Sieci VLAN (Virtual Local Area Network): Logiczna segmentacja ruchu w sieci

Sieć VLAN (Wirtualna Sieć Lokalna) to rozwiązanie pozwalające na podział jednej fizycznej infrastruktury przełączników na wiele niezależnych, logicznych podsieci. Urządzenia należące do różnych sieci VLAN nie mogą się ze sobą komunikować bezpośrednio w warstwie 2 (nawet jeśli są wpięte do tego samego switcha), co pozwala na drastyczne zwiększenie bezpieczeństwa, poprawę wydajności poprzez redukcję ruchu rozgłoszeniowego (broadcast) oraz elastyczne zarządzanie strukturą organizacji.

1. Zasada działania i etykietowanie ramek (IEEE 802.1Q)

Tradycyjne przełączniki traktują wszystkie porty jako należące do jednej domeny rozgłoszeniowej. W technologii VLAN ruch pomiędzy różnymi sieciami wirtualnymi jest rozróżniany dzięki standardowi IEEE 802.1Q, który wprowadza mechanizm tagowania (etykietowania) ramek Ethernet:

• Tag VLAN: Do standardowej ramki Ethernet dodawane jest 4-bajtowe pole zawierające identyfikator VLAN (VID – od 1 do 4094), informujące urządzenia przesyłające, do której sieci należy dany pakiet.
• Natywny VLAN (Native VLAN): Specjalny VLAN na porcie trunkowym, który przesyła nietagowane ramki (domyślnie zazwyczaj VLAN 1).

2. Rodzaje portów w przełącznikach obsługujących VLAN

Konfiguracja VLAN-ów wymaga odpowiedniego podziału ról poszczególnych portów fizycznych w przełączniku:

• Port dostępowy (Access Port): Port przypisany do dokładnie jednego, konkretnego VLAN-u. Obsługuje urządzenia końcowe (komputery, drukarki, IP telefony), które nie mają pojęcia o istnieniu tagów VLAN – przełącznik sam taguje ruch wychodzący i odtajga ruch przychodzący.
• Port trunkowy (Trunk Port): Port przesyłający ruch z wielu różnych sieci VLAN jednocześnie (np. łącze między dwoma switchami lub między switchem a routerem). Ramki przechodzące przez trunk są obowiązkowo tagowane, aby odbiorca wiedział, do jakiego VLAN-u je zakwalifikować.

3. Routing między sieciami VLAN (Inter-VLAN Routing)

Ponieważ sieci VLAN są od siebie odizolowane w warstwie 2, urządzenia z różnych VLAN-ów nie mogą się ze sobą komunikować bezpośrednio. Do wymiany ruchu między nimi niezbędne jest urządzenie warstwy trzeciej (Router lub Switch L3):

• Router on a Stick: Klasyczne rozwiązanie, gdzie router jest połączony ze switchem jednym portem trunkowym, a na interfejsie routera tworzy się tzw. podinterfejsy (subinterfaces) dla każdego VLAN-u, pełniące funkcję bram domyślnych (Gateway).
• Switch Trzeciej Warstwy (L3 Switch): Nowoczesne podejście, gdzie funkcja routingu między VLAN-ami jest realizowana bezpośrednio na przełączniku za pomocą wirtualnych interfejsów VLAN (SVI – Switch Virtual Interface).

Strategia technika

Projektując architekturę VLAN w przedsiębiorstwie, zawsze stosuj zasadę logicznego grupowania zasobów (np. osobny VLAN dla stanowisk pracowniczych, osobny dla telefonii VoIP, osobny dla gości oraz wydzielony, ściśle chroniony VLAN zarządzania – Management VLAN). Z względów bezpieczeństwa pamiętaj o zmianie domyślnego VLAN 1 na inny numer dla niezarządzanego ruchu, wyłączeniu nieużywanych portów oraz konfiguracji zabezpieczeń portów, aby uniemożliwić nieautoryzowanym osobom wpięcie się do krytycznych segmentów sieci.