Un VLAN (Virtual LAN) est un moyen de créer plusieurs commutateurs virtuels à l'intérieur d'un commutateur physique. Ainsi, par exemple, les ports configurés pour utiliser VLAN 10 agissent comme s'ils étaient connectés exactement au même commutateur. Les ports du VLAN 20 ne peuvent pas communiquer directement avec les ports du VLAN 10. Ils doivent être routés entre les deux (ou avoir une liaison qui relie les deux VLAN).
Il existe de nombreuses raisons de mettre en œuvre des VLAN. En règle générale, la moindre de ces raisons est la taille du réseau. Je vais énumérer quelques raisons, puis briser chacune d'elles.
- Sécurité
- Utilisation des liens
- Séparation des services
- Isolement du service
- Taille du sous-réseau
Sécurité: la
sécurité n'est pas elle-même obtenue en créant un VLAN; cependant, la façon dont vous connectez ce VLAN à d'autres sous-réseaux peut vous permettre de filtrer / bloquer l'accès à ce sous-réseau. Par exemple, si vous avez un immeuble de bureaux qui a 50 ordinateurs et 5 serveurs, vous pouvez créer un VLAN pour le serveur et un VLAN pour les ordinateurs. Pour que les ordinateurs communiquent avec les serveurs, vous pouvez utiliser un pare-feu pour acheminer et filtrer ce trafic. Cela vous permettrait ensuite d'appliquer IPS / IDS, ACL, etc. à la connexion entre les serveurs et les ordinateurs.
Utilisation des liens:
(Edit) Je ne peux pas croire que j'ai laissé cela de côté la première fois. Péter le cerveau, je suppose. L'utilisation des liaisons est une autre raison importante d'utiliser des VLAN. Spanning Tree par fonction crée un chemin unique à travers votre réseau de couche 2 pour éviter les boucles (Oh, mon Dieu!). Si vous disposez de plusieurs liens redondants vers vos périphériques d'agrégation, certains de ces liens ne seront pas utilisés. Pour contourner ce problème, vous pouvez créer plusieurs topologies STP avec différents VLAN. Ceci est accompli avec PVST, RPVST ou MST basé sur des normes Cisco. Cela vous permet d'avoir plusieurs typologies STP avec lesquelles vous pouvez jouer pour utiliser vos liens précédemment inutilisés. Par exemple, si j'avais 50 postes de travail, je pourrais en placer 25 dans le VLAN 10 et 25 dans le VLAN 20. Je pourrais alors demander au VLAN 10 de prendre le côté "gauche" du réseau et les 25 restants dans le VLAN 20 prendraient la côté "droit" du réseau.
Séparation des services:
Celui-ci est assez simple. Si vous avez des caméras de sécurité IP, des téléphones IP et des ordinateurs de bureau tous connectés au même commutateur, il peut être plus facile de séparer ces services dans leur propre sous-réseau. Cela vous permettrait également d'appliquer des marquages QOS à ces services basés sur VLAN au lieu de certains services de couche supérieure (Ex: NBAR). Vous pouvez également appliquer des ACL sur le périphérique effectuant le routage L3 pour empêcher la communication entre les VLAN qui pourrait ne pas être souhaitée. Par exemple, je peux empêcher les ordinateurs de bureau d'accéder directement aux téléphones / caméras de sécurité.
Isolation de service:
si vous avez une paire de commutateurs TOR dans un seul rack contenant quelques hôtes VMWare et un SAN, vous pouvez créer un VLAN iSCSI qui ne reste pas acheminé. Cela vous permettrait d'avoir un réseau iSCSI entièrement isolé afin qu'aucun autre périphérique ne puisse tenter d'accéder au SAN ou interrompre la communication entre les hôtes et le SAN. Il s'agit simplement d'un exemple d'isolement de service.
Taille du sous-réseau:
Comme indiqué précédemment, si un seul site devient trop grand, vous pouvez décomposer ce site en différents VLAN, ce qui réduira le nombre d'hôtes qui jugent nécessaire de traiter chaque diffusion.
Il existe certainement plus de façons dont les VLAN sont utiles (je pense à plusieurs que j'utilise spécifiquement en tant que fournisseur de services Internet), mais je pense que ce sont les plus courants et devraient vous donner une bonne idée de la façon / pourquoi nous les utilisons. Il existe également des VLAN privés qui ont des cas d'utilisation spécifiques et méritent d'être mentionnés ici.