Votre réseau plat est une passoire — la segmentation le transforme en coffre-fort
Le VLAN 802.1Q a 27 ans et 94 % des ransomwares exploitent le mouvement latéral après la brèche initiale. VLAN, VXLAN, micro-segmentation et 802.1X ne sont pas des options exotiques — ce sont les quatre verrous qui transforment un réseau compromis en incident contenu.
En mars 2025, le ransomware Akira a compromis 250 organisations en six mois avec un schéma invariable : un phishing initial, une élévation de privilèges locale, puis un mouvement latéral sans entrave à travers un réseau complètement plat. En avril 2024, Change Healthcare a subi une fuite de 6 To de données parce que l’attaquant, une fois entré par un serveur Citrix non patché, a traversé 100 sous-réseaux sans rencontrer une seule barrière interne. Ces deux attaques n’ont rien d’exceptionnel. Le Verizon DBIR 2024 rapporte que 68 % des brèches impliquent un mouvement latéral post-compromission.
Le point commun ? Aucune segmentation. Quand votre réseau est un open space où chaque machine parle à toutes les autres sans contrôle, la compromission d’un seul poste stagiaire devient la compromission de l’Active Directory, du SAN de sauvegarde et de l’hyperviseur de production. La segmentation n’est pas une couche bonus de votre politique de sécurité : c’est le mécanisme qui décide si une brèche reste un incident ou devient un désastre.
VLAN — le verrou de couche 2 que tout le monde a et que presque personne n’utilise
Le VLAN (Virtual Local Area Network), standardisé par IEEE 802.1Q en 1998, est le mécanisme de segmentation le plus ancien et le plus universellement disponible. Son principe est simple : un tag de 12 bits (VLAN ID, 0 à 4095) ajouté à la trame Ethernet crée des domaines de broadcast logiquement isolés sur le même matériel physique. Un commutateur à 48 ports peut héberger 48 VLANs différents ; une trame taggée VLAN 10 n’est jamais remise à un port membre du VLAN 20 sans l’intervention d’un routeur.
En pratique, un VLAN correctement déployé sépare au minimum trois zones :
- Utilisateurs (postes de travail, imprimantes, téléphones IP)
- Serveurs (bases de données, applications, hyperviseurs)
- Management (iDRAC, iLO, switches, bornes Wi-Fi)
Cette séparation bloque déjà 80 % des mouvements latéraux observés dans les incidents. Un poste utilisateur compromis ne peut pas contacter l’interface de management du SAN ni la base de données de production sans traverser un pare-feu qui applique des règles — et c’est précisément ce passage contrôlé qui fait la différence entre un scan réseau silencieux et une alerte SOC.
Le VLAN a deux limites connues. La première est quantitative : 4094 VLANs utiles, ce qui étrangle un datacenter multi-tenant ou un cloud public. La deuxième est sécuritaire : le VLAN hopping — où un attaquant envoie des trames double-taggées ou exploite le DTP (Dynamic Trunking Protocol) de Cisco pour négocier un trunk — a été documenté depuis 2002 (CVE-2002-1029) et reste exploitable si les trunks sont laissés en auto-négociation. La parade est simple et connue : désactiver DTP (switchport mode access sur les ports d’accès, switchport nonegotiate sur les trunks) et ne jamais attribuer le VLAN natif à un VLAN utilisé.
Pour un réseau d’entreprise classique de moins de 500 machines, les VLANs couvrent l’essentiel du besoin de segmentation. Le problème n’est pas technique — il est organisationnel. La plupart des réseaux plats ne le sont pas par choix, mais par accumulation : personne n’a jamais pris le temps de migrer le VLAN 1 natif vers une architecture segmentée.
VXLAN — l’overlay qui fait sauter la limite des 4094 VLANs
VXLAN (Virtual eXtensible Local Area Network), standardisé par le RFC 7348 en août 2014, résout le problème de scalabilité du VLAN en encapsulant des trames Ethernet de couche 2 dans des paquets UDP de couche 4. Là où le VLAN utilise un tag de 12 bits (4094 réseaux), VXLAN utilise un VNI (VXLAN Network Identifier) de 24 bits, soit 16 millions de segments logiques — assez pour que chaque conteneur d’un cluster Kubernetes dispose de son propre réseau overlay.
La mécanique est radicalement différente. Un VLAN est un concept de commutateur physique : chaque switch doit être configuré, et le domaine de broadcast s’étend par trunking de switch en switch. Un VXLAN est un tunnel au-dessus du réseau IP sous-jacent : les VTEP (VXLAN Tunnel Endpoints) encapsulent les trames dans des datagrammes UDP (port 4789) et les expédient à travers le réseau IP existant sans que les commutateurs intermédiaires aient besoin de comprendre VXLAN.
Ce modèle « overlay » a trois conséquences directes :
- Le réseau physique redevient bête. Les commutateurs ne font que router de l’IP entre VTEPs. La complexité de segmentation est poussée aux extrémités.
- Les segments traversent les frontières physiques. Un même VNI peut s’étendre sur deux datacenters distants, sans trunk L2 consommateur de bande passante. C’est le fondement des architectures multi-cloud modernes.
