Les VLAN privées (PVLAN) permettent d’introduire un isolement entre des dispositifs appartenant à un même réseau IP, sans avoir à le diviser en plusieurs sous-réseaux. Cette fonctionnalité de commutation de couche 2 peut s’avérer particulièrement utile dans les centres de données, réseaux industriels, environnements avec des serveurs de différents clients et projets de migration où modifier les adressages IP impliquerait de reconfigurer des systèmes déjà en production.
Les essentiels des VLAN privées en 30 secondes
- Une PVLAN permet d’isoler des dispositifs au sein d’un même sous-réseau IP grâce à des contrôles de couche 2.
- Elle utilise une VLAN principale et des VLAN secondaires de type isolé ou communauté.
- Les équipements isolés peuvent atteindre une passerelle commune sans communiquer directement entre eux.
- Les ports promiscues peuvent échanger avec les dispositifs associés.
- Ce procédé est utile lorsque changer de VLAN, d’adressage ou de configuration des systèmes serait complexe ou entraînerait une migration importante.
La différence par rapport à une segmentation conventionnelle est importante. Lorsqu’une organisation souhaite séparer des groupes de serveurs ou dispositifs, elle crée généralement plusieurs VLAN, chacun étant associé à un sous-réseau IP distinct.
Cela fonctionne bien lorsque l’architecture peut être conçue de zéro. Le problème se pose lorsque le réseau existe déjà.
Il peut y avoir des serveurs avec des adresses difficiles à modifier, des dispositifs industriels, PLC, machines anciennes ou applications dépendant de configurations statiques. De plus, dans certains projets de migration, changer simultanément le réseau et les systèmes augmenterait inutilement les risques.
Les PVLAN offrent une autre option : maintenir le même sous-réseau tout en limitant qui peut communiquer directement avec qui à l’intérieur de celui-ci.
Fonctionnement d’une VLAN Privée
Une PVLAN introduit une structure supplémentaire dans le domaine de couche 2. Plutôt que de considérer que tous les ports appartenant à une VLAN peuvent communiquer entre eux directement, différentes relations sont établies.
Le premier élément est la VLAN principale, représentant le domaine principal de la PVLAN.
Au-dessous, on trouve les VLAN secondaires, qui dictent le comportement des hôtes. Cisco distingue deux types principaux : isolé et communauté.
Une VLAN isolée fait exactement ce que son nom indique. Les dispositifs connectés à ses ports sont isolés entre eux au niveau de la couche 2.
Ils peuvent utiliser le même espace IP et même la même passerelle, mais la communication directe entre eux est bloquée.
Une VLAN communauté applique un comportement différent. Les dispositifs de la même communauté peuvent communiquer entre eux, tout en restant isolés des dispositifs d’autres communautés et des ports isolés.
La troisième composante est le port promiscueux.
Ce port peut échanger avec les hôtes des VLAN secondaires qui lui sont associés. Il est généralement utilisé pour connecter une passerelle, un pare-feu, un routeur ou tout autre service partagé accessible à tous les dispositifs.
Cela peut être illustré par un scénario simple.
Une entreprise dispose de 50 serveurs dans 192.168.100.0/24. Tous doivent accéder à la passerelle 192.168.100.1, mais il n’y a aucune raison qu’ils puissent établir des connexions directes entre eux.
Avec une VLAN conventionnelle, sauf contrôle supplémentaire, ces serveurs partagent le même domaine de couche 2.
Avec une PVLAN, ils peuvent être configurés comme isolés.
Ils continueront d’utiliser 192.168.100.0/24 et auront toujours 192.168.100.1 comme passerelle. Mais le commutateur empêchera toute communication directe entre les ports isolés.
Cisco décrit précisément ce scénario : plusieurs hôtes isolés dans un même sous-réseau peuvent accéder à la passerelle connectée via un port promiscueux, tout en restant incapables de communiquer directement entre eux.
Une solution idéale pour les migrations et centres de données
Cette fonctionnalité présente des applications très claires dans l’infrastructure.
Elle s’avère particulièrement pertinente dans les centres de données et plateformes multi-utilisateurs.
Supposons plusieurs serveurs qui doivent partager un accès Internet. Utiliser une VLAN unique pourrait permettre une communication latérale entre eux. Créer une VLAN et un sous-réseau indépendant pour chaque serveur garantirait la séparation, mais augmenterait considérablement le nombre de réseaux à administrer.
Une PVLAN offre une solution intermédiaire.
Les serveurs peuvent partager le même adressage et la même passerelle, tout en étant isolés grâce à la commutation.
C’est également utile lors de migrations d’infrastructure.
Modifier l’adressage IP d’un serveur ne consiste pas simplement à changer une interface. La nouvelle adresse peut être référencée dans des firewalls, DNS, applications, systèmes de monitoring, listes d’accès, configurations tierces ou anciens logiciels.
Dans les réseaux industriels, le problème devient encore plus complexe. PLC, systèmes de contrôle, équipements spécialisés et dispositifs à long cycle de vie rendent toute modification apparemment simple très planifiée, nécessitant une fenêtre de maintenance.
Les PVLAN permettent d’introduire une segmentation de couche 2 sans modifier immédiatement l’adressage.
Attention toutefois : ce n’est pas une solution universelle. Une PVLAN contrôle essentiellement la communication de couche 2. Elle ne remplace pas un pare-feu, une politique de contrôle d’accès de couche 3 ou 4, ni une architecture Zero Trust. Elle ne doit pas être utilisée comme prétexte pour garder une architecture réseau mal conçue indéfiniment.
