VLAN là gì? Cách tách mạng camera, WiFi khách và mạng nội bộ

VLAN (mạng LAN ảo) chia một hệ thống mạng thành nhiều mạng riêng bằng cấu hình, giúp tách camera, WiFi khách và máy tính nội bộ. Bài giải thích cách hoạt động, thiết bị cần có, mỗi SSID một VLAN và chính sách riêng, mô hình cho văn phòng, trường học, quán cafe, khách sạn và các lỗi hay gặp.

VLAN (Virtual LAN – mạng LAN ảo) chia một hệ thống mạng thành nhiều mạng riêng bằng cấu hình, không cần đi thêm dây hay mua thêm switch. Camera, WiFi khách và máy tính nội bộ dùng chung switch, chung dây nhưng không nhìn thấy nhau, trừ khi gateway cho phép. Đây là cách làm phổ biến ở văn phòng, quán cafe, khách sạn.

Giải thích nhanh các thuật ngữ trong bài:

• VLAN ID: số định danh của mỗi VLAN, từ 1 đến 4094 (chuẩn IEEE 802.1Q). Ví dụ VLAN 10 nội bộ, VLAN 20 khách, VLAN 30 camera.
• Tagged và untagged: gói tin tagged mang theo nhãn VLAN ID, gói untagged không có nhãn. Máy tính, camera gửi gói untagged; switch, bộ phát WiFi, gateway hiểu được gói tagged.
• Trunk port: cổng chở nhiều VLAN cùng lúc, dùng giữa gateway, switch và bộ phát WiFi. Trên một cổng trunk có một VLAN không gắn nhãn và các VLAN gắn nhãn.
• Native VLAN: VLAN không gắn nhãn (untagged) trên cổng trunk. Thiết bị mạng như bộ phát WiFi, switch nhận IP quản lý qua VLAN này.
• Access port: cổng chỉ thuộc một VLAN (untagged), dùng cho máy tính, camera, máy in.
• Inter-VLAN routing: việc cho các VLAN nói chuyện với nhau, do gateway hoặc switch Layer 3 làm, kèm firewall rule (luật tường lửa) quyết định ai được nói chuyện với ai.

VLAN hoạt động thế nào?

Mỗi VLAN là một mạng riêng, có dải IP riêng. Switch chỉ chuyển gói tin trong cùng VLAN, nên máy trong VLAN khách không thể truy cập máy tính trong VLAN nội bộ. Muốn đi sang VLAN khác hoặc ra Internet, gói tin phải qua gateway, nơi có firewall rule cho phép hoặc chặn.

Bộ phát WiFi không cần cấu hình trunk trên chính nó. Khi cắm vào, bộ phát nhận IP quản lý qua native VLAN (VLAN không gắn nhãn) của cổng switch, thường là VLAN quản lý thiết bị mạng. Sau đó, trong phần cài đặt từng SSID (tên WiFi) mới gắn VLAN ID: ví dụ "CongTy" gắn VLAN 10, "Khach" gắn VLAN 20. Dữ liệu của mỗi SSID được bộ phát gắn nhãn VLAN tương ứng trước khi gửi lên switch.

Vì vậy cổng switch nối với bộ phát cấu hình như sau: native VLAN là VLAN quản lý (không gắn nhãn) để bộ phát có IP, cộng thêm VLAN 10 và 20 dạng gắn nhãn (tagged) cho các SSID. Nói cách khác, bộ phát luôn cần một lớp mạng không gắn nhãn để nhận IP và kết nối về controller, các SSID chạy ở các VLAN gắn nhãn phía trên.

Cần thiết bị gì để chia VLAN?

Switch Ruijie dòng ES2xx quản lý cloud thường hỗ trợ tối đa 16 VLAN, đủ cho cửa hàng, văn phòng nhỏ. Dòng NBS hỗ trợ tới 4094 VLAN, switch UniFi 1.000 VLAN, phù hợp hệ thống lớn hơn.

Switch unmanaged (không quản lý) như dòng Ruijie ES1xx không cấu hình được VLAN. Chế độ Isolation trên các switch này chỉ cách ly các cổng thường với nhau, cổng uplink vẫn thông với tất cả, nên không thay được VLAN. Có thể dùng switch unmanaged cho một nhóm thiết bị cùng VLAN, ví dụ một nhóm camera, cắm vào access port của switch managed.

