Virtual Local Area Network – Réseau local virtuel – Il existe deux manières de définir un VLAN :
- On définit un VLAN comme un domaine de broadcast. Cette définition très basique, bien que correcte, ne permet pas de réaliser pleinement la notion de VLAN.
- On définit également un VLAN comme un ensemble de « end-stations « . Cette définition signifie que les VLANs permettent à des postes de travail situés dans des segments physiques différents de communiquer comme s’ils se trouvaient sur un même segment logique.
Par définition, un poste situé sur un VLAN ne recevra que le trafic des stations qui sont sur le même VLAN que lui indépendamment du support physique. Les VLANs reposent sur la commutation, qu’elle soit de niveau 2 ou supérieure. Il n’y a jamais de routage lorsque l’on parle de VLANs.
Il existe différents types de VLAN. A l’origine, les VLANs étaient basés sur les couches 1, 2 et 3 du modèle OSI. Mais on peut aujourd’hui créer des VLANs en établissant des règles sur les couches supérieures à la couche réseau, ce qui permet d’avoir une plus grande flexibilité dans l’organisation de ces VLANs. Il n’y a cependant encore aucune norme standard pour ces derniers, ce qui freine leur déploiement.
Les VLANs de Niveau 1 ou VLAN par port :
Les VLANs de niveau 1, aussi appelé VLAN par port, sont définis par un groupe de port d’un ou plusieurs équipements réseaux. Il s’agit donc de définir des domaines d’appartenance aux différents VLANs par rapport au numéro de ports sur un ou plusieurs commutateurs. Dans ce cas, pour établir une communication entre 2 stations de VLANs différents, il faut mettre deux interfaces réseaux sur une des deux stations et l’assigner aux deux VLANs. Cette méthode est inadaptée aux réseaux possédant plus de 2 VLANs et aux grands réseaux car il faut alors beaucoup trop de matériel.
Le principal avantage des VLANs par port est leur facilité de mise en place. Les outils d’administrations actuels permettent de définir les VLANs par simple « drag &op « des ports du commutateur dans tel ou tel VLAN. De plus les performances obtenues dans les petits réseaux sont très élevées et le coût des équipements capable de réaliser ce type de VLAN est faible.
Le défaut majeur des VLANs par port est qu’un port ne peut appartenir qu’à un seul VLAN. De plus, tous les éléments présents sur le port sont associés au même VLAN. Un autre défaut des VLANs de niveau 1 est qu’ils requièrent une administration peu flexible car si un utilisateur change de port ou de switch il faut reconfigurer le VLAN en conséquence.
Les VLANs de Niveau 2 ou par adresse MAC :
Les VLANs de niveau 2, aussi appelé VLAN par adresse MAC, sont définis par un groupe d’adresses MAC. Il s’agit donc de définir des domaines d’appartenance aux différents VLANs par rapport à l’adresse MAC de l’équipement actif (ordinateur, imprimante…) et comme les adresses MAC sont définies de façon unique au monde (en théorie…) il est possible de désigner un élément sans confusion.
Le principal avantage de ce type de VLAN est la grande souplesse d’affectation des stations de travail. De plus tous les commutateurs utilisant la création de VLANs de niveau 2 peuvent retenir l’appartenance d’une station à un réseau virtuel quel que soit le lieu physique de la station. Il n’y a donc pas besoin de reconfigurer les appartenances aux VLANs lorsque les stations sont déplacées. Ceci facilite la gestion du VLAN puisqu’il n’est plus nécessaire d’assurer un suivi des éléments une fois que chacun a été affecté à un VLAN. De plus, la configuration graphique grâce aux logiciels des constructeurs peut se faire par des « drag & drop « et facilite ainsi la configuration des VLANs.
Un autre avantage est le gain de bande passante utile pour les stations du groupe : on peut obtenir plusieurs connexions client/serveur dans un VLAN sans diminuer la bande passante des autres VLANs situés sur le même commutateur.
L’un des inconvénients des VLANs par adresse MAC est que leur configuration si elle se fait manuellement peut devenir très fastidieuse dans le cas de grands réseaux. Lorsque le nombre d’éléments devient important cette opération demande une bonne organisation et on ne peut connaître les adresse MAC des nouvelles stations à l’avance, il faut donc mettre à jour constamment les VLANs.
Un autre inconvénient aux VLANs par adresse MAC est que leurs performances baissent considérablement lorsque l’on attribue différents VLANs sur le même port de l’équipement. En effet lorsque des stations de différents VLANs se trouvent sur un même port, le trafic correspondant à chaque VLAN passera sur ce port.
Il existe un dernier inconvénient qui est causé par l’existence d’ordinateurs portables en entreprise et se connectant sur des stations d’accueil. En effet dans ce type de configuration c’est la station d’accueil qui possède une adresse MAC le portable qui s’y connecte appartient alors au VLAN auquel appartient la station d’accueil. Or dans certaines entreprises, ces stations d’accueil sont régulièrement utilisées par différentes personnes de passage ne faisant pas partie du même groupe de travail. Il faut alors constamment changer le VLAN d’appartenance de la station d’accueil.
