Come configurare le VLAN in Windows 11 e Windows Server passo dopo passo

Configurare una VLAN in Windows 11 potrebbe sembrare complicato all'inizio, soprattutto se si proviene da ambienti come Hyper-V e VMware , Unraid o switch gestiti, dove il concetto di VLAN è ben consolidato. Tuttavia, comprendendo i limiti di Windows, le opzioni dei driver di rete e gli strumenti disponibili, è possibile ottenere un ambiente piuttosto flessibile, sia su desktop che su server.

In questo articolo, esamineremo passo passo come utilizzare le VLAN con tag (802.1Q) in Windows 11, Windows 10 e Windows Server . Tratteremo le funzionalità di ciascuna edizione, i requisiti hardware (Intel, Realtek, Broadcom, ecc.), come sfruttare PowerShell e come integrare le VLAN con Hyper-V per le macchine virtuali. Affronteremo anche alcuni problemi comuni, come la mancanza di connettività in una macchina virtuale Windows 11 su una VLAN unRAID o la necessità di separare il traffico iSCSI in una VLAN dedicata.

Concetti di base: cos'è una VLAN e cosa ti serve in Windows

Una VLAN (Virtual LAN), secondo lo standard IEEE 802.1Q, è, in parole semplici, un modo per suddividere una rete fisica in diverse reti logicamente separate. Ogni pacchetto di rete può includere un tag VLAN (ID VLAN da 1 a 4094) che indica a quale rete virtuale appartiene quel traffico.

Il vantaggio delle VLAN è che consentono di segmentare la rete, ridurre i domini di broadcast e isolare il traffico (ad esempio, separando la rete utenti, la rete di gestione, la rete di storage iSCSI o la rete Wi-Fi per gli ospiti) senza dover posare ulteriori cavi o installare altri switch fisici.

Affinché il tagging VLAN funzioni, sia lo switch o il router (porta trunk) , sia la scheda di rete, sia il sistema operativo devono supportare lo standard 802.1Q. In pratica, ciò significa:

• Scheda di rete fisica il cui driver supporta l'etichettatura VLAN 802.1Q.
• Switch o router gestito (Cisco, HP, Mikrotik, ecc.) configurati con porte trunk e/o di accesso, con le VLAN che utilizzerai.
• In Windows, un metodo per Assegnare l'ID VLAN alla NIC fisica o alle NIC virtuali (driver del produttore, strumenti dedicati, PowerShell o Hyper-V).

Su una porta trunk di uno switch (o router, come ad esempio un Cisco ASR920 di un ISP) è possibile configurare più VLAN. In genere, la porta dispone di una VLAN nativa non taggata (PVID) e di diverse VLAN taggate, come la VLAN 1 non taggata e le VLAN taggate 70, 71 e 80. Il dispositivo connesso a questa porta deve essere in grado di inviare e ricevere questi tag; in caso contrario, visualizzerà solo la VLAN nativa.

Limitazioni e possibilità di Windows 10 e Windows 11 con VLAN

Nelle versioni desktop, come Windows 10 e Windows 11 , il supporto VLAN è considerevolmente più limitato rispetto a Windows Server. Per impostazione predefinita, la maggior parte dei driver ignora semplicemente i tag 802.1Q ricevuti tramite l'interfaccia fisica, quindi il sistema vede solo la VLAN nativa della porta.

Tuttavia, esistono diversi approcci per far funzionare Windows 11 con le VLAN, dall'utilizzo di opzioni avanzate dei driver allo sfruttamento di Hyper-V e degli switch virtuali . È importante comprendere appieno le capacità del proprio computer prima di addentrarsi nella configurazione degli switch.

Configurare una VLAN dalle proprietà della scheda di rete

Alcuni adattatori di rete consentono di definire direttamente un ID VLAN nelle impostazioni avanzate del dispositivo . In Windows 10 e 11, questo solitamente limita a una sola VLAN per interfaccia fisica, ma per molti scenari domestici o aziendali, potrebbe essere sufficiente.

