- Segmentasi VLAN membolehkan anda membahagikan rangkaian fizikal kepada berbilang rangkaian logik bebas untuk meningkatkan keselamatan dan prestasi.
- Adalah penting untuk membezakan antara port akses (tanpa tag) untuk peranti akhir dan port trunk (bertag) untuk sambungan antara peralatan rangkaian.
- Pelaksanaan yang mantap memerlukan konfigurasi julat DHCP bebas dan peraturan firewall yang mengawal aliran trafik antara segmen yang berbeza.
Jika anda pernah merasakan rangkaian rumah anda kucar-kacir, dengan segala-galanya daripada komputer kerja anda hinggalah mentol pintar yang anda tidak tahu siapa yang mengawalnya, anda tidak keseorangan. Kebanyakan daripada kita menyambungkan semuanya ke penghala yang sama dan melupakannya, tetapi itulah resipi yang sempurna untuk kecacatan kecil pada peranti murah yang menjadi lubang keselamatan untuk semua maklumat peribadi anda.
Di sinilah VLAN memainkan peranan, alat yang mungkin kelihatan seperti sesuatu yang hanya digunakan oleh jurutera, tetapi mana-mana peminat teknologi sebenarnya boleh melaksanakannya untuk membawa keteraturan kepada sistem mereka. Pada asasnya, ia adalah tentang membahagikan trafik supaya peranti anda tidak bercampur-campur, sekali gus meningkatkan kecekapan dan, yang paling penting, menghalang penceroboh daripada melompat dari kamera IP yang terdedah ke NAS anda tempat anda menyimpan foto keluarga.
Apakah sebenarnya VLAN dan untuk apa ia digunakan?
Secara ringkasnya, VLAN (Rangkaian Kawasan Setempat Maya) ialah rangkaian kawasan setempat maya . Bayangkan anda mempunyai suis fizikal atau penghala; biasanya, semua yang anda sambungkan kepadanya adalah sebahagian daripada rangkaian yang sama. VLAN membolehkan anda melukis garisan halimunan untuk membahagikan rangkaian fizikal tersebut kepada beberapa rangkaian logik bebas. Seolah-olah, tanpa menjalankan satu kabel baharu, anda mempunyai beberapa penghala maya yang berjalan pada komputer yang sama.
Kelebihan utamanya ialah segmentasi trafik . Dengan mengasingkan peranti, anda menghalang hingar rangkaian daripada satu peranti yang menjejaskan peranti lain dan mewujudkan halangan keselamatan. Contohnya, anda boleh membenarkan tetamu melayari internet tetapi melarang mereka daripada mengakses pencetak atau pelayan anda. Tambahan pula, ini membolehkan pelaksanaan dasar Kualiti Perkhidmatan (QoS) , contohnya, dengan mengutamakan memastikan panggilan VoIP tidak terganggu walaupun seseorang memuat turun permainan besar pada rangkaian kongsi.
Konsep utama: Port akses, Trunk dan Penandaan
Untuk mengelakkan diri daripada memperbodohkan diri sendiri semasa mengkonfigurasi firmware penghala anda, terdapat tiga konsep yang perlu anda ingat: pertama, terdapat penandaan , secara amnya berdasarkan piawaian 802.1Q. Proses ini melibatkan penambahan "label" (ID VLAN) pada paket data supaya peranti tahu rangkaian mana yang mereka miliki.
- Port akses (Tidak Ditag): Ini adalah port yang kami gunakan untuk menyambungkan pengguna akhir. Komputer atau kamera IP tidak memahami label; oleh itu, port suis dikonfigurasikan sebagai "tidak berlabel" supaya peranti menerima trafik yang tidak ditag. Port akses hanya boleh dimiliki oleh satu VLAN.
- Pelabuhan Trunk (Trunk/Ditandai): Ini adalah "lebuh raya" rangkaian. Ia digunakan untuk menyambungkan penghala ke suis atau antara suis. Port trunk mengangkut pelbagai VLAN pada masa yang sama, memastikan label dipasang supaya pasukan penerima tahu ke mana hendak menghantar setiap paket.
- PVID (ID VLAN Port): Ia merupakan parameter kritikal yang menentukan trafik tanpa tag VLAN yang tiba di port yang ditugaskan. Jika anda terlupa untuk mengkonfigurasi PVID, peranti anda mungkin akan berakhir di VLAN 1 secara lalai dan bukan di tempat yang anda inginkan.
Mereka bentuk infrastruktur bersegmen: Pelan induk
Jangan cipta VLAN secara rawak, atau anda akan menyekat diri sendiri. Sebaik-baiknya, anda perlu membuat inventori lengkap peralatan anda dan mengumpulkannya mengikut tahap risiko atau fungsi. Reka bentuk pintar untuk rumah pintar atau pejabat kecil mungkin kelihatan seperti ini:
- VLAN Pengurusan: Dikhaskan khas untuk pentadbiran suis kritikal, penghala, titik akses dan pelayan. Di sinilah anda menggunakan kawalan yang lebih ketat.
