Segmentation du réseau pour la vidéoprotection
Dans un collège, les caméras, les postes administratifs et l'accès Internet peuvent encore partager les mêmes commutateurs. Tant que tout fonctionne, cette organisation paraît simple. Lorsqu'une attaque, une mauvaise configuration ou une saturation survient, elle peut pourtant interrompre à la fois la bureautique, l'accès aux applications et l'enregistrement vidéo.
La segmentation du réseau apporte une réponse concrète. Elle ne consiste pas seulement à créer des VLAN pour satisfaire un schéma technique. Bien conçue, elle aide les équipes à maintenir les caméras, à diagnostiquer les incidents, à protéger les accès distants et à préserver la continuité d'exploitation. L’ANSSI définit la segmentation des systèmes d'information sensibles comme un cloisonnement en zones de confiance homogènes, complété par un filtrage précis des flux.
Table des matières
- Comprendre les risques d'un réseau de vidéoprotection non segmenté
- Définir les zones de confiance et les objectifs de la segmentation
- Choisir entre isolation logique et isolation physique
- Organiser les VLAN pour les cameras, NVR et accès d'administration
- Appliquer la QoS et la sécurité aux flux vidéo
- Concevoir des topologies adaptées à chaque site
- Éviter les erreurs qui fragilisent l'exploitation et la maintenance
- Installer une segmentation durable et vérifier son efficacité
Comprendre les risques d'un réseau de vidéoprotection non segmenté
Prenons le cas d'un établissement scolaire où le même commutateur relie les caméras IP, le NVR, les postes du secrétariat et les équipements utilisés par la direction. Une infection sur un poste administratif peut alors atteindre des ressources qui n'ont aucune raison de communiquer avec lui. Une panne du commutateur peut, elle aussi, supprimer simultanément l'accès aux applications et la vidéo en direct.
Les conséquences ne sont pas uniquement liées à une cyberattaque. Les flux vidéo compressés en H.265 occupent une partie constante de la capacité disponible, surtout lorsqu'un opérateur consulte plusieurs caméras ou qu'un NVR transfère des séquences. Sans séparation, la bande passante disponible pour les utilisateurs devient imprévisible, la latence varie selon la charge et les incidents sont difficiles à isoler.
Une attaque peut changer de cible
Une caméra exposée à des scans réseau ou à un identifiant compromis peut devenir un point d'entrée. L'attaquant cherche ensuite à se déplacer vers les postes, les serveurs de fichiers, les données RH ou les applications de facturation. Le CERT-FR rappelle que la segmentation interne réduit les possibilités de latéralisation et facilite la détection des actions malveillantes, notamment avec des mécanismes comme le VLAN privé et le filtrage.
Le même problème apparaît dans un hôpital, un entrepôt ou une copropriété. Les équipements vidéo ont des fonctions différentes des postes utilisateurs, mais un réseau plat les place dans un même espace de circulation. Une compromission initiale peut alors toucher des systèmes sans rapport avec la mission de surveillance.
La maintenance devient opaque
Un réseau non segmenté complique aussi le travail de l'installateur et de l'exploitant. Les journaux mélangent les connexions des caméras, les sessions bureautiques, les sauvegardes et les accès de maintenance. Il devient difficile de savoir si une perte d'image vient d'un câble, d'un NVR, d'un lien montant saturé ou d'un poste qui consomme trop de ressources.
Règle pratique : si l'équipe ne peut pas identifier rapidement quels équipements communiquent, elle ne peut pas contrôler efficacement les exceptions ni prioriser le dépannage.
La segmentation crée des frontières lisibles. Elle permet de vérifier séparément la disponibilité des caméras, la capacité d'enregistrement, les accès opérateurs et les connexions distantes. Le système devient donc plus sûr, mais aussi plus exploitable au quotidien.
