VLAN چیست؟ تقسیم بندی شبکه شرکت با VLAN، ترانک و مسیریابی بین VLAN ها

VLAN چیست؟ مخفف Virtual LAN و روشی برای تقسیم یک شبکه فیزیکی به چند شبکه منطقی جداست. کامپیوترهایی که به یک سوئیچ وصل اند، بسته به VLAN پورتشان، انگار به سوئیچ های جدا وصل شده اند: ترافیک broadcast یک VLAN به VLAN دیگر نمی رسد و برای رسیدن دستگاه یک VLAN به دستگاه VLAN دیگر، ترافیک باید از یک روتر یا فایروال بگذرد.

در دفتر کوچک ممکن است همه دستگاه ها روی یک شبکه باشند. با رشد شرکت، دوربین ها، تلفن های VoIP، سرورها، لپ تاپ مهمان ها و کامپیوتر کارمندان همه در یک شبکه می مانند، و هر کدام می تواند دیگری را ببیند. VLAN این وضع را بدون خرید سخت افزار جدا برای هر گروه مرتب می کند.

چرا شبکه را با VLAN تقسیم می کنند

• ترافیک broadcast یک VLAN به بقیه نمی رسد، پس شبکه بزرگ پر سر و صدا نمی شود.
• مهمان ها، دوربین ها و سرورها در شبکه جدا قرار می گیرند و با فایروال می شود تعیین کرد چه کسی به چه چیزی دسترسی دارد.
• تلفن های VoIP در یک VLAN جدا برای صوت بهتر کار می کنند، چون می شود روی آن QoS گذاشت.
• جابجایی کارمند بین واحدها بدون کابل کشی جدید و فقط با عوض کردن VLAN پورت انجام می شود.

پورت access و پورت trunk

هر پورت سوئیچ در یکی از این دو حالت کار می کند:

• پورت access متعلق به فقط یک VLAN است. کامپیوتر، چاپگر یا دوربین به آن وصل می شود و از VLAN چیزی نمی داند، چون سوئیچ ترافیکش را خودش به VLAN درست می فرستد.
• پورت trunk چند VLAN را روی یک کابل حمل می کند. به هر بسته یک برچسب (tag) بر اساس استاندارد 802.1Q اضافه می شود تا طرف مقابل بداند بسته مال کدام VLAN است. اتصال بین دو سوئیچ یا سوئیچ و روتر معمولاً trunk است.

شناسه VLAN در برچسب 802.1Q دوازده بیتی است و شماره های قابل استفاده از 1 تا 4094 اند. استفاده از VLAN شماره 1 برای کار روزمره توصیه نمی شود، چون پیش فرض بسیاری از سوئیچ هاست و همه پورت ها در ابتدا به آن تعلق دارند.

Native VLAN چیست

در پورت trunk یک VLAN بدون برچسب عبور می کند که به آن native VLAN می گویند. اگر دو سر trunk native VLAN متفاوت داشته باشند، ترافیک VLAN ها قاطی می شود و سوئیچ هشدار mismatch می دهد. بهتر است native VLAN را به یک شماره بدون استفاده (مثلاً 999) تغییر دهید و روی هر دو سر یکسان بگذارید.

یک نمونه طراحی برای دفتر متوسط

شماره VLAN را مطابق آدرس شبکه انتخاب کنید (VLAN 20 برای 10.10.20.0/24). وقتی عیب یابی می کنید، فقط با دیدن آدرس IP می فهمید دستگاه در کدام VLAN است.

کانفیگ VLAN در سوئیچ سیسکو

ساختن VLAN، گذاشتن یک پورت داخل آن و تعریف trunk به سمت سوئیچ بالادست:

vlan 20
 name STAFF
interface GigabitEthernet1/0/10
 switchport mode access
 switchport access vlan 20
interface GigabitEthernet1/0/48
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30,40,50,60

دستور allowed vlan مهم است. اگر VLANی در این فهرست نباشد، از trunk عبور نمی کند و دستگاه های آن VLAN در سوئیچ مقابل دیده نمی شوند. وضعیت را با این دستورها ببینید:

show vlan brief
show interfaces trunk

در میکروتیک همین کار با Bridge VLAN Filtering انجام می شود. تفاوت دو برند را در مقایسه میکروتیک و سیسکو آورده ایم.

