Tweet
THÊM MỘT VLAN MỚI VÀO MẠNG DOANH NGHIỆP: KỸ SƯ NETWORK PHẢI LÀM GÌ?
Nhiều người mới học Network thường nghĩ:
Trong mạng doanh nghiệp, thực tế không đơn giản như vậy.
Một VLAN mới có thể liên quan đến hạ tầng vật lý, Switching, Routing, DHCP, Firewall, QoS và Monitoring.
Vì vậy, thay vì chỉ nhìn vào một thiết bị, hãy nhìn toàn bộ quá trình từ Layer 1 đến dịch vụ Layer 7.
1. PLANNING – XÁC ĐỊNH VLAN SẼ PHỤC VỤ AI?
Trước khi cấu hình, cần xác định rõ: VLAN dùng cho mục đích gì?
Ví dụ:
VLAN 100 → Finance
VLAN 200 → CCTV
VLAN 300 → Guest
VLAN 400 → Server
Sau đó quy hoạch:
Ví dụ:
VLAN 100
Network : 10.10.100.0/24
Gateway : 10.10.100.1
DHCP : 10.10.100.21 – 10.10.100.254
2. LAYER 1 – HẠ TẦNG VẬT LÝ
VLAN nằm ở Layer 2, nhưng muốn thiết bị sử dụng được VLAN thì trước hết đường truyền vật lý phải hoạt động.
Kiểm tra:
PC / Camera / AP
↓ Ethernet Cable
Patch Panel
↓
Access Switch
Đối với hệ thống mới:
Ví dụ trên Cisco:
Switch# show power inline
Nếu switch không còn đủ PoE budget, việc tạo VLAN đúng cũng không giúp Camera hay AP hoạt động.
3. LAYER 2 – VLAN, ACCESS PORT VÀ TRUNK
Đây là bước biến VLAN từ thiết kế trên giấy thành một Broadcast Domain thực tế. Tạo VLAN
Switch(config)# vlan 100
Switch(config-vlan)# name VLAN_FINANCE Gán Access Port
Switch(config)# interface GigabitEthernet1/0/5
Switch(config-if)# description USER_PORT_VLAN100
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 100
Nếu đây là cổng dành cho thiết bị đầu cuối, có thể sử dụng:
Switch(config-if)# spanning-tree portfast
Switch(config-if)# spanning-tree bpduguard enable
PortFast giúp thiết bị đầu cuối chuyển sang trạng thái Forwarding nhanh hơn.
BPDU Guard giúp bảo vệ cổng Edge: nếu nhận BPDU ngoài dự kiến, switch có thể đưa cổng vào trạng thái err-disabled.
VLAN phải đi được qua các Uplink
Nếu VLAN 100 nằm ở Access Switch nhưng Gateway nằm trên Core Switch, VLAN 100 phải được truyền qua đường Trunk.
Access Switch
│
│ 802.1Q Trunk
│ VLAN 100
▼
Distribution / Core
Ví dụ:
Switch(config-if)# switchport trunk allowed vlan add 100
Từ khóa add rất quan trọng khi bổ sung VLAN vào một trunk đang hoạt động, vì tránh vô tình thay thế toàn bộ danh sách VLAN hiện có.
4. LAYER 3 – DEFAULT GATEWAY VÀ DHCP
Đến đây thiết bị đã có thể thuộc VLAN 100.
Nhưng nếu muốn giao tiếp với VLAN khác hoặc Internet, cần có Layer 3 Gateway. SVI – Default Gateway
Ví dụ Gateway nằm trên Core Layer 3 Switch:
CORE(config)# interface Vlan100
CORE(config-if)# description GATEWAY_VLAN100
CORE(config-if)# ip address 10.10.100.1 255.255.255.0
CORE(config-if)# no shutdown
Khi đó:
PC
│
│ VLAN 100
▼
Access Switch
│
│ Trunk
▼
Core Switch
│
└── SVI VLAN100
10.10.100.1
10.10.100.1 chính là Default Gateway của VLAN 100.
DHCP
Nếu DHCP được cấp trực tiếp trên Layer 3 Switch:
ip dhcp excluded-address 10.10.100.1 10.10.100.20
ip dhcp pool VLAN100
network 10.10.100.0 255.255.255.0
default-router 10.10.100.1
dns-server 1.1.1.1 8.8.8.8
Nếu doanh nghiệp sử dụng DHCP Server tập trung, SVI sẽ chuyển tiếp DHCP request:
interface Vlan100
ip helper-address 10.10.10.50
ip helper-address giúp DHCP Broadcast từ VLAN 100 được chuyển tiếp đến DHCP Server ở một mạng khác.
