Kısa cevap

VLAN, aynı fiziksel anahtar üzerindeki cihazları birbirinden yayın (broadcast) düzeyinde ayrılmış mantıksal ağlara bölme yöntemidir. Ayrı VLAN'lardaki iki cihaz, aynı kabloya bağlı olsalar bile doğrudan haberleşemez; araya bir yönlendirme katmanı girmesi gerekir.

Çözdüğü sorun#

VLAN'sız bir anahtarda tüm portlar tek bir yayın alanındadır. Bir cihaz yayın (broadcast) gönderdiğinde, bu kare anahtarın tüm portlarına iletilir. Ağ büyüdükçe bunun iki sonucu olur:

  • Gereksiz trafik. Her cihaz, kendisini ilgilendirmeyen yayınları işlemek zorunda kalır.
  • Yetersiz ayrım. Misafir bir cihaz ile muhasebe bilgisayarı aynı ağda bulunur.

VLAN her ikisini de çözer: tek bir fiziksel anahtar, birbirinden bağımsız birkaç anahtar gibi davranır.

Etiket nereye ekleniyor?#

Bir kare aynı anahtar içinde kaldığı sürece etikete gerek yoktur; anahtar hangi portun hangi VLAN'a ait olduğunu zaten bilir. Etiket, kare iki anahtar arasında taşınırken gerekir: karşı taraf, gelen karenin hangi VLAN'a ait olduğunu bilmek zorundadır.

IEEE 802.1Q bu amaçla Ethernet karesinin içine 4 baytlık bir etiket ekler. Etiketin içinde VLAN kimliği (VID) 12 bitlik bir alandır. Bu da 4096 değer demektir; 0 ve 4095 ayrılmış olduğu için pratikte 1–4094 aralığı kullanılır.

VLAN'lar nasıl haberleşir?#

VLAN'lar tanım gereği birbirinden ayrıdır. İki VLAN arasındaki trafiğin geçebilmesi için bir yönlendirme (routing) katmanı gerekir: bir yönlendirici veya Layer 3 anahtar.

Bu, VLAN'ın aynı zamanda bir güvenlik aracı olarak kullanılmasını sağlar: trafiğin nereden nereye geçebileceği yönlendirme noktasında erişim listeleriyle denetlenebilir.

Sık yapılan hatalar#

  • Yönetim VLAN'ını kullanıcı VLAN'ıyla aynı tutmak. Anahtar yönetim arayüzleri ayrı bir VLAN'da tutulmalıdır.
  • Her şey için ayrı VLAN açmak. Gereğinden fazla VLAN, yönlendirme ve erişim kurallarını yönetilemez hâle getirir.
  • Trunk portlarda gereksiz VLAN taşımak. Bir hat üzerinde yalnızca gerçekten gereken VLAN'lar taşınmalıdır.
  • Numaralandırmayı belgelememek. VLAN numaraları zamanla anlamını yitirir; basit bir tablo bile sonradan çok işe yarar.

Önemli noktalar

  • VLAN, tek fiziksel anahtarı birbirinden ayrı yayın alanlarına böler.
  • Etiket yalnızca kare anahtarlar arasında taşınırken gerekir; 802.1Q 4 bayt ekler.
  • Kullanılabilir VLAN kimlikleri 1–4094 aralığındadır.
  • VLAN'lar arası trafik için yönlendirme katmanı gerekir.
  • VLAN ayrım sağlar; güvenliği sağlayan, yönlendirme noktasındaki kurallardır.