Reprise du message précédent :
Remigio, pour simplifier les VLAN, dis toi que un vlan c'est comme un switch distinct.  
Si tu utilises 3 vlans, c'est comme si tu avais 3 switches posés devant toi, isolés les uns des autres, et pas reliés entre eux.  
Les machines dans le vlan 1 ne communiquent pas directement avec celles du vlan 2, ni celles du vlan 3, etc.  
 
Dans chaque vlan, par simplicité, on utilise habituellement une plage d'IP différentes. Exemple :  
vlan 1 : 192.168.1.0/24  
vlan 2 : 192.168.2.0/24  
vlan 3 : 192.168.3.0/24  
 
Du coup il faut que ton USG ait une "patte" dans chaque plage d'IP pour relier tout ce petit monde :  
- soit tu mets un port ethernet de l'USG avec une IP dans chaque vlan, c'est le plus propre mais tu vas vite manquer de ports sur l'USG  
- soit tu configures plusieurs sous-interfaces vlan sur le même port ethernet physique, ça s'appelle "router-on-a-stick"  
 
C'est pas ouf mais c'est loin d'être simple pour débuter en réseau. On dit souvent "KISS : Keep It Simple (not Stupid)"  
Partons du besoin : pourquoi tu veux séparer en 2 ton réseau ?  
 
Concernant le débit : la limite sera plutôt au niveau des interfaces. En utilisant un switch réseau, le débit n'est pas partagé par tout le monde (style comme en wifi) mais chaque port ethernet physique possède son débit (1Gbps pour chaque machine connectée).  
Faire un router-on-a-stick ça crée aussi un goulot d'étranglement à 1Gbps pour relier tes vlans entre eux mais c'est pas le plus dérangeant suivant les cas, surtout si c'est pour quelques caméras (débit faible).

En fait, je suis toujours pas passé aux firmware v2 sur mon ER-X, l'accélération matériel a été rajouté depuis? (ca fait quand même 16 mois que ce v2 est sorti...)

edit:
Ah oui, depuis la v2.08 de décembre dernier

ptibeur
 
Pas de besoin spécifique c'était plutôt à des fins pédagogiques.
J'ai abandonné l'idée de 2 réseaux avec une DMZ. Je voudrais tout de même un wifi guest.
 
Pour le débit, le switch est de toute manière un goulot d'étranglement ? même si chaque port supporte 1Gb, le port qui relie au routeur est de toute manière en 1Gb ? (sauf à relier en SFP ?)
Je n'ai pas besoin de tout ce débit, c'est juste pour comprendre.

Oui, tous tes ports sont 1Gb.

Et c'est du SFP+ qu'il te faut pour faire du 10Gb

Je crois que le goulot d'étranglement évoqué c'était sur les premiers USG et ER-X où il y avait un seul lien 1Gb entre le CPU du routeur et tous les ports LAN. Ce qui faisait que le traffic routé entre 1 LAN et 1 autre était bridé a ~500Mbit/s

Je me posais une question liée aux VLANs aussi ^^ J'ai parcouru quelques dizaines de pages du topic, mais toujours pas bien clair pour moi
 
Pour aménager le réseau interne à la maison, j'envisage de partir sur un switch 8 port unifi + un point d'accès wifi mural. Je souhaiterais mettre en place quelques VLANs pour segmenter un peu le réseau (IoT, principal, wifi invité). Et j'aimerais (par exemple) pouvoir depuis le réseau principal accéder aux périphériques IoT, mais bloquer les connexions dans l'autre sens. Quelque chose qui ressemble à https://cdn.arstechnica.net/wp-cont [...] -vlans.png
 
C'est la partie communication inter-vlan qui n'est pas très clair pour moi, est-ce que pour faire ça un USG est indispensable ? Si oui, est-ce que ça veut dire qu'une grande partie du traffic réseau devra remonter à l'USG pour être filtré/distribué, avant de repartir vers le bon périphérique ? Et quel est l'impact de tout ça sur les perfs ? J'aimerais ne pas tuer les perfs de la connexion fibre, et ne pas non plus tuer le débit vers mon NAS et entre les divers PC.

