Isoler deux réseaux sur un même routeur : VLANs, pare-feux et ACLs expliqués
Faire tourner deux réseaux complètement séparés — chacun avec accès internet mais zéro visibilité sur les appareils de l'autre — est un besoin courant pour réseaux invités, isolation IoT, ou séparation trafic pro/perso. Voici comment l'atteindre avec un seul routeur ou switch Layer 3.
1. Définir sous-réseaux distincts
Attribuer plages IP non chevauchantes :
- Réseau A (ex: LAN) : 192.168.10.0/24 (Passerelle: 192.168.10.1)
- Réseau B (ex: Invité/IoT) : 192.168.20.0/24 (Passerelle: 192.168.20.1)
Chaque sous-réseau obtient sa propre étendue DHCP sur le routeur.
2. Implémenter les VLANs (Réseaux Locaux Virtuels)
C'est la méthode la plus propre, la plus scalable. Votre routeur/switch doit supporter le tagging VLAN 802.1Q.
- Créer VLAN 10 pour Réseau A, VLAN 20 pour Réseau B.
- Assigner ports physiques du switch au VLAN approprié (ports d'accès, non tagués).
- Configurer interfaces virtuelles du routeur (SVIs) comme passerelles pour chaque VLAN (192.168.10.1 sur VLAN 10, 192.168.20.1 sur VLAN 20).
- Activer Routage Inter-VLAN (commutation Layer 3) pour que le routeur puisse passer trafic entre VLANs et vers WAN.
3. Bloquer trafic Inter-VLAN avec règles Pare-feu / ACLs
Par défaut, le routeur route entre VLANs. Il faut explicitement l'interdire.
- Pare-feu stateful (préféré) : Créer règle sur LAN_IN ou interface VLAN : Source: sous-réseau VLAN 10, Destination: sous-réseau VLAN 20, Action: Drop. Répéter en sens inverse. Autoriser trafic established/related pour réponses WAN.
- ACLs stateless (sur switches Layer 3) : Appliquer ACL entrant sur chaque interface VLAN niant le sous-réseau de l'autre VLAN. Exemple (style Cisco) :
ip access-list extended BLOCK_VLAN20 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 permit ip any any interface vlan 10 ip access-group BLOCK_VLAN20 in
Critique : S'assurer que règles autorisent chaque VLAN à atteindre IP passerelle du routeur (pour DHCP/DNS) et interface WAN (internet), mais pas le sous-réseau de l'autre VLAN.
4. Configuration NAT
Les deux sous-réseaux partageront généralement la même IP publique via NAT (PAT). La règle NAT du routeur traduit simplement tout trafic sortant de 192.168.10.0/24 ou 192.168.20.0/24 vers l'interface WAN. Pas de NAT spécial par VLAN nécessaire sauf IPs publiques multiples.
5. Isolation sans-fil (Si même AP)
Si un point d'accès unique dessert les deux réseaux via SSIDs multiples :
- Mapper chaque SSID à son VLAN (SSID « Maison » → VLAN 10, SSID « Invités » → VLAN 20).
- Activer Isolation clients (AP Isolation) sur SSID Invités pour empêcher clients sans-fil de se parler entre eux.
Check-list de vérification
- ✅ Appareils Réseau A obtiennent 192.168.10.x, Réseau B obtiennent 192.168.20.x.
- ✅ Les deux peuvent ping 8.8.8.8 et naviguer web.
- ✅ Appareil Réseau A ne peut pas ping, parcourir partages, ou accéder services Réseau B (et vice versa).
- ✅ Aucun ne peut accéder IP passerelle de l'autre (optionnel mais recommandé).
- ✅ Interface admin routeur accessible seulement depuis Réseau A (VLAN admin de confiance).
Cette architecture scale : ajouter VLAN 30 pour caméras, VLAN 40 pour serveurs, chacun avec politiques pare-feu sur mesure. Le principe reste : segmenter au Layer 2 (VLANs), router au Layer 3, filtrer au Layer 3/4 (Pare-feu/ACL).