Définir les zones de confiance et les objectifs de la segmentation
Une zone de confiance regroupe des équipements qui présentent un niveau de criticité comparable, les mêmes besoins de disponibilité et des flux connus. Cette définition évite une erreur fréquente, qui consiste à créer des zones uniquement selon l'emplacement physique des appareils. Deux équipements installés dans la même baie peuvent avoir des rôles et des droits très différents.
Pour un parc de vidéoprotection, quatre zones constituent une base de travail claire :
- Les caméras produisent les flux et reçoivent seulement les services nécessaires à leur fonctionnement.
- L'enregistrement regroupe les NVR et les ressources de stockage.
- L'administration accueille les postes opérateurs, les serveurs de supervision et les outils de configuration.
- Les accès distants contrôlent les connexions VPN, les clients mobiles ou les passerelles d'accès externe.
Le principe de moindre privilège s'applique entre ces zones. Une caméra doit pouvoir envoyer son flux vers le NVR autorisé, mais elle n'a pas besoin d'accéder à la bureautique. Un poste opérateur peut consulter une caméra et administrer le logiciel prévu, sans disposer d'un accès général aux interfaces de tous les équipements.
Relier les objectifs aux choix techniques
Chaque objectif doit produire une décision vérifiable. Limiter la propagation d'un incident implique de filtrer les communications entre zones. Préserver l'enregistrement impose de protéger les liens entre caméras et NVR contre les usages concurrents. Faciliter le diagnostic suppose une journalisation lisible et une documentation des chemins autorisés.
L'ANSSI indique que la segmentation peut être physique ou logique, par exemple avec des VLAN ou des VPN, et recommande de limiter strictement les interconnexions entre zones. Pour la vidéoprotection, ses recommandations vont plus loin en privilégiant, lorsque c'est possible, une isolation physique complète du réseau support des dispositifs plutôt qu'une simple séparation logique par VLAN. (Recommandations de l'ANSSI pour les systèmes de contrôle d'accès physique et de vidéoprotection)
| Zone | Équipements typiques | Niveau de confiance | Flux sortants autorisés |
|---|---|---|---|
| Caméras | Caméras IP, convertisseurs pour équipements analogiques | Limité, équipements exposés sur le terrain | Flux vidéo vers les NVR, synchronisation et supervision nécessaires |
| Enregistrement | NVR, stockage, serveur de restitution | Élevé, zone critique | Réception vidéo, accès d'administration autorisé, journalisation |
| Administration | Postes opérateurs, supervision | Contrôlé, accès humain | HTTPS vers les équipements autorisés, consultation et paramétrage |
| Accès distants | VPN, passerelles, clients mobiles | Très contrôlé | Connexions authentifiées vers les services explicitement publiés |
Cette cartographie sert aussi la conformité RGPD. Elle aide à démontrer qui peut consulter les images, depuis quelle zone et par quel chemin. Elle ne remplace pas les règles de conservation ni les procédures d'habilitation, mais elle fournit une base technique pour les appliquer.
Choisir entre isolation logique et isolation physique
Un VLAN sépare logiquement des équipements sur une infrastructure commune. Le commutateur associe les ports à des réseaux distincts, puis un pare-feu ou un routeur de niveau trois contrôle les communications entre eux. Cette solution facilite l'évolution d'un site, la supervision centralisée et l'ajout d'une caméra sans tirer une infrastructure entièrement nouvelle.
L'isolation physique va plus loin. Elle utilise des commutateurs dédiés, des chemins de câbles séparés, des baies contrôlées et, selon le site, des liaisons indépendantes entre bâtiments. Pour un système sensible, cette séparation réduit la dépendance à une erreur de configuration sur le réseau bureautique.
