Een virtual LAN of virtual local area network (VLAN) is een type virtueel netwerk. Een VLAN wordt gerealiseerd op de datalinklaag en bestaat uit een groep eindstations en switches die logisch gezien een enkel gemeenschappelijk local area network (LAN) vormen, maar zich in een of meer fysieke netwerken kunnen bevinden. Op deze wijze kunnen logisch gescheiden netwerken gerealiseerd worden die fysieke hardware zoals switches en bekabeling delen, wat een kostenbesparing kan betekenen. In een fysiek netwerk bestaan typisch verschillende VLAN's naast elkaar.
VLAN's bestaan in verschillende technologieën, zoals ethernet, ATM, InfiniBand etc. Dit artikel behandelt voornamelijk de wijdverspreide ethernet-VLAN's. De IEEE-standaard IEEE 802.1Q definieert VLAN's in ethernetnetwerken.
Principes Ethernet-VLAN's zijn logisch gescheiden netwerken op het MAC-niveau, werkend op gedeelde fysieke hardware, met gedeelde transportverbindingen. VLAN's worden dus gebruikt om logisch netwerken te definiëren, los van de topologie van het fysieke netwerk. Hierdoor worden precies de juiste groepen van netwerkelementen met elkaar verbonden, gescheiden van de andere elementen. Een van de consequenties technisch gezien is dat de grootte van het broadcastdomein in de MAC-laag wordt gereduceerd: als er bijvoorbeeld een DHCP-request gebeurt in VLAN X, is die request alleen zichtbaar in VLAN X en niet in andere VLAN's die in hetzelfde fysieke netwerk bestaan.
Toepassingen VLAN's laten bijvoorbeeld toe dat in een bedrijf logisch gescheiden netwerken bestaan voor de administratieafdeling, de verkoopafdeling, etc., los van de fysieke inrichting van het netwerk. Dit betekent dat alle computers en andere netwerkelementen van een afdeling rechtstreeks met elkaar kunnen communiceren, maar communicatie met toestellen van een andere afdeling rechtstreeks via het netwerk niet mogelijk is.
Zonder VLAN's kan men uiteraard voor elke afdeling een eigen fysiek netwerk realiseren, met een eigen switch. Een PC voor een gebruiker uit de verkoopafdeling moet dan fysiek verbonden worden met de overeenkomende switch. Verhuist de PC van verdieping, dan kan dit voor praktische en administratieve problemen zorgen wat betreft bedrading. Maakt men daarentegen gebruik van VLAN's dan hoeft enkel de gewenste VLAN geconfigureerd te worden op de poort van de nieuwe switch waarmee het eindstation verbonden wordt. Het eindstation kan zo steeds op het juiste virtuele netwerk worden aangesloten, onafhankelijk van de fysieke locatie. Omgekeerd, wanneer men een pc aan het netwerk van een andere afdeling wil koppelen hoeft men geen kabels te veranderen, maar hoeft men enkel een andere VLAN te configureren.
Andere toepassingen zijn bijvoorbeeld het scheiden van het verkeer voor netwerkbeheer van het normale verkeer, of het scheiden van bv. spraakverkeer via IP-telefoons van gewoon gegevensverkeer, of het groeperen van alle printers in een apart netwerk.
Eigenschappen Segmentatie. Door het gebruik van VLAN's is het mogelijk verschillende logische netwerken te definiëren binnen eenzelfde fysieke netwerk. De elementen van ieder netwerk kunnen uitsluitend rechtstreeks communiceren met andere elementen uit het eigen netwerk. Ten gevolge van segmentatie en het feit dat binnenkomende pakketten op elke poort van een switch beperkt kunnen worden tot een enkele VLAN, is er een extra laag van beveiliging ten opzichte van een netwerk waarin alle elementen rechtstreeks met elkaar op MAC-niveau kunnen communiceren. VLAN's laten toe fysieke verbindingen en switches te delen voor verschillende logische netwerken. Verder kan het netwerkbeheer verschuiven van fysieke naar softwarematige configuratie. Hierdoor is de opzet meer schaalbaar en kunnen aanpassingen sneller worden uitgevoerd. VLAN's kunnen aldus leiden tot kostenreducties en een slagvaardigere operatie. Door het delen van onderliggende fysieke voorzieningen kan het nodig zijn om gegevensverbindingen tussen switches meervoudig uit te voeren en/of expliciete voorzieningen voor Quality of service te treffen, zoals bv. het met hoge prioriteit behandelen van telefoonverkeer. De VLAN-standaard 802.1Q kent reeds voorzieningen voor QoS, volgens de standaard 802.1P. Broadcasts worden beperkt tot de VLAN zelf, hierdoor is er dus minder, dikwijls nutteloos, verkeer op het totale netwerk waardoor de snelheid en beschikbaarheid positief beïnvloed worden. VLANs kunnen een of meer switches bevatten. Bij Ethernet zijn eindstations doorgaans via hun fysieke verbinding met een welbepaalde poort van een switch verbonden met een bepaald VLAN. Ook zal het eindstation van de switch alleen pakketten ontvangen afkomstig van die VLAN.
