Commutation, VLAN et spanning tree
Comprendre la commutation de couche 2, la segmentation VLAN et le rôle du spanning tree.
À retenir
- La commutation de couche 2 s'appuie sur l'apprentissage dynamique des adresses MAC.
- ARP (RFC 826) résout une adresse IP en adresse MAC au sein d'un même segment de diffusion.
- Les VLAN (IEEE 802.1Q) segmentent logiquement un réseau physique unique en domaines de diffusion distincts.
- Spanning Tree (IEEE 802.1D/802.1w) évite les boucles de commutation tout en conservant des liens redondants.
La commutation, fondation de la couche 2
Un commutateur (switch) transmet les trames Ethernet en s'appuyant sur les adresses MAC, apprises dynamiquement en observant le trafic source de chaque port et stockées dans une table d'adresses MAC (CAM table). C'est un mécanisme purement local à un segment de couche 2, distinct du routage inter-réseaux de couche 3.
ARP : faire le lien entre IP et MAC
Le protocole ARP (Address Resolution Protocol), défini par la RFC 826, permet à un hôte de découvrir l'adresse MAC associée à une adresse IP sur son réseau local, via une requête en diffusion suivie d'une réponse unicast. Cette correspondance est mise en cache temporairement dans la table ARP de chaque hôte.
Point clé
ARP ne fonctionne qu'au sein d'un même segment de diffusion (même VLAN) ; pour joindre un hôte situé sur un autre réseau, un hôte résout l'adresse MAC de sa passerelle par défaut, pas celle de la destination finale.
VLAN : segmenter sans câbler à nouveau
Un VLAN (Virtual LAN), normalisé par la norme IEEE 802.1Q, permet de créer plusieurs domaines de diffusion logiquement séparés sur une même infrastructure physique de commutation. Chaque trame transitant entre commutateurs sur un lien tagué (trunk) porte un identifiant de VLAN (VLAN ID, 1 à 4094) inséré dans l'en-tête Ethernet.
| Type de port | Rôle | Exemple d'usage |
|---|---|---|
| Access | Rattaché à un seul VLAN, sans tag | Poste utilisateur, imprimante |
| Trunk | Transporte plusieurs VLAN tagués 802.1Q | Lien entre deux commutateurs |
| Native VLAN | VLAN transmis sans tag sur un trunk | Compatibilité avec anciens équipements |
Attention
laisser le VLAN natif par défaut (souvent VLAN 1) actif sur les trunks de production est une faiblesse de sécurité classique, exploitable par des attaques de saut de VLAN (VLAN hopping) ; les bonnes pratiques recommandent de dédier un VLAN natif inutilisé.
Spanning Tree : éviter les boucles de commutation
Une topologie physique redondante entre commutateurs, utile pour la résilience, crée un risque de boucle infinie de trames en couche 2 (broadcast storm). Le protocole Spanning Tree (IEEE 802.1D, puis Rapid STP 802.1w) élit un commutateur racine et bloque logiquement les liens redondants pour ne conserver qu'un chemin actif par segment, tout en gardant les liens de secours prêts à être réactivés en cas de panne.
Sur le terrain
un câblage « en boucle » branché par erreur entre deux ports du même commutateur, sans STP actif, peut saturer un réseau local entier en quelques secondes — c'est l'une des pannes les plus spectaculaires et les plus rapides à observer sur le terrain, souvent provoquée par une simple erreur de câblage lors d'un déménagement de baie.
Sur le terrain
activer systématiquement la protection BPDU Guard sur les ports d'accès empêche qu'un commutateur non autorisé branché par un utilisateur ne perturbe la topologie spanning tree de production.
Astuce
documentez toujours l'affectation VLAN par port dans votre outil de gestion réseau ; un port oublié en VLAN par défaut après un déménagement de poste est une source fréquente d'incidents de sécurité difficiles à tracer.