Mỗi SSID một VLAN, mỗi VLAN một chính sách

Bộ phát WiFi UniFi, Ruijie và Aruba Instant On đều cho phép phát nhiều SSID trên cùng một bộ phát, mỗi SSID gắn một VLAN riêng. Nhờ vậy mỗi nhóm người dùng có dải IP riêng và một bộ chính sách (policy) riêng: giới hạn băng thông, lịch phát, cách ly thiết bị trong cùng mạng, trang đăng nhập, quyền truy cập vào mạng nội bộ.

Không nên tạo quá nhiều SSID trên một bộ phát. Mỗi SSID phát thêm gói quảng bá riêng, chiếm thêm thời gian phát sóng. Thông thường 3–4 SSID mỗi băng tần là đủ; nhóm nào giống chính sách thì gộp chung một SSID.

Các mô hình chia VLAN hay dùng

Văn phòng

VLAN nội bộ cho máy tính và máy in, VLAN khách cho WiFi khách đến họp, VLAN camera cho camera và đầu ghi, có thể thêm SSID VIP riêng cho lãnh đạo. Khách chỉ ra được Internet. Camera không ra Internet trực tiếp, chỉ đầu ghi hoặc phần mềm xem từ xa được phép. Xem thêm nâng cấp WiFi văn phòng đang sử dụng.

Quán cafe, nhà hàng

WiFi khách tách khỏi máy tính tiền, máy in hóa đơn và camera. Khách không thể dò thấy máy thu ngân trong mạng. Xem chọn WiFi cho quán cafe đông khách.

Trường học

SSID giáo viên, học sinh và văn phòng tách ra ba VLAN. Học sinh chỉ ra Internet, có lọc nội dung và giới hạn băng thông; giáo viên vào được máy chiếu, hệ thống học tập; văn phòng vào được phần mềm kế toán. Thêm VLAN camera riêng cho hệ thống giám sát.

Khách sạn

VLAN khách cho phòng nghỉ, VLAN nhân viên cho lễ tân và văn phòng, VLAN camera. Có thể thêm VLAN riêng cho TV hoặc IPTV nếu dùng. Xem nâng cấp WiFi khách sạn đang hoạt động.

Các bước triển khai VLAN cơ bản

1. Lên kế hoạch: chọn VLAN quản lý cho thiết bị mạng (bộ phát, switch), rồi đặt VLAN ID và dải IP cho từng nhóm, ví dụ VLAN 10 – 192.168.10.0/24 nội bộ, VLAN 20 – 192.168.20.0/24 khách, VLAN 30 – 192.168.30.0/24 camera.
2. Tạo mạng trên gateway: mỗi VLAN một mạng, bật DHCP.
3. Cấu hình cổng switch: cổng lên gateway và cổng nối bộ phát WiFi để trunk, native VLAN là VLAN quản lý, cho phép thêm các VLAN gắn nhãn của SSID; cổng máy tính, camera để access đúng VLAN.
4. Gắn VLAN ID cho từng SSID trong cài đặt WiFi và đặt chính sách cho từng SSID: giới hạn băng thông, lịch phát, cách ly thiết bị.
5. Đặt firewall rule: chặn khách vào nội bộ và camera, chặn camera ra Internet, chỉ cho phép những hướng cần thiết.
6. Kiểm tra: kết nối thử từng SSID, từng cổng, xem nhận đúng dải IP và bị chặn đúng chỗ.

Router WiFi gia đình thường có sẵn tính năng WiFi khách, một dạng tách mạng đơn giản. Một số router như Ruijie RG-EW3000GX còn hỗ trợ gắn VLAN cho đường Internet hoặc IPTV. Với văn phòng, cửa hàng có camera và máy tính tiền, nên dùng gateway và switch có VLAN đầy đủ.

Sai lầm thường gặp

• Tạo VLAN nhưng không đặt firewall rule: nhiều gateway mặc định cho các mạng nội bộ đi qua lại với nhau, VLAN tách ra nhưng vẫn thông.
• Cổng nối bộ phát chỉ để access một VLAN: bộ phát vẫn nhận IP và lên sóng, nhưng SSID gắn VLAN khác (ví dụ Khách) không lấy được IP.
• Gắn nhãn cả VLAN quản lý, không để native VLAN: bộ phát không nhận được IP, mất kết nối với controller hoặc app quản lý.
• Dùng switch unmanaged ở giữa đường trunk: không kiểm soát được VLAN, dễ lẫn mạng.
• Tự khóa mình ra ngoài: đổi VLAN của cổng đang dùng để cấu hình, mất kết nối tới trang quản trị.
• Không ghi lại sơ đồ: người sau không biết cổng nào thuộc VLAN nào, cắm nhầm camera vào mạng khách.

