Pourquoi et comment isoler ses caméras IP dans un VLAN dédié

Pourquoi isoler ses caméras IP : les quatre risques d'un réseau plat

Isoler ses caméras IP dans un VLAN dédié consiste à créer un réseau logique distinct, avec son propre plan d'adressage, sur la même infrastructure physique de commutation. Concrètement, les caméras et l'enregistreur communiquent entre eux dans un espace fermé ; tout échange avec la bureautique, les serveurs ou Internet passe alors obligatoirement par un équipement de niveau 3 (pare-feu ou switch routeur) où l'on applique des règles explicites. Cette segmentation réseau de la vidéosurveillance répond à quatre problèmes bien identifiés : réduction de la surface d'attaque, blocage des déplacements latéraux, maîtrise de la charge réseau et conformité réglementaire.

Reprenons-les un par un, parce que chacun se traduit par des conséquences très concrètes.

1. Une caméra IP est un ordinateur, et un ordinateur mal tenu. Derrière l'objectif, il y a un système Linux embarqué qui expose un serveur web, un service RTSP, une pile ONVIF et souvent un protocole propriétaire (port 8000 chez Hikvision, 37777 chez Dahua). Ce système reçoit des correctifs bien moins souvent qu'un poste Windows, et personne ne s'en occupe entre deux interventions de maintenance. Sur un réseau plat, chacun de ces services est joignable depuis n'importe quelle prise du bâtiment.

2. Le déplacement latéral fonctionne dans les deux sens. C'est le point que les dirigeants sous-estiment le plus. Si un poste de travail est compromis par un rançongiciel, rien n'empêche l'attaquant d'atteindre le NVR sur le même sous-réseau et d'effacer les enregistrements — c'est-à-dire, précisément, les éléments de preuve. À l'inverse, une caméra vulnérable devient un point d'entrée discret vers le système d'information : les grandes campagnes de botnets des dernières années, à commencer par Mirai, ont largement prospéré sur des enregistreurs et des caméras laissés en configuration d'usine.

3. La charge réseau n'est pas anecdotique. Une caméra 4K en H.265 génère facilement 6 à 8 Mbit/s en flux continu. Douze caméras alimentant un enregistreur, cela représente près de 90 Mbit/s permanents qui traversent le même domaine de diffusion que les partages de fichiers. Ajoutez-y les découvertes ONVIF en multicast, les requêtes ARP et les annonces de service, et vous obtenez un bruit de fond constant que les utilisateurs finissent par ressentir.

4. La conformité impose un cloisonnement. L'article 32 du RGPD exige des mesures techniques appropriées pour protéger les données à caractère personnel — et des images de salariés ou de clients en sont. La CNIL demande que l'accès aux images soit strictement limité aux personnes habilitées. De son côté, l'ANSSI consacre un chapitre entier de ses recommandations sur la sécurisation des systèmes de contrôle d'accès physique et de vidéoprotection à l'architecture réseau, et le cloisonnement y figure parmi les principes structurants. Un réseau plat est difficilement défendable devant un auditeur.

Nous avons traité dans un précédent article les aspects de durcissement propres aux équipements — mots de passe, comptes, firmware, chiffrement des flux. Ici, nous descendons d'un cran : la couche réseau, celle sur laquelle repose tout le reste.

Concevoir son architecture : plan d'adressage et emplacement du NVR

Avant de toucher au moindre switch, il faut poser l'architecture sur le papier. Une segmentation improvisée en cours de chantier produit invariablement des flux oubliés et des dépannages nocturnes.

Choisir ses identifiants VLAN

La norme IEEE 802.1Q autorise 4 094 VLAN exploitables. Autant dire qu'il n'y a aucune raison de faire l'économie d'un identifiant. Voici le découpage que nous déployons par défaut sur un site tertiaire :

• VLAN 1 : laissé vide. Le VLAN par défaut ne doit jamais porter de trafic de production.
• VLAN 10 — Bureautique : 192.168.10.0/24
• VLAN 20 — Vidéosurveillance : 192.168.20.0/24
• VLAN 30 — Contrôle d'accès : 192.168.30.0/24 (lecteurs, UTL, centrale)
• VLAN 40 — Wi-Fi invité : 192.168.40.0/24
• VLAN 99 — Administration : 192.168.99.0/24 (interfaces de management des switches, du pare-feu, serveur NTP)
• VLAN 999 — Parking : non routé, sert de VLAN natif sur les liens trunk et de destination pour les ports inutilisés.

