Runbook 06 : Ajouter un VLAN et son SSID

Objectif : créer un réseau isolé de bout en bout (OPNsense → switch → AP) et prouver son isolation. Références : architecture/reseau-vlans.md, ADR-0004, ADR-0012.

Un VLAN à la fois, testé avant de passer au suivant.

1. OPNsense

1. Interfaces → Devices → VLAN : parent vtnet0, étiquette, description.
2. Interfaces → Assignments : assigner, activer, IPv4 statique 10.0.<vlan>.1/24. Save, puis Apply changes.
3. ✅ Interfaces → Overview : l'interface apparaît, avec son VLAN et son adresse. (Les alias net / address existent dès le Save : ce n'est pas une preuve.)
4. Services → Dnsmasq → General : ajouter l'interface à la liste. DHCP ranges : plage .100–.250. Apply.
5. Règles de pare-feu : modèle de l'ADR-0004 (réseau de confiance : Pass any ; réseau isolé : DNS, Block RFC1918, Pass any).

2. Switch

VLAN créé, T sur les ports 1 (Giada) et 2 (AP), E ailleurs. Port d'un appareil filaire dans ce VLAN : U dans ce VLAN, retiré du VLAN 1, PVID = VLAN.

3. Point d'accès

SSID avec le VLAN, configuré sur chaque bande utilisée (ou sur une seule bande). Isolation selon l'ADR-0012.

Tests

Test	Attendu
Adresse obtenue	Dans la plage du VLAN (pas 169.254.x.x)
Internet	✅
Accès à INFRA (https://10.0.1.10:8006, http://10.0.1.3) depuis un réseau isolé	❌
Témoin : même test depuis TRUSTED	✅ (prouve que c'est le pare-feu qui bloque)
Deux clients d'un SSID isolé se pinguent	❌

Dépannage : 169.254.x.x

L'association WiFi fonctionne, le DHCP ne revient pas. Dans l'ordre : 1. SSID de la bande utilisée sans VLAN → client dans INFRA (sans DHCP). Le plus grave. 2. Interface OPNsense non appliquée (absente de l'Overview). 3. Interface absente de la liste Dnsmasq. 4. VLAN absent ou en U sur les ports 1/2 du switch.

tcpdump -ni vtnet0 -e 'vlan <n> and (port 67 or port 68)'

- Rien : AP ou switch. Discover sans Offer : OPNsense / Dnsmasq. Discover + Offer : retour vers l'AP.

Incidents rencontrés

Incident	Cause	Leçon
Plus d'internet pour tout le réseau après activation de Dnsmasq	Réglage réseau manuel resté sur le poste (alias de configuration de l'AP)	Nettoyer les réglages temporaires du poste après chaque opération
Poste en DHCP dans INFRA	Plage DHCP LAN créée par défaut par OPNsense, chevauchant une IP fixe	Vérifier les configurations par défaut ; INFRA sans DHCP
GUEST en 169.254.x.x	Interface enregistrée mais pas appliquée ; interface absente de Dnsmasq	Vérifier l'état réel, pas la configuration
Gestion de l'AP perdue en passant son port en Trunk (mode Basic)	Le mode Basic étiquette le VLAN 1 sur les trunks	Tester sur un port à faible risque ; mode Advanced