Что такое VLAN

VLAN (Virtual LAN, виртуальная локальная сеть) — способ разделить одну физическую сеть на несколько отдельных. Устройства в разных VLAN не видят друг друга, как будто подключены к разным коммутаторам, хотя кабели идут в один. Связь между VLAN есть только через роутер — и только та, что разрешена его правилами.

Зачем

• Отделить лишнее: камеры, умные устройства и гостевой Wi‑Fi — в своих VLAN, без доступа к компьютерам и общим папкам.
• Разделить офис: бухгалтерия, остальные сотрудники, серверы, телефоны — каждый в своей сети со своими правилами.
• Обойтись без лишних кабелей: по одному кабелю между коммутаторами идут сразу несколько сетей.
• Виртуализация: виртуальные машины на одном сервере выходят в разные сети — например, в Proxmox (тема Proxmox VE).

Как это устроено: тег 802.1Q

Стандарт 802.1Q добавляет в каждый кадр Ethernet (порцию данных в проводной сети, как пакет из урока Как устроена компьютерная сеть) небольшую метку — тег — с номером сети, VLAN ID, от 1 до 4094. По тегу коммутатор понимает, в какую сеть отдать данные.

Порты коммутатора бывают двух видов:

• access (нетегированный, untagged) — порт принадлежит одной VLAN. Устройство за ним ничего о VLAN не знает: коммутатор сам ставит тег на входящие данные и снимает на исходящих. Сюда подключают компьютеры, принтеры, камеры.
• trunk (тегированный, tagged) — по порту идут сразу несколько VLAN, каждая со своим тегом. Так соединяют коммутаторы между собой, коммутатор с роутером, с точкой доступа или с сервером виртуализации.

Данные без тега на trunk-порту относятся к native VLAN (обычно VLAN 1, если не настроено иначе). На разных концах кабеля native VLAN должна совпадать.

Пример

У каждой VLAN своя подсеть и обычно свой сервер DHCP на роутере. Роутер — шлюз для всех трёх и решает, кому с кем можно: например, компьютерам — смотреть камеры, камерам — никуда, гостям — только в интернет.

Что для этого нужно

• Управляемый коммутатор (managed или smart): в нём настраивают, какой порт в какой VLAN. Обычный неуправляемый коммутатор VLAN не настраивает.
• Роутер с поддержкой VLAN — чтобы раздавать адреса в каждой сети и связывать их по правилам.
• Точка доступа с VLAN — если разные сети Wi‑Fi должны попасть в разные VLAN.

Гостевая сеть домашнего роутера часто уже устроена похожим образом, только без ручной настройки. Полноценные VLAN нужны, когда коммутаторов и сетей больше одного.