VLAN: cosa sono e come funzionano
Le VLAN permettono di separare logicamente il traffico anche quando più dispositivi utilizzano la stessa infrastruttura fisica. Vediamo cosa significa VLAN ID, come funzionano i tag 802.1Q e perché le VLAN vengono utilizzate sia nelle reti locali sia nelle connessioni Internet degli operatori.
💡 In poche parole
Una VLAN permette di creare più reti locali logiche utilizzando la stessa infrastruttura Ethernet. I dispositivi appartenenti a VLAN differenti possono essere separati tra loro anche quando sono collegati allo stesso switch fisico.
🔌 Una rete fisica può contenere più reti logiche
Immagina di avere un unico switch con molti dispositivi collegati.
Senza VLAN, tutte le porte possono appartenere allo stesso dominio Ethernet.
Con le VLAN possiamo invece suddividere logicamente quello stesso switch in più reti separate.
🧠 Concetto chiave
Fisicamente possiamo avere un solo switch.
Logicamente possiamo avere più reti Ethernet separate.
🔢 Che cosa significa VLAN?
VLAN significa:
In italiano possiamo tradurlo come rete locale virtuale.
La parola “virtuale” non significa che la rete non esista realmente.
Significa che la separazione viene realizzata logicamente attraverso la configurazione degli apparati di rete.
💡 Perché usare una VLAN?
Le VLAN possono essere utilizzate per diversi motivi.
- separare gruppi di dispositivi;
- migliorare l’organizzazione della rete;
- separare rete principale e rete ospiti;
- isolare dispositivi IoT;
- dividere reparti aziendali;
- trasportare servizi differenti sulla stessa infrastruttura;
- realizzare configurazioni richieste dagli operatori Internet.
🏢 Esempio aziendale
Un’azienda potrebbe decidere di creare tre VLAN:
Tutti utilizzano la stessa infrastruttura fisica, ma appartengono a reti logiche differenti.
📌 Il VLAN ID
Ogni VLAN viene identificata attraverso un numero chiamato VLAN ID.
Possiamo incontrare, per esempio:
Il VLAN ID permette agli apparati compatibili di capire a quale VLAN appartiene un determinato traffico.
⚠️ Il numero non indica priorità o velocità
Una VLAN 100 non è “più veloce” di una VLAN 10.
Il numero serve principalmente a identificare la rete logica.
📦 Come viene identificata una VLAN nei frame Ethernet?
Per trasportare informazioni relative alla VLAN all’interno di una rete Ethernet viene comunemente utilizzato lo standard IEEE 802.1Q.
Il frame Ethernet può contenere un’apposita informazione che identifica la VLAN.
Questo tag permette agli switch di mantenere separato il traffico appartenente a VLAN differenti.
🏷️ Tagged e untagged
Quando parliamo di VLAN incontriamo molto spesso due termini:
Un frame tagged contiene l’informazione relativa alla VLAN.
Un frame untagged viene invece trasmesso senza quel tag 802.1Q.
🔌 Porta access
Una porta configurata come access viene normalmente associata a una singola VLAN.
Il dispositivo finale collegato alla porta può quindi inviare normali frame Ethernet senza conoscere necessariamente le VLAN.
🧠 Il PC può non sapere nulla della VLAN
Lo switch può associare automaticamente il traffico ricevuto su una porta access alla VLAN configurata.
🔗 Porta trunk
Una porta trunk viene invece utilizzata per trasportare più VLAN sullo stesso collegamento fisico.
È molto comune, per esempio, nei collegamenti tra due switch.
In questo modo non serve un cavo fisico separato per ogni VLAN.
💡 Senza trunk
Con trunk
📊 Access e trunk a confronto
| Caratteristica | Access | Trunk |
|---|---|---|
| VLAN trasportate | Normalmente una | Più VLAN |
| Uso tipico | Dispositivo finale | Collegamento tra apparati |
| Tag VLAN | Spesso nascosto al client | Normalmente utilizzato per distinguere le VLAN |
| Esempio | PC collegato allo switch | Switch collegato a switch |
🔄 Cosa succede quando un frame entra in una porta access?