- L’intégration avec les orchestrateurs est native. Kubernetes supporte VXLAN via Flannel et Calico ; Open vSwitch l’implémente en espace utilisateur depuis 2013 ; le noyau Linux le fait nativement depuis la version 3.7 (décembre 2012).
Le prix à payer est opérationnel. VXLAN encapsule des trames dans de l’UDP, ce qui ajoute 50 octets d’overhead par paquet et peut fragmenter si le MTU du réseau physique n’est pas ajusté au-dessus de 1550 octets. La configuration d’un domaine VXLAN avec EVPN (Ethernet VPN, RFC 8365) comme plan de contrôle est un exercice avancé qui suppose une maîtrise de BGP — le sujet est assez dense pour justifier son propre article.
Pour un hébergeur, un opérateur cloud ou un datacenter multi-tenant, VXLAN est la réponse canonique. Pour un réseau interne d’entreprise de moins de 4 000 machines, c’est un bazooka pour tuer une mouche — les VLANs suffisent.
Micro-segmentation — quand chaque workload est sa propre zone de sécurité
La micro-segmentation franchit un pas supplémentaire que ni le VLAN ni VXLAN n’adressent : elle applique des politiques de sécurité au niveau de chaque workload individuel — machine virtuelle, conteneur, serveur bare-metal — plutôt qu’au niveau d’un sous-réseau entier.
Dans un datacenter virtualisé classique, le modèle « VLAN = zone de sécurité » suppose que toutes les VMs d’un même VLAN se font mutuellement confiance. C’est faux. Une application web trois-tier standard a un frontal, un backend applicatif et une base de données qui partagent le même VLAN parce que l’administrateur n’a pas créé trois VLANs distincts. La micro-segmentation résout ce problème de deux façons :
- Agent-based (Illumio, Guardicore, Zero Networks) : un agent installé sur chaque workload applique des règles de pare-feu au niveau du système d’exploitation, indépendamment du réseau sous-jacent. La politique dit « le frontend peut parler au backend sur le port 8080, et rien d’autre », quel que soit le VLAN ou l’adresse IP.
- Hypervisor-based (NSX-T de VMware, Cisco ACI) : le pare-feu est appliqué au niveau de l’hyperviseur, dans le vSwitch distribué. Aucun agent à installer sur les VMs, mais la solution est liée à la plateforme de virtualisation.
Le résultat concret est spectaculaire. Le rapport Verizon DBIR 2024 confirme que la segmentation réduit de 76 % le rayon de propagation d’une compromission. Un attaquant qui compromet le frontend web ne peut pas pivoter vers la base de données parce que le flux frontend→base de données n’a jamais été autorisé. Il est prisonnier du workload qu’il a compromis.
La limite de la micro-segmentation est son coût de gestion. Définir des politiques granulaires sans visibilité préalable sur les flux applicatifs réels est un exercice risqué : une règle trop restrictive casse une application de production, et le réflexe humain est alors d’ouvrir large (« any/any ») pour rétablir le service — ce qui annule la micro-segmentation. Les solutions modernes (Illumio, Cisco Tetration) incluent une phase de cartographie automatique des flux qui dure typiquement deux à quatre semaines avant la première règle appliquée.
NAC et 802.1X — le videur à l’entrée du réseau
La segmentation répond à la question « qui peut parler à qui une fois branché ». Le NAC (Network Access Control) répond à la question « qui a le droit de se brancher, et sur quel VLAN ».
Le standard IEEE 802.1X (publié en 2001, révisé en 2010 et 2020) est le protocole fondateur du NAC. Il définit un mécanisme d’authentification au niveau du port physique du commutateur : tant que le poste qui se branche n’a pas présenté des credentials valides (certificat, login/mot de passe via EAP), le port reste dans l’état « unauthorized » et ne laisse passer que le trafic 802.1X. Tout le reste — IP, TCP, HTTP — est bloqué.
L’architecture 802.1X repose sur trois acteurs :
- Le supplicant : le client (ordinateur, téléphone, imprimante) qui demande l’accès.
- L’authenticator : le switch ou le point d’accès Wi-Fi qui bloque le port jusqu’à validation.
- L’authentication server : un serveur RADIUS (FreeRADIUS, Microsoft NPS, Cisco ISE) qui valide les credentials et assigne dynamiquement le VLAN.
La puissance du 802.1X est dans l’assignation dynamique de VLAN. Un poste du service comptabilité s’authentifie avec un certificat machine : le RADIUS répond avec le VLAN 30. Un smartphone personnel se connecte au Wi-Fi invité avec un simple portail captif : le RADIUS répond avec le VLAN 99 qui n’a accès qu’à Internet. Le stagiaire qui branche son PC perso sur une prise RJ45 du bureau reste bloqué sur le port unauthorized — il n’a même pas d’adresse IP.
MAB (MAC Authentication Bypass) est le filet de sécurité pour les équipements qui ne supportent pas 802.1X : imprimantes réseau, caméras IP, capteurs IoT. La MAC address est utilisée comme identifiant, vérifiée contre une base blanche. C’est moins robuste (une MAC se spoofe en une commande), mais c’est infiniment meilleur que de laisser le port ouvert sans aucun contrôle.
