De ce nu e suficient „toate în VLAN 1"
Pe o rețea simplă, fără segmentare, întreg traficul împarte aceeași infrastructură logică. Pentru companii mici (sub 10 oameni), e ok funcțional. La scară mai mare, problemele apar:
- Calitate audio — pachetele de voce concurează cu download-uri mari și backup-uri în aceeași coadă; QoS funcționează mai bine peste segmente separate
- Securitate — telefoanele IP au sistem de operare proprietar care primește patch-uri rar; expuse pe aceeași rețea cu PC-urile și serverele, devin vector de atac
- Management — într-un singur VLAN, troubleshooting-ul devine dificil — totul stă într-un singur domeniu de broadcast
- Multicast și broadcast — telefoanele IP folosesc protocoale ca CDP/LLDP, mDNS, dar și auto-discovery-ul lor poate fi zgomotos pentru rețeaua de date
Design tipic pentru o companie medie
Pentru o firmă cu 30–100 stații, recomandăm minimum 5 VLAN-uri:
- VLAN 10 — Management (switch-uri, AP-uri, controller-e). Acces strict, doar pentru IT.
- VLAN 20 — Voice (telefoane IP, gateway-uri, centrala Asterisk). Trafic prioritizat QoS, izolat de Internet (doar trunk SIP autorizat iese).
- VLAN 30 — Data (PC-uri, laptopuri, imprimante de birou). Acces normal Internet, partajări file servers interne.
- VLAN 40 — Servers (servere proprii: AD, file, baze de date). Acces controlat de la VLAN 30, niciodată direct expuse Internet.
- VLAN 50 — Guest WiFi (oaspeții cu WiFi gratuit). Internet only, niciun acces la VLAN-urile interne. Vezi soluția noastră de hotspot.
Pentru companii mai mari, se adaugă VLAN-uri pentru: IoT (camere, control acces, senzori), VoIP-DECT, dispozitive medicale, dispozitive ale subcontractorilor temporari, etc.
Cum se configurează în practică
1. Switch-uri manageable
Switch-urile unmanaged (cele cu 8 porturi de 50 EUR de pe Amazon) nu suportă VLAN. Ai nevoie de switch-uri manageable: Ubiquiti UniFi Switch (sweet spot calitate/preț), MikroTik (ieftin, foarte capabil pentru cei care înțeleg Linux), Cisco/Juniper (enterprise, scump dar fiabil).
2. Asignare porturi
Fiecare port se asignează la VLAN-ul potrivit. Telefonul IP în VLAN 20, PC-ul în VLAN 30. Pentru porturile mixte (un singur cablu spre un birou cu telefon IP + PC pe portul switch al telefonului), folosești voice VLAN tagging: portul switch trimite trafic VLAN 20 tagged și VLAN 30 native; telefonul recunoaște și se pune în 20, PC-ul rămâne în 30.
3. Router cu sub-interfețe
Router-ul tău trebuie să facă inter-VLAN routing: fiecare VLAN are un IP gateway separat (10.10.10.1 pentru voice, 10.10.20.1 pentru data, etc.). Reguli firewall între VLAN-uri: data poate accesa servers VLAN, dar voice nu poate accesa data, iar guest nu accesează nimic intern.
4. DHCP separate
Fiecare VLAN are pool-ul lui DHCP. Telefoanele primesc IP din 10.10.20.0/24, PC-urile din 10.10.30.0/24, etc. Asta simplifică debugging-ul: vezi un IP, știi imediat ce dispozitiv e.
5. QoS pe VLAN voice
Activezi voice prioritization pe VLAN 20 — orice trafic acolo are cea mai înaltă prioritate. Vezi articolul nostru despre QoS pentru VoIP.
Capcanele uzuale
Asignare manuală a fiecărui port — pe 100 de porturi, e o sursă inevitabilă de greșeli. Folosește profile (UniFi „Network Profiles”) sau scripturi automate.
Trunk-uri configurate greșit — link-urile între switch-uri trebuie să poarte toate VLAN-urile relevante (mode trunk pe Cisco, „all” pe MikroTik). Un trunk uitat ca „access port pentru VLAN 1” va izola jumătate din rețea.
DHCP relay nesetat — dacă serverul DHCP e în VLAN 40, dar telefoanele sunt în VLAN 20, ai nevoie de DHCP relay pe router. Altfel telefoanele pornesc fără IP.
Durata implementării
Pentru o rețea existentă, segmentarea în VLAN-uri durează tipic 1–2 zile lucrătoare pentru o firmă de 30–80 stații, cu fereastră de mentenanță de câteva ore (de obicei un weekend) pentru tranziție. Documentația, etichetarea și testarea durează aproximativ la fel cât munca de configurare.
Pentru o rețea nouă (sediu nou), e parte din proiectul integral — vezi /servicii/retele-si-wifi.