Ce qu'il faut retenir
- Un VLAN divise votre réseau informatique en zones isolées : une compromission dans une zone ne se propage pas aux autres, ce qui limite les dégâts en cas d'intrusion ou de virus.
- La segmentation réseau est recommandée dès que vous avez des profils différents sur votre réseau : salariés, visiteurs, caisse, serveurs ou objets connectés ne doivent pas partager le même canal.
- Mettre en place des VLANs ne nécessite pas de tirer de nouveaux câbles : c'est une configuration logicielle sur vos équipements réseau existants (switchs et routeur), réalisable par n'importe quel prestataire informatique compétent.
- Sans segmentation, un seul poste infecté peut atteindre l'ensemble de vos fichiers, votre logiciel de comptabilité et vos sauvegardes en quelques minutes.
La segmentation réseau VLAN en PME consiste à découper votre réseau informatique en plusieurs zones étanches, chacune avec ses propres règles d'accès. Concrètement, cela signifie qu'un visiteur connecté à votre Wi-Fi ne peut jamais atteindre vos serveurs internes, même s'il est dans vos locaux.
En résumé
- Un VLAN (Virtual Local Area Network) est une zone logique isolée sur votre réseau physique.
- La segmentation limite la propagation des virus et des ransomwares entre vos équipements.
- Elle permet de cloisonner invités, salariés, caisses et serveurs sans déployer de nouvelle infrastructure câblée.
- Elle est configurée par votre prestataire sur vos switchs et votre pare-feu, sans interruption majeure.
- Un réseau non segmenté est une surface d'attaque unique : une faille suffit à tout compromettre.
Ce qu'est vraiment un VLAN, sans le jargon
Imaginez votre réseau comme un immeuble de bureaux. Sans cloisonnement, tout le monde circule librement entre tous les étages. Avec des VLANs, vous installez des portes avec badge : chaque département n'accède qu'à son propre couloir. Un visiteur entre dans le hall, pas dans la salle des serveurs.
Techniquement, un VLAN est une étiquette ajoutée aux paquets de données qui traversent vos équipements réseau. Le switch lit cette étiquette et sait vers quelle zone envoyer l'information. Aucun câble supplémentaire n'est nécessaire : tout est configuré par logiciel.
Les avantages concrets de la segmentation réseau VLAN pour une PME
La segmentation n'est pas un luxe réservé aux grandes entreprises. Voici ce qu'elle change au quotidien dans une PME de taille standard.
| Situation sans VLAN | Situation avec VLAN |
|---|---|
| Un ransomware sur un poste comptable chiffre aussi les fichiers RH et les sauvegardes réseau | Le ransomware est bloqué dans le VLAN comptabilité, les autres zones restent accessibles |
| Un visiteur connecté au Wi-Fi peut scanner votre réseau interne avec un outil gratuit | Le Wi-Fi visiteur est isolé dans son propre VLAN, sans accès aux ressources internes |
| Une caisse connectée ou une imprimante compromise expose tout le réseau | Les objets connectés et périphériques sont dans un VLAN dédié, sans contact avec les serveurs |
| Impossible de prioriser la voix sur IP : les appels saccadent si le réseau est chargé | Un VLAN voix garantit la qualité des appels indépendamment du trafic des autres postes |
Segmentation réseau VLAN PME : quelles zones créer en priorité
Il n'existe pas de plan universel, mais voici les zones que la plupart des PME devraient isoler en premier :
- VLAN utilisateurs internes : les postes de travail de vos salariés.
- VLAN serveurs : vos fichiers partagés, votre ERP, votre logiciel de comptabilité.
- VLAN invités : le Wi-Fi de la salle de réunion ou de l'accueil.
- VLAN IoT et périphériques : imprimantes, caméras IP, capteurs, terminaux de paiement.
- VLAN voix : si vous utilisez la téléphonie sur IP (VoIP).
Votre prestataire peut en ajouter d'autres selon votre secteur, notamment si vous recevez des auditeurs externes ou si vous hébergez des données de santé ou financières.
Comment se déroule une mise en place concrète
Le projet commence par un audit de votre réseau existant : quels équipements sont connectés, combien de switchs, quel routeur ou pare-feu. Votre prestataire identifie ensuite les flux légitimes à maintenir et les flux à bloquer.
