Un VLAN de gestion de commutateur assis sur le même réseau plat que votre prise intelligente est l’une des erreurs de réseau domestique les plus courantes — et la plus exploitable. Une fois qu’un appareil IoT est compromis, ce compromis devient un mouvement latéral vers votre ordinateur portable professionnel, votre NAS et votre téléphone. Segmenter votre réseau domestique en VLAN (isoler le trafic IoT, les invités, le travail et la gestion) est la mise à niveau de sécurité la moins chère que vous puissiez vous offrir. Ces sept applications pour la segmentation VLAN du réseau domestique sur ordinateur de bureau sont la boîte à outils.

Les choix couvrent la pile routeur-pare-feu (où résident les règles), les outils de surveillance du réseau (afin que vous puissiez voir s’il fonctionne) et les outils de documentation (afin que vous vous souveniez de ce que vous avez fait).

Quoi rechercher dans un ensemble d’outils de segmentation VLAN

Comparaison rapide

ApplicationMeilleur pourPlan gratuitPrix de départPlates-formes
pfSense Community EditionRouteur/pare-feu open sourceOui, entièrementGratuitPC x86, virtuel
OPNsenseFork pfSense open sourceOui, entièrementGratuitPC x86, virtuel
UniFi NetworkMeilleure UX pour la configuration VLANOui (avec matériel)Logiciel gratuit, matériel varieClient Web/Mac/Win/Linux
OpenWrtRéutilisez les anciens routeurs grand publicOui, entièrementGratuitRouteurs compatibles
WiresharkCapture et analyse de paquetsOui, entièrementGratuitWin/Mac/Linux
TailscaleRelier les VLAN isolésOui (Personnel)Environ $5/utilisateur/mois (Premium)Win/Mac/Linux/iOS/Android
ZabbixSurveillance du trafic par VLANOui (open source)GratuitServeur Linux
NetBoxDocumenter les allocations IP/VLANOui (open source)GratuitServeur Linux

Les applications

1. pfSense Community Edition, la base

pfSense Community Edition est le routeur/pare-feu open source basé sur FreeBSD qui exécute la plupart des réseaux domestiques qui méritent d’être mentionnés. La version CE est gratuite, riche en fonctionnalités et a VLAN partout : interfaces étiquetées, règles de pare-feu par VLAN, étendues DHCP par VLAN, DNS par VLAN.

L’assistant de configuration vous guide à travers le premier VLAN proprement. L’interface Web est obsolète mais chaque fonction dont vous avez besoin est là. Les appliances commerciales maintenues par Netgate commencent autour de $200, mais la plupart des utilisateurs domestiques exécutent pfSense sur un mini-PC Protectli ou un PC d’affaires récupéré.

Où ça fait défaut : L’interface est de 2014 et ça se voit. L’écosystème de paquets se rétrécit par rapport à OPNsense. Les récents changements de licence de Netgate autour de CE ont rendu certains membres de la communauté nerveux.

Tarification :

Plates-formes : PC x86, machines virtuelles, appliances Netgate.

Télécharger : pfSense Community Edition sur pfsense.org

Résumé : Choisissez ceci si vous voulez le routeur/pare-feu domestique le plus éprouvé et que vous pouvez tolérer une interface d’ère 2014.

2. OPNsense, le fork moderne

OPNsense s’est ramifiée de pfSense en 2015 et l’écart s’est creusé depuis. L’interface est plus propre, le rythme de sortie est plus rapide et l’écosystème des paquets surpasse maintenant pfSense. La configuration VLAN est le domaine où OPNsense mène plus clairement : l’assistant d’interface et de règles est l’un des plus propres de tout routeur/pare-feu.

Le système de plugins rend l’ajout de fonctionnalités (Wazuh, CrowdSec, Wireguard, AdGuard) presque trivial. La Business Edition de Deciso ajoute GeoIP et d’autres fonctionnalités d’entreprise, mais la Community Edition a tout ce dont un utilisateur domestique a besoin.

Où ça fait défaut : Certains paquets pfSense n’ont pas d’équivalents OPNsense. La réactivité de l’interface Web peut être à la traîne sur du matériel bas de gamme (moins de 2 Go de RAM). La documentation est moins détaillée que pfSense.

Tarification :

Plates-formes : PC x86, machines virtuelles, appliances Deciso.

Télécharger : OPNsense sur opnsense.org

Résumé : Choisissez ceci si vous voulez l’UX de configuration VLAN le plus propre dans l’espace du routeur open source.

3. UniFi Network, la meilleure UX

UniFi Network est la gestion Web et application d’Ubiquiti pour leur matériel. Si vous achetez une passerelle UniFi et des commutateurs, la configuration VLAN est pointer-cliquer dans l’interface Web : créer un réseau, choisir un ID de VLAN, attacher des points d’accès, faire glisser les règles. La vue Site Manager vous montre quels appareils se trouvent sur quel VLAN en un coup d’œil.

