VLAN et réseau invité pour TPE : 7 raisons de cloisonner vos appareils avant qu'il soit trop tard (Digne / 04)

Ce qui se passe quand tout le monde est sur le même réseau

Imaginez une salle de réunion. Tout le monde est assis à la même table : vos salariés, un client qui attend, le technicien de la machine à café venu pour la maintenance, et une vieille imprimante Wi-Fi achetée en 2018 dont le firmware n'a jamais été mis à jour.

Sur un réseau plat — c'est-à-dire sans segmentation —, c'est exactement ce qui se passe côté informatique. Tous ces appareils peuvent potentiellement communiquer entre eux. Si l'un d'eux est compromis, il peut "voir" les autres, scanner leurs ports, tenter d'accéder à vos fichiers partagés ou intercepter du trafic.

En 2024, plus de 40 % des incidents de sécurité en PME démarrent par un appareil périphérique mal isolé — imprimante, thermostat connecté, téléphone d'un visiteur. Ce n'est pas une statistique abstraite : c'est le vecteur d'attaque le plus courant, et le plus souvent ignoré.

Lors de nos audits informatiques à Digne-les-Bains, c'est l'un des premiers points que nous vérifions. Et dans la grande majorité des cas, il n'y a aucune séparation entre le réseau de production et le reste.

Réseau invité et VLAN : deux outils, une même logique

Le principe est simple : faire en sorte que les appareils qui n'ont pas besoin de se parler ne puissent pas le faire. On crée des "compartiments" sur le réseau, comme des cloisons dans un open space.

Le réseau invité : la première ligne de défense

Le réseau invité est la fonctionnalité la plus accessible. Presque toutes les box professionnelles et les routeurs d'entrée de gamme la proposent. Activé, il crée un Wi-Fi séparé, isolé de votre réseau principal.

Concrètement : un client ou un visiteur qui se connecte à votre Wi-Fi "invité" accède à Internet, mais il ne peut pas voir vos serveurs, vos PC, votre NAS ou votre imprimante réseau. Il est dans une bulle.

C'est le minimum que toute TPE devrait activer. C'est rapide à mettre en place (moins de 10 minutes sur un routeur moderne), et ça couvre l'essentiel des risques liés aux visiteurs.

Le VLAN : aller plus loin dans la segmentation réseau

VLAN signifie "Virtual LAN", soit réseau local virtuel. Là où le réseau invité sépare les visiteurs de votre réseau principal, les VLANs permettent de découper ce réseau principal lui-même en plusieurs zones isolées.

Exemple concret pour une PME de 10 personnes à Digne :

• VLAN 10 — Production : les PC des salariés, le serveur de fichiers
• VLAN 20 — Imprimantes & IoT : les copieurs, les caméras IP, les équipements connectés
• VLAN 30 — Invités : les visiteurs, les prestataires externes
• VLAN 40 — Administration : les équipements réseau eux-mêmes (switch, NAS, routeur)

Chaque zone vit dans sa propre bulle. Un appareil compromis dans le VLAN IoT ne peut pas atteindre les PC du VLAN Production. C'est du cloisonnement réseau au sens strict.

Les 7 risques concrets si vous ne segmentez pas votre réseau

1. Un appareil infecté contamine tout le réseau

Un ransomware qui entre par un poste non protégé peut se propager latéralement sur tous les appareils accessibles. Sans VLAN, c'est l'ensemble du réseau qui est exposé en quelques minutes.

2. Un visiteur curieux peut scanner votre réseau

Avec un simple téléphone et une application gratuite, n'importe qui connecté à votre Wi-Fi peut lister tous les appareils présents sur votre réseau. Vos partages de fichiers, votre NAS, votre serveur : tout apparaît.

3. Une imprimante non patchée ouvre une porte dérobée

Les imprimantes réseau et les équipements IoT sont rarement mis à jour. Leurs failles de sécurité sont connues et documentées. Isolés dans un VLAN dédié, ils ne peuvent pas être utilisés comme point d'entrée vers le reste du réseau.

4. Un prestataire externe accède à plus que prévu

Vous donnez le mot de passe Wi-Fi à un prestataire pour qu'il accède à Internet. En réalité, vous lui donnez potentiellement accès à tout votre réseau interne. Un réseau invité ou un VLAN dédié résout ce problème.

5. La voix sur IP (VoIP) est perturbée par d'autres trafics

Les appels téléphoniques en VoIP sont sensibles à la latence. Sur un réseau commun saturé par des téléchargements ou des sauvegardes, la qualité d'appel se dégrade. Un VLAN VoIP dédié garantit la priorité à ce trafic.

6. Vous ne respectez peut-être pas le RGPD

Le RGPD impose de protéger l'accès aux données personnelles. Si votre réseau est ouvert et que n'importe quel appareil peut potentiellement accéder à votre base clients, vous êtes en défaut de sécurisation.