I passaggi generali sarebbero:

1. Apri il Amministratore del dispositivo (devmgmt.msc).
2. Espandi la sezione Adattatori di rete e apri le proprietà della scheda di rete che vuoi utilizzare.
3. Vai alla scheda Avanzato o simili.
4. Trova un tipo di proprietà ID VLAN, identificatore VLAN, VLAN 802.1Q o simili.
5. Inserisci il numero VLAN che vuoi utilizzare, ad esempio 20, 24, 80, ecc.
6. In alcuni modelli è necessario prima attivare una determinata opzione. Priorità dei pacchetti e VLAN per consentire l'etichettatura.

Con questo metodo, tutto il traffico in uscita da quella scheda verrà etichettato con la VLAN configurata e Windows si aspetterà solo traffico in entrata con lo stesso ID. È una soluzione semplice, ma offre una sola interfaccia logica per ogni scheda di rete.

Assegnazione di una VLAN con PowerShell in Windows 10/11

Nelle versioni più recenti di Windows 10 e Windows 11, è possibile configurare un singolo ID VLAN direttamente su un'interfaccia utilizzando PowerShell e il cmdlet Set-NetAdapter . Il concetto è simile al metodo precedente, ma controllato tramite riga di comando.

Esempio di base per impostare la VLAN 24 sull'adattatore "Ethernet0":

Set-NetAdapter -Name "Ethernet0" -VlanID 24

Questo comando indica al sistema che l'adattatore "Ethernet0" opererà sulla VLAN 24. Da lì, è possibile configurare un indirizzo IP sulla rete associata (ad esempio, 192.168.24.10/24) e la connessione funzionerà a condizione che lo switch abbia la porta in modalità trunk o access compatibile con quella VLAN.

Utilizzo di strumenti del produttore: Realtek, Intel, Broadcom e altri

Alcuni produttori offrono utility molto più potenti rispetto alle opzioni predefinite di Windows per la gestione delle VLAN. Questi strumenti consentono di creare più interfacce virtuali sulla stessa scheda di rete fisica, ognuna con il proprio ID VLAN.

In genere, per abilitare il supporto completo dello standard 802.1Q, è necessario scaricare e installare il driver più recente e l' utility ufficiale del produttore. Non tutti i modelli lo supportano, quindi è sempre consigliabile verificare le specifiche del controller.

Più VLAN su una scheda Realtek in Windows 10/11

Sulle schede Realtek che supportano l'etichettatura 802.1Q (ad esempio, i controller di tipo RTL8169SC e simili) è possibile utilizzare Realtek Ethernet Diagnostic Utility , un'applicazione per Windows 7/8/10/11 che, oltre alla diagnostica, consente di creare schede di rete virtuali.

La procedura generale è la seguente:

• Controlla sul sito web Realtek che il tuo il modello di chip di rete supporta il tagging VLAN.
• Scarica e installa il driver più recente e lo strumento "Realtek Ethernet Diagnostic Utility".
• Apri l'utilità e accedi alla sezione VLAN.
• Pulsar Aggiungi o "Aggiungi" e inserisci il ID VLAN desiderato.
• Ripetere l'operazione per creare tutte le VLAN logiche necessarie.

Dopo aver eseguito questa operazione, nel pannello Connessioni di rete di Windows compariranno nuove schede di rete virtuali , ciascuna associata a un diverso ID VLAN. È possibile assegnare a ciascuna di esse una propria configurazione IP (subnet, gateway, DNS, ecc.) proprio come per qualsiasi altra scheda di rete.

Se riscontri ancora problemi con il funzionamento della VLAN (come accade ad alcuni utenti quando tentano di utilizzare le VLAN su macchine virtuali Windows 11 con Unraid o VMware ), è molto probabile che il driver Realtek non implementi correttamente il tagging VLAN con quella specifica combinazione hardware e software. In questi casi, potrebbe essere necessario:

• Prova driver alternativi o versioni più vecchie/nuove.
• Consultare il Supporto tecnico Realtek se esiste un supporto VLAN ufficiale per il tuo ID hardware.
• Valutare l'uso di un'altra scheda di rete con un migliore supporto VLAN se la segmentazione è critica.

