ในหน้านี้
- VLAN คืออะไร ในสองประโยค
- ศัพท์ 802.1Q ที่ต้องรู้ก่อนลงมือ
- แผนตัวอย่าง: สำนักงาน 100 คน
- Route ระหว่าง VLAN: ทำที่ไหน
- เขียน Policy ก่อนตั้งค่า
- แผนพอร์ตของ Access Switch หนึ่งตัว
- VLAN กับ Wi-Fi
- Switch ของคุณทำได้ไหม
- ความผิดพลาดที่ทำให้ VLAN ไม่มีความหมาย
- เช็กลิสต์หลังตั้งค่า
- ย้ายจากเครือข่ายแบน โดยไม่ให้งานหยุด
- สำหรับองค์กรในลาว
- ลองทดสอบง่ายๆ ก่อน
ลองเอามือถือต่อ Wi-Fi แขกที่ห้องรับรองของบริษัทคุณ แล้วเปิดแอปสแกนเครือข่าย ถ้าเห็นเครื่องพิมพ์ฝ่ายบัญชี NVR ของกล้อง หรือหน้า Login ของสวิตช์ เครือข่ายของคุณเป็นแบบ "แบน" (Flat) ทุกคนและทุกอุปกรณ์อยู่วงเดียวกัน
นี่คือสิ่งที่เราเจอในสำนักงานขนาดเล็กและกลางบ่อยที่สุด และ VLAN คือวิธีแก้ที่ไม่ต้องเดินสายใหม่
VLAN คืออะไร ในสองประโยค
VLAN (Virtual LAN) แบ่งสวิตช์ตัวเดียวหรือหลายตัวออกเป็นหลายเครือข่ายที่แยกกันทางตรรกะ อุปกรณ์ใน VLAN หนึ่งไม่เห็น Broadcast ของอีก VLAN และข้ามหากันได้เฉพาะเมื่อผ่าน Router, Layer 3 Switch หรือ Firewall ซึ่งเป็นจุดที่เราตั้งกฎได้ว่าใครคุยกับใครได้
สิ่งที่ได้จริง:
- แขกใช้ Wi-Fi ได้ แต่เข้าเซิร์ฟเวอร์บัญชีไม่ได้
- กล้อง CCTV ราคาถูกที่ Firmware มีช่องโหว่ ไม่กลายเป็นประตูเข้าเครื่องพนักงาน
- Broadcast Domain เล็กลง เครือข่ายเสถียรขึ้น
- แยกโทรศัพท์ IP แล้วใส่ QoS เสียงไม่กระตุก
- เวลามีปัญหา รู้ทันทีว่าอุปกรณ์ไหนอยู่ Subnet ไหน
ศัพท์ 802.1Q ที่ต้องรู้ก่อนลงมือ
Access Port คือพอร์ตที่ต่อกับอุปกรณ์ปลายทาง เช่น คอมหรือกล้อง เป็นสมาชิก VLAN เดียว และส่งเฟรมแบบไม่มี Tag (Untagged) ตัวอุปกรณ์ไม่รู้ด้วยซ้ำว่าอยู่ VLAN ไหน
Trunk Port คือพอร์ตระหว่างสวิตช์กับสวิตช์ ไป Firewall หรือไป Access Point ส่งหลาย VLAN ในสายเดียวโดยใส่ Tag 802.1Q ขนาด 4 ไบต์ในแต่ละเฟรม
Native VLAN คือ VLAN ที่วิ่งบน Trunk แบบไม่มี Tag ค่าเริ่มต้นมักเป็น VLAN 1 ควรเปลี่ยนไปเป็น VLAN ที่ไม่ได้ใช้งาน และตั้งให้ตรงกันทั้งสองฝั่ง
VLAN ID ที่ใช้ได้คือ 1–4094
โทรศัพท์ IP ส่วนใหญ่รองรับ Voice VLAN: พอร์ตสวิตช์เดียวส่งเสียงแบบมี Tag ให้โทรศัพท์ และส่งข้อมูลแบบไม่มี Tag ให้คอมที่เสียบต่อหลังโทรศัพท์ โต๊ะเดียว สายเดียว สอง VLAN
