{"id":4841,"date":"2026-08-11T20:59:14","date_gmt":"2026-08-11T18:59:14","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4841"},"modified":"2026-08-11T22:47:00","modified_gmt":"2026-08-11T20:47:00","slug":"vlan","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/vlan","title":{"rendered":"VLAN"},"content":{"rendered":"<p><strong>VLAN<\/strong> (ang. <em>Virtual Local Area Network<\/em>, czyli wirtualna sie\u0107 lokalna) to spos\u00f3b na podzielenie jednej fizycznej sieci na kilka odr\u0119bnych sieci logicznych. Podzia\u0142 dzieje si\u0119 w warstwie 2 modelu OSI, czyli na poziomie prze\u0142\u0105cznik\u00f3w (switchy), a nie kabli. Urz\u0105dzenia w r\u00f3\u017cnych VLAN-ach s\u0105 od siebie odseparowane: nie \u201ewidz\u0105 si\u0119&#8221; bezpo\u015brednio i nie mog\u0105 wymienia\u0107 ruchu bez routera lub prze\u0142\u0105cznika warstwy 3. To troch\u0119 jak podzielenie jednego otwartego biura \u015bciankami na osobne pokoje \u2014 wszyscy s\u0105 w tym samym budynku, ale ka\u017cdy zesp\u00f3\u0142 ma swoj\u0105 przestrze\u0144. Standard, kt\u00f3ry pozwala oznacza\u0107 ramki Ethernet numerem VLAN, to <code>IEEE 802.1Q<\/code>.<\/p>\n<h2>Jak dzia\u0142a VLAN?<\/h2>\n<p>Zwyk\u0142y prze\u0142\u0105cznik bez VLAN-\u00f3w tworzy jedn\u0105 wsp\u00f3ln\u0105 domen\u0119 rozg\u0142oszeniow\u0105 (<em>broadcast domain<\/em>). Oznacza to, \u017ce ramka rozg\u0142oszeniowa wys\u0142ana przez jeden komputer dociera do wszystkich pozosta\u0142ych port\u00f3w. VLAN dzieli ten prze\u0142\u0105cznik na kilka niezale\u017cnych domen, tak jakby w jednym urz\u0105dzeniu kry\u0142o si\u0119 kilka osobnych prze\u0142\u0105cznik\u00f3w.<\/p>\n<p>Przypisanie portu do VLAN-u to ustawienie w konfiguracji, a nie fizyczne po\u0142\u0105czenie. \u017beby przenie\u015b\u0107 komputer do innego VLAN-u, nie trzeba przepina\u0107 kabli \u2014 wystarczy zmieni\u0107 ustawienie. Aby VLAN-y dzia\u0142a\u0142y na kilku prze\u0142\u0105cznikach jednocze\u015bnie, ruch mi\u0119dzy nimi musi nie\u015b\u0107 informacj\u0119, do kt\u00f3rego VLAN-u nale\u017cy. Tym w\u0142a\u015bnie zajmuje si\u0119 oznaczanie ramek opisane w <code>802.1Q<\/code>.<\/p>\n<h3>Oznaczanie ramek (802.1Q)<\/h3>\n<p>Standard <code>802.1Q<\/code> dok\u0142ada do ramki Ethernet 4-bajtowy znacznik (tag). Trafia on tu\u017c za adresy MAC nadawcy i odbiorcy, a przed pole EtherType. Znacznik sk\u0142ada si\u0119 z czterech cz\u0119\u015bci:<\/p>\n<ul>\n<li><strong>TPID<\/strong> (<em>Tag Protocol Identifier<\/em>) \u2014 16 bit\u00f3w o warto\u015bci <code>0x8100<\/code>. M\u00f3wi po prostu: \u201eta ramka jest oznaczona 802.1Q&#8221;.<\/li>\n<li><strong>PCP<\/strong> (<em>Priority Code Point<\/em>) \u2014 3 bity priorytetu zgodne z 802.1p (jako\u015b\u0107 us\u0142ug, QoS). Daj\u0105 8 poziom\u00f3w wa\u017cno\u015bci ruchu.<\/li>\n<li><strong>DEI<\/strong> (<em>Drop Eligible Indicator<\/em>) \u2014 1 bit. Oznacza ramk\u0119, kt\u00f3r\u0105 mo\u017cna odrzuci\u0107 w pierwszej kolejno\u015bci, gdy sie\u0107 jest przeci\u0105\u017cona (dawniej nazywany CFI).<\/li>\n<li><strong>VID<\/strong> (<em>VLAN Identifier<\/em>) \u2014 12 bit\u00f3w numeru VLAN. Zakres to <code>0\u20134095<\/code>: <code>0<\/code> oznacza brak VLAN-u (sam priorytet), <code>4095<\/code> jest zarezerwowane, wi\u0119c w praktyce u\u017cywa si\u0119 <code>1\u20134094<\/code>.