مسیریابی بین VLAN ها

دستگاه های دو VLAN مختلف در لایه 2 یکدیگر را نمی بینند. برای ارتباط بینشان به لایه 3 نیاز است، به دو روش:

• Router on a stick: یک کابل trunk از سوئیچ به روتر می رود و روتر برای هر VLAN یک subinterface دارد. برای شبکه کوچک کافی است.
• سوئیچ لایه 3: خود سوئیچ برای هر VLAN یک SVI می سازد و مسیریابی را انجام می دهد. سرعتش از روتر بیشتر است و در شبکه بزرگ تر انتخاب معمول است.

ip routing
interface vlan 20
 ip address 10.10.20.1 255.255.255.0
 ip helper-address 10.10.30.5

آدرس 10.10.20.1 گیت وی کامپیوترهای VLAN 20 می شود. خط ip helper-address درخواست DHCP کارمندان را به سرور DHCP در VLAN سرورها می رساند. بدون آن، DHCP که با broadcast کار می کند از مرز VLAN رد نمی شود.

VLAN به تنهایی امنیت نمی سازد

جدا بودن VLAN ها فقط در لایه 2 است. به محض اینکه مسیریابی بین VLAN ها فعال شود، همه VLAN ها به طور پیش فرض به هم دسترسی دارند. برای اینکه شبکه مهمان واقعاً از شبکه سرورها جدا باشد باید روی روتر یا فایروال قاعده بنویسید: مهمان فقط به اینترنت برسد، دوربین ها فقط به سرور ضبط، و کارمندان فقط به سرویس هایی که لازم دارند. اصول نوشتن این قواعد را در اصول نوشتن قاعده های فایروال توضیح داده ایم.

کانفیگ VLAN در میکروتیک

در RouterOS نسخه 7، VLAN روی bridge تعریف می شود. نمونه زیر پورت ether2 را access برای VLAN 20 می کند و ether1 را به عنوان trunk به سمت سوئیچ بالادست نگه می دارد:

/interface bridge add name=bridge1 vlan-filtering=no
/interface bridge port add bridge=bridge1 interface=ether1
/interface bridge port add bridge=bridge1 interface=ether2 pvid=20
/interface bridge vlan add bridge=bridge1 tagged=bridge1,ether1 untagged=ether2 vlan-ids=20
/interface vlan add name=vlan20 interface=bridge1 vlan-id=20
/ip address add address=10.10.20.1/24 interface=vlan20
/interface bridge set bridge1 vlan-filtering=yes

فعال کردن vlan-filtering را آخر از همه انجام دهید. تا وقتی فعال نشده، تغییرات اثری ندارند، و اگر روی پورتی که با آن به روتر وصل هستید زودتر فعالش کنید و VLAN را اشتباه بگذارید، دسترسی خودتان قطع می شود. بهتر است این کار را با Safe Mode یا از طریق کنسول انجام دهید.

VLAN برای Wi-Fi و تلفن VoIP

برای شبکه بی سیم، هر SSID را به یک VLAN وصل می کنند. مثلاً SSID کارمندان در VLAN 20 و SSID مهمان در VLAN 50 است. اکسس پوینت به سوئیچ با پورت trunk وصل می شود و VLAN مدیریت خودش معمولاً native یا یک VLAN جدا است. به این ترتیب یک اکسس پوینت چند شبکه جدا پخش می کند.

