Виртуальная локальная сеть (VLAN)
Простыми словами
VLAN логически разделяет одну коммутируемую сеть на несколько широковещательных доменов. Кадры разных VLAN могут проходить по одному физическому каналу с меткой, но обмен между сегментами требует маршрутизации и отдельной политики.
Как применяется
VLAN используют для разделения пользователей, серверов, управления, телефонии и технологических устройств. Безопасность зависит от конфигурации access/trunk-портов, отключения неиспользуемых портов и межсетевого контроля между VLAN — сама метка не является полноценной границей доверия.
Пример применения
Камеры находятся в отдельной VLAN и не могут обращаться к рабочим станциям. Trunk до ядра разрешает только перечисленные VLAN, native VLAN не используется для пользовательского трафика, а маршрутизация проходит через межсетевой экран.
Не путать с
- СравнениеVLAN разделяет сеть на канальном уровне; IP-подсеть относится к сетевой адресации, хотя на практике их часто сопоставляют один к одному. VRF разделяет таблицы маршрутизации, а микросегментация применяет более детальные политики к нагрузкам.
Как это работает
- Назначить сегментУстройству или порту назначают VLAN по статической настройке либо политике доступа.
- Пометить на trunkКоммутатор добавляет тег 802.1Q при передаче нескольких VLAN по общему каналу.
- Коммутировать внутриКадры доставляются только участникам того же широковещательного домена.
- Контролировать межсегментный доступМаршрутизатор или firewall применяет явные правила при обмене между VLAN.
Связанные термины
Частые вопросы
Она сокращает область канального обмена, но ошибки конфигурации и компрометация оборудования остаются; чувствительный трафик дополнительно шифруют.
Что такое VLAN hopping?Это класс атак на ошибочные trunk/native-настройки; современные сети защищают явным режимом портов и ограничением разрешённых VLAN.
Нужно ли каждой VLAN отдельное правило firewall?Межсегментный доступ проектируют по потокам и риску; наличие разных VLAN без контроля маршрутизации может не дать нужной изоляции.