<\/li>\n<\/ul>\n<p>Dodanie znacznika powi\u0119ksza maksymaln\u0105 ramk\u0119 z 1518 do 1522 bajt\u00f3w.<\/p>\n<h3>Porty access i trunk<\/h3>\n<ul>\n<li><strong>Port dost\u0119powy (access)<\/strong> nale\u017cy do jednego VLAN-u i przenosi ruch bez znacznika. Pod\u0142\u0105cza si\u0119 do niego pojedyncze urz\u0105dzenia: komputer, drukark\u0119, kamer\u0119 IP.<\/li>\n<li><strong>Port trunk<\/strong> przenosi ruch wielu VLAN-\u00f3w naraz \u2014 mi\u0119dzy prze\u0142\u0105cznikami albo do routera czy firewalla. Tutaj ramki dostaj\u0105 znaczniki 802.1Q, \u017ceby wiadomo by\u0142o, do kt\u00f3rego VLAN-u nale\u017c\u0105.<\/li>\n<li><strong>Native VLAN<\/strong> to wyj\u0105tek: jego ruch idzie przez trunk <em>bez<\/em> znacznika. Ruch, kt\u00f3ry przychodzi na trunk bez oznaczenia, trafia w\u0142a\u015bnie do native VLAN-u. Ma to spore znaczenie dla bezpiecze\u0144stwa (patrz double tagging).<\/li>\n<\/ul>\n<h2>Czym jest routing mi\u0119dzy VLAN-ami (inter-VLAN routing)?<\/h2>\n<p>VLAN-y to osobne sieci warstwy 2, a zwykle te\u017c osobne podsieci IP. Dlatego komunikacja mi\u0119dzy nimi potrzebuje urz\u0105dzenia warstwy 3. Robi si\u0119 to na dwa sposoby:<\/p>\n<ul>\n<li><strong>router-on-a-stick<\/strong> \u2014 jeden fizyczny interfejs routera dzieli si\u0119 na kilka logicznych subinterfejs\u00f3w, po jednym na VLAN. Router \u0142\u0105czy si\u0119 z prze\u0142\u0105cznikiem trunkiem.<\/li>\n<li><strong>prze\u0142\u0105cznik warstwy 3 (L3 switch)<\/strong> z interfejsami SVI (<em>Switched Virtual Interface<\/em>) \u2014 szybsze i typowe w sieciach produkcyjnych.<\/li>\n<\/ul>\n<p>Miejsce, w kt\u00f3rym ruch przechodzi mi\u0119dzy VLAN-ami, to naturalny punkt na regu\u0142y firewalla i listy kontroli dost\u0119pu (ACL) mi\u0119dzy segmentami.<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 segmentacja VLAN od mikrosegmentacji?<\/h2>\n<p>VLAN dzieli sie\u0107 z grubsza, na du\u017ce strefy: u\u017cytkownicy, serwery, IoT, go\u015bcie. W obr\u0119bie jednego VLAN-u urz\u0105dzenia domy\u015blnie rozmawiaj\u0105 ze sob\u0105 swobodnie \u2014 kontrola wchodzi dopiero na granicy mi\u0119dzy VLAN-ami, w warstwie 3.<\/p>\n<p><strong>Mikrosegmentacja<\/strong> idzie dalej. Egzekwuje regu\u0142y a\u017c do poziomu pojedynczej maszyny czy aplikacji, tak\u017ce <em>wewn\u0105trz<\/em> tego samego segmentu. Stosuje si\u0119 j\u0105 zwykle w podej\u015bciu Zero Trust, przez firewalle na hostach albo polityk\u0119 w sieci centrum danych. VLAN i mikrosegmentacja nie wykluczaj\u0105 si\u0119 \u2014 VLAN bywa warstw\u0105 bazow\u0105, na kt\u00f3r\u0105 nak\u0142ada si\u0119 drobniejsze regu\u0142y. Luk\u0119 \u201eswobodnej komunikacji wewn\u0105trz VLAN-u&#8221; cz\u0119\u015bciowo domyka te\u017c <strong>private VLAN<\/strong> (PVLAN), kt\u00f3ry izoluje porty w obr\u0119bie jednego VLAN-u (porty isolated, community, promiscuous).<\/p>\n<h2>Po co stosuje si\u0119 VLAN-y?<\/h2>\n<ul>\n<li><strong>Mniejsze domeny rozg\u0142oszeniowe<\/strong> \u2014 ramki rozg\u0142oszeniowe i zapytania ARP nie zalewaj\u0105 ca\u0142ej sieci, co odci\u0105\u017ca i stabilizuje du\u017ce sieci L2.