Hvad en VLAN er, og hvorfor den hjælper

En switch forbinder mange enheder i ét netværk. Nogle gange vil du dog opdele enhederne i separate grupper, selv om de deler den samme fysiske switch. En VLAN (Virtual Local Area Network) gør netop det: Den opdeler logisk én switch i flere uafhængige netværk. Denne lektion forklarer, hvad en VLAN er, og hvilke reelle fordele den giver for sikkerhed, ydeevne og organisering.

Uden VLAN'er tilhører alle porte på en switch det samme broadcast-domæne. Et broadcast-domæne er den gruppe af enheder, som alle modtager en broadcast-meddelelse. Når én enhed sender en broadcast, hører alle andre enheder på switchen den. På et stort, fladt netværk betyder det konstant baggrundstrafik og ingen adskillelse mellem forskellige grupper af brugere eller enheder.

En VLAN opdeler switchen i separate broadcast-domæner. Porte, der er tildelt VLAN 10, danner ét netværk, mens porte i VLAN 20 danner et andet. Enheder i VLAN 10 kan ikke kommunikere direkte med enheder i VLAN 20, selv om de er tilsluttet den samme switch, medmindre en router forbinder dem. Hver VLAN fungerer som sin egen isolerede switch inde i den fysiske switch.

VLAN'er forbedrer sikkerheden gennem adskillelse. Du kan placere gæste-Wi-Fi i én VLAN, medarbejderenheder i en anden og sikkerhedskameraer i en tredje. En kompromitteret gæsteenhed kan ikke kommunikere direkte med kamera- eller medarbejder-VLAN'erne, fordi trafikken holdes adskilt. Ved at kontrollere de få steder, hvor VLAN'er forbindes – normalt en router eller firewall – får du et sted, hvor du kan håndhæve regler.

VLAN'er forbedrer også ydeevnen ved at gøre broadcast-domænerne mindre. Broadcasts forbliver i deres egen VLAN i stedet for at oversvømme hele switchen. Mindre broadcast-domæner betyder mindre spildt båndbredde og mindre behandling på hver enhed. På et travlt netværk reducerer en opdeling af hundredvis af enheder i flere VLAN'er broadcast-støjen mærkbart og holder netværket responsivt.

VLAN'er lader dig gruppere enheder efter rolle i stedet for placering. Medarbejdere i økonomiafdelingen kan dele en VLAN, uanset om de sidder på første eller tredje sal, fordi VLAN-tilhørsforholdet følger porttildelingen og ikke kabelføringen. Denne logiske gruppering gør politikker, navngivning og fejlfinding tydeligere, eftersom hver VLAN svarer til en meningsfuld gruppe som Sales, Voice eller Servers.

Hver VLAN har et numerisk VLAN ID fra 1 til 4094. VLAN 1 er standarden, som alle porte starter i. Administratorer tildeler andre id'er for at oprette nye VLAN'er, ofte efter et overskueligt system som VLAN 10 til medarbejdere, 20 til gæster og 30 til tale. ID'et er den måde, switches holder trafikken fra hver VLAN mærket og adskilt fra resten.

For at placere en enhed i en VLAN tildeler administratoren dens switchport til det pågældende VLAN-id. Uddraget nedenfor viser princippet på en typisk administreret switch. Derefter tilhører alt, der tilsluttes porten, VLAN 10. Flyt kablet til en port i VLAN 20, så tilsluttes enheden i stedet VLAN 20 – uden at bygningen skal omkableres.

Hvis VLAN'er er isolerede, hvordan kan de så kommunikere, når det er nødvendigt? Det sker via en router eller en layer-3-switch, der udfører routing mellem dem, hvilket også kaldes inter-VLAN-routing. Routeren bliver den kontrollerede gateway mellem VLAN'erne, og du kan anvende adgangsregler dér. På den måde er VLAN'erne som standard adskilte, men kan udveksle trafik bevidst under din kontrol.

Et almindeligt eksempel fra virkeligheden er en voice-VLAN. IP-telefoner placeres i deres egen VLAN, så deres trafik adskilles fra almindelige computerdata. Det gør det lettere at prioritere opkald og opretholde en høj talekvalitet. Mange telefoner har en indbygget switchport til en pc, så telefonen kan mærke sin egen voice-VLAN, mens computerens data sendes gennem den samme kabel via en separat VLAN.

VLAN'er omdanner én fysisk switch til mange logiske netværk. De giver sikkerhed gennem isolation, ydeevne gennem mindre broadcast-domæner og organisering ved at gruppere enheder efter rolle. Hver VLAN har et id, porte tildeles VLAN'er, og en router forbinder VLAN'er efter behov. Denne fleksibilitet er grunden til, at VLAN'er findes i næsten alle virksomhedsnetværk og fylder meget på Network+-eksamen.

En VLAN opdeler logisk én fysisk switch i separate netværk, som hver udgør deres eget broadcast-domæne. VLAN'er forbedrer sikkerheden gennem isolation, ydeevnen ved at begrænse broadcasts og organiseringen ved at gruppere enheder efter rolle. Hver VLAN har et numerisk VLAN ID (1 til 4094, standard er 1), og porte tildeles VLAN'er. Enheder i forskellige VLAN'er skal bruge en router for at kommunikere. Voice-VLAN'er adskiller telefontrafik for at give bedre opkaldskvalitet.