Czym jest VLAN i dlaczego pomaga

Przełącznik łączy wiele urządzeń w jedną sieć. Czasami jednak chcą Państwo podzielić te urządzenia na osobne grupy, mimo że korzystają z tego samego fizycznego przełącznika. VLAN (Virtual Local Area Network) dokładnie to umożliwia: logicznie dzieli jeden przełącznik na kilka niezależnych sieci. W tej lekcji wyjaśniono, czym jest VLAN i jakie rzeczywiste korzyści przynosi w zakresie bezpieczeństwa, wydajności i organizacji.

Bez sieci VLAN każdy port przełącznika należy do tej samej domeny rozgłoszeniowej. Domena rozgłoszeniowa to zbiór urządzeń, które otrzymują tę samą wiadomość rozgłoszeniową. Gdy jedno urządzenie wysyła rozgłoszenie, słyszą je wszystkie pozostałe urządzenia podłączone do przełącznika. W dużej, płaskiej sieci oznacza to ciągły ruch w tle i brak separacji między różnymi grupami użytkowników lub urządzeń.

VLAN dzieli przełącznik na osobne domeny rozgłoszeniowe. Porty przypisane do VLAN 10 tworzą jedną sieć, a porty w VLAN 20 — inną. Urządzenia w VLAN 10 nie mogą bezpośrednio łączyć się z urządzeniami w VLAN 20, nawet jeśli są podłączone do tego samego przełącznika, chyba że połączy je router. Każdy VLAN działa jak osobny, odizolowany przełącznik znajdujący się wewnątrz fizycznego przełącznika.

Sieci VLAN zwiększają bezpieczeństwo dzięki separacji. Sieć Wi-Fi dla gości można umieścić w jednym VLAN-ie, urządzenia pracowników w innym, a kamery bezpieczeństwa w jeszcze innym. Zaatakowane urządzenie gościa nie może bezpośrednio komunikować się z kamerami ani z siecią pracowników, ponieważ ruch jest od siebie oddzielony. Kontrolowanie nielicznych punktów, w których sieci VLAN się łączą — zwykle routera lub zapory sieciowej — pozwala wymuszać reguły dostępu.

Sieci VLAN zwiększają również wydajność, zmniejszając domeny rozgłoszeniowe. Rozgłoszenia pozostają w obrębie własnego VLAN-u, zamiast zalewać cały przełącznik. Mniejsze domeny rozgłoszeniowe oznaczają mniej zmarnowanego pasma i mniejsze obciążenie urządzeń przetwarzaniem ruchu. W zatłoczonej sieci podzielenie setek urządzeń na kilka VLAN-ów wyraźnie ogranicza szum rozgłoszeniowy i pomaga zachować sprawne działanie.

Sieci VLAN pozwalają grupować urządzenia według roli, a nie lokalizacji. Pracownicy działu finansowego mogą korzystać z tego samego VLAN-u niezależnie od tego, czy siedzą na pierwszym, czy na trzecim piętrze, ponieważ przynależność do VLAN-u wynika z przypisania portu, a nie z okablowania. Takie logiczne grupowanie ułatwia stosowanie zasad, nazewnictwo i rozwiązywanie problemów, ponieważ każdy VLAN odpowiada konkretnej grupie, takiej jak Sprzedaż, Telefonia lub Serwery.

Każdy VLAN ma numeryczny identyfikator VLAN z zakresu od 1 do 4094. VLAN 1 jest domyślnym VLAN-em, do którego początkowo należą wszystkie porty. Administratorzy przypisują inne identyfikatory, aby tworzyć nowe VLAN-y, często stosując przejrzysty schemat, na przykład VLAN 10 dla pracowników, 20 dla gości i 30 dla telefonii. Identyfikator pozwala przełącznikom oznaczać ruch każdego VLAN-u i oddzielać go od pozostałego ruchu.

Aby umieścić urządzenie w VLAN-ie, administrator przypisuje jego port przełącznika do danego identyfikatora VLAN. Poniższy fragment pokazuje tę zasadę na typowym zarządzanym przełączniku. Od tej chwili wszystko, co zostanie podłączone do tego portu, należy do VLAN 10. Po przeniesieniu kabla do portu w VLAN 20 urządzenie dołączy do VLAN 20, bez konieczności zmiany okablowania budynku.

Jeśli sieci VLAN są odizolowane, jak mogą się komunikować, gdy jest to potrzebne? Za pośrednictwem routera lub przełącznika warstwy 3, który routuje ruch między nimi; nazywa się to czasem routingiem między VLAN-ami. Router staje się kontrolowaną bramą między VLAN-ami, w której można stosować reguły dostępu. Dzięki temu sieci VLAN pozostają domyślnie odseparowane, ale mogą wymieniać ruch w sposób celowy i kontrolowany.

Częstym przykładem z praktyki jest voice VLAN. Telefony IP umieszcza się we własnym VLAN-ie, aby oddzielić ich ruch od zwykłych danych komputerowych, co ułatwia nadawanie priorytetu połączeniom i utrzymanie wysokiej jakości głosu. Wiele telefonów ma wbudowany port przełącznika dla komputera, dzięki czemu telefon może oznaczać własny ruch w voice VLAN-ie, jednocześnie przekazując dane komputera w osobnym VLAN-ie tym samym kablem.

Sieci VLAN zmieniają jeden fizyczny przełącznik w wiele logicznych sieci. Zapewniają bezpieczeństwo dzięki izolacji, wydajność dzięki mniejszym domenom rozgłoszeniowym oraz organizację dzięki grupowaniu urządzeń według ról. Każdy VLAN ma identyfikator, porty są przypisywane do VLAN-ów, a router łączy VLAN-y, gdy jest to potrzebne. Ta elastyczność sprawia, że sieci VLAN występują niemal w każdej sieci firmowej i zajmują ważne miejsce na egzaminie Network+.

Sprawdź swoją wiedzę o sieciach VLAN.

VLAN logicznie dzieli jeden fizyczny przełącznik na osobne sieci, z których każda stanowi własną domenę rozgłoszeniową. Sieci VLAN zwiększają bezpieczeństwo dzięki izolacji, wydajność dzięki ograniczeniu rozgłoszeń oraz organizację dzięki grupowaniu urządzeń według ról. Każdy VLAN ma numeryczny identyfikator VLAN (od 1 do 4094, domyślnie 1), a porty są przypisywane do VLAN-ów. Urządzenia w różnych VLAN-ach potrzebują routera, aby się komunikować. Sieci VLAN dla telefonii oddzielają ruch telefoniczny, zapewniając lepszą jakość połączeń.