Definition: Hvad er et VLAN?

Et Virtual LAN (VLAN) er en måde at opdele et ellers fælles fysisk netværk i flere logiske netværk. Pointen er, at enheder kan placeres i “separate LAN’er” uden nødvendigvis at flytte kabler til forskellige fysiske netværk.

Når du bruger VLAN, får du typisk en mere kontrolleret netværksopsætning: samme switch kan understøtte flere adskilte segmenter, og trafikken kan holdes inden for det VLAN, den hører til, indtil der bevidst tillades noget andet.

Eenvoudig model: Enheder, porte og “tagging”

Tænk på en switch som en fordelingsenhed, der beslutter, hvor data skal hen. Med VLAN markerer switchen (eller sender den mærket videre) så trafikken “ved”, hvilket VLAN den tilhører.

I praksis betyder det ofte:

  • En port på en switch kan være konfigureret til at tilhøre et bestemt VLAN (ofte som “access”-port).
  • En trunk-port kan bære trafik for flere VLAN’er mellem switches eller til en router, og trafikken markeres med et VLAN-mærke.
  • Switchens forwarding-tabel tager VLAN med i beslutningen, så samme fysiske infrastruktur kan opføre sig som flere logiske.

Bemærk: Den konkrete betegnelse for porttyper og den nøjagtige mekanik afhænger af netværksudstyr, men idéen om logisk adskillelse via mærkning og switch-beslutninger er central.

Hoveddel: Hvordan fungerer VLAN i trafikken?

Når en enhed sender data, sker der normalt dette på et VLAN-aktiveret netværk:

  1. Trafikken ankommer til en switchport.
  2. Switchen forbinder porten (og/eller den modtagne ramme) med et VLAN.
  3. Switchen videresender kun i det relevante VLAN—typisk til de porte, hvor der findes enheder eller “hvor VLAN’et strækker sig”.

Det afgørende er, at VLAN skaber en logisk grænse. Uden yderligere konfiguration vil enheder i forskellige VLAN’er som udgangspunkt ikke kommunikere direkte, fordi switchen primært videresender på link-niveau inden for samme VLAN.

Onderscheidingen og grænser: Når VLAN ikke er nok

Selvom VLAN kan adskille trafik, løser det ikke alt automatisk. Vigtige grænser og forskelle:

  • Kommunikation mellem VLAN’er: For at enheder i forskellige VLAN’er kan kommunikere, kræves der typisk routing eller en tilsvarende funktion (afhængigt af topologi og udstyr). En ren VLAN-opdeling på en switch giver oftest ikke automatisk “inter-VLAN” adgang.
  • Sikkerhed vs. isolering: VLAN kan reducere, hvem der ser hvad, men “isolering” afhænger af hele opsætningen: portkonfiguration, tilladelser, eventuelle firewall-regler og routingsregler.
  • Broadcast og multicast: VLAN begrænser ofte omfanget af broadcastdomæner, men præcis adfærd kan variere med protokol og netværksdesign. Derfor bør du teste i dit eget miljø.

Den ændring, som typisk kan få svaret til at “være anderledes”, er din konkrete rollefordeling: om VLAN kun bruges til segmentering på en switch, eller om du også har routing/kommunikationsregler mellem VLAN’er.

Praktisk brug: Hvad kan du kontrollere?

Hvis du vil placere VLAN korrekt og undgå fejl, kan du kontrollere følgende:

  • Hvilke porte der hører til hvilke VLAN: Er enheder placeret i det VLAN, de faktisk skal?
  • Om uplinks er trunkede eller adgangsport-opsat korrekt: Forkert trunking kan betyde, at trafik ikke når frem.
  • Om der er en plan for inter-VLAN kommunikation: Hvis du forventer adgang på tværs af VLAN, skal der være en mekanisme til det.
  • Om der er konsekvent navngivning og dokumentation: VLAN’er bliver ofte konfigureret som numre; forvirring opstår let, hvis samme nummer har forskellige formål.

Hvis noget ikke virker, er det ofte en kombination af port/VLAN-tilknytning og manglende routing/tiladelser mellem VLAN’er—så din fejlsøgning bør starte der.