VLAN et segmentation réseau

Ici, vous devez diviser un réseau en segments et justifier quel trafic doit être autorisé à passer. Vous avez besoin de l’adresse, du préfixe, de la passerelle et du port depuis [[Protocoles Niveau 3 - IP, sous-réseaux et passerelle par défaut|IP, sous-réseaux et passerelle par défaut]] et [[Protocoles Niveau 1 - Protocoles réseau|protocoles réseau]].

Commencez par l’exemple sur les VLAN, le Tâche 1 et l’exercice sur le pare-feu. Le parcours fondamental est un plan d’accès avec le trafic attendu autorisé et bloqué. Toute modification pratique nécessite un environnement de test distinct et approuvé ainsi qu’un moyen de revenir au configuration précédente. Sans cet accès, utilisez l’exemple pour la planification ; ne modifiez pas le réseau de l’école. La calcul des sous-réseaux et la configuration DHCP sont une option avancée.

Pourquoi segmenter ?

La segmentation divise le réseau en parties plus petites. Les VLAN séparent le trafic au niveau 2. Un routeur ou un commutateur de niveau 3 peut toujours relayer le trafic entre eux ; les pare-feu ou les règles d’accès déterminent ce qui est réellement autorisé.

Qu’est-ce qu’un VLAN ?

Un réseau local virtuel (Virtual Local Area Network, VLAN) divise un commutateur physique en réseaux logiques. L’identifiant de VLAN indique à quel VLAN le trafic appartient. L’accès entre les VLAN doit être contrôlé séparément.

Vidéo : Comment un VLAN divise un réseau physique

La vidéo explique comment les VLAN divisent un réseau physique en plusieurs réseaux logiques et séparent le trafic entre eux.

Dans cet exemple, chaque VLAN utilise son propre sous-réseau IPv4 :

Trafic étiquetée vs non étiquetée

Pour que les VLAN fonctionnent sur plusieurs commutateurs (ou entre un commutateur et un routeur), l’étiquetage est utilisé :

Un ordinateur standard est généralement connecté à un port d’accès sans marquer lui-même le trafic avec un identifiant VLAN. Un tronc peut transporter plusieurs VLAN autorisés, pas nécessairement tous. Un tronc peut également avoir un VLAN natif non étiqueté. Consultez la configuration réelle du profil du port avant d’interpréter le chemin du trafic.

Exercice 1 - Voir les VLAN en pratique

Si vous avez l’autorisation de consulter la configuration réseau dans UniFi ou un autre outil, examinez-la sans effectuer de modifications :

• Regardez quels VLAN sont configurés
• Quels ports sont définis comme « access » et lesquels comme « trunk » ?
• Comparez la configuration IP du poste avec le sous-réseau et le profil de port. L’adresse IP seule ne confirme pas l’appartenance au VLAN.

Sans accès d’administrateur : Utilisez le tableau d’exemple. Un client a l’adresse 10.0.30.10/24 et la passerelle 10.0.30.1. Dans quel sous-réseau de l’exemple s’intègre-t-il, et quel type de port choisiriez-vous pour un ordinateur standard ? La réponse attendue est le sous-réseau des élèves et un port « access » sur le VLAN 30. Il s’agit d’une interprétation de l’exemple, non d’une mesure de votre propre réseau.

Règles de pare-feu entre les VLAN

Décrivez d’abord qui doit initier une connexion, vers quelle destination et sur quel protocole/port. Une étiquette générique comme « employés aux serveurs » est trop grossière pour être configurée directement. Le tableau ci-dessous est une politique d’exemple qui doit être concrétisée :

Le trafic de réponse ne signifie pas que le serveur doit pouvoir initier de nouvelles connexions vers tous les clients. Les règles established/related et leur ordre doivent correspondre au pare-feu. Le trafic entre les équipements du même VLAN passe généralement par le pare-feu qui gère le routage inter-VLAN.

Ceci est la politique finale souhaitée, pas une instruction pour activer d’abord un large blocage sur un réseau qui est utilisé. Conservez l’administration nécessaire, le DNS et le DHCP pendant qu’une configuration de test limitée est modifiée.

