شبكات VLAN للمختبر المنزلي
قد تبدأ الشبكة المنزلية بمقطع واحد وبضعة أجهزة، ثم تنضم إليها أجهزة IoT، وآلات افتراضية للاختبار، وضيوف، وخدمات لا ينبغي أن تتواصل بلا قيود. تتيح VLAN فصل هذه الحركة دون تمديد كابل مستقل لكل مجموعة.
ما هي VLAN؟
VLAN تقسيم منطقي، لا فصل مادي للكابلات. يضيف معيار IEEE 802.1Q وسمًا إلى إطار Ethernet يحدد الشبكة الافتراضية التي ينتمي إليها، وتستخدمه المحولات لإبقاء الحركة ضمن المجموعة الصحيحة. لا يتبادل جهازان في VLAN مختلفتين الإطارات مباشرة عبر الطبقة الثانية، ولو اتصلا بالمحول نفسه؛ يحتاج الاتصال بينهما إلى توجيه في الطبقة الثالثة.
لكل VLAN نطاق بث مستقل، فلا ينتشر بث إحداها إلى الأخرى. هذا الفصل هو ما توفره VLAN بذاتها.
تتعامل الأجهزة الشبكية في المسار الموسوم مع وسم الإطار. أما جهاز طرفي متصل بمنفذ وصول عادي، مثل حاسوب محمول، فيرسل عادةً إطارات غير موسومة، ويُنسبها المحول إلى VLAN المضبوطة لذلك المنفذ.
منافذ الوصول والجذوع
ينتمي منفذ Access عادةً إلى VLAN واحدة. يستقبل إطارات غير موسومة ويربطها بها، وهو ما تحتاج إليه معظم الأجهزة الطرفية.
يحمل منفذ Trunk عدة شبكات VLAN، وتحدد الوسوم الشبكة المناسبة للإطارات الموسومة. تربط الجذوع المحولات ببعضها، أو بالموجّه وجدار الحماية اللذين يوجّهان بين الشبكات، أو بمضيف محاكاة افتراضية يشغّل آلات في شبكات متعددة. قد يصعب اكتشاف اختلاف إعداد الجذع لأن الرابط يعمل وبعض الحركة تمر رغم الخطأ.
تقسيم عملي للمختبر المنزلي
غالبًا تكفي مجموعات تعكس الحاجة الفعلية للفصل:
- الإدارة: لمعدات الشبكة وواجهات إدارتها.
- الخوادم: لأحمال العمل المهمة.
- المختبر: لآلات التجارب التي تختلف قيودها.
- IoT: للأجهزة التي لا تستطيع تدقيقها وتريد عزلها عن بقية البيئة.
- الضيوف: للزوار.
امنح كل مجموعة شبكة IP فرعية وسياسة مستقلة. الأسماء والأرقام أقل أهمية من نتيجة الفصل: ألا يصل جهاز IoT مخترق إلى إدارة المحول، وألا تعبث آلة اختبار بأحمال الإنتاج.
التوجيه بين VLAN
تفصل VLAN الحركة في الطبقة الثانية. أما تمريرها بين الشبكات فيحتاج إلى جهاز من الطبقة الثالثة: موجّه بواجهات فرعية، أو جدار حماية، أو محول من الطبقة الثالثة.
القرار الأهم هو السياسة بين الشبكات. فقاعدة سماح شاملة على الموجّه أو جدار الحماية تتيح المرور رغم الفصل. ابدأ بالمنع الافتراضي ثم اسمح بالمطلوب: قد تحتاج الخوادم إلى الإنترنت للتحديث، وقد يحتاج المختبر إلى تخزين مشترك، وغالبًا تحتاج IoT إلى الإنترنت وقليل من الموارد الداخلية. وثّق كل قاعدة وسببها واختبرها.
يقبل الجذع الحركة لشبكات VLAN المسموح بها عليه. وإذا اتصل به مضيف غير موثوق يستطيع ضبط وسومه، فقد يحاول الانضمام مباشرة إلى تلك الشبكات دون المرور بالمسار المقصود بين VLAN. قلّل قائمة الشبكات المسموحة، واستخدم منافذ Access للأجهزة غير الموثوقة، وطبّق التصفية بين المقاطع الموجّهة.
العتاد والمحاكاة الافتراضية
لا تدعم كل المحولات VLAN؛ تحتاج إلى محول مُدار يدعم 802.1Q. قد يكفي محول صغير واحد. وإذا استخدمت عدة محولات، فاضبط وصلات الربط بينها على حمل VLAN المطلوبة لكل مضيف.
في Hyper-V يمكن تعيين VLAN ID لمهايئ شبكة الآلة الافتراضية، ويتولى المحول الافتراضي التعامل مع الوسم عند مروره إلى الشبكة المادية. لذلك يجب أن يحمل المنفذ المادي الموصول بالمضيف تلك الشبكة على الجذع (Set-VMNetworkAdapterVlan). تُضبَط حركة المضيف نفسه بصورة مستقلة عبر -ManagementOS، ويدعم الأمر وضع Trunk مع قائمة VLAN مسموحة (إعداد محول Hyper-V افتراضي).
يضيف وسم 802.1Q أربعة بايتات إلى إطار Ethernet. افحص الحد الأقصى لحجم الإطار وتعريف MTU في كل جهاز، خصوصًا عند تفعيل Jumbo Frames. لا يفرض استخدام VLAN تقليص حمولة IP إذا كانت كل الأجهزة تدعم حجم الإطار الناتج (صيغة إطار 802.1Q لدى Cisco).
استكشاف الأخطاء الشائعة
ابدأ بما يسهل التحقق منه: VLAN مفقودة من قائمة الجذع، أو منفذ Access في شبكة خاطئة، أو واجهة فرعية تحمل رقمًا غير صحيح، أو محول افتراضي لا يمرّر الوسم المطلوب. افحصها بالترتيب بدل تغيير الإعدادات كلها معًا.
تُنسَب الإطارات غير الموسومة في كثير من الجذوع إلى Native VLAN. وقد تسمح المنصة بوسم هذه الشبكة أو رفض الإطارات غير الموسومة؛ فلا تفترض سلوكًا واحدًا في كل الأجهزة. تحقق من إعداد الطرفين. اختلافهما قد يجعل جهازًا يبدو كأنه على شبكة غير المقصودة.
قائمة تحقق
- حدّد مجموعات الأجهزة التي تحتاج إلى الفصل واربط كل مجموعة بـ VLAN.
- استخدم Access للأجهزة الطرفية وTrunk للوصلات التي تحمل عدة شبكات.
- أعطِ كل VLAN شبكة فرعية مستقلة بلا تداخل.
- ابدأ بالمنع بين الشبكات واسمح بالضروري مع توثيق السبب.
- تحقق من مرور كل VLAN المطلوبة عبر الجذوع.
- طابق إعداد المحول الافتراضي مع الجذع المادي.
- تأكد من أن سياسة الطبقة الثالثة تحقق الفصل المقصود.
- اختبر العزل وتحقق من عدم الوصول بين الشبكات دون قاعدة سماح واضحة.