Mạng VLAN là gì? Cách cấu hình mạng LAN ảo trong hệ thống mạng

Khi số lượng thiết bị trong doanh nghiệp tăng lên, một mạng LAN phẳng thường phát sinh vấn đề về broadcast, bảo mật và khả năng quản lý. Đây là lúc nhiều quản trị viên bắt đầu tìm hiểu VLAN là gì và tại sao kỹ thuật này lại phổ biến đến vậy. Bài viết sau của VNPT Cloud phân tích cách VLAN hoạt động, lợi ích, hạn chế và quy trình cấu hình trong hệ thống mạng thực tế.

Mạng VLAN là gì?

Mạng VLAN (Virtual Local Area Network - mạng LAN ảo) là kỹ thuật chia một mạng LAN vật lý thành nhiều mạng logic riêng biệt. Mỗi VLAN hoạt động như một mạng LAN độc lập và tạo thành một miền quảng bá riêng.

Có thể hiểu đơn giản, VLAN cho phép chia một switch vật lý thành nhiều switch logic. Thiết bị được phân nhóm theo phòng ban, chức năng hoặc yêu cầu quản lý thay vì chỉ dựa vào vị trí kết nối thực tế.

Mỗi mạng LAN ảo được nhận diện bằng một VLAN ID duy nhất. Switch sử dụng mã này để xác định cổng và lưu lượng thuộc từng VLAN. Các thiết bị trong cùng VLAN có thể giao tiếp trực tiếp. Nếu thiết bị thuộc hai VLAN khác nhau cần trao đổi dữ liệu, hệ thống phải sử dụng router hoặc switch Layer 3 để định tuyến.

Mạng VLAN hoạt động như thế nào?

VLAN hoạt động bằng cách chia một mạng vật lý thành nhiều mạng LAN ảo độc lập, sau đó sử dụng VLAN ID, cổng access và cổng trunk để phân loại và chuyển dữ liệu đúng nhóm thiết bị.

Phân chia mạng vật lý

Mạng vật lý được chia thành nhiều VLAN nhỏ hơn. Mỗi VLAN có thể đại diện cho một phòng ban, nhóm người dùng hoặc mục đích sử dụng riêng. Ví dụ, doanh nghiệp có thể tạo VLAN cho bộ phận Kế toán, VLAN cho Nhân sự và VLAN riêng cho khách truy cập dù các thiết bị vẫn dùng chung hạ tầng switch.

Gán VLAN ID

Mỗi VLAN được xác định bằng một VLAN ID riêng. Switch sử dụng thông tin này để nhận biết thiết bị và lưu lượng thuộc mạng LAN ảo nào. Nhờ VLAN ID, nhiều VLAN có thể cùng tồn tại trên một hệ thống mạng vật lý mà vẫn được phân tách về mặt logic.

Gán cổng vào VLAN

Các cổng trên switch được gán cho từng VLAN cụ thể. Thiết bị kết nối vào cổng đó sẽ thuộc VLAN tương ứng.  Các thiết bị trong cùng VLAN có thể trao đổi dữ liệu với nhau, còn lưu lượng không tự động được chuyển sang những VLAN khác.

Sử dụng cổng access và cổng trunk

Cổng access thường được gán cho một VLAN và kết nối trực tiếp với thiết bị đầu cuối. Cổng trunk được dùng để truyền lưu lượng của nhiều VLAN giữa các switch hoặc thiết bị mạng. Nhờ cổng trunk, một kết nối vật lý có thể vận chuyển dữ liệu của nhiều VLAN mà vẫn duy trì sự phân tách giữa các mạng ảo.

Tagging và untagging dữ liệu

Khi dữ liệu đi qua cổng trunk, switch sử dụng chuẩn IEEE 802.1Q để gắn VLAN ID vào khung dữ liệu, giúp xác định lưu lượng thuộc VLAN nào. Quá trình này gọi là tagging. Khi dữ liệu được chuyển ra cổng access, VLAN tag thường được loại bỏ, gọi là untagging. Riêng lưu lượng của native VLAN trên trunk có thể được truyền không gắn tag. 

Tạo broadcast domain riêng

Mỗi VLAN tạo thành một broadcast domain độc lập. Bản tin broadcast chỉ được truyền đến các thiết bị trong cùng VLAN thay vì lan ra toàn bộ mạng vật lý. Cơ chế này giúp giảm lưu lượng quảng bá không cần thiết và cải thiện hiệu suất mạng.