- Laman Utama/Peribadi VLAN: Untuk peranti yang dipercayai (komputer riba, telefon bimbit). A Penapisan DNS dengan alatan seperti AdGuard untuk membersihkan pengiklanan dari akar umbi.
- VLAN IoT dan Multimedia: Ini dia mentol lampu, televisyen dan konsol permainan. Memandangkan peranti ini mempunyai keselamatan yang biasa-biasa sahaja, ia mestilah... terasing sepenuhnya daripada rangkaian peribadi.
- VLAN Tetamu: Akses internet terus tetapi dengan pengasingan pelanggansehingga tetamu tidak dapat melihat antara satu sama lain.
- VLAN Kerja atau Makmal: Rangkaian bebas untuk kerja jarak jauh atau pengujian perisian, mencegah virus daripada persekitaran ujian daripada menjangkiti seluruh rumah.
Panduan konfigurasi firmware penghala dan suis
Walaupun setiap jenama mempunyai antara muka tersendiri, prosesnya biasanya mengikuti corak yang serupa. Pada penghala seperti ASUS atau QNAP, anda perlu mengakses GUI web dan mencari bahagian LAN atau VLAN terlebih dahulu . Aliran kerja umum adalah seperti berikut:
Pertama, anda mencipta profil VLAN dengan memberikannya ID unik (contohnya, VLAN 10 untuk IoT). Setelah profil dicipta, anda perlu mengkonfigurasi port fizikal. Jika anda menyambungkan PC, anda memilih port dalam mod akses dan memberikannya profil yang sepadan. Jika anda menyambungkan penghala ke suis terurus, anda mengkonfigurasi port tersebut dalam mod trunk untuk membenarkan semua tag melaluinya.
Satu langkah penting ialah mengkonfigurasi pelayan DHCP . Setiap VLAN memerlukan julat alamat IPnya sendiri (contohnya, 192.168.10.0/24 untuk IoT dan 192.168.20.0/24 untuk tetamu). Jika penghala tidak mempunyai antara muka maya dan DHCP yang dikonfigurasikan untuk VLAN tersebut, peranti yang disambungkan tidak akan memperoleh alamat IP dan tidak akan ada sambungan.
Menambah lapisan keselamatan: Firewall dan mDNS
Mencipta VLAN hanyalah separuh daripada tugas. Secara lalai, banyak penghala membenarkan VLAN berkomunikasi antara satu sama lain. Untuk segmentasi yang berkesan, anda perlu mengkonfigurasi peraturan firewall . Peraturan yang paling biasa adalah untuk melarang VLAN IoT daripada memulakan sambungan ke rangkaian Pengurusan atau Peribadi, hanya membenarkan trafik yang anda benarkan secara eksplisit.
Untuk menyelesaikan masalah sesetengah peranti (seperti Chromecast atau pencetak) yang tidak dapat melihat antara satu sama lain merentasi rangkaian, pemantul mDNS digunakan . Alat ini membolehkan pertanyaan penemuan perkhidmatan melepasi halangan VLAN secara terkawal, membolehkan peranti mudah alih anda pada rangkaian "Laman Utama" menghantar kandungan ke TV anda pada rangkaian "IoT" tanpa membuka keseluruhan tembok api.
Kesilapan biasa yang perlu dielakkan
Trafik sering gagal kerana port trunk tidak ditag untuk semua VLAN yang diperlukan. Jika suis tidak tahu untuk menghantar tag ke penghala, komunikasi akan terganggu. Satu lagi kesilapan klasik ialah cuba menyambungkan peranti akhir terus ke port penghala yang dikonfigurasikan sebagai port trunk; ingat bahawa peranti akhir harus sentiasa disambungkan ke port yang tidak ditag.
Akhir sekali, jangan abaikan firmware. Ciri VLAN selalunya yang terakhir distabilkan dalam penghala rumah, jadi penting untuk memastikan perisian dikemas kini bagi mengelakkan pepijat penghalaan atau kelemahan yang boleh membatalkan segmentasi anda.
Melaksanakan strategi rangkaian maya mengubah sambungan asas menjadi infrastruktur yang profesional dan selamat. Dengan menggabungkan penghala yang mematuhi 802.1Q, suis terurus dan peraturan tembok api yang ketat, anda boleh memastikan trafik tetamu, peranti pintar dan data sensitif pada perkakasan yang sama tetapi dalam persekitaran logik yang berasingan, mengoptimumkan lebar jalur melalui QoS dan melindungi privasi rumah daripada potensi pencerobohan.
Penulis yang bersemangat tentang dunia bait dan teknologi secara umum. Saya suka berkongsi pengetahuan saya melalui penulisan, dan itulah yang akan saya lakukan dalam blog ini, menunjukkan kepada anda semua perkara yang paling menarik tentang alat, perisian, perkakasan, trend teknologi dan banyak lagi. Matlamat saya adalah untuk membantu anda mengemudi dunia digital dengan cara yang mudah dan menghiburkan.