Création et configuration de VLAN
Créer un VLAN sur Cisco prend une ligne ; le faire proprement sur tout un réseau demande de la méthode. Création, nommage, affectation, VLAN voix, VTP, stockage et vérification pas à pas.
Les principes des VLAN — domaines de diffusion séparés, étiquetage 802.1Q, conception — sont présentés dans VLAN : principes et segmentation logique. Cet article passe à la pratique sur des commutateurs Cisco : création, nommage, affectation des ports, VLAN voix, propagation et dépannage.
Objectif : savoir créer et gérer des VLAN sur un commutateur Cisco, de manière cohérente sur l'ensemble du réseau, en évitant les pièges de VTP.
Plateforme : Catalyst sous IOS XE 17.x ou IOS 15.x. Configuration de laboratoire ; le plan de VLAN utilisé reprend celui de l'article sur les principes des VLAN.
Le plan de VLAN de référence
| VLAN | Nom | Usage |
|---|---|---|
| 10 | UTILISATEURS | Postes de travail |
| 20 | SERVEURS | Serveurs |
| 30 | TELEPHONIE | Téléphones IP |
| 40 | INVITES | Wi-Fi invités |
| 99 | ADMIN-RESEAU | Gestion des équipements |
| 999 | INUTILISE | Ports inutilisés et VLAN natif |
Créer et nommer des VLAN
SW1# configure terminal
SW1(config)# vlan 10
SW1(config-vlan)# name UTILISATEURS
SW1(config-vlan)# vlan 20
SW1(config-vlan)# name SERVEURS
SW1(config-vlan)# vlan 30
SW1(config-vlan)# name TELEPHONIE
SW1(config-vlan)# vlan 40
SW1(config-vlan)# name INVITES
SW1(config-vlan)# vlan 99
SW1(config-vlan)# name ADMIN-RESEAU
SW1(config-vlan)# vlan 999
SW1(config-vlan)# name INUTILISE
SW1(config-vlan)# end
On peut créer plusieurs VLAN d'un coup (vlan 10,20,30 ou vlan 100-110), puis les nommer individuellement. Nommez systématiquement : un show vlan qui affiche VLAN0020 n'aide personne.
Plages de VLAN
| Plage | Nom | Remarque |
|---|---|---|
| 1 | VLAN par défaut | Ne peut être ni supprimé ni renommé |
| 2 – 1001 | Plage normale | Utilisable librement |
| 1002 – 1005 | Réservés | Technologies historiques (Token Ring, FDDI) |
| 1006 – 4094 | Plage étendue | Utilisable ; certaines restrictions avec les anciennes versions de VTP |
Affecter des ports à un VLAN
SW1(config)# interface range GigabitEthernet1/0/1 - 20
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 10
SW1(config-if-range)# exit
SW1(config)# interface range GigabitEthernet1/0/21 - 24
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 20
Si vous affectez un port à un VLAN qui n'existe pas, les versions récentes créent automatiquement le VLAN en affichant un message ; sur d'autres, le port devient inactif. Dans tous les cas, créez explicitement les VLAN avant de les affecter.
Le VLAN voix
Un téléphone IP est souvent branché entre le commutateur et le poste de travail. Le port doit alors transporter deux flux : les données du poste (non étiquetées) et la voix du téléphone (étiquetée).
SW1(config)# interface range GigabitEthernet1/0/1 - 20
SW1(config-if-range)# switchport voice vlan 30
SW1(config-if-range)# mls qos trust device cisco-phone ! selon la plateforme et la politique QoS
Le téléphone apprend le VLAN voix grâce à CDP ou LLDP-MED, puis étiquette son trafic dans le VLAN 30. Le poste reste dans le VLAN 10. Les commandes de confiance QoS varient selon les plateformes (les Catalyst 9000 utilisent une QoS modulaire, MQC) : voir QoS : priorisation du trafic réseau.
Où sont stockés les VLAN ?
