Réseau et Wi-Fi · 10 min de lecture
En bref
- Un VLAN (IEEE 802.1Q) crée plusieurs réseaux sur les mêmes switchs : seuls les appareils d'un même VLAN se joignent directement.
- Le switch ajoute à la trame une étiquette de 4 octets qui porte le numéro de VLAN, utilisable de 1 à 4 094.
- Un port non étiqueté (access) relie un appareil à un seul VLAN ; un port étiqueté (trunk) transporte plusieurs VLAN vers un switch, le routeur ou un point d'accès.
- Un téléphone IP peut rejoindre seul son VLAN voix, par LLDP-MED par exemple, et laisser le PC branché derrière lui dans le VLAN du bureau.
- Il faut des switchs administrables, un routeur qui relie les VLAN et donne à chacun ses adresses, et des points d'accès qui lient chaque SSID à un VLAN.
Un switch, plusieurs réseaux
Sans réglage, tous les appareils branchés sur les switchs d'un site forment un seul réseau : caméras, enregistreur, ordinateurs, téléphones IP et téléphones des visiteurs sur le Wi-Fi peuvent se joindre. Le VLAN, ou « réseau local virtuel », change cela sans câble de plus. Selon Grandstream, seuls les membres d'un même VLAN communiquent entre eux ; Huawei parle d'un réseau physique découpé en plusieurs domaines de broadcast, ces messages adressés à tous les appareils.
La norme est IEEE 802.1Q, celle des ponts et des réseaux locaux virtuels. La figure ci-dessous partage un switch administrable de 24 ports entre quatre réseaux ; ses numéros de VLAN sont un exemple.
Les ports 1 à 20 relient chacun un appareil à un seul VLAN ; les ports 21 à 24 transportent plusieurs VLAN à la fois.
L'étiquette 802.1Q et le numéro de VLAN
Pour qu'un câble porte plusieurs VLAN sans les mélanger, 802.1Q insère dans la trame Ethernet une étiquette de 4 octets, soit 32 bits, juste après l'adresse MAC de l'émetteur. Le guide VLAN de Grandstream pour ses téléphones GRP26xx la décrit en quatre parties :
- 16 bits d'identifiant de protocole (TPID), de valeur 0x8100, qui signalent une trame étiquetée ;
- 3 bits de priorité (PCP), de 0 à 7, utilisés pour la qualité de service ;
- 1 bit nommé CFI, mis à zéro sur les réseaux Ethernet ;
- 12 bits pour le numéro de VLAN (VID).
Douze bits donnent 4 096 valeurs, de 0 à 4 095, dont 0 et 4 095 réservés selon Huawei. Restent les numéros 1 à 4 094, plage qu'annonce la fiche du DS-3E1520P-EI/M de Hikvision. Ce switch gère au plus 1 024 VLAN ; l'article sur le switch administrable compare ce nombre d'un modèle à l'autre.
Port non étiqueté, port étiqueté
Une caméra ou un ordinateur envoie des trames sans étiquette. Son port sur le switch est donc un port non étiqueté, appelé access chez Hikvision et Huawei, « Untag » sur les routeurs Reyee de Ruijie. Selon Huawei, ce port appartient à un seul VLAN : il marque chaque trame reçue du numéro de son VLAN par défaut, le PVID, et retire l'étiquette avant de renvoyer les trames vers l'appareil.
Entre deux switchs, ou vers le routeur ou un point d'accès, un seul câble porte plusieurs VLAN : c'est le port étiqueté, appelé trunk, ou « Tag » chez Reyee. Chaque trame y garde son étiquette, qui dit à l'appareil d'en face à quel VLAN elle appartient.
Dans un exemple de TP-Link, deux groupes d'ordinateurs restent séparés mais sortent tous deux vers internet : le port LAN du routeur et le port du switch en face sont étiquetés dans les VLAN 2 et 3 ; les ports des ordinateurs sont non étiquetés, avec un PVID de 2 ou de 3. Le port du switch relié au routeur garde le PVID 1 par défaut.
Pourquoi séparer : sécurité et performance
D'abord la sécurité. Hikvision conseille de séparer le réseau de vidéosurveillance du reste du réseau interne. Une fois séparés, les caméras et l'enregistreur ne sont plus joignables directement depuis un ordinateur infecté ou le téléphone d'un visiteur. Pour Grandstream, un VLAN met aussi à part les utilisateurs qui accèdent à des informations sensibles. Le VLAN complète les mots de passe et les mises à jour sans les remplacer : voir l'article sur la cybersécurité des équipements.
Ensuite la performance : un broadcast ne sort pas de son VLAN, et Grandstream note que le limiter ainsi aux membres d'un groupe améliore les performances. L'article sur la boucle réseau montre ce qui arrive quand les broadcasts se multiplient, et celui sur le Wi-Fi invités, un point d'accès dont chaque SSID est lié à un VLAN.