Le bon choix dépend du risque
| Critère | Isolation logique | Isolation physique |
|---|---|---|
| Évolution | Souple, les ports et règles peuvent être adaptés | Plus rigide, chaque extension peut nécessiter du matériel |
| Maintenance | Centralisée, mais dépendante de la qualité des configurations | Lisible sur le terrain, avec davantage d'équipements à maintenir |
| Coût | Généralement contenu si les commutateurs administrables existent déjà | Plus élevé en matériel, câblage et énergie |
| Robustesse | Bonne si le routage et les ACL sont correctement maîtrisés | Supérieure pour les infrastructures critiques ou les sites très contraints |
| Supervision | Unifiée avec les outils réseau existants | Nécessite parfois une supervision parallèle |
Le guide de l'ANSSI consacré à la vidéoprotection précise qu'une isolation physique complète, avec câblage et équipements de routage dédiés, est préférable à une isolation logique par VLAN lorsque le niveau de sécurité attendu l'exige. Un VLAN mal défini, un trunk trop ouvert ou une règle temporaire oubliée peut réduire fortement le cloisonnement prévu.
La combinaison des deux approches est souvent pertinente. Un installateur peut réserver une infrastructure physique à la dorsale vidéo, puis utiliser des VLAN pour séparer les caméras, les NVR et l'administration à l'intérieur de cette infrastructure. Le CT300, décrit comme une caméra bi spectrale, thermique et standard optique, peut ainsi être intégré dans une zone caméras dont les flux et les accès de gestion sont définis séparément.
Organiser les VLAN pour les cameras, NVR et accès d'administration
Un découpage efficace commence par les rôles, pas par le nombre de réseaux disponibles. Dans un petit bâtiment comme dans un site industriel, il faut d'abord isoler les équipements qui produisent la vidéo, ceux qui l'enregistrent et ceux qui permettent aux opérateurs de l'exploiter.
Une organisation courante peut prendre cette forme :
- VLAN caméras IP, avec un adressage privé stable et des ports d'accès limités aux équipements vidéo.
- VLAN enregistrement, réservé aux NVR et aux serveurs de stockage.
- VLAN administration, destiné aux postes opérateurs et aux serveurs de supervision.
- VLAN utilisateurs, conservé séparé, même si certains utilisateurs doivent consulter une application vidéo.
- Zone d'accès distant, positionnée derrière une passerelle ou un pare-feu, avec des sessions VPN contrôlées.
Le catalogue Vizeo peut être utilisé comme point de départ pour inventorier les équipements du projet, mais le plan de segmentation doit rester indépendant de la marque. Il doit décrire les fonctions, les flux et les responsabilités.
Construire le chemin des communications
Les liaisons entre commutateurs peuvent transporter plusieurs VLAN au moyen d'un trunk 802.1Q. Le routage inter-VLAN doit passer par un pare-feu ou un routeur de cœur de réseau configuré pour appliquer les règles. Il ne faut pas considérer le trunk comme une barrière. C'est un transport, pas un contrôle d'accès.
Les règles doivent partir d'une liste de flux documentée. Une caméra peut joindre le NVR qui l'enregistre pour transmettre son flux vidéo, tandis qu'un poste d'administration peut utiliser HTTPS vers l'interface autorisée. Les journaux peuvent être envoyés vers un serveur SYSLOG prévu à cet effet. Tout flux non documenté doit être refusé par défaut, puis examiné avant toute ouverture.
Point de contrôle : séparez le VLAN de management des VLAN de données. Une interface d'administration de commutateur ne doit pas être accessible depuis un poste ou une caméra simplement parce qu'ils partagent un équipement.
Le CA50HD est décrit comme une caméra tube Full Color, IR, PoE, varifocale de 4,5 à 8 mm motorisée. Quelle que soit la caméra retenue, son port doit être associé au réseau prévu, son adresse doit être enregistrée dans la documentation et son accès de gestion doit rester limité.
La sécurité des ports, la désactivation des interfaces inutilisées et la protection des trunks complètent ce découpage. Chaque modification doit être reportée dans le schéma, le registre des équipements et les règles de filtrage. Cette discipline évite qu'une exception d'exploitation devienne une porte permanente.
Appliquer la QoS et la sécurité aux flux vidéo
La QoS ne remplace pas la segmentation. Elle intervient lorsque plusieurs flux se disputent un même lien, par exemple entre un bâtiment et le cœur de réseau, ou entre un site distant et son centre de supervision. La segmentation indique qui peut communiquer. La QoS indique quel trafic doit être servi en priorité lorsque la capacité devient limitée.
