VLAN چیست
جواب کوتاه
VLAN یعنی چند شبکه‌ی جدا روی یک سوییچ و یک کابل‌کشی. با تنظیم سوییچ، پورت‌ها را گروه‌گروه می‌کنید و هر گروه یک شماره‌ی VLAN می‌گیرد؛ دستگاه‌های هر گروه انگار شبکه‌ی خودشان را دارند و پیام‌های همگانی‌شان به گروه‌های دیگر نمی‌رسد. مثل سالنی بزرگ که با پارتیشن چند اتاق شده است. برای حرف زدن میان VLANها روتر لازم است.
سه کلمه
- VLANکوتاه‌شده‌ی Virtual LAN، یعنی «شبکه‌ی محلی مجازی»: یک شبکه‌ی جدا که روی همان سوییچ و کابل‌ها با شبکه‌های دیگر شریک است.
- شماره‌ی VLANعددی که هر VLAN را از بقیه جدا می‌کند، مثل ۱۰ یا ۲۰؛ به انگلیسی VLAN ID.
- پورت دسترسیپورتی از سوییچ که مال یک VLAN است و دستگاه پشتش در همان VLAN قرار می‌گیرد؛ به انگلیسی access port.
یک سالن، چند اتاق
فرض کنید یک سالن همایش بزرگ دارید و می‌خواهید هم‌زمان سه جلسه‌ی جدا برگزار کنید. لازم نیست سه ساختمان بسازید؛ پارتیشن‌های تاشو را می‌کشید و سالن سه اتاق می‌شود. فردا اگر خواستید، پارتیشن‌ها را جابه‌جا می‌کنید.
VLAN همین کار را با یک سوییچ می‌کند (درس سوییچ). سوییچ یک دستگاه است و کابل‌ها همان کابل‌ها، ولی با تنظیم، دستگاه‌ها چند گروه می‌شوند و هر گروه مثل یک شبکه‌ی جدا کار می‌کند:
دستگاه‌ها لازم نیست به یک سوییچ وصل باشند تا در یک VLAN باشند، و برای بردن کسی به اتاق دیگر لازم نیست کابلش را عوض کنید؛ فقط تنظیم را عوض می‌کنید. بی VLAN، برای جدا کردن دو گروه باید کابل‌کشی و سوییچ جدا می‌داشتید.
بلندگوی هر اتاق
هر شبکه‌ی محلی پیام‌های همگانی دارد، مثل پرسش ARP و DHCP (درس ARP، درس DHCP). هر چه دستگاه بیشتر، این پیام‌ها بیشتر، و همه باید همه را بشنوند.
VLAN این را جدا می‌کند: بلندگوی هر اتاق فقط در همان اتاق شنیده می‌شود. هر VLAN «حوزه‌ی پخش همگانی» خودش است، و سوییچ پیام‌ها را از یک VLAN به VLAN دیگر رد نمی‌کند. پس هر دستگاه فقط پیام‌های همگانی گروه خودش را می‌شنود.
شماره‌ی هر اتاق
روی در هر اتاق شماره‌ای است. هر VLAN هم یک شماره دارد، مثل ۱۰، ۲۰ یا ۳۰. این شماره ۱۲ بیت است، پس ۴٬۰۹۶ عدد ممکن است؛ ۰ و ۴۰۹۵ کنار گذاشته شده‌اند و تا ۴٬۰۹۴ VLAN می‌شود ساخت (درس بیت و بایت).
VLAN در لایه‌ی ۲ همتای ساب‌نت در لایه‌ی ۳ است (درس ساب‌نت مسک)، و معمولا هر VLAN یک ساب‌نت خودش را دارد؛ مثلا VLAN ۱۰ نشانی‌های 192.168.10.0/24 و VLAN ۲۰ نشانی‌های 192.168.20.0/24.
