Definition: hvad er et VLAN?

Et VLAN (Virtual Local Area Network) er en logisk måde at opdele et fysisk lokalnetværk i flere separate netværk. Ideen er, at enheder i forskellige VLAN’er behandles som om de befinder sig i forskellige net, selvom de kan være tilsluttet den samme switch eller det samme fysiske område.

I praksis bestemmes VLAN-adskillelse af, hvordan switchen klassificerer og håndterer netværkstrafik. Det er især nyttigt for at skabe tydelige adskillelser mellem fx medarbejderudstyr og gæstenet, reducere broadcast-domæner eller opnå bedre administrerbarhed.

Eenvoudig model: samme netværk, men flere logiske net

Tænk på en switchport som en “indgang” til et VLAN. Når en enhed kobles til en port, kan switchen være konfigureret til at tildele porten et bestemt VLAN. Derefter gælder VLAN-regler for, hvilke andre porte der må modtage trafikken.

Der er to typiske situationer:

  • Access/port til ét VLAN: En fysisk port hører normalt til ét VLAN. Trafik fra enheder på porten bliver derfor kun sendt videre til andre porte i samme VLAN.
  • Uplink eller forbindelse der skal bære flere VLAN’er: Når en forbindelse skal transportere flere VLAN’er samtidig (fx mellem to switches), bruger man ofte et trunk-princip, hvor pakker mærkes med en VLAN-identifier.

Hvilke dele af netværket “tænker VLAN”?

VLAN-funktionen ligger primært i switchens kontrol og datahåndtering. Switchen afgør:

  1. hvilket VLAN en indgående pakke skal vurderes ud fra (typisk afhængigt af porten),
  2. hvilket VLAN den videresendes til (typisk afhængigt af VLAN-medlemskab),
  3. hvordan VLAN-information bæres ved videre transport (fx via tagging på trunk-forbindelser).

Enheder “mærker” ofte ikke VLAN’et direkte. For dem kan det opleves som et almindeligt netværk, så længe de er tilsluttet det VLAN, de forventer at være i.

Hvordan adskilles trafik, og hvad kræver der for kommunikation mellem VLAN’er?

VLAN’er adskiller typisk trafikken ved at begrænse, hvilke porte i en switch der må modtage broadcast- og unicast-trafik fra et bestemt VLAN. Effekten er, at enheder i forskellige VLAN’er normalt ikke kan kommunikere frit “på samme lag” (dvs. uden ekstra funktion).

Hvis du vil have kommunikation mellem VLAN’er, skal der normalt bruges en mekanisme der ruter eller laver adresseudveksling på tværs. Den konkrete teknik afhænger af arkitekturvalg (fx router eller Layer 3-funktioner i netværksudstyr), men nøglepunktet er, at VLAN-adskillelse ikke i sig selv skaber mulighed for trafik mellem segmenterne.

En vigtig begrænsning: VLAN’er giver ikke automatisk “sikkerhed” i sig selv. De hjælper med segmentering og kontrol, men om der er adgang til ressourcer afhænger af de regler, der håndhæves ved routing og evt. firewall-/ACL-politikker. Uden sådanne regler kan et design stadig være for åbent.

Undtagelser og grænser: hvad kan ændre effekten?

VLAN’ers praktiske virkning afhænger af korrekt konfiguration. Nogle typiske forhold, der kan ændre resultatet, er:

  • Forkert port-VLAN: Hvis en port tildeles til et forkert VLAN, kan trafik havne i det “forkerte” segment, eller enheder kan miste forventet adgang.
  • Trunk/tagextæring ikke stemmer overens: Hvis en forbindelse mellem switches ikke er konfigureret til at sende/modtage de samme VLAN’er, kan trafik forsvinde eller blive forkert.
  • Broadcast og protokoller: VLAN-opdelingen ændrer broadcast-domæner, men alle broadcast-typer opfører sig ikke identisk i alle scenarier. Derfor kan du stadig se broadcast-aktivitet, men den bør være begrænset til det relevante VLAN.

Er du i tvivl, er det en god kontrol at se på, hvilke VLAN’er enheder faktisk tilhører, og hvilke VLAN’er der er tilladt på de relevante forbindelser. VLAN’et “er rigtigt”, hvis observeret trafik mønstre matcher det logiske design.

Praktisk brug: sådan kan du kontrollere om VLAN’et virker

Du kan typisk validere VLAN-adskillelse uden at gætte ved at gennemgå tre kontrolpunkter:

  1. Hvilket VLAN er porten sat til? Bekræft at tilsluttede enheder havner i det forventede VLAN.
  2. Hvilke VLAN’er transporteres på trunk-forbindelser? Kontroller at forbindelsen mellem switches (eller til en router) er konfigureret til de samme VLAN’er.
  3. Hvad sker der, når du prøver inter-VLAN trafik? Prøv kommunikation mellem endepunkter i forskellige VLAN’er og verificér, om der findes en funktion der tillader det ønskede (og ikke mere).

Hvis inter-VLAN kommunikation ikke virker, er det ofte et tegn på manglende routing/funktion eller uoverensstemmende VLAN-medlemskab på vejen. Hvis det virker “for bredt”, kan det indikere for lempelige adgangsregler på den funktion der håndterer adgang mellem VLAN’er.