Виртуальная локальная сеть

Виртуальная локальная сеть (Virtual Local Area Network, VLAN) — это логическая (виртуальная) группа устройств в компьютерной сети, которые взаимодействуют друг с другом так, как если бы они были подключены к одному физическому сегменту сети, независимо от их фактического физического расположения. VLAN позволяет сегментировать единую физическую сеть на несколько изолированных логических сетей, что повышает производительность, безопасность и управляемость инфраструктуры.

Принцип работы

Основой технологии VLAN является логическое разделение широковещательного домена. В классической сети Ethernet все устройства, подключенные к одному коммутатору (или сегменту), получают все широковещательные кадры (broadcast), что снижает пропускную способность и создаёт угрозы безопасности. VLAN решает эту проблему, изолируя трафик: устройства из разных VLAN не видят друг друга напрямую и не получают широковещательные сообщения друг друга.

Для идентификации принадлежности кадра к конкретной VLAN используется специальный тег (метка), который добавляется в заголовок Ethernet-кадра. Наиболее распространённый стандарт — IEEE 802.1Q. Он вставляет в кадр 4-байтовое поле, содержащее идентификатор VLAN (VLAN ID, VID) длиной 12 бит, что позволяет различать до 4096 VLAN (от 0 до 4095, при этом некоторые идентификаторы зарезервированы, например, 0 и 4095).

Коммутаторы, поддерживающие VLAN, работают следующим образом:

• При получении кадра от устройства (например, компьютера) коммутатор определяет, к какой VLAN принадлежит порт, с которого пришёл кадр.
• Если порт настроен как доступный (access port), он принадлежит только одной VLAN. Кадр, отправленный с такого порта, не содержит тега VLAN (кадр нетегирован).
• Если порт настроен как транковый (trunk port), он может передавать трафик нескольких VLAN одновременно. Кадры на таком порту передаются с тегами VLAN, что позволяет связывать между собой несколько коммутаторов или коммутатор с маршрутизатором.

Классификация

VLAN классифицируются по способу назначения и управления.

По способу назначения

• Статические VLAN (на основе портов): Наиболее распространённый тип. Администратор вручную назначает каждый порт коммутатора в определённую VLAN. Устройство, подключённое к порту, автоматически становится членом этой VLAN. Этот метод прост и предсказуем, но требует ручной настройки при перемещении устройства.
• Динамические VLAN: Членство устройства в VLAN определяется автоматически на основе его MAC-адреса, имени пользователя, протокола или других атрибутов. Для этого используется сервер аутентификации (например, RADIUS). При подключении устройства коммутатор запрашивает сервер и помещает устройство в соответствующую VLAN. Этот метод более гибкий, но сложнее в настройке и требует дополнительного серверного оборудования.

По типу трафика

• VLAN данных (Data VLAN): Используются для передачи пользовательского трафика (данные, файлы, приложения).
• VLAN голоса (Voice VLAN): Выделенная VLAN для передачи голосового трафика (VoIP). Обычно имеет приоритет QoS, чтобы гарантировать качество связи.
• VLAN управления (Management VLAN): Используется для удалённого управления сетевым оборудованием (коммутаторами, маршрутизаторами). Доступ к этой VLAN обычно ограничен для повышения безопасности.
• VLAN по умолчанию (Default VLAN): VLAN, к которой принадлежат все порты коммутатора по умолчанию (обычно VLAN 1). Из соображений безопасности рекомендуется переназначать управление на другую VLAN и отключать неиспользуемые порты от VLAN 1.

Применение

Технология VLAN широко применяется в корпоративных, образовательных и государственных сетях для решения следующих задач:

• Сегментация сети: Разделение одной физической сети на несколько логических сегментов для разных отделов (бухгалтерия, отдел кадров, разработка). Это снижает широковещательный трафик и повышает производительность.
• Повышение безопасности: Изоляция критически важных серверов и данных от пользовательского трафика. Например, серверы баз данных могут быть помещены в отдельную VLAN, доступ к которой разрешён только администраторам.
• Упрощение управления: VLAN позволяет логически группировать устройства, даже если они физически находятся в разных зданиях или на разных этажах. Это упрощает перемещение сотрудников — достаточно изменить настройки порта, а не прокладывать новый кабель.
• Поддержка QoS: VLAN может использоваться для приоритизации трафика. Например, голосовой трафик (Voice VLAN) получает более высокий приоритет, чем обычный трафик данных.
• Снижение затрат: Вместо прокладки отдельных физических кабелей для каждой группы пользователей, можно использовать одну физическую инфраструктуру с логическим разделением.

Протоколы и стандарты

Помимо IEEE 802.1Q, существуют и другие протоколы, связанные с VLAN:

• IEEE 802.1Q (Dot1Q): Основной стандарт тегирования VLAN. Используется в подавляющем большинстве современных сетей.
• ISL (Inter-Switch Link): Проприетарный протокол компании Cisco, который использовался до появления 802.1Q. В настоящее время считается устаревшим.
• VTP (VLAN Trunking Protocol): Протокол Cisco для автоматического распространения информации о VLAN между коммутаторами. Упрощает администрирование, но может быть небезопасным, если не настроен правильно.
• GVRP (GARP VLAN Registration Protocol): Стандартный протокол (IEEE 802.1Q-1998) для автоматического распространения информации о VLAN, аналогичный VTP, но не привязанный к конкретному производителю.

Преимущества и недостатки

Преимущества

• Гибкость: Логическая группировка устройств независимо от их физического расположения.
• Производительность: Снижение широковещательного трафика и коллизий.
• Безопасность: Изоляция трафика и ограничение доступа к ресурсам.
• Управляемость: Упрощение перемещения, добавления и изменения устройств.
• Экономия: Снижение затрат на кабельную инфраструктуру.

Недостатки

• Сложность настройки: Требует квалифицированного персонала для проектирования и конфигурирования.
• Ограничение на количество: Максимум 4096 VLAN (по стандарту 802.1Q), что может быть недостаточно для очень крупных сетей (например, у провайдеров). Для решения этой проблемы используются технологии QinQ (Double Tagging) или VXLAN.
• Проблемы с производительностью: Неправильная настройка транковых портов или политик QoS может привести к снижению производительности.
• Безопасность: Уязвимости в протоколах управления VLAN (например, VTP) могут быть использованы злоумышленниками.

Интересные факты

• Первоначально VLAN была разработана компанией Cisco в середине 1990-х годов как проприетарная технология.
• Стандарт IEEE 802.1Q был принят в 1998 году, что позволило обеспечить совместимость оборудования разных производителей.
• В современных сетях VLAN часто используется в сочетании с технологией виртуализации (например, VMware vSphere, Hyper-V) для изоляции виртуальных машин.
• Существует понятие «Native VLAN» — VLAN, которая не тегируется на транковом порту. Она используется для передачи трафика, который не может быть тегирован (например, трафик управления коммутатором).

Источники

• IEEE 802.1Q-2018 — Standard for Local and Metropolitan Area Networks—Bridges and Bridged Networks.
• Олифер В.Г., Олифер Н.А. «Компьютерные сети. Принципы, технологии, протоколы» (5-е издание).
• Таненбаум Э., Уэзеролл Д. «Компьютерные сети» (5-е издание).
• Документация Cisco Systems по настройке VLAN и VTP.
• RFC 5517 — Cisco Systems' Private VLANs: Scalable Security in a Multi-Client Environment.