VLAN je technologie, která umožňuje logicky rozdělit jednu fyzickou síťovou infrastrukturu (přepínače a kabely) na několik nezávislých virtuálních sítí. Zařízení v různých VLAN spolu nemohou přímo komunikovat, i když jsou zapojena do stejného fyzického přepínače, což zvyšuje bezpečnost a snižuje nežádoucí síťový provoz.

V rámci naší digitální infrastruktury plní VLAN několik zásadních funkcí:

• Bezpečnost: Oddělení citlivých dat (např. účetnictví) od veřejně přístupných sítí (např. Wi-Fi pro hosty).
• Výkon: Omezení tzv. broadcastových bouří. Síťový provoz je držen pouze v rámci dané skupiny, což šetří kapacitu pro aplikace jako VTC (Video Teleconferencing).
• Organizace: Zaměstnanci mohou být v jedné síti na základě oddělení (Marketing, Vývoj), i když sedí v různých patrech budovy.

Pro přehlednost a snadnou správu ze strany IT oddělení používáme následující rozdělení:

Většina našich VLAN funguje na standardu IEEE 802.1Q, který využívá tzv. Tagging:

• Tagging: Do hlavičky každého ethernetového rámce je přidána značka (ID), která říká, do které VLAN rámec patří.
• Trunk Port: Speciální port na přepínači, který dokáže přenášet provoz více VLAN najednou (typicky propojení mezi přepínači nebo k routeru s VRRP (Virtual Router Redundancy Protocol)).
• Access Port: Port určený pro koncové zařízení (PC, tiskárna), které o existenci VLAN neví.

Protože jsou VLAN od sebe izolované, pro komunikaci mezi nimi (např. tisk z pracovní sítě do sítě tiskáren) je nutný směrovač (router) nebo Layer 3 přepínač.

• V našich pobočkách toto zajišťuje SD-WAN (Software-Defined Wide Area Network) brána, která aplikuje bezpečnostní pravidla mezi jednotlivými segmenty.
• Pro rozsáhlé sítě s mnoha VLAN používáme technologii VXLAN (Virtual Extensible LAN), která umožňuje přenášet VLAN tagy skrze celou naši WAN (Wide Area Network).

V rámci kybernetické bezpečnosti dodržujeme:

1. **VLAN 1:** Nikdy nepoužíváme výchozí VLAN 1 pro uživatelský provoz (riziko útoku VLAN Hopping).
2. **Nepoužité porty:** Všechny nepoužívané porty na switchích jsou standardně vypnuty a přiřazeny do "mrtvé" VLAN bez přístupu kamkoliv.
3. **Dynamické přiřazení:** Pomocí standardu 802.1X automaticky zařadíme uživatele do správné VLAN podle jeho přihlašovacích údajů.

Tip pro správce: Při potížích s konektivitou u IoT zařízení (Internet of Things) nejprve prověřte, zda je port na switchi správně nakonfigurován pro příslušné ID VLAN.

— Související stránky: ZIF (Základní informační faktory), VoIP (Voice over Internet Protocol), IoT zařízení (Internet of Things), WAN (Wide Area Network), SD-WAN (Software-Defined Wide Area Network), Kybernetická bezpečnost, VXLAN (Virtual Extensible LAN)