Wat een VLAN is en waarom het helpt

Een VLAN splitst de switch op in afzonderlijke broadcastdomeinen. Poorten die aan VLAN 10 zijn toegewezen, vormen één netwerk; poorten in VLAN 20 vormen een ander netwerk. Apparaten in VLAN 10 kunnen apparaten in VLAN 20 niet rechtstreeks bereiken, ook al zijn ze op dezelfde switch aangesloten, tenzij een router ze verbindt. Elk VLAN gedraagt zich als een eigen geïsoleerde switch binnen de fysieke switch.

VLANs verbeteren de beveiliging door scheiding. Je kunt gast-wifi in één VLAN plaatsen, apparaten van medewerkers in een ander en beveiligingscamera's in een derde. Een gecompromitteerd gastapparaat kan niet rechtstreeks communiceren met de VLANs van camera's of medewerkers, omdat het verkeer gescheiden blijft. Door de beperkte punten waarop VLANs met elkaar zijn verbonden, meestal een router of firewall, te beheren, krijg je een plaats om regels af te dwingen.

VLANs verbeteren ook de prestaties door broadcastdomeinen kleiner te maken. Broadcasts blijven binnen hun eigen VLAN in plaats van de hele switch te overspoelen. Kleinere broadcastdomeinen betekenen minder verspilde bandbreedte en minder verwerking op elk apparaat. Op een druk netwerk vermindert het verdelen van honderden apparaten over meerdere VLANs de hoeveelheid broadcastverkeer merkbaar en blijft alles vlot reageren.

Met VLANs kun je apparaten op basis van hun rol groeperen in plaats van op basis van hun locatie. Medewerkers van de financiële afdeling kunnen hetzelfde VLAN delen, of ze nu op de eerste of derde verdieping zitten, omdat het VLAN-lidmaatschap de poorttoewijzing volgt en niet de bekabeling. Deze logische groepering maakt beleid, naamgeving en probleemoplossing duidelijker, omdat elk VLAN overeenkomt met een betekenisvolle groep, zoals Verkoop, Spraak of Servers.

Elk VLAN heeft een numerieke VLAN-ID van 1 tot en met 4094. VLAN 1 is de standaard waarin alle poorten beginnen. Beheerders wijzen andere ID's toe om nieuwe VLANs te maken, vaak volgens een overzichtelijk schema, zoals VLAN 10 voor medewerkers, 20 voor gasten en 30 voor spraak. Aan de hand van de ID houden switches het verkeer van elk VLAN gelabeld en gescheiden van de rest.

Om een apparaat in een VLAN te plaatsen, wijst de beheerder de switchpoort toe aan die VLAN-ID. Het onderstaande fragment laat zien hoe dit werkt op een typische beheerde switch. Daarna hoort alles wat op die poort wordt aangesloten bij VLAN 10. Verplaats je de kabel naar een poort in VLAN 20, dan komt het apparaat in plaats daarvan in VLAN 20 terecht; de bekabeling van het gebouw hoeft niet te worden aangepast.

Als VLANs geïsoleerd zijn, hoe kunnen ze dan communiceren wanneer dat nodig is? Via een router of een layer-3-switch die het verkeer ertussen routeert, ook wel inter-VLAN-routing genoemd. De router wordt de beheerde gateway tussen de VLANs en je kunt daar toegangsregels toepassen. Zo blijven VLANs standaard gescheiden, maar kunnen ze onder jouw beheer doelgericht verkeer uitwisselen.

Een veelvoorkomend voorbeeld uit de praktijk is een spraak-VLAN. IP-telefoons worden in hun eigen VLAN geplaatst, zodat hun verkeer gescheiden is van gewone computergegevens. Daardoor kun je gesprekken prioriteit geven en blijft de spraakkwaliteit hoog. Veel telefoons hebben een ingebouwde switchpoort voor een pc. De telefoon kan dan zijn eigen spraak-VLAN labelen en de comput gegevens via dezelfde kabel op een afzonderlijk VLAN doorgeven.

VLANs veranderen één fysieke switch in meerdere logische netwerken. Ze bieden beveiliging door isolatie, prestaties door kleinere broadcastdomeinen en organisatie door apparaten op basis van hun rol te groeperen. Elk VLAN heeft een ID, poorten worden aan VLANs toegewezen en een router verbindt VLANs wanneer dat nodig is. Door deze flexibiliteit komen VLANs in vrijwel elk bedrijfsnetwerk voor en zijn ze een belangrijk onderwerp op het Network+-examen.

Een VLAN verdeelt één fysieke switch logisch in afzonderlijke netwerken, die elk hun eigen broadcastdomein vormen. VLANs verbeteren de beveiliging door isolatie, de prestaties door broadcasts te beperken en de organisatie door apparaten op basis van hun rol te groeperen. Elk VLAN heeft een numerieke VLAN-ID (1 tot en met 4094, standaard 1) en poorten worden aan VLANs toegewezen. Apparaten in verschillende VLANs hebben een router nodig om te communiceren. Spraak-VLANs scheiden telefoonverkeer voor een betere gesprekskwaliteit.