Что такое VLAN и зачем делить сеть офиса на сегменты
Основы4 минРедакция Innovialabs
Коротко
VLAN делит одну физическую сеть на несколько изолированных логических: гости, сотрудники, камеры, телефоны и серверы используют одни и те же коммутаторы и кабели, но не видят друг друга, пока это не разрешит роутер.
Коротко
VLAN (Virtual Local Area Network) — логическая сеть, созданная поверх тех же физических коммутаторов и кабелей. Устройства в разных VLAN ведут себя так, будто подключены к разным коммутаторам: не видят трафик друг друга и общаются только через роутер или межсетевой экран — по его правилам.
Без VLAN всё в офисе живёт в одной плоской сети: телефон гостя, ноутбук бухгалтера, видеорегистратор и файловый сервер — соседи. С VLAN каждая группа получает свой сегмент.
Как это работает: VLAN ID и теги
У каждой VLAN есть номер — VLAN ID от 1 до 4094. Коммутатор отмечает, какие порты к какой VLAN относятся. Когда трафик нескольких VLAN должен идти по одному кабелю, коммутатор добавляет к каждому кадру небольшой тег (стандарт IEEE 802.1Q) с номером VLAN.
Отсюда два типа портов:
| Тип порта | Что передаёт | Что обычно подключают |
|---|---|---|
| Untagged (access) | Одну VLAN, кадры без тегов | Компьютеры, принтеры, камеры — устройства, которые ничего не знают о VLAN |
| Tagged (trunk) | Несколько VLAN, каждый кадр с тегом | Коммутатор — коммутатор, коммутатор — роутер, коммутатор — точка доступа |
Простой пример: точка доступа раздаёт две сети Wi-Fi — «Office» и «Guest». Кабель к точке доступа подключён в tagged-порт, по которому идут VLAN 10 и VLAN 30. Точка доступа привязывает каждый SSID к своей VLAN, и трафик остаётся разделённым на всём пути до роутера.
IP-телефон, к которому подключён компьютер, — классический смешанный случай: телефон работает в голосовой VLAN с тегом, а компьютер за ним остаётся без тега в VLAN сотрудников.
Типичные сегменты офиса
| VLAN | Кто в ней | Правила доступа (пример) |
|---|---|---|
| Сотрудники | Рабочие компьютеры, ноутбуки | Интернет, серверы, принтеры |
| Гости | Телефоны и ноутбуки посетителей | Только интернет, изоляция от всего остального |
| Камеры | IP-камеры, регистратор | Без интернета; доступ только у регистратора и уполномоченных |
| Телефония (Voice) | IP-телефоны, АТС | АТС и провайдер телефонии; приоритет трафика |
| Серверы | NAS, файловые и учётные серверы | Только из VLAN сотрудников и для нужных сервисов |
| Управление | Админки коммутаторов, роутера, точек доступа | Только с устройств администратора |
Конкретные номера не так важны — важны единообразие и документация. Обычно каждой VLAN соответствует своя IP-подсеть и свой DHCP-пул, например 192.168.10.0/24 для сотрудников и 192.168.30.0/24 для гостей.
Зачем это нужно: безопасность и производительность
Безопасность
- Гость или заражённый ноутбук не может напрямую сканировать и атаковать серверы и камеры.
- Камеры и другие «умные» устройства со слабыми прошивками отрезаны от интернета и от компьютеров сотрудников.
- Админки сетевого оборудования скрыты от обычных пользователей.
- Правила firewall между сегментами наглядно показывают, кто куда имеет доступ.
Производительность и порядок
- Широковещательный трафик остаётся внутри своей VLAN, и большая сеть не тонет в фоновом «шуме».
- Голосовому трафику можно дать приоритет QoS, чтобы звонки не прерывались во время больших загрузок.
- Проще искать неисправности: по адресу сразу понятно, в каком сегменте устройство.
Что понадобится и частые ошибки
Нужны управляемый коммутатор с поддержкой 802.1Q, роутер или firewall, умеющий маршрутизировать между VLAN и фильтровать трафик, и точки доступа, способные привязывать SSID к VLAN. Неуправляемые коммутаторы обрабатывают тегированные кадры непредсказуемо — не ставьте их в середину сети с VLAN.
Частые ошибки:
- Создать VLAN, но разрешить между ними всё. Сегментация без правил firewall не даёт никакой защиты.
- Несовпадающие настройки trunk. Если VLAN не добавлена на одном магистральном линке, устройства этого сегмента в одной части здания не получают адрес.
- Оставить интерфейс управления в VLAN сотрудников или гостей.
- Отрезать себе доступ. Меняйте настройки порта, через который подключены сами, в последнюю очередь и держите консольный или резервный путь доступа.
- Нет документации. Запишите VLAN ID, подсети, порты и правила в одну таблицу.