Hvad betyder Virtual LAN (VLAN)?

Virtual LAN (VLAN) er en metode til at opdele et enkelt fysisk netværk i flere logiske netværk. I praksis betyder det, at en switch kan mærke netværkstrafik fra forskellige enheder som tilhørende forskellige VLAN’er. Dermed kan man styre, hvilke enheder der bør kunne kommunikere direkte, og hvilke typer trafik der skal holdes adskilt.

Et nyttigt forenklet model er: samme kabler og samme switchhardware kan bruges, men trafikken “opfører sig”, som om den tilhører separate LAN. Det gør det lettere at organisere netværket efter formål, fx gæster, kontor og udstyr, uden at bygge nye fysiske netværk hver gang.

En enkel måde at forestille sig VLAN på

Tænk på VLAN som “logiske grupper”. Når en enhed tilsluttes en switchport, kan switchen være konfigureret til at placere den enhed i et bestemt VLAN. Derefter bruger netværksudstyr VLAN-mærkninger til at bestemme, hvor trafikken må sendes.

Hvis flere switchporte skal høre til samme VLAN, kan de samles under samme VLAN-nummer. Hvis netværket skal transportere flere VLAN’er gennem ét link mellem switches, bruges typisk en trunk-funktion, så begge sider kan forstå hvilke VLAN’er der kører over forbindelsen.

Hvilke dele af netværket VLAN påvirker

VLAN-konceptet kobler især til switchens behandling af Layer 2-trafik (kommunikation inden for samme logiske netværk). Under normale omstændigheder vil enheder i forskellige VLAN’er ikke kunne tale direkte med hinanden som om de var i samme LAN.

For at trafik kan flyde mellem VLAN’er, skal der typisk være en “punkt til punkt”-funktion på et højere niveau, hvor netværket kan rute mellem segmenterne. Det kan fx ske via en router eller en Layer 3-funktion på switches, afhængigt af den konkrete opsætning.

Kort sagt: VLAN er ofte stærkt relevant for afgrænsning og styring på switchniveau, mens inter-VLAN trafik kræver ekstra funktioner.

Begrænsninger og beslægtede begreber at kende

Selv om VLAN kan reducere uønsket trafik og forbedre netværksstruktur, er der vigtige begrænsninger, som ofte misforstås.

  1. VLAN er ikke automatisk end-to-end sikkerhed VLAN adskiller logisk, men det erstatter ikke adgangspolitikker. Selv med VLAN kan der være behov for yderligere kontrol, fx firewallregler, korrekt port-/adgangsstyring og god praksis for hvilke protokoller der må være tilgængelige.

  2. Korrekt routing er nødvendig for kommunikation mellem VLAN’er Hvis man forventer, at enheder i forskellige VLAN’er kan nå hinanden, skal routing være planlagt. Uden en router/Layer 3-konfiguration ender man typisk med “manglende forbindelse”, selv om VLAN’er er sat op.

  3. Forkert VLAN-opsætning kan give utilsigtet adgang Når porte eller trunk-konfigurationer ikke matcher den tiltænkte arkitektur, kan VLAN’er ende med at blive “overført” forkert. Det kan give adgang, som ikke var planlagt, eller gøre fejlretning svær, fordi symptomerne ofte ligner almindelige netværksfejl.

  4. Beslægtede begreber: trunk, tagged/untagged trafik og routing I praksis støder man på begreber som trunk (transport af flere VLAN’er over et link), tagged vs. untagged mærkning samt routing mellem VLAN. De begreber bestemmer, om VLAN-opdelingen faktisk bliver håndhævet.

Praktiske kontrolpunkter for at vurdere om VLAN fungerer

Du kan selv tjekke, om VLAN-opdelingen giver mening, ved at gå systematisk til værks:

  • Verificér at hver fysisk port i switchen er sat til det forventede VLAN (eller den forventede trunk-opsætning).
  • Kontrollér at trunk-links mellem switches transporterer de relevante VLAN’er og ikke flere end nødvendigt.
  • Test typisk kommunikation inden for samme VLAN og adskilt kommunikation mellem VLAN’er.
  • Hvis inter-VLAN kommunikation er nødvendig, verificér at der findes en fungerende routing-/interfacetilknytning i den konkrete opsætning.

Hvis noget ikke stemmer, er det ofte port-til-VLAN mapping, trunk-allow-lister eller manglende routing, der er årsagen—mere end selve ideen om VLAN.