VLAN ສຳລັບທຸລະກິດ: ແຍກເຄືອຂ່າຍໃຫ້ແຂກ, ກ້ອງ ແລະ ພະນັກງານ ບໍ່ປົນກັນ

ລອງເປີດໂທລະສັບ ເຊື່ອມ Wi-Fi ແຂກຢູ່ຫ້ອງຮັບແຂກຂອງບໍລິສັດທ່ານ ແລ້ວເປີດແອັບສະແກນເຄືອຂ່າຍ. ຖ້າທ່ານເຫັນເຄື່ອງພິມຂອງຝ່າຍບັນຊີ, NVR ຂອງກ້ອງ ຫຼື ໜ້າ Login ຂອງ Switch, ເຄືອຂ່າຍຂອງທ່ານແມ່ນ "ແບນ" (Flat). ທຸກຄົນ ແລະ ທຸກອຸປະກອນຢູ່ໃນວົງດຽວກັນ.

ນີ້ແມ່ນສິ່ງທີ່ເຮົາພົບໃນຫ້ອງການຂະໜາດນ້ອຍ ແລະ ກາງຫຼາຍທີ່ສຸດ. VLAN ແມ່ນວິທີແກ້ທີ່ບໍ່ຕ້ອງຊື້ສາຍໃໝ່.

VLAN ແມ່ນຫຍັງ ໃນສອງປະໂຫຍກ

VLAN (Virtual LAN) ແບ່ງ Switch ໂຕດຽວ ຫຼື ຫຼາຍໂຕ ອອກເປັນຫຼາຍເຄືອຂ່າຍທີ່ແຍກກັນທາງ Logic. ອຸປະກອນໃນ VLAN ໜຶ່ງບໍ່ເຫັນ Broadcast ຂອງອີກ VLAN ໜຶ່ງ ແລະ ຈະຂ້າມຫາກັນໄດ້ກໍ່ຕໍ່ເມື່ອຜ່ານ Router, Layer 3 Switch ຫຼື Firewall, ບ່ອນທີ່ເຮົາຕັ້ງກົດໄດ້ວ່າໃຜຫາໃຜໄດ້.

ສິ່ງທີ່ໄດ້ຮັບແທ້ໆ:

• ແຂກໃຊ້ Wi-Fi ໄດ້ ແຕ່ເຂົ້າເຊີບເວີບັນຊີບໍ່ໄດ້
• ກ້ອງ CCTV ລາຄາຖືກທີ່ Firmware ມີຊ່ອງໂຫວ່ ບໍ່ກາຍເປັນປະຕູເຂົ້າຫາຄອມພະນັກງານ
• Broadcast Domain ນ້ອຍລົງ ເຄືອຂ່າຍໝັ້ນຄົງຂຶ້ນ
• ແຍກໂທລະສັບ IP ແລ້ວໃສ່ QoS ໃຫ້ສຽງບໍ່ຂາດ
• ເວລາມີບັນຫາ ຮູ້ທັນທີວ່າອຸປະກອນໃດຢູ່ Subnet ໃດ

ຄຳສັບ 802.1Q ທີ່ຕ້ອງຮູ້ກ່ອນລົງມື

Access Port ແມ່ນພອດທີ່ຕໍ່ກັບອຸປະກອນປາຍທາງ ເຊັ່ນ ຄອມ ຫຼື ກ້ອງ. ມັນເປັນສະມາຊິກ VLAN ດຽວ ແລະ ສົ່ງ Frame ແບບບໍ່ມີ Tag (Untagged). ອຸປະກອນບໍ່ຮູ້ເລີຍວ່າຕົນເອງຢູ່ VLAN ໃດ.

Trunk Port ແມ່ນພອດລະຫວ່າງ Switch ກັບ Switch, ໄປ Firewall ຫຼື ໄປ Access Point. ມັນສົ່ງຫຼາຍ VLAN ໃນສາຍດຽວ ໂດຍໃສ່ Tag 802.1Q ຂະໜາດ 4 bytes ໃນແຕ່ລະ Frame.

Native VLAN ແມ່ນ VLAN ທີ່ວິ່ງເທິງ Trunk ແບບບໍ່ມີ Tag. ຄ່າເລີ່ມຕົ້ນມັກເປັນ VLAN 1. ຄວນປ່ຽນໄປເປັນ VLAN ທີ່ບໍ່ໃຊ້ງານ ແລະ ຕັ້ງໃຫ້ກົງກັນທັງສອງປາຍ.

VLAN ID ທີ່ໃຊ້ໄດ້ແມ່ນ 1–4094.