Déployer par étapes contrôlées
Commencez par inventorier les flux réels. Identifiez les échanges entre caméras et NVR, les consultations opérateurs, la supervision, les mises à jour, la synchronisation horaire et les accès distants. Ensuite, appliquez les règles dans un environnement de test ou sur un périmètre limité, en prévoyant une procédure de retour arrière.
Le marquage DSCP peut distinguer les flux vidéo des flux de gestion. Les routeurs et commutateurs peuvent ensuite appliquer des files prioritaires ou des classes de service. Cette priorité doit être définie sur le chemin complet, y compris les liens montants et l'interface du NVR. Une QoS posée sur un seul commutateur ne corrige pas une saturation située plus loin.
| Type de flux | Marquage DSCP recommandé | Classe QoS | Règles de filtrage / sécurité |
|---|---|---|---|
| Caméra vers NVR | Selon la politique réseau de l'organisation | Flux vidéo prioritaire | Autoriser uniquement les NVR destinataires et les services nécessaires |
| Consultation opérateur | Selon la politique de temps réel retenue | Vidéo interactive | Autoriser les postes habilités vers les ressources prévues |
| Administration | Classe de gestion contrôlée | Gestion | Restreindre aux postes et serveurs d'administration |
| Journalisation | Classe de supervision | Service critique mais non prioritaire sur la vidéo | Autoriser les équipements vers le serveur de journaux |
| Mise à jour | Classe standard | Trafic différable | Autoriser depuis une source contrôlée, avec suivi des opérations |
Ne pas oublier le durcissement
Les ACL doivent limiter les communications inter-VLAN. Les services inutiles doivent être désactivés sur les caméras, les comptes doivent être individuels et les NVR doivent recevoir une attention particulière, car ils concentrent l'enregistrement et l'accès aux images. L'authentification 802.1X peut renforcer le contrôle des postes d'administration lorsque l'infrastructure le permet.
Le chiffrement des échanges d'administration et des tunnels VPN protège les accès distants, mais l'inspection et le chiffrement peuvent aussi solliciter les équipements. Il faut donc vérifier la capacité du pare-feu, la latence et la stabilité des flux avant généralisation.
Une supervision centralisée doit signaler les refus inhabituels, les conflits d'adresses, les changements de débit et les tentatives de connexion anormales. Les sauvegardes de configuration, les journaux et les tests de restauration complètent cette surveillance. La continuité de service se valide avec des essais réels, pas seulement avec une règle affichée dans la console.
Concevoir des topologies adaptées à chaque site
Dans une petite école ou une copropriété, la simplicité peut servir la sécurité. Un commutateur PoE administrable alimente les caméras sur un VLAN dédié. Un trunk relie ce commutateur à un routeur pare-feu, qui sépare le réseau vidéo du NVR et de la bureautique. Le NVR reste local, dans une baie ou un local contrôlé, tandis que l'accès extérieur passe par un VPN IPsec.
Cette architecture reste lisible pour l'exploitant. Le diagnostic commence par le lien entre le commutateur et le pare-feu, puis par le port de la caméra et enfin par le service d'enregistrement. La QoS se concentre sur le lien montant, là où les flux vidéo peuvent rencontrer les usages administratifs.
Un site multi-bâtiments demande une autre lecture
Dans un hôpital, une collectivité ou un entrepôt logistique, les caméras peuvent être réparties entre plusieurs ailes ou bâtiments. Le cœur de réseau peut alors assurer le routage de niveau trois, tandis que des commutateurs PoE desservent chaque zone. Une fibre entre bâtiments limite les perturbations liées au cuivre et facilite la séparation des liaisons critiques.
