VLAN maison : isoler caméras, alarme et domotique

La question revient dès qu’une maison compte des caméras IP, une centrale d’alarme connectée ou quelques objets domotiques : faut-il isoler tout cela du réseau principal ? Ma réponse est oui, et la segmentation en VLAN est la méthode recommandée par le dispositif national de cybermalveillance, pas une astuce de passionné.

Un VLAN (réseau local virtuel) découpe logiquement un réseau physique en zones isolées. Je conseille un plan à 4 VLAN : principal, invités, caméras et domotique, portés par un switch manageable 802.1Q installé dans le coffret de communication. Ce coffret, la NF C 15-100 l’impose déjà dans les logements neufs depuis 2016, avec ses socles RJ45 et son câblage en étoile.

Le piège à connaître d’emblée : le VLAN seul n’isole rien. Sur la plupart des équipements, le trafic inter-VLAN est ouvert par défaut, et il faut écrire des règles de pare-feu pour le bloquer. Je détaille ici ce que je pose, où je le pose, quelles règles j’écris, et ce que j’ai pu vérifier ou non dans mes sources.

Pourquoi isoler caméras, alarme et domotique

Le point de départ est officiel. La page « Sécurité des objets connectés (IoT) » de cybermalveillance.gouv.fr, mise à jour le 26 février 2026, qualifie les objets connectés d’« insuffisamment sécurisés » et de maillon faible de l’environnement numérique. Les caméras, les alarmes connectées et les objets domotiques y sont explicitement cités.

Un équipement compromis devient une porte d’entrée vers le reste du réseau. Si une caméra au firmware jamais mis à jour traîne sur le même réseau que vos ordinateurs et vos sauvegardes, un intrus qui la prend pour cible peut tenter de rejoindre le reste. La segmentation limite la propagation : chaque famille d’appareils vit dans sa propre zone, et le trafic entre zones se contrôle règle par règle.

La bonne pratique n° 9 de la page officielle le formule noir sur blanc : « Si vous en avez la possibilité, il est également recommandé d’utiliser ses objets connectés sur un réseau distinct (réseau privé virtuel ou VLAN) des autres équipements informatiques de votre environnement. » C’est une recommandation Recommandation Cybermalveillance.gouv.fr du dispositif national, pas une exigence réglementaire.

La segmentation rejoint la sécurisation globale du domicile, au même titre que la protection contre le cambriolage : on réduit les angles d’attaque avant qu’ils ne servent.

Le cadre officiel : une recommandation, pas une obligation

La NF C 15-100 impose le support, pas la topologie

Le réseau de communication d’un logement est normé. Selon les règles d’installation du coffret de communication publiées par IZI by EDF, toutes les arrivées courants faibles et courants forts convergent dans l’ETEL (gaine technique du logement), avec le coffret de communication placé sous le tableau et le disjoncteur d’abonné Obligation NF C 15-100 .

La composition minimale du coffret comprend un DTI (téléphonie), un bandeau de brassage d’au moins 4 socles RJ45 catégorie 6 blindée STP et un bornier de terre, le tout câblé en étoile. Le grade minimum réglementaire est le grade 2 : bande passante 250 MHz et débit maximal 1 Gbit/s. Le grade 3 monte à 10 Gbit/s pour 900 MHz. Chaque prise RJ45 se pose à côté d’une prise de courant, à une hauteur maximale de 1,30 m.

Deux points intéressent directement le projet VLAN. D’abord, le switch dans le coffret est possible et documenté, à condition de prévoir une prise de courant avec terre pour l’alimenter. Ensuite, ce réseau de communication est obligatoire dans les logements neufs depuis 2016. Legrand désigne cette partie sous l’appellation « NF C 15-100-11 » et confirme l’exigence d’un débit minimum de 1 Gbit/s.

Aucune source normative consultée ne mentionne le VLAN. C’est une déduction que j’assume : le VLAN est une segmentation logique de couche 2, hors du périmètre de la norme électrique, qui impose le support physique (RJ45 catégorie 6, coffret, étoile) et non la topologie réseau. Le VLAN n’est donc ni imposé ni interdit par la norme : c’est une recommandation de sécurité qui s’appuie sur un support déjà normé. J’ai consacré un article complet à ce que dit la norme sur le coffret de communication obligatoire.

