Vous pensez peut-être qu'une configuration LAN de base est suffisamment sécurisée, mais certains problèmes pourraient se cacher et nécessiter l'isolation des appareils pour vous garantir une plus grande protection.
Imaginez le scénario suivant : vous disposez d’un réseau local (LAN) chez vous. Sur ce réseau, vous avez vos ordinateurs de bureau, vos ordinateurs portables, vos tablettes, vos téléphones et vos appareils IoT, tels que des thermostats, des téléviseurs connectés, des enceintes, etc.
Vos appareils IoT peuvent détecter les autres appareils et vice versa. Même si les appareils IoT ont un niveau de sécurité nettement inférieur à celui de vos ordinateurs de bureau et portables, ils sont autorisés à se connecter au même réseau.
Puis, un jour fatidique, un appareil IoT est piraté. Un logiciel malveillant est injecté dans l’appareil, qui se propage ensuite à vos ordinateurs de bureau et portables. En un clin d’œil, un pirate informatique a mis la main sur vos informations bancaires et vous vole votre argent.
Tout cela s’est produit parce qu’un thermostat non sécurisé avait accès à votre ordinateur de bureau.
Mais que se passerait-il si vous pouviez éviter ce scénario ? C’est possible, grâce aux VLAN.
VLAN signifie (Virtual Local Area Network pour réseau local virtuel). Sans trop s’enfoncer dans les méandres de la terminologie réseau, un VLAN est comme un réseau secondaire au sein de votre réseau local (LAN), isolé du reste de votre réseau. Votre réseau local principal peut avoir un plan d’adressage du type 192.168.1.x, tandis que votre VLAN peut avoir un plan d’adressage du type 192.168.2.x.
L’intérêt majeur de cette configuration réside dans le fait que, en raison de ce plan d’adressage, le VLAN ne peut pas accéder directement au réseau local. Cette séparation est importante car elle isole les appareils.
Reprenons notre exemple ci-dessus et appelons nos réseaux LAN1 et LAN2 (LAN1 étant le réseau local principal et LAN2 le VLAN).
Sur LAN1, vous connectez vos ordinateurs de bureau, ordinateurs portables, tablettes et téléphones. Sur le LAN2, vous connectez tous vos appareils IoT. Si un appareil IoT est piraté, comme il est isolé sur le LAN2, les seuls appareils auxquels il peut accéder sont ceux du même LAN, ce qui signifie que vos ordinateurs de bureau, ordinateurs portables, tablettes et téléphones sont en sécurité (nous reviendrons plus en détail sur cette séparation ultérieurement).
Vous pourriez aller encore plus loin et créer deux VLAN : un pour les téléphones et les tablettes, et un autre pour les appareils IoT. Votre structure réseau serait alors la suivante :
Vous pourriez même configurer le LAN pour qu’il accède à tout ce qui se trouve sur son réseau, ainsi qu’à tout ce qui se trouve sur le VLAN1 et le VLAN2, mais le VLAN1 et le VLAN2 ne peuvent pas accéder aux appareils du LAN. Si vous disposez du matériel réseau adéquat, vous pourriez même configurer le VLAN2 de manière à ce qu’aucun appareil ne puisse communiquer avec un autre et n’ait accès qu’au monde extérieur (ou au réseau étendu, WAN). Cette mesure pourrait s’avérer importante, car elle empêcherait un appareil IoT de causer des problèmes à un autre.
Une autre option consisterait à créer un troisième VLAN pour les appareils de vos enfants. Vous pourriez également créer un VLAN3, doté de contrôles parentaux supplémentaires qui limiteraient les sites Web auxquels vos enfants peuvent accéder, sans pour autant affecter les appareils du réseau local principal.
En fait, vous pourriez pousser cette approche encore plus loin en créant un quatrième VLAN pour les invités et un cinquième pour le télétravail (ce réseau pourrait être acheminé via un VPN).