5. ROUTING & SECURITY – VLAN ĐƯỢC PHÉP ĐI ĐÂU?
Có Gateway không có nghĩa là VLAN mới được phép truy cập mọi nơi.
Đây là lúc cần xác định traffic policy.
Ví dụ:
VLAN 100 – Finance
│
├── Server → ALLOW
├── Internet → ALLOW
└── Guest VLAN → DENY
Có thể sử dụng: ACL
Kiểm soát lưu lượng giữa các subnet:
VLAN 100
│
├── Server VLAN ✓
├── Internet ✓
└── Guest VLAN ✕ PBR
Nếu doanh nghiệp có nhiều đường truyền, PBR có thể được sử dụng để lựa chọn đường đi dựa trên chính sách.
Ví dụ:
VLAN Guest
│
└──→ ISP 2
VLAN Production
│
└──→ ISP 1 Firewall & NAT
Nếu VLAN mới cần đi Internet thông qua Firewall:
VLAN 100
↓
Core
↓
Firewall
↓
NAT
↓
Internet
Firewall cần có:
6. QoS – KHI VLAN CÓ YÊU CẦU ĐẶC BIỆT VỀ BĂNG THÔNG
Không phải VLAN nào cũng cần QoS.
Nhưng với những dịch vụ như:
cần quan tâm đến:
Latency – Jitter – Packet Loss
QoS có thể sử dụng:
Ví dụ, thay vì để mọi traffic cạnh tranh như nhau:
Voice → ưu tiên cao
Business → bình thường
Guest Wi-Fi → giới hạn
7. TEST – VLAN ĐÃ "CHẠY" CHƯA?
Đây là bước rất quan trọng nhưng thường bị bỏ qua.
Không nên chỉ kiểm tra:
Hãy kiểm tra theo từng lớp. Bước 1 – Kiểm tra IP
PC phải nhận đúng:
IP Address
Subnet Mask
Default Gateway
DNS Bước 2 – Kiểm tra Gateway
PC → 10.10.100.1
Nếu fail → kiểm tra L1 / L2 / SVI. Bước 3 – Kiểm tra mạng khác
PC → Server VLAN
Nếu fail → kiểm tra Routing / ACL / Firewall. Bước 4 – Kiểm tra Internet
PC → Firewall → Internet
Nếu Gateway hoạt động nhưng Internet fail → kiểm tra:
Default Route → Firewall Policy → NAT → ISP
8. MONITORING & DOCUMENTATION
Một thay đổi được xem là hoàn chỉnh không chỉ khi thiết bị "ping được".
Cần cập nhật:
Ví dụ sau khi triển khai:
VLAN 100
10.10.100.0/24
Gateway: 10.10.100.1
Purpose: Finance
DHCP: 10.10.10.50
Gateway: Core-SW01
Firewall Zone: Internal
Những thông tin này giúp kỹ sư khác có thể hiểu và vận hành hệ thống mà không cần hỏi lại người triển khai.
TÓM TẮT: MỘT VLAN MỚI ĐI QUA NHỮNG GÌ?
PLANNING
↓
┌─────────────────┐
│ LAYER 1 │
│ Cable / PoE │
└────────┬────────┘
↓
┌─────────────────┐
│ LAYER 2 │
│ VLAN / Trunk │
│ Access Port │
└────────┬────────┘
↓
┌─────────────────┐
│ LAYER 3 │
│ SVI / Routing │
│ DHCP Relay │
└────────┬────────┘
↓
┌─────────────────┐
│ SECURITY │
│ ACL / Firewall │
│ NAT / PBR │
└────────┬────────┘
↓
┌─────────────────┐
│ QoS │
└────────┬────────┘
↓
┌─────────────────┐
│ TEST / MONITOR │
│ DOCUMENTATION │
└─────────────────┘ Tư duy quan trọng nhất
Một VLAN mới không chỉ là một dòng lệnh vlan 100.
Nó là một chuỗi từ:
Physical → Switching → Routing → Services → Security → QoS → Monitoring
Và khi troubleshooting, cũng nên kiểm tra theo từng nấc thay vì "ping thử rồi đoán".
Nhiều người mới học Network thường nghĩ:
Thêm VLAN = tạo VLAN trên Switch + tạo Gateway là xong.
Trong mạng doanh nghiệp, thực tế không đơn giản như vậy.
Một VLAN mới có thể liên quan đến hạ tầng vật lý, Switching, Routing, DHCP, Firewall, QoS và Monitoring.
Vì vậy, thay vì chỉ nhìn vào một thiết bị, hãy nhìn toàn bộ quá trình từ Layer 1 đến dịch vụ Layer 7.