<\/li>\n<li><strong>Segmentacja i izolacja<\/strong> \u2014 oddziela si\u0119 ruch o r\u00f3\u017cnym poziomie zaufania (np. urz\u0105dzenia OT\/IoT od sieci biurowej, go\u015bci od sieci wewn\u0119trznej).<\/li>\n<li><strong>Podstawa pod regu\u0142y bezpiecze\u0144stwa<\/strong> \u2014 granice VLAN to miejsca, w kt\u00f3rych nak\u0142ada si\u0119 ACL, regu\u0142y firewalla i inspekcj\u0119 ruchu.<\/li>\n<li><strong>Elastyczno\u015b\u0107<\/strong> \u2014 przynale\u017cno\u015b\u0107 urz\u0105dzenia zmienia si\u0119 w konfiguracji, bez ruszania kabli.<\/li>\n<\/ul>\n<h2>Jakie zagro\u017cenia bezpiecze\u0144stwa wi\u0105\u017c\u0105 si\u0119 z VLAN?<\/h2>\n<p>Warto zapami\u0119ta\u0107 jedno: VLAN to <strong>segmentacja, a nie pe\u0142na granica bezpiecze\u0144stwa<\/strong>. Izolacj\u0119 opart\u0105 tylko na VLAN-ach da si\u0119 obej\u015b\u0107. Najcz\u0119\u015bciej s\u0142u\u017cy do tego rodzina atak\u00f3w <strong>VLAN hopping<\/strong> \u2014 czyli \u201eprzeskakiwanie&#8221; do ruchu VLAN-u, kt\u00f3ry normalnie powinien by\u0107 niedost\u0119pny.<\/p>\n<h3>Switch spoofing (podszywanie si\u0119 pod prze\u0142\u0105cznik)<\/h3>\n<p>Atakuj\u0105cy udaje prze\u0142\u0105cznik i namawia port do zestawienia trunka. Je\u015bli mu si\u0119 uda, dostaje dost\u0119p do ruchu wszystkich VLAN-\u00f3w. Atak wykorzystuje automatyczne negocjowanie trunk\u00f3w \u2014 na sprz\u0119cie Cisco odpowiada za nie protok\u00f3\u0142 <code>DTP<\/code> (<em>Dynamic Trunking Protocol<\/em>), gdy port dzia\u0142a w trybie <code>dynamic auto<\/code> lub <code>dynamic desirable<\/code>. Obrona: r\u0119cznie ustaw porty ko\u0144cowe jako access i wy\u0142\u0105cz DTP oraz automatyczne trunki.<\/p>\n<h3>Double tagging (podw\u00f3jne oznaczanie)<\/h3>\n<p>Atakuj\u0105cy wstawia do ramki dwa znaczniki 802.1Q. Pierwszy (zewn\u0119trzny) pasuje do native VLAN-u trunka, wi\u0119c pierwszy prze\u0142\u0105cznik go zdejmuje i nie dok\u0142ada nowego. Drugi (wewn\u0119trzny) zostaje i kieruje ramk\u0119 do VLAN-u ofiary na kolejnym prze\u0142\u0105czniku. Atak dzia\u0142a tylko w jedn\u0105 stron\u0119 (nie ma ruchu zwrotnego), ale wystarcza np. do wstrzykni\u0119cia ruchu. Obrona: native VLAN trunka powinien by\u0107 inny ni\u017c jakikolwiek VLAN u\u017cytkownik\u00f3w \u2014 najlepiej osobny, nieu\u017cywany VLAN; pomaga te\u017c jawne znakowanie native VLAN-u.<\/p>\n<h3>Inne ryzyka i utwardzanie konfiguracji<\/h3>\n<ul>\n<li>Nie umieszczaj urz\u0105dze\u0144 w domy\u015blnym <strong>VLAN 1<\/strong> i nie u\u017cywaj go jako native VLAN.<\/li>\n<li>Wy\u0142\u0105czaj nieu\u017cywane porty i przypisuj je do osobnego, \u201e\u015blepego&#8221; VLAN-u (unused VLAN).<\/li>\n<li>Stosuj <strong>private VLAN<\/strong>, \u017ceby izolowa\u0107 porty wewn\u0105trz segmentu (np. hosting, sieci go\u015bci).<\/li>\n<li>Pami\u0119taj, \u017ce \u017ale skonfigurowany trunk albo wsp\u00f3lny native VLAN potrafi przepu\u015bci\u0107 ruch mi\u0119dzy strefami zaufania.<\/li>\n<\/ul>\n<h2>Dlaczego VLAN-y maj\u0105 znaczenie dla monitoringu i SOC?