Un /24 offre 254 adresses utilisables, ce qui couvre l'immense majorité des installations. Au-delà de 250 caméras, on bascule sur un /23 ou l'on découpe par bâtiment (VLAN 21, 22, 23…) plutôt que d'étirer un unique sous-réseau.

Structurer l'intérieur du sous-réseau

Un plan d'adressage lisible fait gagner des heures en exploitation. Nous réservons systématiquement des plages par usage :

• .1 : passerelle (interface du pare-feu ou SVI du switch de niveau 3)
• .2 à .9 : infrastructure — NVR, serveur VMS, station de supervision
• .10 à .99 : caméras du bâtiment A
• .100 à .199 : caméras du bâtiment B ou extensions futures
• .200 à .250 : plage libre pour la maintenance et les tests

Sur le choix entre adressage statique et DHCP, notre position est pragmatique : DHCP avec réservation par adresse MAC. On conserve la stabilité de l'adressage fixe tout en centralisant la gestion, et le remplacement d'une caméra défectueuse se résume à mettre à jour une réservation. Il reste indispensable de documenter la correspondance entre numéro de prise, adresse MAC, adresse IP et emplacement physique de la caméra — un tableau que nous livrons avec chaque installation.

Où placer l'enregistreur ?

C'est la question qui détermine la simplicité de tout le reste. Trois configurations se rencontrent sur le terrain.

Le NVR entièrement dans le VLAN vidéosurveillance. C'est l'option que nous recommandons par défaut. L'enregistreur dialogue avec les caméras sans franchir de frontière, et l'accès des postes d'exploitation est ouvert par une règle unique sur le pare-feu. Un seul point de contrôle, un seul journal à consulter.

Le NVR à double interface réseau. Les gammes haut de gamme — Hikvision DS-9600NI-I8 et suivantes, Dahua NVR608 — embarquent deux ports RJ45. La tentation est grande de poser un pied dans chaque VLAN. C'est fonctionnel, mais l'enregistreur devient de fait un pont entre deux zones de sécurité : une compromission du NVR annule l'isolation. Si vous retenez cette architecture, désactivez impérativement le mode « multi-adresses avec routage » et vérifiez que l'équipement ne relaie aucun trafic entre ses deux interfaces.

Le NVR à ports PoE intégrés. Sur les modèles compacts, les ports PoE créent leur propre sous-réseau interne (typiquement 192.168.254.0/24) totalement séparé du LAN. C'est une forme d'isolation native, parfaite pour une boutique ou une maison, mais elle plafonne vite : nombre de ports figé, aucune possibilité de raccorder un switch déporté, budget PoE limité. Dès qu'un site dépasse huit ou seize caméras réparties sur plusieurs locaux techniques, on revient à des switches PoE managés externes.

Configurer le VLAN caméras : ports access, trunk et étiquetage 802.1Q

Passons à la mise en œuvre. La norme 802.1Q insère une étiquette de 4 octets dans la trame Ethernet, juste après l'adresse MAC source. Cette étiquette contient un champ VID de 12 bits qui porte l'identifiant du VLAN, ainsi qu'un champ PCP de 3 bits utilisé pour la priorisation de trafic. Tout repose sur une distinction simple entre deux types de ports.

• Port access (untagged) : le port appartient à un seul VLAN. Les trames sortent sans étiquette et les trames entrantes se voient attribuer le VLAN défini par le PVID du port. La caméra ignore totalement l'existence des VLAN — c'est le commutateur qui fait le travail.
• Port trunk (tagged) : le port transporte plusieurs VLAN simultanément, chaque trame portant son étiquette. On l'utilise entre deux switches, vers le pare-feu, ou vers un serveur VMS devant voir plusieurs zones.

