VLAN (Virtual Local Area Network) — fiziki olaraq eyni şəbəkə avadanlıqlarından istifadə edən cihazları məntiqi olaraq fərqli lokal şəbəkələrə ayırmağa imkan verən şəbəkə texnologiyasıdır. Sadə dillə desək, bir şirkətdə bütün kompüterlər eyni switch-ə qoşulsa belə, VLAN vasitəsilə onları ayrı-ayrı virtual şəbəkələrdə yerləşdirmək mümkündür.

Məsələn, şirkətdə üç şöbə olduğunu düşünək:

• Maliyyə;
• İnsan Resursları;
• IT.

Bütün əməkdaşların kompüterləri eyni fiziki switch-ə qoşula bilər. VLAN istifadə etməklə isə onların şəbəkəsini belə ayırmaq mümkündür:

• VLAN 10 — Maliyyə;
• VLAN 20 — İnsan Resursları;
• VLAN 30 — IT.

Beləliklə, fiziki olaraq eyni infrastrukturdan istifadə edilməsinə baxmayaraq, cihazlar məntiqi olaraq fərqli şəbəkələrdə yerləşir. VLAN texnologiyası şəbəkənin daha rahat idarə olunması, broadcast trafikinin məhdudlaşdırılması, istifadəçi qruplarının ayrılması və təhlükəsizlik siyasətlərinin daha düzgün tətbiq edilməsi üçün geniş istifadə olunur.

VLAN nə üçün istifadə olunur?

VLAN-ın əsas məqsədi böyük fiziki şəbəkəni daha kiçik məntiqi şəbəkələrə bölməkdir. Məsələn, şirkətdə 200 əməkdaşın olduğunu düşünək. Bütün istifadəçilər eyni lokal şəbəkədə yerləşərsə, şəbəkənin idarə olunması çətinləşə və broadcast trafiki daha geniş sahəyə yayıla bilər. VLAN istifadə edərək əməkdaşları şöbələrinə və ya funksiyalarına görə müxtəlif şəbəkələrə ayırmaq mümkündür.

VLAN vasitəsilə:

• şöbələri ayrı şəbəkələrə bölmək;
• broadcast domain-ləri azaltmaq;
• şəbəkənin idarə edilməsini asanlaşdırmaq;
• təhlükəsizlik qaydalarını qruplar üzrə tətbiq etmək;
• eyni fiziki infrastrukturu daha səmərəli istifadə etmək;
• istifadəçiləri fiziki yerləşmədən asılı olmadan məntiqi qruplaşdırmaq mümkündür.

Məsələn, eyni ofisdə olan qonaqlar üçün ayrıca Guest VLAN, IP telefonlar üçün Voice VLAN və işçilərin kompüterləri üçün ayrıca Data VLAN yaradıla bilər.

VLAN necə işləyir?

Ənənəvi switch daxilində bütün portlar eyni Layer 2 broadcast domain-in bir hissəsi ola bilər. VLAN yaradıldıqda switch portları müəyyən VLAN-lara təyin edilir.

Məsələn:

Port 1 → VLAN 10

Port 2 → VLAN 10

Port 3 → VLAN 20

Port 4 → VLAN 20

Port 1 və Port 2-də yerləşən cihazlar eyni VLAN-a daxil olduğu üçün Layer 2 səviyyəsində bir-biri ilə əlaqə saxlaya bilər. Port 3 və Port 4 isə başqa VLAN-da yerləşir. VLAN 10-dakı cihazın VLAN 20-dəki cihazla əlaqə yaratması üçün adətən Layer 3 routing tələb olunur. Bu yanaşma bir fiziki switch daxilində bir neçə ayrı məntiqi şəbəkə yaratmağa imkan verir.

VLAN ID nədir?

Hər VLAN müəyyən identifikasiya nömrəsinə — VLAN ID-yə malik olur.