Le hic est le verrouillage du matériel. UniFi Network fonctionne uniquement avec le matériel UniFi. Une configuration de démarrage (Dream Machine + quelques commutateurs et AP) coûte entre 600 et 1000 dollars. Au sein de cet écosystème, l’expérience est la meilleure dans l’espace des réseaux domestiques.

Où ça fait défaut : Verrouillage du matériel. Le logiciel a des pannes périodiques lorsque le cycle de mise à jour d’Ubiquiti libère des bogues. Les règles de pare-feu avancées nécessitent l’interface de ligne de commande, que la plupart des utilisateurs ne toucheront pas.

Tarification :

Plates-formes : Matériel UniFi requis. L’interface de gestion est basée sur un navigateur et dispose également d’applications Win/Mac/Linux/iOS/Android.

Télécharger : UniFi Network sur ui.com

Résumé : Choisissez ceci si vous voulez la meilleure UX de réseau domestique et que vous n’avez pas peur du coût du matériel.

4. OpenWrt, réutilisez les anciens routeurs

OpenWrt flash sur les routeurs grand public et les transforme en boîtes Linux avec VLAN partout. Si vous avez un Archer TP-Link ou un Linksys WRT inutilisé, OpenWrt peut lui donner une deuxième vie en tant que commutateur compatible VLAN pour un segment de laboratoire isolé.

L’interface Web LuCI gère la configuration VLAN proprement. La liste des routeurs pris en charge par la communauté est énorme. L’inconvénient est que le flashing n’est pas toujours trivial — certains routeurs peuvent être briquetés en cas de flash incorrect et tous les matériels grand public ne prennent pas en charge OpenWrt du tout.

Où ça fait défaut : La compatibilité du matériel est aléatoire. Le processus de flashing peut briquer un routeur pour une mauvaise séquence. Le CPU et la RAM des routeurs grand public plus anciens limitent les fonctionnalités que vous pouvez exécuter.

Tarification :

Plates-formes : Routeurs compatibles (vérifiez openwrt.org/toh).

Télécharger : OpenWrt sur openwrt.org

Résumé : Choisissez ceci si vous avez un ancien routeur qui prend en charge OpenWrt et que vous voulez le réutiliser en tant que pont compatible VLAN.

5. Wireshark, capture de paquets

Wireshark est l’analyseur de paquets qui vous dit si votre segmentation VLAN fonctionne réellement. Configurez un port miroir sur votre commutateur géré, pointez Wireshark vers celui-ci et vérifiez que le trafic VLAN ne s’échappe pas entre les segments. C’est l’étape « faire confiance mais vérifier » que la plupart des utilisateurs domestiques ignorent.

Les versions 4.x ont amélioré la couverture du décodeur pour les protocoles modernes (HTTP/3, Tailscale, WireGuard) et la nouvelle vue Conversations rend la comptabilité du trafic par VLAN beaucoup plus facile.

Où ça fait défaut : La courbe d’apprentissage est réelle. Wireshark est l’outil pour les personnes qui savent ce qu’elles cherchent ; les nouveaux utilisateurs peuvent passer une heure sans trouver ce dont ils ont besoin.

Tarification :

Plates-formes : Windows, macOS, Linux.

Télécharger : Wireshark sur wireshark.org

Résumé : Choisissez ceci pour l’étape de vérification « ma segmentation VLAN a-t-elle réellement fonctionné ? ». Chaque réseau domestique avec des VLAN en bénéficie.

6. Tailscale, relier les VLAN isolés

Tailscale résout le problème « J’ai segmenté mon IoT dans un VLAN qui ne peut pas atteindre Internet, mais maintenant mon Home Assistant sur mon réseau principal ne peut pas atteindre l’appareil ». Le VPN maillé de Tailscale donne à chaque appareil une adresse IP stable entre les VLAN et Internet, de sorte que vous pouvez acheminer du trafic spécifique entre votre segmentation sans le perdre.

La fonctionnalité MagicDNS vous permet d’accéder à homeassistant.tail-scale.ts.net de n’importe où, sur n’importe quel appareil, sans créer de trous dans votre pare-feu. Les récentes améliorations ACL ont ajouté des règles VLAN conscientes par appareil, qui étaient auparavant CLI uniquement.

Où ça fait défaut : Le niveau gratuit est généreux mais limité à 100 appareils, qu’une maison intelligente peut atteindre. Certains routeurs (en particulier de niveau entreprise) ont besoin d’une configuration supplémentaire pour autoriser UDP Tailscale. Le forfait gratuit prend en charge un propriétaire Tailnet, ce qui est bien pour une utilisation personnelle mais limite les configurations familiales.

Tarification :

Plates-formes : Windows, macOS, Linux, iOS, Android, plus support de système d’exploitation du routeur.

Télécharger : Tailscale sur tailscale.com

Résumé : Choisissez ceci pour relier l’accès entre VLAN sans affaiblir vos règles de pare-feu.

7. Zabbix, surveillance par VLAN

Zabbix surveille les interfaces réseau, y compris les sous-interfaces VLAN individuelles, avec une résolution par seconde. Une fois que vous avez la segmentation VLAN, Zabbix vous dit ce qui circule réellement à travers chaque segment afin que vous puissiez détecter du trafic latéral inhabituel ou un appareil bruyant.