Exercice : Client via un proxy, et non directement vers l’application

Utilisez ces rôles d’exemple ou des valeurs connues équivalentes issues d’un environnement de test :

Le client doit pouvoir accéder à l’application via le proxy, mais pas directement sur le port de l’application. [[Docker Level 3 - Publisere applikasjon|Docker Level 3]] montre comment configurer et contrôler le proxy et l’application. Rédigez le plan dans un document séparé :

Dans cet exemple, le proxy et l’application se trouvent dans le même VLAN. La connexion entre eux est testée directement, mais n’est pas régie par ces règles inter-VLAN. Un test réussi via le proxy prouve que l’application était accessible par ce chemin ; une échec d’un test direct ne démontre à lui seul pas que le pare-feu a bloqué correctement.

Épreuve pratique dans un environnement de test agréé

Utilisez une configuration existante de proxy/application fonctionnelle. Notez l’état nominal et les règles actuelles, et conservez la console ou tout autre moyen d’administration afin que le changement puisse être annulé. Vérifiez la source, la destination, le port, la direction et l’ordre des règles avant de modifier une règle unique limitée en portée.

Depuis le client, vous testez le nom de l’application via le proxy. Pour l’accès direct à l’application, vous pouvez utiliser :

curl --fail --show-error --connect-timeout 5 --max-time 10 http://10.0.50.20:5000/status

L’adresse provient de l’exemple ; remplacez-la par l’adresse applicative de l’environnement de test. Après le blocage, ce client ne doit plus pouvoir établir la connexion HTTP. Un dépassement du délai d’attente peut avoir d’autres causes ; comparez le résultat avec les journaux du pare-feu ou les compteurs de règles lorsque l’outil les fournit, et vérifiez simultanément que l’application répond toujours via le proxy. Une réponse HTTP 404 ou 500 depuis le port de l’application indique que la connexion HTTP a abouti, même si curl --fail se termine en erreur.

Point de contrôle : Accès planifié et effectif

Afficher les deux tests avec source, destination, résultat attendu et réel. Expliquer la règle et ce que les tests confirment. En cas d’écart, examiner une règle ou un chemin de trafic à la fois et répéter le contrôle. Revenir en arrière si la modification compromet l’accès nécessaire.

Si vous n’avez utilisé que l’exemple, marquez les résultats comme attendus et expliquez quels essais restent à faire. Le plan est alors prêt, mais l’implémentation et l’effet réel ne sont pas démontrés. La calcul des sous-réseaux et le DHCP ci-dessous sont des extensions facultatives après ce point de contrôle.

Sous-réseautage

Réélection : Utilisez [[Protocoles Niveau 3 – IP, sous-réseaux et passerelle par défaut|IP et sous-réseau]] lorsque vous devez sélectionner un autre plage d’adresses. Les nombres ci-dessous s’appliquent aux sous-réseaux IPv4 courants et indiquent le nombre d’adresses hôtes après l’adresse réseau et l’adresse de diffusion :

Exercice 2 - Calcul d’un sous-réseau

Exercice de calcul facultatif : Utilisez la méthode décrite dans le guide des adresses IP ou une calculatrice de sous-réseaux, par exemple subnet-calculator.com :

• Saisissez 10.0.60.0 avec un masque /24. Combien d’adresses obtenez-vous ?
• Que se passe-t-il si vous changez en /25 ? Ou en /23 ?
• Quel serait votre choix pour une salle de classe avec 30 élèves ?

Vérification : /24 fournit 254 adresses hôtes, /25 en fournit 126 et /23 en fournit 510. Justifiez votre choix à partir de tous les appareils nécessitant une adresse, y compris la passerelle et autres équipements ; le nombre d’élèves ne représente pas l’intégralité du besoin en adresses.

DHCP par VLAN

Recherche optionnelle : Les clients devant obtenir une configuration IP automatique ont besoin du DHCP pour fournir la bonne configuration sous-réseau. Les adresses statiques n’ont pas besoin de DHCP. [[Protocoles niveau 2 - Services réseau et rôles serveur|Services réseau et rôles serveur]] explique le DHCP et les réservations.

Exemple pour le VLAN Élèves :

Résumé

• La segmentation divise le réseau en sections où le trafic peut être contrôlé.
• Un VLAN est un réseau virtuel sur le même commutateur physique.
• Les ports d’accès connectent les appareils à un seul VLAN ; les ports trunk transportent plusieurs VLAN.
• Les règles du pare-feu déterminent ce qui est autorisé entre les VLAN.
• Dans l’exemple, chaque VLAN possède son propre sous-réseau ; DHCP est pertinent lorsque des adresses doivent être attribuées automatiquement.
• Politique finale : bloquer le trafic inutile et autoriser les services convenus.

Sources : UniFi : règles de contrôle d’accès et trafic de réponse et ports d’accès/trunk.