Topologies, composants d’interconnexion et LAN sécurisé

Topologies, composants d’interconnexion et LAN sécurisé

Un réseau local (LAN, Local Area Network) se décrit d’abord par sa forme : qui est relié à qui, par quel support, et selon quelle règle de parole. Cette fiche passe en revue les topologies classiques, les modes de communication et les méthodes d’accès au support, puis le rôle de chaque composant d’interconnexion, avant de dessiner un LAN qui se défend et se dépanne. Le schéma d’un réseau n’est pas une décoration murale : c’est le premier outil d’enquête le jour où quelque chose ne passe plus.

Explication de la marmotte

Le plan d’une maison ne montre pas seulement les murs : il indique quelles portes relient quelles pièces, et lesquelles doivent rester fermées à clé. Ce chapitre apprend à dessiner le plan d’un réseau local de la même façon, en choisissant les bons appareils pour relier les pièces et en séparant celles qui ne doivent pas communiquer.

→ Lire l’explication complète de la marmotte

Formes de réseau et communication

Les topologies, des outils de raisonnement

Une topologie est un modèle de raisonnement plus qu’un objet que l’on achète. Cinq formes reviennent sans cesse.

Topologie	Principe	Point fort	Point faible
Bus	un support unique partagé par tous	câblage minimal	une coupure ou un bouchon manquant arrête tout
Étoile	chaque nœud relié à un point central	panne d’un câble localisée	le point central devient critique
Anneau	chaque nœud relié à deux voisins, le trafic tourne	accès déterministe	une rupture coupe l’anneau, sauf anneau double
Arbre	étoiles hiérarchisées (accès, distribution, cœur)	extensible et lisible	la perte d’une branche isole tout ce qui est dessous
Maillage	plusieurs chemins entre nœuds, total ou partiel	résilience	coût, et boucles à maîtriser

Il faut distinguer la topologie physique, celle des câbles, de la topologie logique, celle du chemin réellement suivi par les données. Un concentrateur (hub) Ethernet est physiquement une étoile mais logiquement un bus : tout ce qui entre sur un port ressort sur tous les autres. Un réseau Token Ring câblé en étoile vers une unité centrale formait logiquement un anneau. Aujourd’hui, un campus est presque toujours un arbre d’étoiles commutées, souvent doublé par des liens redondants qui le rendent partiellement maillé, ce qui impose de gérer les boucles (voir VLAN, trunks, boucles et liens agrégés).

Les réseaux sans fil ont leurs propres formes : le mode infrastructure, où tous les clients passent par un point d’accès (une étoile radio), le mode ad hoc, où les stations se parlent directement, et les réseaux maillés (mesh), où les points d’accès se relaient entre eux par radio. Le support y reste partagé, comme dans un bus : tous les appareils d’un canal se disputent le même air (voir Wi-Fi d’entreprise et sécurité radio).

Duplex et méthodes d’accès

Trois modes de transmission existent. En simplex, les données ne circulent que dans un sens, comme une diffusion radio. En half-duplex, les deux sens existent mais à tour de rôle, comme un talkie-walkie. En full-duplex, les deux extrémités émettent en même temps, ce que permet un lien commuté Ethernet moderne avec des paires ou des fibres séparées par sens.

Dès que le support est partagé en half-duplex, il faut une règle pour éviter que tout le monde parle à la fois. On en distingue trois familles.

• Contention : chacun écoute et parle quand le support semble libre. L’Ethernet historique utilisait CSMA/CD (Carrier Sense Multiple Access with Collision Detection) : écoute, émission, détection de collision, attente aléatoire puis nouvel essai. Le Wi-Fi utilise CSMA/CA (Carrier Sense Multiple Access with Collision Avoidance), car une station radio ne peut pas détecter une collision pendant qu’elle émet ; elle tente donc de l’éviter par des temporisations aléatoires et des accusés de réception.
• Interrogation (polling) : un maître donne la parole à tour de rôle. Le Bluetooth classique fonctionne ainsi, l’appareil central d’un piconet interrogeant ses périphériques.
• Jeton : une trame spéciale circule, et seul son détenteur émet. Token Ring (IEEE 802.5) et FDDI (Fiber Distributed Data Interface), en double anneau à 100 Mbit/s, garantissaient un temps d’accès borné.

