Réseau invité ou VLAN pour isoler votre premier laboratoire

Utilisez un réseau invité pour un premier laboratoire lorsque l’objectif immédiat est simple : donner accès à Internet aux appareils sans fil non fiables tout en les éloignant du réseau local de confiance. Passez aux VLAN lorsque l’isolation doit inclure des appareils filaires, plusieurs points d’accès, des serveurs, plusieurs groupes de politiques ou des règles réutilisables qui vont au-delà d’un seul SSID invité. Un réseau invité constitue une première barrière nécessitant peu de configuration ; les VLAN deviennent une architecture plus robuste lorsque la segmentation doit s’étendre à l’ensemble du réseau.

Définissez la première limite d’isolation avant de choisir la technologie

Un débutant peut facilement surdimensionner la segmentation, car « séparer le laboratoire » semble impliquer une exigence à l’échelle du réseau. Commencez plutôt par formuler la première règle en termes simples : quels appareils ne sont pas fiables, s’ils ont uniquement besoin d’un accès à Internet, quels services locaux ils peuvent atteindre et s’ils sont sans fil, filaires ou les deux. Plus la limite est restreinte, plus un réseau invité a de chances de répondre proprement au besoin.

La conception du Wi-Fi invité d’OpenWrt crée un réseau sans fil indépendant, lui donne accès à Internet et restreint la connectivité au réseau local grâce à une zone de pare-feu distincte. Pour de nombreux premiers laboratoires, cela constitue un résultat d’isolation complet, même si le propriétaire n’a pas encore conçu une architecture VLAN avec plusieurs commutateurs.

Si la cible est un ordinateur portable de laboratoire, quelques téléphones de test ou des appareils IoT dépendants du cloud connectés en Wi-Fi, commencez par la limite du réseau invité et vérifiez que les adresses du réseau local de confiance sont inaccessibles. Si le laboratoire comprend un hyperviseur filaire, une interface de gestion NAS ou plusieurs groupes d’appareils nécessitant des politiques différentes, l’exigence initiale dépasse déjà ce que représente normalement un seul SSID invité.

Les réseaux invités sont préférables lorsque l’isolation est sans fil et limitée à Internet

Le principal avantage d’un réseau invité est sa simplicité opérationnelle. Le routeur ou le point d’accès gère simultanément le SSID, la plage DHCP et le comportement du pare-feu. Un débutant peut généralement restaurer la limite en restaurant la configuration d’un seul routeur, plutôt qu’en reconstruisant les trunks de commutateurs, les identifiants VLAN, les affectations de ports d’accès et les règles inter-VLAN.

La comparaison de ZimaSpace entre les réseaux locaux plats et la segmentation VLAN présente l’isolation des invités comme un premier projet de segmentation pertinent, car sa politique est facile à formuler : les invités peuvent accéder à Internet, mais pas aux appareils privés. Cet article applique cette idée au choix initial entre conserver la limite sous forme de fonctionnalité invité ou la transformer en infrastructure VLAN réutilisable.

Conservez le réseau invité tant que les appareils isolés se connectent tous au même système sans fil et n’ont pas besoin d’un accès soigneusement contrôlé au DNS local, au stockage, aux tableaux de bord ou aux contrôleurs. L’approche invité perd son avantage lorsque les exceptions s’accumulent, car chaque exception dépend alors des possibilités offertes par le routeur grand public plutôt que d’un modèle général de politiques réseau.

Les VLAN sont préférables lorsque la limite doit suivre les appareils au-delà d’un seul SSID

Les VLAN séparent les domaines de diffusion de couche 2 et permettent à un même segment logique de s’étendre sur plusieurs commutateurs ou points d’accès physiques. Cela devient important lorsqu’un laboratoire possède un serveur filaire, un appareil de test sans fil et un autre hôte dans une pièce différente, mais que tous trois doivent appliquer la même politique de confiance. Le segment suit la conception du réseau au lieu d’être lié à une seule fonctionnalité radio.

La présentation de Cisco sur les domaines de diffusion VLAN et IEEE 802.1Q illustre cette différence architecturale : l’appartenance à un VLAN est une construction de commutation qui peut être transportée entre des équipements réseau. Un laboratoire domestique bénéficie ainsi d’une couche de segmentation réutilisable, au lieu de lier l’isolation à une implémentation Wi-Fi invité.

Le coût est que le propriétaire doit désormais comprendre davantage d’éléments. Les ports de commutateur peuvent être balisés ou non balisés, les trunks doivent transporter les bons VLAN, les interfaces de passerelle doivent disposer d’adresses, le DHCP doit desservir chaque sous-réseau et les règles de pare-feu doivent contrôler le trafic inter-VLAN. Choisissez les VLAN lorsque cette structure réutilisable répond à plusieurs limites réelles, et non simplement parce que les VLAN sont une fonctionnalité standard des laboratoires domestiques.