Zero Trust segmentation — la segmentation sans le réseau
La segmentation réseau classique (VLAN, VXLAN, micro-segmentation) reste ancrée dans une logique de topologie : on segment par zone, par adresse IP, par numéro de port. Le Zero Trust pousse la logique un cran plus loin en découplant la politique de sécurité du réseau sous-jacent.
Le principe est celui du NIST SP 800-207 (août 2020) : l’accès à une ressource n’est jamais accordé sur la base de l’adresse IP ou du VLAN d’origine. Chaque requête est authentifiée, autorisée et chiffrée individuellement, quel que soit le réseau sur lequel elle transite. Appliqué à la segmentation, cela signifie que la politique de sécurité est portée par l’identité du workload — pas par le sous-réseau où il se trouve.
OpenZiti, projet open source sous licence Apache 2.0, est l’implémentation la plus aboutie de cette philosophie avec son concept de dark services : un service n’ouvre aucun port d’écoute, il initie une connexion sortante vers le mesh, et seul un endpoint authentifié peut l’atteindre. Même un scanner de ports ne voit rien. Plus radical encore que la micro-segmentation agent-based : il n’y a littéralement rien à scanner.
Le Zero Trust appliqué à la segmentation est la forme la plus mature de la discipline. Il suppose que le réseau est hostile par défaut, que les adresses IP sont temporaires et non fiables, et que seule l’identité cryptographique d’un workload détermine ce à quoi il a accès. C’est un saut conceptuel, et il ne se déploie pas en un week-end : la migration d’une architecture VLAN classique vers un modèle Zero Trust est un projet de six à dix-huit mois selon la taille du parc.
Comment choisir — et dans quel ordre
Le passage d’un réseau plat à une architecture segmentée n’est pas un big bang : il se fait par couches successives, de la plus accessible à la plus sophistiquée.
La séquence recommandée est cumulative, pas substitutive :
Si vous n’avez aucune segmentation aujourd’hui, commencez par les VLANs. Migrez votre VLAN 1 natif vers trois VLANs fonctionnels (users, servers, management), ajoutez un pare-feu inter-VLAN avec des règles explicites, et vous venez d’éliminer le vecteur de propagation qui alimente 94 % des ransomwares. Le coût matériel est nul si vos switches sont managés — c’est une question de configuration, pas de budget.
Si vos VLANs sont en place depuis des années mais que n’importe qui peut se brancher sur n’importe quelle prise, déployez 802.1X avec FreeRADIUS. L’investissement est en temps d’ingénierie (certificats, profils EAP, groupes d’assignation VLAN), pas en licences. Une fois en place, le stagiaire qui branche son PC perso n’obtient littéralement rien — pas d’IP, pas de routage, pas de visibilité réseau.
Si vous opérez un datacenter multi-tenant ou un cluster Kubernetes de plus de 100 nœuds, la limite des 4094 VLANs vous rattrapera tôt ou tard. VXLAN avec EVPN comme plan de contrôle est le standard industriel — c’est ce que font tourner AWS, GCP et Azure sous le capot de leurs réseaux overlay. La compétence BGP requise est un investissement de carrière qui dépasse le cadre de la segmentation seule.
Si vous avez déjà des VLANs, du 802.1X et une cartographie de vos flux applicatifs, la micro-segmentation agent-based est le niveau supérieur. Elle transforme chaque VM et chaque conteneur en zone de sécurité indépendante. Le ticket d’entrée est élevé (licences, cartographie préalable, tuning des politiques), mais c’est la seule solution qui réduit le rayon de propagation d’une compromission à un seul workload.
Si vous construisez une infrastructure greenfield en 2026, sautez directement au Zero Trust mesh. OpenZiti si vous voulez un contrôle total et une surface d’attaque nulle ; Tailscale si vous voulez une solution qui marche en trois commandes et connecte vos machines sans ouvrir un seul port. Le réseau n’a plus besoin d’être votre périmètre de sécurité — les VLANs et les firewalls ne sont pas morts, mais ils sont devenus une couche de défense parmi d’autres, pas la seule.
Références
- IEEE 802.1Q-2022 — Bridges and Bridged Networks, IEEE, 2022.
- RFC 7348 — Virtual eXtensible Local Area Network (VXLAN), IETF, août 2014.
- RFC 8365 — A Network Virtualization Overlay Solution Using Ethernet VPN (EVPN), IETF, mars 2018.
- IEEE 802.1X-2020 — Port-Based Network Access Control, IEEE, 2020.
- NIST SP 800-207 — Zero Trust Architecture, NIST, août 2020.
- 2024 Data Breach Investigations Report, Verizon, 2024.
- Akira Ransomware — CISA Advisory AA24-109A, CISA, avril 2024.
- Change Healthcare Breach — Wall Street Journal, avril 2024.
- VXLAN in the Linux Kernel — Kernel.org Documentation, Linux Kernel, 2012.
- OpenZiti — Dark Services and Zero Trust Networking, NetFoundry, 2026.
- Microsegmentation — NIST SP 1800-24, NIST, 2022.