ou du VLAN ID.
Les différences concrètes par rapport à un VLAN :
- La granularité descend jusqu’à la charge de travail individuelle, alors qu’un VLAN regroupe des dizaines ou des centaines de machines dans un même segment logique
- Les politiques suivent le workload quand il migre entre serveurs physiques ou entre datacenters, ce que le VLAN, lié au commutateur, ne peut pas faire nativement
- Le trafic est-ouest (entre machines d’un même segment) est inspecté et filtré, alors que dans un VLAN, les communications internes au même segment ne traversent aucun point de contrôle
Ce dernier point explique pourquoi les VLAN seuls ne suffisent pas face aux techniques d’attaque actuelles. Un attaquant qui compromet un poste dans le VLAN 10 peut scanner et atteindre toutes les autres machines de ce même VLAN sans jamais passer par un pare-feu.
VLAN et architecture réseau : les cas où la segmentation classique garde son rôle
Malgré les limites décrites, le VLAN reste pertinent dans plusieurs contextes précis. L’enjeu n’est pas de l’abandonner, mais de comprendre où il fonctionne et où il ne suffit plus.
- Isolation des réseaux invités et prestataires : un VLAN dédié empêche les visiteurs d’accéder aux ressources internes, avec un routage limité vers internet uniquement
- Séparation des flux voix/données : les téléphones IP sont souvent placés dans un VLAN voix distinct, ce qui permet de prioriser le trafic via la qualité de service (QoS) sans interférer avec les postes bureautiques
- Cloisonnement de l’IoT et de l’OT : les objets connectés et les équipements industriels, souvent dotés de piles logicielles anciennes et rarement mises à jour, gagnent à être isolés dans un VLAN dédié pour limiter leur surface d’exposition
Les deux mécanismes couvrent des périmètres différents : le VLAN structure les flux au niveau du commutateur, la microsegmentation applique des règles au niveau de chaque charge de travail. Dans la plupart des architectures d’entreprise, les VLAN constituent la couche de base sur laquelle viennent se greffer des politiques plus fines.
La question opérationnelle pour un administrateur réseau n’est donc pas « VLAN ou microsegmentation », mais plutôt : quelles politiques de sécurité appliquer au-dessus de la segmentation VLAN existante, et à partir de quel niveau de risque la microsegmentation devient-elle nécessaire. Le seuil dépend du nombre de workloads, de la sensibilité des données traitées et du modèle de menace propre à chaque organisation.
