VLANs in OpenWrt 21

Summary

Dans cette vidéo, l'auteur explique les changements apportés par OpenWrt 21 en matière de VLAN, en particulier l'introduction de l'architecture de commutateur distribuée (DSA) et du filtrage des VLANs sur le pont. Bien que les fonctionnalités VLAN n'aient pas changé par rapport à la version 19, l'interface utilisateur a évolué, rendant la configuration plus intuitive. L'auteur détaille également la configuration des VLANs pour différents réseaux (LAN, IOT, GUEST), l'extension du réseau Wi-Fi, et les mesures de sécurité pour un point d'accès. Il offre également des conseils pratiques pour optimiser la gestion des VLANs et éviter des risques de sécurité.

Takeaways

• 😀 OpenWrt 21 introduit l'architecture DSA (Distributed Switch Architecture), remplaçant l'ancienne méthode de configuration des VLANs avec swconfig.
• 😀 Les VLANs peuvent être explicitement définis comme des dispositifs VLAN 802.1Q sous l'onglet Réseau > Interfaces, ou implicitement en saisissant le nom du périphérique dans le champ personnalisé.
• 😀 La gestion des VLANs via des ponts est améliorée avec le filtrage VLAN sur le pont. Cela permet de mieux contrôler les VLANs associés aux ports du pont.
• 😀 Le processus de configuration des VLANs est simplifié, chaque port du switch étant représenté comme un périphérique réseau indépendant (par exemple, lan1, lan2).
• 😀 Il est important d'éviter d'utiliser les VLANs 0, 1 et 2, car ces VLANs sont réservés ou utilisés de manière spécifique sur certains équipements, ce qui pourrait poser des risques de sécurité.
• 😀 Sur un point d'accès secondaire, il est recommandé de désactiver le routage en définissant l'option ipv4 forwarding sur 0 pour empêcher le routage entre les VLANs.
• 😀 Supprimer les adresses IP des interfaces autres que celle connectée au LAN empêche le point d'accès de routage entre les VLANs, ce qui le rend invisible dans les autres réseaux.
• 😀 La fonction de filtrage VLAN sur le pont permet de spécifier quels VLANs sont autorisés ou interdits sur un port spécifique, en marquant les VLANs comme 'tagged' ou 'untagged'.
• 😀 Lors de la configuration des interfaces Wi-Fi, il est essentiel d'assigner chaque interface sans fil au VLAN approprié afin de maintenir une segmentation correcte du réseau.
• 😀 Les configurations OpenWrt sont sensibles à la manière dont les VLANs sont gérés, et l'activation du filtrage VLAN doit être correctement mise en œuvre pour éviter les problèmes de réseau ou de sécurité.

Q & A

Qu'est-ce qu'un VLAN et pourquoi est-il utilisé dans un réseau ?

Un VLAN (Virtual Local Area Network) permet de diviser un réseau physique en plusieurs réseaux logiques, permettant ainsi de segmenter le trafic réseau et d'améliorer la sécurité et la gestion du réseau.

Comment les VLANs sont-ils configurés dans OpenWrt Version 19 ?

Dans OpenWrt Version 19, les VLANs sont configurés via le menu 'Switch' dans l'interface d'administration, où les ports sont associés à des VLANs spécifiques en utilisant des paramètres 'tagged' ou 'untagged'.

Qu'est-ce que le Distributed Switch Architecture (DSA) introduit dans OpenWrt 21 ?

Le DSA dans OpenWrt 21 remplace l'ancienne méthode de configuration des VLANs, en montrant chaque port du switch comme un dispositif réseau distinct (ex : lan1, lan2, wan), ce qui facilite la gestion des VLANs et améliore la flexibilité de la configuration.

Quels sont les avantages du filtrage VLAN sur les ponts dans OpenWrt 21 ?

Le filtrage VLAN sur les ponts permet de définir les VLANs directement sur le pont réseau, créant des interfaces VLAN comme br-lan.3 et br-lan.4, ce qui offre une gestion plus simple et une isolation accrue des VLANs sur les différents ports.

Qu'est-ce que le PVID (Primary VLAN ID) et pourquoi est-il important dans la configuration des VLANs ?

Le PVID (Primary VLAN ID) est l'identifiant de VLAN par défaut attribué aux ports non étiquetés. Il est crucial pour définir à quel VLAN appartient le trafic non étiqueté, garantissant ainsi que chaque flux réseau soit correctement dirigé.

Comment attribuer un réseau Wi-Fi à un VLAN spécifique dans OpenWrt ?

Dans OpenWrt, les réseaux Wi-Fi peuvent être assignés à des VLANs spécifiques en configurant l'interface Wi-Fi pour utiliser le VLAN approprié. Cela permet d'isoler les réseaux sans fil comme un réseau invité ou IoT des autres VLANs.

Quels sont les risques de sécurité associés à l'utilisation des VLANs 0, 1 et 2 ?

Les VLANs 0, 1 et 2 sont souvent utilisés par défaut pour le réseau LAN et WAN, et peuvent présenter des risques de sécurité car ils sont codés en dur dans certains appareils, ce qui pourrait rendre le réseau vulnérable aux attaques ou aux erreurs de configuration.

Pourquoi est-il important de désactiver le routage IPv4 sur un point d'accès dans un réseau multi-VLAN ?

Désactiver le routage IPv4 sur un point d'accès empêche le trafic de passer entre les VLANs, réduisant ainsi les risques de communication non autorisée entre les réseaux et renforçant la sécurité du système.

Quels appareils ne supportent pas encore le DSA et pourquoi ?

Certains appareils, comme le routeur Archer C7, ne supportent pas encore le DSA car ils utilisent plusieurs cartes Ethernet (par exemple, eth0 et eth1), et le DSA ne permet pas encore d'assigner les ports de commutation à différentes interfaces réseau de manière flexible.

Que faut-il prendre en compte lors de l'installation de VLANs sur des dispositifs OpenWrt avec une architecture DSA ?

Lors de l'installation de VLANs sur des dispositifs avec DSA, il faut configurer les VLANs sous le 'Devices' tab et s'assurer que les ports du commutateur sont correctement étiquetés ou non étiquetés, en fonction de la configuration du réseau. De plus, il est important de garantir une isolation correcte des VLANs pour éviter tout échange de données non autorisé.