Selon la plateforme et le mode VTP, la base de VLAN de la plage normale est stockée dans le fichier vlan.dat en flash, et non dans la startup-config. Conséquences :
- effacer la startup-config (
write erase) ne supprime pas les VLAN ; pour remettre un commutateur à zéro en laboratoire, il faut aussi supprimerflash:vlan.dat; - en mode VTP transparent ou off, les VLAN apparaissent aussi dans la running-config, ce qui facilite leur sauvegarde.
SW1# show vtp status
SW1# dir flash: | include vlan
VTP : utile, mais risqué
VTP (VLAN Trunking Protocol), propriétaire Cisco, propage la base de VLAN d'un commutateur « serveur » vers les commutateurs « clients » d'un même domaine, au travers des trunks.
| Mode | Comportement |
|---|---|
| Server | Crée, modifie, supprime des VLAN et les annonce |
| Client | Applique les VLAN reçus ; ne peut pas en créer |
| Transparent | Ne participe pas ; relaie les annonces (v2) ; VLAN gérés localement |
| Off (v3) | Ne participe pas et ne relaie pas |
Le risque majeur
Chaque modification incrémente un numéro de révision. Un commutateur ajouté au réseau avec le même nom de domaine VTP et un numéro de révision supérieur (par exemple un équipement de laboratoire réutilisé) peut écraser la base de VLAN de tout le domaine, supprimant les VLAN en production. De nombreuses pannes majeures ont eu cette origine.
Recommandations :
- dans la plupart des réseaux d'entreprise, utilisez le mode transparent (ou off avec VTPv3) et gérez les VLAN localement, idéalement de façon automatisée (modèles, Ansible) ;
- si vous utilisez VTP, préférez VTPv3, qui introduit un serveur primaire explicite et protège contre ce type d'écrasement, et définissez un mot de passe de domaine ;
- réinitialisez le numéro de révision d'un commutateur avant de le connecter au réseau (passage en mode transparent puis retour, ou changement de nom de domaine).
SW1(config)# vtp mode transparent
SW1(config)# vtp domain FOXENCY-LAB
Supprimer un VLAN
SW1(config)# no vlan 40
Attention : les ports affectés à un VLAN supprimé restent configurés avec ce numéro mais deviennent inactifs. Avant de supprimer un VLAN, réaffectez ses ports :
SW1# show vlan id 40
Vérifier et dépanner
SW1# show vlan brief
SW1# show vlan id 10
SW1# show interfaces GigabitEthernet1/0/5 switchport
SW1# show interfaces trunk
SW1# show mac address-table vlan 10
Extrait de show vlan brief :
VLAN Name Status Ports
---- -------------------- --------- -------------------------------
1 default active Gi1/0/47
10 UTILISATEURS active Gi1/0/1, Gi1/0/2, Gi1/0/3 ...
20 SERVEURS active Gi1/0/21, Gi1/0/22
30 TELEPHONIE active
99 ADMIN-RESEAU active
999 INUTILISE active Gi1/0/41, Gi1/0/42
Les ports trunk n'apparaissent pas dans show vlan brief : utilisez show interfaces trunk.
Check-list de dépannage
- Le VLAN existe-t-il sur chaque commutateur du chemin ?
- Le port est-il en mode accès, dans le bon VLAN (
show interfaces … switchport) ? - Le VLAN est-il autorisé et actif sur les trunks (colonne « Vlans allowed and active in management domain ») ?
- Le VLAN n'est-il pas bloqué par Spanning Tree sur un trunk (
show spanning-tree vlan 10) ? - L'adresse MAC du poste apparaît-elle dans la table du bon VLAN ?
Erreurs courantes
- VLAN créé sur le commutateur d'accès mais pas sur le cœur.
- Écrasement VTP par un commutateur réintroduit dans le réseau.
- Supprimer un VLAN sans réaffecter ses ports.
- Oublier
vlan.datlors de la remise à zéro d'un commutateur. - VLAN non nommés, rendant les configurations illisibles.
Conclusion
Créer, nommer, affecter, vérifier : la gestion des VLAN sur Cisco est simple à condition d'être rigoureuse et cohérente sur tout le réseau. Méfiez-vous de VTP en mode serveur/client et privilégiez une gestion locale, automatisée. Étape suivante : relier les commutateurs avec des trunks correctement configurés, dans Ports access et trunk : différences et configuration.