VLAN-types Er wordt een onderscheid gemaakt tussen end-to-end VLAN's en lokale VLAN's. Een end-to-end VLAN is functioneel georganiseerd en kan zich uitstrekken over een heel fysiek netwerk, terwijl een lokale VLAN geografisch beperkt is, bijvoorbeeld tot een verdieping in een gebouw. Door de tijd heen is het gebruik verschoven van end-to-end VLAN's naar lokale VLAN's.
End-to-end VLAN's Een opdeling naar end-to-end VLAN's is functioneel bepaald. Netwerkelementen worden gegroepeerd volgens functie, niet volgens hun fysieke locatie. Voorbeelden van groepering: alle computers van gebruikers met een functie binnen een functionele afdeling zoals "Onderzoek en Ontwikkeling", alle IP-telefoons, of alle printers.
Een end-to-end VLAN is geografisch verspreid over het volledige netwerk heen of grote delen ervan, dus over verschillende switches heen. Het strekt zich potentieel uit tot een groot geografisch gebied, bv. naar alle afdelingen van een bedrijf binnen een land.
Als een toestel van een gebruiker zich op verschillende locaties met het netwerk verbindt dan blijft dit altijd in hetzelfde VLAN.
De motivatie voor het gebruik van dit type van VLAN omvat zowel het vergemakkelijken van het netwerkbeheer, met name op het niveau van IP-adressen, alsook het bevorderen van de veiligheid door logisch gescheiden netwerken te maken.
Er zijn diverse nadelen: Overheadframes van het VLAN worden gepropageerd binnen het hele fysieke netwerk wat globaal leidt tot veel overheadverkeer. Er is een veiligheidsrisico doordat frames over het hele netwerk beschikbaar zijn in plaats van lokaal beperkt: wie bij het fysieke netwerk kan en de getagde frames kan onderscheppen, kan proberen de informatie te compromitteren van alle VLAN's, met informatie afkomstig van het gehele netwerk. De administratie van de VLAN's zelf kan snel complex worden. Men heeft namelijk potentieel te maken met het gehele, dikwijls zeer uitgebreide netwerk van een organisatie.
Lokale VLAN's Op een lokale VLAN worden eindstations gegroepeerd aan de hand van hun fysieke locatie en niet aan de hand van hun functie.
Verkeer van een lokale VLAN wordt gerouteerd naar andere netwerken in plaats van geswitcht, dus op laag 3 van het OSI-model in plaats van op laag 2. Hierdoor blijft overheadverkeer van laag 2 lokaal beperkt.
Een lokale VLAN wordt meestal beperkt tot een verbindingskast, of hooguit enkele. Andersom is het ook mogelijk dat verschillende lokale VLAN's dergelijke kasten delen. Voorbeeld: drie verdiepingen hebben hun eigen VLAN maar worden bediend door een enkele kast.
VLAN's op een bepaalde, lokale switch worden vanwege het lokale karakter niet geconfigureerd op de andere switches op het netwerk.
Evolutie naar lokale VLAN's In het verleden werden vooral end-to-end VLAN's ingericht aangezien netwerkontwerpers bij het ontwerpen van netwerken de 80/20 regel hanteerden voor lokaal/niet-lokaal verkeer. De 80/20 regel wil zeggen dat grosso modo 80 procent van het netwerkverkeer plaatsvindt in het eigen netwerk en slechts 20 procent naar verder gelegen netwerksegmenten. Het heeft in zo'n situatie zin om een VLAN te definiëren, waarin dan 80 procent van het verkeer plaatsvindt.