1. PLANNING – XÁC ĐỊNH VLAN SẼ PHỤC VỤ AI?
Trước khi cấu hình, cần xác định rõ: VLAN dùng cho mục đích gì?
Ví dụ:
VLAN 100 → Finance
VLAN 200 → CCTV
VLAN 300 → Guest
VLAN 400 → Server
Sau đó quy hoạch:
- VLAN ID / VLAN Name
- IP Subnet
- Default Gateway
- Số lượng thiết bị dự kiến
- Thiết bị nào được phép truy cập VLAN này
- VLAN được phép đi đâu: Internal / Server / Internet?
Ví dụ:
VLAN 100
Network : 10.10.100.0/24
Gateway : 10.10.100.1
DHCP : 10.10.100.21 – 10.10.100.254
Tư duy quan trọng: Đừng bắt đầu bằng câu hỏi "cấu hình lệnh nào?".
Hãy bắt đầu bằng "VLAN này cần làm gì và giao tiếp với những đâu?"
Hãy bắt đầu bằng "VLAN này cần làm gì và giao tiếp với những đâu?"
2. LAYER 1 – HẠ TẦNG VẬT LÝ
VLAN nằm ở Layer 2, nhưng muốn thiết bị sử dụng được VLAN thì trước hết đường truyền vật lý phải hoạt động.
Kiểm tra:
PC / Camera / AP
↓ Ethernet Cable
Patch Panel
↓
Access Switch
Đối với hệ thống mới:
- Kiểm tra cable và wiremap
- Kiểm tra tốc độ/duplex
- Kiểm tra patch panel và patch cord
- Đánh nhãn hai đầu cáp
- Với Camera/AP: kiểm tra PoE Budget
Ví dụ trên Cisco:
Switch# show power inline
Nếu switch không còn đủ PoE budget, việc tạo VLAN đúng cũng không giúp Camera hay AP hoạt động.
3. LAYER 2 – VLAN, ACCESS PORT VÀ TRUNK
Đây là bước biến VLAN từ thiết kế trên giấy thành một Broadcast Domain thực tế. Tạo VLAN
Switch(config)# vlan 100
Switch(config-vlan)# name VLAN_FINANCE Gán Access Port
Switch(config)# interface GigabitEthernet1/0/5
Switch(config-if)# description USER_PORT_VLAN100
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 100
Nếu đây là cổng dành cho thiết bị đầu cuối, có thể sử dụng:
Switch(config-if)# spanning-tree portfast
Switch(config-if)# spanning-tree bpduguard enable
PortFast giúp thiết bị đầu cuối chuyển sang trạng thái Forwarding nhanh hơn.
BPDU Guard giúp bảo vệ cổng Edge: nếu nhận BPDU ngoài dự kiến, switch có thể đưa cổng vào trạng thái err-disabled.
VLAN phải đi được qua các Uplink
Nếu VLAN 100 nằm ở Access Switch nhưng Gateway nằm trên Core Switch, VLAN 100 phải được truyền qua đường Trunk.
Access Switch
│
│ 802.1Q Trunk
│ VLAN 100
▼
Distribution / Core
Ví dụ:
Switch(config-if)# switchport trunk allowed vlan add 100
Từ khóa add rất quan trọng khi bổ sung VLAN vào một trunk đang hoạt động, vì tránh vô tình thay thế toàn bộ danh sách VLAN hiện có.
4. LAYER 3 – DEFAULT GATEWAY VÀ DHCP
Đến đây thiết bị đã có thể thuộc VLAN 100.
Nhưng nếu muốn giao tiếp với VLAN khác hoặc Internet, cần có Layer 3 Gateway. SVI – Default Gateway
Ví dụ Gateway nằm trên Core Layer 3 Switch:
CORE(config)# interface Vlan100
CORE(config-if)# description GATEWAY_VLAN100
CORE(config-if)# ip address 10.10.100.1 255.255.255.0
CORE(config-if)# no shutdown
Khi đó:
PC
│
│ VLAN 100
▼
Access Switch
│
│ Trunk
▼
Core Switch
│
└── SVI VLAN100
10.10.100.1
10.10.100.1 chính là Default Gateway của VLAN 100.
DHCP
Nếu DHCP được cấp trực tiếp trên Layer 3 Switch:
ip dhcp excluded-address 10.10.100.1 10.10.100.20
ip dhcp pool VLAN100
network 10.10.100.0 255.255.255.0
default-router 10.10.100.1
dns-server 1.1.1.1 8.8.8.8
Nếu doanh nghiệp sử dụng DHCP Server tập trung, SVI sẽ chuyển tiếp DHCP request:
interface Vlan100
ip helper-address 10.10.10.50
ip helper-address giúp DHCP Broadcast từ VLAN 100 được chuyển tiếp đến DHCP Server ở một mạng khác.