Configurazione VLAN su schede Intel (Intel ANS e PROSet)

Intel offre da anni Intel Advanced Network Services (ANS) per creare VLAN e teaming sui suoi adattatori. Tradizionalmente, l'installazione del driver e dell'opzione Intel PROSet per Gestione dispositivi insieme a "Advanced Network Services" visualizzava una scheda VLAN specifica nelle proprietà della scheda di rete fisica, dove era possibile creare più interfacce con etichette.

Il problema è che nelle versioni moderne di Windows 10 e Windows 11, questa funzionalità non è più supportata nel pannello classico , visualizzando messaggi come:

I team e le VLAN di Intel(R) Advanced Network Services (Intel(R) ANS) non sono supportati su Microsoft Windows 10.

Nonostante ciò, Intel ha continuato a rilasciare nuove versioni dei driver e dello strumento Intel PROSet che, combinati con PowerShell, consentono nuovamente la gestione delle VLAN su molti modelli di schede di rete. Dopo aver installato la versione appropriata, è possibile utilizzare i cmdlet del modulo IntelNetCmdlets per creare adattatori virtuali.

Importa il modulo Intel:

Import-Module -Name "C:\Program Files\Intel\Wired Networking\IntelNetCmdlets\IntelNetCmdlets" -Scope Local

Crea un adattatore virtuale senza tag (VLAN nativa, VLAN 0):

Add-IntelNetVLAN -ParentName "Intel(R) Ethernet Connection I219-LM" -VLANID 0

Crea un adattatore virtuale in una VLAN specifica, ad esempio la VLAN 103 :

Add-IntelNetVLAN -ParentName "Intel(R) Ethernet Connection I219-LM" -VLANID 103

Elenca tutti gli adattatori (fisici e virtuali) visibili a Windows:

Get-NetAdapter

Rimuovi una VLAN che non vuoi più utilizzare:

Remove-IntelNetVLAN -ParentName "Intel(R) Ethernet Connection I219-LM" -VLANID 103

Broadcom e altri produttori offrono un approccio simile tramite utility come Broadcom Advanced Control Suite , che consentono di creare gruppi di interfacce e assegnare loro diversi ID VLAN.

VLAN su Windows Server 2012 R2, 2016, 2019 e 2022 senza driver di terze parti

Nei sistemi server, in particolare a partire da Windows Server 2012 R2 , Microsoft offre strumenti nativi per gestire più VLAN sulla stessa scheda di rete fisica, senza la necessità di driver speciali (a condizione che la scheda supporti il ​​traffico con tag). Una delle opzioni più flessibili è il NIC Teaming (LBFO).

Immaginiamo uno scenario tipico: un server Windows connesso a una porta trunk con PVID 1 e VLAN 70, 71 e 80 taggate . Il server è già in esecuzione sulla rete di produzione con un indirizzo IP come 192.168.2.1 (VLAN 1), ma è necessario configurare un target iSCSI sulla VLAN 80 per lo storage, in modo che l'host possa vedere le LUN e quindi esporle alle macchine virtuali tramite VHDX.

Il modo corretto per farlo in Windows Server è creare interfacce logiche aggiuntive associate alle VLAN con tag, tramite NIC Teaming oppure, se si utilizza Hyper-V, tramite switch virtuali e schede di gestione dedicate.

