10 GbE – Switches et VLAN

10 GbE – Switches et VLAN

Print Friendly, PDF & Email

Comme pour l’architecture 2015, cet article détaille les différents VLAN utilisés et les configurations types des différents switches MikroTik et Netgear et ainsi que des AP Wifi Ubiquiti.

VLAN

Pas de grands changements par rapport à 2015, j’ai conservé la même logique de définition des VLAN :

  • VLAN n° 10 : le LAN principalement, le NAS et tous les équipements câblés,
  • VLAN n° 20 : le Wifi « privé » (WPA2 Enterprise, PEAP avec authentification Radius) pour les équipements qui auront accès aux différents services du LAN,
  • VLAN n° 30 : le Wifi « guest » (WPA2) pour les invités avec uniquement un accès à Internet et à la DMZ,
  • VLAN n° 40 : La domotique, serveur et équipements dédiés à la domotique,
  • VLAN n° 50 : la télésurveillance, c’est à dire les différentes caméras IP connectées au NAS Synology (Surveillance Station) et à la domotique,
  • VLAN n° 90 : la DMZ, les différents services et serveurs accessibles depuis Internet,
  • VLAN n° 91 : une DMZ dédiée aux connexions VPN qui ont un accès privilégié au LAN.

Le plan d’adressage IP avec le 3ème octet qui sert à identifier le VLAN :

  • VLAN 10 : 192.168.10.0/24 – gateway : 192.168.10.1
  • VLAN 20 : 192.168.20.0/24 – gateway : 192.168.20.1
  • VLAN 30 : 192.168.30.0/24 – gateway : 192.168.30.1
  • VLAN 40 : 192.168.40.0/24 – gateway : 192.168.40.1
  • VLAN 50 : 192.168.50.0/24 – gateway : 192.168.50.1
  • VLAN 90 : 192.168.90.0/24 – gateway : 192.168.90.1
  • VLAN 91 : 192.168.91.0/24 – gateway : 192.168.91.1

Les macro règles de firewall que j’ai mis en place sur le routeur/firewall Untangle, c’est à dire, pour un VLAN donné, les autorisations d’accès aux autres VLAN :

  • Du VLAN 10 : accès aux VLAN 20, 40, 50, 90, 91 et GRE
  • Du VLAN 20 : accès aux VLAN 10, 40, 50, 90, 91 et GRE
  • Du VLAN 30 : accès au VLAN 90
  • Du VLAN 40 : accès au service NTP du NAS
  • Du VLAN 50 : accès au service NTP du NAS
  • Du VLAN 90 : accès aux services LDAPS, NTP, HTTP et NFS sur différents serveurs membres des VLAN 10 et 40
  • Du VLAN 91 : accès aux services LDAPS, NTP, HTTP, SSH et SMB sur différents serveurs et équipements membres des VLAN 10, 40, 50 et 90
  • Du Serveur Dédié (GRE) : accès au VLAN 90
  • D’Internet (WAN) : accès au serveurs membres des VLAN 90 et 91

Le schéma de principe qui en découle :

Infra_La_Maison_Bleue_Net_2020_004
Télécharger

Schéma d’Architecture Réseau

Une fois tous les aspects logiques déterminés, le schéma d’architecture général du réseau qui en découle est alors le suivant :

Infra_La_Maison_Bleue_Net_2020_002
Télécharger

Pour mieux comprendre la configuration des switches, un autre schéma présentant le détail des interconnexions entre serveurs et switches dans la baie 19″ :

Infra_La_Maison_Bleue_Net_2020_003
Télécharger

Switch

Je n’ai pas créé de VLAN d’administration pour les différents équipements réseaux pour le moment et pour plus de facilité je les ai intégrés au LAN soit le VLAN 10.

Les adresses d’administration des équipements réseaux sont les suivantes :

Equipement Adresse IP Rôle Lieu Modèle
SwitchC1 192.168.10.11 Cœur 10GbE Rack 19″ Mikrotik CRS309-1G-8S+IN
SwitchC2 192.168.10.12 Cœur 10GbE Rack 19″ Mikrotik CRS309-1G-8S+IN
SwitchC3 192.168.10.13 Cœur 1GbE PoE Rack 19″ Mikrotik CRS328-24P-4S+RM
SwitchC4 192.168.10.14 Cœur 10GbE Rack 19″ Mikrotik CRS305-1G-4S+IN
Switch1 192.168.10.21 Distribution PoE Salle à manger Netgear GS105PE
Switch2 192.168.10.22 Distribution Salon Mikrotik CRS305-1G-4S+IN
Switch3 192.168.10.23 Distribution TV Mikrotik RB260GS
Switch3b 192.168.10.27 Distribution PoE TV Netgear GS108PEv3
Switch4 192.168.10.24 Distribution Chambre 1 Mikrotik CRS305-1G-4S+IN
Switch5 192.168.10.25 Distribution Chambre 2 Mikrotik CRS305-1G-4S+IN
Switch6 192.168.10.26 Distribution PoE Chambre 3 Netgear GS108PEv3
Apwifi1 192.168.10.31 AP Wifi Salle à manger Ubiquiti UniFi AP-Flex-HD
Apwifi2 192.168.10.32 AP Wifi Chambre 3 Ubiquiti UniFi AP-Flex-HD

Pour un meilleur suivi, j’ai créé le tableau Excel suivant qui référence par switch l’utilisation des différents ports et VLAN mais aussi tous les équipements connectés au réseau :

Infra_La_Maison_Bleue_Net_2020_Switch
Télécharger en PDFTélécharger en XLS

Pour info, les priorités VLAN définies dans ce document n’ont pas été mises en œuvre pour le moment.

