VLANmerkinnät

VLAN-merkinnät tarkoittavat tapaa jakaa fyysinen verkko useisiin virtuaalisiin lohkoihin. Ne perustuvat IEEE 802.1Q -standardiin, joka lisää Ethernet-kehykseen neljän tavun tunnisteen. Tunnisteen avulla samaan fyysiseen verkkoon voidaan kytkeä useita VLAN-alueita siten, että liikenne pysyy erillään ja hallinta helpottuu.

Merkintä sijoitetaan kehyksen sisälle lähde MAC -osoitteen jälkeen ja ennen EtherType-kenttää. 802.1Q -tagi sisältää VLAN-ID:n (1–4094), prioriteetin (0–7) sekä CFI-bitin. VLAN-id 0 ja 4095 ovat varattuja; käytännössä 1–4094 ovat käyttökelpoisia. Porttityypit määrittelevät, miten merkintöjä käsitellään: access-portti siirtää ainoastaan yhden VLANin untagged-liikennettä, kun taas trunk-portti voi kuljettaa useita VLAN-tunnisteita ja käyttää native-VLANia varten untagged-liikennettä.

VLAN-merkinnöillä on myös laajennuksia, kuten QinQ (802.1ad), joka sallii useamman VLAN-tunnisteen sisäkkäin (double tagging) erityisesti palveluntarjoajien käyttöön. ISL on vanhentunut vaihtoehto, jota nykyverkossa käytetään harvoin. VLAN-merkinnät voivat lisäksi tukea muita hallinnollisia ratkaisuja, kuten private VLAN -toimintoja, joilla rajoitetaan liikennettä tietyn VLANin sisällä.

Turvallisuus- ja suunnittelukäytännöt: VLAN-merkinnät parantavat verkon erottelua, mutta eivät yksin riitä turvaamaan liikennettä. VLAN-hoppingin ja trunk-konfiguraation virheiden riski on olemassa, jos määritykset eivät ole yhdenmukaiset koko verkkoketjussa. Suositellaan huolellista suunnittelua: dokumentoida VLAN-id:t, PVID-arvot, native-VLAN sekä trunk-rajat koko verkon laitteisiin, ja yhdistää VLAN-ympäristö vahvoihin käyttöoikeus- ja palomuurikäytäntöihin.