Wiki VLAN

Čo je VLAN

VLAN (skratka pre Virtual Local Area Network, teda virtuálna lokálna sieť) je sieťová technológia, ktorá umožňuje logicky rozdeliť jednu fyzickú sieťovú infraštruktúru na viacero izolovaných logických sietí. Hoci sú koncové zariadenia pripojené k rovnakému fyzickému prepínaču (switchu), vďaka VLAN sa môžu správať tak, akoby boli zapojené v úplne iných, navzájom oddelených sieťových segmentoch.

Na čo slúži

VLAN slúži predovšetkým na optimalizáciu sieťovej prevádzky, zvýšenie celkovej bezpečnosti a zjednodušenie správy infraštruktúry. Medzi kľúčové oblasti využitia patria:

• Segmentácia siete: Logické oddelenie prevádzky rôznych oddelení v rámci podniku (napr. účtovníctvo, IT správa, marketing, návštevnícka sieť).
• Zmenšenie broadcastových domén: Obmedzenie šírenia všesmerového vysielania (broadcast), čo znižuje celkové zaťaženie sieťových zariadení a uvoľňuje šírku pásma.
• Administratívna flexibilita: Presun zamestnanca na iné pracovisko si nevyžaduje fyzické prepájanie káblov, zmenu je možné vykonať jednoduchou úpravou konfigurácie portu na switchi.

Ako funguje komunikácia

Komunikácia v sieťach s VLAN prebieha priraďovaním sieťových rámcov do konkrétnych logických skupín. Na fyzických prepínačoch sa na tento účel definujú dva základné typy portov:

• Prístupový port (Access Port): Patrí vždy do jednej konkrétnej VLAN. Pripájajú sa doň koncové zariadenia (počítače, tlačiarne, IP telefóny), ktoré o existencii VLAN netušia. Odchádzajúce rámce z tohto portu sú štandardné, neoznačené (untagged).
• Tranzitný port (Trunk Port): Prenáša prevádzku pre viacero VLAN súčasne. Používa sa na prepojenie dvoch switchov alebo switchu so smerovačom. Rámce prechádzajúce cez tento port musia byť jasne identifikovateľné, preto sa označujú (tagged).

Pokiaľ potrebuje zariadenie umiestnené vo VLAN 10 komunikovať so zariadením vo VLAN 20, komunikácia nemôže prebehnúť priamo na druhej vrstve. Rámce sa musia odoslať na smerovač (router) alebo L3 switch, ktorý vykoná medzisieťové smerovanie (Inter-VLAN routing) na tretej (sieťovej) vrstve OSI modelu.

Protokol a sieťová vrstva

VLAN technológia operuje na druhej, linkovej vrstve (Data Link Layer) referenčného modelu OSI. Priemyselným štandardom pre implementáciu a prenos VLAN značiek v ethernetových sieťach je protokol IEEE 802.1Q (často označovaný skrátene ako dot1q).

Tento štandard vkladá do ethernetového rámca dodatočné 4-bajtové (32-bitové) záhlavie (tag) umiestnené medzi zdrojovú MAC adresu a pole typu. Toto záhlavie pozostáva z troch základných častí:

• TPID (Tag Protocol Identifier): 16-bitové pole s fixnou hodnotou 0x8100, ktorá oznamuje, že ide o rámec so 802.1Q značkou.
• PCP (Priority Code Point): 3-bitové pole využívané na riadenie kvality služieb (QoS) a prioritizáciu citlivých dát, napríklad hlasových služieb (VoIP).
• VID (VLAN Identifier): 12-bitový identifikátor siete, ktorý explicitne určuje, do ktorej VLAN rámec patrí.