Məsələn:

VLAN 10 → Finance

VLAN 20 → HR

VLAN 30 → IT

VLAN 40 → Guest

IEEE 802.1Q VLAN tagging mexanizmində VLAN ID üçün 12 bitlik sahə istifadə olunur. Praktik VLAN identifikatorları 1-dən 4094-ə qədər olan diapazonda yerləşir; 0 və 4095 xüsusi məqsədlər üçün rezerv olunub. VLAN ID şəbəkə cihazlarının trafikin hansı VLAN-a aid olduğunu müəyyən etməsinə kömək edir. Böyük şəbəkələrdə VLAN-lara yalnız nömrə deyil, aydın ad vermək də idarəetməni asanlaşdırır.

Məsələn:

VLAN 10 — FINANCE

VLAN 20 — HR

VLAN 30 — IT

Access Port nədir?

Access Port adətən son istifadəçi cihazını müəyyən bir VLAN-a qoşmaq üçün istifadə olunan switch portudur. Məsələn, mühasibatlıq əməkdaşının kompüteri switch-in 5-ci portuna qoşulubsa, həmin port VLAN 10-a təyin edilə bilər.

Cisco switch nümunəsində konfiqurasiya belə görünə bilər:

interface GigabitEthernet0/5

switchport mode access

switchport access vlan 10

Bu halda həmin port VLAN 10-un access portu kimi işləyir. Kompüter, printer və digər son istifadəçi cihazları çox vaxt access portlara qoşulur.

Trunk Port nədir?

Trunk Port bir fiziki bağlantı üzərindən bir neçə VLAN-ın trafikini daşımaq üçün istifadə olunur. Məsələn, iki switch arasında yalnız bir kabel varsa və hər iki switch-də VLAN 10, VLAN 20 və VLAN 30 mövcuddursa, trunk bağlantısı həmin VLAN-ların trafikini eyni fiziki link üzərindən ötürə bilər.

Sadə struktur:

SWITCH 1 SWITCH 2

VLAN 10 ───────┐ ┌──── VLAN 10

VLAN 20 ───────┼─TRUNK──┼──── VLAN 20

VLAN 30 ───────┘ └──── VLAN 30

Access port əsasən bir VLAN üçün istifadə olunur, trunk port isə bir neçə VLAN-ın trafikini daşıya bilər. Trunk bağlantıları xüsusilə switch-lər arasında geniş istifadə olunur.

802.1Q nədir?

IEEE 802.1Q Ethernet şəbəkələrində VLAN tagging üçün istifadə edilən standartdır. Trunk bağlantısında müxtəlif VLAN-ların trafiki eyni fiziki kabel üzərindən ötürüldüyü üçün switch hər Ethernet frame-in hansı VLAN-a aid olduğunu müəyyən etməlidir.

802.1Q bunun üçün Ethernet frame-ə VLAN məlumatını daşıyan tag əlavə edir.

Məsələn:

Frame → VLAN 10 tag

Frame → VLAN 20 tag

Frame → VLAN 30 tag

Qarşı tərəfdəki switch tag məlumatına baxaraq frame-in hansı VLAN-a aid olduğunu müəyyən edir. Beləliklə, eyni trunk bağlantısı üzərindən müxtəlif VLAN-ların trafiki bir-birindən fərqləndirilə bilir.

Native VLAN nədir?

802.1Q trunk bağlantısında Native VLAN xüsusi anlayışdır. Standart davranışda native VLAN-a aid trafik trunk üzərindən VLAN tag olmadan ötürülə bilər. Məsələn, trunk bağlantısında Native VLAN 99 olaraq konfiqurasiya edilibsə, tag-sız qəbul edilən uyğun trafik VLAN 99-a aid hesab edilə bilər. Trunk bağlantısının hər iki tərəfində Native VLAN konfiqurasiyasının uyğun olması vacibdir. Səhv Native VLAN konfiqurasiyası şəbəkə problemlərinə və bəzi hallarda təhlükəsizlik risklərinə səbəb ola bilər.

VLAN və LAN arasında fərq nədir?

LAN — Local Area Network müəyyən məhdud coğrafi ərazidə qurulan lokal şəbəkədir. Məsələn, bir ofisdə və ya məktəbdə yaradılmış daxili şəbəkə LAN ola bilər. VLAN isə həmin şəbəkəni fiziki yerləşmədən asılı olmadan məntiqi şəkildə bir neçə hissəyə bölməyə imkan verir.