Les VLANs de Niveau 3
Les VLANS de niveau 3 sont définis depuis les en-têtes des paquets réseaux. Ce type de VLAN utilise seulement les informations contenues dans l’en-tête des paquet et n’effectue aucun travail de routage. Lebut est en effet de pouvoir identifier les individus d’un VLAN pour savoir où envoyer les informations, et en fait délimiter les différents domaines de broadcast. Il ne s’agit ici en aucun cas de faire du routage, puisque les VLANs dans l’environnement commuté sont en accord avec l’algorithme du « Spanning Tree Protocol « . Les trames passant dans les différents switches sont donc commutées. Il existe deux types de VLANs de niveau 3 :
- Les VLANs par sous-réseaux. L’appartenance aux VLANs par sous-réseau se fait par l’examinationdes champs adresse des paquets IP. Ce type de VLAN est applicable uniquement avec des protocoles routables puisqu’il est nécessaire d’avoir une adresse de niveau 3.
- Les VLANs par protocole. L’appartenance aux VLANs par protocoles se fait à partir du protocole de niveau 3 utilisé par les stations de travail. L’information utile se trouve dans l’entête de la trame (au niveau 2). La seule lecture de cette information permet donc de déterminer dans quel domaine de broadcast doit être diffusée la trame. C’est le champ type de la trame Ethernet qui est utilisée pour créer les différents VLANs.
Le premier avantage qu’apporte ces VLANs est naturellement la souplesse des configurations abordables. En effet, on peut par exemple isoler des applications qui utilisent des protocoles différents, on peut isoler des stations appartenant à des sous réseaux particuliers et ainsi créer des règles de communications inter- VLANs en fonctions des sous-réseaux. Un avantage qui augmente les possibilités et l’intérêt de ces VLANs
est la possibilité de créer plusieurs VLANs sur une même stations Un deuxième avantage est que ces VLANs tout comme les VLANs par adresse MAC laissent les utilisateurs se déplacer physiquement dans le réseau sans qu’il y ait besoins de reconfigurer les VLANs. .
Un autre avantage apporté par l’utilisation des VLANs au niveau 3 est que cela permet d’éliminer le besoin du Frame Tagging utilisé pour la communication inter-switch (toute l’information se situe sur le paquet de niveau 3), réduisant ainsi l’overhead. Le principal désavantage des VLANs de niveau 3 est la baisse des performances. En effet, le fait d’inspecter l’adresse de niveau 3 dans les paquets nécessite plus de temps que d’inspecter l’adresse MAC dans les
trames. Le second inconvénient vient du fait qu’il n’existe pas de normalisation bien définie pour tout les VLANs de niveau supérieur au niveau 2 du modèle OSI et que donc il reste souvent des incompatibilités lorsque l’on veut créer des VLANs avec du matériel de constructeurs différents. Il y a également un manque de sécurité évident car les utilisateurs peuvent changer de VLANs en changeant leur adresse IP ; il est donc indispensable de vérrouiller cette possibilité aux utilisateurs qui n’ont pas les privilèges d’administrateur.
Le tagging ou « étiquetage «
Le fait d’ajouter un label (un tag en anglais) à une trame pour l’identifier selon un critère non prévu par le protocole de la trame en question s’appelle le « marquage ». Il existe deux types de marquage : le marquage implicite et le marquage explicite :
- Implicite : Dans ce cas le marquage n’ajoute pas d’informations dans la trame mais s’appuie sur l’un des champs pour différencier les trames (ex. : la MAC adresse ou le type de protocole utilisé).
- Explicite : Dans ce cas, il y a ajout d’un champ dans l’entête de la trame ou du paquet.
Dans le cas des VLANs, les deux types de marquages sont utilisés et cela est lié à l’absence de norme définitive pour les VLANs.
Pouquoi des VLANs ?
o Augmentation des performances :
La segmentation créée par les VLANs réduit la taille des domaines de broadcast et de ce fait le nombre de collisions sur ces domaines. De plus, les VLANs se basent sur la commutation (et non le routage) pour segmenter les domaines de diffusion ce qui permet un traitement bien plus rapide.
o Réduction des coûts :
L’utilisation de VLANs permet de simplifier l’administration du réseau. A chaque fois qu’un utilisateur change de LAN, il faut modifier l’adresse du poste et certains paramètres des routeurs. Tandis que si un utilisateur change de lieu physique mais pas de VLAN, il peut ne pas y avoir de modifications à faire (sous réserve de disposer de bons outils de gestion des VLANs).
De plus, l’utilisation des VLANs entraîne souvent la réduction du nombre de routeurs nécessaires, or les routeurs sont plus onéreux que les switches.
o Formation de groupes virtuels :
Il est courant de retrouver, dans les entreprises, des groupes de développement, de travail sur un projet spécifique, composés de membres qui viennent de différents départements (production, vente, R & D, etc.).
Ces groupes sont souvent formés pour un temps défini et à courte durée. Dans ce cas de figure, un VLAN pourrait être implémenté (sans avoir à déplacer les individus) pour les besoins ponctuels de ce groupe et ce pour plusieurs groupes différents dans l’entreprise. Ce qui permet de créer des groupes de travail de manière transparente vis-à-vis de l’architecture physique du réseau.
o Gain de sécurité :
Périodiquement, des données sensibles sont envoyées en broadcast sur le réseau par les machines (et plus particulièrement les serveurs). Les VLANs permettent d’isoler les serveurs dans un même domaine de broadcast et de les isoler par service.
Les VLANs apportent donc une grande flexibilité dans la gestion des réseaux ; les utilisateurs pourront être regroupés selon leur centre d’intérêt. Les VLANs sont réalisés sur une architecture commutée et le concept de VLAN est applicable dans un même bâtiment, entre plusieurs bâtiments ou sur un réseau WAN.