מה זה VLAN, ולמה כל רשת ארגונית רצינית משתמשת בהם¶
תדמיינו בניין משרדים אחד עם מתג רשת (switch) פיזי בודד שמחבר את כולם - מחלקת הכספים, מחלקת הפיתוח, המדפסות, ומצלמות האבטחה, כולם על אותו כבל, אותו מתג, אותה רשת. עכשיו תדמיינו שמישהו במחלקת השיווק לוחץ בטעות על קישור זדוני, והנגיף שהוריד מתפשט חופשי לכל מכשיר אחר בבניין, כולל שרתי הכספים. זה בדיוק הבעיה ש-VLAN נולד כדי לפתור.
אז מה זה VLAN בעצם¶
VLAN, ראשי תיבות של Virtual Local Area Network, הוא רשת מקומית וירטואלית - דרך לחלק מתג רשת פיזי אחד (או כמה מתגים) לכמה רשתות לוגיות נפרדות, בלי לגעת בכבלים בפועל. מכשירים שמחוברים לאותו VLAN מתנהגים כאילו הם על רשת פיזית נפרדת לגמרי, גם אם הם למעשה מחוברים לאותו חומרה פיזית.
זה ההבדל בין רשתות מבוססות סאבנטינג, שמחלקות לפי כתובות IP, לבין VLAN, שמחלק ברמה נמוכה יותר - שכבת הקישור, שכבה 2 במודל ה-OSI. בדרך כלל בפועל, כל VLAN מקבל גם טווח IP נפרד משלו, כך שהחלוקה הלוגית והחלוקה הכתובתית הולכות יד ביד.
איך זה עובד בפועל¶
למתג רשת VLAN-aware יש יכולת לתייג כל פורט (חיבור פיזי) לשייך ל-VLAN מסוים. נניח שבמשרד יש מתג עם 24 פורטים. אפשר להגדיר שפורטים 1 עד 8 שייכים ל-VLAN 10 (מחלקת פיתוח), פורטים 9 עד 16 שייכים ל-VLAN 20 (מחלקת כספים), ופורטים 17 עד 24 שייכים ל-VLAN 30 (מצלמות אבטחה). מכשיר שמחובר לפורט 3 "רואה" רק תעבורה מ-VLAN 10, גם אם פיזית הוא מחובר לאותו מתג בדיוק כמו מכשיר ב-VLAN 20.
כשתעבורה בין VLAN-ים שונים צריכה לעבור בין מתגים (trunk), היא מתויגת עם מספר ה-VLAN שלה בתקן שנקרא 802.1Q, כדי שהמתג בצד השני ידע לאיזה VLAN לשייך כל חבילה.
למה בכלל טורחים לעשות את זה¶
- אבטחה - הפרדה בין מחלקות. מכשיר נגוע ב-VLAN אחד לא יכול לתקשר ישירות עם מכשירים ב-VLAN אחר בלי לעבור דרך ראוטר, שיכול להריץ עליו כללי חומת אש. זה מצמצם דרמטית את שטח ההתקפה אם מכשיר אחד נפגע.
- ביצועים - הפחתת עומס broadcast. ברשת אחת גדולה, הודעות שידור (broadcast) נשלחות לכל מכשיר ברשת, מה שיוצר עומס מיותר. חלוקה ל-VLAN-ים מקטינה כל "דומיין broadcast" לגודל סביר.
- גמישות ארגונית. אפשר להעביר מכשיר בין מחלקות רק על ידי שינוי הגדרת VLAN בפורט, בלי לסדר מחדש כבלים פיזית. אפשר גם שמכשירים שיושבים בקומות שונות בבניין יהיו על אותו VLAN לוגי, אם צריך.
- עמידה בתקנים ורגולציה. בתחומים כמו כרטיסי אשראי או מידע רפואי, יש דרישות רגולטוריות ברורות להפריד רשתות שמכילות מידע רגיש מרשתות רגילות, ו-VLAN הוא הכלי הסטנדרטי לעשות את זה.
VLAN לא מחליף חומת אש¶
טעות נפוצה היא לחשוב ש-VLAN לבד מספיק לאבטחה. VLAN מפריד תעבורה ברמת השכבה, אבל כדי שתעבורה בין VLAN-ים שונים תעבור בכלל (למשל מחלקת הפיתוח צריכה לפעמים לגשת לשרת במחלקת ה-IT), צריך ראוטר שמחבר ביניהם - ושם בדיוק חומת אש נכנסת לתמונה, כדי לקבוע בדיוק אילו סוגי תעבורה מותר לעבור בין הרשתות הנפרדות. VLAN בלי כללי חומת אש נכונים בין הרשתות הוא הפרדה חלקית בלבד.
דוגמה מהחיים האמיתיים¶
ברשת ביתית פשוטה, כנראה לא תזדקקו ל-VLAN. אבל אם יש לכם בבית מכשירי IoT כמו מצלמות אבטחה, נורות חכמות, או רמקולים חכמים - התקנים שידועים כבעלי אבטחה חלשה יחסית - שימוש נפוץ הוא ליצור VLAN נפרד רק להם, כך שגם אם אחד מהם נפרץ, התוקף לא מקבל גישה ישירה למחשב הנייד או לטלפון שלכם באותה רשת.
בסביבה ארגונית, כמעט כל רשת רצינית מחולקת ל-VLAN-ים - שרתים, עמדות עובדים, אורחים, ומכשירי IoT, כל אחד בנפרד, עם כללים ברורים על מה מותר לעבור ביניהם.
איפה זה משתלב בתמונה הגדולה¶
VLAN הוא חלק מהותי מהבנת רשתות ארגוניות, יחד עם סאבנטינג, ניתוב, וחומות אש. כל אלה יחד בונים את מה שנקרא ארכיטקטורת רשת - איך רשת גדולה בנויה בצורה מסודרת, מאובטחת, ובת ניהול.
קורס הרשתות המלא נמצא כאן, חינם ובעברית, כולל הסבר מעמיק על VLAN-ים וארכיטקטורת רשתות ארגוניות.
יש לכם שאלה על הגדרת VLAN בפועל? שאלו בדיסקורד.
לסיכום¶
VLAN הוא הכלי שהופך רשת פיזית אחת גדולה למספר רשתות לוגיות נפרדות ומאובטחות, בלי צורך בחומרה נוספת. הוא לא תחליף לחומת אש, אלא שכבה משלימה לה, וביחד הן הבסיס לכל רשת ארגונית שבנויה נכון.