VLAN چیست و چه زمانی به جداسازی شبکه نیاز داریم؟
کامپیوتر کارکنان، گوشی مهمان و دوربین ممکن است به تجهیزات مشترک وصل باشند، اما قرار نیست دسترسی یکسانی داشته باشند. VLAN کمک می‌کند این دستگاه‌ها را در شبکه‌های منطقی جدا قرار دهیم؛ بدون اینکه برای هر گروه حتماً کابل‌کشی و سوئیچ کاملاً مستقلی داشته باشیم.
آخرین بازبینی متن:
در این صفحه
یک مثال: کارکنان، مهمان و دوربین
فرض کنید در یک دفتر، کارکنان به نرم‌افزار و چاپگر شرکت نیاز دارند، مهمان فقط اینترنت می‌خواهد و دوربین‌ها باید با دستگاه ضبط ارتباط داشته باشند. می‌توان این سه گروه را در VLANهای جدا گذاشت و سپس ارتباط‌های موردنیاز را مشخص کرد.
| گروه | VLAN و زیرشبکه مثال | دسترسی موردنظر |
|---|---|---|
| کارکنان | VLAN 10؛ 192.168.10.0/24 | اینترنت و سرویس‌های مجاز شرکت. |
| مهمان | VLAN 20؛ 192.168.20.0/24 | اینترنت؛ بدون دسترسی به منابع داخلی شرکت. |
| دوربین و ضبط | VLAN 30؛ 192.168.30.0/24 | ارتباط دوربین‌ها با ضبط؛ دسترسی مشاهده فقط برای افراد مجاز. |
برای دیدن همه ستون‌ها، جدول را به چپ یا راست بکشید؛ با کیبورد از کلیدهای جهت استفاده کنید.
ستون آخر هدف طراحی است؛ صرف ساختن سه VLAN آن را کامل اجرا نمی‌کند. باید مسیرهای مجاز و محدودیت‌ها روی تجهیزات مربوط تنظیم شوند. مثلاً اگر همه ارتباط‌های بین VLANها آزاد باشند، جداشدن شماره VLAN مانع دسترسی مهمان به سرور نمی‌شود.
دستگاه‌های یک VLAN لازم نیست کنار هم یا روی یک سوئیچ باشند. این شبکه منطقی می‌تواند با اتصال‌های درست میان چند سوئیچ امتداد پیدا کند. در مقابل، داشتن دو نام وای‌فای روی یک اکسس‌پوینت هم به‌تنهایی ثابت نمی‌کند مهمان از کارکنان جدا شده است.
VLAN با Subnet چه فرقی دارد؟
VLAN تعیین می‌کند کدام دستگاه‌ها در یک بخش ارتباط محلی یا لایه دو قرار بگیرند. Subnet، محدوده آدرس‌های IP در لایه سه را مشخص می‌کند. در طرح رایج دفتر، برای هر VLAN یک زیرشبکه جدا در نظر می‌گیریم تا آدرس‌دهی و مسیریابی روشن باشد؛ اما این دو اصطلاح یک معنی ندارند.
فقط عوض‌کردن محدوده IP کارکنان و مهمان روی یک شبکه محلی مشترک، VLAN ایجاد نمی‌کند. از سوی دیگر، گذاشتن دو دستگاه در VLANهای جدا و دادن آدرس‌های هم‌محدوده به آن‌ها نیز ارتباط مستقیم نمی‌سازد. عضویت شبکه و طرح آدرس‌ها باید با هم هماهنگ باشند.
شناسه VLAN یک شماره برای تشخیص آن شبکه منطقی است؛ لازم نیست با عددی در IP برابر باشد. در مثال بالا، شماره ۲۰ و آدرس 192.168.20.0 فقط برای خوانایی کنار هم انتخاب شده‌اند. راهنمای IP، Subnet و Gateway بخش آدرس‌دهی را با جزئیات توضیح می‌دهد.
Access و Trunk چه نقشی دارند؟
در اتصال معمول یک کامپیوتر، پورت Access ترافیک بدون برچسب دستگاه را به VLAN تعیین‌شده نسبت می‌دهد. کامپیوتر معمولاً لازم نیست خودش برچسب VLAN بسازد. این ساده‌ترین حالت اتصال یک دستگاه به یک بخش است؛ تلفن IP دارای پورت عبوری کامپیوتر یا میزبان مجازی می‌تواند طرح متفاوتی داشته باشد.
