Jak działa tagowanie VLAN?
Tagowanie VLAN (ang. VLAN tagging) to technika wykorzystywana w sieciach komputerowych do oznaczania ramek Ethernet w celu identyfikacji, do której wirtualnej sieci lokalnej (VLAN) dana ramka należy. Pozwala to na przesyłanie ruchu z różnych VLAN-ów przez wspólną infrastrukturę sieciową (taką jak jeden kabel Ethernet lub jedno łącze między przełącznikami) bez mieszania ich zawartości.
Technologia VLAN umożliwia logiczne podzielenie jednej fizycznej sieci na wiele wirtualnych podsieci. Tagowanie ramek pozwala na utrzymanie separacji ruchu w ramach tych VLAN-ów nawet wtedy, gdy dane przepływają przez te same urządzenia sieciowe.
Podstawy działania VLAN
VLAN-y (ang. Virtual LANs) działają w warstwie drugiej modelu OSI (Data Link Layer). Dzięki VLAN-om można pogrupować urządzenia w jednej lokalizacji lub w różnych lokalizacjach tak, aby znajdowały się w jednej logicznej sieci, niezależnie od ich fizycznego połączenia. Przykładowo, dział księgowości i dział IT mogą być od siebie oddzielone logicznie w ramach tej samej infrastruktury przełącznikowej.
Na czym polega tagowanie VLAN?
Tagowanie VLAN polega na dodaniu specjalnego znacznika (taga) do nagłówka ramki Ethernet. Ten znacznik zawiera identyfikator VLAN (VLAN ID), który określa, do którego VLAN-u dana ramka należy. Standardem używanym do tagowania VLAN-ów jest IEEE 802.1Q.
W standardzie 802.1Q do każdej ramki Ethernet dodawane są 4 bajty tagu, który zawiera następujące pola:
| Pole | Opis |
|---|---|
| TPID (Tag Protocol Identifier) | 2 bajty identyfikujące, że ramka została oznaczona tagiem 802.1Q (wartość: 0x8100). |
| TCI (Tag Control Information) | 2 bajty zawierające m.in. identyfikator VLAN (VLAN ID – 12 bitów, wartości od 1 do 4094) oraz priorytet (3 bity). |
Przykład działania VLAN taggingu
- Komputer w VLAN 10 wysyła dane do innego komputera w tym samym VLAN.
- Przełącznik dodaje tag 802.1Q do ramki, przypisując jej VLAN ID 10.
- Ramka przemieszcza się przez łącze trunk między przełącznikami z zachowanym tagiem VLAN.
- Na przełączniku docelowym tag jest analizowany – ramka trafia tylko do portów należących do VLAN 10.
- Jeśli odbiorca znajduje się na porcie typu access (dostępowym), tag jest usuwany przed dostarczeniem ramki do urządzenia końcowego.
Typy portów w kontekście VLAN
- Port typu access – przypisany do jednego VLAN-u; nie dodaje i nie rozpoznaje tagów VLAN. Używany przez urządzenia końcowe (komputery, drukarki).
- Port typu trunk – może przesyłać ruch z wielu VLAN-ów; dodaje tagi do ramek (802.1Q). Używany między przełącznikami, routerami i serwerami.
- Port typu hybrid – wspiera zarówno tagowany, jak i nietagowany ruch; używany w zaawansowanych konfiguracjach.
Zalety tagowania VLAN
- Efektywne wykorzystanie infrastruktury – wiele VLAN-ów może współdzielić to samo fizyczne połączenie (np. kabel światłowodowy między przełącznikami).
- Izolacja ruchu – dane z różnych VLAN-ów nie mieszają się, co zwiększa bezpieczeństwo i wydajność sieci.
- Skalowalność – możliwa obsługa do 4094 różnych VLAN-ów w ramach jednej sieci.
- Elastyczność zarządzania – umożliwia centralne zarządzanie ruchem i politykami sieciowymi.
Tagowanie a routing między VLAN-ami
Tagowanie VLAN służy do separacji warstwy drugiej. Aby urządzenia z różnych VLAN-ów mogły się komunikować, konieczne jest zastosowanie routingu między VLAN-ami, który realizowany jest przez router lub przełącznik warstwy 3 (L3 switch). W takim przypadku router odbiera pakiety z tagiem VLAN, rozpoznaje je, a następnie przekazuje do innego VLAN-u zgodnie z zasadami routingu.
Przykład konfiguracji VLAN tagging (Cisco)
interface GigabitEthernet0/1 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 10,20,30
Powyższa konfiguracja ustawia port przełącznika w tryb trunk, używając standardu 802.1Q i umożliwia przesyłanie ruchu z VLAN 10, 20 i 30 przez jedno połączenie.
Najczęstsze pytania dotyczące VLAN tagging
Czy każdy przełącznik obsługuje tagowanie VLAN?
Nie. Tylko przełączniki zarządzalne (managed switches) umożliwiają konfigurację VLAN i obsługę tagowania 802.1Q. Proste przełączniki niezarządzalne (unmanaged) nie wspierają tej funkcji.
Jaka jest różnica między tagowaniem i untagowaniem?
Tagowana ramka zawiera identyfikator VLAN w nagłówku. Nietagowana (untagged) nie zawiera tagu VLAN. Porty access przesyłają zazwyczaj ramki nietagowane, natomiast porty trunk używają ramek tagowanych.
Jak obsługiwany jest domyślny VLAN?
Domyślnie większość przełączników przypisuje porty do VLAN 1. Na trunku ramki VLAN 1 mogą być przesyłane bez tagowania, ale to zależy od konfiguracji i producenta urządzenia.
Ile VLAN-ów można utworzyć?
Standard 802.1Q obsługuje maksymalnie 4094 VLAN-y (identyfikatory od 1 do 4094; 0 i 4095 są zarezerwowane).
Podsumowanie
Tagowanie VLAN to kluczowy mechanizm umożliwiający współdzielenie jednej infrastruktury fizycznej przez wiele logicznych sieci VLAN. Dzięki dodawaniu identyfikatorów do ramek Ethernet możliwe jest zachowanie pełnej izolacji ruchu, bezpieczne i wydajne przesyłanie danych oraz uproszczenie zarządzania ruchem sieciowym. Technologia ta jest standardem w nowoczesnych sieciach korporacyjnych i centrach danych, wspierając segmentację sieci, bezpieczeństwo i skalowalność.