====== Les VLANs et le routage inter-VLAN ======
**Cours rédigé par :** GADONNAUD Ewen
**Formation :** BTS SIO 1ère année - Option SISR
**Établissement :** Lycée Paul-Louis Courier, Tours
**Date :** Mars 2026
{{ :wiki:logo.png?150 |Logo PLC-SIO}}
===== 1. Qu'est-ce qu'un VLAN ? =====
Un VLAN (Virtual Local Area Network) est une segmentation logique d'un réseau physique. Il permet de regrouper des équipements dans un même domaine de broadcast, indépendamment de leur emplacement physique.
**Sans VLAN**, tous les équipements d'un switch partagent le même domaine de broadcast : une trame broadcast envoyée par un poste est reçue par tous les autres.
**Avec les VLANs**, on découpe ce domaine en plusieurs segments isolés. Un poste en VLAN 10 ne peut pas communiquer directement avec un poste en VLAN 20, même s'ils sont branchés sur le même switch physique.
**Pourquoi segmenter ?**
* **Sécurité** — isoler les services sensibles (serveurs, administration) du reste du réseau
* **Performance** — réduire la taille des domaines de broadcast
* **Organisation** — regrouper les équipements par fonction (RH, Informatique, Serveurs...)
===== 2. Types de ports =====
^ Type ^ Rôle ^ Trafic ^
| **Access** | Connecte un équipement terminal (PC, imprimante) | Non taggué — appartient à un seul VLAN |
| **Trunk** | Relie deux switches ou un switch à un routeur | Taggué 802.1Q — transporte plusieurs VLANs |
Le standard **802.1Q** est le protocole utilisé pour taguer les trames sur un lien trunk. Il ajoute un champ de 4 octets dans l'en-tête Ethernet contenant l'identifiant du VLAN (VID).
Le **VLAN natif** est le seul VLAN dont les trames ne sont pas taggées sur un trunk. Par convention on lui attribue souvent un VLAN dédié (ex: VLAN 99) différent du VLAN 1 par défaut pour des raisons de sécurité.
===== 3. Maquette de référence =====
La maquette suivante sera utilisée pour tous les exemples de cette page :
[PC-RH] [PC-IT] [Serveur]
| | |
Fa0/1 Fa0/2 Fa0/3
| | |
+-------------------------------------+
| SW-CORE |
| Gi0/1 (trunk)|
+-------------------------------------+
|
Gi0/0 (trunk)
|
+---------------+
| ROUTEUR |
+---------------+
VLANs :
VLAN 10 — USERS → 192.168.10.0/24 (PC-RH sur Fa0/1)
VLAN 20 — IT → 192.168.20.0/24 (PC-IT sur Fa0/2)
VLAN 30 — SERVEURS → 192.168.30.0/24 (Serveur sur Fa0/3)
VLAN 99 — NATIF → non routé
===== 4. Configuration des VLANs sur le switch =====
**Créer les VLANs**
SW-CORE# configure terminal
SW-CORE(config)# vlan 10
SW-CORE(config-vlan)# name USERS
SW-CORE(config)# vlan 20
SW-CORE(config-vlan)# name IT
SW-CORE(config)# vlan 30
SW-CORE(config-vlan)# name SERVEURS
SW-CORE(config)# vlan 99
SW-CORE(config-vlan)# name NATIF
**Assigner les ports en mode access**
SW-CORE(config)# interface FastEthernet0/1
SW-CORE(config-if)# switchport mode access
SW-CORE(config-if)# switchport access vlan 10
SW-CORE(config-if)# description PC-RH
SW-CORE(config)# interface FastEthernet0/2
SW-CORE(config-if)# switchport mode access
SW-CORE(config-if)# switchport access vlan 20
SW-CORE(config-if)# description PC-IT
SW-CORE(config)# interface FastEthernet0/3
SW-CORE(config-if)# switchport mode access
SW-CORE(config-if)# switchport access vlan 30
SW-CORE(config-if)# description Serveur
**Configurer le port trunk vers le routeur**
SW-CORE(config)# interface GigabitEthernet0/1
SW-CORE(config-if)# switchport mode trunk
SW-CORE(config-if)# switchport trunk allowed vlan 10,20,30,99
SW-CORE(config-if)# switchport trunk native vlan 99
SW-CORE(config-if)# description Trunk-vers-Routeur
Dans une topologie multi-switches, **chaque switch traversé par le trafic d'un VLAN doit avoir ce VLAN déclaré dans sa table locale**, même s'il ne possède aucun port access dans ce VLAN. Un switch qui ne connaît pas un VLAN supprimera les trames taggées correspondantes, même sur un lien trunk.
Exemple : si VLAN 30 doit transiter de SW1 vers SW3 en passant par SW2, les trois switches doivent avoir ''vlan 30'' configuré, et les liens trunk entre eux doivent autoriser ce VLAN avec ''switchport trunk allowed vlan 30''.