Switch MikroTik

La configuration des switches MikroTik est assez semblable quelques soient les modèles : différents onglets donnent accès aux fonctionnalités offertes par le switch. Plus de détail pour les switches CRS3XX sur le Wiki Mikrotik.

Pour exemple le switch cœur de réseau n°1, dans l’onglet System, définissez l’adresse IP du switch, son nom et le sous-réseau qui pourra l’administrer. C’est dans ce même onglet qu’on peut sauvegarder la config du switch :

Dans l’onglet Link, activez les ports que vous souhaitez utiliser et nommez-les. La gestion du Flow Control est apparue depuis la version 2.12 et ce paramètre doit être géré assez finement. Pour ma part, et sauf exception, j’utilise « Rx Only » pour tout type de connexion, interconnexion entre switch, serveur, PC et périphérique :

L’onglet SFP vous donne des informations utiles sur les câbles DAC et modules SFP utilisés :

L’onglet LAG vous permet de définir les ports du switch qui utilisent l’agrégation de liens. En l’occurrence dans mon cas, il ne s’agit pas de faire un trunk qui double le débit à 20 Gb/s mais de réaliser un secours physique pour le switch cœur de réseau n°3 et le NAS entre les 2 switches cœur de réseau n°1 et 2 :

Dans l’onglet RSTP, définissez les ports qui bénéficieront du Rapid Spanning Tree Protocol pour éviter les boucles entre switches. Il existe une boucle dans ma topologie réseau car les 3 switches cœurs de réseau sont interconnectés entre eux. J’active donc ce protocole non seulement sur les ports correspondant aux 2 autres switches du cœur de réseau mais aussi sur tous les autres pour plus de sécurité :

L’onglet VLAN permet de définir si un port du switch accepte les VLAN (enabled ou disabled voire optional), si le VLAN doit être tagué, non tagué ou peu importe (any) et le VLAN ID par défaut utilisé uniquement en mode non tagué selon MikroTik :

Enfin l’onglet VLANs permet de définir les différents VLAN utilisés et de les affecter aux différents ports du switch :

Switch Netgear

Comme pour les switches MikroTik CRS3XX, la configuration est semblable pour les switches de la gamme Netgear GS1XXPE.

Dans l’onglet System puis le menu Switch Information, renseignez le nom du switch son adresse IP, masque et passerelle :

Dans le menu Port Status, j’ai autorisé le Flow Control sur tous les ports du switch :

Le STP est actif dans le menu Loop Detection :

Dans le menu Switch Management Mode, définissez comment vous souhaitez administrer le switch :

Pour définir les VLAN, rendez-vous dans l’onglet VLAN puis cliquez sur 802.1Q et dans le menu VLAN Configuration, ajoutez les VLAN et affectez les différents ports aux VLAN :

Dans le menu VLAN Membership, définissez pour chaque VLAN quels sont les ports concernés et s’ils sont tagués ou non. Par exemple, pour le VLAN1 :

Pour le VLAN10 :

Pour le VLAN 20 :

Enfin dans le menu Port PVID, définissez le VLAN par défaut pour chaque port du switch :

AP Wifi Ubiquiti

Pour gérer les 2 AP Wifi Ubiquiti UniFi AP-Flex-HD, il est nécessaire d’installer le logiciel de gestion UniFi Network Controller. Il est installé sur une VM dédiée à l’administration de l’infrastructure où j’utilise de plus Cockpit pour la gestion des différents serveurs Linux et InfiniteWP pour la gestion des serveurs Web WordPress.

La page d’accueil d’UniFi Network Controller :

Les 2 AP Wifi :

Les clients connectés au Wifi, principalement la domotique et les smartphones :

Les différents réseaux Wifi sont créés dans les paramètres Wifi :

Le réseau Wifi « resowifi » utilise un WPA2 Enterprise, un profil Radius pour l’authentification sur le Windows Server, le VLAN 20 et le SSID est identique pour les bandes de fréquence 2.4 GHz et 5 GHz. On définit également sur cette page les groupes d’AP Wifi. Dans cet exemple, le groupe comprenant les 2 AP sont utilisés mais pour le réseau Wifi dédié à la domotique, seul le groupe contenant l’AP Wifi 1 est utilisé :

Sur la même page, définissez les options utiles :

Et pour finir, mettez en place un planning pour gérer, si nécessaire, les horaires d’interruption du service Wifi. Dans cet exemple, le réseau Wifi « resowifi » est stoppé entre minuit et 7h du matin :

Dans Network, définissez le réseau filaire utilisé et son sous-réseau :

Dans le menu Advanced Features, définissez les différents VLAN :

Et le serveur Radius qui sera utilisé dans un réseau Wifi de type WPA Enterprise :

Laurent Weidmann

Ingénieur SI, je partage dans ce blog ma passion pour l'informatique, en particulier pour les systèmes et réseaux.

La publication a un commentaire

  1. Avatar
    Pierre

    Super article comme d’habitude !
    Très bien détaillé et clair

Laisser un commentaire