7. Un incident devient catastrophique au lieu d'être contenu

La différence entre un incident qui coûte une heure de travail et un incident qui paralyse l'entreprise pendant 3 jours, c'est souvent la segmentation. Un réseau cloisonné limite la propagation. Un réseau plat, lui, donne à l'attaquant un accès total.

Réseau invité : comment le configurer correctement

Activer le réseau invité ne suffit pas. Il faut le configurer correctement pour qu'il remplisse vraiment son rôle.

Les points à vérifier :

• Isolation client activée : les appareils connectés en invité ne doivent pas pouvoir se parler entre eux non plus
• SSID différent et mot de passe distinct : ne partagez pas votre réseau principal sous prétexte que c'est plus simple
• Limitation de bande passante : évitez qu'un invité sature votre connexion
• Pas d'accès au panneau d'administration du routeur : vérifiez que l'interface de gestion n'est accessible que depuis le réseau interne
• WPA2 ou WPA3 obligatoire : même pour les invités — un réseau ouvert est un réseau accessible à n'importe qui dans la rue

Si vous avez une box opérateur standard, ces réglages sont souvent disponibles mais pas activés par défaut. Consultez notre article sur comment sécuriser son Wi-Fi pour les bases.

VLAN TPE : jusqu'où aller selon votre taille ?

Moins de 5 postes

Un réseau invité bien configuré suffit dans la plupart des cas. Si vous avez des équipements IoT (caméras, imprimantes connectées), ajoutez-les sur un réseau séparé. Certains routeurs grand public permettent de le faire sans VLAN à proprement parler, via des fonctions de "segmentation" ou de "réseaux multiples".

Entre 5 et 20 postes

C'est ici que les VLANs apportent une vraie valeur. À cette taille, vous avez probablement un mix de postes salariés, d'équipements partagés (imprimante, NAS), et de besoins d'accès pour des prestataires ou clients. Un switch manageable et un point d'accès professionnel permettent de mettre en place 3-4 VLANs pour moins de 300-400 € de matériel.

C'est aussi à cette taille que le choix entre réseau filaire et Wi-Fi en entreprise devient stratégique : les VLANs fonctionnent sur les deux, mais leur configuration diffère.

Plus de 20 postes

À ce stade, la segmentation réseau devient un vrai projet d'infrastructure. Il faut un plan d'adressage cohérent, des règles de pare-feu inter-VLANs, et idéalement une supervision. C'est le moment de passer à une infogérance ou à un prestataire réseau dédié.

5 segments réseau à créer en priorité dans une TPE

Si vous démarrez un projet de segmentation réseau pour votre entreprise dans les Alpes-de-Haute-Provence, voici les 5 zones à créer en priorité, dans l'ordre :

1. Réseau de production (postes salariés) : le cœur, à protéger en priorité. Accès aux fichiers partagés, aux serveurs, aux applications métier.
2. Réseau IoT / imprimantes : tous les équipements qui ont une IP mais qui ne sont pas des PC ou des smartphones. Isolés, ils ne peuvent pas être utilisés comme rebond.
3. Réseau invités / prestataires : accès Internet uniquement, aucun accès au réseau interne.
4. Réseau VoIP : si vous utilisez la téléphonie IP, un VLAN dédié garantit la qualité des appels.
5. Réseau d'administration : accès à l'interface de gestion des équipements réseau, réservé à l'administrateur. Ce VLAN ne devrait jamais être accessible depuis les autres zones.

Quel matériel faut-il pour mettre en place des VLANs ?

Les VLANs nécessitent du matériel compatible. La bonne nouvelle : les prix ont beaucoup baissé ces dernières années.

• Un routeur/pare-feu gérant les VLANs : les solutions pfSense/OPNsense sur mini-PC (150-300 €), ou des marques comme Ubiquiti, Mikrotik, ou les gammes pro de Netgear, TP-Link Omada, ou Zyxel.
• Un switch manageable : indispensable pour distribuer les VLANs sur les ports filaires. Compter entre 80 et 200 € pour un switch 8-16 ports d'entrée de gamme professionnel.
• Des points d'accès Wi-Fi compatibles : capables de diffuser plusieurs SSID (un par VLAN Wi-Fi). Les solutions en point d'accès seul (Ubiquiti UniFi, TP-Link EAP, Zyxel NWA) sont plus adaptées que les box opérateur pour cette fonction.

À noter : les box opérateur standard (Livebox, Freebox, SFR Box) permettent généralement d'activer un réseau invité, mais ne gèrent pas les VLANs multiples de manière avancée. Pour aller plus loin, il faut passer à un équipement professionnel en remplacement ou en complément.