Le VLAN voix des téléphones IP
Selon leurs fiches, le GRP2601 de Grandstream et le X303P de Fanvil ont deux prises réseau, l'une vers le switch, l'autre pour l'ordinateur. D'où l'intérêt du VLAN voix, selon Grandstream : téléphone et PC partagent un port du switch, mais la voix circule étiquetée dans son VLAN, et le PC reste sans étiquette dans le VLAN des données. Dans son exemple, la voix est au VLAN 20, avec une priorité (CoS) de 6, et les données au VLAN 10.
Selon le guide VLAN des GRP26xx, le téléphone obtient son numéro de VLAN de deux façons :
- par LLDP-MED, une extension de LLDP publiée par la TIA : le switch annonce au téléphone son VLAN et sa priorité ; sur les GRP26xx, LLDP est activé par défaut ;
- à la main, dans la page web du téléphone ; pour le port PC, c'est la seule méthode chez Grandstream.
Le guide voix de Grandstream décrit aussi la reconnaissance par OUI : le switch reconnaît le téléphone au début de son adresse MAC et le place dans le VLAN voix. Tout dépend donc du switch : la fiche du RG-NBS3100-24GT4SFP-P de Ruijie annonce le VLAN voix et LLDP-MED, celle du RG-ES228GS-P répond « non » à LLDP-MED. Sinon, le VLAN se règle sur chaque téléphone.
Ce qu'il faut : switchs, routeur et points d'accès
Les VLAN se règlent sur un switch administrable, dont l'article sur le switch administrable présente les niveaux.
Il faut aussi relier les VLAN : selon Huawei, ils sont isolés au niveau 2 et ne communiquent qu'au niveau 3, par une interface de routage dans chaque VLAN. C'est en général le rôle du routeur, qui donne aussi ses adresses à chaque VLAN : dans un guide d'essai Ruijie des routeurs Reyee EG, le VLAN 10 a son pool DHCP, et un PC branché sur ce VLAN reçoit une adresse en 192.168.10.x. Certains switchs L2+ routent aussi, comme les JetStream de TP-Link.
Côté Wi-Fi, le point d'accès lie chaque SSID à un VLAN : la fiche de l'EAP613 de TP-Link annonce le « SSID VLAN », celle du RG-RAP2260(G) de Ruijie l'802.1Q et plusieurs SSID possibles dans un même VLAN. Le tableau résume ce que disent les fiches.
| Modèle (type) | VLAN selon la fiche | Voix, routage ou Wi-Fi |
|---|---|---|
| Hikvision DS-3E1520P-EI/M (switch smart) | 802.1Q ; 1 à 4 094 ; Trunk et Access | LLDP ; ni VLAN voix ni LLDP-MED cités |
| Ruijie RG-ES228GS-P (switch smart, cloud) | 802.1Q | LLDP-MED : non ; pas de route statique |
| Ruijie RG-NBS3100-24GT4SFP-P (switch L2) | 802.1Q ; VLAN voix | LLDP-MED : oui ; pas de route statique IPv4 |
| TP-Link JetStream TL-SG2428P (switch L2+) | 802.1Q ; VLAN voix | LLDP-MED ; routage statique, serveur DHCP |
| Grandstream GWN7803P (switch L2+) | 802.1Q ; VLAN voix automatique et par OUI | LLDP-MED ; 16 interfaces VLAN, routage statique, serveur DHCP |
| Ruijie RG-EG105G V3 (routeur) | VLAN sur les ports LAN | Serveur DHCP ; listes de contrôle d'accès (ACL) |
| Ruijie RG-RAP2260(G) (point d'accès) | 802.1Q ; 8 SSID | Plusieurs SSID dans un même VLAN |
| Grandstream GRP2601, Fanvil X303P (téléphones) | 802.1Q et 802.1p (GRP2601) ; VLAN (X303P) | LLDP-MED (GRP2601), LLDP (X303P) ; port PC |
Un exemple de plan pour une petite entreprise
Voici un exemple, pas une règle : numéros et plages se choisissent librement. Les adresses sont privées, en 192.168.x.x, comme dans l'article sur l'adresse IP et le DHCP. Chaque VLAN a son sous-réseau, au masque 255.255.255.0, et sa passerelle, le routeur, en .1. Les VLAN 10 et 20 reprennent ceux de l'exemple de Grandstream.
Dans le VLAN 30, l'enregistreur peut garder une adresse fixe, par exemple 192.168.30.10, et les caméras 192.168.30.21, 192.168.30.22 et la suite, hors de la plage du DHCP, par exemple de .100 à .199. Une caméra Hikvision neuve est en principe en 192.168.1.64, hors de ce sous-réseau, sauf les modèles livrés avec le DHCP activé : donnez-lui son adresse du VLAN 30 lors de la mise en service, avec l'outil SADP par exemple.