پورت‌ها و اتاق‌ها
ساده‌ترین شکل «VLAN بندی» این است که هر پورت سوییچ را به یک VLAN بدهید. به چنین پورتی پورت دسترسی می‌گویند، و دستگاهی که پشتش است، اصلا خبر ندارد VLANی هست؛ فقط در اتاق خودش است:
حالا اگر اتاق‌ها روی دو سوییچ پخش باشند چه؟ برای هر VLAN یک کابل جدا میان دو سوییچ بکشیم؟ نه؛ یک کابل کافی است که روی هر فریم برچسب بزند که مال کدام VLAN است. به این کابل «ترانک» می‌گویند، که درس بعد است.
رفتن از اتاقی به اتاق دیگر
میان اتاق‌ها در نیست؛ برای رفتن از یکی به دیگری باید به راهرو بروید و از میز راهنما بگذرید. دستگاه‌های دو VLAN هم مستقیم به هم نمی‌رسند، حتی اگر روی یک سوییچ باشند. برایشان یک روتر یا سوییچ لایه ۳ لازم است، که بسته را از یک ساب‌نت به ساب‌نت دیگر ببرد (درس گیت‌وی).
خوبی‌اش این است که روتر می‌تواند تصمیم بگیرد چه چیزی از کدام اتاق به کدام اتاق برود. جزئیات در درس «مسیریابی میان VLANها» می‌آید.
چرا اتاق جدا
چند نمونه‌ی رایج از VLANهای جدا در یک سازمان:
- کارمندان و مهمان‌ها: مهمان‌ها اینترنت می‌گیرند ولی به دستگاه‌های داخلی نمی‌رسند.
- تلفن‌های اینترنتی: جدا، تا بتوان ترافیکشان را جلوتر انداخت.
- مدیریت شبکه: جایی جدا برای خود دستگاه‌های شبکه.
شرکت‌هایی که سرور اجاره می‌دهند هم با VLAN بخش هر مشتری را از بقیه جدا می‌کنند. ولی VLAN را به‌عنوان ابزار امنیت باید با دقت ساخت؛ اگر بی‌دقت تنظیم شود، راه‌هایی برای پریدن از یک VLAN به دیگری هست، که در درس امنیت لایه ۲ می‌آید.
سه اشتباه
- «دستگاه‌های دو VLAN روی یک سوییچ، مستقیم با هم حرف می‌زنند.»سوییچ ترافیک را میان VLANها رد نمی‌کند؛ برای حرف زدنشان روتر یا سوییچ لایه ۳ لازم است.
- «VLAN یعنی کابل‌کشی جدا.»هنر VLAN همین است که کابل و سوییچ مشترک‌اند و جدایی با تنظیم انجام می‌شود.
- «VLAN خودش امنیت کامل است.»VLAN جدا می‌کند، ولی اگر بی‌دقت ساخته شود، راه‌هایی برای پریدن از یک VLAN به دیگری هست؛ امنیت درس‌های خودش را دارد.
جمع‌بندی. آنچه از این درس با خودتان می‌برید.
- VLAN شبکه‌ی جدایی در لایه‌ی ۲ است که سوییچ و کابل را با بقیه شریک است.
- پیام همگانی در همان VLAN می‌ماند؛ سوییچ ترافیک را میان VLANها رد نمی‌کند.
- شماره‌ی VLAN ۱۲ بیت است؛ ۰ و ۴۰۹۵ رزروند؛ تا ۴٬۰۹۴ VLAN.
- هر پورت دسترسی مال یک VLAN است؛ برای بردن چند VLAN روی یک کابل، ترانک لازم است.
- میان VLANها روتر یا سوییچ لایه ۳ لازم است؛ معمولا هر VLAN یک ساب‌نت است.
- VLAN برای جدا کردن مهمان، تلفن و مدیریت به کار می‌رود، ولی امنیتش دقت می‌خواهد.
خودتان را بسنجید
۱۵ پرسش، هر بار تازه از میان ۳۰ پرسش این درس. آخر آزمون فقط کارنامه را می‌بینید: چند درست، چند نادرست.