Что такое VLAN и чем она полезна

Коммутатор объединяет множество устройств в одну сеть. Но иногда нужно разделить эти устройства на отдельные группы, даже если они подключены к одному физическому коммутатору. VLAN (виртуальная локальная сеть) делает именно это: логически разделяет один коммутатор на несколько независимых сетей. В этом уроке объясняется, что такое VLAN и какие реальные преимущества она даёт с точки зрения безопасности, производительности и организации.

Без VLAN каждый порт коммутатора принадлежит одному широковещательному домену. Широковещательный домен — это набор устройств, которые получают одно и то же широковещательное сообщение. Когда одно устройство отправляет широковещательное сообщение, его слышат все остальные устройства коммутатора. В большой плоской сети это означает постоянный фоновый обмен данными и отсутствие разделения между разными группами пользователей или устройств.

VLAN разделяет коммутатор на отдельные широковещательные домены. Порты, назначенные VLAN 10, образуют одну сеть, а порты VLAN 20 — другую. Устройства в VLAN 10 не могут напрямую обращаться к устройствам в VLAN 20, даже если подключены к тому же коммутатору, пока их не соединит маршрутизатор. Каждая VLAN ведёт себя как отдельный изолированный коммутатор внутри физического коммутатора.

VLAN повышают безопасность за счёт разделения. Можно разместить гостевой Wi-Fi в одной VLAN, устройства сотрудников — в другой, а камеры безопасности — в третьей. Взломанное гостевое устройство не сможет напрямую обмениваться данными с VLAN камер или сотрудников, поскольку трафик разделён. Контроль нескольких точек соединения VLAN, обычно маршрутизатора или брандмауэра, позволяет применять там правила доступа.

VLAN также повышают производительность, уменьшая размеры широковещательных доменов. Широковещательные сообщения остаются внутри своей VLAN, а не заполняют весь коммутатор. Меньшие широковещательные домены означают меньше напрасно расходуемой пропускной способности и меньшую нагрузку на каждое устройство. В загруженной сети разделение сотен устройств на несколько VLAN заметно уменьшает широковещательный шум и поддерживает быстродействие.

VLAN позволяют группировать устройства по роли, а не по местоположению. Сотрудники финансового отдела могут находиться в одной VLAN, сидя на первом или третьем этаже, потому что принадлежность к VLAN определяется назначением порта, а не прокладкой кабелей. Такая логическая группировка упрощает применение политик, именование и поиск неисправностей, поскольку каждая VLAN соответствует понятной группе, например отделу продаж, голосовой связи или серверам.

У каждой VLAN есть числовой VLAN ID от 1 до 4094. VLAN 1 — это VLAN по умолчанию, в которую изначально входят все порты. Администраторы назначают другие идентификаторы для создания новых VLAN, часто используя понятную схему: VLAN 10 для сотрудников, 20 для гостей, 30 для голосовой связи. По этому идентификатору коммутаторы помечают трафик каждой VLAN и отделяют его от остального.

Чтобы поместить устройство в VLAN, администратор назначает порт коммутатора этой VLAN ID. Приведённый ниже фрагмент показывает принцип настройки типичного управляемого коммутатора. После этого всё, что подключено к данному порту, принадлежит VLAN 10. Перенесите кабель в порт VLAN 20 — и устройство присоединится к VLAN 20, без необходимости менять проводку здания.

Если VLAN изолированы, как они могут обмениваться данными, когда это необходимо? С помощью маршрутизатора или коммутатора третьего уровня, выполняющего маршрутизацию между ними; это иногда называют маршрутизацией между VLAN. Маршрутизатор становится управляемым шлюзом между VLAN, и там можно применять правила доступа. Так VLAN по умолчанию остаются раздельными, но могут обмениваться трафиком по вашему явному разрешению.

Распространённый пример из практики — голосовая VLAN. IP-телефоны помещают в собственную VLAN, чтобы отделить их трафик от обычных данных компьютеров, повысить приоритет звонков и сохранить высокое качество голоса. У многих телефонов есть встроенный порт коммутатора для PC: телефон помечает трафик собственной голосовой VLAN, одновременно передавая данные компьютера через отдельную VLAN по тому же кабелю.

VLAN превращают один физический коммутатор во множество логических сетей. Они обеспечивают безопасность за счёт изоляции, производительность за счёт уменьшения широковещательных доменов и организацию за счёт группировки устройств по ролям. У каждой VLAN есть идентификатор, порты назначаются VLAN, а маршрутизатор соединяет VLAN, когда это необходимо. Именно поэтому VLAN встречаются почти в каждой корпоративной сети и занимают важное место на экзамене Network+.

VLAN логически разделяет один физический коммутатор на отдельные сети, каждая из которых является собственным широковещательным доменом. VLAN повышают безопасность за счёт изоляции, производительность за счёт ограничения широковещательных сообщений и организацию за счёт группировки устройств по ролям. У каждой VLAN есть числовой VLAN ID (от 1 до 4094, по умолчанию — 1), а порты назначаются VLAN. Для обмена данными между разными VLAN устройствам нужен маршрутизатор. Голосовые VLAN отделяют трафик телефонов, улучшая качество звонков.