Un ticket tombe : "je pingue mon collègue, ça répond pas, on est pourtant branchés sur le même switch". Tu vérifies les câbles, les IP, tout a l'air bon. Et pourtant, rien. Un VLAN c'est quoi, et qu'est-ce que ça vient faire dans ton switch ? Ce que tu regardes sans le savoir, c'est un VLAN. Vous n'êtes pas sur le même réseau, même si vous êtes sur le même switch.

Un VLAN c'est quoi, concrètement ? C'est le moyen de faire tenir plusieurs réseaux séparés dans un seul switch, sans ajouter un gramme de matériel. Pour piger le truc sans te noyer dans la théorie, garde une seule image en tête du début à la fin : un immeuble de bureaux. On va voir ce qu'est un VLAN, à quoi il sert vraiment, et à la fin tu en montes deux toi-même dans Packet Tracer pour voir la cloison tenir de tes propres yeux.

Un VLAN c'est quoi : un switch, plusieurs réseaux

Imagine un immeuble de bureaux. Un seul bâtiment, mais plusieurs entreprises locataires à l'intérieur. La compta au 2e, le service commercial au 3e, la direction au 4e. Mêmes murs, même compteur électrique, même ascenseur. Et pourtant chaque entreprise vit sa vie : quand la compta fait une annonce à l'interphone, seuls les bureaux de la compta l'entendent. Le 3e ne reçoit rien. Les cloisons tiennent.

Un VLAN (Virtual Local Area Network, "réseau local virtuel"), c'est exactement ça, mais dans un switch. Le switch, c'est l'immeuble. Les VLANs, ce sont les entreprises locataires. Tu prends un seul switch physique et tu le découpes en plusieurs réseaux logiques qui ne se parlent pas. Les PC branchés sur le VLAN 10 forment un réseau. Les PC du VLAN 20 en forment un autre. Même boîtier, mêmes câbles, mais deux mondes séparés.

À quoi sert un VLAN, concrètement ?

Tu sais maintenant ce qu'un VLAN c'est quoi. Reste la question qui compte sur le terrain : à quoi il sert vraiment.

Découper pour découper, ça n'a pas d'intérêt. Voilà pourquoi on met des cloisons dans l'immeuble.

Pour cloisonner le bruit. Sur un réseau, certains messages sont envoyés à tout le monde d'un coup (le broadcast, l'annonce générale de l'immeuble). Plus il y a de monde qui l'entend, plus ça bavarde pour rien. Et quand ça tourne mal, une seule annonce mal placée peut saturer tout le bâtiment : c'est la tempête de broadcast. Le VLAN limite l'annonce à un seul étage. Le bruit reste chez celui qui l'a fait. C'est d'ailleurs le prolongement direct du domaine de broadcast : le VLAN, c'est la cloison qui le réduit.

Pour la sécurité. La compta et les visiteurs du wifi invité n'ont rien à faire sur le même réseau. Avec un VLAN par usage, un poste compromis dans un étage ne voit pas les autres. La cloison est aussi un mur coupe-feu.

Pour l'organisation. Tu regroupes les machines par métier ou par fonction, pas par l'endroit où elles sont branchées. Un commercial qui déménage au 4e reste sur le VLAN commercial : tu changes une ligne de config, pas un câble.

VLAN et sous-réseau : pourquoi les deux vont ensemble

C'est LA confusion classique, alors mettons-la à plat. Le VLAN et le sous-réseau ne sont pas la même chose, mais ils travaillent en équipe.

Le VLAN, c'est la cloison physique-logique dans le switch (la couche 2, celle des cartes réseau). Le sous-réseau, c'est le découpage des adresses IP (la couche 3, celle des adresses). Dans la pratique, on fait coïncider les deux : le VLAN 10, c'est aussi le sous-réseau 192.168.10.0, et le VLAN 20 c'est le 192.168.20.0. Une entreprise, un étage, une plage d'adresses. Ça tombe bien, formip a déjà un article dédié si tu veux creuser la différence entre VLAN et sous-réseau.

Comment ça marche sous le capot

Trois notions suffisent pour démarrer.

Le port access. C'est la prise d'un bureau, affectée à une seule entreprise. Tu déclares "ce port appartient au VLAN 10", et le PC qui s'y branche est locataire du 10, point. Il ne sait même pas que les autres VLANs existent.

L'étiquette VLAN. Quand une trame doit voyager entre deux switches sur un même câble partagé, on lui colle une étiquette (un tag) qui dit "je suis du VLAN 10". C'est le badge d'entreprise que tu montres à la réception. Ce câble partagé qui transporte plusieurs VLANs étiquetés s'appelle un trunk, et il mérite son propre article.

Le VLAN 1 par défaut. À la sortie du carton, tous les ports d'un switch sont dans le VLAN 1. Tant que tu n'as rien fait, tout le monde est dans la même grande entreprise open space. Créer des VLANs, c'est poser les cloisons.