Le rôle historique du bus et de l’anneau tient en une phrase : ils ont dominé quand le câble coûtait cher et que les équipements actifs coûtaient plus cher encore. Le bus coaxial (10BASE5 puis 10BASE2) et l’anneau à jeton ont cédé la place à l’étoile commutée dans les années 1990. Sur un port commuté en full-duplex, il n’y a plus de collision possible et CSMA/CD est désactivé ; il ne subsiste que pour la compatibilité avec le half-duplex. L’anneau survit néanmoins dans des réseaux industriels et des boucles de fibre métropolitaines, le bus dans les bus de terrain.

Unicast, broadcast, multicast

Le unicast vise un seul destinataire. Le broadcast (diffusion) vise toutes les machines du domaine de diffusion : la trame destinée à ff:ff:ff:ff:ff:ff est recopiée par les commutateurs sur tous les ports du même VLAN. L’ARP (Address Resolution Protocol), qui demande « qui possède telle adresse IP ? », en est l’exemple quotidien. Le multicast vise un groupe abonné, par exemple les adresses IPv4 de 224.0.0.0/4 ; un commutateur qui pratique l’écoute IGMP (Internet Group Management Protocol) ne le transmet qu’aux ports intéressés, sinon il le traite comme un broadcast. Confondre les deux revient à confondre une annonce au haut-parleur avec une liste de diffusion. IPv6 a d’ailleurs supprimé le broadcast au profit du multicast.

Circuits, messages, paquets

Trois manières de commuter structurent l’histoire des télécommunications. La commutation de circuits réserve un chemin de bout en bout pour toute la durée d’un échange, comme le téléphone classique : débit garanti, mais ressource gaspillée pendant les silences. La commutation de messages stocke chaque message complet dans un nœud avant de le retransmettre (store-and-forward), à la manière du télégraphe ou de la messagerie électronique. La commutation de paquets découpe les données en petits blocs acheminés indépendamment et multiplexés sur des liens partagés : c’est le principe d’IP, efficace mais sans garantie de délai.

Interconnecter avec le bon composant

Répéter, commuter, router, traduire

Chaque composant se comprend par la couche à laquelle il prend ses décisions.

Composant	Couche	Décide selon	Effet
Répéteur, concentrateur	1 (physique)	rien : il régénère le signal	prolonge le support, propage les collisions
Pont	2 (liaison)	adresse MAC	sépare les domaines de collision
Commutateur	2 (parfois 3)	table d’adresses MAC, VLAN	pont multiport, full-duplex par port
Routeur	3 (réseau)	table de routage IP	sépare les domaines de diffusion
Passerelle	jusqu’à 7	protocole à traduire	convertit d’une technologie à une autre

Le répéteur ne comprend rien et répète tout, y compris le bruit. Le pont, puis le commutateur, apprend les adresses MAC (Media Access Control) vues sur chaque port et ne transmet une trame que vers le bon port ; les trames inconnues et les diffusions sont encore inondées. Le routeur lit l’adresse IP, décrémente le TTL (Time To Live) et choisit un saut suivant : les diffusions s’arrêtent à lui. Un commutateur « de niveau 3 » est un commutateur qui route aussi entre VLAN, souvent sans aucune politique de filtrage.

Passerelle et proxy, des transitions

Le mot passerelle désigne deux choses. La passerelle par défaut d’un poste n’est qu’un routeur : l’adresse à qui confier tout paquet destiné à un autre réseau. La passerelle applicative traduit réellement entre protocoles : passerelle VoIP entre SIP et réseau téléphonique, passerelle industrielle entre Modbus série et Modbus TCP, passerelle de messagerie. Le proxy (mandataire) est une passerelle applicative particulière : il termine la connexion du client et en ouvre une autre vers le serveur, ce qui lui permet d’authentifier, de filtrer et de journaliser au niveau applicatif.