Sadə şəkildə:

LAN → fiziki və lokal şəbəkə anlayışı

VLAN → şəbəkənin məntiqi şəkildə bölünməsi

Məsələn, bir şirkətin bütün ofisi bir LAN infrastrukturu üzərində işləyə bilər, amma həmin infrastruktur daxilində Finance, HR, IT və Guest üçün ayrıca VLAN-lar yaradıla bilər.

VLAN və Subnet eyni şeydirmi?

Xeyr. VLAN və Subnet bir-biri ilə əlaqəli olsa da, eyni anlayış deyil. VLAN əsasən OSI modelinin Layer 2 — Data Link səviyyəsində məntiqi şəbəkə seqmentasiyası yaradır. Subnet isə IP şəbəkəsinin Layer 3 səviyyəsində daha kiçik IP şəbəkələrinə bölünməsidir. Praktik şəbəkələrdə çox vaxt hər VLAN üçün ayrıca subnet istifadə olunur.

Məsələn:

VLAN 10 → 192.168.10.0/24

VLAN 20 → 192.168.20.0/24

VLAN 30 → 192.168.30.0/24

Bu yanaşma şəbəkənin həm Layer 2, həm də Layer 3 səviyyəsində daha sistemli idarə olunmasına imkan verir.

Inter-VLAN Routing nədir?

Fərqli VLAN-lar ayrı Layer 2 şəbəkələr olduğu üçün onlar arasında birbaşa kommunikasiya baş vermir. VLAN 10-dakı kompüter VLAN 20-dəki serverlə əlaqə yaratmaq istəyirsə, trafik Layer 3 cihaz vasitəsilə yönləndirilməlidir. Bu proses Inter-VLAN Routing adlanır.

Inter-VLAN Routing üçün:

• Router;
• Layer 3 Switch

istifadə oluna bilər.

Məsələn:

VLAN 10

│

│

Layer 3 Switch

│

│

VLAN 20

Layer 3 cihaz müxtəlif VLAN-lara aid şəbəkələr arasında trafiki yönləndirir.

Router-on-a-Stick nədir?

Router-on-a-Stick bir router interfeysi üzərindən bir neçə VLAN arasında routing həyata keçirmək üçün istifadə olunan yanaşmadır. Router-in fiziki interfeysində müxtəlif subinterface-lər yaradılır.

Məsələn:

GigabitEthernet0/0.10 → VLAN 10

GigabitEthernet0/0.20 → VLAN 20

GigabitEthernet0/0.30 → VLAN 30

Switch və router arasındakı bağlantı trunk olaraq işləyir. Router hər VLAN üçün ayrıca subinterface vasitəsilə Layer 3 routing həyata keçirir. Daha böyük müasir şəbəkələrdə Inter-VLAN Routing çox vaxt Layer 3 switch-lər və SVI-lər vasitəsilə də həyata keçirilir.

SVI nədir?

SVI — Switch Virtual Interface Layer 3 switch üzərində VLAN üçün yaradılan virtual interfeysdir.

Məsələn:

interface vlan 10

ip address 192.168.10.1 255.255.255.0

Bu IP ünvan VLAN 10-dakı cihazların default gateway-i kimi istifadə oluna bilər. Layer 3 switch bir neçə SVI yaradaraq VLAN-lar arasında routing həyata keçirə bilər.

VLAN təhlükəsizliyi necə təmin olunur?

VLAN şəbəkəni məntiqi olaraq seqmentlərə ayırmağa kömək edir, lakin VLAN təkbaşına tam təhlükəsizlik həlli deyil. VLAN-lar arasında hansı trafikin keçəcəyini idarə etmək üçün əlavə mexanizmlərdən istifadə edilə bilər:

• Firewall;
• Access Control List (ACL);
• Port Security;
• düzgün trunk konfiqurasiyası;
• istifadə olunmayan portların deaktiv edilməsi;
• şəbəkə monitorinqi.

Məsələn, Guest VLAN-da yerləşən istifadəçilərin şirkətin daxili serverlərinə çıxışı Firewall və ya ACL vasitəsilə məhdudlaşdırıla bilər. Beləliklə, VLAN seqmentasiya yaradır, təhlükəsizlik siyasətləri isə həmin seqmentlər arasındakı trafiki idarə edir.

VLAN Hopping nədir?