Les versions 7.x ont ajouté une interface Web plus propre et des tableaux de bord améliorés. Zabbix Agent s’exécute sur Windows, macOS et Linux, vous pouvez donc surveiller les appareils sur chaque VLAN directement. Le sondage SNMPv3 par rapport à votre routeur ou vos commutateurs vous donne des statistiques de trafic par VLAN.

Où ça fait défaut : La configuration initiale est lourde — vous avez besoin d’un serveur Linux (ou d’un conteneur), d’une base de données et d’une heure de travail de configuration. L’interface a une courbe d’apprentissage.

Tarification :

Plates-formes : Serveur Linux (avec agents Windows/Mac/Linux optionnels).

Télécharger : Zabbix sur zabbix.com

Résumé : Choisissez ceci si vous voulez une visibilité à long terme des modèles de trafic par VLAN et que vous avez une boîte Linux pour l’exécuter.

8. NetBox, documenter les allocations VLAN

NetBox est l’outil IPAM (gestion des adresses IP) et DCIM (gestion de l’infrastructure du centre de données) utilisé par les fournisseurs de services. Six mois après avoir configuré VLAN 20 pour « ordinateurs portables de bureau », vous aurez oublié quels ports du commutateur sont étiquetés, quelle est l’adresse IP de la passerelle et quelle étendue DHCP la sert. NetBox résout cela.

L’importation CSV vous permet de charger en masse les réseaux existants. La vue des graphiques montre le chevauchement et les conflits d’allocation VLAN. Le système Custom Fields vous permet d’étiqueter un VLAN avec des notes comme « renumérote quand je déplace le commutateur IoT ».

Où ça fait défaut : Excessif pour un réseau domestique avec un seul VLAN. La configuration est la plus lourde de cette liste — Postgres, Redis, Python, un serveur Web. L’interface priorise la précision par rapport à la vitesse.

Tarification :

Plates-formes : Serveur Linux (Docker Compose fonctionne bien).

Télécharger : NetBox sur netbox.dev

Résumé : Choisissez ceci si vous avez configuré quatre VLAN ou plus et que vous voulez que la documentation reste honnête.

Comment choisir le bon

Pour une configuration domestique de base avec deux ou trois VLAN : OPNsense + commutateur géré + Wireshark pour la vérification. L’interface OPNsense vous guide à travers la configuration VLAN ; Wireshark la vérifie.

Pour un foyer UniFi existant : UniFi Network pour la couche routage/pare-feu, plus Wireshark pour la vérification. UniFi gère le reste.

Pour une configuration avec d’anciens routeurs grand public que vous souhaitez réutiliser : OpenWrt sur les routeurs secondaires, face OPNsense ou pfSense sur Protectli à la limite.

Pour la discipline de documentation : NetBox. Même pour trois VLAN, cela en vaut la peine après six mois.

Pour l’accès entre VLAN sans affaiblir votre pare-feu : Tailscale. C’est le moyen le plus propre d’atteindre un appareil isolé à partir de votre téléphone.

FAQ

Ai-je besoin de VLAN sur mon réseau domestique ?

Si vous avez des appareils IoT (prises intelligentes, caméras, sonnettes, assistants vocaux) et que vous avez également un ordinateur portable professionnel ou un NAS, oui. L’IoT compromis est le point d’entrée le plus courant pour les attaques de réseau domestique, et un réseau plat transforme un mauvais appareil en risque de mouvement latéral.

Puis-je faire des VLAN sans acheter un nouveau routeur ?

Si votre routeur existant est compatible avec OpenWrt, oui. Sinon, prévoyez de remplacer le routeur (avec pfSense/OPNsense sur un mini-PC ou avec du matériel UniFi) ou d’ajouter un routeur compatible VLAN séparé entre le routeur existant et le reste du réseau.

OPNsense ou pfSense est-il meilleur pour un usage domestique ?

OPNsense pour les nouvelles configurations en 2026. L’interface est plus propre, le rythme de sortie est plus rapide et l’écosystème de plugins est plus grand. pfSense est toujours excellent et dispose de plus de documentation, donc si vous trouvez les tutoriels pfSense plus faciles à suivre, c’est une raison valable de le choisir.

Quel est le moyen le moins cher d’obtenir une segmentation VLAN ?

Flash un routeur compatible OpenWrt (un TP-Link Archer C7 d’occasion coûte environ 40 $ d’occasion) et associez-le à un commutateur géré TP-Link TL-SG108E (environ 30 $). Total moins de 70 $. Pas aussi propre que OPNsense + Protectli + commutateurs UniFi, mais ça marche.

Ai-je besoin d’un commutateur intelligent pour que les VLAN fonctionnent ?

Oui. Les balises VLAN ont besoin de commutateurs qui respectent 802.1Q. Les commutateurs non gérés suppriment les balises et cassent la segmentation. TP-Link TL-SG108E et Netgear GS308E sont les options les moins chères et les plus fiables en moins de 40 $.