Как настроить VLAN на коммутаторе и роутере: пошаговая инструкция

Коротко

VLAN делит одну физическую сеть на отдельные логические. Сотрудники, гости, телефоны и камеры работают через одни и те же коммутаторы, но не видят друг друга, пока это не разрешит роутер. Настройка всегда идёт в одном порядке:

1. Спланировать VLAN и подсети.
2. Настроить порты коммутатора: access для конечных устройств, trunk для связей между сетевыми устройствами.
3. Создать VLAN-интерфейсы на роутере и маршрутизировать между ними.
4. Добавить правила firewall между сегментами.
5. Настроить DHCP для каждого VLAN.
6. Привязать SSID Wi-Fi к VLAN.
7. Проверить изоляцию.

Шаг 1. План

Запишите план до того, как трогать оборудование. Пример для небольшого офиса:

Не используйте VLAN 1 для пользовательского трафика. Совпадение номера VLAN с третьим октетом упрощает диагностику.

Шаг 2. Access и trunk-порты

• Access-порт — принадлежит одному VLAN, кадры без тегов. Для ПК, принтеров, камер.
• Trunk-порт — передаёт несколько VLAN с тегами 802.1Q. Для связей с роутером, другими коммутаторами и точками доступа.
• Native VLAN — VLAN без тега на trunk. Должен совпадать на обоих концах.

В CLI в стиле Cisco:

vlan 20
 name STAFF
interface GigabitEthernet0/5
 switchport mode access
 switchport access vlan 20
interface GigabitEthernet0/24
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,40,50

Некоторые модели требуют switchport trunk encapsulation dot1q перед включением trunk. На коммутаторах с веб-интерфейсом та же логика выглядит как таблица: для каждого порта VLAN отмечается как tagged, untagged или not member, а на access-портах задаётся PVID (VLAN для входящих кадров без тега).

Шаг 3. Маршрутизация между VLAN

Роутер (или коммутатор L3) получает интерфейс с адресом шлюза в каждом VLAN. Пример для MikroTik RouterOS:

/interface vlan
add interface=ether2 name=vlan20 vlan-id=20
add interface=ether2 name=vlan40 vlan-id=40
/ip address
add address=192.168.20.1/24 interface=vlan20
add address=192.168.40.1/24 interface=vlan40

Если порт входит в bridge, создавайте VLAN-интерфейсы на bridge и включайте bridge VLAN filtering.

Шаг 4. Правила firewall между сегментами

Как только у роутера есть интерфейсы во всех VLAN, он свободно маршрутизирует между ними. Сегментация начинает работать только после правил. Логика: разрешить установленные соединения, разрешить конкретные потоки, остальное запретить.

/ip firewall filter
add chain=forward connection-state=established,related action=accept
add chain=forward connection-state=invalid action=drop
add chain=forward in-interface=vlan20 dst-address=192.168.50.10 action=accept comment="staff to NVR"
add chain=forward in-interface=vlan40 out-interface-list=WAN action=accept comment="guests to internet"
add chain=forward in-interface=vlan40 action=drop

Типичная политика:

• Сотрудники — интернет, принтеры, файловый сервер, видеорегистратор.
• Гости — только интернет.
• Камеры — только видеорегистратор, без интернета.
• Управление — доступно только из админской подсети.

Защитите и сам роутер в цепочке input: гостям нужны от него DHCP и DNS, а не панель администратора.

Шаг 5. DHCP для каждого VLAN

Каждому VLAN — свой пул со своим шлюзом и DNS:

/ip pool add name=pool20 ranges=192.168.20.100-192.168.20.250
/ip dhcp-server add name=dhcp20 interface=vlan20 address-pool=pool20
/ip dhcp-server network add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1

Если DHCP работает на отдельном сервере, настройте DHCP relay (в Cisco — ip helper-address) на каждом VLAN-интерфейсе.

Шаг 6. Привязка SSID к VLAN

Подключите точки доступа к trunk-портам. В контроллере назначьте каждому SSID номер VLAN: SSID сотрудников — VLAN 20, гостевой — VLAN 40 с включённой изоляцией клиентов. Сами точки доступа держите в VLAN управления.

Шаг 7. Проверка изоляции

• Подключитесь к каждому VLAN и проверьте, что адрес выдан из нужной подсети.
• Пропингуйте шлюз — он должен отвечать.
• Из гостевого VLAN попробуйте достучаться до ПК сотрудника, NAS и админки роутера — всё должно быть недоступно.
• Проверьте разрешённые потоки: печать из VLAN сотрудников, запись с камер.
• Просканируйте другие подсети из гостевого VLAN сетевым сканером и убедитесь, что никто не отвечает.

Помните, что протоколы обнаружения вроде mDNS не проходят между VLAN: принтеры, возможно, придётся добавлять по IP-адресу.

Частые ошибки

• Потеря доступа к оборудованию: сначала настройте VLAN управления и держите консольный доступ.
• Забыли разрешить VLAN на trunk к точке доступа.
• Native VLAN не совпадает на двух концах trunk.
• Маршрутизация между VLAN без правил firewall.