B2-03 Commutation : VLAN, trunk 802.1Q et routage inter-VLAN

1. Le problème : un seul domaine de diffusion

Un commutateur (switch) travaille en couche 2 : il transmet les trames en fonction de l'adresse MAC de destination. Quand cette adresse est inconnue, ou quand c'est l'adresse de diffusion FF:FF:FF:FF:FF:FF, il envoie la trame sur tous ses ports sauf celui d'arrivée. Les demandes ARP, DHCP Discover ou NetBIOS sont des diffusions : elles atteignent donc tous les équipements reliés, de commutateur en commutateur.

Un réseau « plat » pose trois problèmes :

2. Le VLAN : un réseau local virtuel

2.1 Une règle d'or : 1 VLAN = 1 sous-réseau IP

Chaque VLAN reçoit son propre sous-réseau. C'est ce qui permet ensuite au routeur de faire passer le trafic d'un VLAN à l'autre (partie 4). Voici le plan retenu pour Brocéliande Logistique :

2.2 Numéros et types de VLAN

2.3 Comment un équipement est-il placé dans un VLAN ?

• Par port (statique) : on affecte un port du commutateur à un VLAN. C'est la méthode la plus courante et celle attendue à l'examen. Le poste ne sait pas qu'il est dans un VLAN.
• Dynamique : le VLAN est attribué après authentification du poste ou de l'utilisateur (802.1X avec un serveur RADIUS, ou filtrage par adresse MAC). Plus souple, mais nécessite une infrastructure d'authentification (vu dans le Bloc 3).

3. Ports access, ports trunk et étiquette 802.1Q

3.1 Les deux modes de port

3.2 L'étiquette 802.1Q

Sur un trunk, le commutateur doit indiquer à quel VLAN appartient chaque trame. Il insère pour cela une étiquette de 4 octets entre l'adresse MAC source et le champ Type, puis recalcule le champ de contrôle FCS. Le commutateur qui reçoit la trame lit l'étiquette, la retire et envoie la trame vers les ports du bon VLAN.

• MAC dest. / MAC src.Adresses physiques du destinataire et de l'émetteur sur le réseau local (6 octets chacune).
• Type (EtherType)Indique ce que transportent les données, pour que le récepteur sache à qui les confier : 0x0800 = IPv4, 0x86DD = IPv6, 0x0806 = ARP.
• Étiquette 802.1QInsérée par le commutateur à l'entrée du trunk. Son premier champ, le TPID 0x8100, se trouve à l'endroit où l'on attendait le Type : il signale « trame étiquetée ».
• FCS (Frame Check Sequence)Code de contrôle calculé sur toute la trame. Le récepteur refait le calcul : s'il ne trouve pas la même valeur, la trame a été abîmée et elle est jetée. Comme l'étiquette modifie la trame, le FCS doit être recalculé.

3.3 Le VLAN natif

Sur un trunk 802.1Q, les trames du VLAN natif circulent sans étiquette. Inversement, une trame reçue sans étiquette sur un trunk est rangée dans le VLAN natif. Par défaut, le VLAN natif est le VLAN 1 sur Cisco.

3.4 DTP : la négociation automatique à désactiver

Les commutateurs Cisco utilisent DTP (Dynamic Trunking Protocol) pour négocier automatiquement le mode trunk. Les modes dynamic auto et dynamic desirable facilitent la vie en laboratoire, mais un attaquant peut se faire passer pour un commutateur et obtenir un trunk (accès à tous les VLAN). En production, on fixe le mode à la main (switchport mode access ou trunk) et on coupe DTP avec switchport nonegotiate.

3.5 Cisco et HPE Aruba : même logique, vocabulaire différent

Les deux grandes familles de commutateurs que tu rencontreras appliquent la même norme 802.1Q. Seul le vocabulaire change : Cisco raisonne par port (« ce port est en access dans le VLAN 10 »), Aruba raisonne par VLAN (« le VLAN 10 contient les ports 1 à 8 sans étiquette, untagged, et le port 25 avec étiquette, tagged »).

4. Faire communiquer les VLAN : le routage inter-VLAN

Les VLAN isolent, mais la comptabilité doit tout de même joindre le serveur de fichiers du VLAN 50, et tout le monde doit obtenir une adresse DHCP. Comme chaque VLAN est un sous-réseau, il faut un équipement de couche 3 qui possède une adresse (la passerelle) dans chaque VLAN. Trois solutions existent :

4.1 Le router-on-a-stick

C'est la méthode du fil rouge : R1 est relié à SW1 par un seul lien trunk, et on la configure en quatre temps.