Configurazione di più VLAN con NIC Teaming (Windows Server 2016/2019/2022)

Con NIC Teaming, è possibile raggruppare una o più schede di rete fisiche in un "team" e, da lì, definire più interfacce virtuali , ciascuna collegata a una VLAN. Il processo generale in Server Manager sarebbe il seguente:

1. APRIRE amministratore del server e nella parte di Proprietà locali clicca sul link Configurazione del team NIC.
2. Nella sezione Attrezzatura, clicca su Attività > Nuovo teamAssegna un nome (ad esempio, "vTeam") e aggiungi le schede di rete fisiche che desideri raggruppare.
3. Una volta creato il team, vai alla sezione Adattatori e interfacce e, in Attività, seleziona Aggiungi interfaccia.
4. Specificare un nome per l'interfaccia (ad esempio, "VLAN80-iSCSI") e il ID VLAN corrispondente, in questo caso 80.
5. Ripetere il processo per tutte le VLAN necessarie, tenendo presente che ogni dispositivo può avere fino a 32 NIC virtuali con VLAN univoche.
6. Controlla che in ncpa.cpl I nuovi adattatori vengono visualizzati e configurati Indirizzi IP, maschere di sottorete, gateway e DNS utilizzando l'interfaccia grafica utente (GUI) o PowerShell.

In PowerShell, creare un'interfaccia VLAN su un dispositivo esistente è semplicissimo :

Add-NetLbfoTeamNic -Team vTeam -VlanID 24 -Name VLAN24

Quindi puoi assegnare un indirizzo IP e un gateway a quella VLAN con:

New-NetIPAddress -InterfaceAlias VLAN24 -IPAddress 192.168.24.10 -PrefixLength 24 -DefaultGateway 192.168.24.1

E configura i server DNS per quell'interfaccia:

Set-DnsClientServerAddress -InterfaceAlias VLAN24 -ServerAddresses 192.168.24.12

In questo modo, il server può comunicare simultaneamente attraverso la VLAN di produzione, la VLAN iSCSI e qualsiasi altra VLAN necessaria, a condizione che la porta dello switch sia configurata correttamente come trunk.

Come far coesistere VLAN e Hyper-V in Windows Server

Quando il server ha anche il ruolo Hyper-V , le cose si fanno un po' più interessanti, perché è possibile utilizzare sia l'approccio NIC Teaming che l' approccio dello switch virtuale Hyper-V con le VLAN . È importante notare che in Windows Server 2022, il classico teaming LBFO è deprecato e Microsoft consiglia di utilizzare Switch Embedded Teaming (SET) con Hyper-V.

In ogni caso, l'obiettivo è solitamente lo stesso: creare uno switch virtuale associato a una o più schede di rete fisiche e, da lì, assegnare le VLAN agli adattatori virtuali che verranno utilizzati dall'host stesso (sistema operativo di gestione) e dalle macchine virtuali.

VLAN con Hyper-V in Windows Server e Windows 10/11 Pro

Hyper-V non è limitato a Windows Server; è disponibile anche come funzionalità opzionale in Windows 10/11 Pro ed Enterprise . Uno dei suoi principali vantaggi è la possibilità di gestire le VLAN a livello di switch virtuale e di scheda di rete della macchina virtuale, senza dipendere eccessivamente dal tipo di scheda di rete fisica (a condizione che supporti lo standard 802.1Q sulla porta dello switch).

Per abilitare Hyper-V su un'edizione supportata di Windows 10/11 è possibile utilizzare:

Enable-WindowsOptionalFeature -Online -FeatureName:Microsoft-Hyper-V -All

Una volta installato, è possibile creare switch virtuali da Hyper-V Manager o tramite PowerShell e assegnare VLAN sia al sistema operativo di gestione che alle macchine virtuali.

Consenti a uno switch virtuale di utilizzare una VLAN specifica

Quando si crea uno switch virtuale esterno in Hyper-V e lo si collega a una scheda di rete fisica che supporta le VLAN, è possibile assegnare un ID VLAN al traffico dell'host (il cosiddetto "sistema operativo di gestione"). La procedura tramite interfaccia grafica è la seguente:

1. In Hyper-V Manager, nel pannello di destra, apri Gestore di switch virtuali.
2. Nell'elenco di Switch virtuali, selezionare lo switch esterno collegato alla scheda di rete fisica.
3. nella sezione Identificatore VLAN, attiva la casella Abilita l'identificazione della LAN virtuale per il sistema operativo di gestione.
4. Immettere il numero VLAN che l'host utilizzerà per il traffico di gestione (ad esempio, 10, 20, 80…).
5. Pulsar Accettare per applicare le modifiche.

