Погружение в VLAN: Магия виртуальных сетей, которую должен знать каждый

Если бы локальные сети были оркестром, то VLAN — это дирижёр, который виртуозно разделяет инструменты по группам, позволяя им играть свои партии без помех друг другу. В этой статье мы разберём, что такое VLAN, как он работает, зачем нужен, как настраивается на коммутаторах, и почему без него современный сетевой мир был бы просто хаосом.

Что такое VLAN и зачем он нужен?

Представьте себе офис с тремя отделами: бухгалтерией, отделом кадров и дирекцией. Все сотрудники подключены к одному огромному коммутатору. Без VLAN каждый запрос рассылался бы всем компьютерам подряд — это как если бы вы хотели поговорить с коллегой и выкрикивали свои слова в общий зал, где вас слышат все. Звучит неэффективно и небезопасно, правда?

Здесь приходит на помощь VLAN (Virtual Local Area Network) — виртуальная локальная сеть. Она позволяет объединять устройства логически, вне зависимости от того, где они физически находятся, создавая отдельные широковещательные домены для каждого VLAN. Это помогает:

• уменьшить количество широковещательного трафика (тот самый "шум" в сети);
• повысить безопасность, изолируя трафик между отделами;
• упростить управление сетью, разбивая её на сегменты по функциональному признаку.

Иными словами, VLAN превращает один большой коммутатор в несколько маленьких, виртуальных, которые не мешают друг другу, словно закрытые комнаты в одном здании.

Как работает коммутатор: от портов до MAC-адресов

Коммутатор — это, скажем, умный швейцар, который решает, кому доставить письмо (Ethernet-кадр), опираясь на список адресатов (MAC-адресов). Он работает на втором уровне модели OSI — канальном.

Таблица коммутации

При поступлении кадра коммутатор проверяет таблицу коммутации — соответствие MAC-адресов и портов. Если адрес получателя известен, кадр передаётся только туда (forwarding). Если нет — отправляется всем, кроме порта отправителя (flooding).

Если в таблице уже есть запись, и кадр пришёл с того же порта, что и MAC-адрес получателя, кадр отбрасывается (filtering).

Домены коллизий и широковещания

Каждый порт коммутатора — отдельный домен коллизий. Это значит, что несколько устройств могут передавать данные одновременно, не мешая друг другу. Однако, широковещательные кадры (например, ARP-запросы) рассылаются всем портам в широковещательном домене — по умолчанию, это все порты коммутатора.

Чем больше устройств в одном широковещательном домене, тем выше нагрузка и вероятность снижения производительности.

Как VLAN помогает разделять домены

VLAN создаёт несколько виртуальных широковещательных доменов на одном коммутаторе. Каждый VLAN имеет уникальный идентификатор (VLAN ID), по стандарту 802.1Q — это число от 1 до 4094.

Устройства в одном VLAN видят друг друга и обмениваются данными, а между VLAN трафик не ходит, если не настроена маршрутизация.

Тегирование трафика: как коммутатор отличает VLAN

Ethernet-кадры не содержат информации о VLAN по умолчанию. Для передачи трафика нескольких VLAN по одному порту используется тегирование — добавление специального заголовка к кадру.

Стандарт IEEE 802.1Q описывает структуру такого тега:

Таким образом, кадр "подписывается", к какому VLAN он принадлежит.

Типы портов коммутатора: access, trunk и hybrid

• Access port (порт доступа) — принадлежит одному VLAN и передаёт трафик без тегов (нетегированный). Обычно подключает конечные устройства — компьютеры, принтеры.

• Trunk port (магистральный порт) — передаёт трафик нескольких VLAN с тегами. Соединяет коммутаторы или коммутатор с маршрутизатором.

• Hybrid port — смешанный режим, передаёт как тегированный, так и нетегированный трафик. Например, для IP-телефонов, которые умеют работать с тегами, но подключены к конечным устройствам.

Работа с Native VLAN

Native VLAN — это VLAN, трафик которого передаётся по trunk-порту без тегов. По умолчанию это VLAN 1. Все нетегированные кадры, приходящие на trunk-порт, относят к Native VLAN.

Это удобно, но требует внимательности: настройка Native VLAN должна быть согласована на обоих концах канала, иначе возникнут ошибки.

Межвлановая маршрутизация (InterVLAN Routing)

VLAN изолируют широковещательные домены, но часто требуется обеспечить обмен данными между VLAN. Этим занимается маршрутизатор (роутер) или коммутатор L3.

Router-on-a-stick

Наиболее популярная схема — когда один физический интерфейс маршрутизатора разделён на подинтерфейсы (subinterfaces), каждый из которых настроен на конкретный VLAN с тегированием dot1Q.

Транковый порт коммутатора соединяется с маршрутизатором, обеспечивая передачу тегированных кадров.