یک لینک Trunk می‌تواند ترافیک چند VLAN مجاز را از همان اتصال فیزیکی عبور دهد؛ مثلاً بین دو سوئیچ یا از سوئیچ به اکسس‌پوینتی با چند شبکه بی‌سیم. در 802.1Q، برچسب VLAN کمک می‌کند گیرنده تشخیص دهد فریم به کدام بخش تعلق دارد.
تنظیم ترافیک بدون برچسب نیز باید در دو سمت هماهنگ باشد. PVID معمولاً VLAN مربوط به فریم ورودی بدون برچسب را مشخص می‌کند؛ Native VLAN در تنظیم Trunk به نحوه برخورد با ترافیک بدون برچسب مربوط است. معنی دقیق و اثر این گزینه‌ها را باید در همان محصول دید. Trunk الزاماً به معنی عبور همه VLANها نیست؛ فهرست مجاز و شیوه برچسب‌گذاری تعیین‌کننده‌اند. نام گزینه‌ها و روش تنظیم بین سازنده‌ها فرق می‌کند.
ارتباط بین VLANها چگونه برقرار می‌شود؟
برای ارتباط IP میان زیرشبکه‌های VLANهای مختلف، یک تجهیز دارای قابلیت مسیریابی لازم است؛ روتر، فایروال یا سوئیچ لایه سه می‌تواند این نقش را داشته باشد. دروازه هر بخش و مسیر برگشت باید درست باشند. سپس قواعد فایروال یا ACL مشخص می‌کنند کدام مبدأ به کدام مقصد و سرویس دسترسی داشته باشد.
برای مثال، کارمند مجاز می‌تواند به سرویس مشاهده تصویر در بخش دوربین برسد، ولی مهمان اجازه همین ارتباط را نداشته باشد. مجوز ورود به نرم‌افزار و حساب کاربری همچنان جداست؛ اجازه عبور در شبکه، مجوز دیدن همه اطلاعات نیست.
اگر دستگاه‌ها IP را خودکار می‌گیرند، هر بخش به تنظیم متناسب خودش نیاز دارد. سرور مرکزی می‌تواند از طریق DHCP Relay به چند بخش خدمت بدهد؛ پیام اولیه دستگاه خودبه‌خود از روتر عبور نمی‌کند. مفهوم DHCP و Relay این وابستگی را توضیح می‌دهد.
چه زمانی جداسازی ارزش دارد؟
- مهمان و کارکنان سطح اعتماد و منابع موردنیاز متفاوتی دارند.
- دوربین، تلفن، تجهیزات مدیریت یا سرورها باید مسیر دسترسی مشخصی داشته باشند.
- با بزرگ‌شدن شبکه، محدودکردن دامنه برادکست و مشخص‌بودن مسئولیت هر بخش اهمیت پیدا کرده است.
تعداد کامپیوتر به‌تنهایی معیار نیست. یک دفتر کوچک با مهمان و اطلاعات حساس هم ممکن است به جداسازی نیاز داشته باشد؛ چند گروه کاری با نیاز و سطح دسترسی یکسان الزاماً به VLAN جدا برای هر گروه نیاز ندارند. تقسیم بیش‌ازحد، نگهداری و پیدا کردن علت اختلال را پیچیده می‌کند.
VLAN چه چیزی را تضمین نمی‌کند؟
VLAN رمزنگاری نیست و جای فایروال، مجوز برنامه یا حفاظت حساب‌ها را نمی‌گیرد. خرابی سوئیچ، برق یا اتصال مشترک هنوز می‌تواند چند VLAN را با هم درگیر کند. جداکردن برادکست نیز ظرفیت اینترنت یا سرعت پورت را بیشتر نمی‌کند.
سوئیچ، اکسس‌پوینت و مسیر ارتباط باید قابلیت لازم را داشته باشند؛ عبور اتفاقی فریم برچسب‌دار از یک دستگاه، معادل مدیریت درست VLAN نیست. راهنمای انتخاب سوئیچ دفتر به امکانات مؤثر در خرید می‌پردازد. برای اجرای جداسازی و تعیین ارتباط مجاز هم خدمات تنظیم تجهیزات شبکه مسیر مرتبط است.