Question avant de mettre les mains dedans : si demain on te confie un switch tout neuf et qu'on te demande d'isoler la compta du reste de la boîte en dix minutes, tu saurais par où commencer ? Fais le TP, et la réponse deviendra "oui, facile".

Le TP : monte deux VLANs et vois la cloison tenir (Packet Tracer)

Objectif : installer deux entreprises dans le même immeuble et prouver que leurs annonces ne traversent pas les cloisons. En simulateur, donc zéro risque.

Prérequis : Cisco Packet Tracer, gratuit. C'est un vrai TP réseau, aligné sur le CCNA.

1. Pose un switch (2960) et quatre PC. Branche PC1 et PC2 sur les ports Fa0/1 et Fa0/2, PC3 et PC4 sur Fa0/3 et Fa0/4.
2. Donne des IP du même sous-réseau à tout le monde pour l'instant : 192.168.1.1 à 192.168.1.4, masque 255.255.255.0. À ce stade, sans VLAN, tout le monde se pingue. C'est l'open space.
3. Crée tes deux entreprises. Sur le switch : configure terminal, puis vlan 10 (entrée), name COMPTA (entrée), exit, puis vlan 20, name COMMERCIAL, exit.
4. Affecte les bureaux. Pour PC1 et PC2 : interface range fa0/1 - 2, switchport mode access, switchport access vlan 10. Pour PC3 et PC4 : interface range fa0/3 - 4, switchport mode access, switchport access vlan 20.
5. Vérifie le plan de l'immeuble : show vlan brief. Tu dois voir COMPTA (10) avec Fa0/1 et Fa0/2, COMMERCIAL (20) avec Fa0/3 et Fa0/4.
6. Teste les cloisons. Depuis PC1, pingue PC2 (même VLAN) : ça passe. Depuis PC1, pingue PC3 (VLAN d'à côté) : ça échoue.

Auto-vérification : si le ping entre PC1 et PC2 répond, que le ping entre PC1 et PC3 tombe en "Request timed out", et que show vlan brief liste bien tes deux entreprises avec les bons ports, la cloison tient. Et le plus beau : cet échec du ping n'est pas une panne, c'est la preuve que ton VLAN fonctionne. Les deux entreprises cohabitent sans se voir.

Tu veux maintenant les faire communiquer quand même, proprement ? C'est le job du routage inter-VLAN, la réception de l'immeuble qui transfère les appels d'un étage à l'autre. On en parle dans l'article dédié à la communication entre VLAN.

FAQ : le VLAN en clair

C'est quoi un VLAN en informatique ?

Un VLAN (réseau local virtuel) est un réseau logique créé à l'intérieur d'un switch pour séparer des groupes de machines qui partagent pourtant le même matériel. C'est comme plusieurs entreprises locataires dans un même immeuble : mêmes murs, mais chacune son réseau isolé.

Quelle différence entre un VLAN et un sous-réseau ?

Le VLAN sépare au niveau du switch (couche 2, les cartes réseau), le sous-réseau découpe les adresses IP (couche 3). En pratique on les fait coïncider : un VLAN = un sous-réseau. Ce sont deux outils complémentaires, pas des synonymes.

C'est quoi le VLAN 1 ?

C'est le VLAN par défaut d'un switch neuf : tous les ports y sont placés d'origine. Tant que tu n'as pas créé d'autres VLANs, toutes les machines sont dans le même réseau. Par sécurité, on évite d'y laisser du trafic sensible en production.

Pourquoi deux VLANs ne peuvent pas communiquer entre eux ?

Parce qu'ils sont, par conception, deux réseaux séparés : chaque VLAN est son propre domaine de broadcast. Pour les faire dialoguer, il faut un équipement de couche 3 (un routeur ou un switch niveau 3) qui fait le routage inter-VLAN. Sans lui, la cloison est étanche.

C'est quoi un trunk ?

C'est un câble entre deux switches (ou entre un switch et un routeur) qui transporte plusieurs VLANs à la fois, chaque trame portant une étiquette (802.1Q) indiquant son VLAN. À l'inverse du port access qui n'appartient qu'à un seul VLAN, le trunk est l'ascenseur commun de l'immeuble.

VLAN c'est quoi, au fond : la cloison qui change tout

Retiens l'immeuble : un seul switch, plusieurs entreprises, des cloisons qui tiennent. Le VLAN, c'est le premier vrai réflexe de conception réseau, celui qui te fait passer de "je branche des câbles" à "je dessine un réseau". Savoir en poser un, comprendre pourquoi le ping d'à côté échoue et pourquoi c'est normal, c'est exactement ce qu'on attend d'un technicien réseau. Un VLAN c'est quoi, désormais, pour toi ? Plus une ligne de config mystérieuse, mais un outil que tu poses les yeux fermés. Et ça, ça s'apprend, sans diplôme d'école.