Các loại VLAN phổ biến

VLAN được tạo trên switch Layer 2 để thu nhỏ broadcast domain. Đây là một trong những kỹ thuật giúp cải thiện hiệu năng mạng bằng cách chia một broadcast domain lớn thành nhiều domain nhỏ hơn. Tùy theo loại lưu lượng mà mạng đó vận chuyển, VLAN được chia thành các nhóm chính sau:

• Default VLAN (VLAN mặc định): Khi switch mới khởi động, tất cả cổng trên switch đều nằm trong VLAN mặc định, thường có tên là VLAN 1. Vì cùng thuộc một broadcast domain nên thiết bị cắm vào bất kỳ cổng nào cũng liên lạc được với thiết bị ở các cổng còn lại. Đây là VLAN duy nhất không thể đổi tên hoặc xóa bỏ.
• Data VLAN (VLAN dữ liệu): Còn gọi là user VLAN, dùng để tách mạng thành hai nhóm riêng là nhóm người dùng và nhóm thiết bị. VLAN này chỉ chở dữ liệu do người dùng tạo ra. Lưu lượng quản trị và lưu lượng thoại không đi qua đây.
• Voice VLAN (VLAN thoại): Được cấu hình riêng để chở lưu lượng thoại và thường được ưu tiên truyền trước các loại lưu lượng khác. Cuộc gọi VoIP chỉ đạt chất lượng tốt khi độ trễ dưới 150 mili giây, nên việc tách riêng VLAN thoại là cần thiết. Cách làm này cũng giúp giữ lại băng thông cho những ứng dụng còn lại.
• Management VLAN (VLAN quản trị): Dùng để truy cập các chức năng quản trị của switch như ghi nhật ký hệ thống hay giám sát thiết bị. Theo mặc định, VLAN 1 đảm nhiệm vai trò này, nhưng đó không phải lựa chọn tốt. Nếu quản trị viên chưa chỉ định một VLAN riêng cho mục đích quản trị thì bất kỳ VLAN nào trên switch cũng có thể được dùng làm management VLAN. Việc tách riêng giúp luôn có băng thông sẵn sàng cho công tác quản trị ngay cả khi lưu lượng người dùng tăng cao.
• Native VLAN: Dùng để nhận diện lưu lượng đi vào từ hai đầu của một đường trunk và chỉ được gán cho cổng trunk chuẩn 802.1Q. Những gói tin không gắn tag, tức không thuộc VLAN nào, sẽ được cổng trunk đưa vào native VLAN. Nên chọn một VLAN không sử dụng để làm native VLAN.
• Port-based VLAN (VLAN theo cổng): Mỗi cổng trên switch được gán sẵn cho một VLAN cụ thể. Toàn bộ lưu lượng đi qua cổng đó sẽ tự động thuộc về VLAN tương ứng.
• Tagged VLAN (VLAN gắn tag): Cho phép nhiều VLAN cùng chạy trên một cổng vật lý duy nhất. Mỗi gói tin được gắn một VLAN ID để biết nó thuộc VLAN nào, nhờ vậy một sợi cáp có thể chở lưu lượng của nhiều VLAN khác nhau.
• Protocol-based VLAN (VLAN theo giao thức): Dựa vào thông tin giao thức ở Layer 3 để phân gói tin vào VLAN. Chẳng hạn, toàn bộ lưu lượng của giao thức IPX có thể được gom vào một VLAN riêng. Loại này ít được dùng hơn so với port-based VLAN và tagged VLAN.

Lợi ích của VLAN

VLAN giúp doanh nghiệp tăng bảo mật, cải thiện hiệu suất và quản lý mạng linh hoạt hơn, cụ thể:

• Tăng cường bảo mật: VLAN cô lập lưu lượng giữa các nhóm người dùng, giúp hạn chế truy cập trái phép vào dữ liệu nhạy cảm. Ví dụ, doanh nghiệp có thể tách riêng VLAN của bộ phận Tài chính và VLAN của bộ phận Nhân sự.
• Cải thiện hiệu suất: VLAN chia mạng thành các nhóm nhỏ hơn, giúp giảm lưu lượng broadcast, hạn chế tắc nghẽn và cải thiện tốc độ xử lý trong mạng có nhiều thiết bị.
• Dễ dàng quản lý: Quản trị viên có thể thiết lập cấu hình và chính sách riêng cho từng VLAN mà không ảnh hưởng đến các nhóm còn lại.
• Tăng tính linh hoạt: Khi người dùng chuyển phòng ban hoặc vị trí làm việc, quản trị viên chỉ cần thay đổi VLAN của thiết bị thay vì phải điều chỉnh lại toàn bộ kết nối vật lý.
• Giảm chi phí: Một switch hỗ trợ VLAN có thể phục vụ nhiều mạng logic cùng lúc, giúp doanh nghiệp tận dụng hạ tầng hiện có và giảm nhu cầu đầu tư thêm switch riêng cho từng nhóm.