5. ROUTING & SECURITY – VLAN ĐƯỢC PHÉP ĐI ĐÂU?
Có Gateway không có nghĩa là VLAN mới được phép truy cập mọi nơi.
Đây là lúc cần xác định traffic policy.
Ví dụ:
VLAN 100 – Finance
│
├── Server → ALLOW
├── Internet → ALLOW
└── Guest VLAN → DENY
Có thể sử dụng: ACL
Kiểm soát lưu lượng giữa các subnet:
VLAN 100
│
├── Server VLAN ✓
├── Internet ✓
└── Guest VLAN ✕ PBR
Nếu doanh nghiệp có nhiều đường truyền, PBR có thể được sử dụng để lựa chọn đường đi dựa trên chính sách.
Ví dụ:
VLAN Guest
│
└──→ ISP 2
VLAN Production
│
└──→ ISP 1 Firewall & NAT
Nếu VLAN mới cần đi Internet thông qua Firewall:
VLAN 100
↓
Core
↓
Firewall
↓
NAT
↓
Internet
Firewall cần có:
- Route đến VLAN mới
- Security Policy phù hợp
- NAT/PAT nếu VLAN sử dụng Private IP ra Internet
6. QoS – KHI VLAN CÓ YÊU CẦU ĐẶC BIỆT VỀ BĂNG THÔNG
Không phải VLAN nào cũng cần QoS.
Nhưng với những dịch vụ như:
- Voice
- Video Conference
- Camera
- Ứng dụng thời gian thực
cần quan tâm đến:
Latency – Jitter – Packet Loss
QoS có thể sử dụng:
- DSCP
- CoS
- Queuing
- Policing
- Shaping
Ví dụ, thay vì để mọi traffic cạnh tranh như nhau:
Voice → ưu tiên cao
Business → bình thường
Guest Wi-Fi → giới hạn
7. TEST – VLAN ĐÃ "CHẠY" CHƯA?
Đây là bước rất quan trọng nhưng thường bị bỏ qua.
Không nên chỉ kiểm tra:
"PC nhận được IP là xong."
Hãy kiểm tra theo từng lớp. Bước 1 – Kiểm tra IP
PC phải nhận đúng:
IP Address
Subnet Mask
Default Gateway
DNS Bước 2 – Kiểm tra Gateway
PC → 10.10.100.1
Nếu fail → kiểm tra L1 / L2 / SVI. Bước 3 – Kiểm tra mạng khác
PC → Server VLAN
Nếu fail → kiểm tra Routing / ACL / Firewall. Bước 4 – Kiểm tra Internet
PC → Firewall → Internet
Nếu Gateway hoạt động nhưng Internet fail → kiểm tra:
Default Route → Firewall Policy → NAT → ISP
8. MONITORING & DOCUMENTATION
Một thay đổi được xem là hoàn chỉnh không chỉ khi thiết bị "ping được".
Cần cập nhật:
- IPAM
- Network Diagram
- VLAN Database
- Monitoring
- Syslog
- Configuration Backup
Ví dụ sau khi triển khai:
VLAN 100
10.10.100.0/24
Gateway: 10.10.100.1
Purpose: Finance
DHCP: 10.10.10.50
Gateway: Core-SW01
Firewall Zone: Internal
Những thông tin này giúp kỹ sư khác có thể hiểu và vận hành hệ thống mà không cần hỏi lại người triển khai.
TÓM TẮT: MỘT VLAN MỚI ĐI QUA NHỮNG GÌ?
PLANNING
↓
┌─────────────────┐
│ LAYER 1 │
│ Cable / PoE │
└────────┬────────┘
↓
┌─────────────────┐
│ LAYER 2 │
│ VLAN / Trunk │
│ Access Port │
└────────┬────────┘
↓
┌─────────────────┐
│ LAYER 3 │
│ SVI / Routing │
│ DHCP Relay │
└────────┬────────┘
↓
┌─────────────────┐
│ SECURITY │
│ ACL / Firewall │
│ NAT / PBR │
└────────┬────────┘
↓
┌─────────────────┐
│ QoS │
└────────┬────────┘
↓
┌─────────────────┐
│ TEST / MONITOR │
│ DOCUMENTATION │
└─────────────────┘ Tư duy quan trọng nhất
Một VLAN mới không chỉ là một dòng lệnh vlan 100.
Nó là một chuỗi từ:
Physical → Switching → Routing → Services → Security → QoS → Monitoring
Và khi troubleshooting, cũng nên kiểm tra theo từng nấc thay vì "ping thử rồi đoán".