Tutto il traffico che transita attraverso l'adattatore fisico associato allo switch virtuale verrà etichettato con l'ID VLAN definito al momento della sua generazione da parte del sistema operativo host. A loro volta, le macchine virtuali connesse a tale switch possono avere un proprio ID VLAN a livello di adattatore VM.

Assegnazione di una VLAN a una macchina virtuale in Hyper-V

Per garantire che una macchina virtuale visualizzi solo il traffico proveniente da una VLAN specifica, è necessario configurare l'identificazione VLAN sulla relativa scheda di rete virtuale . Anche in questo caso, la procedura tramite interfaccia grafica è semplice:

1. In Hyper-V Manager, nell'elenco delle macchine virtuali, fare clic con il pulsante destro del mouse sulla VM e scegliere Configurazione (oppure selezionalo e premi Impostazioni nel pannello di destra).
2. Nel menu Hardware, seleziona il Scheda di rete a cui è collegato il corrispondente switch virtuale.
3. Vai alla sezione ID VLAN e seleziona l'opzione Abilita l'identificazione della LAN virtuale.
4. Inserisci lo stesso ID VLAN configurato sullo switch oppure quello che desideri utilizzare per quella specifica VM se lo switch è in modalità trunk.
5. Salva le modifiche con Accettare.

Se la macchina virtuale deve funzionare con più VLAN (ad esempio, un'interfaccia nella VLAN di produzione e un'altra in una VLAN di backup ), è possibile:

• aggiungere più adattatori di rete virtuali collegati agli switch corrispondenti, ciascuno con il proprio ID VLAN.
• Oppure configurare l'adattatore in modalità tronco utilizzando il cmdlet Set-VMNetworkAdapterVlan per consentire un elenco di VLAN specifiche.

Gestione avanzata della VLAN in Hyper-V con PowerShell

Se preferisci l'automazione (o hai molte VLAN), puoi creare adattatori di gestione e per macchine virtuali con VLAN direttamente da PowerShell. Un flusso di lavoro tipico sarebbe il seguente:

Crea uno switch virtuale collegato a un adattatore fisico:

New-VMSwitch -Name vSwitch2 -NetAdapterName "Ethernet0" -AllowManagementOS $true

Aggiungere un adattatore di gestione a una VLAN specifica (ad esempio, la 24):

Add-VMNetworkAdapter -ManagementOS -Name VLAN24 -StaticMacAddress "11-11-AA-BB-CC-DD" -SwitchName vSwitch2
Set-VMNetworkAdapterVlan -ManagementOS -VMNetworkAdapterName VLAN24 -Access -VlanId 24

Questo adattatore apparirà come un'altra scheda di rete nel sistema, associata solo alla VLAN 24. È possibile ripetere il processo per altre VLAN e, se si dispone di macchine virtuali, assegnare loro VLAN specifiche con:

Set-VMNetworkAdapterVlan -VMName "MiVM" -Access -VlanId 30

Per visualizzare l'elenco delle VLAN di tutte le macchine virtuali:

Get-VMNetworkAdapterVLAN

Quando si lavora con Windows Server 2022 e Hyper-V, anziché utilizzare il classico NIC Teaming, è consigliabile utilizzare Switch Embedded Teaming (SET) . Ad esempio, per creare uno switch con teaming integrato su due schede di rete fisiche:

New-VMSwitch -Name HVVLANSwitch1 -NetAdapterName "Ethernet3","Ethernet4" -EnableEmbeddedTeaming $true

A questo punto è possibile creare adattatori di gestione su diverse VLAN:

Add-VMNetworkAdapter -ManagementOS -Name "VLAN22" -StaticMacAddress "XX-XX-XX-XX-XX-XX" -SwitchName HVVLANSwitch1
Set-VMNetworkAdapterVlan -ManagementOS -VMNetworkAdapterName "VLAN22" -Access -VlanId 22

Se si desidera che un adattatore riceva traffico da più VLAN, è possibile passare alla modalità trunk e definire un intervallo di VLAN consentite e una VLAN nativa:

Get-VMNetworkAdapter -Name "tuAdaptador" | Set-VMNetworkAdapterVlan -Trunk -AllowedVlanIdList 40-69 -NativeVlanId 0

In questo caso, il parametro -NativeVlanId 0 indica che la VLAN 0 viene utilizzata come VLAN nativa per il traffico non taggato. Ciò consente di gestire scenari complessi senza la necessità di più schede di rete fisiche.