Dôležité parametre a limity

Vzhľadom na to, že pole VID v štandarde IEEE 802.1Q má dĺžku 12 bitov, maximálny možný počet definovateľných VLAN je 2 na 12. mocninu, teda 4096. Tieto ID sa rozdeľujú nasledovne:

Praktický príklad konfigurácie

Nasledujúci zápis demonštruje základnú konfiguráciu dvoch VLAN a nastavenie prístupového aj trunk portu na prepínači so systémom Cisco IOS:

! Vytvorenie virtuálnych sietí v konfiguračnom režime
Switch# configure terminal
Switch(config)# vlan 10
Switch(config-vlan)# name Uctovnictvo
Switch(config-vlan)# exit

Switch(config)# vlan 20
Switch(config-vlan)# name Navstevy
Switch(config-vlan)# exit

! Priradenie portu FastEthernet 0/1 do VLAN 10 pre koncového klienta
Switch(config)# interface fastEthernet 0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# exit

! Nastavenie portu GigabitEthernet 0/1 ako trunk s povolením prenosu oboch VLAN
Switch(config)# interface gigabitEthernet 0/1
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 10,20
Switch(config-if)# exit

Bezpečnostné súvislosti

VLAN segmentácia je kľúčová pre bezpečnosť, no samotná technológia prináša špecifické riziká, ak nie je správne nakonfigurovaná:

• VLAN Hopping: Útok, pri ktorom útočník dokáže obísť izoláciu a odoslať prevádzku do inej VLAN bez použitia smerovača. Vykonáva sa buď zneužitím protokolu DTP (Dynamic Trunking Protocol) na vynútenie neautorizovaného trunku, alebo pomocou dvojitého označovania rámcov (Double Tagging).
• Zabezpečenie natívnej VLAN: Predvolená natívna VLAN (štandardne VLAN 1) by mala byť na všetkých trunk portoch zmenená na nepoužívané ID, čím sa sťažia útoky typu Double Tagging.
• Deaktivácia nepoužívaných portov: Všetky voľné fyzické porty na switchoch by mali byť administratívne vypnuté (príkazom shutdown) a priradené do izolovanej, nepoužívanej VLAN.

Výhody a obmedzenia

Výhody

• Zníženie nákladov: Umožňuje prevádzkovať stovky izolovaných sietí na rovnakých fyzických switchoch a kábloch bez nutnosti investície do nového hardvéru.
• Zvýšená bezpečnosť: Citlivá sieťová prevádzka (napr. servery so mzdami) je spoľahlivo izolovaná od bežných staníc a Wi-Fi pre hostí.
• Efektívne riadenie broadcastu: Všesmerové pakety nezaťažujú zariadenia v iných VLAN.

Obmedzenia

• Strop 4094 ID: Pre potreby moderných multi-tenant cloudových centier je tento počet nedostatočný (preto vznikli technológie ako VXLAN).
• Riziko zlej konfigurácie: Chyba na jedinom trunkovom porte môže spôsobiť stratu spojenia pre rozsiahle časti podniku.
• Zvýšené nároky na smerovanie: Medzi-VLAN komunikácia vytvára dodatočné zaťaženie smerovačov, čo môže vyžadovať nákup drahších L3 prvkov.

Často kladené otázky

Môžu zariadenia v rôznych VLAN komunikovať bez routeru?

Nie. Zariadenia v odlišných VLAN patria do iných vysielacích domén a využívajú iné IP podsiete. Na prenos dát medzi nimi je vždy potrebný smerovací proces, ktorý zabezpečuje buď fyzický smerovač, alebo L3 switch so zapnutým IP smerovaním.

Čo je to natívna VLAN (Native VLAN)?

Natívna VLAN je špecifický typ VLAN na trunk portoch. Každý rámec, ktorý patrí do natívnej VLAN, sa cez trunk prenáša neoznačený (untagged). Štandardne je to VLAN 1, no z bezpečnostných dôvodov sa dôrazne odporúča toto nastavenie zmeniť na iné číslo.

Aký je rozdiel medzi VLAN a subnetom?

VLAN je logické rozdelenie na úrovni druhej vrstvy OSI (linková vrstva), kým subnet (podsieť) je rozdelenie adresného priestoru na tretej vrstve OSI (sieťová vrstva s IP adresami). V sieťovom dizajne sa z praktických dôvodov priraďuje presne jedna IP podsieť do jednej VLAN.