Mise en place : ce que ça implique concrètement

Beaucoup de dirigeants de TPE dans le 04 pensent que c'est un projet long et coûteux. Ce n'est pas forcément le cas.

Pour une petite structure, mettre en place un réseau invité + un VLAN IoT prend en général une demi-journée d'intervention si le matériel est déjà compatible. Pour une structure plus importante avec 3-4 VLANs, des règles de pare-feu et une documentation, comptez une à deux journées.

Les points clés à anticiper :

• Inventaire de tous les appareils présents sur le réseau (on en trouve toujours qu'on avait oubliés)
• Plan d'adressage IP : chaque VLAN aura son propre sous-réseau (ex : 192.168.10.0/24 pour la prod, 192.168.20.0/24 pour l'IoT…)
• Règles inter-VLANs : qu'est-ce qui peut communiquer avec quoi ? Une imprimante doit être accessible depuis la prod, mais pas l'inverse.
• Tests de validation : vérifier que chaque zone est bien isolée avant de considérer le projet terminé
• Documentation : noter ce qui a été fait pour pouvoir maintenir et faire évoluer

Sécuriser les postes de vos salariés est complémentaire à la segmentation réseau — les deux vont de pair. Si vous n'avez pas encore traité les 7 fondamentaux de sécurité des postes en TPE, c'est une lecture qui s'impose en parallèle.

Ce qu'on vérifie chez TECHNOTREMENT lors d'un audit réseau

Quand on intervient chez une TPE ou PME des Alpes-de-Haute-Provence pour auditer son réseau, voici ce qu'on regarde systématiquement :

• Y a-t-il un réseau invité actif et correctement configuré ?
• Les équipements IoT sont-ils sur le même réseau que les postes de travail ?
• Le mot de passe Wi-Fi est-il suffisamment complexe et changé régulièrement ?
• L'interface d'administration du routeur est-elle exposée sur le Wi-Fi ou depuis l'extérieur ?
• Le firmware des équipements réseau est-il à jour ?
• Y a-t-il des règles de pare-feu actives entre les zones ?
• Les logs réseau sont-ils activés et conservés ?

Dans environ 8 interventions sur 10 à Digne-les-Bains, au moins 3 de ces points présentent une faille. Ce n'est pas une critique : c'est simplement que ces réglages ne sont pas documentés, pas mis en avant par les opérateurs, et que personne n'a pris le temps de s'en occuper.

Notre service réseau Wi-Fi professionnels couvre l'ensemble de ces points : audit, mise en place de la segmentation, configuration des équipements, et documentation remise à la fin.

FAQ — Réseau invité et VLAN pour TPE

Mon réseau invité suffit-il ou ai-je vraiment besoin de VLANs ?

Si vous avez moins de 5 postes et peu d'équipements connectés, un réseau invité bien configuré couvre l'essentiel. Dès que vous avez des imprimantes réseau, des caméras IP, ou plus de 5-6 appareils, les VLANs apportent une isolation nettement supérieure. La règle simple : si vous ne savez pas exactement quels appareils se trouvent sur votre réseau, il est temps d'aller plus loin.

Est-ce que mes employés vont remarquer quelque chose quand on segmente le réseau ?

Non, si la mise en place est correcte. Vos salariés continuent de se connecter comme avant, d'accéder aux mêmes fichiers et aux mêmes applications. La différence est invisible au quotidien. Les seuls cas où ils pourraient remarquer quelque chose : si une imprimante ou un partage de fichiers change d'adresse IP pendant la migration — ce qui est anticipable et gérable.

Combien de temps faut-il pour mettre en place un réseau segmenté ?

Pour une TPE avec un réseau invité + un VLAN IoT : une demi-journée à une journée d'intervention si le matériel est compatible. Pour une structure avec 3-4 VLANs et des règles de pare-feu : une à deux journées. Le délai principal est souvent l'inventaire des appareils existants et la configuration des règles d'accès inter-VLANs.

Mon opérateur peut-il le faire à ma place ?

Les opérateurs grand public (Orange, SFR, Free…) proposent parfois une configuration de réseau invité basique. Pour des VLANs et une segmentation réseau complète, la réponse est presque toujours non — ce n'est pas leur métier, et les équipements qu'ils fournissent sont souvent insuffisants pour aller plus loin. Il faut un prestataire informatique qui maîtrise la configuration réseau professionnelle.

Que se passe-t-il si on se fait pirater même avec des VLANs ?

Les VLANs ne rendent pas l'attaque impossible, mais ils la contiennent. Si un poste du VLAN Production est compromis, l'attaquant reste confiné à cette zone — il ne peut pas atteindre les équipements du VLAN Administration ou les caméras du VLAN IoT. C'est la différence entre un incendie dans une pièce isolée et un incendie qui se propage à tout le bâtiment.