La NF EN 50131-1 oblige l’alarme à transmettre

Pour l’alarme, la référence est la norme NF EN 50131-1, édition de mars 2007 en vigueur, indice C48-331-1, publiée par AFNOR Obligation NF EN 50131-1 . Elle remplace l’édition de juillet 1997 et se lit avec le guide UTE C 48-331-1. Elle couvre les systèmes installés dans les immeubles, avec liaisons filaires spécifiques, non spécifiques ou non filaires.

Son contenu normatif porte sur les grades de sécurité (chapitre 6), la notification (article 8.6) et les exigences de performance des systèmes de transmission d’alarme (tableau 6), avec l’alimentation de secours traitée au chapitre 9. La norme ne mentionne pas le VLAN, mais elle exige des performances de transmission.

J’en tire la conséquence pratique : la centrale d’alarme n’est pas un appareil à couper d’Internet. Elle est à isoler du LAN, pas du WAN. Si vous la placez sur un VLAN, il faut garantir la remontée vers le cloud ou la télésurveillance et conserver la liaison GSM. C’est le cas de figure que je détaille dans mon guide sur Ajax et Home Assistant.

Le plan à 4 VLAN

Le schéma que j’utilise reprend le plan documenté dans le guide de configuration UniFi de LazyAdmin, cohérent avec les usages courants. Quatre VLAN suffisent pour une maison, chacun avec un rôle précis :

Certains guides ajoutent un VLAN de gestion pour les interfaces des équipements réseau : je ne l’ai pas vérifié dans une source fiable, je ne le présente donc pas comme une étape obligatoire.

Les caméras sur le VLAN 30

Les caméras IP sont typiquement les appareils les plus exposés : firmwares à mises à jour aléatoires, accès cloud tiers. Je les regroupe sur un VLAN dédié avec le NVR, et je restreins le trafic sortant aux serveurs du fabricant ou de l’enregistreur. Le choix du support, PoE ou Wi-Fi, reste une décision séparée, que je traite dans mon article sur la caméra de surveillance PoE ou Wi-Fi.

L’alarme garde le WAN

La centrale d’alarme vit sur son propre VLAN avec accès WAN conservé pour le cloud, la télésurveillance et le GSM, et trafic inter-VLAN bloqué. C’est le point le plus contre-intuitif pour mes clients : on isole l’alarme du reste de la maison, pas d’Internet.

La domotique en quarantaine

Les objets domotiques sont « souvent insuffisamment sécurisés » selon la page officielle citée plus haut. Je les place en VLAN de quarantaine : WAN autorisé pour les mises à jour et les serveurs des fabricants, LAN interdit. Cela vaut pour les ampoules connectées, les modules, les prises intelligentes, tout ce qui compose une installation domotique moderne.

Les règles de pare-feu : le VLAN seul ne suffit pas

Le point pédagogique majeur, vérifié dans le guide UniFi : sur ces équipements, le trafic inter-VLAN est ouvert par défaut. La segmentation ne vaut que si l’on crée explicitement des règles de blocage.

• Règle 1 : bloquer tout trafic VLAN vers VLAN, en Drop, dans les deux sens.
• Règle 2 : autoriser le trafic initié depuis le réseau principal vers les VLAN caméras et domotique, en sens unique, pour l’accès à l’interface web d’une caméra ou la gestion.
• Règle 3 : activer l'isolation client dans les VLAN invités et IoT pour bloquer la communication intra-VLAN.

La règle 2 mérite une explication. Si vous coupez tout, vous ne pouvez plus ouvrir l’interface d’une caméra depuis votre ordinateur. En autorisant le sens unique principal vers caméras et domotique, vous gardez la gestion sans laisser les objets connectés initier quoi que ce soit vers votre réseau de confiance. C’est cette asymétrie qui fait la valeur de la segmentation.

Le matériel et où je le pose

Le switch manageable 802.1Q dans le coffret

Le point de départ physique de toute la segmentation est le switch manageable 802.1Q installé dans le coffret de communication. C’est une pose documentée par IZI by EDF : le switch se loge dans le coffret, avec une prise de courant avec terre à prévoir à côté pour l’alimenter. Le coffret est aussi le point de regroupement des départs RJ45 de l’étoile.

L’installateur électrique est donc légitime sur ce sujet : le support normé du réseau de communication, c’est lui qui le pose. Si le coffret ou les socles manquent, c’est d’abord un chantier de pose de prises Ethernet murales à prévoir avant toute segmentation.

