Kommutator va routerda VLAN ni sozlash: bosqichma-bosqich yo‘riqnoma

Qisqacha

VLAN bitta jismoniy tarmoqni alohida mantiqiy tarmoqlarga ajratadi. Xodimlar, mehmonlar, telefonlar va kameralar bir xil kommutatorlar orqali ishlaydi, lekin router ruxsat bermaguncha bir-birini ko‘rmaydi. Sozlash har doim bir xil tartibda boradi:

1. VLAN lar va tarmoq ostilarini rejalashtirish.
2. Kommutator portlarini sozlash: oxirgi qurilmalar uchun access, tarmoq qurilmalari orasidagi ulanishlar uchun trunk.
3. Routerda VLAN interfeyslarini yaratish va ular orasida marshrutlash.
4. Segmentlar orasiga firewall qoidalarini qo‘shish.
5. Har bir VLAN uchun DHCP ni sozlash.
6. Wi-Fi SSID larini VLAN larga bog‘lash.
7. Izolyatsiyani tekshirish.

1-qadam. Reja

Uskunaga tegishdan oldin rejani yozib qo‘ying. Kichik ofis uchun misol:

Foydalanuvchi trafigi uchun VLAN 1 dan foydalanmang. VLAN raqamining uchinchi oktet bilan mos kelishi diagnostikani osonlashtiradi.

2-qadam. Access va trunk portlar

• Access port — bitta VLAN ga tegishli, kadrlar tegsiz. Kompyuterlar, printerlar, kameralar uchun.
• Trunk port — 802.1Q teglari bilan bir nechta VLAN ni uzatadi. Router, boshqa kommutatorlar va kirish nuqtalari bilan ulanishlar uchun.
• Native VLAN — trunk dagi tegsiz VLAN. Ikkala uchida bir xil bo‘lishi shart.

Cisco uslubidagi CLI da:

vlan 20
 name STAFF
interface GigabitEthernet0/5
 switchport mode access
 switchport access vlan 20
interface GigabitEthernet0/24
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,40,50

Ba’zi modellar trunk ni yoqishdan oldin switchport trunk encapsulation dot1q ni talab qiladi. Veb-interfeysli kommutatorlarda xuddi shu mantiq jadval ko‘rinishida bo‘ladi: har bir port uchun VLAN tagged, untagged yoki not member deb belgilanadi, access portlarda esa PVID (tegsiz kiruvchi kadrlar uchun VLAN) beriladi.

3-qadam. VLAN lar orasida marshrutlash

Router (yoki L3 kommutator) har bir VLAN da shlyuz manzili bilan interfeys oladi. MikroTik RouterOS uchun misol:

/interface vlan
add interface=ether2 name=vlan20 vlan-id=20
add interface=ether2 name=vlan40 vlan-id=40
/ip address
add address=192.168.20.1/24 interface=vlan20
add address=192.168.40.1/24 interface=vlan40

Agar port bridge tarkibida bo‘lsa, VLAN interfeyslarini bridge da yarating va bridge VLAN filtering ni yoqing.

4-qadam. Segmentlar orasidagi firewall qoidalari

Routerda barcha VLAN larda interfeys paydo bo‘lishi bilan u ular orasida erkin marshrutlay boshlaydi. Segmentatsiya faqat qoidalardan keyin ishlaydi. Mantiq: o‘rnatilgan ulanishlarga ruxsat berish, aniq oqimlarga ruxsat berish, qolganini taqiqlash.

/ip firewall filter
add chain=forward connection-state=established,related action=accept
add chain=forward connection-state=invalid action=drop
add chain=forward in-interface=vlan20 dst-address=192.168.50.10 action=accept comment="staff to NVR"
add chain=forward in-interface=vlan40 out-interface-list=WAN action=accept comment="guests to internet"
add chain=forward in-interface=vlan40 action=drop

Odatiy siyosat:

• Xodimlar — internet, printerlar, fayl server, videoregistrator.
• Mehmonlar — faqat internet.
• Kameralar — faqat videoregistrator, internetsiz.
• Boshqaruv — faqat admin tarmoq ostidan kirish mumkin.

Routerning o‘zini ham input zanjirida himoya qiling: mehmonlarga undan DHCP va DNS kerak, administrator paneli emas.

5-qadam. Har bir VLAN uchun DHCP

Har bir VLAN ga o‘z shlyuzi va DNS i bilan alohida pul:

/ip pool add name=pool20 ranges=192.168.20.100-192.168.20.250
/ip dhcp-server add name=dhcp20 interface=vlan20 address-pool=pool20
/ip dhcp-server network add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1

Agar DHCP alohida serverda ishlasa, har bir VLAN interfeysida DHCP relay ni sozlang (Cisco da — ip helper-address).

6-qadam. SSID ni VLAN ga bog‘lash

Kirish nuqtalarini trunk portlarga ulang. Kontrollerda har bir SSID ga VLAN raqamini bering: xodimlar SSID i — VLAN 20, mehmonlar SSID i — mijozlar izolyatsiyasi yoqilgan VLAN 40. Kirish nuqtalarining o‘zini boshqaruv VLAN ida saqlang.

7-qadam. Izolyatsiyani tekshirish

• Har bir VLAN ga ulanib, manzil kerakli tarmoq ostidan berilganini tekshiring.
• Shlyuzni ping qiling — u javob berishi kerak.
• Mehmonlar VLAN idan xodim kompyuteri, NAS va router admin paneliga ulanib ko‘ring — hammasi yopiq bo‘lishi kerak.
• Ruxsat etilgan oqimlarni tekshiring: xodimlar VLAN idan chop etish, kameralardan yozib olish.
• Mehmonlar VLAN idan boshqa tarmoq ostilarini tarmoq skaneri bilan skanerlang va hech kim javob bermasligiga ishonch hosil qiling.

Esda tuting: mDNS kabi aniqlash protokollari VLAN lar orasidan o‘tmaydi — printerlarni IP manzil bo‘yicha qo‘shishga to‘g‘ri kelishi mumkin.

Ko‘p uchraydigan xatolar

• Uskunaga kirishni yo‘qotish: avval boshqaruv VLAN ini sozlang va konsol orqali kirishni saqlab qoling.
• Kirish nuqtasiga boruvchi trunk da VLAN ga ruxsat berish unutilgan.
• Trunk ning ikki uchida native VLAN mos kelmaydi.
• Firewall qoidalarisiz VLAN lar orasida marshrutlash.