ໂທລະສັບ IP ສ່ວນຫຼາຍຮອງຮັບ Voice VLAN: ພອດ Switch ດຽວສົ່ງສຽງແບບມີ Tag ໃຫ້ໂທລະສັບ ແລະ ສົ່ງຂໍ້ມູນແບບບໍ່ມີ Tag ໃຫ້ຄອມທີ່ສຽບຕໍ່ຫຼັງໂທລະສັບ. ໂຕະດຽວ ສາຍດຽວ ສອງ VLAN.

ແຜນຕົວຢ່າງ: ຫ້ອງການ 100 ຄົນ

ເປັນຫຍັງ Staff ຈຶ່ງເປັນ /23? ເພາະ 100 ຄົນ ຄູນ 2–3 ອຸປະກອນຕໍ່ຄົນ ກໍ່ເກີນ 254 ແລ້ວ. ການຕັ້ງເລກ VLAN ໃຫ້ກົງກັບ Octet ທີສາມ ຊ່ວຍໃຫ້ຊ່າງຈື່ງ່າຍ ເວລາໂທແກ້ບັນຫາຕອນດຶກ.

Routing ລະຫວ່າງ VLAN: ເຮັດຢູ່ໃສ

ມີສອງບ່ອນ. Firewall ໃຫ້ການຄວບຄຸມ ແລະ Log ດີທີ່ສຸດ ເໝາະກັບ Traffic ທີ່ສຳຄັນ. Layer 3 Core Switch ໄວກວ່າຫຼາຍ ເໝາະກັບ Traffic ພາຍໃນປະລິມານສູງ ແຕ່ຕ້ອງຂຽນ ACL ເອງ.

ແບບທີ່ເຮົາໃຊ້ເລື້ອຍທີ່ສຸດແມ່ນປະສົມ: VLAN ພະນັກງານ ແລະ ເຊີບເວີ Route ຢູ່ Core; Guest, CCTV ແລະ Management ໄປຈົບທີ່ Firewall. ສຳລັບຫ້ອງການຕ່ຳກວ່າ 50 ຄົນ ໃຫ້ Firewall ເຮັດທັງໝົດກໍ່ພໍ ຖ້າເລືອກຂະໜາດຖືກ.

ຂຽນ Policy ກ່ອນຕັ້ງຄ່າ

ແຜນ VLAN ທີ່ບໍ່ມີ Policy ການສື່ສານ ກໍເປັນພຽງລະບົບຕັ້ງເລກ. ກ່ອນທີ່ໃຜຈະແຕະ Switch, ໃຫ້ຕື່ມຕາຕະລາງງ່າຍໆແບບນີ້ ແລະ ໃຫ້ຫົວໜ້າພະແນກຕ່າງໆເຫັນດີ:

ຈາກນັ້ນ Rule ໃນ Firewall ຫຼື Core Switch ກໍແມ່ນຕາຕະລາງນີ້ ຂຽນດ້ວຍພາສາຂອງອຸປະກອນ, ປິດທ້າຍດ້ວຍ Rule Deny ທີ່ບັນທຶກ Log ສິ່ງທີ່ຖືກບລັອກ.

ແຜນພອດຂອງ Access Switch ໜຶ່ງໂຕ

ພິມອອກມາ ແລ້ວຕິດໄວ້ດ້ານໃນປະຕູ Rack. ຊ່າງຄົນຕໍ່ໄປຈະຂອບໃຈທ່ານ.

VLAN ກັບ Wi-Fi

ແຕ່ລະ SSID ຜູກກັບ VLAN ໜຶ່ງໂຕ: SSID ພະນັກງານໄປ VLAN 20, SSID ແຂກໄປ VLAN 90. ຈຳກັດໄວ້ບໍ່ເກີນສາມສີ່ SSID, ເພາະທຸກ SSID ທີ່ເພີ່ມຈະເພີ່ມ Beacon ໃນທຸກ AP ແລະ ເປືອງ Airtime. ຖ້າຢາກໃຫ້ພະນັກງານ ແລະ ຜູ້ຮັບເໝົາໃຊ້ SSID ດຽວ ແຕ່ຢູ່ຄົນລະ VLAN, ໃຫ້ໃຊ້ 802.1X ກັບ RADIUS Server ທີ່ກຳນົດ VLAN ຕາມຜູ້ໃຊ້. ສ່ວນ IP Management ຂອງ AP ຄວນຢູ່ໃນ VLAN Management, ເປັນ Untagged ຢູ່ພອດ AP ຖ້າ AP ລຸ້ນນັ້ນຕ້ອງການແບບນັ້ນ.

Switch ຂອງທ່ານເຮັດໄດ້ບໍ?

