Sieci VLAN: Wirtualne sieci lokalne, trunking i izolacja ruchu w warstwie 2

Tradycyjne sieci lokalne (LAN) oparte na fizycznych przełącznikach mają poważne ograniczenia: cała infrastruktura tworzy jedną wspólną domenę rozgłoszeniową (broadcast domain), co przy dużej liczbie urządzeń prowadzi do przeciążenia pasma oraz stwarza zagrożenia dla bezpieczeństwa. Rozwiązaniem tego problemu jest technologia VLAN (Virtual Local Area Network). W ramach przedmiotu LSK (Lokalne Sieci Komputerowe) przyszły technik musi doskonale rozumieć koncepcję wirtualnych sieci, zasady tagowania ramek oraz konfigurację portów dostępowych i trunkowych.

1. Istota i cele stosowania technologii VLAN

VLAN pozwala na logiczny podział pojedynczego fizycznego przełącznika (lub grupy przełączników) na wiele niezależnych sieci wirtualnych:

• Logiczna segmentacja: Urządzenia należące do różnych VLAN-ów nie mogą się ze sobą komunikować bezpośrednio w warstwie 2 (L2), mimo że są wpięte do tego samego fizycznego przełącznika.
• Redukcja ruchu rozgłoszeniowego: Pakiety typu broadcast są izolowane w obrębie konkretnego VLAN-u, co drastycznie odciąża sieć.
• Elastyczność i bezpieczeństwo: Możliwość grupowania użytkowników według działów w firmie (np. VLAN 10 – Księgowość, VLAN 20 – Produkcja, VLAN 30 – Goście) niezależnie od ich fizycznej lokalizacji w budynku.

2. Typy portów przełącznika w sieciach VLAN

Aby ruch między różnymi sieciami wirtualnymi mógł być prawidłowo przesyłany w obrębie infrastruktury przełączników, stosuje się dwa główne rodzaje portów:

• Port dostępowy (Access Port): Port przypisany do jednego konkretnego VLAN-u, służący do podłączania urządzeń końcowych (komputerów, drukarek, IP-telefonów). Ramki opuszczające ten port nie posiadają żadnych dodatkowych znaczników.
• Port trunkowy (Trunk Port): Łącze między przełącznikami (lub przełącznikiem a routerem), które przesyła ruch należący do wielu różnych VLAN-ów jednocześnie. Aby rozpoznać, z jakiego VLAN-u pochodzi dana ramka, stosuje się standard tagowania IEEE 802.1Q, dodający do nagłówka ramki Ethernet 4-bajtowy znacznik (tag) z numerem VLAN.

3. Routing między sieciami VLAN (Inter-VLAN Routing)

Ponieważ urządzenia z różnych VLAN-ów są odizolowane w warstwie 2, do umożliwienia im komunikacji między sobą niezbędne jest zastosowanie urządzenia warstwy 3 (routera lub przełącznika L3):

• Router on a Stick: Konfiguracja, w której jeden fizyczny port routera połączony jest z portem trunkowym przełącznika. Port routera dzielony jest na podinterfejsy logiczne (np. FastEthernet0/0.10 dla VLAN 10), z których każdy pełni rolę bramy domyślnej (gateway) dla odpowiedniej podsieci.
• Przełącznik warstwy trzeciej (Switch L3): Wykorzystanie wbudowanej funkcji routingu IP na samym przełączniku za pomocą tzw. interfejsów VLAN (SVI – Switch Virtual Interface), co zapewnia znacznie wyższą wydajność transmisji między wirtualnymi sieciami.

Strategia technika

Projektując architekturę nowoczesnej sieci LAN, bezwzględnie rezygnuj z pozostawiania wszystkich portów w domyślnym VLAN-ie 1 (poza natywnymi celami zarządzania). Wszystkie porty nieużywane należy wyłączyć (shutdown) i przypisać do specjalnego, odizolowanego VLAN-u "śmietnikowego" (Black Hole VLAN). Konfigurując łącza trunkowe między przełącznikami, zawsze pamiętaj o ręcznym wskazaniu dozwolonych VLAN-ów (Pruned VLANs), aby niepotrzebnie nie obciążać łączy ruchem z sieci wirtualnych, które nie są obsługiwane na danym przełączniku docelowym.