ADR-0010 : Switch en mode Advanced 802.1Q, comportement mesuré¶
- Statut : Acceptée — remplace ADR-0003
- Date : 2026-11-10
Contexte¶
Le Netgear GS308Ev4 propose plusieurs modes VLAN, dont Basic 802.1Q (ports Access ou Trunk) et Advanced 802.1Q (appartenance U/T/E explicite par VLAN et par port, PVID par port).
La configuration a d'abord été faite en mode Basic. Deux comportements y ont été observés par test :
- Les ports Access laissaient passer les trames étiquetées. Tous les ports étaient en Access VLAN 1, et le WiFi du VLAN 10 fonctionnait pourtant à travers le switch. Conséquence : un appareil branché sur n'importe quel port pouvait émettre des trames étiquetées et entrer dans un autre VLAN (VLAN hopping). L'isolation reposait uniquement sur le routeur.
- Un port Trunk n'envoyait plus le VLAN 1 sans étiquette. En passant le port du point d'accès en Trunk, sa gestion (non étiquetée, VLAN 1) est devenue injoignable. Le port du Giada n'a pas été modifié : le test sur un port à faible risque a évité une coupure de tout le réseau.
Par ailleurs, le firmware installé permet de choisir le VLAN de management, contrairement à ce que supposait ADR-0003.
Options envisagées¶
- Rester en mode Basic : isolation au niveau 2 non fiable, VLAN 1 inutilisable sur les trunks.
- Mode Advanced 802.1Q : chaque port n'accepte que les VLANs dont il est membre, avec un état U ou T explicite.
- Remplacer le switch immédiatement : prévu en v3 (CRS310), inutile si l'option 2 corrige le problème.
Décision¶
Option 2. Configuration :
| VLAN | Port 1 (Giada) | Port 2 (AP) | Ports 3 à 8 |
|---|---|---|---|
| 1 INFRA | U | U | U |
| 10 TRUSTED | T | T | — |
| 30 IOT | T | T | — |
| 50 GUEST | T | T | — |
PVID 1 sur tous les ports. VLAN de management : 1. Le VLAN 70 (GAMES) n'est pas déclaré sur le switch : ses trames ne quittent jamais le Giada.
Vérification¶
Test de saut de VLAN : depuis un poste branché sur un port Access VLAN 1, création d'une interface virtuelle étiquetée 10. Résultat : aucune adresse DHCP, aucune connectivité. Le switch rejette les trames étiquetées sur un port non membre. ✅
Conséquences¶
- Défense en profondeur : le switch isole au niveau 2, OPNsense filtre au niveau 3.
- Un VLAN n'est déclaré que sur les liens physiques qu'il emprunte.
- L'application de modifications VLAN peut afficher une erreur de communication dans l'interface web : vérifier après rechargement que la modification est enregistrée.
- À faire : VLAN « parking » (non routé, absent des trunks) sur les ports inutilisés, pour qu'un câble branché sur un port libre n'aboutisse à rien.
- À évaluer : déplacer le management vers un VLAN numéroté dédié, désormais possible.