Commutation : VLAN, trunk 802.1Q et routage inter-VLAN
Segmenter un réseau local avec des VLAN, transporter plusieurs VLAN sur un même lien et faire communiquer les VLAN entre eux, sur Cisco et HPE Aruba.
L'essentiel
- Un VLAN est un domaine de diffusion logique ; seul un équipement de couche 3 fait communiquer deux VLAN.
- 1 VLAN = 1 sous-réseau IP, avec sa passerelle.
- Port access = un VLAN, trames sans étiquette. Port trunk = plusieurs VLAN, trames étiquetées 802.1Q.
- L'étiquette 802.1Q fait 4 octets ; le VID sur 12 bits donne 4094 VLAN utilisables.
- Le VLAN natif n'est pas étiqueté sur un trunk : identique des deux côtés, dédié et vide.
allowed vlan addpour ajouter un VLAN à un trunk, jamaisallowed vlanseul.- ROAS : sous-interfaces +
encapsulation dot1Q; niveau 3 :ip routing+ SVI. ip helper-addressrelaie le DHCP d'un VLAN vers le serveur d'un autre VLAN.- Dépanner du poste vers la passerelle : VLAN du port, trunk, sous-interface/SVI, routage.
- Un VLAN n'est pas un pare-feu : filtrer avec ACL ou pare-feu, couper DTP, ne pas utiliser le VLAN 1.
Astuce de plan
Faire correspondre le numéro de VLAN et le 3e octet de l'adresse (VLAN 20 → 172.16.20.0/24) et réserver la même adresse pour la passerelle dans chaque VLAN (.254) : le plan devient lisible sans documentation.
Piège classique
Le VLAN natif doit être identique aux deux extrémités du trunk. Sinon, les trames non étiquetées changent de VLAN en traversant le lien : deux réseaux se mélangent sans que rien ne le signale à l'utilisateur. Sur Cisco, CDP affiche un message %CDP-4-NATIVE_VLAN_MISMATCH dans les journaux.
À retenir
Une SVI n'est up/up que si trois conditions sont réunies : le VLAN existe sur le commutateur, au moins un port actif (access ou trunk) transporte ce VLAN, et l'interface n'est pas en shutdown. Une SVI down est presque toujours due à l'une de ces trois causes.
Commandes clés
| Pour… | Commandes (Cisco IOS) |
|---|---|
| Créer un VLAN | vlan 20 · name COMPTA |
| Port access | switchport mode access · switchport access vlan 20 |
| Port trunk | switchport mode trunk · switchport trunk native vlan 999 · switchport trunk allowed vlan 10,20,30,50,99 |
| Ajouter un VLAN au trunk | switchport trunk allowed vlan add 40 |
| Router-on-a-stick | interface g0/0.20 · encapsulation dot1Q 20 · ip address 172.16.20.254 255.255.255.0 |
| Relais DHCP | ip helper-address 172.16.50.10 (sur la passerelle du VLAN) |
| Niveau 3 (SVI) | ip routing · interface vlan 20 · ip address … |
| Vérifier | show vlan brief · show interfaces trunk · show ip interface brief |