تلفن های VoIP معمولاً بین سوئیچ و کامپیوتر کارمند قرار می گیرند. با Voice VLAN، تلفن و کامپیوتر به یک پورت وصل اند ولی در دو VLAN جدا کار می کنند:

interface GigabitEthernet1/0/11
 switchport mode access
 switchport access vlan 20
 switchport voice vlan 60

وقتی VLAN کار نمی کند

برای عیب یابی، از پایین به بالا بروید:

• پورت دستگاه در VLAN درست است؟ با show vlan brief پورت ها را ببینید.
• VLAN روی trunk مجاز است؟ show interfaces trunk فهرست VLAN های مجاز و native VLAN را نشان می دهد.
• سوئیچ آدرس MAC دستگاه را در VLAN درست یاد گرفته؟ show mac address-table vlan 20 را بزنید. اگر MAC دیده نمی شود، مشکل از کابل، پورت یا VLAN پورت است.
• دستگاه آدرس IP گرفته؟ اگر نه، DHCP و ip helper-address را چک کنید.
• گیت وی ping می شود؟ اگر بله ولی به VLAN دیگر نمی رسید، قاعده فایروال یا مسیریابی را بررسی کنید.

هر مشکلی که فقط بعد از اضافه کردن سوئیچ جدید شروع شده، اول از ناسازگاری native VLAN یا فهرست allowed vlan شروع کنید. در شبکه ای با چند سوئیچ، Spanning Tree هم باید درست تنظیم شده باشد تا اتصال اشتباهی دو پورت، کل شبکه را با حلقه (loop) از کار نیندازد.

برای مشکل هایی که فراتر از VLAN اند، عیب یابی شبکه روش مرحله ای دارد. تلفن های VoIP هم معمولاً در VLAN جدا کار می کنند؛ نمونه کانفیگ سانترال در نصب ایزابل آمده است.

اشتباه های رایج

• native VLAN دو طرف trunk یکی نیست، یا همه جا روی VLAN 1 مانده است.
• VLAN ساخته شده ولی در allowed vlan تعریف نشده، پس تا سوئیچ بعدی نمی رسد.
• پورت های خالی در VLAN کارمندان مانده اند. پورتی که کابلی به آن وصل نیست را ببندید یا در یک VLAN بدون مسیر قرار دهید.
• مسیریابی بین VLAN ها فعال شده ولی هیچ قاعده فایروالی نوشته نشده است.
• آدرس دهی بی نقشه: شماره VLAN و آدرس شبکه ها با هم ارتباطی ندارند و کسی نمی داند کدام شبکه مال چیست.

VLAN را کجا شروع کنیم

برای شبکه ای که تا امروز تخت بوده، شروع با دو یا سه VLAN کافی است: یکی برای کارمندان، یکی برای سرورها و یکی برای مهمان ها. بقیه را وقتی لازم شد اضافه کنید. قبل از تغییر، پیکربندی سوئیچ ها را ذخیره کنید و برای پورتی که با آن به سوئیچ وصل هستید دقت کنید، چون اگر VLAN آن را اشتباه عوض کنید دسترسی خودتان قطع می شود.

VLAN در لایه 2 کار می کند و مسیریابی بین آن ها در لایه 3؛ این تقسیم در مدل OSI چیست توضیح داده شده. دوربین ها و اکسس پوینت های هر VLAN معمولاً برق را با کابل شبکه می گیرند (PoE چیست).

تفکیک شبکه مهمان و کارمند روی اکسس پوینت در اکسس پوینت چیست آمده است.

جلوگیری از حلقه در شبکه در STP چیست توضیح داده شده است.

منابع و مستندات رسمی

• صفحه رسمی IEEE 802.1Q درباره Bridges و VLAN
• مستندات رسمی MikroTik درباره VLAN
• مستندات رسمی MikroTik درباره Bridging و Switching

اگر شبکه شما هنوز تخت است، ساخت نقشه آدرس دهی و VLAN و کانفیگ سوئیچ و روتر در نصب و راه اندازی شبکه شرح داده شده. برای وصل کردن چند شعبه به هم هم VPN سازمانی و اتصال شعبه ها مفید است.

نحوه تهیه مقاله ها