VLAN — bitta fizik tarmoq infratuzilmasida bir nechta alohida mantiqiy lokal tarmoq yaratish usuli. Uning to‘liq nomi Virtual Local Area Network, ya’ni virtual lokal tarmoq hisoblanadi.
Switchga ulangan barcha qurilmalar bir xil fizik qurilmadan foydalansa ham, VLAN yordamida ular turli broadcast domenlarga ajratiladi. Bir VLANdagi broadcast paket boshqa VLANga to‘g‘ridan-to‘g‘ri o‘tmaydi. Turli VLANlar orasidagi aloqa router yoki Layer 3 switch orqali amalga oshiriladi.
VLANning vazifasi
Katta lokal tarmoqni faqat fizik switchlar bo‘yicha tashkil qilish noqulay. Xodimlar, serverlar, mehmonlar, kameralar va IP telefonlar bir switchga ulangan bo‘lishi mumkin, ammo ularning trafik va xavfsizlik talablari bir xil emas.
VLAN quyidagi vazifalarni bajaradi:
- broadcast domenlarni kichraytiradi;
- foydalanuvchi va qurilmalarni vazifasiga qarab ajratadi;
- tarmoq topologiyasini fizik joylashuvdan mustaqil qiladi;
- xavfsizlik siyosatini segmentlar bo‘yicha qo‘llashga imkon beradi;
- IP telefon, mehmon Wi-Fi va boshqaruv trafikini alohida olib boradi;
- bir nechta switch orqali bir xil mantiqiy tarmoqni davom ettiradi.
VLANning o‘zi barcha trafikni himoyalamaydi. U mantiqiy chegara yaratadi, ammo VLANlar orasidagi ruxsat va taqiq router, firewall yoki ACL qoidalari orqali belgilanadi.
VLAN ID
Har bir VLAN raqam bilan belgilanadi. IEEE 802.1Q formatida VLAN identifikatori uchun 12 bit ajratilgan. Nazariy diapazon 0 dan 4095 gacha, amaliy foydalaniladigan qiymatlar esa odatda 1–4094 oralig‘ida bo‘ladi. 0 va 4095 maxsus maqsadlar uchun ajratilgan.
VLAN ID faqat bitta boshqaruv domeni ichida ma’noga ega. Masalan, bir tashkilotdagi VLAN 10 xodimlar tarmog‘i, boshqa tashkilotda esa serverlar tarmog‘i bo‘lishi mumkin.
Access port
Access port odatda bitta VLANga tegishli bo‘ladi va oxirgi qurilma shu portga ulanadi. Kompyuter, printer yoki kamera Ethernet kadriga VLAN tegini qo‘shmasdan trafik yuboradi. Switch kadr qaysi portdan kelganiga qarab uni portga biriktirilgan VLANga tegishli deb qabul qiladi.
Kadr access port orqali qurilmaga yuborilganda switch odatda VLAN tegini olib tashlaydi. Natijada oddiy kompyuter VLAN mavjudligini bilmasdan ishlaydi.
Trunk port
Trunk port bir nechta VLAN trafikini bitta fizik aloqa orqali tashiydi. Switchlar orasidagi uplink, switch bilan router yoki switch bilan virtualizatsiya serveri orasidagi aloqa ko‘pincha trunk rejimida ishlaydi.
Trunkdagi Ethernet kadrga 802.1Q tag qo‘shiladi. Teg ichida VLAN ID va trafik ustuvorligiga oid ma’lumot bo‘ladi. Qabul qiluvchi switch shu teg orqali kadrni tegishli VLANga joylashtiradi.
| Port turi | VLAN soni | Odatdagi qurilma |
|---|---|---|
| Access | Bitta | Kompyuter, printer, kamera |
| Trunk | Bir nechta | Switch, router, hypervisor |
| Hybrid | Tegli va tegsiz trafik aralashishi mumkin | IP telefon yoki maxsus tarmoq qurilmasi |
Trunk portda barcha VLANlarni tashish shart emas. Allowed VLAN list orqali faqat kerakli VLANlarga ruxsat beriladi. Bu xato konfiguratsiya yoki keraksiz trafik tarqalishini kamaytiradi.
Native VLAN
802.1Q trunkda ayrim kadrlar tegsiz uzatilishi mumkin. Bunday trafik native VLANga tegishli deb olinadi. Trunkning ikki tomonida native VLAN bir xil bo‘lmasa, tegsiz paketlar noto‘g‘ri segmentga tushadi.