แผนตัวอย่าง: สำนักงาน 100 คน
| VLAN ID | ชื่อ | Subnet | หมายเหตุ |
|---|---|---|---|
| 10 | Management | 10.10.10.0/24 | สวิตช์ AP Firewall เฉพาะ IT |
| 20 | Staff | 10.10.20.0/23 | อุปกรณ์พนักงาน (สูงสุด 510 เครื่อง) |
| 30 | Servers | 10.10.30.0/24 | เซิร์ฟเวอร์ NAS |
| 40 | Voice | 10.10.40.0/24 | โทรศัพท์ IP เปิด QoS |
| 50 | CCTV | 10.10.50.0/24 | กล้องและ NVR ห้ามออกอินเทอร์เน็ต |
| 60 | Printers / IoT | 10.10.60.0/24 | เครื่องพิมพ์ เครื่องสแกนนิ้ว |
| 90 | Guest Wi-Fi | 172.16.0.0/22 | ออกอินเทอร์เน็ตได้อย่างเดียว |
ทำไม Staff เป็น /23? เพราะ 100 คน คูณ 2–3 อุปกรณ์ต่อคน ก็เกิน 254 แล้ว การตั้งเลข VLAN ให้ตรงกับ Octet ที่สามช่วยให้ช่างจำง่าย เวลาโทรแก้ปัญหากันตอนดึก
Route ระหว่าง VLAN: ทำที่ไหน
มีสองที่ Firewall ให้การควบคุมและ Log ดีที่สุด เหมาะกับทราฟฟิกสำคัญ Layer 3 Core Switch เร็วกว่ามาก เหมาะกับทราฟฟิกภายในปริมาณสูง แต่ต้องเขียน ACL เอง
แบบที่เราใช้บ่อยที่สุดคือผสม: VLAN พนักงานและเซิร์ฟเวอร์ Route ที่ Core ส่วน Guest, CCTV และ Management ไปจบที่ Firewall สำนักงานต่ำกว่า 50 คน ให้ Firewall ทำทั้งหมดก็พอ ถ้าเลือกขนาดถูก
เขียน Policy ก่อนตั้งค่า
แผน VLAN ที่ไม่มี Policy การสื่อสารก็เป็นแค่ระบบตั้งเลข ก่อนใครจะแตะ Switch ให้กรอกตารางง่ายๆ แบบนี้ และให้หัวหน้าฝ่ายต่างๆ เห็นชอบ
| จาก / ไป | Servers | Printers | CCTV | Management | Internet |
|---|---|---|---|---|---|
| Staff | เฉพาะพอร์ตที่แต่ละแอปต้องใช้ | พอร์ตพิมพ์ | ดู NVR ได้เฉพาะเจ้าหน้าที่รักษาความปลอดภัย | ไม่ได้ | ได้ |
| Guest | ไม่ได้ | ไม่ได้ | ไม่ได้ | ไม่ได้ | ได้ แบบจำกัดความเร็ว |
| CCTV | ไม่ได้ | ไม่ได้ | ภายใน VLAN เท่านั้น | ไม่ได้ | ไม่ได้ หรือเฉพาะบริการ Cloud ที่ระบุชื่อหนึ่งตัว |
| Management | ได้ | ได้ | ได้ | ได้ | เฉพาะอัปเดต |
จากนั้น Rule บน Firewall หรือ Core Switch ก็คือตารางนี้เขียนด้วยภาษาของอุปกรณ์ ปิดท้ายด้วย Rule Deny ที่บันทึก Log สิ่งที่ถูกบล็อก
แผนพอร์ตของ Access Switch หนึ่งตัว
| พอร์ต | โหมด | VLAN |
|---|---|---|
| 1–20 | Access เปิด Voice VLAN | Data 20, Voice 40 |