Bài liên quan trong Từ Điển Kỹ Thuật:

• Cổng SFP, SFP+ và cổng combo là gì? Cách chọn module quang cho switch
• Shadow Mode UniFi là gì? Dự phòng gateway tự chuyển đổi trong vài giây
• Mesh và Roaming là gì? 2 khái niệm WiFi hay bị hiểu lầm
• Số người dùng khuyến nghị của bộ phát WiFi: cách tính theo băng tần, ứng dụng và tín hiệu

Câu hỏi thường gặp

1. VLAN là gì?
VLAN (mạng LAN ảo) chia một hệ thống mạng thành nhiều mạng riêng bằng cấu hình. Thiết bị ở các VLAN khác nhau dùng chung switch, chung dây nhưng không nhìn thấy nhau, trừ khi gateway cho phép.

2. Có cần VLAN cho WiFi khách không?
Nên có. VLAN khách giúp khách chỉ ra được Internet, không truy cập được máy tính, máy tính tiền hay camera trong mạng nội bộ.

3. Switch nào chia được VLAN?
Switch managed hoặc smart cloud managed, ví dụ các switch UniFi, Ruijie dòng NBS và ES2xx quản lý cloud. Switch unmanaged như Ruijie ES1xx không cấu hình được VLAN.

4. Một bộ phát WiFi có phát được nhiều SSID với VLAN khác nhau không?
Được. Bộ phát UniFi, Ruijie và Aruba Instant On đều cho mỗi SSID chạy một VLAN riêng, kèm chính sách riêng. Ví dụ công ty có SSID Khách, Nhân viên, VIP; trường học có SSID Giáo viên, Học sinh, Văn phòng.

5. Trunk port và access port khác nhau thế nào?
Trunk port chở nhiều VLAN cùng lúc: một native VLAN không gắn nhãn và các VLAN gắn nhãn, dùng giữa gateway, switch và bộ phát WiFi. Access port chỉ thuộc một VLAN, dùng cho máy tính, camera, máy in.

6. Bộ phát WiFi nhận IP ở VLAN nào khi chia VLAN cho SSID?
Bộ phát nhận IP quản lý qua native VLAN (VLAN không gắn nhãn) của cổng switch, thường là VLAN quản lý thiết bị mạng. Các SSID gắn VLAN ID riêng trong cài đặt WiFi và chạy ở các VLAN gắn nhãn trên cùng cổng đó.

7. Có nên tách camera ra VLAN riêng không?
Nên. Camera ở VLAN riêng không bị máy tính nhiễm mã độc dò tới, và có thể chặn camera ra Internet trực tiếp, chỉ cho đầu ghi hoặc phần mềm xem từ xa kết nối.

8. Chia VLAN có làm mạng chậm đi không?
Không đáng kể với gateway và switch đúng tầm. VLAN còn giảm lưu lượng broadcast lan khắp mạng. Cần chọn gateway đủ mạnh nếu nhiều dữ liệu phải đi qua lại giữa các VLAN.

Lời khuyên từ chuyên gia & Hỗ trợ dự án

Lên sơ đồ VLAN ngay từ lúc thiết kế, kể cả khi ban đầu chỉ dùng 2 mạng nội bộ và khách. Chọn switch managed cho tủ mạng chính, ghi rõ VLAN của từng cổng và nhãn trên patch panel. Xem các dòng gateway UniFi, gateway Ruijie, switch UniFi và bài Shadow Mode UniFi cho hệ thống cần dự phòng gateway.

Hòa Phát Telecom hỗ trợ dự án:

• Khảo sát hiện trạng miễn phí, kiểm tra switch và gateway đang dùng
• Thiết kế sơ đồ VLAN, dải IP và luật truy cập
• Thi công tận nơi tại TP. Hồ Chí Minh
• Cấu hình và hỗ trợ từ xa
• Lắp đặt trọn bộ: miễn phí bảo hành tận nơi 12 tháng

Liên hệ ngay 0977.588.820 (gọi hoặc Zalo) để được tư vấn giải pháp phù hợp.