Cấu hình VLAN cho văn phòng: hướng dẫn trên switch TP-Link

Cấu hình VLAN cho văn phòng cần khớp bảng VLAN, cổng switch, PVID và cấu hình gateway. Bài này hướng dẫn tạo ba nhóm nhân viên, khách và camera qua giao diện TP-Link TL-SG216E, sau đó kiểm tra các điều kiện để cấp IP và phân quyền. Nếu cần kiến thức nền, xem bài VLAN là gì và sơ đồ tách mạng văn phòng.

Ảnh được chụp thao tác trên trình giả lập chính thức TL-SG216E 1.0, firmware 1.0.1 Build 20250609. Trình giả lập không lưu các thay đổi đã thử; ảnh minh họa tham số cần nhập, không xác nhận cấu hình hoặc kiểm thử trên thiết bị thật.

1. Chuẩn bị bảng VLAN và cổng kết nối

Cần switch hỗ trợ 802.1Q, gateway hỗ trợ VLAN cùng DHCP và firewall, máy tính quản trị và dây mạng. Nếu tách Wi-Fi, AP phải ánh xạ được SSID vào VLAN. Trước khi đổi mạng đang dùng, sao lưu cấu hình, ghi IP quản trị và bố trí thời gian chuyển đổi. Xác nhận IP quản trị switch không trùng gateway hoặc thiết bị khác.

Trên giao diện minh họa, mở System Tools → Backup Restore, dùng Configuration Backup trong phần System Configuration Backup để xuất bản sao. Phần System Configuration Restore bên dưới là chức năng khôi phục, chỉ sử dụng khi đã xác định đúng bản cấu hình cần nạp.

Ví dụ sử dụng năm cổng dưới đây. Số cổng, VLAN ID và subnet là lựa chọn cho bài thực hành; cần đổi theo sơ đồ thực tế và kiểm tra trùng dải IP với mạng hiện hữu hoặc VPN.

Gateway đầu kia của cổng 2 phải mang VLAN 10, 20, 30 dạng tagged và VLAN 1 dạng untagged tương ứng. Đổi PVID không tự đổi cách xuất tag. Cổng 1 được giữ để truy cập khi thực hành; việc giới hạn quyền quản trị vẫn phải kiểm tra riêng.

VLAN 1 giữ nguyên mạng truy cập ban đầu trong bài thực hành. VLAN 99 trong sơ đồ tổng quan là một phương án quản trị khác, không phải giá trị bắt buộc cho mọi hệ thống.

2. Bật 802.1Q và tạo VLAN trên switch

Đăng nhập IP quản trị của switch, mở VLAN → 802.1Q VLAN → VLAN Config. Kiểm tra chức năng 802.1Q đang ở trạng thái Enable; nếu chưa bật, chọn Enable rồi Apply.

Giao diện dùng ba lựa chọn cho từng cổng: Tagged gửi frame ra kèm VLAN tag, Untagged gửi frame ra không kèm tag và Non-member loại cổng khỏi VLAN đang chỉnh. Đây là phần membership; PVID được cấu hình riêng. Có thể đối chiếu hướng dẫn VLAN của dòng Omada Easy Managed.

Để tạo mạng nhân viên:

1. Nhập VLAN ID 10, VLAN Name NHANVIEN.
2. Đặt các cổng về Non-member để tránh giữ nhầm lựa chọn từ lần nhập trước.
3. Chọn cổng 2 là Tagged, cổng 3 là Untagged.
4. Chọn Add/Edit, rồi kiểm tra dòng VLAN 10 trong bảng bên dưới.

Lặp lại với VLAN 20: tên KHACH, cổng 2 Tagged và cổng 4 Untagged. Với VLAN 30: tên CAMERA, cổng 2 Tagged và cổng 5 Untagged. Các cổng còn lại là Non-member trong từng VLAN này.

Chưa thay đổi VLAN 1 ở bước này. Hãy tạo đủ VLAN mới và đặt PVID trước khi loại các cổng 3–5 khỏi mạng ban đầu.

3. Đặt PVID cho cổng nhân viên, khách và camera

Mở tab Port Config trong 802.1Q VLAN. Trong khung 802.1Q Port Settings, chọn Port 3, nhập PVID 10, kiểm tra Ingress Checking là Enable rồi Apply. Làm tương tự: Port 4 có PVID 20, Port 5 có PVID 30. Giữ PVID 1 trên cổng 1 và 2 theo bảng thiết kế.

PVID đưa frame untagged đi vào cổng 3 về VLAN 10. Ingress Checking kiểm tra VLAN của frame có nằm trong danh sách VLAN của cổng hay không. Vì vậy, phải kiểm tra membership trước khi bật tính năng này; nhập đúng PVID chưa thay thế việc chọn đúng cổng thành viên.

Thứ tự tạo VLAN rồi cấu hình PVID cũng được thể hiện trong hướng dẫn 802.1Q của TP-Link. Tên tab có thể khác giữa các dòng thiết bị.