Un exemple de configuration

Voici l'extrait type que nous appliquons sur un commutateur d'accès, en syntaxe Cisco IOS. La logique est transposable telle quelle sur les autres constructeurs.

vlan 20
 name VIDEOSURVEILLANCE
!
interface range GigabitEthernet1/0/1-16
 description Cameras IP - batiment A
 switchport mode access
 switchport access vlan 20
 switchport nonegotiate
 spanning-tree portfast
 spanning-tree bpduguard enable
 switchport port-security maximum 1
 switchport port-security violation restrict
!
interface GigabitEthernet1/0/48
 description Trunk vers pare-feu
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30,40,99

Trois lignes méritent qu'on s'y arrête. switchport trunk native vlan 999 déplace le VLAN natif vers un identifiant inutilisé : c'est la parade classique contre les attaques par double étiquetage, qui exploitent le fait que le trafic du VLAN natif circule sans tag sur un trunk. switchport trunk allowed vlan restreint explicitement les VLAN autorisés au lieu de tous les laisser passer. Enfin, bpduguard désactive automatiquement le port si un équipement se met à émettre des BPDU : une caméra n'a strictement aucune raison de participer au spanning tree, et cette configuration détecte immédiatement le branchement sauvage d'un switch domestique.

La fonction port-security limitée à une adresse MAC apporte une protection physique appréciable. Sur les sites où les caméras extérieures sont accessibles, elle empêche qu'on débranche une caméra pour brancher un ordinateur sur le câble — le port se verrouille et remonte une alerte.

Et sur un switch web-managé ?

Les commutateurs pilotés par interface web — TP-Link Omada, Netgear GS3xx, Zyxel, Ubiquiti UniFi — appliquent exactement la même norme, avec une présentation différente. On y trouve une table 802.1Q où chaque port est déclaré Untagged, Tagged ou Not member pour chaque VLAN, puis un réglage de PVID par port.

L'erreur la plus fréquente que nous corrigeons : déclarer les ports en Untagged dans le VLAN 20 sans modifier leur PVID, resté à 1. Le trafic entrant continue alors d'être classé dans le VLAN 1 et l'isolation ne fonctionne pas, alors que la table VLAN paraît correcte. Sur ces plateformes, le PVID se règle dans un menu séparé de l'appartenance VLAN — un piège d'ergonomie qui a coûté des heures à beaucoup d'installateurs.

Deux réglages complémentaires méritent d'être activés : IGMP snooping si vos caméras diffusent en multicast, pour éviter que ces flux ne soient inondés sur tous les ports, et la désactivation administrative de tous les ports non utilisés du switch.

Règles inter-VLAN, routage et retours d'installation

Créer le VLAN ne représente que la moitié du travail. Sans règles de filtrage, un routage inter-VLAN par défaut laisse tout circuler et l'on n'a fait que déplacer le problème.

Qui assure le routage ?

Deux approches coexistent. Le switch de niveau 3 avec interfaces SVI route à la vitesse du matériel, ce qui est confortable sur les gros volumes, mais son filtrage par ACL reste sans état et sa journalisation est pauvre. Le pare-feu en router-on-a-stick — une sous-interface étiquetée par VLAN sur un lien trunk unique — offre du filtrage à état, de la journalisation exploitable et de l'inspection applicative. Pour une PME, c'est le choix que nous privilégions dans la quasi-totalité des cas, avec des équipements comme Stormshield, Fortinet ou pfSense selon le budget et les compétences internes.

La matrice de flux : tout interdire, puis ouvrir

Le principe est celui du refus par défaut. On établit la liste des échanges légitimes, on les autorise nommément, et le reste tombe. Sur une installation type :

• Postes d'exploitation → NVR : TCP 443 pour l'interface web, plus le port du client lourd (8000 pour le SDK Hikvision, 37777/37778 pour Dahua), et TCP 554 si un client RTSP tiers est utilisé.
• NVR ↔ caméras : aucun besoin de règle, ces échanges restent internes au VLAN 20.
• Caméras → serveur NTP interne : UDP 123. À ne surtout pas oublier — l'horodatage conditionne la valeur probante des enregistrements.
• Caméras → VLAN bureautique : refusé sans exception.
• Caméras → Internet : refusé. Les mises à jour de firmware se font depuis le poste de maintenance, sur créneau planifié.
• VLAN administration → VLAN 20 : autorisé depuis les postes techniciens identifiés, et via VPN pour l'accès distant.

