VLAN (Virtual LAN) chia một switch hoặc hệ thống switch thành nhiều mạng logic tách biệt, mỗi mạng có miền broadcast riêng. Thiết bị khác VLAN muốn liên lạc phải đi qua router hoặc switch layer 3. Doanh nghiệp cần VLAN khi muốn tách khách, camera, thoại và nhân viên.
Ý tưởng chính: tách mạng bằng cấu hình, không bằng dây
Không có VLAN, mọi thiết bị trên các switch đều nằm chung một mạng phẳng: một thiết bị gửi broadcast thì mọi máy đều nhận. Càng nhiều thiết bị, lưu lượng thừa càng lớn và rủi ro lan sự cố càng cao. VLAN gán từng cổng (hoặc từng gói tin) vào một mạng logic, nên bạn chia được mạng theo nhóm chức năng mà không cần mua switch riêng cho từng nhóm.
Cách VLAN hoạt động theo chuẩn 802.1Q
Chuẩn IEEE 802.1Q thêm một thẻ (tag) vào khung Ethernet, trong đó có số định danh VLAN dài 12 bit. Các giá trị dùng được là từ 1 đến 4094; giá trị 0 và 4095 được dành riêng. Có hai kiểu cổng trên switch:
| Loại cổng | Chức năng | Nối với |
|---|---|---|
| Access | Thuộc đúng một VLAN, khung không có tag khi ra khỏi cổng | Máy tính, máy in, camera, điện thoại |
| Trunk | Mang nhiều VLAN cùng lúc, khung có tag | Switch khác, router, access point nhiều SSID |
| Native/untagged VLAN trên trunk | Lưu lượng không gắn tag trên trunk | Cần thống nhất hai đầu để tránh nhầm lẫn |
Những tình huống nên dùng VLAN
- Tách mạng khách: khách dùng Wi-Fi nhưng không thấy máy chủ nội bộ hay máy in.
- Camera và thiết bị IoT: cô lập khỏi máy tính làm việc, nhất là camera hay có lỗ hổng.
- Điện thoại IP: ưu tiên lưu lượng thoại và dễ cấp địa chỉ riêng.
- Phòng ban nhạy cảm: kế toán, nhân sự có thể cần vùng riêng với quy tắc truy cập chặt hơn.
- Giảm broadcast: mạng lớn chia nhỏ để bớt tải.
Văn phòng chỉ vài máy và một router thường chưa cần VLAN; thêm VLAN mà không có người quản trị sẽ tăng độ phức tạp hơn là lợi ích.
Điều VLAN không làm được
VLAN tách mạng ở lớp liên kết dữ liệu, nhưng không tự thành tường lửa. Muốn các VLAN liên lạc có kiểm soát, cần router hoặc switch layer 3 cùng quy tắc lọc (ACL, tường lửa) để chỉ cho phép lưu lượng cần thiết. Cấu hình trunk lỏng lẻo hoặc để cổng ở chế độ mặc định có thể tạo lỗ hổng chuyển VLAN trái phép. Hãy coi VLAN là một lớp phân vùng, kết hợp với kiểm soát truy cập chứ không thay thế nó.
Triển khai VLAN từng bước
- Liệt kê nhóm thiết bị cần tách và quyết định số VLAN cùng dải địa chỉ IP cho từng VLAN.
- Kiểm tra switch, router và access point có hỗ trợ VLAN 802.1Q.
- Cấu hình cổng access cho thiết bị đầu cuối và cổng trunk giữa các thiết bị mạng.
- Cấu hình router hoặc switch layer 3 để định tuyến giữa các VLAN, đặt quy tắc cho phép hoặc chặn.
- Cấu hình DHCP cho từng VLAN và kiểm tra bằng thiết bị thật.
- Ghi lại sơ đồ để người sau còn hiểu hệ thống.
Với mạng doanh nghiệp đang có sẵn nhiều thiết bị chạy, nên thử nghiệm vào giờ ít người dùng và sao lưu cấu hình trước khi thay đổi.
Hãy đặt tên VLAN và đánh số theo quy ước dễ nhớ (ví dụ nhóm chức năng gắn với dải IP). Sau một năm, người sửa mạng sẽ cảm ơn bạn.
Cần thiết kế hoặc xử lý mạng cho văn phòng? Kỹ thuật viên PCTech hỗ trợ tại TP.HCM.
Câu hỏi thường gặp
VLAN có làm mạng nhanh hơn không?
VLAN không tăng tốc đường truyền Internet, nhưng giảm lưu lượng broadcast dư thừa và tách nhóm thiết bị, nên mạng nội bộ ổn định hơn khi quy mô lớn. Hiệu quả rõ nhất với mạng có nhiều thiết bị.
VLAN có an toàn tuyệt đối không?
Không. VLAN giúp phân vùng nhưng cần kết hợp với tường lửa, ACL và cấu hình cổng đúng cách. Cấu hình trunk hoặc native VLAN sai có thể bị lợi dụng để vượt qua phân vùng.
Thiết bị khác VLAN có liên lạc được không?
Chỉ khi có thiết bị định tuyến giữa các VLAN, như router hoặc switch layer 3, và quy tắc cho phép. Mặc định hai VLAN khác nhau không thấy nhau, kể cả khi chung một switch.
Máy tính của tôi có phải cấu hình gì khi dùng VLAN không?
Thông thường không, nếu cổng switch là access. Máy nhận địa chỉ IP của VLAN tương ứng và hoạt động như bình thường. Chỉ máy chủ ảo hoặc thiết bị đặc biệt mới cần cấu hình thẻ VLAN.
Bài viết liên quan
- Switch mạng là gì? Switch managed và unmanaged
- Router là gì? Phân biệt với modem và switch
- Firewall là gì? Vì sao doanh nghiệp cần
- Camera IP và NVR là gì
- Mạng nội bộ văn phòng: thiết kế cơ bản
