VLAN à la maison : segmenter son réseau sans y passer le week-end

L'essentiel

• Sur un réseau plat, tout appareil peut atteindre tous les autres : un objet connecté compromis voit vos partages de fichiers.
• Un VLAN sépare logiquement les réseaux sur le même câblage — il faut un commutateur et un routeur qui le gèrent.
• Le VLAN ne fait que séparer : sans règles de pare-feu entre les segments, le routeur les fait communiquer.
• Trois pièges bloquent presque toutes les installations : le port du commutateur mal configuré, la découverte de services qui ne traverse pas, et le DHCP absent sur le nouveau segment.
• Commencez par un seul segment supplémentaire pour les objets connectés : c'est là que le rapport bénéfice/effort est le meilleur.

Chez la plupart des gens, le réseau domestique est plat : un seul sous-réseau où tout le monde cohabite. L'ordinateur de travail, le téléphone d'un invité, le serveur de fichiers, la caméra achetée en promotion et l'ampoule connectée sont tous voisins directs, libres de se parler.

Tant que tout va bien, cela ne se remarque pas. Le problème apparaît le jour où l'un de ces appareils cesse d'être digne de confiance.

Pourquoi le réseau plat pose problème

Les objets connectés grand public partagent trois caractéristiques ennuyeuses : ils reçoivent peu ou pas de correctifs, ils restent en service des années, et ils exécutent souvent un logiciel embarqué que personne n'audite.

Sur un réseau plat, un tel appareil compromis peut balayer l'intégralité de votre réseau, découvrir vos partages de fichiers, tenter des mots de passe sur vos interfaces d'administration, et servir de relais durable vers l'extérieur. Il n'a pas besoin d'être puissant : il lui suffit d'être là.

La segmentation ne rend pas cet appareil sûr. Elle fait qu'une fois compromis, il ne voit plus rien d'intéressant.

Ce qu'un VLAN fait — et ne fait pas

Un VLAN sépare logiquement plusieurs réseaux sur le même câblage physique. Chaque segment devient un domaine de diffusion distinct : les appareils d'un segment ne voient pas directement ceux d'un autre.

Cela suppose deux composants : un commutateur gérable, capable de dire quel port appartient à quel segment, et un routeur capable de gérer plusieurs réseaux et de filtrer entre eux. La box opérateur en est rarement capable.

Et voici le contresens central, celui qui ruine la moitié des installations : le VLAN sépare, il n'isole pas. Le routeur est présent sur tous les segments et les fait communiquer, souvent sans restriction par défaut. Si vous créez trois VLAN sans écrire une seule règle de filtrage, vous avez fait du rangement — pas de la sécurité.

Un découpage raisonnable

Inutile de viser huit segments dès le premier jour. Quatre suffisent, et on peut les mettre en place progressivement :

• Principal : vos ordinateurs et téléphones, les appareils de confiance.
• Objets connectés : tout ce qui est connecté et que vous ne maîtrisez pas. Accès à internet, aucun accès au reste.
• Invités : accès internet uniquement, isolation totale, y compris entre appareils invités.
• Serveurs : NAS, hyperviseur, services auto-hébergés. Joignables depuis le principal, mais ne pouvant pas initier de connexion vers lui.

Cette dernière asymétrie est importante et souvent oubliée : un serveur compromis ne doit pas pouvoir attaquer vos postes. Le sens des connexions autorisées compte autant que la liste des segments.

Les trois pièges qui bloquent tout le monde

Le port du commutateur mal configuré. Un port qui ne transporte qu'un seul segment doit être configuré différemment d'un port qui en transporte plusieurs — typiquement celui du routeur ou d'un point d'accès. C'est la première cause d'appareil injoignable. Symptôme : le lien est établi, mais rien ne passe.

Le DHCP oublié. Chaque segment est un réseau à part entière : il lui faut son propre sous-réseau, sa passerelle, sa plage d'adresses et son serveur DNS. Créer le VLAN sans déclarer tout cela produit des appareils connectés qui ne reçoivent aucune configuration. Symptôme : plus aucune adresse IP.

La découverte de services qui ne traverse plus. Impression, diffusion vidéo, domotique reposent sur des messages diffusés localement — qui, par construction, ne franchissent pas les frontières de segment. C'est la contrepartie la plus visible au quotidien. La réponse est un relais de découverte entre les segments concernés, plus une règle de pare-feu autorisant explicitement le flux. Ne rouvrez pas tout : autorisez ce service précis, entre ces deux segments précis.

Par où commencer

La méthode qui évite de passer un week-end à tout remettre en état : ajoutez un seul segment, pour les objets connectés.

Vous laissez le réseau existant intact, vous créez un second réseau sans fil dédié, vous y basculez les ampoules, prises et caméras, et vous écrivez une règle unique : ce segment accède à internet, et à rien d'autre.

Vous obtenez ainsi l'essentiel du bénéfice — les appareils les moins fiables sont écartés — pour un risque de casse minimal. Vous vérifiez pendant quelques jours ce qui ne fonctionne plus, vous ajustez les relais nécessaires, et vous ajoutez le segment suivant seulement quand celui-ci est stable.

À retenir

La segmentation n'empêche pas la compromission d'un appareil : elle limite ce qu'elle permet. Un VLAN sans règles de pare-feu n'apporte rien, un segment sans DHCP ne fonctionne pas, et la découverte de services demandera toujours un relais explicite. Prenez-les un par un, et commencez par celui qui protège le plus : les objets connectés.