VLAN

VLAN (ang. Virtual Local Area Network, czyli wirtualna sieć lokalna) to sposób na podzielenie jednej fizycznej sieci na kilka odrębnych sieci logicznych. Podział dzieje się w warstwie 2 modelu OSI, czyli na poziomie przełączników (switchy), a nie kabli. Urządzenia w różnych VLAN-ach są od siebie odseparowane: nie „widzą się” bezpośrednio i nie mogą wymieniać ruchu bez routera lub przełącznika warstwy 3. To trochę jak podzielenie jednego otwartego biura ściankami na osobne pokoje — wszyscy są w tym samym budynku, ale każdy zespół ma swoją przestrzeń. Standard, który pozwala oznaczać ramki Ethernet numerem VLAN, to IEEE 802.1Q.

Jak działa VLAN?

Zwykły przełącznik bez VLAN-ów tworzy jedną wspólną domenę rozgłoszeniową (broadcast domain). Oznacza to, że ramka rozgłoszeniowa wysłana przez jeden komputer dociera do wszystkich pozostałych portów. VLAN dzieli ten przełącznik na kilka niezależnych domen, tak jakby w jednym urządzeniu kryło się kilka osobnych przełączników.

Przypisanie portu do VLAN-u to ustawienie w konfiguracji, a nie fizyczne połączenie. Żeby przenieść komputer do innego VLAN-u, nie trzeba przepinać kabli — wystarczy zmienić ustawienie. Aby VLAN-y działały na kilku przełącznikach jednocześnie, ruch między nimi musi nieść informację, do którego VLAN-u należy. Tym właśnie zajmuje się oznaczanie ramek opisane w 802.1Q.

Oznaczanie ramek (802.1Q)

Standard 802.1Q dokłada do ramki Ethernet 4-bajtowy znacznik (tag). Trafia on tuż za adresy MAC nadawcy i odbiorcy, a przed pole EtherType. Znacznik składa się z czterech części:

• TPID (Tag Protocol Identifier) — 16 bitów o wartości 0x8100. Mówi po prostu: „ta ramka jest oznaczona 802.1Q”.
• PCP (Priority Code Point) — 3 bity priorytetu zgodne z 802.1p (jakość usług, QoS). Dają 8 poziomów ważności ruchu.
• DEI (Drop Eligible Indicator) — 1 bit. Oznacza ramkę, którą można odrzucić w pierwszej kolejności, gdy sieć jest przeciążona (dawniej nazywany CFI).
• VID (VLAN Identifier) — 12 bitów numeru VLAN. Zakres to 0–4095: 0 oznacza brak VLAN-u (sam priorytet), 4095 jest zarezerwowane, więc w praktyce używa się 1–4094.

Dodanie znacznika powiększa maksymalną ramkę z 1518 do 1522 bajtów.

Porty access i trunk

• Port dostępowy (access) należy do jednego VLAN-u i przenosi ruch bez znacznika. Podłącza się do niego pojedyncze urządzenia: komputer, drukarkę, kamerę IP.
• Port trunk przenosi ruch wielu VLAN-ów naraz — między przełącznikami albo do routera czy firewalla. Tutaj ramki dostają znaczniki 802.1Q, żeby wiadomo było, do którego VLAN-u należą.
• Native VLAN to wyjątek: jego ruch idzie przez trunk bez znacznika. Ruch, który przychodzi na trunk bez oznaczenia, trafia właśnie do native VLAN-u. Ma to spore znaczenie dla bezpieczeństwa (patrz double tagging).

Czym jest routing między VLAN-ami (inter-VLAN routing)?

VLAN-y to osobne sieci warstwy 2, a zwykle też osobne podsieci IP. Dlatego komunikacja między nimi potrzebuje urządzenia warstwy 3. Robi się to na dwa sposoby:

• router-on-a-stick — jeden fizyczny interfejs routera dzieli się na kilka logicznych subinterfejsów, po jednym na VLAN. Router łączy się z przełącznikiem trunkiem.
• przełącznik warstwy 3 (L3 switch) z interfejsami SVI (Switched Virtual Interface) — szybsze i typowe w sieciach produkcyjnych.

Miejsce, w którym ruch przechodzi między VLAN-ami, to naturalny punkt na reguły firewalla i listy kontroli dostępu (ACL) między segmentami.

Czym różni się segmentacja VLAN od mikrosegmentacji?

VLAN dzieli sieć z grubsza, na duże strefy: użytkownicy, serwery, IoT, goście. W obrębie jednego VLAN-u urządzenia domyślnie rozmawiają ze sobą swobodnie — kontrola wchodzi dopiero na granicy między VLAN-ami, w warstwie 3.

Mikrosegmentacja idzie dalej. Egzekwuje reguły aż do poziomu pojedynczej maszyny czy aplikacji, także wewnątrz tego samego segmentu. Stosuje się ją zwykle w podejściu Zero Trust, przez firewalle na hostach albo politykę w sieci centrum danych. VLAN i mikrosegmentacja nie wykluczają się — VLAN bywa warstwą bazową, na którą nakłada się drobniejsze reguły. Lukę „swobodnej komunikacji wewnątrz VLAN-u” częściowo domyka też private VLAN (PVLAN), który izoluje porty w obrębie jednego VLAN-u (porty isolated, community, promiscuous).