VLAN Hopping hücumçının nəzərdə tutulmadığı VLAN-a trafik göndərməyə və ya həmin VLAN-a çıxış əldə etməyə çalışdığı Layer 2 təhlükəsizlik hücumları üçün istifadə olunan termindir. Belə risklər yanlış trunk konfiqurasiyası və digər zəif şəbəkə parametrləri ilə əlaqəli ola bilər. Buna görə trunk portların düzgün konfiqurasiya edilməsi, istifadə olunmayan portların deaktiv edilməsi və şəbəkə təhlükəsizliyi qaydalarının tətbiqi vacibdir. VLAN təhlükəsizliyi xüsusilə Şəbəkə İnzibatçılığı və Kibertəhlükəsizlik sahəsində çalışan mütəxəssislərin bilməli olduğu mövzulardandır.

VLAN istifadə etməyin üstünlükləri nələrdir?

VLAN şəbəkə administratorlarına fiziki infrastrukturu dəyişmədən məntiqi şəbəkələr yaratmağa imkan verir.

Əsas üstünlüklər bunlardır:

• şəbəkənin daha rahat idarə olunması;
• broadcast domain-lərin kiçildilməsi;
• şöbə və istifadəçi qruplarının ayrılması;
• təhlükəsizlik siyasətlərinin daha sistemli tətbiqi;
• qonaq və korporativ şəbəkələrin ayrılması;
• fiziki avadanlığın daha səmərəli istifadəsi;
• şəbəkə dəyişikliklərinin daha çevik həyata keçirilməsi.

Məsələn, əməkdaş başqa mərtəbəyə köçürülsə belə, uyğun switch port konfiqurasiyası vasitəsilə onun əvvəlki VLAN-da qalmasını təmin etmək mümkündür.

VLAN problemləri necə müəyyən edilir?

VLAN konfiqurasiyasında səhv olduqda cihaz şəbəkəyə çıxa bilməyə, başqa cihazlarla əlaqə saxlaya bilməyə və ya nəzərdə tutulmayan şəbəkəyə qoşula bilər.

Troubleshooting zamanı əsasən aşağıdakılar yoxlanılır:

• VLAN switch-də yaradılıbmı?
• Port düzgün VLAN-a təyin edilibmi?
• Access və Trunk rejimi düzgündürmü?
• Trunk üzərindən lazım olan VLAN-a icazə verilibmi?
• Native VLAN hər iki tərəfdə uyğundurmu?
• IP address və subnet mask düzgündürmü?
• Default gateway düzgündürmü?
• Inter-VLAN Routing işləyirmi?
• ACL və Firewall qaydaları trafiki bloklayırmı?

Cisco cihazlarında show vlan brief və show interfaces trunk kimi komandalar VLAN və trunk vəziyyətinin yoxlanılmasında istifadə edilə bilər. Şəbəkə problemlərinin sistemli şəkildə araşdırılması Troubleshooting prosesinin vacib hissəsidir.

VLAN öyrənmək üçün əvvəlcə nələri bilmək lazımdır?

VLAN mövzusunu daha yaxşı anlamaq üçün əvvəlcə şəbəkənin əsas anlayışlarını öyrənmək faydalıdır.

Xüsusilə aşağıdakı mövzular VLAN üçün baza yaradır:

1. LAN və WAN;
2. OSI modeli;
3. MAC Address;
4. Switch və Router;
5. IPv4 ünvanlandırma;
6. Subnet Mask;
7. Subnetting;
8. Default Gateway;
9. ARP;
10. Ethernet.

Daha sonra VLAN, Access Port, Trunk, 802.1Q, STP və Inter-VLAN Routing mövzularına keçmək olar. Növbəti mərhələdə DHCP, Routing, NAT, ACL, VPN və şəbəkə təhlükəsizliyi kimi mövzularla bilikləri genişləndirmək mümkündür.

VLAN, Switching, Subnetting, Routing, DHCP, NAT, VPN və digər şəbəkə texnologiyalarını real Cisco, MikroTik və digər şəbəkə avadanlıqları üzərində praktiki şəkildə öyrənmək istəyirsinizsə, JET Academy-nin IT Specialist təlimi ilə tanış ola bilərsiniz.