VLANkonfigurationer

VLAN-konfigurationer innebär att dela upp ett fysiskt nätverk i flera virtuella nätverk, så kallade VLAN. Varje VLAN får ett namn och ett VLAN-id (vanligtvis 1–4094). På nätverksswitchar används accessports som tillhör ett särskilt VLAN och trunkports som bär flera VLAN via 802.1Q-taggning. Genom att segmentera trafiken kan broadcast-domäner begränsas och säkerheten förbättras.

För kommunikation mellan VLAN krävs inter-VLAN-routing. Detta görs antingen i en lager-3-switch som hanterar flera VLAN och erbjuder Switch Virtual Interfaces (SVI) för varje VLAN, eller i en separat router kopplad via trunk (router-on-a-stick). Varje VLAN fungerar då som en egen IP-subnät; vanligtvis tilldelas en IP-adress på varje SVI som gateway för klienterna i VLANet.

Konfigurationskomponenter inkluderar: portlägen (access eller trunk), vilka VLAN som får passage genom en trunk, och vilken VLAN som används som native VLAN utan taggning. Det är också vanligt att konfigurera DHCP-relä för varje VLAN så att klienter får adresser i rätt subnät. Under nätverksdesignen bör varje VLAN relatera till en egen subnätplan.

Praktiska riktlinjer: planera och dokumentera VLAN-planen noggrant; avlägsna oanvända portar; använd säkrare trunkkonfigurationer och stäng av eller begränsa dynamiska trunkingprotokoll som DTP. Använd Spanning Tree för att skydda mot loopar, och överväg att begränsa administrativa åtkomst till switchar via en separat management-VLAN. Övergripande mål är tydlig segmentering, förbättrad säkerhet och enklare felhantering.