Разделение интернет-трафика и корпоративной сети на физическом уровне одного коммутатора решает задачу изоляции критически важных ресурсов компании от гостевых устройств и внешних угроз. Основными причинами реализации данной схемы являются необходимость минимизации широковещательного шторма (broadcast storm), предотвращение несанкционированного доступа к серверам баз данных и выполнение требований информационной безопасности. Ниже представлено исчерпывающее руководство по настройке виртуальных локальных сетей (VLAN) стандарта IEEE 802.1Q на управляемом оборудовании.
Первичная экспресс-проверка сетевой инфраструктуры
- Проверка светодиодной индикации портов коммутатора: индикаторы Link/Act для целевых портов должны непрерывно гореть или мигать зеленым/янтарным цветом, подтверждая наличие физического соединения на скорости 1000 Мбит/с или 100 Мбит/с.
- Тестирование целостности кабельных линий категории не ниже Cat5e с помощью LAN-тестера для исключения перекрестных помех и затухания сигнала.
- Проверка доступности веб-интерфейса или консоли управления коммутатора путем отправки ICMP-пакетов через командную строку:
ping 192.168.1.254 -t. - Очистка локального ARP-кэша на административной рабочей станции перед началом конфигурирования с помощью команды
arp -d *в консоли с повышенными привилегиями.
Пошаговые методы настройки разделения сетей
Метод 1: Настройка 802.1Q VLAN на коммутаторах TP-Link серии JetStream
- Откройте веб-браузер, введите IP-адрес коммутатора (по умолчанию
192.168.0.1) и авторизуйтесь в панели управления. - Перейдите по пути: L2 FEATURES → VLAN → 802.1Q VLAN.
- Включите режим работы, установив чекбокс в положение «Enable» (Включить) в строке «802.1Q VLAN State» и нажмите кнопку «Apply».
- Создайте VLAN для корпоративной сети: нажмите «Add», в поле «VLAN ID» введите
10, в поле «VLAN Name» укажитеCorporate. - Определите роли портов для VLAN 10:
- Порт №1 (аплинк к роутеру): установите флаг в колонку «Tagged» (Тегированный).
- Порты с №2 по №12 (рабочие станции): установите флаг в колонку «Untagged» (Нетегированный).
- Остальные порты оставьте в положении «Not Member». Нажмите «Apply».
- Создайте VLAN для интернета и гостевых устройств: нажмите «Add», в поле «VLAN ID» укажите
20, в поле «VLAN Name» введитеInternet_Only. - Определите роли портов для VLAN 20:
- Порт №1 (аплинк к роутеру): установите флаг в колонку «Tagged» (Тегированный).
- Порты с №13 по №24 (гостевые устройства и интернет-терминалы): установите флаг в колонку «Untagged» (Нетегированный). Нажмите «Apply».
- Настройте идентификаторы портов по умолчанию (PVID): перейдите во вкладку «Port Config».
- Для портов со 2 по 12 в поле «PVID» введите
10и нажмите «Apply». - Для портов с 13 по 24 в поле «PVID» введите
20и нажмите «Apply».
- Для портов со 2 по 12 в поле «PVID» введите
Метод 2: Конфигурирование коммутатора Cisco Catalyst через интерфейс командной строки (CLI)
- Подключитесь к коммутатору по консольному кабелю или протоколу SSH через утилиту PuTTY (порт TCP 22).
- Перейдите в привилегированный режим и режим глобального конфигурирования, выполнив последовательно:
enable configure terminal - Создайте базу данных VLAN и присвойте им имена:
vlan 10 name Corporate exit vlan 20 name Internet exit - Настройте магистральный порт (Trunk) для передачи тегированного трафика к маршрутизатору (интерфейс GigabitEthernet 0/1):
interface gigabitethernet 0/1 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 10,20 exit - Настройте порты доступа (Access) для корпоративного сегмента (интерфейсы с 0/2 по 0/12):
interface range gigabitethernet 0/2 - 12 switchport mode access switchport access vlan 10 spanning-tree portfast exit - Настройте порты доступа для интернет-сегмента (интерфейсы с 0/13 по 0/24):
interface range gigabitethernet 0/13 - 24 switchport mode access switchport access vlan 20 spanning-tree portfast exit - Сохраните текущую конфигурацию в энергонезависимую память коммутатора:
end write memory
Метод 3: Настройка маршрутизации и изоляции на роутере Keenetic (KeeneticOS)
- Откройте веб-интерфейс маршрутизатора по адресу
192.168.1.1. - Перейдите в меню: Сетевые правила → Сегменты.
- Нажмите кнопку «Добавить сегмент» для создания корпоративной сети:
- Название сегмента:
Corporate_LAN. - Идентификатор VLAN (802.1Q):
10. - В разделе «IP-настройки» укажите IP-адрес:
192.168.10.1, маска подсети:255.255.255.0. - Включите DHCP-сервер, задайте пул адресов:
192.168.10.10 - 192.168.10.100. - В списке портов для порта, соединенного с коммутатором (например, Порт 1), выберите режим «Передавать тег (Tagged)».