Immaginiamo una porta configurata nella VLAN 10.
Il PC invia un normale frame Ethernet.
Lo switch sa che quella porta appartiene alla VLAN 10 e tratta quindi il frame come traffico di quella VLAN.
🔗 E se il frame deve attraversare un trunk?
Se deve essere trasportato verso un altro switch attraverso un trunk, lo switch può aggiungere il tag 802.1Q.
Lo switch B legge il tag e sa che quel traffico appartiene alla VLAN 10.
💡 VLAN diverse possono comunicare tra loro?
Non direttamente come se appartenessero alla stessa rete Ethernet.
Le VLAN vengono utilizzate proprio per creare domini logici separati.
Per permettere la comunicazione tra VLAN differenti serve un dispositivo in grado di effettuare routing.
🧠 VLAN e subnet sono concetti diversi
Una VLAN appartiene principalmente al livello Ethernet.
Una subnet riguarda invece l’organizzazione degli indirizzi IP.
Nella pratica, però, è molto comune associare una subnet IP diversa a ogni VLAN.
🏢 Esempio: tre VLAN e tre subnet
| VLAN | Uso | Subnet |
|---|---|---|
| 10 | Rete principale | 192.168.10.0/24 |
| 20 | Ospiti | 192.168.20.0/24 |
| 30 | IoT | 192.168.30.0/24 |
Il router può poi decidere attraverso firewall e regole di routing quali VLAN possono comunicare tra loro.
🛡️ VLAN e sicurezza
Le VLAN sono molto utili per la segmentazione, ma non bisogna pensare che basti creare una VLAN per avere automaticamente una rete sicura.
Se esiste routing tra due VLAN, dobbiamo configurare opportunamente anche il firewall.
⚠️ VLAN non significa firewall
La VLAN separa il traffico a livello Ethernet.
Il controllo delle comunicazioni tra reti differenti richiede anche regole di routing e sicurezza appropriate.
📡 VLAN sul Wi-Fi
Anche gli access point professionali possono utilizzare VLAN.
Possiamo associare, per esempio, SSID differenti a VLAN differenti.
Un solo cavo Ethernet tra access point e switch può quindi trasportare il traffico di più reti Wi-Fi.
🌐 Perché gli operatori Internet usano le VLAN?
Le VLAN non vengono utilizzate soltanto nelle LAN aziendali.
Molti operatori le utilizzano anche nella rete di accesso per separare logicamente differenti servizi o circuiti.
Per questo, quando configuriamo un router personale, possiamo trovare parametri come:
oppure:
Il numero effettivo dipende dall’operatore e dalla rete utilizzata.
🔑 Ecco il collegamento con PPPoE e IPoE
La VLAN può essere il “contenitore Ethernet” attraverso cui viene trasportata la connessione WAN.
Al suo interno possiamo poi trovare PPPoE oppure traffico IPoE, in base alla configurazione dell’operatore.
🔄 Esempio: PPPoE dentro una VLAN
Il router deve quindi configurare correttamente sia la VLAN sia PPPoE.
🔄 Esempio: IPoE dentro una VLAN
🔧 Cosa succede se imposto la VLAN sbagliata?
Il collegamento fisico può risultare perfettamente attivo, ma il router potrebbe non raggiungere il servizio corretto dell’operatore.
🔍 Esempio
⚠️ “Cavo collegato” non significa Internet configurato
La porta WAN può mostrare link Ethernet attivo anche se VLAN, PPPoE o DHCP WAN sono configurati in modo errato.
📌 VLAN ID e intervallo dei valori
Il campo VLAN ID nello standard 802.1Q utilizza 12 bit.
Questo permette di rappresentare 4096 valori numerici.
