Настройка VLAN: логическая сегментация корпоративной сети

Как работает VLAN

В обычной сети все порты одного коммутатора могут принадлежать общему широковещательному домену. Запросы ARP и другие широковещательные кадры распространяются между всеми подключенными устройствами. VLAN ограничивает их распространение выбранной группой портов.

Каждому сегменту назначают числовой идентификатор VLAN ID. Значения от 1 до 4094 предусмотрены стандартом IEEE 802.1Q, но часть диапазона может быть зарезервирована конкретным оборудованием. VLAN 1 часто используется производителями по умолчанию, поэтому пользовательский и управляющий трафик обычно переносят в явно созданные сегменты.

Access- и trunk-порты

Access-порт предназначен, как правило, для одного конечного устройства. Пришедший от него кадр не содержит VLAN-тега, а коммутатор относит кадр к VLAN, назначенному этому порту. Компьютер или принтер при такой схеме не должен знать о VLAN.

Trunk-порт передает несколько VLAN по одному физическому соединению. Коммутатор добавляет к кадрам тег 802.1Q, по которому соседнее устройство определяет их принадлежность. Trunk применяют между коммутаторами, а также при подключении маршрутизатора, межсетевого экрана, гипервизора или точки доступа с несколькими SSID.

На trunk следует явно ограничивать список разрешенных VLAN. Передача всех созданных сегментов без необходимости усложняет диагностику и увеличивает последствия ошибочной конфигурации.

Проектирование схемы до настройки

Сегменты целесообразно формировать по функциям и требованиям к доступу, а не только по отделам или этажам. Для каждого VLAN фиксируют назначение, ID, IP-подсеть, шлюз, DHCP-сервис, перечень разрешенных взаимодействий и ответственного администратора.

Адреса в таблице приведены как пример структуры, а не как готовая схема для любой организации. Размер подсетей выбирают по фактическому и ожидаемому числу устройств. Пересекающиеся подсети использовать нельзя: маршрутизатор не сможет однозначно определить направление трафика.

Базовая последовательность настройки VLAN

1. Создать VLAN на всех участвующих коммутаторах

Нужные идентификаторы создают на каждом коммутаторе, через который должен проходить соответствующий трафик. Имена вроде USERS, SERVERS и GUEST упрощают сопровождение, но фактическую принадлежность кадров определяет VLAN ID. На оборудовании разных производителей синтаксис команд различается, поэтому перед изменениями следует проверить документацию конкретной модели и версию прошивки.

2. Назначить порты конечных устройств

Порт переводят в режим access и назначают ему один VLAN. Одновременно проверяют, не используется ли на порту голосовой VLAN, динамическое согласование trunk или устаревшая конфигурация. Неиспользуемые порты рекомендуется отключать либо помещать в отдельный VLAN без маршрутизации.

3. Настроить магистральные соединения

На обоих концах линии задают trunk, одинаковый список разрешенных VLAN и согласованную политику native VLAN. Несовпадение параметров способно вызвать потерю трафика или попадание нетегированных кадров в другой сегмент. После изменения проверяют не только состояние физического линка, но и фактическую передачу каждого нужного VLAN.

4. Добавить шлюзы и DHCP

Обмен между разными VLAN требует устройства третьего уровня: маршрутизатора, L3-коммутатора или межсетевого экрана. Для каждой подсети создают интерфейс шлюза — физический, виртуальный SVI либо тегированный подынтерфейс. DHCP должен выдавать адреса из правильного диапазона, а при расположении DHCP-сервера в другом сегменте понадобится DHCP relay.

5. Ограничить межсетевой доступ

Сам факт создания VLAN не определяет, какие соединения между сегментами разрешены. Если маршрутизатор свободно пересылает весь трафик, логическое разделение сокращает широковещательные домены, но почти не ограничивает доступ. Правила ACL или межсетевого экрана строят от необходимых потоков: источник, назначение, протокол, порт и направление. Сначала фиксируют бизнес-зависимости, затем применяют запреты.

