VLAN à la maison : isoler ses appareils pour sécuriser son réseau

Un réseau domestique moderne ne se limite plus à un ordinateur et une box Internet. Entre les smartphones, téléviseurs connectés, consoles, caméras IP, assistants vocaux, ampoules intelligentes, NAS et appareils professionnels, il peut rapidement compter plusieurs dizaines d’équipements. Or, si tous ces appareils communiquent sur le même réseau local, une faille présente sur l’un d’eux peut théoriquement faciliter l’accès aux autres. C’est précisément là qu’un VLAN à la maison devient intéressant : il permet de séparer logiquement les appareils, sans devoir installer plusieurs box ou tirer de nouveaux câbles partout.

Mettre en place des VLAN n’est plus réservé aux entreprises. Avec un routeur compatible, un switch manageable et quelques règles de pare-feu cohérentes, il est possible de créer un réseau familial plus sûr, plus lisible et mieux adapté aux usages actuels. Ce guide explique le fonctionnement des VLAN, les équipements nécessaires, les étapes de configuration et les bonnes pratiques pour isoler efficacement vos appareils sans compliquer inutilement votre quotidien.

Pourquoi installer des VLAN à la maison ?

Réduire les risques liés aux objets connectés

Le principal intérêt d’un VLAN domestique est la segmentation du réseau. Sur un réseau classique, tous les équipements appartiennent généralement au même sous-réseau, par exemple 192.168.1.0/24. Un ordinateur personnel, une caméra Wi-Fi et une prise connectée peuvent donc se voir et communiquer entre eux, sous réserve de l’absence d’autres protections. Pourtant, les objets connectés sont souvent les équipements les moins suivis : mises à jour irrégulières, mots de passe par défaut, interfaces d’administration limitées ou support logiciel rapidement abandonné.

En plaçant les objets connectés dans un VLAN IoT distinct, vous limitez leur champ d’action. Une caméra compromise pourra éventuellement accéder à Internet si vous l’autorisez, mais elle ne pourra pas automatiquement explorer les dossiers partagés de votre ordinateur, détecter votre NAS ou joindre l’interface de gestion de votre routeur. Cette approche ne supprime pas tous les risques, mais elle réduit fortement les possibilités de déplacement latéral d’un pirate sur votre réseau local.

Séparer les usages personnels, invités et professionnels

La segmentation est aussi utile pour organiser les usages. Un foyer peut avoir besoin d’un réseau principal pour les postes de confiance, d’un réseau invité pour les visiteurs, d’un réseau professionnel pour le télétravail et d’un réseau dédié aux équipements multimédias. Chaque VLAN reçoit son propre identifiant, son propre plan d’adressage IP et ses propres règles de communication.

• VLAN principal : ordinateurs, smartphones personnels, tablettes et équipements administrés par les membres du foyer.
• VLAN IoT : ampoules, prises, thermostats, assistants vocaux, robots aspirateurs et objets connectés.
• VLAN invités : appareils des visiteurs, avec accès Internet uniquement.
• VLAN travail : ordinateur professionnel, imprimante dédiée ou matériel fourni par l’employeur.
• VLAN serveurs : NAS, serveur multimédia, Home Assistant, Pi-hole ou machine virtuelle.

Cette organisation est particulièrement pertinente lorsqu’un ordinateur professionnel doit respecter des exigences de sécurité. Plutôt que de le connecter à un réseau rempli d’appareils peu maîtrisés, vous pouvez le placer dans un VLAN distinct et limiter les flux entrants. Vous améliorez ainsi votre hygiène numérique tout en gardant une infrastructure simple à administrer.

Gagner en visibilité sur son réseau

Créer des VLAN oblige à inventorier ses appareils et à réfléchir aux communications réellement nécessaires. Cet exercice est très bénéfique. Vous découvrez souvent d’anciens périphériques encore connectés, des appareils inconnus ou des services ouverts inutilement. Une bonne segmentation s’accompagne d’un tableau de suivi indiquant le nom de l’appareil, son adresse MAC, son adresse IP réservée, son VLAN et son rôle.

Cette visibilité facilite également le dépannage. Si une télévision ne trouve plus votre serveur Plex, vous savez immédiatement qu’il faut vérifier une règle entre le VLAN multimédia et le VLAN serveurs. Sur un réseau plat, les problèmes sont parfois plus difficiles à identifier, car les appareils communiquent de manière implicite sans architecture clairement définie.

Comprendre le fonctionnement d’un VLAN domestique

Un réseau logique au-dessus du réseau physique

VLAN signifie Virtual Local Area Network, ou réseau local virtuel. Son principe consiste à découper un même réseau physique en plusieurs réseaux logiques isolés. Vous pouvez utiliser le même switch, les mêmes câbles Ethernet et parfois les mêmes bornes Wi-Fi, tout en séparant les équipements comme s’ils étaient installés sur des réseaux différents.