Problemi comuni e considerazioni pratiche durante la configurazione delle VLAN in Windows 11

Quando si lavora con le VLAN in Windows 11 e in ambienti misti (Hyper-V, VMware, Unraid, router di provider, ecc.), è molto comune imbattersi in problemi di connettività apparentemente inspiegabili . In molti casi, il problema risiede nel modo in cui ciascuna piattaforma interpreta e applica i tag 802.1Q.

Un esempio tipico è una macchina virtuale Windows 11 in esecuzione su unraid. L'utente configura una VLAN nella sezione di rete di unraid, cambia l'interfaccia della macchina virtuale in un bridge di tipo br0.20 (associato alla VLAN 20), ma all'avvio la macchina non riesce ad accedere a Internet. In questi casi, è essenziale verificare:

• Che l' switch o router La porta a cui è connesso l'host unraid ha la porta come trunk con VLAN 20 consentita.
• Che l' hypervisor (unraid, Hyper-V, VMware) La VLAN è applicata correttamente alla porta virtuale della VM.
• Che all'interno di Windows 11, una VLAN diversa non viene forzata attraverso driver NIC virtuale.
• Che la configurazione IP della VM (IP, maschera, gateway) corrisponda effettivamente alla rete di quella VLAN.

Qualcosa di simile accade quando si confronta il comportamento tra Hyper-V e VMware : Hyper-V consente di impostare facilmente l'ID VLAN sia sullo switch virtuale che su ogni scheda di rete della macchina virtuale, mentre in VMware ESXi/ESX esistono tre diversi metodi di tagging:

• EST (Tagging dell'interruttore esterno)Tutta l'etichettatura viene effettuata sullo switch fisico e i gruppi di porte sullo switch virtuale trasportano la VLAN 0.
• VST (Tagging degli switch virtuali)Lo switch virtuale gestisce l'etichettatura; ogni gruppo di porte ha un ID VLAN specifico.
• VGT (Virtual Guest Tagging): è proprio il macchina virtuale che etichetta traffico, quindi il gruppo di porte è solitamente nel trunk.

Se l'impostazione dell'ID VLAN sull'adattatore VM funziona in Hyper-V ma non in VMware, è possibile che si stiano utilizzando modalità diverse (ad esempio, VGT quando la porta dello switch si aspetta VST) oppure che il driver della scheda di rete fisica abbia perso la capacità di tagging , come è accaduto con alcuni modelli Intel in determinate versioni di Windows.

Nei casi particolarmente complessi , potrebbe essere necessario ricorrere a:

• Test con altri Modelli di NIC (Intel, Broadcom, Mellanox…).
• Revisione dettagliata della configurazione della porta trunk dello switch o del router dell'operatore (ad esempio un Cisco ASR920).
• Contattare l'assistenza del produttore (Realtek, Intel, VMware) per verificare cosa è effettivamente supportato dalla specifica combinazione di hardware, firmware e sistema operativo.

In definitiva, lavorare con le VLAN in Windows 11 e nelle versioni server richiede una conoscenza approfondita dei limiti della specifica edizione, delle funzionalità dei driver e del comportamento dell'hypervisor . Con i driver corretti (Realtek, Intel, Broadcom), l'utilizzo di PowerShell per l'assegnazione delle VLAN e, se necessario, il supporto di Hyper-V e NIC Teaming/SET, è possibile configurare scenari con più reti logiche (produzione, iSCSI, gestione, backup, laboratorio, ecc.) su un numero limitato di interfacce fisiche senza compromettere la sicurezza o le prestazioni.