-15% OFF

ZimaBoard 2 - Mini serveur domestique pour votre grande idée

Single board computer zimaboard2

$339.00 - $519.00

Buy Now

La découverte des services est le point où une limite invité plus simple peut devenir contraignante

L’isolation modifie le fonctionnement de la découverte locale. Un téléphone de test peut toujours accéder à Internet, mais ne plus trouver les imprimantes, lecteurs multimédias, appareils Home Assistant ou services de développement qui étaient auparavant visibles sur un même réseau local. Cela peut se produire avec un réseau invité comme avec un VLAN routé, car le trafic de découverte peut rester local à une seule liaison.

Le modèle DNS multidiffusion de la RFC 6762 est explicitement limité à la liaison locale. Lorsque le laboratoire est placé sur un segment routé distinct, la découverte mDNS ne traverse pas simplement la passerelle comme le ferait un trafic monodiffusion ordinaire. Une conception VLAN peut ajouter un réflecteur contrôlé ou des enregistrements DNS explicites, mais cela crée une nouvelle surface de politiques et de dépannage.

Il s’agit d’un facteur de basculement, et non d’une raison d’abandonner l’isolation. Si le premier laboratoire a seulement besoin d’Internet et de SSH vers un hôte connu, la découverte peut être secondaire. Si le segment isolé doit régulièrement découvrir des services domestiques, un réseau invité dépourvu de contrôles d’exception peut devenir trop rigide, tandis qu’un pare-feu compatible VLAN peut définir plus précisément des chemins spécifiques entre zones.

La sécurité des VLAN vient de la politique routée, pas de l’étiquette

Un identifiant VLAN n’est pas, à lui seul, une règle de contrôle d’accès. Les appareils d’un même VLAN peuvent normalement communiquer sans passer par le pare-feu de la passerelle, et le trafic entre VLAN n’est contrôlé que lorsque le routage et le filtrage appliquent une politique. Le résultat de sécurité utile est la réduction des communications autorisées, et non l’augmentation du nombre de segments réseau colorés.

Les travaux du NIST sur l’IoT domestique et des petites entreprises illustrent un modèle de moindre privilège dans lequel les appareils ne sont autorisés qu’à échanger le trafic nécessaire à leur fonction prévue. Le modèle de restriction des communications entre appareils constitue la bonne référence pour déterminer si la complexité des VLAN apporte une réelle valeur : un segment distinct est utile lorsqu’il permet d’appliquer une politique que vous pouvez formuler, tester et maintenir.

Pour un premier laboratoire, évitez de créer un VLAN pour chaque application, pièce ou type d’appareil. Un seul VLAN de laboratoire, incapable d’initier des connexions vers les réseaux de gestion de confiance, peut suffire à enseigner la limite essentielle. N’en ajoutez un autre que lorsque la règle de communication diffère réellement.

Le coût de récupération est le prix caché de la segmentation réutilisable

Un réseau invité tombe souvent en panne à un seul endroit : la fonctionnalité du routeur ou du point d’accès. Les VLAN peuvent échouer au niveau du terminal, du port d’accès, du trunk, du commutateur, de l’interface de passerelle, de la plage DHCP, du chemin DNS, du pare-feu ou de l’assistant de découverte. Cet état supplémentaire n’est acceptable que si le propriétaire sait quelle couche vérifier et peut rétablir l’accès à la gestion après une règle mal configurée.

Le processus de configuration des VLAN de Netgate rend visibles ces objets supplémentaires : interfaces parentes, balises VLAN, affectations, adressage et configuration du pare-feu en aval font tous partie de l’état récupérable du réseau. La même charge générale s’applique avec une autre plateforme de routeur ou de commutateur.

Si le propriétaire du premier laboratoire ne peut pas encore expliquer quel port est le trunk, quelle interface est la passerelle et comment récupérer l’accès en cas de mauvaise configuration d’un VLAN de gestion, le réseau invité peut constituer une étape d’apprentissage plus sûre. Si ces concepts sont précisément ce que le laboratoire doit enseigner, cette charge n’est pas inutile : elle fait partie de la valeur du projet.

Commencez par l’isolation invité, puis faites évoluer la limite lorsqu’elle dépasse la fonctionnalité

Choisissez le réseau invité lorsque tous les appareils isolés sont sans fil, ont principalement besoin d’un accès à Internet, nécessitent peu d’exceptions pour les services locaux et que le comportement du routeur est facile à vérifier. Vous obtenez ainsi une limite de confiance pertinente pour un premier laboratoire, sans faire dépendre le réseau domestique d’un vaste graphe de configuration.

Choisissez les VLAN lorsque le même groupe isolé doit inclure des appareils filaires et sans fil, plusieurs points d’accès ou commutateurs, des interfaces de serveur ou plusieurs groupes de politiques. Les VLAN sont également préférables lorsque vous souhaitez réutiliser le modèle de segmentation à mesure que le laboratoire s’agrandit et que vous êtes prêt à documenter les trunks, les sous-réseaux, le DHCP, les règles de pare-feu et les procédures de récupération.

La voie de migration pratique n’est pas de choisir définitivement entre réseau invité et VLAN. Utilisez le réseau invité comme test d’isolation viable au minimum. Faites évoluer cette limite vers un VLAN uniquement lorsqu’un appareil, une politique ou une exigence de topologie réelle ne peut plus être pris en charge par la fonctionnalité la plus simple.