Unmanaged Switch ເຮັດບໍ່ໄດ້. Switch ແບບ Smart ຫຼື Web-managed ສ່ວນຫຼາຍຮອງຮັບ Tag 802.1Q, ແຕ່ຫຼາຍລຸ້ນ Route ລະຫວ່າງ VLAN ຫຼື ເຮັດ ACL ບໍ່ໄດ້, ຈຶ່ງຕ້ອງໃຫ້ Firewall ຫຼື Layer 3 Core ເຮັດໜ້າທີ່ນັ້ນ. ເບິ່ງ Datasheet ວ່າຮອງຮັບ VLAN ຈັກໂຕ, ມີ ACL, ມີ DHCP Snooping ບໍ່, ແລະ Voice VLAN ໃຊ້ໄດ້ກັບໂທລະສັບຍີ່ຫໍ້ທີ່ທ່ານໃຊ້ຫຼືບໍ່.

ຄວາມຜິດພາດທີ່ເຮັດໃຫ້ VLAN ບໍ່ມີຄວາມໝາຍ

ສ້າງ VLAN ຄົບທຸກອັນ ແລ້ວຕັ້ງ Policy ລະຫວ່າງ VLAN ເປັນ Any-to-Any. ອັນນີ້ພົບເລື້ອຍຫຼາຍ ແລະ ໄດ້ຄວາມປອດໄພເພີ່ມເປັນສູນ.

ອັນອື່ນທີ່ເຮົາເຫັນ:

• Native VLAN ບໍ່ກົງກັນສອງປາຍ Trunk, Traffic ຮົ່ວຂ້າມ VLAN ແບບງຽບໆ
• Unmanaged Switch ໂຕນ້ອຍທີ່ໃຜເອົາມາວາງໃຕ້ໂຕະ ຢູ່ກາງເສັ້ນທາງ Trunk, VLAN ພັງທັງແຖວ
• Subnet ນ້ອຍເກີນ ເຕັມພາຍໃນປີ ແລ້ວຕ້ອງປ່ຽນ IP ໃໝ່ໝົດ
• VLAN ກ້ອງທີ່ຕັ້ງວ່າ "ບໍ່ອອກອິນເຕີເນັດ" ແລ້ວມີຄົນເປີດທຸກຢ່າງ ເພາະແອັບໃນມືຖືຂອງເຈົ້າຂອງເບິ່ງກ້ອງບໍ່ໄດ້. ໃຫ້ອະນຸຍາດສະເພາະບໍລິການ Cloud ອັນດຽວທີ່ NVR ຕ້ອງໃຊ້ ແລະ ບລັອກສ່ວນທີ່ເຫຼືອໄວ້
• ຍ້າຍເຄື່ອງພິມໄປຢູ່ VLAN ຂອງມັນເອງ ແລ້ວບໍ່ມີໃຜຊອກຫາເຄື່ອງພິມເຫັນ ເພາະເດີມອາໄສ Broadcast. ໃຫ້ເພີ່ມເຄື່ອງພິມດ້ວຍ IP ຫຼື ໃຊ້ຟີເຈີ mDNS Gateway ໃນ Controller ຫຼື Firewall

ລາຍການກວດຫຼັງຕັ້ງຄ່າ

• ບໍ່ມີ Traffic ຜູ້ໃຊ້ຢູ່ VLAN 1
• ພອດທີ່ບໍ່ໃຊ້ ປິດໄວ້ ຫຼື ຍ້າຍໄປ VLAN ທີ່ບໍ່ມີທາງອອກ
• Trunk ອະນຸຍາດສະເພາະ VLAN ທີ່ຈຳເປັນ
• ເປີດ DHCP Snooping ກັນ Router ເຖື່ອນທີ່ໃຜເອົາມາສຽບ
• ແຜນ VLAN/IP ເປັນເອກະສານ ທີ່ຄົນອື່ນອ່ານເຂົ້າໃຈ

ຍ້າຍຈາກເຄືອຂ່າຍແບນ ໂດຍບໍ່ໃຫ້ວຽກຢຸດ

ນີ້ແມ່ນສ່ວນທີ່ຍາກທີ່ສຸດ ແລະ ສ່ວນທີ່ມັກເຮັດຜິດ. ລຳດັບທີ່ເຮົາໃຊ້:

1. ສຳຫຼວດ: ເກັບລາຍຊື່ອຸປະກອນທຸກໂຕ, ທຸກ IP ແບບ Static, ແລະ ພອດທີ່ມັນສຽບຢູ່
2. ກຽມ: ສ້າງ VLAN ແລະ Interface ທີ່ Core ຫຼື Firewall, ຕັ້ງ DHCP ໃຫ້ແຕ່ລະ Subnet, ແລະ ຂຽນ Policy ລະຫວ່າງ VLAN ໄວ້ລ່ວງໜ້າ
3. ເລີ່ມຈາກກຸ່ມທີ່ກະທົບໜ້ອຍ: Wi-Fi ແຂກ ແລະ ກ້ອງ CCTV ກ່ອນ
4. ເຊີບເວີ ແລະ ເຄື່ອງພິມ: ອັບເດດ DNS ແລະ ທຸກບ່ອນທີ່ອ້າງອີງ IP ເກົ່າ
5. ພະນັກງານ: ນອກເວລາເຮັດວຽກ, ເທື່ອລະຊັ້ນ ຫຼື ເທື່ອລະພະແນກ
6. ທົບທວນ: ເບິ່ງ Log Firewall ຫາ Traffic ທີ່ຖືກບລັອກໂດຍບໍ່ຕັ້ງໃຈ ແລ້ວປັບ

ທຸກຂັ້ນມີຈຸດຖອຍກັບ. ກຽມໃຈໄວ້ສຳລັບສິ່ງທີ່ບໍ່ຄາດຄິດ: ເຄື່ອງສະແກນເກົ່າທີ່ຝັງ IP ໄວ້ໃນ Firmware ແລະ ເຄື່ອງພິມທີ່ອາໄສ Broadcast ເພື່ອໃຫ້ຄອມຫາເຫັນ ແມ່ນສອງອັນທີ່ພົບເລື້ອຍທີ່ສຸດ.

ສຳລັບອົງກອນໃນລາວ

ຂັ້ນຕ່ຳສຸດ ເຖິງແມ່ນຫ້ອງການນ້ອຍ: ສີ່ VLAN ຄື Staff, Guest, CCTV ແລະ Management. ໂຮງແຮມ ແລະ ທະນາຄານ ຄວນແຍກ VLAN ລະບົບຈ່າຍເງິນ (POS) ອອກມາຕ່າງຫາກ. ບໍ່ແຮ່ ແລະ ໂຮງງານ ຕ້ອງແຍກເຄືອຂ່າຍ OT (PLC, SCADA) ອອກຈາກ IT ຢ່າງເດັດຂາດ, ເພາະ PLC ລຸ້ນເກົ່າບໍ່ໄດ້ຖືກອອກແບບມາໃຫ້ເຫັນອິນເຕີເນັດ.

ຖ້າມີສາຂາຢູ່ແຂວງ ໃຫ້ໃຊ້ຮູບແບບ IP ດຽວກັນທຸກສາຂາ ຕ່າງກັນແຕ່ Octet ທີສອງ (ເຊັ່ນ ວຽງຈັນ 10.10.x.x, ປາກເຊ 10.20.x.x). ມື້ທີ່ຈະເຊື່ອມສາຂາດ້ວຍ VPN ຫຼື SD-WAN ຈະບໍ່ມີ Subnet ຊ້ຳກັນ.

ໂຮງແຮມມີບັນຫາເພີ່ມອີກຢ່າງໜຶ່ງ: ແຂກຢາກ Cast ພາບຂຶ້ນໂທລະທັດໃນຫ້ອງ. ຕ້ອງໃຊ້ການແຍກແຕ່ລະຫ້ອງ ຮ່ວມກັບບໍລິການ Cast ຫຼື mDNS ທີ່ອອກແບບມາສຳລັບໂຮງແຮມ, ບໍ່ແມ່ນເປີດ VLAN ແຂກໃຫ້ເຫັນທຸກຢ່າງ. ໂຮງຮຽນທີ່ມີໂປເຈັກເຕີ ແລະ ແທັບເລັດກໍພົບເລື່ອງດຽວກັນ.

ລະວັງ Router ບ້ານນຳ. ພະນັກງານ ຫຼື ຜູ້ເຊົ່າບາງເທື່ອເອົາ Wi-Fi Router ຢູ່ເຮືອນມາສຽບພອດຝາ, ແລ້ວ DHCP ຂອງມັນກໍແຈກ IP ຜິດໆ. DHCP Snooping ປ້ອງກັນເລື່ອງນີ້ໄດ້, ແລະ ເປັນອີກເຫດຜົນໜຶ່ງທີ່ທຸກພອດຄວນຢູ່ໃນ VLAN ທີ່ຮູ້ຈັກ.

ລອງທົດສອບງ່າຍໆກ່ອນ

ເຮັດການທົດສອບຈາກ Wi-Fi ແຂກທີ່ກ່າວໄວ້ຕອນຕົ້ນ ແລ້ວຖ່າຍໜ້າຈໍຜົນສະແກນສົ່ງມາໃຫ້ເຮົາ. ເຮົາຈະບອກວ່າຄວນແຍກ VLAN ໃດກ່ອນ ແລະ Switch ທີ່ມີຢູ່ຮອງຮັບ 802.1Q ຫຼືບໍ່.