Hva et VLAN er, og hvorfor det er nyttig

En svitsj kobler mange enheter sammen i ett nettverk. Noen ganger ønsker De imidlertid å dele disse enhetene inn i separate grupper, selv om de bruker den samme fysiske svitsjen. En VLAN (Virtual Local Area Network) gjør nettopp dette: Den deler logisk én svitsj inn i flere uavhengige nettverk. I denne leksjonen forklares det hva en VLAN er, og hvilke konkrete fordeler den gir for sikkerhet, ytelse og organisering.

Uten VLAN-er tilhører hver port på en svitsj det samme kringkastingsdomenet. Et kringkastingsdomene er mengden enheter som alle mottar en kringkastingsmelding. Når én enhet kringkaster, hører alle andre enheter på svitsjen meldingen. I et stort, flatt nettverk betyr dette konstant bakgrunnstrafikk og ingen separasjon mellom ulike bruker- eller enhetsgrupper.

En VLAN deler svitsjen inn i separate kringkastingsdomener. Porter som er tilordnet VLAN 10, utgjør ett nettverk, mens porter i VLAN 20 utgjør et annet. Enheter i VLAN 10 kan ikke kommunisere direkte med enheter i VLAN 20, selv om de er koblet til samme svitsj, med mindre en ruter kobler dem sammen. Hver VLAN fungerer som en egen isolert svitsj inne i den fysiske svitsjen.

VLAN-er forbedrer sikkerheten gjennom separasjon. De kan plassere gjeste-Wi-Fi i én VLAN, ansattes enheter i en annen og sikkerhetskameraer i en tredje. En kompromittert gjesteenhet kan ikke kommunisere direkte med kamera- eller ansatt-VLAN-ene fordi trafikken holdes adskilt. Ved å kontrollere de få punktene der VLAN-er kobles sammen, vanligvis en ruter eller brannmur, får De et sted der regler kan håndheves.

VLAN-er forbedrer også ytelsen ved å gjøre kringkastingsdomener mindre. Kringkastinger forblir i sin egen VLAN i stedet for å oversvømme hele svitsjen. Mindre kringkastingsdomener betyr mindre bortkastet båndbredde og mindre behandling på hver enhet. I et travelt nettverk reduserer det merkbart kringkastingsstøyen å dele hundrevis av enheter inn i flere VLAN-er, og nettverket forblir mer responsivt.

VLAN-er gjør det mulig å gruppere enheter etter rolle i stedet for plassering. Ansatte i økonomiavdelingen kan dele en VLAN enten de sitter i første eller tredje etasje, fordi VLAN-medlemskapet følger porttilordningen og ikke kablingen. Denne logiske grupperingen gjør policyer, navngivning og feilsøking tydeligere, siden hver VLAN tilsvarer en meningsfull gruppe som Salg, Tale eller Servere.

Hver VLAN har en numerisk VLAN-ID fra 1 til 4094. VLAN 1 er standarden som alle porter starter i. Administratorer tilordner andre ID-er for å opprette nye VLAN-er, ofte etter et ryddig system, for eksempel VLAN 10 for ansatte, 20 for gjester og 30 for tale. ID-en er det svitsjene bruker til å merke trafikken fra hver VLAN og holde den adskilt fra resten.

For å plassere en enhet i en VLAN tilordner administratoren svitsjporten til denne VLAN-ID-en. Utdraget nedenfor viser prinsippet på en vanlig administrerbar svitsj. Etter dette tilhører alt som kobles til porten VLAN 10. Flytt kabelen til en port i VLAN 20, så blir enheten i stedet med i VLAN 20 – uten at bygningens kabling må legges om.

Hvis VLAN-er er isolert, hvordan kan de kommunisere når det er nødvendig? Via en ruter eller en lag 3-svitsj som utfører ruting mellom dem, ofte kalt inter-VLAN-ruting. Ruteren blir den kontrollerte gatewayen mellom VLAN-ene, og De kan bruke tilgangsregler der. På denne måten forblir VLAN-ene adskilt som standard, men kan utveksle trafikk på en bevisst måte under Deres kontroll.

Et vanlig eksempel fra virkeligheten er en tale-VLAN. IP-telefoner plasseres i sin egen VLAN, slik at trafikken deres holdes adskilt fra vanlige datamaskindata. Dette gjør det enklere å prioritere samtaler og opprettholde høy talekvalitet. Mange telefoner har en innebygd svitsjport for en PC, slik at telefonen kan merke sin egen tale-VLAN, samtidig som datamaskinens data sendes gjennom den samme kabelen i en separat VLAN.

VLAN-er gjør én fysisk svitsj om til mange logiske nettverk. De gir sikkerhet gjennom isolasjon, ytelse gjennom mindre kringkastingsdomener og organisering ved å gruppere enheter etter rolle. Hver VLAN har en ID, porter tilordnes VLAN-er, og en ruter kobler sammen VLAN-er ved behov. Denne fleksibiliteten er grunnen til at VLAN-er finnes i nesten alle bedriftsnettverk og har en sentral plass på Network+-eksamenen.

En VLAN deler én fysisk svitsj logisk inn i separate nettverk, der hvert nettverk utgjør sitt eget kringkastingsdomene. VLAN-er forbedrer sikkerheten gjennom isolasjon, ytelsen ved å begrense kringkastinger og organiseringen ved å gruppere enheter etter rolle. Hver VLAN har en numerisk VLAN-ID (1 til 4094, standardverdi 1), og porter tilordnes VLAN-er. Enheter i ulike VLAN-er trenger en ruter for å kommunisere. Tale-VLAN-er skiller telefontrafikk fra annen trafikk for å gi bedre samtalekvalitet.