Ya ça oui mais surtout sur le design : en faisant un router-on-a-stick tu brides l'interconnection entre tes vlans à 1Gbps partagé par tous les vlans. Quand t'as 2 vlans tu t'en fous, quand t'en as 14 avec plein de débit inter-vlan ça commence à se voir Si le routeur a un port physique 1Gbps par vlan, ça bride un peu moins les choses.

Le port qui relie au routeur est à 1Gbps oui, mais le switch ne limitera pas entre les machines qui sont dans le même vlan.

Imaginons PC1, PC2, PC3, et PC4 dans le même vlan :
PC1 et PC2 peuvent s'envoyer des données pour faire une sauvegarde, le trafic entre eux restera à l'intérieur du switch, sans passer par le routeur, et uniquement entre leur 2 ports, sans affecter la bande passante des autres ports du switch.
Pendant ce temps, PC3 et PC4 peuvent aller sur internet, leur connexion ne sera pas affectée par le trafic entre PC1 et PC2. En revanche, PC3 et PC4 se partageront le débit de 1Gbps du port du routeur pour aller sur internet.
PC3 et PC4 peuvent aussi faire une sauvegarde entre eux, ils auront bien 1Gbps.
Le switch lui, sera en train de commuter potentiellement + que 1Gbps de trafic : PC1 vers PC2, PC3 vers PC4, en parallèle. C'est le principe d'un switch au lieu d'un hub. Ce n'est pas comme en wifi où la bande passante totale est partagée par tous les participants.

Un switch c'est vraiment comme une boite qui relie des robinets ensemble. Chaque robinet vers un PC a 1Gbps (duplex : 1Gbps download et 1Gbps upload en parallèle simultané). Le switch tire des tuyaux entre tous les robinets, mais t'es forcément limité par le débit du robinet de chaque machine
Si deux machines envoient au même robinet de sortie (le routeur), elles se partagent le débit du robinet routeur oui

Ah oui effectivement, j'avais pas vu ça sous cet angle.

C'est ce que j'ai mis en place chez moi, pas tout en Ubiquiti (seulement les APs), mais avec un switch TP-Link et un routeur/firewall pfSense.

Avec un switch de niveau 2, le traffic entre différents VLANs ira en effet jusqu'à ton routeur (alors qu'un switch de niveau 3 évitera ça). Je m'en sers par exemple pour autoriser le VLAN "principal" à voir les invités/le lab, mais en interdisant les flux inverses.

Par contre, tous tes équipements d'un même VLAN se parleront sans remonter au routeur.

 
C'est vrai même à partir du LAN principal (VLAN 0) vers n'importe quel autre VLAN ? Pas d'exception à cette règle ?
 
Je suis en plein ré-organisation/rationalisation de mon réseau et c'est une info intéressante en effet. A vouloir hyper-cloisonner pour des pseudos problèmes de sécurité, je me pose finalement plus de vrais problèmes (de complexité ou performance) que je n'en règle.    

Le traffic entre des réseaux différents ne peut se faire que via le routage (niv 3). Un Switch niveau 2 s'arrêtant aux VLANs, il te faudra un routeur pour faire communiquer les deux réseaux

Clair.
Il faut vraiment que je revois 2-3 trucs dans mon organisation. Typiquement aujourd'hui j'ai 2-3 services sur un VLAN 'NAS'. Y'a par exemple le NAS, le Pi-Hole et 2-3 trucs. Leur point commun : ils doivent pouvoir être accédé par n'importe quel VLAN mais n'ont eux-même aucune raison d'accéder à d'autres VLAN. J'avais appliquer ce découpage logique à mes VLAN mais sans prendre en compte les implications. Je dois rationnaliser 2-3 trucs et gérer peut-être un peu plus d'exception via les règles de firewall.

Non pas d’exception.
Et le VLAN 0, ça n'existe pas, ça commence à 1    
Généralement, le Vlan par défaut est le 1 sur la conf de départ (qu'il n'est pas recommander d'utiliser).

 
Ouep, le discours autour de Unifi étant pas mal orienté "c'est tellement simple que c'est presque magique, il suffit de faire clic clic dans l'interface pour tout régler", c'est pas toujours évident de savoir si au final le matos est "basique" (ie leurs switches sont des switches purement niveau 2) ou bien s'ils savent faire un peu plus que ça, d'où mes interrogations Il va donc falloir que je prévois un routeur en plus dans mes projets..
 
