Aller au contenu

Réseau : VLANs, switch et WiFi

Décisions associées : ADR-0004, ADR-0010, ADR-0012.

Vue d'ensemble

Internet (5G) ── Box ── Giada nic1 (WAN)
                         │
                  ┌──── OPNsense (VM, Giada) ────┐
                  │ INFRA   10.0.1.1  non étiqueté│
                  │ TRUSTED 10.0.10.1 étiquette 10│
                  │ IOT     10.0.30.1 étiquette 30│  (à venir)
                  │ GUEST   10.0.50.1 étiquette 50│
                  │ GAMES   10.0.70.1 étiquette 70│ ── VM jeux (même pont vmbr0)
                  └──────────────┬────────────────┘
                     Giada nic0  │ trunk
                         ┌───────┴────────┐
                         │ Switch port 1  │  Netgear GS308Ev4
                         │        port 2  ├── injecteur PoE ── AP Cudy AP3000
                         │        port 3  ├── poste d'administration (INFRA)
                         └────────────────┘

Comment circule une trame

  1. Un appareil final n'envoie jamais d'étiquette : c'est le port d'accès (PVID) ou le SSID qui détermine son VLAN.
  2. Sur les liens partagés (trunks : switch ↔ Giada, switch ↔ AP, pont vmbr0), chaque trame porte une étiquette 802.1Q.
  3. Le switch commute par adresse MAC à l'intérieur d'un VLAN ; il ne lit jamais les adresses IP.
  4. Le passage d'un VLAN à un autre passe obligatoirement par OPNsense, qui applique les règles de l'interface d'entrée.

Le VLAN 70 n'est pas déclaré sur le switch : la VM de jeux et OPNsense partagent le pont virtuel vmbr0, et ce trafic ne sort jamais du Giada.

Ports du switch

Port Équipement VLAN 1 VLAN 10 VLAN 30 VLAN 50 PVID
1 Giada nic0 U T T T 1
2 AP (via injecteur PoE) U T T T 1
3 Poste d'administration (accès de secours) U — — — 1
4–8 Libres U — — — 1

SSID

SSID Bandes VLAN Isolation des clients
Principal 2,4 + 5 GHz 10 TRUSTED Non
Invités 2,4 GHz 50 GUEST Oui
IoT (à venir) 2,4 GHz 30 IOT Oui

DHCP (Dnsmasq sur OPNsense)

Interface Plage Remarque
INFRA aucune Adresses fixes uniquement
TRUSTED 10.0.10.100–.250
GUEST 10.0.50.100–.250
GAMES aucune Serveur en IP fixe

Dnsmasq ne sert que le DHCP : sa partie DNS écoute sur un port non standard (53053), Unbound garde le port 53.

Points de contrôle

  • Une interface OPNsense n'est active qu'après Apply : vérifier dans Interfaces → Overview (état réel), pas seulement dans la configuration.
  • Un appareil en 169.254.x.x a été associé mais n'a pas reçu de DHCP : remonter la chaîne SSID → switch → interface → Dnsmasq, avec tcpdump -ni vtnet0 -e 'vlan <n> and (port 67 or port 68)'.