Pourquoi les grands domaines de diffusion nuisent à la performance et la sécurité réseau
Un domaine de diffusion est un segment Layer 2 où chaque appareil reçoit chaque trame de diffusion (ARP, DHCP, NetBIOS, etc.). Le maintenir petit est une meilleure pratique de conception réseau.
Problèmes de performance
- Tempêtes de diffusion : Une seule boucle ou NIC défaillante peut inonder le segment, consommant toute la bande passante et CPU sur chaque hôte.
- Chevauchement domaine de collision (Hubs hérités) : Sur média partagé, les collisions forcent un backoff exponentiel, tuant le débit.
- Surcharge d'interruptions : Chaque diffusion interrompt le NIC/CPU de chaque hôte pour traiter des trames pas destinées à lui.
- Inondation ARP/NDP : Grands sous-réseaux = tables ARP massives, recherches lentes, tempêtes ARP gratuites.
Risques de sécurité
- Sniffing/Spoofing : Un hôte compromis peut ARP-empoisonner tout le VLAN, MITM tout le trafic.
- Mouvement latéral : Malware se propage via découverte broadcast (SMB, mDNS, LLMNR).
- Fuite de données : Diffusions sensibles (options DHCP, annonces de services) atteignent des endpoints non autorisés.
Maux de tête de gestion
- Dépannage s'étend sur des centaines de ports.
- Application politiques (ACL, QoS) grossière au Layer 2.
- Convergence spanning-tree ralentit avec le diamètre.
Solution : Segmenter avec Layer 3
- Utilisez des routeurs ou commutateurs Layer 3 pour diviser le réseau en sous-réseaux/VLAN multiples /24 (ou plus petits).
- Les diffusions s'arrêtent au routeur ; seul trafic unicast/multicast routé traverse.
- Appliquez ACL, pare-feu, QoS par segment.
- Conception typique : VLAN d'accès ≤ 250 hôtes ; Cœur/Distribution routé.
Alternatives modernes
- VXLAN/EVPN : Étendre Layer 2 sur tissu Layer 3 avec diffusion contrôlée.
- PVLANs (Private VLANs) : Isoler ports dans même VLAN.
- Micro-segmentation : Pare-feu hôtes (Cilium, Calico) dans Kubernetes/cloud.
Règle empirique : Si vous ne pouvez justifier un /23, ne le construisez pas.