Les flux qui doivent encore passer
Séparer ne veut pas dire tout couper. Dans cet exemple, il est conseillé d'ouvrir dans le routeur seulement :
- le PC du gérant ou le téléphone du personnel, sur le Wi-Fi du bureau, vers l'enregistreur seul, pour voir les caméras ;
- l'enregistreur vers internet, si la vue à distance passe par le cloud du fabricant, comme l'explique l'article sur la vue à distance ;
- l'IPBX vers internet pour les lignes SIP ; placé dans le VLAN 20, il joint les téléphones sans routage ;
- les invités vers internet, et rien d'autre.
Le comportement par défaut entre VLAN varie d'un routeur à l'autre : vérifiez-le depuis un appareil de chaque VLAN.
Mettre en place, dans l'ordre
Suivez l'ordre de la figure ci-dessous, et notez le plan dans le dossier de l'installation avant de commencer.
Attention au port de votre propre ordinateur : TP-Link explique que si l'ordinateur n'appartient qu'à un VLAN sans interface sur le switch, la page de réglage du switch devient inaccessible. Avant de changer le VLAN de ce port, notez par quel VLAN et quelle adresse le switch reste joignable.
Switchs, routeur, point d'accès et téléphones du catalogue avec VLAN
Prix et disponibilité à jour dans la page de chaque produit.
Les erreurs fréquentes
- Laisser le port d'une caméra au PVID 1, le VLAN par défaut : la caméra n'est pas dans le VLAN de l'enregistreur.
- Étiqueter un lien d'un seul côté, ou avec d'autres VLAN en face : dans l'exemple de TP-Link, les deux bouts portent les mêmes VLAN étiquetés.
- Changer le VLAN du port de son ordinateur sans savoir comment rejoindre ensuite le switch.
- Créer un VLAN sans plage DHCP : ses appareils risquent de ne recevoir aucune adresse.
- Compter sur la configuration automatique des téléphones avec un switch qui n'annonce ni VLAN voix ni LLDP-MED.
Pour aller plus loin
- Guide d'achat : choisir un switch PoE
- Guide d'achat : passer à la téléphonie IP
- Guide d'achat : Wi-Fi professionnel, points d'accès et couverture
- Switch administrable ou non : quand en avoir besoin ?
- Wi-Fi invités : séparer les clients du réseau du magasin
- Routeur, switch, point d'accès : qui fait quoi ?
- Adresse IP et DHCP : les bases pour raccorder un appareil
- Boucle réseau : pourquoi tout le réseau s'arrête
- Cybersécurité des équipements : mots de passe et mises à jour
- Voir ses caméras à distance : P2P, cloud ou ouverture de ports
- Solution Réseau, Wi-Fi et téléphonie IP
- Réseau et Wi-Fi : switchs, routeurs et points d'accès du catalogue
- Téléphonie IP : postes et IPBX du catalogue
Questions fréquentes
Faut-il des VLAN pour quatre caméras et un enregistreur ?
Pas forcément : avec leur propre switch et leurs propres câbles, les caméras sont déjà à part. Le VLAN sert quand caméras, téléphones, ordinateurs et Wi-Fi partagent les mêmes switchs.
Mon PC, branché derrière le téléphone IP, est-il dans le VLAN voix ?
Non, si le switch et le téléphone sont réglés : selon Grandstream, la voix passe étiquetée dans le VLAN voix, et le PC, sans étiquette, reste dans le VLAN des données.
Pourrai-je encore voir les caméras depuis le bureau ?
Oui, si le routeur laisse passer ce flux : ouvrez l'accès de l'appareil concerné vers l'enregistreur, plutôt que tout le VLAN des caméras.
Le bouton « VLAN » de mon switch non administrable suffit-il ?
Non. Cudy le présente comme une isolation des ports, sans VLAN numérotés que le routeur et les points d'accès puissent reconnaître : il faut un switch administrable.
Une question sur votre installation ?
Décrivez-nous votre projet : nous vous aidons à choisir le matériel adapté, avec un devis.
Demander un devisWhatsApp 07 73 30 59 51Demander un document
Sources
- IEEE 802.1Q (ponts et réseaux locaux virtuels), résumé par Grandstream, « GRP26XX VLAN Guide », et par Huawei, « What Is VLAN? »
- Grandstream, « GWN78xx(P) – Voice VLAN Guide » ; TP-Link, FAQ 2246 « How to configure 802.1Q VLAN on TP-Link Load Balance and VPN routers » et « What should I do if I cannot access the web management page of my TP-Link switch? » ; Ruijie, « Reyee EG PoC Guide V1.0 » (2021)
- Fiches techniques : Hikvision DS-3E1520P-EI/M ; Ruijie RG-ES228GS-P, RG-NBS3100-24GT4SFP-P, RG-EG105G-V3 et RG-RAP2260(G) ; TP-Link JetStream Smart Switches et EAP613 ; Grandstream GWN7801(P)-GWN7803(P) et GRP2601 ; Fanvil X303/X303P
Mis à jour le 3 novembre 2026. Rédaction : MA SECURITE.