Chaque VLAN est associé à un numéro, appelé identifiant VLAN ou VLAN ID. Les identifiants 10, 20, 30 et 40 sont fréquemment utilisés dans les installations domestiques, mais le choix reste libre. Par exemple, le VLAN 10 peut correspondre au réseau principal, le VLAN 20 aux objets connectés, le VLAN 30 aux invités et le VLAN 40 aux serveurs. L’essentiel est d’adopter une convention simple, documentée et durable.

Ports access, ports trunk et balises 802.1Q

Pour transporter plusieurs VLAN sur un seul câble, les équipements utilisent généralement la norme IEEE 802.1Q. Cette technologie ajoute une étiquette, ou balise, aux trames Ethernet afin d’indiquer à quel VLAN elles appartiennent. Un port configuré en mode trunk transporte ainsi plusieurs VLAN entre un routeur, un switch manageable ou une borne Wi-Fi compatible.

À l’inverse, un port en mode access appartient à un seul VLAN. Il convient parfaitement à un ordinateur fixe, à un NAS ou à une console. Si le port 5 de votre switch est configuré en access sur le VLAN 20, tout appareil branché sur ce port sera automatiquement isolé dans le VLAN IoT, sans avoir besoin de prendre en charge les balises VLAN lui-même.

Un point important concerne le VLAN natif ou non tagué. Certains équipements utilisent un VLAN non balisé sur un port trunk. Cette configuration doit être définie avec prudence, car une incohérence entre le routeur, le switch et le point d’accès peut provoquer des pertes de connectivité ou placer un appareil dans le mauvais réseau. Dans une installation familiale, mieux vaut réserver clairement le trafic non tagué à un VLAN de gestion ou éviter les configurations ambiguës.

Le routage inter-VLAN et le pare-feu

Deux VLAN sont isolés au niveau de la couche réseau : un appareil du VLAN 20 ne peut pas joindre directement un appareil du VLAN 10. Toutefois, si votre routeur connaît les deux réseaux, il peut assurer le routage inter-VLAN. C’est à cette étape que les règles de pare-feu prennent toute leur importance.

Le bon réflexe consiste à appliquer le principe du moindre privilège : bloquer par défaut les communications entre VLAN, puis ouvrir uniquement les flux nécessaires. Par exemple, le VLAN invités peut accéder à Internet mais pas au réseau principal. Le VLAN IoT peut avoir accès au serveur DNS local et à Internet, mais pas aux ordinateurs personnels. Le VLAN principal peut, lui, accéder au NAS et à l’interface Home Assistant si vous en avez besoin.

VLAN	Exemples d’appareils	Accès conseillé	Risque réduit
10 – Principal	PC, smartphones, tablettes	Internet, NAS, imprimante, administration	Exposition aux appareils peu fiables
20 – IoT	Caméras, prises, ampoules	Internet et services strictement nécessaires	Propagation d’une compromission IoT
30 – Invités	Smartphones et PC visiteurs	Internet uniquement	Accès aux données et équipements privés
40 – Serveurs	NAS, Home Assistant, Plex	Accès contrôlé depuis le réseau principal	Découverte et attaque des services internes

Quels équipements choisir pour créer des VLAN ?

Le routeur : l’élément central de la sécurité

Votre box Internet fournie par l’opérateur ne suffit pas toujours à créer plusieurs VLAN avec des règles de pare-feu avancées. Certaines box proposent un réseau invité, ce qui est utile, mais rarement une segmentation complète et personnalisable. Pour aller plus loin, il faut généralement utiliser un routeur ou un pare-feu compatible VLAN.

Les solutions les plus courantes incluent les routeurs sous OpenWrt, les appliances utilisant OPNsense ou pfSense, les équipements UniFi, MikroTik, TP-Link Omada ou certains routeurs ASUS proposant des fonctions avancées. Le choix dépend de votre budget, de votre niveau technique et du débit Internet à traiter. Pour une connexion fibre à 1 Gb/s, vérifiez notamment les performances réelles du pare-feu et du routage inter-VLAN, surtout si vous activez des fonctions comme l’inspection des paquets, le VPN ou la détection d’intrusion.

Le switch manageable et les bornes Wi-Fi compatibles

Un switch non manageable ne sait pas séparer les ports en VLAN. Il peut transporter un trafic réseau classique, mais ne permet pas de définir un port access ou trunk. Pour une installation filaire propre, choisissez donc un switch manageable prenant en charge 802.1Q. Les modèles d’entrée de gamme à 5 ou 8 ports sont souvent suffisants pour débuter.

