Как настроить VLAN в корпоративной сети

Представим офис с гостевым Wi-Fi и бухгалтерией в общем сегменте. Разделение на VLAN ограничивает распространение кадров на L2, а правила межсетевого экрана или ACL определяют доступ к рабочим ресурсам. Настройка VLAN в корпоративной сети должна завершаться проверкой обоих уровней.

Что такое VLAN и зачем они нужны

VLAN (Virtual LAN) логически разделяет физическую сеть на широковещательные домены. Пользовательские ID выбирают из 1–4094 с учетом резервирования и ограничений платформы. VLAN 0 и 4095 имеют специальные значения. VLAN 1 обычно оставляют вне пользовательского трафика. IEEE 802.1Q определяет четырехбайтный тег: он передает идентификатор VLAN, но сам по себе не задает права доступа.

Сегментация объединяет устройства по функциям: пользователи, гости, телефоны и видеокамеры. Широковещательный трафик остается внутри своего домена. Появление новой группы не требует отдельной кабельной системы, но доступ к ней нужно согласовать.

Типовая схема для офиса на 150–300 человек:

Архитектура: access, trunk, native

Access-порт vs trunk-порт

В примере Cisco основные L2-режимы: access и trunk. Access относит обычные нетегированные кадры конечного устройства к заданному VLAN. Trunk переносит несколько VLAN с тегами, кроме native VLAN при стандартной настройке. У других вендоров бывают hybrid/general, а routed-порт Cisco работает без switchport. Пользовательский порт фиксируют в access, trunk настраивают только там, где он нужен. Автосогласование DTP проверяют по платформе: это механизм Cisco, а не обязательная функция 802.1Q.

Native VLAN и Voice VLAN

Согласуйте обработку кадров без тега: в Cisco их сегмент по умолчанию задает native VLAN, на поддерживаемых платформах допускается тегирование. Параметры концов соединения должны совпадать. При защите от double-tagging пользовательские порты исключают из native, перечень пропускаемых сегментов сокращают. Условный ID999 применяют, если его допускают проект и модель.

Телефон и подключенный через него ПК могут использовать один физический порт, сохраняя разные сегменты данных и голоса. Проверьте, как телефон получает параметры: CDP, LLDP-MED, ручная настройка или другой механизм загрузки. Отключать discovery без этой проверки нельзя: аппарат может потерять автоматическое назначение Voice VLAN.

Диагностику ведите по пути кадра: порт пользователя, uplink и соседнее устройство. Затем проверьте IP, шлюз и MAC-записи. Для телефона сверяют параметры голоса. Это локализует ошибку без изменения всей схемы.

Пошаговая настройка на корпоративных коммутаторах

Для офиса выбирают управляемые коммутаторы доступа или распределения. Коммутаторы для ЦОД нужны при серверном профиле трафика. Ниже пример для Cisco Catalyst 9300 с IOS XE 17.15. Для ELTEX MES 2300/2400/3400 сверяйте руководство конкретной модели и версии ПО: одинаковую CLI не предполагают.

1. До работ согласуйте карту сегментов и разрешений, подготовьте резервную конфигурацию. Убедитесь, что инженер сможет восстановить управление через консоль. В плане изменения укажите окно, критерии успеха и процедуру возврата, включая сохраненный путь административного доступа.
2. Создайте VLAN на всех нужных коммутаторах. Для Cisco IOS XE: configure terminal, затем vlan 30, name Users, exit. Для trunk примера также создайте VLAN 10, 20, 40, 50 и 999. На MikroTik используется другая схема bridge VLAN filtering, которую проверяют по документации RouterOS.
3. Назначьте пользовательский порт: interface GigabitEthernet1/0/1, switchport mode access, switchport access vlan 30. На поддерживаемом порту запретите DTP командой switchport nonegotiate. Если через порт подключены телефон и ПК, дополнительно согласуйте Voice VLAN и лимит MAC-адресов.
4. На согласованном uplink, например GigabitEthernet1/0/48, задайте switchport mode trunk, switchport trunk native vlan 999, switchport trunk allowed vlan 10,20,30,40,50 и switchport nonegotiate. Список и native VLAN сверьте с соседним устройством. Перед сменой allowed VLAN проверьте, что сохраняется путь управления.
5. Настройте маршрутизацию между VLAN только для разрешенных направлений. На L3-коммутаторе создают SVI с адресом шлюза и включают IP-маршрутизацию. Альтернатива: trunk к маршрутизатору или файрволу с подинтерфейсами. Пропускную способность и резервирование проверяют под нагрузкой.
6. Настройте DHCP: отдельный пул на каждый VLAN. Гостям - короткий lease, серверам - статика или резервирование по MAC. Если DHCP-сервер находится в другом VLAN, укажите на SVI адрес ретрансляции.
7. Примените правила доступа. Входящую ACL для источника назначают на его SVI командой ip access-group GUEST-IN in. Имя GUEST-IN обозначает заранее созданную ACL: она запрещает доступ гостей к внутренним подсетям и разрешает согласованный выход. Обычная ACL не отслеживает сессии, поэтому обратный трафик проверяют отдельно. Stateful-контроль можно выполнить на файрволе.

