★ À maîtriser
Une interconnexion de switches Ethernet constitue un domaine de broadcast, tandis que chaque port de switch constitue un domaine de collision séparé.
Un switch segmente les domaines de collision de manière transparente et automatique, tandis qu’un routeur segmente les domaines de broadcast et de collision sans être transparent.
Compléments
Le switch sépare les collisions ; le routeur sépare aussi les broadcasts.
★ À maîtriser
Un switch Ethernet étend un LAN de façon transparente : il suffit de brancher les équipements, sans perturber le réseau existant ni modifier le fonctionnement des hôtes, switches et hubs.
Un switch possède un port Ethernet par domaine de collision, ce qui forme une topologie physique en étoile.
Une adresse Ethernet EUI-48 comporte 6 octets, répartis entre 3 octets d’OUI et 3 octets propres à l’interface réseau.
Compléments
Les protocoles ARP et DHCP dépendent du broadcast, car ils ont été conçus pour des réseaux à bus et sont encore utilisés aujourd’hui.
Dans une adresse EUI-48, le bit de poids faible du premier octet indique une adresse unicast s’il vaut 0 et multicast s’il vaut 1, tandis que le bit suivant indique une adresse globalement unique s’il vaut 0 et administrée localement s’il vaut 1.
Une adresse dont tous les bits sont à 1 est l’adresse broadcast FF:FF:FF:FF:FF:FF.
Un switch écoute sur toutes les adresses MAC en mode promiscuous, tandis qu’un hôte filtre les trames destinées à son adresse, aux groupes multicast qu’il a rejoints et au broadcast.
Un switch détecte et résout les boucles de manière transparente en construisant un arbre de recouvrement, notamment avec STP ou RSTP.
★ À maîtriser
Les VLAN permettent de répartir logiquement un réseau sur plusieurs switches reliés selon une topologie arbitraire, sans imposer des câbles ou des switches distincts pour chaque LAN.
Un VLAN conserve trois propriétés d’un LAN physique :
Le switch assigne un tag aux ports access, ajoute ce tag aux trames qui y arrivent, conserve le tag sur les ports trunk, retire le tag à la sortie d’un port access et interdit la communication entre ports access de tags différents.
Compléments
📌 Un switch filtre les trames taggées selon les tags assignés aux ports access.
★ À maîtriser
Un port trunk transporte des trames taggées, tandis qu’un port access retire le tag des trames à leur sortie.
Les VLAN partagent le même matériel tout en isolant strictement leurs domaines de broadcast, de sorte que les équipements de VLAN différents croient appartenir à des LAN distincts.
Compléments
Dans une trame 802.1Q, l’en-tête ajouté contient le TPID 0x8100 et le TCI, et se place après les adresses MAC source et destination.
Un switch non managé ne prenant pas en charge les VLAN peut bloquer la communication avec un équipement connecté à un port access taggé.
★ À maîtriser
Bien que les VLAN soient théoriquement isolés au niveau 2, une configuration insuffisamment sécurisée peut permettre un VLAN hopping, auquel cas un firewall IP ne protège plus la segmentation de couche 2.
Lors d’une attaque par double tagging, l’attaquant connecté au VLAN natif ajoute un tag externe pour le VLAN natif et un tag interne pour le VLAN ciblé ; le switch d’accès retire le tag natif et transmet sur le trunk une trame portant le tag du VLAN ciblé.
Lors d’une attaque par switch spoofing, l’attaquant connecté à un port dont la négociation trunk est automatisée, par exemple par DTP, envoie un message DTP demandant l’accès trunk.
Compléments
L’attaque par double tagging autorise uniquement un trafic unidirectionnel.
Le switch spoofing peut autoriser un trafic bidirectionnel et la réception passive de tous les messages broadcast après l’activation du trunk.
Double tagging : trafic unidirectionnel ; switch spoofing : trafic bidirectionnel.
Fonctions des ports et attaques VLAN
| Élément | Traitement du tag | Effet ou trafic |
|---|---|---|
| Port access | Ajoute ou retire le tag selon le sens | Relie un équipement à un VLAN |
| Port trunk | Conserve le tag | Transporte des VLAN sur le lien |
| VLAN natif sur trunk | Retire le tag à la sortie | Facilite le déploiement progressif |
| Double tagging | Retire le tag natif, transmet le tag interne | Trafic unidirectionnel |
| Switch spoofing | Négocie le trunk par DTP | Trafic bidirectionnel et broadcasts reçus |
Teste tes connaissances sur VLAN et segmentation Ethernet avec 17 questions à choix multiples et corrections détaillées.
1. Dans un réseau où plusieurs hôtes partagent un média et doivent se coordonner pour l’utiliser, quelle notion décrit le segment où leurs transmissions peuvent entrer en collision physique ?
2. Un ordinateur envoie une trame broadcast de couche 2 afin que les autres hôtes d’une même division logique du réseau puissent la recevoir ; quel domaine est concerné ?
Mémorisez les concepts clés de VLAN et segmentation Ethernet avec 42 flashcards interactives.
Qu’est-ce qu’un domaine de collision ?
Un segment où des transmissions ou des signaux peuvent entrer en collision physique.
Comment les hôtes accèdent-ils au média dans un domaine de collision ?
Ils se disputent l’accès au média, notamment avec CSMA/CD.
Qu’est-ce qu’un domaine de broadcast ?
Une division logique où les hôtes peuvent joindre les autres par un message broadcast de couche 2.
Importe ton cours et l'IA génère fiches, QCM et flashcards en 30 secondes.
Générateur de fiches