L3-коммутаторы

Коммутаторы с поддержкой L3 могут выполнять маршрутизацию между VLAN аппаратно, что даёт высокую производительность, но ограниченный набор функций (обычно без NAT и фаерволов).

Настройка VLAN на коммутаторах Cisco: пример

Создадим VLAN и назначим порты:

sw1(config)# vlan 2
sw1(config-vlan)# name Dir-ya
sw1(config)# interface range fastEthernet 0/1-2
sw1(config-if-range)# switchport mode access
sw1(config-if-range)# switchport access vlan 2
sw1(config)# interface fastEthernet 0/24
sw1(config-if)# switchport mode trunk
sw1(config-if)# switchport trunk allowed vlan 2

Проверка VLAN:

sw1# show vlan brief

Настройка trunk на центральном коммутаторе:

CentrSW(config)# interface fastEthernet 0/24
CentrSW(config-if)# switchport mode trunk
CentrSW(config-if)# switchport trunk allowed vlan 2,3,4

Настройка подинтерфейсов маршрутизатора:

Router(config)# interface fastEthernet 0/0.2
Router(config-subif)# encapsulation dot1Q 2
Router(config-subif)# ip address 192.168.1.1 255.255.255.0

Протоколы DTP и VTP: помощь или угроза?

• DTP (Dynamic Trunking Protocol) позволяет коммутаторам автоматически договариваться о режиме trunk или access на портах. Но он может стать дырой в безопасности, позволяя злоумышленнику "угадать" и установить trunk-порт для перехвата трафика. Рекомендуется отключать DTP и настраивать порты вручную.

• VTP (VLAN Trunking Protocol) упрощает управление VLAN, автоматически синхронизируя информацию между коммутаторами в домене. Но опасен тем, что коммутатор с более высоким номером версии конфигурации может затереть настройки всей сети, что может привести к простою. Используйте VTP с осторожностью или отключайте его.

Передача VLAN-трафика на дальние расстояния

Технологии, такие как QinQ (802.1ad) позволяют вложить один тег VLAN в другой, создавая "тегированные теги" для прохождения VLAN через провайдерские сети.

Также можно использовать VPN-туннели, например OpenVPN в режиме мостового подключения (bridge), для прозрачной передачи тегированного трафика по IP-сети.

VLAN в операционных системах

• В Linux поддержка VLAN реализуется через модуль 8021q и виртуальные интерфейсы (eth0.10, eth0.20 и т.д.).
• В Windows VLAN поддерживается через драйверы сетевых карт.
• В FreeBSD, Solaris и других UNIX-подобных системах VLAN настраивается через ifconfig или системные утилиты.

FAQ: Краткие ответы на главные вопросы

Что делать, если нужно, чтобы компьютер был в нескольких VLAN?
Используйте trunk-порт и настройте на компьютере поддержу VLAN (например, в Linux — виртуальные интерфейсы).

Можно ли использовать VLAN без маршрутизатора?
Да, устройства в одном VLAN могут общаться без маршрутизатора. Для связи между VLAN нужен маршрутизатор или L3-коммутатор.

Зачем менять Native VLAN?
Для безопасности: если оставить VLAN 1 в роли Native, злоумышленники могут использовать его для атак.

Что если порт настроен в trunk, а на другом конце access?
Может возникнуть конфликт, DTP поможет согласовать режим, но лучше настроить вручную и согласовать.

Чек-лист по настройке VLAN

• [x] Создать VLAN и дать им понятные имена.
• [x] Назначить access-порты на соответствующие VLAN.
• [x] Настроить trunk-порты с разрешёнными VLAN.
• [x] Установить Native VLAN, отличную от 1, при необходимости.
• [x] Отключить DTP на портах (switchport nonegotiate).
• [x] При необходимости настроить маршрутизацию между VLAN.
• [x] Проверить таблицы VLAN и trunk (show vlan, show interfaces trunk).
• [x] Настроить безопасность: ограничить доступ к коммутаторам, мониторинг сети.

Советы для счастливой работы с VLAN

• Не используйте VLAN 1 для своих сетей — это "родной" VLAN и может стать причиной проблем безопасности.
• Никогда не полагайтесь на автоматические протоколы, вроде DTP и VTP, без понимания их рисков. Лучше настройте всё вручную.
• Следите за таблицами коммутации и пересматривайте настройки VLAN после изменений в сети.
• Используйте логические имена для VLAN и описывайте конфигурацию — это сэкономит много времени.
• Для маршрутизации между VLAN используйте L3-коммутаторы для повышения производительности.

VLAN — это основа современной структурированной и управляемой сети. Без неё вы рискуете получить хаос, как если бы в оркестре играл каждый сам по себе. Включайте VLAN в свои сети и слушайте, как они поют в унисон!