Po co stosuje się VLAN-y?

• Mniejsze domeny rozgłoszeniowe — ramki rozgłoszeniowe i zapytania ARP nie zalewają całej sieci, co odciąża i stabilizuje duże sieci L2.
• Segmentacja i izolacja — oddziela się ruch o różnym poziomie zaufania (np. urządzenia OT/IoT od sieci biurowej, gości od sieci wewnętrznej).
• Podstawa pod reguły bezpieczeństwa — granice VLAN to miejsca, w których nakłada się ACL, reguły firewalla i inspekcję ruchu.
• Elastyczność — przynależność urządzenia zmienia się w konfiguracji, bez ruszania kabli.

Jakie zagrożenia bezpieczeństwa wiążą się z VLAN?

Warto zapamiętać jedno: VLAN to segmentacja, a nie pełna granica bezpieczeństwa. Izolację opartą tylko na VLAN-ach da się obejść. Najczęściej służy do tego rodzina ataków VLAN hopping — czyli „przeskakiwanie” do ruchu VLAN-u, który normalnie powinien być niedostępny.

Switch spoofing (podszywanie się pod przełącznik)

Atakujący udaje przełącznik i namawia port do zestawienia trunka. Jeśli mu się uda, dostaje dostęp do ruchu wszystkich VLAN-ów. Atak wykorzystuje automatyczne negocjowanie trunków — na sprzęcie Cisco odpowiada za nie protokół DTP (Dynamic Trunking Protocol), gdy port działa w trybie dynamic auto lub dynamic desirable. Obrona: ręcznie ustaw porty końcowe jako access i wyłącz DTP oraz automatyczne trunki.

Double tagging (podwójne oznaczanie)

Atakujący wstawia do ramki dwa znaczniki 802.1Q. Pierwszy (zewnętrzny) pasuje do native VLAN-u trunka, więc pierwszy przełącznik go zdejmuje i nie dokłada nowego. Drugi (wewnętrzny) zostaje i kieruje ramkę do VLAN-u ofiary na kolejnym przełączniku. Atak działa tylko w jedną stronę (nie ma ruchu zwrotnego), ale wystarcza np. do wstrzyknięcia ruchu. Obrona: native VLAN trunka powinien być inny niż jakikolwiek VLAN użytkowników — najlepiej osobny, nieużywany VLAN; pomaga też jawne znakowanie native VLAN-u.

Inne ryzyka i utwardzanie konfiguracji

• Nie umieszczaj urządzeń w domyślnym VLAN 1 i nie używaj go jako native VLAN.
• Wyłączaj nieużywane porty i przypisuj je do osobnego, „ślepego” VLAN-u (unused VLAN).
• Stosuj private VLAN, żeby izolować porty wewnątrz segmentu (np. hosting, sieci gości).
• Pamiętaj, że źle skonfigurowany trunk albo wspólny native VLAN potrafi przepuścić ruch między strefami zaufania.

Dlaczego VLAN-y mają znaczenie dla monitoringu i SOC?

Układ VLAN-ów to ważny kontekst przy wykrywaniu zagrożeń i analizie ruchu (NDR, czyli wykrywanie i reagowanie w sieci; monitoring sieci). W praktyce:

• Telemetria z numerem VLAN — rekordy przepływów NetFlow/IPFIX oraz sFlow potrafią podać identyfikator VLAN. Dzięki temu da się przypisać ruch do segmentu i wychwycić komunikację, która nie powinna przekraczać granic stref.
• Wykrywanie ruchu między VLAN-ami — niespodziewany ruch między segmentami, które miały być rozdzielone, to sygnał błędnej konfiguracji albo prób poruszania się atakującego po sieci.
• Wykrywanie anomalii w warstwie 2 — dziwne ramki z podwójnym znacznikiem, nagłe próby negocjacji trunka (DTP) czy ruch na native VLAN mogą wskazywać na próbę VLAN hoppingu.
• Dobre rozmieszczenie sond — mirroring/SPAN albo TAP muszą obejmować właściwe VLAN-y i trunki. Inaczej powstają martwe pola: ruch wewnątrz segmentu nigdy nie trafia do kolektora.

Na koniec dwie rzeczy, które łatwo pomylić. VLAN (warstwa 2, domena rozgłoszeniowa) to nie to samo co podsieć (warstwa 3, zakres adresów IP) — choć zwykle mapuje się je 1:1. I sam VLAN nie daje pełnego bezpieczeństwa: bez utwardzenia portów, ACL/firewalla w L3 i kontroli dostępu (np. 802.1X) jego izolację można obejść.

Dowiedz się więcej

• Architektura Zero Trust – rola widoczności sieci i mikrosegmentacji w bezpieczeństwie — VLAN wspiera mikrosegmentację sieci, która jest ważnym elementem podejścia Zero Trust.
• Błędy konfiguracji sieci – jak unikać network configuration errors i poprawić konfigurację routera — Błędna konfiguracja VLAN może powodować problemy z izolacją ruchu i dostępnością sieci.
• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Monitoring VLAN pomaga śledzić ruch między segmentami i wykrywać anomalie.