Definition og formål

VLAN (Virtual Local Area Network) er en metode til at opdele et enkelt fysisk netværk i flere logiske netværk. Hensigten er at skabe adskillelse: Enheder i ét VLAN kommunikerer typisk primært med andre i samme VLAN, mens trafik ikke blandes automatisk med enheder i andre VLANs. Det kan bruges til at gøre netværket mere overskueligt og til at begrænse, hvem der kan se og påvirke hinanden.

Et simpelt model: “grupper på samme kabel”

Tænk VLAN som forskellige grupper, der bruger samme kabling og switch-infrastruktur. Switchene bruger VLAN-id’er til at afgøre, hvilket VLAN en frame tilhører, og hvilken gruppe den hører til. Hvis to enheder er i samme VLAN, kan de udveksle data som normalt (under hensyn til adgangsregler). Hvis de er i forskellige VLAN, behandles de som tilhørende hver sin logiske “verden”.

I praksis opstår adskillelsen ikke af selve kablerne, men af den konfiguration, switchene har: hvilke porte der hører til hvilket VLAN, og hvilke VLANs der må transporteres videre på et givent link.

Underdele: porter, tags og trunking

En VLAN-opsætning bygger typisk på to ting:

  1. Port til VLAN (access-ports): En switchport kan konfigureres til at være medlem af ét VLAN. Enheder tilsluttet porten får dermed “deres” VLAN bestemt af portkonfigurationen.

  2. Transport mellem switches (trunking): Når flere VLAN skal sendes over samme fysiske forbindelse (fx mellem to switches), skal VLAN-informationen kunne følge med. Derfor bruges VLAN-tagging på linket, så modtagerswitchen kan afgøre, hvilket VLAN en frame tilhører.

Hvis tagging eller trunking er sat forkert, kan VLAN-trafik enten blive blokeret (så klienter ikke kan nå hinanden) eller blive blandet (så adskillelsen ikke fungerer som forventet). Det er en central grænse: VLAN skaber ikke magisk isolation uden korrekt konfiguration.

Undtagelsen: hvornår VLAN-traffic kan krydse grænserne

Som standard er VLAN-trafik ofte afgrænset til hvert VLAN. For at enheder i forskellige VLAN skal kunne kommunikere, kræves der typisk en bevidst mekanisme, såsom regler på et lag, der kan forbinde nettene (ofte omtalt som routing mellem VLANs). Det betyder, at “kommunikation på tværs” ikke sker automatisk bare fordi VLAN findes.

Der findes også situationer, hvor broadcast- og kontroltrafik opfører sig anderledes end almindelig unicast, især afhængigt af opsætning og switchingadfærd. Derfor bør du betragte VLAN som en ramme for adskillelse, ikke som en garanti mod alle former for synlighed eller påvirkning.

Praktisk: sådan kan du kontrollere om det virker

Du kan kontrollere VLAN-funktion ved at gennemgå de relevante punkter i din opsætning:

  • Port-medlemskab: Hvilket VLAN er de konkrete porte sat til? En klient er kun i det VLAN, som dens switchport er medlem af.
  • Trunking/tilladte VLANs: På forbindelser mellem switches: hvilke VLANs er tilladt at passere på trunk-linket? Hvis et VLAN ikke er tilladt, “forsvinder” den trafik.
  • Inter-VLAN adgang: Hvis du forventer kommunikation på tværs, skal der være en bevidst regel eller funktion der tillader det. Hvis du ikke forventer den, bør du sikre, at der ikke findes adgang, der åbner for det.
  • Fejlsymptomer: Manglende adgang inden for et VLAN peger ofte på forkert port-VLAN eller trunking. Uventet kommunikation på tværs peger ofte på for brede VLAN-tilladelser eller fejlplacerede porte.

Bemærk: Da der ikke er et enkelt universelt “VLAN-standard-layout” for alle udstyrstyper, kan detaljerne i menuer og navngivning variere. Brug derfor din specifikke switch/routers dokumentation som reference, og test målrettet, at den adskillelse du forventer, faktisk er til stede.