| 21–22 | Access | 60 (เครื่องพิมพ์ เครื่องสแกนนิ้ว) |
| 23 | Trunk ไป Access Point | Native 10 (Management), Tagged 20, 90 |
| 24 / Uplink | Trunk ไป Core | Tagged 10, 20, 40, 60, 90 เท่านั้น |
พิมพ์ออกมาแปะไว้ด้านในประตู Rack ช่างคนต่อไปจะขอบคุณคุณ
VLAN กับ Wi-Fi
แต่ละ SSID ผูกกับ VLAN หนึ่งตัว: SSID พนักงานไป VLAN 20, SSID แขกไป VLAN 90 จำกัดไว้ไม่เกินสามสี่ SSID เพราะทุก SSID ที่เพิ่มจะเพิ่ม Beacon บนทุก AP และเปลือง Airtime ถ้าต้องการให้พนักงานและผู้รับเหมาใช้ SSID เดียวแต่อยู่คนละ VLAN ให้ใช้ 802.1X กับ RADIUS Server ที่กำหนด VLAN รายผู้ใช้ ส่วน IP Management ของ AP ควรอยู่ใน VLAN Management โดยเป็น Untagged บนพอร์ต AP ถ้า AP รุ่นนั้นต้องการแบบนั้น
Switch ของคุณทำได้ไหม
Unmanaged Switch ทำไม่ได้ Switch แบบ Smart หรือ Web-managed ส่วนใหญ่รองรับ Tag 802.1Q แต่หลายรุ่น Route ระหว่าง VLAN หรือทำ ACL ไม่ได้ จึงต้องให้ Firewall หรือ Layer 3 Core ทำหน้าที่นั้น ดู Datasheet ว่ารองรับ VLAN กี่ตัว มี ACL มี DHCP Snooping หรือไม่ และ Voice VLAN ใช้ได้กับโทรศัพท์ยี่ห้อที่คุณใช้หรือเปล่า
ความผิดพลาดที่ทำให้ VLAN ไม่มีความหมาย
สร้าง VLAN ครบทุกอัน แล้วตั้ง Policy ระหว่าง VLAN เป็น Any-to-Any เจอบ่อยมาก และได้ความปลอดภัยเพิ่มเป็นศูนย์
อย่างอื่นที่เราเห็น:
- Native VLAN ไม่ตรงกันสองฝั่ง Trunk ทราฟฟิกรั่วข้าม VLAN แบบเงียบๆ
- Unmanaged Switch ตัวเล็กที่ใครเอามาวางใต้โต๊ะ อยู่กลางเส้นทาง Trunk ทำ VLAN พังทั้งแถว
- Subnet เล็กเกินไป เต็มภายในปี แล้วต้องเปลี่ยน IP ใหม่หมด
- VLAN กล้องที่ตั้งว่า "ไม่ออกอินเทอร์เน็ต" แล้วมีคนเปิดทุกอย่างเพราะแอปบนมือถือของเจ้าของดูกล้องไม่ได้ ให้อนุญาตเฉพาะบริการ Cloud ตัวเดียวที่ NVR ต้องใช้ และบล็อกที่เหลือไว้
- ย้ายเครื่องพิมพ์ไปอยู่ VLAN ของตัวเอง แล้วไม่มีใครหาเครื่องพิมพ์เจอเพราะเดิมอาศัย Broadcast ให้เพิ่มเครื่องพิมพ์ด้วย IP หรือใช้ฟีเจอร์ mDNS Gateway บน Controller หรือ Firewall
เช็กลิสต์หลังตั้งค่า
- ไม่มีทราฟฟิกผู้ใช้อยู่บน VLAN 1
- พอร์ตที่ไม่ใช้ ปิดไว้หรือย้ายไป VLAN ที่ไม่มีทางออก
- Trunk อนุญาตเฉพาะ VLAN ที่จำเป็น
