VLAN (Virtual LAN) tách một hạ tầng switch thành nhiều mạng logic độc lập ở lớp 2, giúp chia nhóm theo phòng ban/chức năng, giảm miền quảng bá và tăng an toàn. Bài này làm rõ các khái niệm hay nhầm.
1. Cổng Access và Trunk
- Cổng Access: thuộc một VLAN, gói đi ra không gắn thẻ. Dùng nối thiết bị đầu cuối (PC, camera, AP).
- Cổng Trunk: mang nhiều VLAN cùng lúc, gắn thẻ 802.1Q để switch đầu kia biết gói thuộc VLAN nào. Dùng nối switch–switch hoặc switch–router.
Thẻ 802.1Q chèn 4 byte vào khung Ethernet, trong đó 12 bit là VLAN ID.
2. Native VLAN và Voice VLAN
- Native VLAN: VLAN duy nhất đi qua trunk mà không gắn thẻ (mặc định VLAN 1). Hai đầu trunk phải đặt native VLAN giống nhau — lệch nhau gây rò lưu lượng và cảnh báo bảo mật.
- Voice VLAN: VLAN riêng cho điện thoại IP, để thoại tách khỏi dữ liệu và ưu tiên QoS; một cổng access nối PC qua điện thoại có thể mang cả data VLAN lẫn voice VLAN.
3. Dải VLAN ID
| Dải VLAN ID | Ý nghĩa |
|---|---|
| 0, 4095 | Dành riêng, không dùng được |
| 1 | VLAN mặc định (nên tránh dùng cho dữ liệu thật) |
| 2 – 1001 | VLAN thường (normal range) |
| 1002 – 1005 | Dành cho Token Ring/FDDI (cũ) |
| 1006 – 4094 | VLAN mở rộng (extended range) |
4. Chia VLAN thế nào cho gọn
- Chia theo chức năng/nhóm (văn phòng, camera, server, quản lý, thoại) thay vì theo vị trí vật lý.
- Mỗi VLAN gắn một dải IP riêng (một subnet) để dễ định tuyến và soát.
- Đặt VLAN quản lý (management) riêng, không trùng VLAN 1 mặc định.
- Các VLAN chỉ nói chuyện với nhau qua định tuyến liên VLAN (router-on-a-stick hoặc SVI trên switch lớp 3).
Công cụ Quy hoạch IP / VLAN (miễn phí) giúp gán dải IP cho từng VLAN và xuất bảng gọn gàng; cần tính subnet cho mỗi VLAN thì dùng IP Toolbox: tính subnet, VLSM, còn đối chiếu VLAN/IP giữa nhiều site thì xem Soát IP / VLAN nhiều site.
Câu hỏi thường gặp
Cổng access và trunk khác nhau thế nào?
Cổng access thuộc một VLAN và gửi gói không gắn thẻ, dùng cho thiết bị đầu cuối. Cổng trunk mang nhiều VLAN và gắn thẻ 802.1Q, dùng nối giữa các switch hoặc switch với router.
Native VLAN là gì?
Native VLAN là VLAN duy nhất đi qua trunk mà không gắn thẻ, mặc định là VLAN 1. Hai đầu trunk phải cấu hình native VLAN giống nhau, nếu lệch sẽ gây rò lưu lượng và lỗi bảo mật.
VLAN ID lớn nhất là bao nhiêu?
VLAN ID dùng được từ 1 đến 4094 (0 và 4095 dành riêng). Dải 2–1001 là VLAN thường, 1006–4094 là VLAN mở rộng; nên tránh dùng VLAN 1 cho dữ liệu thật.