Non tutti vengono però utilizzati come normali VLAN ID.
Nella pratica le VLAN utilizzabili sono normalmente identificate dai valori:
🧠 Perché 4096 possibilità ma non 4096 VLAN normali?
Alcuni valori hanno significati riservati nello standard.
🔍 Che cos’è la native VLAN?
In alcune configurazioni di trunk possiamo incontrare il concetto di native VLAN.
In modo semplificato, è una VLAN associata al traffico che viene trasportato senza tag su un determinato trunk.
Il comportamento effettivo dipende dalla configurazione degli apparati.
⚠️ Le due estremità devono essere coerenti
Se due apparati collegati tramite trunk utilizzano configurazioni VLAN incompatibili, possiamo ottenere traffico sulla rete sbagliata oppure perdita di connettività.
🛠️ Switch gestito e switch non gestito
Per configurare VLAN in modo esplicito serve normalmente uno switch gestito o comunque un dispositivo che supporti tali funzioni.
Uno switch non gestito tradizionale non offre un pannello con cui definire porte access, trunk e VLAN ID.
| Switch non gestito | Switch gestito |
|---|---|
| Configurazione minima o assente | Configurazione tramite interfaccia o CLI |
| Tipicamente nessuna gestione VLAN avanzata | Può configurare VLAN |
| Adatto a reti semplici | Adatto a reti segmentate |
🏠 Esempio domestico avanzato
Immaginiamo una rete domestica con dispositivi IoT che vogliamo tenere separati dai computer principali.
Potremmo poi creare regole come:
In questo caso la VLAN realizza la segmentazione, mentre il firewall decide cosa può comunicare.
🚀 VLAN e reti più grandi
Nelle reti professionali le VLAN sono uno strumento fondamentale.
Permettono di progettare infrastrutture molto più ordinate senza dover creare una rete fisica completamente separata per ogni gruppo di dispositivi.
Sono utilizzate in aziende, scuole, hotel, data center, reti Wi-Fi professionali e infrastrutture degli operatori.
🎯 Cosa devi ricordare
- VLAN significa Virtual Local Area Network.
- Una VLAN crea una separazione logica all’interno di una rete Ethernet.
- Più VLAN possono utilizzare lo stesso switch fisico.
- Ogni VLAN viene identificata tramite un VLAN ID.
- IEEE 802.1Q permette di inserire informazioni VLAN nei frame Ethernet.
- Un frame può essere tagged oppure untagged.
- Una porta access appartiene normalmente a una singola VLAN.
- Una porta trunk può trasportare più VLAN.
- VLAN differenti richiedono routing per comunicare tra loro.
- VLAN e subnet sono concetti differenti, anche se spesso vengono associate.
- Gli operatori Internet possono utilizzare VLAN sulla connessione WAN.
- VLAN, PPPoE e IPoE possono essere utilizzati insieme nella stessa connessione.
🎓 Quiz finale
Controlla se hai assimilato i concetti principali della lezione.
Mostra la risposta
Virtual Local Area Network, cioè rete locale virtuale.
Mostra la risposta
A creare reti Ethernet logicamente separate anche utilizzando la stessa infrastruttura fisica.
Mostra la risposta
Identifica la VLAN a cui appartiene il traffico.
Mostra la risposta
Un frame tagged contiene informazioni VLAN 802.1Q; un frame untagged non contiene quel tag.
Mostra la risposta
Serve a trasportare più VLAN sullo stesso collegamento fisico.
Mostra la risposta
No. Per comunicare tra reti VLAN differenti serve normalmente un dispositivo che effettui routing.
Mostra la risposta
No. Una VLAN riguarda la segmentazione Ethernet, mentre una subnet riguarda gli indirizzi IP. Nella pratica vengono però spesso associate.
Mostra la risposta
Sì. Il traffico PPPoE può essere trasportato all’interno di una specifica VLAN sulla connessione WAN.