VLAN(虚拟局域网)是什么
VLAN(Virtual LAN)是一种不需要额外布线,就能把一台物理交换机或路由器在逻辑上拆分成多个相互独立网络的技术。即使连接在同一台交换机上,属于不同VLAN的设备也看不到彼此的流量,原则上也无法互相通信,就像身处不同的物理网络一样。
802.1Q标签方式
区分VLAN的标准方法是IEEE 802.1Q,它会在以太网帧中额外插入一个4字节的VLAN标签,用来标记这份数据属于哪个VLAN。这个标签里包含一个12位的VLAN ID字段,理论上最多可以区分4094个VLAN(0和4095是保留值)。
为什么要把网络划分开
一个网络里的设备越多,广播流量就越多,整体速度也会随之下降;而一旦某台设备被攻破,攻击者也更容易借此侵入同一网络里的其他设备。用VLAN划分网络后,广播域会相应缩小从而提升效率,即使某个VLAN出了问题,影响也不会蔓延到其他VLAN。
家庭中的实际应用场景
把智能插座、摄像头这类物联网设备和主网络划分到不同的VLAN,即使其中某台安全性较弱的IoT设备被攻破,攻击者也无法借此访问到放着电脑、NAS的主网络。单独划出一个访客网络,或者给远程办公单独设一个网络,也是同样的原理。
使用VLAN需要哪些设备
大多数入门级路由器都没有VLAN标签设置功能,要划分VLAN一般需要一台"托管型(Managed)"交换机,或者支持VLAN功能的中高端路由器。最近也有一部分Mesh无线系统开始提供自动配置IoT专用VLAN的功能。
VLAN和访客Wi-Fi的区别
很多家用路由器的"访客Wi-Fi"功能,内部往往就是借助一种简化版的VLAN隔离来实现的,但它是预设好、不能细致调整的固定形式。而在支持直接配置VLAN的设备上,可以更精细地控制哪个端口、哪台设备属于哪个VLAN,以及是否只允许部分VLAN之间的通信。