VLAN en entreprise : pourquoi votre imprimante et votre serveur ne doivent pas être sur le même réseau

Dans la plupart des PME, tous les équipements connectés au réseau cohabitent sur le même segment : les PC des collaborateurs, les serveurs, les imprimantes, les caméras IP, les téléphones, la borne WiFi visiteurs. Ce modèle est simple à administrer, et particulièrement dangereux sur le plan de la sécurité. Un seul équipement compromis a accès à tout le reste.

Le VLAN (Virtual Local Area Network) est la technologie qui permet de segmenter logiquement ce réseau unique en plusieurs réseaux isolés, sans câblage supplémentaire.

Pourquoi la segmentation réseau protège votre PME

Imaginez qu’un ransomware infecte un poste de travail. Sans segmentation, ce logiciel malveillant peut immédiatement commencer à scanner le réseau local, atteindre les serveurs de fichiers, accéder aux NAS, et chiffrer tout ce qui est accessible. La propagation est horizontale et quasi-instantanée.

Avec une segmentation VLAN correctement configurée, le poste infecté se retrouve dans un segment réseau qui n’a pas accès direct aux serveurs. La propagation est bloquée au niveau du commutateur réseau, sans avoir besoin d’un logiciel antivirus pour l’intercepter. C’est une protection complémentaire à l’antivirus, pas une alternative.

Le même principe s’applique aux caméras IP, aux imprimantes réseau, et aux équipements IoT (capteurs, systèmes d’alarme connectés) : ces équipements ont souvent des firmwares anciens et peu sécurisés. Les isoler sur un VLAN dédié empêche qu’une vulnérabilité sur votre imprimante serve de point d’entrée vers votre réseau de production.

Les VLAN que devrait avoir toute PME

VLAN postes de travail

Toutes les stations de travail des collaborateurs. C’est le segment principal d’activité, qui doit avoir accès aux serveurs de fichiers et aux applications métier, mais pas aux équipements d’infrastructure comme les interfaces d’administration des switchs ou les NAS de sauvegarde.

VLAN serveurs

Les serveurs de fichiers, serveurs d’application, NAS de données. Ce segment est accessible depuis le VLAN postes de travail sur les ports et protocoles nécessaires, mais pas l’inverse, les serveurs n’ont pas besoin d’initier des connexions vers les postes.

VLAN sauvegarde

Les équipements de sauvegarde (NAS de backup, appliances de réplication) idéalement sur un segment distinct, accessible uniquement depuis les serveurs et les outils de gestion de sauvegarde. Ce segment est particulièrement important : une sauvegarde accessible depuis le réseau de production sera chiffrée par un ransomware aussi sûrement que les données originales.

VLAN WiFi collaborateurs

Distinct du réseau filaire des postes de travail. Si un poste qui se connecte en WiFi est compromis, il ne doit pas avoir un accès direct aux serveurs, sauf via un accès conditionné (VPN interne ou règle de pare-feu).

VLAN WiFi visiteurs / invités

Complètement isolé de tout le reste. Les visiteurs qui se connectent à votre WiFi n’ont besoin que d’un accès internet, pas d’un accès à vos serveurs. Ce VLAN ne devrait pas avoir de route vers les autres VLAN internes.

VLAN IoT et périphériques

Imprimantes, caméras IP, écrans de salle de réunion, systèmes d’alarme connectés. Ces équipements n’ont besoin que d’accès internet (pour les mises à jour et les services cloud) et éventuellement d’un accès limité à quelques serveurs spécifiques. Les isoler du reste empêche qu’une faille sur ces équipements soit exploitée latéralement.

Ce qu’il faut pour mettre ça en place

La segmentation VLAN nécessite des équipements réseau qui la supportent :

• Un switch manageable (L2 ou L3) : les switchs grand public ne supportent pas les VLAN. Il faut un équipement professionnel d’entrée de gamme (Cisco, Netgear, Ubiquiti, D-Link selon les budgets).
• Un pare-feu ou routeur capable de router entre VLAN : pour que certains segments puissent communiquer de façon contrôlée (les postes de travail doivent accéder aux serveurs).
• Un point d’accès WiFi qui supporte les SSID multiples sur des VLAN distincts : la plupart des bornes professionnelles le font, pas les box opérateurs grand public.

La configuration elle-même n’est pas complexe pour un technicien réseau, mais elle demande une planification préalable : quels segments créer, quelles communications autorisées entre eux, quelles règles de pare-feu. Zerobug conçoit et déploie ces architectures réseau segmentées dans le cadre de son service réseau et infrastructure.

Le coût d’une segmentation VLAN pour une PME

Pour une PME de 20 à 30 postes qui repart de zéro sur son réseau, le matériel nécessaire (switch manageable 24 ports, pare-feu, 2 bornes WiFi) représente un investissement entre 800 et 2 500 euros selon les marques et les niveaux de performance. La configuration et le déploiement représentent une à deux journées de travail pour un technicien réseau.

C’est un investissement qui se rentabilise à la première attaque contenue, et qui peut éviter une perte de données dont le coût se chiffre en dizaines de milliers d’euros.

Zerobug conçoit et déploie des architectures réseau segmentées pour les PME de Seine-et-Marne et d’Île-de-France. Contactez-nous pour évaluer votre réseau actuel et planifier une segmentation adaptée à votre structure.