<\/h2>\n<p>Uk\u0142ad VLAN-\u00f3w to wa\u017cny kontekst przy wykrywaniu zagro\u017ce\u0144 i analizie ruchu (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>, czyli wykrywanie i reagowanie w sieci; monitoring sieci). W praktyce:<\/p>\n<ul>\n<li><strong>Telemetria z numerem VLAN<\/strong> \u2014 rekordy przep\u0142yw\u00f3w <code>NetFlow<\/code>\/<code>IPFIX<\/code> oraz <code>sFlow<\/code> potrafi\u0105 poda\u0107 identyfikator VLAN. Dzi\u0119ki temu da si\u0119 przypisa\u0107 ruch do segmentu i wychwyci\u0107 komunikacj\u0119, kt\u00f3ra nie powinna przekracza\u0107 granic stref.<\/li>\n<li><strong>Wykrywanie ruchu mi\u0119dzy VLAN-ami<\/strong> \u2014 niespodziewany ruch mi\u0119dzy segmentami, kt\u00f3re mia\u0142y by\u0107 rozdzielone, to sygna\u0142 b\u0142\u0119dnej konfiguracji albo pr\u00f3b poruszania si\u0119 atakuj\u0105cego po sieci.<\/li>\n<li><strong>Wykrywanie anomalii w warstwie 2<\/strong> \u2014 dziwne ramki z podw\u00f3jnym znacznikiem, nag\u0142e pr\u00f3by negocjacji trunka (DTP) czy ruch na native VLAN mog\u0105 wskazywa\u0107 na pr\u00f3b\u0119 VLAN hoppingu.<\/li>\n<li><strong>Dobre rozmieszczenie sond<\/strong> \u2014 mirroring\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/span\">SPAN<\/a> albo TAP musz\u0105 obejmowa\u0107 w\u0142a\u015bciwe VLAN-y i trunki. Inaczej powstaj\u0105 martwe pola: ruch wewn\u0105trz segmentu nigdy nie trafia do kolektora.<\/li>\n<\/ul>\n<p>Na koniec dwie rzeczy, kt\u00f3re \u0142atwo pomyli\u0107. VLAN (warstwa 2, domena rozg\u0142oszeniowa) to nie to samo co podsie\u0107 (warstwa 3, zakres adres\u00f3w IP) \u2014 cho\u0107 zwykle mapuje si\u0119 je 1:1. I sam VLAN nie daje pe\u0142nego bezpiecze\u0144stwa: bez utwardzenia port\u00f3w, ACL\/firewalla w L3 i kontroli dost\u0119pu (np. 802.1X) jego izolacj\u0119 mo\u017cna obej\u015b\u0107.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/architektura-zero-trust-rola-widocznosci-sieci-i-mikrosegmentacji-w-bezpieczenstwie\">Architektura Zero Trust \u2013 rola widoczno\u015bci sieci i mikrosegmentacji w bezpiecze\u0144stwie<\/a> \u2014 VLAN wspiera mikrosegmentacj\u0119 sieci, kt\u00f3ra jest wa\u017cnym elementem podej\u015bcia Zero Trust.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/bledy-konfiguracji-sieci-jak-ich-uniknac-i-poprawic-konfiguracje-routera\">B\u0142\u0119dy konfiguracji sieci \u2013 jak unika\u0107 network configuration errors i poprawi\u0107 konfiguracj\u0119 routera<\/a> \u2014 B\u0142\u0119dna konfiguracja VLAN mo\u017ce powodowa\u0107 problemy z izolacj\u0105 ruchu i dost\u0119pno\u015bci\u0105 sieci.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/monitoring-sieci-i-network-visibility-analiza-ruchu-sieciowego-jako-podstawa-visibility-cybersecurity\">Monitoring sieci i network visibility \u2013 analiza ruchu sieciowego jako podstawa visibility cybersecurity<\/a> \u2014 Monitoring VLAN pomaga \u015bledzi\u0107 ruch mi\u0119dzy segmentami i wykrywa\u0107 anomalie.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4841","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"VLAN","ikona":"","krotki_opis":"Logiczny podzia\u0142 sieci warstwy 2 na odr\u0119bne domeny rozg\u0142oszeniowe, niezale\u017cnie od fizycznej lokalizacji urz\u0105dze\u0144; ramki oznacza standard IEEE 802.1Q, a ruch mi\u0119dzy VLAN-ami wymaga routingu w warstwie 3."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4841","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4841"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}