Questions pour vérifier la compréhension
Quelle adresse le switch lit-il pour remplir sa table MAC ?
L’adresse MAC source de chaque trame reçue, associée au port d’arrivée.
Que fait le switch d’une trame dont il ne connaît pas la destination ?
Il l’inonde (flooding) sur tous les ports du VLAN, sauf celui d’arrivée.
Deux PC de VLAN différents, sur le même switch, communiquent-ils directement ?
Non. Ce sont deux réseaux distincts : il faut un routeur ou un switch de niveau 3.
Que contient l’étiquette 802.1Q ?
4 octets : le TPID 0x8100, une priorité et le VID sur 12 bits (VLAN 1 à 4094).
Pourquoi désactiver les ports inutilisés d’un switch ?
Pour qu’une prise libre ne permette pas à un équipement non autorisé de rejoindre le réseau.
Transcription de l’animation
1. Le switch
Un switch relie les machines d’un même réseau local. Il travaille au niveau 2 : il aiguille les trames selon leurs adresses MAC. Pour savoir sur quel port se trouve chaque machine, il tient une table d’adresses MAC, appelée table CAM. Au démarrage, elle est vide.
2. Le switch apprend
A envoie une trame à C. Elle contient l’adresse MAC source (A) et l’adresse MAC de destination (C). Le switch lit l’adresse MAC source et apprend : A se trouve sur le port 1. Il ne sait pas encore où est C : il inonde la trame sur tous les autres ports (flooding). B et D l’ignorent, C la garde. C répond. Le switch apprend que C est sur le port 3 ; il sait déjà où est A et n’envoie la réponse que sur le port 1. Désormais, les trames entre A et C ne passent que par leurs deux ports. B et D ne les voient plus.
3. Un seul domaine de diffusion
Une trame de diffusion (adresse ff:ff:ff:ff:ff:ff), comme une requête ARP, est envoyée sur tous les ports. Toutes les machines reliées au switch forment un seul domaine de diffusion. Avec des centaines de postes, ces diffusions encombrent le réseau, et tous les postes se côtoient. La solution : découper le réseau physique en plusieurs réseaux logiques, les VLAN.
4. Les VLAN
On affecte chaque port à un VLAN : ports 1 et 2 au VLAN 10 (administration), ports 3 et 4 au VLAN 20 (élèves). Une diffusion émise dans le VLAN 10 ne sort que sur les ports du VLAN 10. Chaque VLAN est son propre domaine de diffusion. A ne peut pas joindre C directement : deux VLAN sont deux réseaux séparés, avec deux plans d’adressage. Il faudra passer par la couche 3.
5. Le trunk 802.1Q
Les VLAN s’étendent sur plusieurs switchs. Entre eux, un seul lien suffit : le trunk, qui transporte tous les VLAN. Sur le trunk, le switch insère dans la trame une étiquette 802.1Q de 4 octets, qui contient le numéro de VLAN (VID). Le switch d’arrivée lit l’étiquette, la retire et ne délivre la trame que sur les ports du VLAN 10. Même chemin pour le VLAN 20 : c’est l’étiquette qui sépare les flux sur un seul et même câble.
6. Routage inter-VLAN
Pour passer d’un VLAN à l’autre, il faut un équipement de couche 3 : un routeur, ou un switch de niveau 3. A envoie son paquet à sa passerelle, 192.168.10.254 : une sous-interface du routeur, sur le VLAN 10. Le routeur change de réseau et renvoie le paquet sur le même lien, étiqueté VLAN 20. C’est le « router on a stick ». C’est à cet endroit qu’on place les règles de filtrage : qui, d’un VLAN à l’autre, a le droit de communiquer avec qui.
7. Vigilance sécurité
Vigilance : les VLAN sont un outil de sécurité seulement si le switch est bien configuré. Un port inutilisé doit être désactivé : une prise libre dans une salle est une porte d’entrée. La port security limite le nombre d’adresses MAC apprises par port, ce qui protège la table du switch. Les trunks se configurent explicitement : on coupe la négociation automatique et on n’utilise pas le VLAN natif pour les postes. Enfin, séparer ne suffit pas : il faut filtrer les flux entre VLAN et réserver un VLAN à l’administration des équipements.
8. À retenir
En résumé : le switch apprend les adresses MAC, les VLAN découpent le réseau, le trunk les transporte, et le routeur les relie sous contrôle. Un VLAN n’est une protection que si le switch est configuré avec soin.
© 2026 Bruno Jousseaume. Ce cours est publié sous licence CC BY-NC-SA 4.0 : vous pouvez le partager et l’adapter en citant l’auteur et un lien vers cette page, sans usage commercial, et en partageant vos adaptations sous la même licence.