Est-ce qu'un routeur USG (le plus petit), ça tient la route sur une liaison fibre 1Gbps avec en plus du routage inter-vlan (avec un faible trafic intervlan en dehors des périodes de sauvegarde sur le NAS), ou bien c'est trop limité pour ça ?

 
 
Un USG pour une fibre 1Gbit ça va être compliqué je pense
 
Après le routage sur UniFi c'est pas si compliqué, je crois qu'à partir du moment où tu as 2 IP sur ton USG c'est routé, c'est plutôt pour restreindre le trafic qu'il faut faire de la config

 
Ah c'est triste si ça suit pas niveau perf pour ce que je veux faire (

non, ca va tres bien.
Bon si t'actives IPS/IDS c'est largement bridé, mais sans, pas de pb.

Je vais certainement paraître tatillon mais du coup ça sert a quoi d'avoir un USG dans ce cas

Unifi !

 
Mon USG est sur fibre Orange.
Ca tient le 800/500 Mbps au speedtest depuis n'importe quel VLAN.  

ptet parcequ'un routeur ne se limite pas qu'a ca ?

En mode pur routeur oui j'en doute pas, avec IPS/IDS et DPI je pense que c'est plus compliqué  

Autant utiliser les fonctionnalités qu'il a en plus non ?

IPS/IDS/DPI, ça m'intéresse pas tant que ça... Perso je veux faire quelque chose comme https://cdn.arstechnica.net/wp-cont [...] -vlans.png , pour pouvoir avoir de la comm entre les vlans, il faut un routeur, tant qu'à avoir un routeur, ça serait bien qu'il tienne niveau bande passante, et oui, Unifi me paraît bien séduisant. Je pourrais sûrement m'en sortir à configurer les trucs individuellement à la main, mais j'adore les belles interfaces

Le DPI, ca passe sans probleme en gigabit.
C'est l ips/ids qui bride a ~100Mb/s

 
Ah oui tout à fait.    
 
Enfin le DPI n'a pas un grand impact de mémoire, mais je l'ai viré quand-même après avoir un peu joué avec.
Par contre IPS/IDS oui tu écroules la machine qui s'auto-limite automatiquement autour de 80 Mbps.
 
EDIT: grillé

Vous avez testé quand ? J'avais lu que ça s'améliorait en terme de performance sur les différents firmware avec des avis positif dessus. Surtout que je n'avais pas lu de bridage strict sur le débit et que ça dépendait au final des réglages appliqués sur l'IDS ou IPS.  
Vu que je n'ai plus de Gbps en connexion, je n'ai pas pu tester.

la tout de suite, avec ips activé 125 mb/s

Avec toutes les catégories d'appliquées ? 

non level 4/5

pareil en 5/5

D'ailleurs vu qu'on parle d'USG je comprends pas pourquoi trop pourquoi le topic n'a pas pris le virage de l'UDM comme le reste de la communauté pour ce qui est du @home ?

L'USG ça commence a être un vieux bouzin quand même

bah un usg c'est 100€
un udm c'est 350 et avec plein de trucs integrés dont plein de gens ne veulent pas.

Ça marche un poil mieux quand même

Et puis ça rajoute un bon AP et une CloudKey

ah ben 8x plus rapide avec ips activé, tu m'etonnes.
Mais si t'as deja un controleur, une borne wifi et un switch, ca fait cher le routeur.
Surtout que y'a 2 ou 3 limitations bien chiantes.

 
J'ai pas ce genre de niveau pour l'ips ou l'ids.
 

"try new settings"

 
Parce que c'est sorti après et que pour le moment j'ai pas besoin de changer. Quand j'aurai la fibre je verrai.

 Je parle surtout pour les nouveaux équipés, on en a pas vu beaucoup passer

Ca a le cul entre 2 chaises, pour moi, les gens qui achetent du unifi veulent pas se retrouver avec un AP dans leur baie reseau.

https://community.ui.com/questions/ [...] 2d77702872
 
Je verrai plutôt ça dans ma baie.  

ca va etre bien cher...
ET meme Cpu que l'udm a priori, donc ca ira pas plus vite.