Son intérêt réside dans la résolution d’un problème précis : empêcher certains dispositifs d’une infrastructure Ethernet de communiquer directement, même s’ils partagent le même sous-réseau.
Isolated, community et promiscueux : trois comportements distincts
La logique d’une PVLAN devient plus évidente lorsque l’on examine ce que chaque type de port peut faire en termes de communication.
| Type | Peut communiquer avec | Ne peut pas communiquer directement avec |
|---|---|---|
| Promiscuous | Isolated, Community et autres destinations associées | Selon la configuration |
| Isolated | Ports promiscuous associés | Autres Isolated et Community |
| Community | Même communauté et Promiscuous | Autres communautés et Isolated |
Cisco explique que le trafic en provenance d’un port isolé n’est relayé que vers les ports promiscuous associés. En revanche, dans une communauté, les hôtes peuvent communiquer entre eux et avec ces ports promiscuous.
Cela permet de créer différents niveaux de séparation sans changer l’infrastructure IP globale.
Par exemple, un groupe de serveurs d’application pourrait former une communauté pour bénéficier d’une communication interne. En revanche, un ensemble de dispositifs n’ayant besoin que d’accéder à la passerelle pourrait rester isolé. Un pare-feu connecté au port promiscuous pourrait gérer la sortie et appliquer ensuite des politiques de sécurité de couche 3.
Huawei emploie le terme MUX VLAN pour une approche similaire
La terminologie diffère selon le fabricant.
Chez Huawei, il existe la MUX VLAN, une fonctionnalité conçue pour assurer un isolement de couche 2 tout en partageant certains ressources réseau, sans créer une VLAN indépendante pour chaque utilisateur.
Les concepts trouvent une correspondance approximative avec la terminologie PVLAN :
| VLAN Privée | Huawei MUX VLAN |
|---|---|
| VLAN principale | VLAN principale |
| VLAN isolée | VLAN séparée |
| VLAN communauté | VLAN groupe |
| Port promiscu | Interface principale |
| Port isolé | Interface séparée |
| Port communautaire | Interface de groupe |
Il faut faire preuve de prudence lorsque l’on travaille avec des équipements de différents fabricants, car même si le concept paraît similaire, la syntaxe, les restrictions et certains détails d’implémentation peuvent varier. Avant de migrer une configuration de Cisco vers Huawei, ou inversement, il est recommandé de consulter la documentation spécifique au modèle et à la version du logiciel.
L’isolation latérale est également une question de sécurité
Au-delà des migrations, les PVLAN ont une application directe en matière de sécurité.
Une topologie réseau plate facilite les mouvements latéraux d’un attaquant.
Si un acteur parvient à compromettre un serveur et que celui-ci peut communiquer directement avec plusieurs autres machines du même VLAN, cela augmente la surface d’attaque pour la reconnaissance ou l’accès à d’autres systèmes.
L’isolation de couche 2 peut limiter ces communications inutiles.
Ce principe est également valable dans les réseaux invités, d’hébergement, de laboratoire, certains segments IoT ou infrastructures où de nombreux dispositifs doivent accéder à un service commun, mais sans avoir besoin opérationnel de communiquer entre eux.
Attention toutefois à ne pas considérer une PVLAN comme une frontière de sécurité complète. Le trafic vers le gateway peut être routé et dirigé vers d’autres destinations si les politiques de couche 3 le permettent. Le comportement effectif dépendra de l’architecture globale, du switch, du routeur ou du pare-feu, et des règles configurées.
Il faut également prendre en compte le design lorsqu’une PVLAN traverse plusieurs commutateurs. Cisco précise que les VLAN principales et secondaires peuvent être transportées via des liens trunk, mais que la configuration doit préserver correctement les associations et propriétés des PVLAN tout au long de l’infrastructure.
Ainsi, leur intégration doit faire partie intégrante de la conception réseau, plutôt que d’être simplement une fonction à activer sur le commutateur.
Une PVLAN bien utilisée répond à un besoin fréquent : des dispositifs qui doivent partager le réseau et la passerelle sans pouvoir communiquer directement entre eux.
Dans des infrastructures neuves, il peut exister des alternatives architecturales plus complètes. Dans des environnements existants, des migrations ou systèmes difficiles à reconfigurer, bénéficier d’un isolement supplémentaire sans modifier toutes les adresses IP peut économiser beaucoup de travail et éviter des modifications superflues sur des systèmes en production.
Questions fréquemment posées
Qu’est-ce qu’une Private VLAN ou PVLAN ?
Une PVLAN est un mécanisme de segmentation de couche 2 qui permet de restreindre la communication entre dispositifs appartenant au même domaine PVLAN. Elle peut utiliser des VLAN secondaires isolés ou communautaires associés à une VLAN principale.
Une PVLAN nécessite-t-elle différents sous-réseaux IP ?
Pas nécessairement. Une de ses principales utilités est que plusieurs hôtes peuvent rester dans le même sous-réseau IP en utilisant le même gateway, tandis que le switch limite leur communication directe de couche 2.
Quelle est la différence entre une VLAN et une PVLAN ?
Une VLAN classique crée un domaine de couche 2 séparé, généralement associé à un sous-réseau spécifique. Une PVLAN ajoute de l’isolement au sein de ce domaine en utilisant une VLAN principale, secondaire, et différents types de ports.
Une Private VLAN remplace-t-elle un pare-feu ?
Non. Les PVLAN assurent principalement l’isolation en couche 2. Un pare-feu demeure nécessaire pour appliquer des politiques de sécurité sur les communications entre réseaux, protocoles, ports, applications ou identités.