Hạn chế của mạng VLAN

Bên cạnh các lợi ích về bảo mật, hiệu suất và phân đoạn mạng, VLAN vẫn có một số hạn chế sau:

• Rò rỉ lưu lượng giữa các VLAN: Cấu hình sai có thể khiến packet đi sang VLAN không mong muốn.
• Dễ bị khai thác bằng packet giả mạo: Kẻ tấn công có thể chèn packet để vượt qua cơ chế phân tách VLAN và thực hiện tấn công mạng.
• Virus có thể lan sang toàn hệ thống: Thiết bị nhiễm mã độc vẫn có thể phát tán mối đe dọa nếu mạng không được kiểm soát và phân quyền phù hợp.
• Phải bổ sung thiết bị định tuyến: Router hoặc switch Layer 3 là cần thiết khi các VLAN phải trao đổi dữ liệu với nhau.
• Khó đồng bộ giữa các thiết bị: Switch, router hoặc nền tảng quản trị khác nhau có thể gặp vấn đề tương thích khi cấu hình VLAN.
• Không tự chuyển tiếp lưu lượng liên VLAN: Các thiết bị thuộc hai VLAN khác nhau không thể giao tiếp nếu chưa thiết lập inter-VLAN routing.

So sánh VLAN và LAN

LAN là mạng cục bộ kết nối thiết bị trong một phạm vi giới hạn, còn VLAN là mạng logic được tạo trên hạ tầng LAN vật lý. VLAN không thay thế LAN mà được sử dụng để phân chia và quản lý mạng LAN linh hoạt hơn.

Cách cấu hình và thiết lập VLAN

Để thiết lập VLAN, quản trị viên cần chuẩn bị thiết bị, cấu hình VLAN trên switch, thiết lập router khi cần và kiểm tra lại toàn bộ kết nối.

Bước 1: Chuẩn bị

Trước tiên, cần xác định mục đích sử dụng VLAN, chẳng hạn chia sẻ tài nguyên hoặc tăng cường bảo mật cho hệ thống mạng. Tiếp theo, lập kế hoạch về số lượng VLAN cần tạo và xác định thiết bị nào sẽ thuộc từng VLAN. Đồng thời, chuẩn bị switch hỗ trợ VLAN, router nếu cần, cáp mạng và các thiết bị đầu cuối liên quan.

Bước 2: Cấu hình VLAN trên switch

Đăng nhập vào giao diện quản trị của switch bằng trình duyệt web hoặc giao diện dòng lệnh CLI. Để tạo VLAN mới, sử dụng lệnh vlan. Ví dụ, lệnh dưới đây tạo VLAN 10 và đặt tên là Marketing:

vlan 10
name Marketing

Sau đó, sử dụng lệnh interface và switchport access vlan để gán các cổng vào VLAN:

interface range fa0/1-fa0/10
switchport access vlan 10

Khi hoàn tất cấu hình, sử dụng lệnh sau để lưu lại các thay đổi:

write memory

Bước 3: Cấu hình router khi cần

Nếu các VLAN cần trao đổi dữ liệu với nhau, quản trị viên phải cấu hình router để định tuyến lưu lượng giữa các VLAN. Trường hợp muốn cấp địa chỉ IP tự động cho thiết bị, cần cấu hình DHCP server trên router hoặc switch.

Bước 4: Kiểm tra

Sử dụng lệnh show vlan để xem danh sách VLAN và các cổng đã được gán vào từng VLAN. Tiếp theo, dùng lệnh show ip address để kiểm tra địa chỉ IP của các thiết bị trong VLAN. Sau đó, thực hiện ping giữa các thiết bị trong cùng VLAN và giữa các VLAN khác nhau để xác nhận khả năng giao tiếp.

Lưu ý:

• Các bước cấu hình có thể thay đổi tùy theo loại switch và phiên bản phần mềm đang sử dụng.
• Nên tham khảo tài liệu hướng dẫn của switch để biết cú pháp và thao tác cụ thể.
• Cần sao lưu cấu hình hiện tại trước khi thực hiện bất kỳ thay đổi nào.

VLAN giúp doanh nghiệp giảm broadcast, phân tách người dùng và quản lý hệ thống linh hoạt hơn, nhưng không thay thế các lớp bảo mật chuyên dụng. Nếu doanh nghiệp đang tìm hiểu mạng VLAN là gì để tổ chức lại hạ tầng on-premises hoặc cloud, hãy liên hệ VNPT Cloud để được tư vấn kiến trúc Cloud Networking và VPC phù hợp.