- เปิด DHCP Snooping กันเราเตอร์เถื่อนที่ใครเอามาเสียบ
- แผน VLAN/IP เป็นเอกสารที่คนอื่นอ่านเข้าใจ
ย้ายจากเครือข่ายแบน โดยไม่ให้งานหยุด
นี่คือส่วนที่ยากที่สุด และพลาดบ่อยที่สุด ลำดับที่เราใช้:
- สำรวจ: เก็บรายการอุปกรณ์ทุกตัว ทุก IP แบบ Static และพอร์ตที่เสียบอยู่
- เตรียม: สร้าง VLAN และ Interface ที่ Core หรือ Firewall ตั้ง DHCP ให้แต่ละ Subnet และเขียน Policy ระหว่าง VLAN ไว้ล่วงหน้า
- เริ่มจากกลุ่มที่กระทบน้อย: Wi-Fi แขกและกล้อง CCTV ก่อน
- เซิร์ฟเวอร์และเครื่องพิมพ์: อัปเดต DNS และทุกจุดที่อ้างอิง IP เดิม
- พนักงาน: นอกเวลางาน ทีละชั้นหรือทีละแผนก
- ทบทวน: ดู Log Firewall หาทราฟฟิกที่ถูกบล็อกโดยไม่ตั้งใจ แล้วปรับ
ทุกขั้นมีจุดถอยกลับ เตรียมใจไว้สำหรับเรื่องไม่คาดคิด: เครื่องสแกนรุ่นเก่าที่ฝัง IP ไว้ใน Firmware และเครื่องพิมพ์ที่อาศัย Broadcast ให้คอมมองเห็น สองอย่างนี้เจอบ่อยที่สุด
สำหรับองค์กรในลาว
ขั้นต่ำแม้สำนักงานเล็ก: สี่ VLAN คือ Staff, Guest, CCTV และ Management โรงแรมและธนาคารควรแยก VLAN ระบบชำระเงิน (POS) ออกมาต่างหาก เหมืองและโรงงานต้องแยกเครือข่าย OT (PLC, SCADA) ออกจาก IT อย่างเด็ดขาด เพราะ PLC รุ่นเก่าไม่ได้ถูกออกแบบมาให้เห็นอินเทอร์เน็ต
ถ้ามีสาขาตามแขวง ใช้รูปแบบ IP เดียวกันทุกสาขา ต่างกันแค่ Octet ที่สอง (เช่น เวียงจันทน์ 10.10.x.x ปากเซ 10.20.x.x) วันที่จะเชื่อมสาขาด้วย VPN หรือ SD-WAN จะไม่มี Subnet ชนกัน
โรงแรมมีปัญหาเพิ่มอีกหนึ่งอย่าง: แขกอยากแคสต์ภาพขึ้นทีวีในห้อง ต้องใช้การแยกรายห้องร่วมกับบริการแคสต์หรือ mDNS ที่ออกแบบมาสำหรับโรงแรม ไม่ใช่เปิด VLAN แขกให้เห็นทุกอย่าง โรงเรียนที่มีโปรเจกเตอร์และแท็บเล็ตก็เจอเรื่องเดียวกัน
ระวัง Router บ้านด้วย พนักงานหรือผู้เช่าบางครั้งเอา Wi-Fi Router ที่บ้านมาเสียบพอร์ตผนัง แล้ว DHCP ของมันก็แจก IP ผิดๆ DHCP Snooping ป้องกันเรื่องนี้ได้ และเป็นอีกเหตุผลที่ทุกพอร์ตควรอยู่ใน VLAN ที่รู้จัก
ลองทดสอบง่ายๆ ก่อน
ทำการทดสอบจาก Wi-Fi แขกที่เล่าไว้ตอนต้น แล้วแคปหน้าจอผลสแกนส่งมาให้เรา เราจะบอกว่าควรแยก VLAN ไหนก่อน และสวิตช์ที่มีอยู่รองรับ 802.1Q หรือไม่
- #vlan
- #802.1q
- #segmentation
- #switching
- #ip plan
- #security
