VLAN nima va ofis tarmog‘ini nima uchun segmentlarga bo‘lish kerak
Asoslar4 daqInnovialabs tahririyati
Qisqacha
VLAN bitta jismoniy tarmoqni bir nechta ajratilgan mantiqiy tarmoqqa bo‘ladi: mehmonlar, xodimlar, kameralar, telefonlar va serverlar bir xil switch va kabellardan foydalanadi, lekin router ruxsat bermaguncha bir-birini ko‘rmaydi.
Qisqa javob
VLAN (Virtual Local Area Network) — o‘sha jismoniy switchlar va kabellar ustida yaratilgan mantiqiy tarmoq. Turli VLAN lardagi qurilmalar xuddi alohida switchlarga ulangandek ishlaydi: bir-birining trafigini ko‘rmaydi va faqat router yoki firewall orqali — uning qoidalariga ko‘ra — muloqot qiladi.
VLAN siz ofisdagi hamma narsa bitta tekis tarmoqda yashaydi: mehmonning telefoni, buxgalterning noutbuki, videoregistrator va fayl server — qo‘shnilar. VLAN bilan har bir guruh o‘z segmentini oladi.
Qanday ishlaydi: VLAN ID va teglar
Har bir VLAN ning raqami bor — 1 dan 4094 gacha bo‘lgan VLAN ID. Switch qaysi port qaysi VLAN ga tegishli ekanini belgilaydi. Bir nechta VLAN trafigi bitta kabel orqali o‘tishi kerak bo‘lganda, switch har bir kadrga VLAN raqami yozilgan kichik teg qo‘shadi (IEEE 802.1Q standarti).
Shundan ikki turdagi port kelib chiqadi:
| Port turi | Nimani uzatadi | Odatda nima ulanadi |
|---|---|---|
| Untagged (access) | Bitta VLAN, tegsiz kadrlar | Kompyuterlar, printerlar, kameralar — VLAN haqida hech narsa bilmaydigan qurilmalar |
| Tagged (trunk) | Bir nechta VLAN, har bir kadr tegli | Switch — switch, switch — router, switch — access point |
Oddiy misol: access point ikkita Wi-Fi tarmog‘ini tarqatadi — «Office» va «Guest». Access pointga boradigan kabel VLAN 10 va VLAN 30 o‘tadigan tagged portga ulangan. Access point har bir SSID ni o‘z VLAN iga bog‘laydi va trafik routergacha butun yo‘l davomida ajratilgan holda qoladi.
Kompyuter ulangan IP-telefon — klassik aralash holat: telefon ovozli VLAN da teg bilan ishlaydi, uning ortidagi kompyuter esa xodimlar VLAN ida tegsiz qoladi.
Ofisning odatiy segmentlari
| VLAN | Unda kimlar | Kirish qoidalari (misol) |
|---|---|---|
| Xodimlar | Ish kompyuterlari, noutbuklar | Internet, serverlar, printerlar |
| Mehmonlar | Tashrif buyuruvchilarning telefon va noutbuklari | Faqat internet, qolgan hamma narsadan ajratilgan |
| Kameralar | IP-kameralar, registrator | Internetsiz; faqat registrator va vakolatli shaxslar kira oladi |
| Telefoniya (Voice) | IP-telefonlar, ATS | ATS va telefoniya provayderi; trafikka ustuvorlik |
| Serverlar | NAS, fayl va hisob serverlari | Faqat xodimlar VLAN idan va kerakli xizmatlar uchun |
| Boshqaruv | Switch, router, access point admin panellari | Faqat administrator qurilmalaridan |
Aniq raqamlar unchalik muhim emas — bir xillik va hujjatlashtirish muhim. Odatda har bir VLAN ga o‘z IP-subneti va DHCP puli mos keladi, masalan xodimlar uchun 192.168.10.0/24, mehmonlar uchun 192.168.30.0/24.
Bu nima uchun kerak: xavfsizlik va unumdorlik
Xavfsizlik
- Mehmon yoki zararlangan noutbuk serverlar va kameralarni to‘g‘ridan-to‘g‘ri skanerlay olmaydi va ularga hujum qila olmaydi.
- Proshivkasi zaif kameralar va boshqa «aqlli» qurilmalar internetdan va xodimlar kompyuterlaridan uzib qo‘yiladi.
- Tarmoq uskunalarining admin panellari oddiy foydalanuvchilardan yashiriladi.
- Segmentlar orasidagi firewall qoidalari kim qayerga kira olishini aniq ko‘rsatadi.
Unumdorlik va tartib
- Broadcast trafik o‘z VLAN ichida qoladi va katta tarmoq fon «shovqini»ga botib ketmaydi.
- Ovozli trafikka QoS ustuvorligi berish mumkin, shunda katta yuklab olishlar paytida qo‘ng‘iroqlar uzilmaydi.
- Nosozliklarni qidirish osonroq: manzildan qurilma qaysi segmentda ekani darhol tushunarli.
Nima kerak bo‘ladi va ko‘p uchraydigan xatolar
802.1Q ni qo‘llab-quvvatlaydigan boshqariladigan switch, VLAN lar orasida marshrutlash va trafikni filtrlashni biladigan router yoki firewall, hamda SSID ni VLAN ga bog‘lay oladigan access pointlar kerak. Boshqarilmaydigan switchlar tegli kadrlarni oldindan aytib bo‘lmaydigan tarzda qayta ishlaydi — ularni VLAN li tarmoqning o‘rtasiga qo‘ymang.
Ko‘p uchraydigan xatolar:
- VLAN yaratib, ular orasida hamma narsaga ruxsat berish. Firewall qoidalarisiz segmentatsiya hech qanday himoya bermaydi.
- Trunk sozlamalari mos kelmasligi. Agar VLAN bitta magistral liniyaga qo‘shilmagan bo‘lsa, binoning bir qismida shu segment qurilmalari manzil olmaydi.
- Boshqaruv interfeysini xodimlar yoki mehmonlar VLAN ida qoldirish.
- O‘zingizni tarmoqdan uzib qo‘yish. O‘zingiz ulangan port sozlamalarini eng oxirida o‘zgartiring va konsol yoki zaxira kirish yo‘lini saqlang.
- Hujjatlar yo‘q. VLAN ID, subnetlar, portlar va qoidalarni bitta jadvalga yozing.