VLAN dans l'IoT industriel : séparer les flux et vérifier les chemins autorisés
Dernière mise à jour : il y a 6 jours
Un constructeur de machines peut vouloir donner à un poste de maintenance l'accès à une IHM sans placer l'automate et l'administration du routeur dans un même réseau plat. Les VLAN séparent le trafic Ethernet en domaines logiques de couche 2 sur des équipements de commutation partagés. Ils remplissent cette fonction, mais un numéro de VLAN ne définit pas à lui seul qui pourra joindre un appareil lorsque le routage est activé.
Le projet IEEE 802.1Q couvre le pontage VLAN. Sur un site industriel, il faut cartographier appareils et ports, attribuer les adresses et les flux autorisés, puis tester les accès permis comme les accès interdits.
Partir des appareils et des flux nécessaires
Listez automates, IHM, capteurs, postes d'ingénierie, liaisons montantes et administration du routeur. Notez quels appareils doivent échanger et lesquels ne le doivent pas. Le guide du chemin de données capteurs, automates et Modbus aide à distinguer les rôles avant de choisir une limite réseau.
Par exemple, attribuez le VLAN 10 aux automates, le VLAN 20 aux IHM et le VLAN 99 à l'administration. Utilisez des sous-réseaux séparés comme 192.168.10.0/24, 192.168.20.0/24 et 192.168.99.0/24 à titre d'illustration, pas comme valeurs par défaut Wavetel. Une IHM qui lit certains points de l'automate peut avoir besoin d'un chemin routé et filtré entre VLAN ; un poste d'ingénierie peut disposer d'un autre chemin pendant la maintenance.
Flux | Décision illustrative | Essai |
|---|---|---|
IHM vers automate | N'autoriser que la cible et le protocole nécessaires | Vérifier la fonction IHM, pas seulement le ping |
Maintenance vers IHM | Autoriser les personnes habilitées pendant la période nécessaire | Tester authentification et révocation |
Réseau utilisateur vers administration du routeur | Refuser sauf par le chemin d'administration approuvé | Vérifier qu'un utilisateur ordinaire n'ouvre pas l'interface |
Repérer les liaisons balisées et les ports non balisés
Un port d'accès transporte normalement du trafic non balisé, attribué à un VLAN par sa configuration. Une liaison montante balisée peut transporter plusieurs VLAN entre équipements configurés en conséquence. Consignez les identifiants de VLAN, rôles des ports et traitement du trafic non balisé aux deux extrémités ; les termes VLAN natif et PVID dépendent du matériel. Une incohérence peut placer un appareil dans le mauvais segment ou le rendre injoignable.
Vérifiez que le routeur industriel, le commutateur et les versions logicielles précis acceptent le fonctionnement 802.1Q et le nombre de VLAN souhaités.
Plusieurs prises Ethernet ne le prouvent pas. Si un automate ancien ne sait pas baliser les trames, reliez-le à un port d'accès non balisé configuré sur le bon VLAN.
VLAN et sous-réseau IP sont liés, mais distincts. Le VLAN crée un domaine de diffusion de couche 2 ; le sous-réseau décrit l'adressage et le routage IP. Un déploiement routé donne souvent un sous-réseau à chaque VLAN pour rendre passerelles et règles explicites. L'étiquette VLAN ne crée ni pare-feu ni route IP.
Contrôler les échanges entre segments
Si un routeur ou commutateur de couche 3 fait communiquer les VLAN, écrivez des règles précises selon source, destination, service et sens. Refusez le reste selon la politique du site. Le NIST SP 800-82 Rev. 3 donne le contexte OT pour la segmentation et les connexions contrôlées. Un VLAN d'administration n'est pas protégé par son seul numéro : limitez aussi les identifiants et services de gestion.
Certains outils de découverte d'automates utilisent la diffusion ou la multidiffusion de couche 2 et ne fonctionnent pas à travers un routage. Ce n'est pas une raison pour réunir tous les appareils dans un VLAN. Vérifiez si l'outil accepte une adresse IP saisie directement ou une méthode de relais documentée. Pour la maintenance distante, le guide d'accès aux automates et IHM explique pourquoi identité VPN et droits applicatifs restent nécessaires.
Recetter les chemins permis et interdits
Sauvegardez la configuration actuelle du commutateur et du routeur ; notez port, VLAN, sous-réseau et passerelle de chaque appareil.
Configurez ports d'accès et liaisons montantes balisées aux deux bouts. Testez un segment avant de passer au suivant.
Vérifiez dans l'application les échanges IHM-automate et d'ingénierie requis. Notez routes et règles utilisées.
Depuis un appareil censé être bloqué, essayez les mêmes cibles et l'administration. Un ping en échec ne suffit pas si le service réel demeure accessible.
Redémarrez le commutateur ou routeur dans une fenêtre autorisée et recommencez les tests clés. Gardez une procédure de retour arrière en cas de mauvais balisage, passerelle ou ACL.
Ne promettez pas une amélioration fixe de latence ou de sécurité à la suite d'un changement VLAN. Mesurez les flux, le comportement en panne et les opérations de support sur le site avant et après.
FAQ
Un VLAN est-il la même chose qu'un sous-réseau IP ?
Non. Le VLAN sépare le trafic de couche 2 ; le sous-réseau est une plage d'adresses IP. Un réseau routé utilise souvent un sous-réseau par VLAN, mais les concepts et leurs configurations diffèrent.
Le VLAN 99 protège-t-il automatiquement l'administration du routeur ?
Non. Il faut un chemin d'administration permis, des identifiants, des réglages des services de gestion et un filtrage entre VLAN. Testez depuis un segment utilisateur.
Un automate qui ne prend pas en charge les VLAN peut-il être utilisé ?
Souvent oui, par un port d'accès du commutateur qui affecte le VLAN. Vérifiez sa configuration et celle du routeur ; ne supposez pas que l'automate balise les trames.
Pourquoi la découverte de l'automate échoue-t-elle après segmentation ?
L'outil peut utiliser la diffusion ou la multidiffusion qui ne traverse pas la limite routée. Testez la connexion directe par IP ou une méthode constructeur documentée, puis n'autorisez que le trafic nécessaire.
