VLAN разделяет физическую сеть на независимые логические сегменты. Устройства в разных VLAN не могут общаться напрямую — трафик между ними проходит через маршрутизатор или Layer 3 коммутатор, даже если физически они на одном свитче.
Как работает VLAN
Стандарт IEEE 802.1Q (1998) определяет тегирование кадров Ethernet: в заголовок добавляется 4-байтный тег с идентификатором VLAN ID (1–4094). Порты коммутатора бывают двух типов:
- Access port — подключает конечное устройство к одному VLAN. Теги прозрачны для устройства.
- Trunk port — передаёт трафик нескольких VLAN между коммутаторами или к маршрутизатору.
Коммутатор принимает нетегированный фрейм на access-порту, добавляет метку VLAN ID, пересылает только в нужный сегмент и снимает тег перед отправкой получателю.
История
До VLAN сегментирование сети требовало физических коммутаторов под каждый сегмент. В 1995 году появились первые проприетарные реализации Cisco (формат ISL). В 1998 году IEEE принял стандарт 802.1Q, сделав технологию межвендорной. VXLAN (RFC 7348, 2014) расширил концепцию на L3-сети и облака.
Применение в хостинге и ЦОД
В дата-центрах VLAN решает три задачи: изоляцию клиентов (трафик разных арендаторов в отдельных VLAN), управление полосой (разделение management-сети, storage-сети и production-трафика) и упрощение работы файрвола — политики применяются к VLAN целиком, а не к отдельным IP.
Гипервизоры (KVM + Open vSwitch, VMware vSphere) поддерживают VLAN на уровне виртуальных коммутаторов: каждой виртуальной машине назначается VLAN ID без изменения физической сети. Docker overlay-сети используют VXLAN для связи контейнеров между хостами.
VLAN vs VXLAN
VXLAN несёт 24-битный Virtual Network Identifier (VNI), что даёт 16 млн сегментов против 4094 у 802.1Q. В облачных платформах типа OpenStack VXLAN — стандарт для мультитенантных сетей. VLAN по-прежнему доминирует в физических корпоративных и ЦОД-сетях.
Как работает VLAN технически
IEEE 802.1Q — стандарт VLAN, принятый в 1998 году. Добавляет 4-байтовый тег (802.1Q header) к Ethernet-фреймам: 12 бит VLAN ID (от 1 до 4094, то есть до 4094 VLAN), 3 бита приоритета (PCP для QoS), 1 бит CFI. Тегированный фрейм отправляется только на порты коммутатора, настроенные на тот же VLAN ID. Не-тегированный фрейм отбрасывается или получает VLAN ID «порта по умолчанию» (native VLAN).
Типы портов коммутатора: Access port — принадлежит одному VLAN, не знает о тегировании (для конечных устройств). Trunk port — передаёт несколько VLAN с тегами (для соединений между коммутаторами). В хостинге trunk-порты используются для подключения гипервизора, который сам распределяет трафик по ВМ.
VLAN в виртуализации
В KVM/Proxmox VE: физический NIC настраивается как trunk-порт, получая трафик нескольких VLAN. Гипервизор создаёт bridge-интерфейсы для каждого VLAN (vmbr0, vmbr1...) или использует 802.1Q subinterfaces (eth0.100, eth0.200). Каждой ВМ назначается bridge из нужного VLAN — ВМ «думает», что подключена к отдельной сети.
VMware vSphere использует Distributed Virtual Switch (DVS) для управления VLAN-политиками на сотнях хостов из одного места. ВМ назначается port group с конкретным VLAN ID.
Приватные сети в облачном хостинге
Большинство облачных провайдеров (Yandex Cloud, DigitalOcean, Hetzner Cloud) реализуют приватные сети клиентов через VLAN или VXLAN (Virtual Extensible LAN — «VLAN поверх UDP» с 24-битным идентификатором, до 16 миллионов виртуальных сетей). Приватная сеть между серверами — дешевле и быстрее, чем через публичный интернет, трафик не считается как исходящий.
История VLAN
VLAN концепция возникла в 1989 году в DEC (Digital Equipment Corporation). Первые проприетарные реализации — Cisco ISL (Inter-Switch Link, 1995). IEEE 802.1Q стандартизирован в 1998 году, вытеснив ISL. В 2000-х VLAN стали основой корпоративной сети. С ростом виртуализации (2005+) VLAN критичны для изоляции трафика ВМ. VXLAN (RFC 7348) появился в 2014 году для нужд крупных облаков с тысячами арендаторов.