Bonjour
 
J'ai déjà déployé des VLAN séparés, notamment derrière des LRT224 grace au 802.1Q. Chacun des 4 ports physiques du LRT224 ont un Vlan séparé, chacun à accès à internet (ou pas) mais ils ne peuvent pas communiquer entre eux.
Le soucis ici est qu'il y a des câbles physiques différents pour chaque Vlan.
 
Avec quel genre de matériels peut on gérer plusieurs Vlan différents sur une même infrastructure ?  
Typiquement j'ai un câble qui va sur un bâtiment et je veux gérer 2 Vlans sur ce bâtiment (exemple un réseau d'entreprise et un réseau de capteurs sur des machines ou un réseau de caméras).
 
Merci par avance pour vos lumières
 
 

c'est le but de 802.1Q ça, faire un trunk où sur une même interface passent plusieurs vlan

ah, je peux mettre plusieurs Vlan sur le même port physique  de mon routeur 802.1Q ?
 
Mais du coup on ne peut plus gérer de DHCP sur les machines qui sont branchées sur ces ports ? (puisqu'il faudrait que le DHCP choisisse un VLan)
 
Et n'importe qui qui configure une IP qui va bien peut aller sur le Vlan qu'il veut ?
 
Merci, j'ai du mal à conceptualiser le truc avec l'expérience que j'ai du 802.1Q

Sisi, tu fous un relay dhcp sur le routeur.
Si tu faisais passer 4 cables pour faire passer 4 vlan c'est que tu faisais pas de 802.1Q.
 
Je pense qu'il faut que tu regardes un cours sur le sujet (vlan/802.1q) parce que tu confonds beaucoup de choses là.

Jusque là la contrainte des câbles n’était pas très grande vu que tout se passait à 1m du routeur mais si je ne faisais pas de 802.1 alors oui j'ai rien compris.
 
Merci je vais potasser ça avec un autre regard

Faut différencier deux choses:
- segmentation VLAN par port physique => c'est uniquement au niveau du switch que tu as ta limitation de ton réseau de niveau 2
- segmentation VLAN avec encapsulation => c'est le but de 802.1Q qui va rajouter un header dans ta stack de protocoles pour différencier les VLAN
   - soit entre 2 switches, un bête trunk
   - soit entre un équipement terminal qui sait tagger/encapsuler dans des VLAN (typiquement un téléphone IP)

Bachote un peu les notions de VLAN tagged/untagged au passage.

Bonjour  
Je reviens à la charge parce que j'ai tenté de bachoter et je n'y arrive toujours pas.
 
Tagged/untagged je comprends que le switch ou routeur va ou non retirer le tag des trames qu'il fait transiter.
et je comprends que tous les appareils ne savent pas taguer ce qu'ils font.
 
Sur mon routeur, je comprends donc bien que le tagged ou untagged est sans intéret dans ma config actuelle où chaque Vlan a son propre port physique et je me doute du coup que le tagged serait la clé pour pouvoir partager plusieurs Vlan sur même port.
 
Sauf que comment le routeur peut savoir à quel Vlan appartient telle ou telle machine pour isoler son traffic des autres machines ? Je ne vois même pas en quoi le tag peut aider à ça.  
 
Sur mon routeur je peux affecter pour chaque Vlan un ou plusieurs ports physiques avec Tagged, untaged ou excluded. Aujourd'hui chaque Vlan est untagged sur un seul port et tous les autres Vlan sont Excluded sur le même port.
 
Comme autre paramétrage possible lié aux Vlan je vois uniquement la rubrique DHCP où pour chaque Vlan je peux activer ou non le DHCP avec une plage de port.
 
Là je touche le fond de mon incompréhension :
Supposons que je mette sur le même port physique 2 Vlans V1 et V2 et que j'ai donc plusieurs pc sur ce même port physique sensés ne pas se voir. Ces pc ne savent pas s'identifier avec des tags.
Supposons que pour V1 et V2 j'active le DHCP avec donc des plages de ports différentes.
>Quand je branche une machine sur le port physique, comment, par quelle magie, le routeur peut-il savoir que la machine est à mettre sur V1 ou V2 quand il fait son job de DHCP ?
 
Supposons maintenant que le DHCP est inactif
>Si je branche une machine sur le port physique partagé par V1 et V2, suffirait-il que je donne une IP propre à V1 pour que la machine fonctionne sur V1 en étant isolée de V2 ?
>A quoi me servirait les tags vu que ce serait juste l'IP de la machine qui conditionnerait le choix du Vlan ?
>Quid de la sécurité, 802.1q seul ne permet pas ici de brancher une machine inconnue qui serait branchée avec une IP valide. Faudrait-il pouvoir gérer autre part les IP autorisées ou non sur chaque Vlan ?
 
Je comprends vite mais il faut m'expliquer longtemps, désolé.
Merci

 
Cela est impossible, si tu as 2 vlans configurés sur un même port, ils sont forcément taggés (ou au pire un est non taggé et l'autre l'est). Ensuite pour tout vlan qui fonctionne en mode taggé sur ce port, la machine en face doit également être configurée pour émettre/recevoir ses trames sur ce tag (aka vlan id).
 
Ce qu'il se passe dans une config d'entreprise classique, c'est qu'entre le routeur/firewall et les postes il y a un switch, et le tagging sert surtout sur le lien entre le routeur et le switch. Les machines clientes sont branchées sur le switch, chacune sur leur port. Ce dernier peut donc fonctionner en mode non taggé (tout en permettant quand même que différentes machines soient dans différents vlans).
 
 

 
Pas de magie donc, il se fie simplement à la configuration de son port et le tag avec lequel la trame est arrivée (si elle en avait un).
 
 

 
L'IP n'a rien à voir là dedans, 802.1q est un concept purement ethernet, ce qu'il y a dans le payload des trames ethernet (que ce soit de l'IP, IPv6, ARP ou n'importe quoi d'autre) n'a aucune influence à ce niveau.
En tant que mécanisme de sécu, 802.1q n'a pas du tout pour objectif de permettre ou d'interdire des machines d'accéder au réseau, il permet simplement de créer différents réseaux étanches les uns des autres sur un même matériel (switch, routeur).

Merci beaucoup.
 
Ces dernières explications associées à mes dernières lectures me permettent d'enfin comprendre.
 
Je vais me coucher moins idiot, enfin sur ce sujet.
 
Me reste à voir s'il existe des petits switch managés à pas trop cher pour les petits réseaux de PME par exemple pour mettre à l'autre bout de l'atelier au bout de LE câble pour aller sur 2 petits appareil qui doivent être sur 2 Vlan différents.

tu trouves des netgear à 30 balles, après je ne sais pas ce que ça vaut.

Je vois ça.
On est d’accord qu'un Switch de niveau 2 permet de faire joujou sur les Vlan en ayant d'un coté un câble qui va vers le routeur en gérant les tags et les autres ports untagged dédiés à 1 seul Vlan ?
 
Le niveau 3 c'est si on veut filtrer des trucs sur les IP en plus ?

 
 
 
oui
 

 
non un switch niveau 3 c'est si on veut faire du routage directement au niveau du switch. On peut aussi faire du filtrage IP, mais ça même les switches niveau 2 savent souvent le faire maintenant.

Super merci
 
Je fais fumer la CB sur un Netgear GS305E rien que pour aller au bout de l'exercice.