Cours PDF Routage inter-VLAN : Maîtriser les Concepts (Débutant)

Rédigé par Philippe Latu, ce cours PDF gratuit présente les concepts essentiels du routage inter‑VLAN et propose des configurations pratiques applicables sur GNU/Linux, adaptées aux débutants souhaitant expérimenter en environnement réel ou virtualisé. Contenu utile pour l'administration réseau et les travaux pratiques en laboratoire.

🎯 Ce que vous allez apprendre

• Réseaux locaux virtuels : définitions et standards.
• Routage inter‑VLAN : principes de communication entre domaines de diffusion.
• Configuration type : trunk IEEE 802.1Q (dot1q) et sous‑interfaces sous GNU/Linux.
• Filtrage : contrôle d'accès avec Netfilter/Iptables.
• Travaux pratiques : exercices de mise en œuvre et vérification de trafic.

Prérequis techniques

Des notions de base facilitent la lecture des exemples et schémas : modèle OSI (couches 1–3), adressage IP et sous‑réseautage, comportement des commutateurs et des ports.

• Bases du modèle OSI.
• Adressage IP et principes de sous‑réseaux.
• Notions sur les commutateurs (ports access/trunk).

📑 Sommaire du document

Principe de base du routage inter‑VLAN

Les VLANs créent des domaines de diffusion distincts au niveau de la couche 2. Pour permettre la communication entre deux hôtes situés dans des VLANs différents, il faut franchir la limite de couche 2 via une passerelle de couche 3 : un routeur ou un dispositif de routage. La passerelle par défaut de chaque sous‑réseau doit pointer vers l'adresse attribuée au routeur pour ce segment. L'encapsulation IEEE 802.1Q (dot1q) transporte l'identifiant de VLAN sur un lien trunk et permet la coexistence de plusieurs réseaux sur une même interface physique.

Pourquoi un routeur est‑il nécessaire entre les VLANs ?

Sans routage, les trames restent confinées au domaine de diffusion de la couche 2 et ne traversent pas les frontières de VLAN. Le routeur examine les adresses IP et opère la commutation inter‑réseaux, appliquant éventuellement des règles de filtrage et des politiques de QoS. En pratique, la passerelle inter‑VLAN rompt l'isolement de couche 2 et assure l'acheminement entre sous‑réseaux distincts.

Pourquoi choisir GNU/Linux pour le routage inter‑VLAN ?

GNU/Linux fournit une pile réseau robuste et transparente, des outils pour l'automatisation et la supervision, et un large choix d'utilitaires pour le filtrage et la journalisation. L'approche s'intègre aux standards et convient aux environnements pédagogiques, de test et aux déploiements sur mesure.

Sécurité et filtrage avec Netfilter/Iptables

Netfilter/Iptables permet des règles stateful appliquées par interface ou par sous‑réseau. Les règles peuvent être organisées en chaînes personnalisées pour filtrer, journaliser et limiter les communications inter‑VLAN sans matériel propriétaire supplémentaire.

Optimisation des domaines de diffusion

Assigner un sous‑réseau IP par VLAN réduit la portée des broadcasts et améliore l'isolation. Le transport de plusieurs réseaux via un trunk IEEE 802.1Q simplifie la gestion et diminue le câblage physique.

Segmentation et domaines de diffusion

La segmentation isole services et départements : chaque VLAN correspond généralement à un sous‑réseau IP distinct, ce qui limite la propagation non souhaitée des broadcasts et facilite la mise en place de politiques de sécurité. Cette séparation permet d'appliquer des ACL ciblées, d'affiner les règles Netfilter selon des frontières administratives, et d'améliorer la supervision et le dépannage network-level. Dans un contexte pédagogique, la segmentation facilite la reproduction de scénarios réels et la vérification des comportements de routage et filtrage sans impacter d'autres segments.

Topologie type (exemple)

• Routeur R1 : interface physique eth0 configurée en trunk.
• Sous‑interfaces exposées : eth0.10 (VLAN 10) et eth0.20 (VLAN 20).
• VLAN 10 : réseau 192.168.10.0/24, passerelle 192.168.10.1 (eth0.10).
• VLAN 20 : réseau 192.168.20.0/24, passerelle 192.168.20.1 (eth0.20).
• Commutateur S1 : ports access pour VLANs 10 et 20, port trunk vers R1.

Comparaison : Routage Physique vs Routage Logique (Trunking)

La comparaison suivante aide à choisir l'approche adaptée selon contraintes matérielles, performance et scalabilité.

