Che cos'è una VLAN e perché è utile

Uno switch collega molti dispositivi all'interno di un'unica rete. A volte, però, si desidera suddividere questi dispositivi in gruppi separati anche se condividono lo stesso switch fisico. Una VLAN (Virtual Local Area Network) fa esattamente questo: divide logicamente uno switch in diverse reti indipendenti. Questa lezione spiega che cos'è una VLAN e quali vantaggi concreti offre in termini di sicurezza, prestazioni e organizzazione.

Senza VLAN, ogni porta di uno switch appartiene allo stesso dominio di broadcast. Un dominio di broadcast è l'insieme dei dispositivi che ricevono tutti un messaggio broadcast. Quando un dispositivo invia un broadcast, tutti gli altri dispositivi collegati allo switch lo ricevono. In una rete piatta di grandi dimensioni questo comporta un traffico di fondo costante e nessuna separazione tra i diversi gruppi di utenti o dispositivi.

Una VLAN suddivide lo switch in domini di broadcast separati. Le porte assegnate alla VLAN 10 formano una rete; le porte della VLAN 20 ne formano un'altra. I dispositivi della VLAN 10 non possono raggiungere direttamente quelli della VLAN 20, anche se sono collegati allo stesso switch, a meno che un router non le colleghi. Ogni VLAN si comporta come uno switch isolato indipendente all'interno dello switch fisico.

Le VLAN migliorano la sicurezza grazie alla separazione. È possibile collocare il Wi-Fi guest in una VLAN, i dispositivi dei dipendenti in un'altra e le telecamere di sicurezza in una terza. Un dispositivo guest compromesso non può comunicare direttamente con la VLAN delle telecamere o con quella dei dipendenti, perché il traffico rimane separato. Controllare i pochi punti in cui le VLAN si collegano, generalmente un router o un firewall, consente di applicare le regole necessarie.

Le VLAN migliorano anche le prestazioni riducendo le dimensioni dei domini di broadcast. I broadcast rimangono all'interno della propria VLAN invece di propagarsi su tutto lo switch. Domini di broadcast più piccoli significano meno larghezza di banda sprecata e meno elaborazione per ogni dispositivo. In una rete molto utilizzata, dividere centinaia di dispositivi in diverse VLAN riduce sensibilmente il traffico broadcast superfluo e mantiene la rete reattiva.

Le VLAN consentono di raggruppare i dispositivi in base al ruolo anziché alla posizione. Il personale dell'ufficio Finance può condividere una VLAN sia che lavori al primo sia che lavori al terzo piano, perché l'appartenenza alla VLAN segue l'assegnazione della porta, non il cablaggio. Questo raggruppamento logico rende più chiare le policy, la denominazione e la risoluzione dei problemi, poiché ogni VLAN corrisponde a un gruppo significativo come Sales, Voice o Servers.

Ogni VLAN ha un VLAN ID numerico, da 1 a 4094. La VLAN 1 è quella predefinita in cui iniziano tutte le porte. Gli amministratori assegnano altri ID per creare nuove VLAN, spesso adottando uno schema ordinato come VLAN 10 per il personale, 20 per gli ospiti e 30 per la fonia. L'ID consente agli switch di mantenere etichettato e separato il traffico di ogni VLAN dal resto.

Per inserire un dispositivo in una VLAN, l'amministratore assegna la relativa porta dello switch a quell'ID VLAN. Il frammento seguente mostra il concetto su un tipico switch gestito. Dopo questa operazione, qualsiasi dispositivo collegato a quella porta apparterrà alla VLAN 10. Spostando il cavo su una porta della VLAN 20, il dispositivo entrerà invece nella VLAN 20, senza dover ricablare l'edificio.

Se le VLAN sono isolate, come possono comunicare quando necessario? Tramite un router o uno switch di livello 3 che esegue il routing tra di esse, una pratica talvolta chiamata routing inter-VLAN. Il router diventa il gateway controllato tra le VLAN e consente di applicare regole di accesso. In questo modo le VLAN rimangono separate per impostazione predefinita, ma possono scambiarsi traffico deliberatamente sotto il Suo controllo.

Un esempio comune nel mondo reale è una voice VLAN. I telefoni IP vengono collocati in una VLAN dedicata, così il loro traffico rimane separato dai normali dati dei computer: ciò aiuta a dare priorità alle chiamate e a mantenere elevata la qualità della voce. Molti telefoni dispongono di una porta switch integrata per un PC; il telefono può quindi contrassegnare la propria voice VLAN e trasmettere contemporaneamente i dati del computer su una VLAN separata attraverso lo stesso cavo.

Le VLAN trasformano un singolo switch fisico in numerose reti logiche. Offrono sicurezza tramite l'isolamento, prestazioni grazie a domini di broadcast più piccoli e organizzazione raggruppando i dispositivi per ruolo. Ogni VLAN ha un ID, le porte vengono assegnate alle VLAN e un router le collega quando necessario. Questa flessibilità spiega perché le VLAN siano presenti in quasi tutte le reti aziendali e abbiano un ruolo importante nell'esame Network+.

Verifichi la Sua comprensione delle VLAN.

Una VLAN divide logicamente uno switch fisico in reti separate, ciascuna con il proprio dominio di broadcast. Le VLAN migliorano la sicurezza grazie all'isolamento, le prestazioni limitando i broadcast e l'organizzazione raggruppando i dispositivi per ruolo. Ogni VLAN ha un VLAN ID numerico (da 1 a 4094, con 1 come valore predefinito) e le porte vengono assegnate alle VLAN. I dispositivi appartenenti a VLAN diverse hanno bisogno di un router per comunicare. Le voice VLAN separano il traffico dei telefoni per migliorare la qualità delle chiamate.