در حال بارگذاری...
آشنایی با VLAN؛ چرا دامنه پخش را تقسیم می‌کنیم، انواع VLAN، امنیت و عملکرد آن در شبکه‌های سازمانی.
اهداف این درس
تصور کنید در یک ساختمان، کارمندان مالی و فنی روی یک سوییچ مشترک‌اند. بدون هیچ ابزاری، همه در یک دامنه پخش‌اند و ترافیک هر بخش برای بخش دیگر قابل مشاهده است. VLAN این معضل را حل می‌کند: یک سوییچ فیزیکی را به چند شبکه منطقی تقسیم می‌کند.
تقسیم یک سوییچ (یا چند سوییچ) به چند دامنه پخش منطقی مستقل. دستگاه‌های یک VLAN بدون توجه به موقعیت فیزیکی، مثل یک شبکه جدا رفتار می‌کنند.
هر پورت سوییچ یکی از دو نقش را دارد: پورت Access به یک VLAN تعلق دارد و به دستگاه نهایی متصل می‌شود؛ پورت Trunk چند VLAN را روی یک لینک بین سوییچ‌ها حمل می‌کند.
مقایسه پورت Access و Trunk
| ویژگی | Access | Trunk |
|---|---|---|
| تعداد VLAN | یک | چند (به‌صورت تگ‌دار) |
| تگ | ندارد (بدون تگ) | دارد (802.1Q) |
| اتصال به | دستگاه نهایی | سوییچ یا روتر |
| کاربرد | PC، چاپگر، دوربین | لینک بین سوییچ‌ها |
نکته آزمون
پورت Access = یک VLAN و بدون تگ؛ پورت Trunk = چند VLAN و تگ‌دار. این تمایز از سوالات ثابت VLAN در آزمون است.
اشتباه رایج
برخی فکر می‌کنند ساخت VLAN یعنی نیاز به روتر برای هر VLAN؛ در حالی که ارتباط دستگاه‌های درون یک VLAN بدون روتر برقرار است و فقط ارتباط بین VLAN ها به مسیریابی نیاز دارد.
مثال واقعی
در یک شرکت: VLAN 10 برای کارمندان، VLAN 20 برای دوربین‌های امنیتی و VLAN 30 برای مهمان‌ها. دوربین‌ها به اینترنت و حتی به VLAN کارمندان دسترسی ندارند و فقط سیستم NVR به آن‌ها دسترسی دارد.
| VLAN | کاربرد | ساب‌نت IP |
|---|---|---|
| VLAN 10 | کارمندان | 192.168.10.0/24 |
| VLAN 20 | دوربین‌ها | 192.168.20.0/24 |
| VLAN 30 | مهمان‌ها | 192.168.30.0/24 |
جمع‌بندی
VLAN شبکه را از نظر منطقی تقسیم می‌کند: دامنه پخش کوچک‌تر، امنیت بالاتر و مدیریت آسان‌تر. برای عبور چند VLAN بین سوییچ‌ها به درس بعدی یعنی Trunk و 802.1Q می‌رویم.
VLAN یعنی تقسیم یک سوییچ فیزیکی به چند شبکه منطقی.
هر VLAN معمولاً یک ساب‌نت IP جدا دارد.
ارتباط بین VLAN ها نیازمند روتر یا سوییچ لایه ۳ است.
VLAN در درجه اول چه چیزی را تقسیم می‌کند؟
چرا از VLAN استفاده می‌کنیم؟
برای کوچک‌کردن دامنه پخش، افزایش امنیت (جداسازی بخش‌ها)، کاهش ترافیک، و امکان چیدمان منطقی مستقل از موقعیت فیزیکی دستگاه‌ها.
آیا دو VLAN می‌توانند بدون روتر ارتباط بگیرند؟
خیر؛ هر VLAN یک دامنه پخش جدا و معمولاً یک ساب‌نت IP جدا دارد؛ ارتباط بین آن‌ها فقط از طریق روتر یا سوییچ لایه ۳ (مسیریابی بین VLAN) ممکن است.
VLAN Hopping چیست و چگونه از آن جلوگیری می‌کنیم؟
حمله‌ای است که مهاجم با استفاده از Native VLAN ناهماهنگ یا تگ‌های جعلی (Double Tagging) به VLAN دیگر نفوذ می‌کند. جلوگیری: تغییر Native VLAN از پیش‌فرض، فعال‌سازی VLAN Allowed روی Trunk و غیرفعال کردن DTP.