VLANtunniste

VLAN-tunniste on Ethernet-kehyksen metadata, jonka IEEE 802.1Q -standardi määrittelee. Sen tarkoituksena on mahdollistaa usean loogisen VLANin eristäminen ja hallinta samalla fyysisellä verkolla. VLAN-tunnisteen avulla liikenne voidaan reitittää ja suojata erillisissä siiloissa, vaikka laitteet jakaisivat saman fyysisen kytkimen.

Rakenne ja sijoittuminen: VLAN-tunniste syntyy kahdesta peräkkäisestä 16-bittisestä kentästä. TPID (Tag Protocol Identifier) on 2 bittiä ja sen arvo on 0x8100, jonka jälkeen seuraa TCI (Tag Control Information) 2 bittiä. TCI sisältää PCP:n (Priority Code Point, 3 bittiä), DEI:n (Drop Eligible Indicator, 1 bitti) ja VLAN ID:n 12 bittiä. VLAN IDin arvojoukko on 1–4094; arvot 0 ja 4095 ovat varattuja erikoiskäyttöön (0 mahdollistaa prioriteettilähtöisen tagin ilman VLAN-ID:tä, 4095 on varattu). Kehys lisätään trunk-portin yli tagitettuna, kun taas useimmat access-portit lähettävät kehykset ilman tunnistetta.

Käyttö ja vaikutus: VLAN-taggaus erottaa broadcast-, multicast- ja unicast-liikenteen eri VLANien välillä, mikä parantaa hallittavuutta, turvallisuutta ja QoS-pohjaista liikenteen priorisointia. Verkon suunnittelussa tavallisia ovat erilliset access-portit käyttäjälaitteille ja trunk-portit keskitetylle VLAN-tunnelille, josta liikenne ohjautuu eteenpäin VLANin perusteella. QinQ (802.1ad) mahdollistaa VLAN-tunnelin useamman tunnisteen päällekkäin.

Yhteensopivuus ja turvallisuus: 802.1Q on laajasti tuettu nykyaikaisissa verkkolaitteissa, kun taas vanhempi ISL on harvinaisempi. Turvallisuusnäkökohdat mukaan lukien VLAN-hopping-uhkat, joihin voidaan varautua asianmukaisella konfiguraatiolla: asianmukaiset native-VLAN-asetukset, trunk-konfiguraatioiden tarkka hallinta ja epäyhtenäiset tai epäonnistuneet tagausasetukset vältetään.

Lisätietoja käsittelevät termit: 802.1Q, QoS, trunk-portit, access-portit, QinQ.