Диагностический алгоритм при отсутствии связи

1. Проверить физический уровень. Убедиться, что линк поднят, скорость согласована, ошибок и постоянных переподключений нет.
2. Проверить access-порт. Сопоставить фактический VLAN порта с проектной таблицей и исключить случайный режим trunk.
3. Проверить адресацию. Устройство должно получить IP-адрес, маску, шлюз и DNS, относящиеся к одной запланированной подсети.
4. Проверить MAC-таблицу. MAC-адрес устройства должен появляться на ожидаемом порту и в ожидаемом VLAN.
5. Проверить trunk по всей трассе. Нужный VLAN должен существовать и быть разрешен на каждом промежуточном соединении.
6. Проверить шлюз. Сначала тестируют связь с адресом шлюза своего VLAN, затем маршрутизацию до другой подсети.
7. Проверить политики. Анализируют ACL, правила межсетевого экрана, NAT и журналы блокировок.
8. Проверить прикладной уровень. Успешный ping не подтверждает доступность DNS, HTTPS или другого требуемого сервиса.

Диагностику полезно вести снизу вверх и фиксировать, на каком переходе перестает проходить трафик. Одновременное изменение портов, маршрутизации и правил доступа затрудняет поиск причины.

Проверяемые критерии готовности

• каждый пользовательский порт находится в VLAN, указанном в схеме;
• на trunk разрешены только необходимые VLAN, а параметры обоих концов совпадают;
• клиенты получают адреса из своего DHCP-пула и используют корректный шлюз;
• широковещательный трафик не пересекает границы VLAN без обработки устройством третьего уровня;
• гостевой сегмент не открывает внутренние адреса, если такой доступ не предусмотрен;
• управление сетевым оборудованием доступно только из разрешенной административной сети;
• разрешенные межсетевые сервисы проверены по конкретным протоколам и портам;
• конфигурация сохранена, схема портов актуализирована, предусмотрен способ отката.

Типовые ошибки

Одинаковый VLAN ID с разным смыслом. Если на соседних коммутаторах один номер назначен разным группам, trunk фактически объединит их. Идентификаторы и названия нужно вести в едином реестре.

Несовпадение native VLAN. Нетегированный трафик на концах trunk попадает в разные сегменты. Безопаснее явно согласовать значение и не размещать в native VLAN пользовательские устройства.

Избыточно широкая маршрутизация. Правило «разрешить всё между локальными сетями» отменяет значительную часть контроля, ради которого выполнялась сегментация.

Забытый DHCP relay. Клиент видит свой VLAN, но не получает адрес, поскольку широковещательный DHCP-запрос не проходит через маршрутизатор автоматически.

Изменения без документации. После переноса кабеля или замены коммутатора назначение портов восстанавливают по предположениям. Таблица VLAN, схема uplink и резервные копии конфигураций должны обновляться вместе с сетью.

Границы метода

VLAN не шифрует трафик, не заменяет межсетевой экран и не подтверждает подлинность подключенного устройства. Для полноценного контроля могут потребоваться ACL, аутентификация 802.1X, защищенное администрирование, журналирование и мониторинг. Также VLAN не исправит перегруженный uplink, петлю второго уровня или неверно рассчитанную пропускную способность.

Специальная сегментация видеонаблюдения требует отдельного анализа потоков камер, регистраторов, рабочих мест и удаленного доступа. Вопросы киберзащиты видеосистемы также выходят за рамки базовой конфигурации VLAN: одного выделенного сегмента недостаточно без правил доступа и безопасного управления оборудованием.

Итог

Корректная настройка VLAN начинается с понятной матрицы устройств и разрешенных связей. Затем создаются сегменты, назначаются access-порты, согласуются trunk-соединения, настраиваются шлюзы и только после этого вводятся межсетевые правила. Результат проверяют не одним ping, а по всей цепочке: порт, тегирование, адресация, маршрутизация и доступность конкретного сервиса.

Если существующая сеть не документирована, регулярно меняется или объединяет оборудование разных производителей, перед внедрением полезно провести обследование и зафиксировать текущую топологию. С командой Grifun можно обсудить обследование сети, подготовку схемы VLAN или выполнение сетевых работ с учетом фактической инфраструктуры.