Un point technique mérite une décision explicite : les services P2P constructeur (Hik-Connect, Dahua DMSS) fonctionnent par connexion sortante vers les serveurs de la marque. Si vous bloquez les flux sortants du VLAN 20, ces applications cesseront de fonctionner. Ce n'est pas un bug, c'est le comportement attendu — un tunnel P2P contourne par construction la politique du pare-feu. Sur un site professionnel, nous recommandons de le désactiver et de passer par un accès VPN maîtrisé, WireGuard ou IPsec. Et dans tous les cas : jamais de redirection de port entrante vers un NVR ou une caméra, quelle que soit la solidité du mot de passe.

Cas client : une PME de 40 postes à Guyancourt

Revenons au site évoqué en introduction. Ce bureau d'études des Yvelines occupait un plateau de 40 postes, avec douze caméras Hikvision AcuSense et un enregistreur installés en 2019 par un prestataire généraliste. Tout — postes, serveur de fichiers, serveur comptable, imprimantes, caméras, NVR — cohabitait dans un unique 192.168.1.0/24 derrière un switch non administrable.

L'audit a mis en évidence quatre caméras encore en identifiants d'usine, un firmware jamais mis à jour depuis la pose, et surtout une redirection de port active sur la box vers le port 8000 du NVR, mise en place pour permettre au gérant de consulter les images depuis chez lui. Côté performances, les 90 Mbit/s de flux vidéo permanents expliquaient les lenteurs récurrentes signalées sur le partage de fichiers.

L'intervention s'est déroulée un samedi, en cinq heures : remplacement du switch par deux commutateurs PoE managés empilés, création des VLAN 10, 20 et 99, trunk vers un pare-feu neuf, réadressage des douze caméras en 192.168.20.x, écriture de la matrice de flux, suppression de la redirection de port et mise en place d'un accès VPN. L'enregistrement n'a été interrompu que vingt minutes, le temps de basculer l'enregistreur.

Le résultat tient en trois lignes : le réseau bureautique a été déchargé de la totalité du trafic vidéo, l'exposition directe sur Internet a disparu, et le poste comptable ne voit plus aucune caméra. Le gérant, lui, accède à ses images comme avant — simplement, il ouvre d'abord son client VPN.

Un second retour, à Vitrolles

Sur une plateforme logistique des Bouches-du-Rhône équipée de soixante caméras Dahua WizSense, la segmentation avait bien été réalisée par l'intégrateur précédent, mais l'IGMP snooping n'était pas activé sur les switches d'accès. Résultat : les flux multicast de prévisualisation étaient diffusés vers l'ensemble des ports du VLAN 20, saturant les liens d'agrégation aux heures de supervision. Une case à cocher a réglé le problème. La leçon vaut d'être retenue — un VLAN correctement créé mais mal réglé peut dégrader les performances qu'il était censé protéger.

Conclusion

Isoler ses caméras IP dans un VLAN dédié n'est ni un luxe ni une sophistication réservée aux grands comptes : c'est la manière normale de raccorder un système de vidéosurveillance sur un réseau d'entreprise. La démarche tient en quatre étapes — définir un plan d'adressage cohérent, configurer les ports access et les liens trunk en 802.1Q, écrire une matrice de flux en refus par défaut, et supprimer toute exposition directe sur Internet au profit d'un accès VPN. Le matériel nécessaire se limite à des commutateurs PoE managés et à un pare-feu capable de router entre VLAN, deux équipements dont le surcoût reste modeste au regard de l'ensemble d'une installation. Reste la partie la moins visible et la plus déterminante : la conception préalable et la documentation, qui séparent une segmentation qui tient dans le temps d'une configuration que plus personne n'ose toucher.

FAQ — Questions fréquentes sur le VLAN pour caméras IP