VLAN

VLAN (Virtual Local Area Network) логически разделяет одну физическую коммутируемую сеть на несколько независимых широковещательных доменов.

Устройства из разных VLAN не обмениваются кадрами напрямую, даже если подключены к одному коммутатору. Для связи между ними требуется маршрутизатор или L3-коммутатор.

Назначение

VLAN применяют для:

• разделения пользовательских, серверных и управляющих сетей;
• изоляции гостевых и недоверенных устройств;
• уменьшения широковещательных доменов;
• применения отдельных правил firewall и QoS.

VLAN не заменяет firewall. Он разделяет канальные сегменты, а доступ между ними контролируется на уровне маршрутизации.

Access и trunk

Access-порт относится к одному VLAN. Подключённое устройство работает с обычными Ethernet-кадрами без тега.

Trunk-порт переносит несколько VLAN между коммутаторами, маршрутизаторами, точками доступа или гипервизорами. Кадры маркируются тегом IEEE 802.1Q.

клиент ─ access VLAN 10 ─ коммутатор ─ trunk VLAN 10,20 ─ маршрутизатор

Тег 802.1Q содержит VLAN ID. Практически используются значения от 1 до 4094, хотя часть диапазона может быть зарезервирована оборудованием.

Межвлановая маршрутизация

Каждому VLAN обычно соответствует отдельная IP-подсеть и шлюз:

VLAN 10: 192.168.10.0/24
VLAN 20: 192.168.20.0/24

Трафик между ними проходит через маршрутизатор, где применяются правила доступа.

Диагностика

Проверяют VLAN ID access-порта, разрешённые VLAN на trunk, совпадение native VLAN, наличие VLAN на промежуточных коммутаторах, IP-подсеть клиента и правила маршрутизации.

Связанные заметки

• Ethernet
• DHCP
• IP
• Модель OSI