Le Wi-Fi mérite une attention particulière. Pour attribuer plusieurs VLAN sans multiplier les bornes, votre point d’accès doit être capable d’associer chaque SSID à un VLAN. Vous pouvez ainsi diffuser un réseau Wi-Fi principal, un Wi-Fi IoT et un Wi-Fi invités depuis le même appareil. Le lien entre le switch et la borne doit alors être configuré en trunk afin de transporter les VLAN concernés.

• Routeur ou pare-feu compatible VLAN : indispensable pour créer les interfaces réseau, le DHCP et les règles de filtrage.
• Switch manageable : nécessaire si plusieurs équipements filaires doivent appartenir à des VLAN différents.
• Point d’accès Wi-Fi compatible 802.1Q : recommandé pour associer plusieurs SSID à plusieurs VLAN.
• Câbles Ethernet : un câble Cat 5e ou Cat 6 standard transporte les VLAN ; aucun câble spécial n’est requis.
• Onduleur facultatif : utile pour maintenir routeur, switch et borne Wi-Fi lors d’une microcoupure.

Évaluer le budget et éviter les achats inutiles

Une installation VLAN à la maison peut démarrer avec un budget maîtrisé. Un petit switch manageable coûte souvent entre 30 et 80 euros. Une borne Wi-Fi multi-SSID compatible VLAN se situe généralement entre 60 et 180 euros selon la norme Wi-Fi, la couverture et les fonctions de gestion. Le routeur représente le poste le plus variable : un ancien mini-PC avec deux cartes réseau peut servir de pare-feu, tandis qu’une appliance dédiée ou un routeur haut de gamme peut coûter plusieurs centaines d’euros.

Il n’est pas nécessaire de remplacer toute votre infrastructure immédiatement. Vous pouvez commencer par séparer le réseau invités et le réseau IoT, puis étendre la configuration aux serveurs et aux postes de travail. Cette progression limite les erreurs et permet de vérifier, à chaque étape, que les appareils essentiels continuent de fonctionner.

Comment configurer des VLAN à la maison étape par étape

Définir un plan d’adressage cohérent

Avant toute configuration, dessinez votre architecture. Déterminez les VLAN, leurs usages, les appareils concernés et les communications autorisées. Un plan simple et lisible peut utiliser un sous-réseau par VLAN : 192.168.10.0/24 pour le réseau principal, 192.168.20.0/24 pour l’IoT, 192.168.30.0/24 pour les invités et 192.168.40.0/24 pour les serveurs. Chaque sous-réseau /24 peut accueillir jusqu’à 254 appareils utilisables, ce qui est largement suffisant dans la majorité des foyers.

Prévoyez des réservations DHCP pour les équipements importants. Un NAS peut recevoir l’adresse 192.168.40.10, Home Assistant 192.168.40.20 et une imprimante 192.168.10.30. Des adresses stables facilitent les règles de pare-feu, les favoris dans les applications et le diagnostic en cas de problème.

Créer les interfaces et les services DHCP

Dans l’interface d’administration de votre routeur, créez une interface VLAN pour chaque identifiant choisi. Attribuez ensuite une adresse de passerelle à chaque réseau, par exemple 192.168.10.1 pour le VLAN 10 et 192.168.20.1 pour le VLAN 20. Activez un serveur DHCP par VLAN afin que les appareils reçoivent automatiquement une adresse IP, une passerelle et des serveurs DNS adaptés.

Vous pouvez utiliser un DNS public, le DNS de votre fournisseur d’accès ou un résolveur local tel que Pi-hole ou AdGuard Home. Si vous utilisez un DNS local, réfléchissez à son emplacement : il peut être placé dans le VLAN serveurs, avec une règle autorisant les autres VLAN à le joindre sur le port 53. N’ouvrez pas inutilement l’accès à toute la machine ; limitez les règles au protocole, au port et aux réseaux réellement concernés.

Configurer le switch et le Wi-Fi

Reliez le routeur au switch via un port trunk autorisant les VLAN nécessaires. Sur le switch, affectez ensuite chaque port à son rôle. Un ordinateur personnel peut être branché sur un port access VLAN 10, une caméra filaire sur un port access VLAN 20 et le NAS sur un port access VLAN 40. Le port reliant une borne Wi-Fi devra généralement transporter les VLAN 10, 20 et 30 en trunk.

Dans la borne Wi-Fi, créez par exemple trois SSID : Maison-Prive associé au VLAN 10, Maison-IoT associé au VLAN 20 et Maison-Invites associé au VLAN 30. Utilisez des mots de passe distincts et robustes. Pour le réseau invité, activez l’option d’isolation des clients si elle est disponible : deux invités ne pourront alors pas communiquer directement entre eux, ce qui améliore la confidentialité.