Le routeur qui route et filtre

Le routage inter-VLAN et les règles de pare-feu sont assurés par le routeur. Les guides que j’ai consultés mentionnent des équipements comme la UniFi Dream Machine, pfSense, OPNsense ou MikroTik : je ne les ai pas vérifiés individuellement en fiche produit, je les cite donc comme des pistes documentées, pas comme des recommandations d’achat.

Je ne donne volontairement aucun prix dans cet article : je n’ai trouvé aucune source fiable pour les switchs manageables et les routeurs au moment de la recherche, et je préfère m’abstenir plutôt que d’avancer un ordre de grandeur non vérifié.

Les points d’accès multi-SSID

Un point d’accès Wi-Fi multi-SSID diffuse un réseau par VLAN : un SSID pour les invités, un pour la domotique, un pour le réseau principal. Les caméras, elles, se raccordent en filaire sur le switch, ce qui les stabilise et les garde sur le bon VLAN sans dépendre de la couverture Wi-Fi.

La baie de brassage

Sur les installations plus grandes, je regroupe switch, routeur et patch panels dans une baie de brassage, ce qui facilite le repérage des départs par VLAN et les interventions ultérieures.

Le cas des box opérateur

La Freebox dispose d’un mode Bridge documenté officiellement par l’assistance Free : le réglage redirige toute la connexion vers un seul appareil, « particulièrement utile si vous utilisez un routeur personnel ». Il se règle dans Freebox OS, dans Mode avancé puis Mode Réseau, option Bridge.

Le mode Bridge désactive Wi-Fi, UPnP, seedbox et partages : c’est le compromis documenté par Free. C’est le prix à payer pour confier le routage à un équipement qui sait faire des VLAN et des règles de pare-feu.

Pour la Livebox et la Bbox, je n’ai trouvé aucune page officielle confirmant une gestion de VLAN ou un mode bridge complet : je ne l’affirme donc pas. C’est un point à vérifier selon l’opérateur du client. De même, la création de VLAN directement dans Freebox OS n’a pas été confirmée par mes sources : à ce jour, le chemin documenté passe par le mode Bridge et un routeur dédié.

Les points d’attention avant de segmenter

La découverte de services locale

La domotique repose souvent sur la découverte locale de services : HomeKit, Chromecast, AirPlay et Home Assistant utilisent des protocoles comme mDNS ou UPnP. La segmentation casse ces fonctions ou impose une réflexion sur des exceptions ciblées. Je le signale comme un point d’attention de pratique courante : je n’ai pas trouvé de source écrite fiable qui le documente, et je préfère le dire plutôt que de l’affirmer.

Ne pas couper le WAN de l’alarme

Le piège classique : appliquer aux caméras le blocage « pas d’Internet » et l’étendre par erreur à la centrale d’alarme. La transmission d’alarme est une exigence de la NF EN 50131-1, et la centrale doit garder son accès WAN et sa liaison GSM. Chaque famille d’équipements reçoit sa propre règle, jamais la même.

Le VLAN n’est pas une fin en soi

Sans règles de pare-feu, le trafic inter-VLAN passe. La prestation complète, c’est switch + routeur + règles + vérification, pas un câblage. C’est le point que je répète avant chaque intervention, parce que c’est aussi le plus souvent négligé après coup.

Comment je procède en pratique

La mise en place suit toujours le même ordre, de la coupure du circuit à la vérification finale :

• Couper le circuit concerné au tableau et vérifier l’absence de tension avec un VAT.
• Contrôler le coffret : DTI, bandeau d’au moins 4 socles RJ45 catégorie 6 blindée, prise de courant avec terre pour le switch.
• Poser le switch manageable 802.1Q et le routeur, reprendre les départs de l’étoile existante.
• Créer les VLAN 10, 20, 30 et 40, avec un SSID dédié par VLAN sur les points d’accès.
• Écrire les règles : Drop bidirectionnel inter-VLAN, sens unique principal vers caméras et domotique, isolation client.
• Tester chaque famille : caméra visible depuis le principal, alarme reliée au WAN et au GSM, domotique à jour sans accès au LAN.

La vérification finale est le vrai travail : je passe en revue chaque équipement, je regarde si la découverte locale fonctionne encore, et j’ajuste les exceptions une par une. Pour les caméras de marques courantes comme Dahua ou les systèmes de contrôle d’accès, la segmentation ne change pas le branchement : elle change ce que l’équipement peut voir autour de lui.

FAQ