Choisir selon la couche et l’objectif

La bonne question n’est pas « quel boîtier acheter ? » mais « quelle frontière faut-il créer ? ». Prolonger un câble trop long : répéteur ou, plus raisonnablement, fibre. Relier des postes d’un même segment : commutateur. Séparer deux sous-réseaux : routeur. Appliquer une politique entre zones : pare-feu, c’est-à-dire un routeur muni de règles explicites et de journaux. Contrôler un protocole applicatif : proxy. Un routeur seul fait passer tout ce qu’il sait router ; s’en servir comme pare-feu sans politique écrite revient à installer une porte sans serrure en se félicitant d’avoir une porte.

Dessiner un LAN défendable

Séparer les zones

Un LAN défendable découpe le parc en zones de confiance homogènes, chacune dans son VLAN et son sous-réseau :

Zone	Exemple de préfixe	Contenu
Utilisateurs	10.10.10.0/24	postes de travail
Serveurs	10.10.20.0/24	applications internes
Administration	10.10.99.0/26	interfaces de gestion, bastion
Invités	10.10.50.0/24	accès internet uniquement
IoT et impression	10.10.60.0/24	imprimantes, caméras, capteurs
DMZ locale	10.10.30.0/27	services exposés à l’extérieur

Les imprimantes et les objets connectés méritent leur zone : leurs systèmes sont rarement mis à jour et leurs interfaces web rarement durcies. L’administration doit être la zone la plus fermée : les interfaces de gestion des commutateurs, des hyperviseurs et des contrôleurs n’ont aucune raison d’être joignables depuis un poste utilisateur.

Atelier : du réseau plat au réseau segmenté

Prenons une PME en 192.168.1.0/24 : 40 postes, deux serveurs, six imprimantes, un Wi-Fi invité branché sur le même commutateur, et les interfaces d’administration de tout ce petit monde sur la même plage. Un poste compromis voit tout, et une requête ARP suffit à lister le parc. La migration procède en quatre temps : inventorier les équipements et leurs flux réels (une capture de quelques jours aide, voir captures, observabilité et diagnostic) ; créer les VLAN et sous-réseaux ci-dessus ; faire du pare-feu la passerelle de chaque zone ; écrire la politique, puis basculer zone par zone en commençant par les invités, qui ne doivent rien atteindre d’interne.

Atelier : la matrice des flux

La politique s’écrit sous forme de matrice zone source → zone destination → flux autorisé, le reste étant refusé et journalisé.

Source → destination	Serveurs	Administration	IoT	Internet
Utilisateurs	HTTPS 443, SMB 445 vers le serveur de fichiers	refusé	IPP 631 vers les imprimantes	HTTP/HTTPS via proxy
Invités	refusé	refusé	refusé	HTTP/HTTPS
Administration	SSH 22, RDP 3389	interne	HTTPS de gestion	mises à jour
IoT	refusé sauf serveur d’impression	refusé	refusé	refusé ou liste fermée

Un schéma sans flux ne dit rien : deux rectangles reliés par un trait n’indiquent ni le sens, ni le port, ni la justification. La matrice, elle, se relit, se teste et se compare aux journaux. Les points de contrôle sont placés là où les zones se rencontrent, et chacun journalise ses refus et ses autorisations, faute de quoi aucune enquête ne pourra reconstituer un déplacement latéral. Le détail des mécanismes de filtrage figure dans filtrage, segmentation et NAC.

Atelier : simple ou redondant

Une topologie simple, un commutateur de cœur et des commutateurs d’accès en étoile, se dépanne d’un coup d’œil, mais le cœur est un point unique de défaillance. La version redondante double le cœur, relie chaque commutateur d’accès aux deux cœurs et agrège les liens. Elle survit à la perte d’un équipement, au prix de boucles à neutraliser par STP (Spanning Tree Protocol) ou par des liens agrégés multi-châssis, et d’une configuration plus délicate. La redondance non testée n’est qu’une seconde panne en attente : on coupe un lien en heure creuse pour vérifier que le trafic bascule.

Concevoir pour le dépannage

Un réseau défendable est aussi un réseau lisible : plan d’adressage cohérent (la passerelle toujours en .1, la zone lisible dans le troisième octet), noms d’équipements normalisés, description de chaque port, schéma tenu à jour et versionné, horloges synchronisées pour que les journaux se recoupent, port miroir prévu pour la capture. Le jour d’une panne, chaque minute passée à redécouvrir le réseau est une minute de plus d’arrêt.