La solution pour éviter de configurer manuellement chaque switch est d'utiliser le **VTP** (voir [[reseau:cisco:commandes_de_base|Mémo Cisco]] — section VTP).
===== 5. Le routage inter-VLAN =====
Par défaut, deux VLANs différents ne peuvent pas communiquer entre eux — ils sont isolés au niveau L2. Pour permettre cette communication, il faut un équipement de **niveau 3** : un routeur ou un switch L3.
Il existe deux méthodes principales :
^ Méthode ^ Matériel ^ Avantages ^ Inconvénients ^
| Router-on-a-Stick | Routeur + 1 interface trunk | Simple, peu de matériel | Goulot d'étranglement sur l'interface |
| Switch L3 (SVI) | Switch L3 | Performances élevées, pas de routeur externe | Matériel plus coûteux |
===== 6. Router-on-a-Stick =====
Une seule interface physique du routeur est connectée au switch en mode trunk. On crée des **sous-interfaces** (une par VLAN) qui serviront de passerelle par défaut.
**Configuration du routeur**
ROUTEUR(config)# interface GigabitEthernet0/0
ROUTEUR(config-if)# no shutdown
ROUTEUR(config-if)# description Trunk-vers-Switch
ROUTEUR(config)# interface GigabitEthernet0/0.10
ROUTEUR(config-subif)# encapsulation dot1Q 10
ROUTEUR(config-subif)# ip address 192.168.10.1 255.255.255.0
ROUTEUR(config-subif)# description Gateway-VLAN10-USERS
ROUTEUR(config)# interface GigabitEthernet0/0.20
ROUTEUR(config-subif)# encapsulation dot1Q 20
ROUTEUR(config-subif)# ip address 192.168.20.1 255.255.255.0
ROUTEUR(config-subif)# description Gateway-VLAN20-IT
ROUTEUR(config)# interface GigabitEthernet0/0.30
ROUTEUR(config-subif)# encapsulation dot1Q 30
ROUTEUR(config-subif)# ip address 192.168.30.1 255.255.255.0
ROUTEUR(config-subif)# description Gateway-VLAN30-SERVEURS
ROUTEUR(config)# interface GigabitEthernet0/0.99
ROUTEUR(config-subif)# encapsulation dot1Q 99 native
ROUTEUR(config-subif)# description VLAN-Natif
**Configuration des postes clients**
Chaque PC doit avoir comme passerelle par défaut l'adresse IP de la sous-interface correspondant à son VLAN :
^ Équipement ^ IP ^ Masque ^ Passerelle ^
| PC-RH (VLAN 10) | 192.168.10.10 | 255.255.255.0 | 192.168.10.1 |
| PC-IT (VLAN 20) | 192.168.20.10 | 255.255.255.0 | 192.168.20.1 |
| Serveur (VLAN 30) | 192.168.30.10 | 255.255.255.0 | 192.168.30.1 |
===== 7. Switch L3 (SVI) =====
Sur un switch L3, on active le routage IP et on crée des **SVI** (Switched Virtual Interface) — une interface virtuelle par VLAN qui sert de passerelle.
SW-CORE(config)# ip routing ! Active le routage IP
SW-CORE(config)# interface vlan 10
SW-CORE(config-if)# ip address 192.168.10.1 255.255.255.0
SW-CORE(config-if)# no shutdown
SW-CORE(config-if)# description Gateway-VLAN10
SW-CORE(config)# interface vlan 20
SW-CORE(config-if)# ip address 192.168.20.1 255.255.255.0
SW-CORE(config-if)# no shutdown
SW-CORE(config-if)# description Gateway-VLAN20
SW-CORE(config)# interface vlan 30
SW-CORE(config-if)# ip address 192.168.30.1 255.255.255.0
SW-CORE(config-if)# no shutdown
SW-CORE(config-if)# description Gateway-VLAN30
===== 8. Vérification =====
show vlan brief ! Liste des VLANs et ports associés
show interfaces trunk ! Liens trunk actifs et VLANs transportés
show ip route ! Table de routage (routeur ou switch L3)
show interfaces vlan 10 ! État d'une SVI
ping 192.168.20.10 source vlan 10 ! Test de routage inter-VLAN depuis le switch
===== 9. Points clés à retenir =====
* Un port **access** appartient à un seul VLAN, les trames ne sont pas taggées
* Un port **trunk** transporte plusieurs VLANs avec le tag 802.1Q
* Le **VLAN natif** ne doit pas être le VLAN 1 (sécurité)
* Sans routage, deux VLANs sont complètement isolés
* Le **Router-on-a-Stick** est simple mais limité en bande passante
* Le **switch L3 avec SVI** est plus performant pour les environnements de production