Безопасность и устойчивость

Защита от типовых атак и просадок

При проверке DTP моделируют попытку согласовать trunk с пользовательского порта. Защита состоит в явном назначении access и запрете переговоров на поддерживаемом интерфейсе. Отдельно проверьте путь вложенных тегов: пользовательская сеть не должна совпадать с native, а лишние сегменты не должны проходить uplink. Разрешения между подсетями по-прежнему задают ACL или экраном.

При переполнении MAC-таблицы неизвестный unicast может рассылаться по портам своего VLAN. Это не рассылка всего трафика по всей сети. В Port Security лимит выбирают по числу устройств: телефону и ПК нужны отдельные записи. Реакция зависит от protect, restrict или shutdown. Storm Control ограничивает выбранные классы трафика по заданным порогам. STP/MSTP защищает топологию от петель при корректной настройке. Доступ к management VLAN разрешают только согласованным источникам.

После изменения проверьте show vlan brief, show interfaces trunk и show running-config interface GigabitEthernet1/0/1. Протестируйте DHCP, шлюз, разрешенный доступ и запреты между VLAN. Сохраните проверенную конфигурацию: end, copy running-config startup-config. При сбое восстановите предыдущую конфигурацию через консоль по согласованному плану.

Типичные ошибки настройки

Десять конфигурационных ошибок, которые воспроизводятся в продакшене снова и снова:

1. Native VLAN используется пользовательскими портами. Проверьте условия double-tagging, тегирование и согласованность обоих концов trunk.
2. DTP допускает нежелательное согласование trunk. Задайте режим порта явно и запретите переговоры на поддерживаемой платформе.
3. Один VLAN на весь офис: broadcast-шторм от одного устройства останавливает всех.
4. Маршрутизация через слабый маршрутизатор как узкое место. L2-петля из-за неработающего STP.
5. Нет документации схемы VLAN. Через год конфигурацию восстанавливают по логам.
6. Режим порта не задан явно - auto-режим DTP дает непредсказуемое поведение.
7. Телефон не получает Voice VLAN. Проверьте CDP/LLDP-MED, ручные настройки и фактическую VLAN-политику устройства.
8. Management-трафик без ограничений доступа. Разрешайте управление VMware или Proxmox только согласованным источникам.
9. Производительности файрвола с включенной инспекцией недостаточно для измеренной нагрузки. Уточните профиль, функции и запас при отказе резервного узла.
10. Нет нагрузочного тестирования: в лаборатории работает, в продакшене падает.

На что смотреть в предложении интегратора

В КП должны быть схема VLAN и IP-адресации, режим каждого порта и ограничения платформы. Максимальное число VLAN и доступность ID проверяют по модели и версии ПО, а не по рыночному классу коммутатора.

Запросите план маршрутизации, резервирования, ACL, проверки DHCP и регламент изменений. Согласуйте критерии приемки, документацию и восстановление управления после ошибки.

Заключение

1. Спроектируйте сегменты, адресацию и направления доступа.
2. Выберите коммутаторы с нужными функциями и ограничениями VLAN.
3. Создайте VLAN на всех устройствах пути.
4. Настройте access, trunk, allowed VLAN и native VLAN.
5. Настройте маршрутизацию, DHCP и правила межсегментного доступа.
6. Проверьте DTP, Port Security, Storm Control и защиту от петель.
7. Протестируйте связность и запреты, сохраните конфигурацию и документацию.

План сегментации и резервирования включите в проект оптимизации корпоративной сети. Передайте интегратору схему VLAN, результаты тестов и согласованный порядок отката.