1. Créez les VLAN et leurs sous-réseaux sur le routeur.
2. Activez le DHCP et définissez les passerelles de chaque VLAN.
3. Configurez le lien routeur-switch en trunk 802.1Q.
4. Attribuez les ports du switch aux VLAN appropriés.
5. Associez les SSID Wi-Fi aux VLAN correspondants.
6. Ajoutez les règles de pare-feu, puis testez réseau par réseau.

Quelles règles de sécurité appliquer entre les VLAN ?

Commencer par une politique de refus par défaut

Une segmentation n’a de valeur que si les règles inter-VLAN sont correctement définies. Autoriser tous les réseaux à communiquer entre eux annule presque tout l’intérêt des VLAN. La stratégie la plus sûre consiste à refuser les flux inter-VLAN par défaut, puis à créer des exceptions ciblées. Cela demande quelques tests, mais produit une architecture plus robuste et plus facile à auditer.

Le réseau invités doit être le plus restrictif : Internet oui, réseaux locaux non. Le VLAN IoT peut nécessiter Internet pour les mises à jour et les services cloud, mais il ne devrait pas pouvoir initier des connexions vers vos PC ou votre NAS. Le réseau principal peut souvent accéder aux autres réseaux pour administrer les équipements, mais il est préférable de n’autoriser que les services utiles.

Gérer les cas particuliers : Chromecast, AirPlay et imprimantes

Certains services domestiques reposent sur la découverte automatique, notamment mDNS, SSDP ou UPnP. C’est le cas de Chromecast, AirPlay, Sonos, certaines imprimantes réseau et de nombreux appareils domotiques. Ces protocoles fonctionnent naturellement dans un même VLAN, mais traversent mal les frontières réseau. Il ne faut pas répondre à ce problème en ouvrant tous les flux entre VLAN.

Préférez un relais mDNS ou un répéteur de découverte configuré avec précision sur votre routeur ou contrôleur réseau. Autorisez ensuite uniquement les ports nécessaires entre les réseaux. Par exemple, vos smartphones du VLAN principal peuvent avoir besoin de découvrir une enceinte située dans le VLAN IoT, sans que l’enceinte puisse scanner tous les appareils privés. Cette nuance est essentielle : l’objectif est de préserver le confort d’utilisation sans sacrifier la séparation.

Tester, documenter et maintenir la configuration

Après chaque modification, réalisez des tests concrets. Depuis le VLAN invités, vérifiez que vous avez accès à Internet mais pas à l’interface du routeur ni au NAS. Depuis le VLAN IoT, testez l’accès au DNS et aux services nécessaires, puis confirmez qu’un ordinateur personnel reste inaccessible. Depuis le VLAN principal, validez l’accès aux serveurs autorisés et aux appareils multimédias.

Conservez une copie de sauvegarde de la configuration du routeur, du switch et des bornes Wi-Fi. Documentez les VLAN, les sous-réseaux, les ports trunk et les exceptions de pare-feu. Cette discipline est précieuse six mois plus tard, lorsqu’il faut ajouter une caméra, remplacer une borne ou comprendre pourquoi une application ne détecte plus un appareil.

Enfin, n’oubliez pas les fondamentaux : mises à jour régulières, mots de passe uniques, désactivation de l’administration distante non nécessaire, chiffrement Wi-Fi WPA2-AES ou WPA3, et suppression des comptes inutilisés. Les VLAN constituent une couche de défense très efficace, mais ils ne remplacent ni les correctifs de sécurité ni une administration attentive.

Installer des VLAN à la maison demande un peu de préparation, mais le bénéfice est durable : votre réseau devient plus sûr, plus ordonné et plus facile à faire évoluer. La priorité consiste à isoler les catégories les plus exposées, en particulier les objets connectés et les appareils des invités. Même une segmentation simple en trois réseaux — principal, IoT et invités — améliore déjà nettement la maîtrise des accès.

Ne cherchez pas à concevoir une architecture parfaite dès le premier jour. Commencez avec un plan d’adressage clair, une politique de blocage raisonnable et quelques exceptions testées. Ajoutez ensuite un VLAN serveurs ou professionnel lorsque vos usages le justifient. En documentant les équipements et en sauvegardant vos configurations, vous éviterez que votre réseau ne devienne trop complexe. Les VLAN ne sont pas une solution magique, mais associés à des mises à jour régulières et à de bonnes pratiques de sécurité, ils constituent l’une des meilleures protections accessibles pour un foyer connecté.