La configuration s'effectue directement sur vos équipements réseau. Si votre matériel est trop ancien pour supporter les VLANs (certains switchs non gérables ne le permettent pas), un remplacement partiel peut être nécessaire. Comptez une intervention de quelques heures pour une PME de moins de cinquante postes, généralement planifiée en dehors des heures ouvrées pour limiter l'impact.
Une fois les VLANs actifs, votre prestataire teste chaque zone pour vérifier que les accès autorisés fonctionnent et que les accès interdits sont bien bloqués. Ce test de cloisonnement est aussi important que la configuration elle-même.
Pour trouver un prestataire qualifié près de chez vous, consultez notre annuaire des prestataires informatiques ou notre classement par ville.
Les limites et points de vigilance à connaître
Un VLAN mal configuré donne une fausse impression de sécurité. Si les règles du pare-feu entre les zones sont trop permissives, le cloisonnement est théorique. La qualité de la configuration compte autant que la décision de segmenter.
Par ailleurs, certains usages courants demandent une attention particulière. Une imprimante partagée entre plusieurs VLANs nécessite des règles spécifiques pour rester accessible sans ouvrir une brèche. Les annuaires d'authentification (Active Directory) doivent pouvoir répondre aux requêtes de chaque zone sans tout exposer.
Enfin, la documentation est indispensable. Si votre prestataire change ou si un incident survient, vous devez disposer d'un schéma réseau à jour avec la liste des VLANs, leurs rôles et les règles appliquées. Exigez ce livrable à la fin de chaque intervention réseau.
Comment évaluer si votre prestataire maîtrise la segmentation réseau VLAN
Lors d'un entretien ou d'un appel d'offres, posez directement ces questions :
- Quels équipements utilisez-vous pour les VLANs et pourquoi ?
- Comment gérez-vous les flux inter-VLAN pour les ressources partagées ?
- Quel document de livraison je reçois à la fin de la configuration ?
- Comment testez-vous le cloisonnement après mise en place ?
Un prestataire compétent répond à ces questions sans hésitation et propose un plan de test documenté. S'il ne mentionne pas le pare-feu dans sa réponse sur les flux inter-VLAN, c'est un signal d'alerte. Vous pouvez comparer les profils disponibles sur notre blog dédié aux bonnes pratiques réseau et dans notre annuaire de prestataires.
Comment décider si vous avez besoin d'une segmentation VLAN maintenant
Répondez à ces trois questions : avez-vous un Wi-Fi accessible à des personnes extérieures à votre entreprise ? Avez-vous des serveurs ou des données sensibles sur le même réseau que vos postes de travail ? Avez-vous des objets connectés ou des terminaux de paiement sur votre réseau ? Si vous répondez oui à l'une d'elles, la segmentation est justifiée dès aujourd'hui. Elle ne requiert pas un budget déraisonnable et son absence représente un risque opérationnel concret.
FAQ
Un petit réseau de moins de dix postes a-t-il besoin de VLANs ?
Oui, dès lors que vous avez un Wi-Fi invité ou des objets connectés. La taille du réseau ne réduit pas le risque de propagation d'un logiciel malveillant. Sur un petit réseau sans segmentation, un seul poste compromis atteint immédiatement tous les autres et les éventuels serveurs de fichiers. La mise en place est même plus rapide sur un réseau de petite taille.
Ma box opérateur suffit-elle pour créer des VLANs ?
En général, non. La plupart des box grand public ou PME d'opérateurs ne proposent pas de gestion de VLANs avancée ni de règles de filtrage inter-zones. Il faut un switch gérable et, idéalement, un pare-feu dédié pour contrôler les flux entre les segments. Votre prestataire peut évaluer si votre matériel actuel est compatible ou s'il faut le compléter.
La segmentation VLAN remplace-t-elle l'antivirus et les sauvegardes ?
Non, elle les complète. Un VLAN limite la propagation d'une attaque mais ne l'empêche pas de démarrer sur un poste. L'antivirus détecte et bloque les menaces à la source. Les sauvegardes permettent de restaurer les données si une attaque réussit malgré tout. Ces trois dispositifs forment ensemble une défense en profondeur : aucun ne remplace les deux autres.
