VLANerottelu

VLANerottelu on verkon suunnittelun käytäntö, jossa sama fyysinen lähiverkko jaetaan useiksi loogisiksi paikallisverkoiksi (VLAN). Jokainen VLAN muodostaa oman broadcast-domaininsa, mikä rajoittaa lähetyksiä, parantaa turvallisuutta ja helpottaa verkon hallintaa. VLANerottelulla voidaan toteuttaa sekä organisaation sisäinen segmentointi että eri käyttäjäryhmien erottaminen.

Toimintaperiaate: VLANit määritellään kytkimissä (ja mahdollisesti reitittimissä) käyttämällä VLAN-tunnisteita (yleisesti 802.1Q). Porttikohtainen VLAN-ryhmittys on yleistä: kytkimen portti voidaan liittää tiettyyn VLANiin. Trunk-liittymät kantavat useita VLAN-tunnisteita 802.1Q -tagien avulla. VLANien välinen liikenne vaatii reititystä – inter-VLAN routingin – jonka toteuttaa reititin tai Layer 3 -kytkin.

Käyttötarkoitukset: VLANeja käytetään usein erottamaan eri organisaation osat, kuten talous-, HR- tai IT-verkot; tarjoamaan erillinen vierasverkko (guest VLAN); optimoimaan ääni- ja videoliikenne (voice VLAN); sekä erottamaan IoT- ja liiketoimintaverkkoja.

Turvallisuus ja hallinta: VLAN-hoppia ja väärin konfiguroituja trunkeja vastaan on syytä varautua; yleisiä riskitekijöitä ovat native VLAN -ristiriidat ja epäedulliset trunk-asetukset. Parhaat käytännöt sisältävät erillisen native VLANin käyttämisen, trunk-porttien rajoitukset, käyttöoikeuslistat (ACL) verkko- ja DHCP-suojaus, sekä säännöllisen valvonnan ja dokumentoinnin.

Rajoitteet ja huomioitavaa: VLANien toteutus vaatii laitteiston, joka tukee VLAN-tunnisteita; inter-VLAN routing voi lisätä reititysrasitusta ja lisävaatimuksia verkon suunnittelulle. VLAN-erottelu ei yksinään paranna kaikkia turva-aukkoja, vaan vaatii kokonaisvaltaista verkko- ja turvallisuusarkkitehtuuria.

---