Le VLAN (Virtual Local Area Networks) sono reti virtuali attraverso le quali una rete fisica esistente può essere suddivisa in più reti logiche. Le VLAN sono isolate l'una dall'altra e lavorano sul livello 2 del modello OSI. Il principio delle VLAN è specificato nello standard IEEE 802.1Q.

Ogni VLAN forma il proprio dominio di trasmissione. Se un computer o un server invia una trasmissione all'interno della VLAN a cui è stato assegnato, tutti gli altri partecipanti della stessa VLAN ricevono la trasmissione. I partecipanti di altre VLAN invece non ricevono le trasmissioni.

Vantaggi

Le VLAN offrono, tra le altre cose, i seguenti vantaggi:

  • Possono migliorare notevolmente la sicurezza all'interno di una rete fisica. Se un aggressore sfrutta una vulnerabilità, questo non può accedere all'intera rete se la rete è suddivisa in VLAN.

  • Diverse divisioni di un'azienda possono avere ciascuna la propria rete. Ciò consente, ad es., uno scambio di dati più rapido. Inoltre, diversi software possono essere distribuiti su computer o su server.

  • I computer o server su cui sono memorizzati dati riservati possono essere isolati da una VLAN.

  • Le modifiche possono essere facilmente mappate con le VLAN.

Tipi di VLAN

In linea di massima si possono distinguere i seguenti tipi di VLAN:

VLAN basate su porte

Le VLAN basate su porte dividono gli switch fisici in più switch logici. Le singole porte sono assegnate ad uno switch logico o ad una VLAN. Affinché questo sia possibile è necessario che gli interruttori possano essere configurati. Di regola, l'indirizzo IP dello switch può essere raggiunto solo attraverso porte assegnate permanentemente alla VLAN. I pacchetti di dati non sono contrassegnati separatamente per le VLAN basate sulle porte. In base al numero della porta su cui riceve un pacchetto di dati, lo switch sa a quale VLAN deve assegnare il pacchetto di dati.

Gli switch sono elementi di accoppiamento che collegano più host in una rete ed assicurano che i pacchetti di dati siano inoltrati alla porta specificata per un indirizzo di destinazione.

Se un apparecchio (ad es. un computer o un server) è collegato ad una porta di uno switch logico, questo può comunicare solo con apparecchi all'interno dello switch logico o della VLAN. Per inviare pacchetti di dati ad un'altra VLAN, è necessario un router.

VLAN "tagged"

Le VLAN "tagged" non hanno un'assegnazione fissa tra la rete virtuale e una porta. L'assegnazione avviene contrassegnando i pacchetti di dati. I pacchetti di dati sono dotati di tag in cui è memorizzato l'ID della VLAN. Questo processo si chiama trunking VLAN. Secondo lo IEEE 802.1Q, questo processo viene eseguito dal rispettivo dispositivo finale (ad es. un server abilitato al tagging) o da uno switch. Con l'ID della VLAN, uno switch può riconoscere a quale VLAN appartiene il pacchetto di dati. In questo modo, il trunking VLAN consente di utilizzare più VLAN attraverso un'unica porta switch. È possibile utilizzare una linea o più linee a pacchetto.

Le VLAN "tagged" possono essere configurate anche direttamente tramite schede di rete. Linux supporta lo standard 802.1Q e ha tutti i componenti necessari. Su Microsoft Windows, la funzionalità per le VLAN "tagged" deve essere supportata dal driver della scheda di rete.