Comme vous pouvez le constater, plus vous créez de VLAN, plus la configuration gagne en complexité. L’essentiel est de connaître les appareils présents sur votre réseau et de savoir comment les isoler.
C’est là que les choses se compliquent, car chaque routeur, modem ou commutateur réseau est différent. La manière de créer un VLAN dépend de votre équipement spécifique.
Par exemple, mon fournisseur d’accès (Spectrum) ne permet pas de créer des VLAN via son équipement. En fait, la plupart des FAI ne prennent pas en charge les VLAN sur leur propre équipement.
Comme la première option peut s’avérer un peu compliquée pour la plupart des gens, je recommande d’acheter un routeur tiers. Voici quelques modèles prenant en charge les VLAN :
Si vous n'achetez pas l'un des routeurs ci-dessus, assurez-vous que le routeur envisagé prend en charge les VLAN. L'utilisation d'un routeur tiers vous permet de configurer plusieurs VLAN, mais vous devrez consulter la documentation du routeur pour savoir comment procéder, car la configuration varie d'un routeur à l'autre.
Si vous avez de la chance et que le routeur/modem de votre FAI prend en charge les VLAN (encore une fois, ce n'est pas le cas de la plupart d'entre eux), il y a de fortes chances qu'ils soient préconfigurés dans l'interface Web du routeur/modem en tant que réseaux invités, appareils mobiles, appareils de streaming, etc.
Une autre raison d’opter pour un routeur tiers (en particulier un routeur sans fil) est que vous pouvez en acheter un disposant d'une portée supérieure à celle dont vous disposez déjà.
Bien que j’aie évoqué la création de VLAN1, VLAN2, VLAN3, etc, vous pourriez plutôt être tenté de nommer vos VLAN par des « IoT », « Mobile », « Enfants » et « Invités », mais je vous le déconseille. Le problème avec cette convention de nommage, c’est qu’elle rend tout un peu trop évident. Si un malfaiteur se livre à du wardriving dans votre quartier et repère un VLAN sans fil nommé « IoT » (s’il est visible sur le WAN), il pourrait s’y connecter avec un appareil non sécurisé et (s’il en a les compétences) commettre des actes malveillants. En raison de ce risque, je recommande d’utiliser des noms de VLAN qui masquent leur finalité.
Non. Comme je l’ai déjà dit à maintes reprises, si un appareil est connecté à un réseau, il est vulnérable. Néanmoins, la mise en place de VLAN est plus sûre que de tout regrouper sur un seul réseau.
Il existe toutefois une technique appelée « VLAN hopping » (saut de VLAN), qui permet à un pirate d’exploiter des ports de commutateur mal configurés ou des mécanismes de balisage VLAN pour passer d’un VLAN au LAN principal (ou d’un VLAN à un autre). En adoptant cette approche, les attaquants pourraient obtenir un accès non autorisé à n’importe quel appareil de votre réseau.
Il est donc important de vous assurer que vos VLAN sont correctement configurés (en fonction du matériel utilisé), que le micrologiciel de votre routeur est à jour et que les appareils de chaque réseau disposent de systèmes d’exploitation et de logiciels mis à jour.
Bien que les VLAN ne constituent pas une solution parfaite aux défis de sécurité, ils représentent un excellent moyen d’isoler le matériel afin d’empêcher les appareils moins sécurisés, tels que les dispositifs IoT, d’accéder aux machines contenant des informations sensibles.
Un consortium français conduit par Ericsson travaille sur les apports de l’IA dans l’optimisation des réseaux mobiles 5G et 6G. Objectif : réduire la consommation d’énergie électrique sans dégrader la qualité de service.
Vent debout contre la décision de la Bruxelles de privilégier les acteurs européens dans l’attribution des fréquences satellites, l’opérateur américain entend utiliser tous les moyens de pression, y compris de couper ses services au-dessus de l’Europe.
