Transformez un vieux routeur en rempart : isolez vos objets connectés avec une VLAN en 10 minutes (sans dépenser un centime)

Isoler vos appareils domotiques sur une VLAN dédiée en recyclant un vieux routeur est l’une des meilleures idées « low cost » pour sécuriser une smart home. Plutôt que d’investir dans un routeur professionnel ou de laisser tous vos objets connectés papilloter sur le même réseau que votre PC et votre NAS, vous pouvez confier la segmentation à un appareil dont vous n’avez plus l’usage. Voici comment procéder, quelles sont les options logicielles et les pièges à éviter, expliqués pas à pas.

Pourquoi isoler vos objets connectés ?

Chaque nouvelle prise, ampoule ou caméra ajoutée à la maison augmente la surface d’attaque potentielle. Beaucoup de périphériques IoT ont des firmwares peu suivis, des mots de passe par défaut ou des fonctions réseau minimales. Si l’un d’eux est compromis, il pourrait théoriquement scanner et attaquer les autres appareils sur la même sous‑réseau. Segmenter le réseau permet de confiner l’impact : la lampe compromise reste dans sa bulle et n’a pas de visibilité directe sur vos ordinateurs, sauvegardes et consoles de jeu.

Le principe : mettre un routeur en cascade

Le schéma est simple mais efficace. Vous utilisez votre routeur principal (celui fourni par l’opérateur ou votre routeur performant) pour fournir l’accès Internet. Puis vous raccordez un second routeur, plus ancien, sur une prise LAN du premier. Ce routeur secondaire fournit sa propre plage d’adresses et gère une VLAN (ou simplement un sous‑réseau NAT isolé) dédiée aux appareils IoT. Grâce au double NAT et au tag VLAN, ces deux mondes ne peuvent pas communiquer directement.

Pourquoi flasher un firmware custom ?

La plupart des firmwares constructeurs ne proposent pas d’options VLAN avancées ou d’un contrôle fin du routage. C’est là qu’un firmware alternatif devient pratique. Voici les trois solutions les plus répandues :

FreshTomato : bon choix si votre matériel utilise un chipset Broadcom. Simple d’utilisation et encore activement maintenu.

DD‑WRT : compatible avec une large gamme de machines et souvent utilisé pour donner une seconde vie à des modèles grand public.

OpenWrt : le plus flexible et puissant, mais aussi le plus technique ; idéal si vous souhaitez un contrôle granulaire.

Avant toute manipulation, vérifiez la compatibilité de votre modèle sur le site officiel du firmware choisi. Flasher un firmware non pris en charge peut briquer l’appareil.

Étapes pratiques pour créer la VLAN IoT

1) Vérifiez que votre vieux routeur est fonctionnel et qu’il peut être réinitialisé en cas de problème. Sauvegardez toute configuration utile.

2) Téléchargez et installez le firmware approprié selon votre modèle (OpenWrt, DD‑WRT ou FreshTomato).

3) Connectez le routeur secondaire en cascade : câble Ethernet de la LAN du routeur principal vers le port WAN du routeur secondaire (ou vers une LAN si vous souhaitez configurer NAT inversé selon l’architecture).

4) Configurez le second routeur avec une plage d’adresses distincte (par ex. 192.168.2.0/24 si votre réseau principal est 192.168.1.0/24).

5) Activez le tagging VLAN si nécessaire et définissez la VLAN 10 (par exemple) pour tous les ports et le SSID Wi‑Fi qui seront dédiés aux objets connectés.

6) Désactivez, si pertinent, la bande 5 GHz sur le routeur secondaire pour les appareils IoT qui n’utilisent que le 2,4 GHz — cela économise des ressources et limite les interférences.

7) Testez la segmentation : un appareil connecté au réseau IoT doit accéder à Internet mais ne pas voir les ressources partagées du réseau principal (NAS, imprimante partagée, RDP).

Quelques nuances techniques

Le double NAT mis en place n’est pas rédhibitoire pour une majorité d’usages domestiques, mais peut poser souci si vous souhaitez exposer des services IoT depuis l’extérieur (ce qu’on déconseille). Si vous êtes à l’aise, vous pouvez aussi configurer le routeur principal en mode « routeur simple » et laisser le secondaire gérer tout le routage avancé, mais cela exige plus de temps et de connaissances.

Les avantages concrets

Coût quasi nul si vous possédez déjà le matériel.

Isolation automatique : pas besoin d’écrire des règles de pare‑feu complexes.

Possibilité d’optimiser la bande radio (désactivation 5 GHz, canal dédié…).

Flexibilité : vous pouvez tester et affiner sans toucher au routeur principal.

Les limites et précautions

Flashage : opération technique. Si vous flashez un routeur non compatible, vous pouvez le rendre inutilisable. Considérez‑le comme une bonne occasion d’apprendre, mais attaquez‑vous à cette manipulation avec prudence.

Support matériel : certains anciens routeurs ont une puissance CPU et une mémoire RAM limitées, ce qui peut réduire la portée Wi‑Fi ou la vitesse réelle si vous activez trop de fonctions avancées.

Double NAT : peut compliquer certaines applications en peer‑to‑peer, jeux en ligne ou services à distance.

Mise à jour : un firmware custom nécessite que vous assuriez vous‑même les mises à jour et la maintenance.

Conseils pratiques

Conservez toujours un câble Ethernet et un PC près du routeur pendant les manipulations pour rétablir la configuration si le Wi‑Fi devient inaccessible.

Documentez vos paramètres (plages IP, mots de passe, VLAN tags) pour pouvoir restaurer la configuration facilement plus tard.

Testez avec quelques appareils IoT seulement au départ pour valider que tout fonctionne comme prévu.

Si vous hésitez à flasher, certains routeurs d’opérateur acceptent la mise en place d’un Wi‑Fi invité fortement isolé — ce n’est pas aussi robuste qu’une VLAN, mais c’est un palliatif simple.

Recyclage, sécurité et efficacité : transformer un vieux routeur en barrière dédiée pour l’IoT est une solution pragmatique et accessible pour qui veut mieux protéger sa maison connectée sans se ruiner. Avec un peu de patience et les bons outils logiciels, vous obtenez une séparation nette entre vos appareils critiques et les gadgets connectés, et vous gagnez en tranquillité d’esprit.