Ook het feit dat men in het verleden IP-adressen manueel moest toekennen en aanpassen gaf aanleiding tot het gebruik van end-to-end VLAN's aangezien men op die manier de IP-administratie kon vereenvoudigen. Immers, als een toestel verplaatst werd naar een andere fysieke locatie was het dan een kwestie van zorgen dat het toestel met hetzelfde VLAN verbonden bleef, waardoor het IP-adres geldig bleef. Bij verandering van VLAN zou men een verandering hebben moeten doen op het toestel zelf. Omdat men tegenwoordig IP-adressen automatisch laat toekennen via DHCP is dit echter niet meer van toepassing.
Belangrijker echter is dat ook de verhouding tussen lokaal en niet-lokaal verkeer eerder 20/80 is geworden, dit door het verder doorvoeren van client-serverarchitecturen en cloud, waarbij toepassingen niet lokaal maar op een centrale plaats of "in de cloud" zijn geïmplementeerd. Hierdoor is het netwerkverkeer vooral met elementen buiten het netwerk. Het implementeren van end-to-end VLAN's heeft daarom in waarde ingeboet: het heeft weinig waarde om toestellen binnen een over het hele fysieke netwerk verspreide VLAN te houden als slechts een klein deel van het verkeer binnen het VLAN zelf blijft. Tegelijkertijd heeft een end-to-end VLAN nadelen wegens de complexiteit van VLAN-beheer, de veiligheidsrisico's en het feit dat veel overheadverkeer door het hele fysieke netwerk propageert.
Voor het moderne gebruik is een hiërarchische topologie gepast, waarin er lokaal wordt gewerkt met VLAN's, dus met switching op laag 2, terwijl er voor meer globale communicatie gewerkt wordt op laag 3, via routers. Hierdoor blijft overheadverkeer lokaal en moet men echt tot het goed beveiligde kernnetwerk doordringen om al het verkeer te kunnen onderscheppen. Op het kernnetwerk kan men verder goed de capaciteit beheren voor het verkeer naar de centrale rekencentra en de "cloud". Daarnaast is het beheer van dergelijke lokale VLAN's relatief eenvoudig.
Beheer van VLAN's Men kan VLAN's op twee manieren beheren. Het eenvoudigste is handmatig beheer op basis van statische configuratie op elke switch.
Op een eenvoudige 802.1Q-VLAN-switch kan men bepalen welke poorten tot een VLAN behoren, waarbij elke poort tot meer dan een VLAN kan behoren. Poorten aan de rand van het netwerk, die verbonden zijn met eindstations zijn normaal slechts geassocieerd met een enkele VLAN. Poorten die verbonden zijn met andere netwerkapparatuur dienen meestal voor het doorgeven van frames voor meer dan een VLAN. Dergelijke poorten worden dan ook geassocieerd met al deze VLAN's. Via de poorten vindt de koppeling met een welbepaalde VLAN in de switch plaats. Bij getagde pakketten is dat bepaald door de tag, bij niet getagde pakketten wordt dat bepaald door de Port VLAN ID (PVID) van de betreffende poort. Het beheer van de PVID's is nodig naast het associëren aan de poorten een of meer VLAN's: een poort kan bijvoorbeeld deel uitmaken van VLAN 1, 4, 18 en 37, maar binnenkomende pakketten zonder tag kunnen slechts worden geïnjecteerd in een enkele van deze VLAN's, bv. VLAN 1. Dit is dus een bijkomende configuratie.
Meer geavanceerde switches kennen nog meer mogelijkheden, bv. classificatie op basis van MAC-adres. Hiernaast kunnen er nog bijkomende configuraties zijn, bijvoorbeeld voor QoS of voor het beheer van de toegestane bandbreedte.
Het beheren van de statische VLAN-configuratie op elke switch, tot op het niveau van elke poort, is dikwijls doenbaar op kleine netwerken, maar daar reeds arbeidsintensief en foutgevoelig. Deze basisvorm van beheer is niet schaalbaar en daarmee niet geschikt voor grotere netwerken. In grotere organisaties werkt men daarom met dynamische VLAN's.
Statische VLAN