1. Activer l'interface physique, sans adresse IP : elle ne sert que de support aux sous-interfaces.
2. Créer une sous-interface par VLAN (g0/0.10) ; le numéro après le point est libre, on prend le numéro de VLAN par lisibilité.
3. Associer la sous-interface au VLAN avec encapsulation dot1Q : c'est cette commande, et non le numéro de sous-interface, qui fixe le VLAN.
4. Donner l'adresse de passerelle du VLAN, et ajouter le relais DHCP si le serveur DHCP est dans un autre VLAN.

4.2 Le commutateur de niveau 3

Même plan d'adressage, mais la passerelle de chaque VLAN est portée par le commutateur de cœur SW-L3 (Catalyst 3750 au labo, 3560 dans Packet Tracer). Le lien vers le routeur Internet devient un port routé. Trois commandes résument la méthode : ip routing active le routage, interface vlan 20 crée la passerelle du VLAN 20, et no switchport transforme un port en port routé.

5. Vérifier et dépanner

5.1 Les commandes de vérification

SW1# show interfaces trunk

Port        Mode         Encapsulation  Status        Native vlan
Gi0/1       on           802.1q         trunking      999
Gi0/2       on           802.1q         trunking      999

Port        Vlans allowed on trunk
Gi0/1       10,20,30,50,99,999
Gi0/2       10,20,30,50,99,999

Port        Vlans allowed and active in management domain
Gi0/1       10,20,30,50,99,999

Port        Vlans in spanning tree forwarding state and not pruned
Gi0/1       10,20,30,50,99,999

Méthode : on vérifie couche par couche, du poste vers la passerelle. Le poste a-t-il la bonne adresse et la bonne passerelle (ipconfig / ip a) ? Son port est-il dans le bon VLAN ? Le VLAN traverse-t-il chaque trunk jusqu'au routeur ? La passerelle répond-elle (ping 172.16.20.254) ? Puis seulement : le poste joint-il un autre VLAN (tracert / traceroute) ?

5.2 La démarche de dépannage

5.3 Pannes fréquentes

5.4 Entraîne-toi : les tickets du support

Tu es de permanence au support de Brocéliande Logistique. Six tickets arrivent les uns après les autres : lis le message, observe l'extrait de commande, puis choisis la cause. Applique la démarche de la partie 5.2.

SW2# show interfaces trunk
Port        Mode   Encapsulation  Status     Native vlan
Gi0/1       on     802.1q         trunking   999

Port        Vlans allowed on trunk
Gi0/1       30,50,99,999

SW1# show vlan brief
VLAN Name        Status    Ports
---- ----------- --------- ------------------------------
10   DIRECTION   active    Fa0/1, Fa0/2, Fa0/4, Fa0/5
                           Fa0/6, Fa0/7, Fa0/8
20   COMPTA      active    Fa0/3, Fa0/9, Fa0/10, Fa0/11 …

R1# show running-config interface g0/0.30
interface GigabitEthernet0/0.30
 description Passerelle VLAN 30 ENTREPOT
 encapsulation dot1Q 30
 ip address 172.16.30.254 255.255.255.0
end

R1# show ip interface brief
Interface              IP-Address      Status                Protocol
GigabitEthernet0/0   unassigned      administratively down down
Gi0/0.10             172.16.10.254   administratively down down
Gi0/0.20             172.16.20.254   administratively down down
Gi0/0.30             172.16.30.254   administratively down down

%CDP-4-NATIVE_VLAN_MISMATCH: Native VLAN mismatch discovered
on GigabitEthernet0/2 (999), with SW2 GigabitEthernet0/1 (1).

SW1# show interfaces fa0/20 switchport
Name: Fa0/20
Switchport: Enabled
Administrative Mode: dynamic desirable
Operational Mode: trunk

6. Sécuriser la commutation

7. À l'examen et en entreprise

8. L'essentiel

1. Un VLAN est un domaine de diffusion logique ; seul un équipement de couche 3 fait communiquer deux VLAN.
2. 1 VLAN = 1 sous-réseau IP, avec sa passerelle.
3. Port access = un VLAN, trames sans étiquette. Port trunk = plusieurs VLAN, trames étiquetées 802.1Q.
4. L'étiquette 802.1Q fait 4 octets ; le VID sur 12 bits donne 4094 VLAN utilisables.
5. Le VLAN natif n'est pas étiqueté sur un trunk : identique des deux côtés, dédié et vide.
6. allowed vlan add pour ajouter un VLAN à un trunk, jamais allowed vlan seul.
7. ROAS : sous-interfaces + encapsulation dot1Q ; niveau 3 : ip routing + SVI.
8. ip helper-address relaie le DHCP d'un VLAN vers le serveur d'un autre VLAN.
9. Dépanner du poste vers la passerelle : VLAN du port, trunk, sous-interface/SVI, routage.
10. Un VLAN n'est pas un pare-feu : filtrer avec ACL ou pare-feu, couper DTP, ne pas utiliser le VLAN 1.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

9. Quiz noté

10. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

11. Fil rouge : segmenter le réseau de Brocéliande Logistique