Native VLAN mexanizmi eski yoki tegsiz trafik bilan moslik uchun mavjud. Boshqariladigan tarmoqlarda native VLAN alohida, ishlatilmaydigan IDga o‘tkazilishi yoki barcha trafikni tegli uzatish siyosati qo‘llanishi mumkin.
Broadcast domen
Bir VLAN alohida Layer 2 broadcast domen hisoblanadi. Masalan, VLAN 10dagi ARP Request shu VLAN portlariga tarqaladi, lekin VLAN 20ga o‘tmaydi. Bu broadcast trafikni cheklaydi va tarmoqdagi qurilmalar soni oshganda barqarorlikni saqlashga yordam beradi.
VLAN va subnet ko‘pincha bir-biriga mos tashkil qilinadi:
VLAN 10 — 192.168.10.0/24 — Xodimlar
VLAN 20 — 192.168.20.0/24 — Serverlar
VLAN 30 — 192.168.30.0/24 — Mehmonlar
Bitta VLAN ichida bir nechta IP subnet ishlatish yoki bitta subnetni bir nechta VLANga bo‘lish texnik jihatdan ayrim holatlarda mumkin, ammo odatiy tarmoq dizaynida bitta VLAN — bitta subnet tamoyili boshqaruvni soddalashtiradi.
Inter-VLAN routing
Turli VLANlarga tegishli qurilmalar Layer 2 darajasida bevosita aloqa qila olmaydi. Ularning trafikini Layer 3 qurilma yo‘naltiradi. Bu jarayon inter-VLAN routing deyiladi.
Inter-VLAN routing quyidagi usullarda tashkil qilinishi mumkin:
- har VLAN uchun routerda alohida fizik interfeys;
- bitta trunk interfeysda subinterface yaratish, ya’ni router-on-a-stick;
- Layer 3 switchda SVI interfeyslaridan foydalanish;
- firewall orqali VLANlar orasidagi trafikni yo‘naltirish va filtrlash.
Masalan, VLAN 10dagi 192.168.10.25 qurilma VLAN 20dagi 192.168.20.10 serverga murojaat qilsa, paket avval VLAN 10 gateway manziliga boradi. Layer 3 qurilma marshrut jadvali va xavfsizlik qoidasini tekshirib, paketni VLAN 20ga uzatadi.
Voice VLAN
IP telefon va kompyuter ko‘pincha bitta fizik switch portidan foydalanadi. Telefon switch bilan VLAN ma’lumotini LLDP-MED yoki ishlab chiqaruvchiga xos protokol orqali kelishishi mumkin. Telefon ovoz trafikini voice VLAN bilan tegli yuboradi, kompyuter trafiki esa access VLAN sifatida tegsiz keladi.
Voice VLAN ovoz trafikiga alohida QoS siyosati, DHCP option va xavfsizlik qoidalarini qo‘llash imkonini beradi.
VLAN va Wi-Fi
Korporativ access point bir nechta SSIDni turli VLANlarga bog‘lashi mumkin. Masalan, UzbekDevs-Staff SSID VLAN 10ga, UzbekDevs-Guest esa VLAN 30ga biriktiriladi. Access point bilan switch orasidagi port trunk bo‘lib, ikkala VLAN trafikini olib o‘tadi.
Mehmon VLAN odatda ichki serverlardan ajratiladi va faqat internetga chiqishga ruxsat oladi. Xodimlar VLANiga esa autentifikatsiya va xizmat talabi asosida kengroq ruxsat berilishi mumkin.
VLAN hopping
Noto‘g‘ri trunk va native VLAN sozlamalari hujumchiga boshqa VLANga trafik yuborishga imkon berishi mumkin. Switch spoofing va double tagging VLAN hopping bilan bog‘liq usullar hisoblanadi.
Himoya doirasida foydalanuvchi portlari aniq access rejimiga o‘tkaziladi, avtomatik trunk kelishuvi o‘chiriladi, native VLAN boshqariladi va trunkda faqat zarur VLANlarga ruxsat beriladi.
VLANni tekshirish
VLAN bilan bog‘liq aloqa uzilganda quyidagi ma’lumotlar tekshiriladi:
- portning access yoki trunk rejimi;
- access VLAN raqami;
- trunkdagi allowed VLAN ro‘yxati;
- native VLAN mosligi;
- VLANning switch bazasida mavjudligi;
- STP holati;
- SVI yoki router subinterface holati;
- DHCP hovuzi va relay sozlamasi;
- VLANlar orasidagi ACL yoki firewall qoidasi.
Bog‘liq tushunchalar
LAN, Switch, Broadcast domain, Subnet, 802.1Q, Access port, Trunk port, Native VLAN, Inter-VLAN routing, SVI, STP, LLDP