Pièges et confusions

Trois erreurs reviennent : dessiner sans préciser les flux, ce qui produit un beau schéma inutile ; confier le cloisonnement à un commutateur de niveau 3 sans liste de contrôle, si bien que les VLAN existent mais que tout circule entre eux ; mélanger administration et utilisateurs, de sorte que le vol d’une session sur un poste ouvre directement les consoles de gestion.

🐝 Ce qui arrive si on s’en passe

Un réseau local laissé plat met tous les appareils à portée les uns des autres : une imprimante, un objet connecté ou un poste d’invité compromis voit directement les interfaces d’administration et les serveurs, sans franchir le moindre point de contrôle. Les messages diffusés à toutes les machines renseignent au passage sur l’ensemble du parc. Sans matrice des flux, aucune règle ne peut être écrite, donc aucun écart ne peut être détecté ; et sans journal aux frontières des zones, l’enquête ne sait pas dire par où l’intrusion s’est propagée. Le dépannage souffre du même mal : sans plan à jour, chaque panne commence par une redécouverte du réseau.

🦫 Explication de la marmotte 🍫

Un réseau local relie les appareils d’un même lieu. Sa topologie est la forme de ces liaisons : un seul câble partagé par tous, appelé bus, une étoile où chaque appareil rejoint un point central, un anneau, un arbre, ou un maillage où les chemins se doublent. Les données circulent dans un seul sens, dans les deux sens à tour de rôle, ou dans les deux sens en même temps. Un message peut viser une seule machine, un groupe, ou toutes les machines du réseau. Quand plusieurs appareils partagent le même support, il faut une règle pour parler chacun son tour : attendre que le support soit libre, être interrogé à tour de rôle, ou détenir un jeton qui circule. Plusieurs appareils relient ensuite les morceaux du réseau : le répéteur amplifie le signal, le pont et le commutateur transmettent chaque trame à la bonne sortie selon l’adresse matérielle, le routeur fait passer les paquets d’un réseau à un autre, la passerelle traduit entre des technologies différentes. Pour la sécurité, on découpe le réseau en zones séparées : utilisateurs, invités, administration, serveurs, objets connectés. Entre les zones, des points de contrôle n’autorisent que les échanges prévus dans une matrice qui indique, pour chaque zone de départ et d’arrivée, les flux permis, et ils gardent une trace de ce qui passe. Un routeur sans règles ne joue pas ce rôle.

À lire aussi

• Ethernet, trames et commutation localeExpliquer Ethernet comme base des réseaux locaux modernes : trame, adressage MAC, apprentissage, diffusion, commutation et limites d’un réseau plat.
• Couches, normes et vocabulaire de paquetsConstruire le vocabulaire nécessaire pour lire une communication réseau : couche, protocole, encapsulation, trame, paquet, segment, datagramme, message et plans réseau.
• Interfaces, pilotes et démarrage par le réseauRelier carte réseau, pilote, système d’exploitation et pile protocolaire pour comprendre comment une machine émet et reçoit du trafic.
• Résolution locale, ICMP, MTU et multicastExpliquer les protocoles qui rendent IP utilisable localement et diagnostiquable : ARP, Neighbor Discovery, ICMP, ICMPv6, MTU, fragmentation, multicast et IGMP.

Pages voisines

La citent

• Comprendre pourquoi les systèmes communiquent
• Pare-feu, architectures et NAT en une page

Topologies, composants d’interconnexion et LAN sécurisé

Elle cite

• ⇄Lien dans les deux sens :VLAN, trunks, boucles et liens agrégés
• MSTP : spanning tree multiple pour réseaux industriels en anneau
• Filtrage, segmentation, NAC et Zero Trust
• Wi-Fi d’entreprise et sécurité radio
• Captures, observabilité et diagnostic multi-couche
• Sécuriser les imprimantes réseau en entreprise
• Sécuriser un SCADA aux protocoles non authentifiés

⇄ : les deux pages se citent l’une l’autre.