Les NVR centralisés doivent se trouver dans une salle sécurisée, avec des chemins réseau documentés. Les VLAN peuvent être étendus lorsque l'exploitation l'exige, mais le routage local réduit les trajets inutiles et permet d'appliquer les règles au plus près des équipements. Une liaison WAN ou un VPN site à site peut relier les implantations distantes, sans exposer directement les interfaces vidéo à Internet.
Le dimensionnement doit prendre en compte les liens montants, les chemins de secours et la capacité du pare-feu. Il faut aussi identifier les points de supervision, les alimentations PoE, les baies et les liaisons fibre. Pour préparer une architecture cohérente, une simulation de projet de vidéoprotection peut aider à structurer le besoin avant l'installation.
Choix d'exploitation : une topologie légèrement moins compacte, mais documentée et testable, vaut mieux qu'un réseau dense que personne ne sait dépanner.
Éviter les erreurs qui fragilisent l'exploitation et la maintenance
Créer un VLAN ne suffit pas. Sans ACL, le trafic peut encore circuler entre réseaux, et la séparation reste essentiellement déclarative. Un trunk qui transporte tous les réseaux vers des ports non contrôlés peut annuler le cloisonnement prévu.
Les erreurs les plus courantes sont faciles à reconnaître :
- QoS mal placée, appliquée sur un commutateur qui ne connaît pas le point de saturation, tandis que le lien vers le NVR reste encombré.
- Règle temporaire oubliée, ajoutée pour une maintenance distante puis conservée sans responsable ni date de revue.
- Adressage improvisé, avec des équipements vidéo mélangés aux postes bureautiques ou des doublons difficiles à repérer.
- Règles trop larges, notamment une autorisation générale entre zones au lieu de flux explicitement définis.
- Documentation incomplète, qui transforme chaque remplacement de caméra en enquête.
Un audit régulier des ACL, la journalisation des flux refusés et une revue des règles générales permettent de détecter ces dérives. Testez aussi la bande passante en charge et vérifiez les microcoupures côté NVR, plutôt que de conclure trop vite à une défaillance de caméra.
La maintenance distante mérite une attention particulière. Un accès mal limité peut exposer la confidentialité des images, même si le VLAN vidéo est correctement créé. Chaque exception doit donc avoir un motif, un périmètre, un propriétaire et une procédure de retrait.
Installer une segmentation durable et vérifier son efficacité
Une segmentation utile évolue avec le parc. Après chaque ajout de caméra, mettez à jour la cartographie, vérifiez le port du commutateur, contrôlez les règles inter-zones et confirmez que l'enregistrement fonctionne depuis le poste autorisé. La procédure doit aussi prévoir la sauvegarde de la configuration et le retour arrière.
La validation peut suivre une checklist simple :
- Flux, les communications nécessaires sont autorisées et les autres sont refusées.
- QoS, la priorité reste cohérente sur les liens montants et jusqu'au NVR.
- Supervision, les journaux, alertes et changements d'adresses sont visibles.
- Accès distants, les tunnels VPN et les habilitations sont contrôlés.
- Continuité, une panne de commutateur ou de lien fait l'objet d'un test documenté.
- RGPD, les accès aux images et les opérations de maintenance sont traçables.
- Évolutions, chaque mise à jour ou nouvelle interconnexion déclenche une revue.
Les recommandations publiques françaises présentent la segmentation comme un moyen de réduire la latéralisation, mais sa valeur dépend de cette gouvernance quotidienne. Les équipes peuvent s'appuyer sur la documentation d'aide Vizeo pour préparer l'exploitation et la mise en service, tout en conservant une documentation réseau propre à chaque site.
La segmentation devient réellement durable lorsque l'arrivée d'une nouvelle caméra suit une procédure connue, que les ACL ont un responsable et que les tests de continuité font partie de la maintenance courante.
Vizeo accompagne les collectivités, établissements scolaires, hôpitaux, entreprises et installateurs dans l'étude, le dimensionnement et la mise en service de systèmes de vidéoprotection intégrant caméras, NVR, supervision et accès distants. Visitez Vizeo pour préparer une architecture exploitable, documentée et adaptée aux contraintes de votre site.