• Connectivité physique (une interface par VLAN)
  • Avantages : isolation physique simple, latence minimale, configuration directe.
  • Inconvénients : nécessite plusieurs interfaces et câbles, coûts matériels plus élevés, faible scalabilité.
• Connectivité logique (sous‑interfaces / trunk IEEE 802.1Q)
  • Avantages : réduit le câblage, centralise la gestion, évolutif pour de nombreux réseaux.
  • Inconvénients : dépend de la capacité CPU/logicielle du routeur, ajoute une couche d'encapsulation (IEEE 802.1Q) et nécessite une configuration de trunk correcte.

En particularité, la connectivité logique implique que l'ensemble des VLANs partage la bande passante de la même liaison physique. Si plusieurs flux lourds traversent le trunk simultanément, la contention peut dégrader les performances pour certaines VLANs ; des solutions possibles incluent l'agrégation de liens (LACP) ou l'utilisation de commutateurs/routeurs avec offload matériel. Cette méthode est souvent appelée Router-on-a-Stick dans les environnements Cisco et Linux.

Mise en œuvre du Router-on-a-Stick

Le Router-on-a-Stick consiste à configurer une unique interface physique du routeur en trunk et à créer des sous‑interfaces logiques pour chaque VLAN. Le routeur reçoit les trames taggées, les désencapsule, effectue le routage inter‑VLAN puis réétiquette les trames si nécessaire. Ce schéma est simple à mettre en place pour des petits environnements ou des laboratoires, mais garde à l'esprit la limitation de bande passante sur la liaison unique et l'impact CPU lors de forts débits.

• Topologie visuelle simplifiée : Routeur (eth0) <— trunk —> Commutateur (ports access VLANs)
• Sous‑interfaces typiques : eth0.10 (192.168.10.1/24), eth0.20 (192.168.20.1/24)
• Avantage pédagogique : centralise le routage et facilite l'application de règles Netfilter par sous‑réseau.

Configuration des sous‑interfaces sous Linux

Exemple minimal avec ip (iproute2) pour créer deux sous‑interfaces et les adresser :

ip link add link eth0 name eth0.10 type vlan id 10
ip addr add 192.168.10.1/24 dev eth0.10
ip link set dev eth0.10 up

ip link add link eth0 name eth0.20 type vlan id 20
ip addr add 192.168.20.1/24 dev eth0.20
ip link set dev eth0.20 up

Ensuite, configurer la passerelle par défaut sur le routeur ou les hôtes selon le besoin. Les outils et fichiers varient selon la distribution (Netplan, /etc/network/interfaces, scripts).

Cas d'usage : Cisco vs Linux

Les switches et routeurs Cisco offrent des fonctions matérielles optimisées (ASIC, QoS, sécurité avancée) et une intégration industrielle. GNU/Linux constitue une alternative flexible, scriptable et auditable, adaptée aux environnements d'apprentissage, aux laboratoires et aux déploiements personnalisés.

Sécurité avancée et filtrage inter‑VLAN

Au-delà des règles basiques, l'application de politiques fines (journaux, limitation de débit, filtrage stateful) permet de contrôler précisément les échanges entre VLANs. Documenter les règles et tester les flux avec des captures (Wireshark) facilite la validation. La notion de passerelle par défaut par sous‑réseau demeure centrale pour orienter le trafic vers le routeur.

Exercices et TP corrigés

La version PDF contient des exercices corrigés et des TP réseau validés pour vérifier la configuration et le filtrage inter‑VLAN. Chaque cas pratique fournit les objectifs, la topologie, les commandes attendues et des critères de vérification (tests ping, captures, tables de routage). Les corrigés incluent des exemples de commandes ip, des règles Netfilter types et des étapes de dépannage. Ces TP corrigés sont conçus pour être exécutés en environnement virtualisé (VMs, conteneurs) afin d'isoler les tests et reproduire facilement les résultats attendus.

• Exercices corrigés : création de VLANs, configuration de trunk et validation des passerelles par défaut.
• Outils recommandés : Wireshark, commutateur manageable (support 802.1Q), distribution Debian/Ubuntu, accès root.

Travaux pratiques

Exercices proposés : création de VLANs, mise en place d'un trunk, configuration de sous‑interfaces, règles Netfilter pour filtrer entre réseaux et capture de trafic (Wireshark) pour validation. Recommandation : isoler les essais en environnement virtualisé (VMs ou conteneurs).

• Outils : Wireshark, commutateur manageable (support 802.1Q), distribution Debian/Ubuntu ou équivalente, accès root.

👤 À qui s'adresse ce cours ?

Destiné aux débutants en réseau souhaitant comprendre la communication inter‑réseaux et la mise en œuvre pratique sur GNU/Linux. Une familiarité avec les concepts de base des réseaux est recommandée.

Documents de référence et bibliographie fournis dans la version PDF pour approfondissement.