- Название сегмента:
- Нажмите кнопку «Добавить сегмент» для создания интернет-сегмента:
- Название сегмента:
Internet_Guest. - Идентификатор VLAN (802.1Q):
20. - В разделе «IP-настройки» укажите IP-адрес:
192.168.20.1, маска подсети:255.255.255.0. - Включите DHCP-сервер, пул адресов:
192.168.20.10 - 192.168.20.100. - Для Порта 1 выберите режим «Передавать тег (Tagged)».
- Снимите флажок в чекбоксе «Допускать взаимный доступ с другими проводными сегментами» (Isolate Segment) для запрета маршрутизации между VLAN 10 и VLAN 20. Нажмите «Сохранить».
- Название сегмента:
Метод 4: Диагностика и проверка конфигурации на стороне клиента (Windows 10/11)
- Подключите сетевой кабель компьютера к порту №5 коммутатора (сегмент Corporate, VLAN 10).
- Откройте консоль PowerShell от имени администратора, нажав сочетание клавиш Win + X и выбрав соответствующий пункт меню.
- Запустите процедуру обновления IP-адреса сетевого адаптера:
ipconfig /release, затемipconfig /renew. - Проверьте полученные сетевые реквизиты с помощью команды:
ipconfig /all. В строке «IPv4-адрес» должен отображаться адрес из диапазона192.168.10.X, а основным шлюзом должен быть назначен192.168.10.1. - Выполните трассировку маршрута до внешнего DNS-сервера для подтверждения выхода в интернет:
tracert -d 8.8.8.8. - Переключите кабель в порт №15 (сегмент Internet, VLAN 20). Повторите шаги 3 и 4. Компьютер должен получить IP-адрес из диапазона
192.168.20.X. - Убедитесь в отсутствии связности с корпоративным сегментом, выполнив команду:
ping 192.168.10.1. Запросы должны завершаться ошибкой «Превышен интервал ожидания для запроса» (Request timed out).
Сводная таблица параметров распределения VLAN и адресации
| Имя сегмента | VLAN ID | Режим портов на коммутаторе | IP-адрес шлюза | Маска подсети | Диапазон DHCP | Доступ к Интернет | Доступ к локальным серверам |
|---|---|---|---|---|---|---|---|
| Corporate | 10 | Untagged (порты 2-12) | 192.168.10.1 | 255.255.255.0 | 192.168.10.10 — 10.100 | Разрешен (NAT) | Разрешен |
| Internet_Only | 20 | Untagged (порты 13-24) | 192.168.20.1 | 255.255.255.0 | 192.168.20.10 — 20.100 | Разрешен (NAT) | Заблокирован |
| Trunk Link | 10, 20 | Tagged (порт 1) | — | — | — | — | — |
Нестандартные причины сбоев и альтернативные методы решения
Критическая уязвимость конфигурации: Ошибка «VLAN Leaking» или несанкционированный обмен трафиком между сегментами возникает, если на маршрутизаторе активирована функция Inter-VLAN routing без явных запрещающих правил в межсетевом экране (Firewall ACL). Всегда изолируйте подсети на уровне L3-устройства.
Аппаратный конфликт PVID и Native VLAN
Если конечные устройства в нетегированных портах не получают IP-адреса по DHCP, наиболее вероятной причиной является несовпадение настроек порта доступа «Access» и параметра PVID (Port VLAN ID). На управляемых коммутаторах некоторых вендоров (например, D-Link, Edge-Core) недостаточно просто добавить порт в VLAN как «Untagged» — необходимо принудительно переписать PVID для входящего нетегированного кадра. Для исправления этой проблемы через CLI D-Link выполните:
config gvrp ports 2-12 state disable
config vlan vlanid 10 add untagged 2-12
config vlan vlanid 10 add tagged 1
config port_vlan 2-12 pvid 10
Блокировка трафика из-за активности протокола Spanning Tree (STP)
При подключении рабочих станций к настроенным портам VLAN инициализация соединения может занимать до 30-50 секунд, из-за чего операционная система Windows отправляет APIPA-адрес вида 169.254.X.X. Это связано с прохождением портом стадий Listening и Learning в протоколе STP. Для устранения задержки активируйте функцию быстрого перехода порта в состояние пересылки данных (PortFast / Edge Port). На коммутаторах HPE (Aruba) это выполняется командами:
interface 2-12
spanning-tree port-type admin-edge
Фильтрация тегированных кадров сетевыми картами на Windows
Если административный ПК подключен напрямую к транковому порту коммутатора для мониторинга трафика обоих сегментов, сетевой адаптер Realtek или Intel по умолчанию может отбрасывать кадры с тегом 802.1Q. Для решения этой проблемы откройте диспетчер устройств, нажав Win + R и введя devmgmt.msc. Найдите свойства сетевой карты, перейдите во вкладку «Дополнительно» (Advanced), выберите параметр «Приоритет и VLAN» (Packet Priority & VLAN) и переведите его в значение «VLAN включено» (VLAN Enabled). Для разделения адаптера на виртуальные интерфейсы в PowerShell выполните:
Add-NetAdapterVlan -Name "Ethernet" -VlanId 10 -Confirm:$false