4. Kiểm tra VLAN 1, quản trị và lưu cấu hình

Sau khi VLAN mới và PVID đã được áp dụng trên switch thực tế, chỉnh VLAN 1: giữ cổng 1, 2 Untagged; đặt cổng 3, 4, 5 thành Non-member. Các cổng 6–16 chưa sử dụng có thể giữ mạng ban đầu trong bài thực hành; khi triển khai cần kiểm soát hoặc tắt cổng chưa dùng theo chính sách công ty.

Đọc lại bảng thành viên để bảo đảm cổng 3 chỉ thuộc VLAN 10, cổng 4 chỉ thuộc VLAN 20, cổng 5 chỉ thuộc VLAN 30. Uplink 2 phải có đủ ba VLAN tagged và VLAN 1 untagged như đầu gateway.

Kiểm tra tab Management VLAN trước khi thay đổi đường quản trị. Nếu giữ ID 1 cho bài thực hành, cổng 1 phải tiếp tục thuộc VLAN 1 và máy quản trị phải có IP phù hợp. Đặt IP quản trị khác subnet không tự chứng minh người dùng đã bị chặn khỏi giao diện switch.

Khi các tham số đã đúng, dùng Save trên thanh trên cùng theo phiên bản giao diện, rồi xuất bản sao cấu hình. Giữ cả bảng cổng, địa chỉ quản trị và bản cấu hình trước thay đổi để có phương án khôi phục.

5. Hoàn thiện gateway, DHCP và phân quyền

Switch mới xử lý việc chuyển frame theo VLAN. Để máy nhận IP và dùng được Internet, gateway cần có interface cho VLAN 10, 20, 30, địa chỉ tương ứng bảng subnet, DHCP hoặc phương án cấp IP phù hợp, DNS và chính sách ra Internet. Tài liệu Ubiquiti về tạo mạng VLAN cũng phân biệt cấu hình mạng trên gateway với gán thiết bị qua cổng hoặc SSID.

Với ví dụ này, có thể dành DHCP 192.168.10.100–199 cho nhân viên và 192.168.20.100–199 cho khách. Camera dùng reservation hoặc IP tĩnh nằm ngoài pool DHCP theo bảng quản lý. NVR cần một cổng riêng được gán VLAN 30 và PVID 30 trước khi thử ghi hình. Những tham số này là đề xuất thiết kế, chưa được nhập trên router trong phần minh họa.

Chốt quyền trước khi thêm firewall:

• Khách được dùng Internet, bị chặn khỏi subnet nhân viên, camera và địa chỉ quản trị.
• Máy nhân viên được chỉ định chỉ truy cập IP NVR và dịch vụ xem hình cần thiết.
• Camera không khởi tạo kết nối mới sang mạng nhân viên; ngoại lệ DNS, đồng bộ giờ hoặc cloud được ghi rõ nếu cần.

Camera và NVR cùng VLAN 30 trao đổi trực tiếp qua switch; firewall liên VLAN không kiểm soát lưu lượng nội bộ nhóm này.

Giữ các dịch vụ hạ tầng cần thiết đến gateway, cùng lưu lượng trả lời của phiên đã được phép. Firewall stateful thường xử lý trạng thái established/related; ACL stateless cần xét chiều phản hồi riêng. Đặt ngoại lệ cụ thể trước quy tắc chặn rộng và kiểm tra cả IPv6 nếu sử dụng. Tài liệu firewall của Ubiquiti giải thích các điểm này.

Nếu triển khai Wi-Fi, ánh xạ SSID nhân viên vào VLAN 10, SSID khách vào VLAN 20; cổng nối AP phải vận chuyển đủ VLAN cần dùng. Cổng 4 trong bảng chỉ dành cho thiết bị thử một VLAN, không phải cấu hình uplink cho AP nhiều SSID.

6. Kiểm tra cấu hình VLAN bằng thiết bị thực tế

Cắm máy thử lần lượt vào cổng 3, 4, 5. Với máy Windows dùng DHCP, gia hạn địa chỉ trên đúng adapter rồi chạy ipconfig /all để xem IPv4, subnet mask, gateway và DNS. Tham khảo cú pháp ipconfig của Microsoft; không lấy địa chỉ từ Wi-Fi hoặc VPN khác để kết luận cổng mạng dây đã đúng.

Nếu VLAN 30 không chạy DHCP, đặt IP tĩnh cho máy thử trong dải 192.168.30.0/24, tránh trùng thiết bị; gateway là 192.168.30.1. Không gia hạn DHCP rồi kết luận lỗi VLAN khi mạng đó được thiết kế dùng IP tĩnh.

Bảng trên là tiêu chí kiểm tra, chưa phải kết quả đo. Không chỉ dựa vào ping: thiết bị có thể chặn ICMP nhưng vẫn mở giao diện web. Hãy thử ứng dụng cần cho phép và dịch vụ cần chặn, đồng thời xem log trên gateway nếu có.

Nếu máy nhận sai subnet, kiểm tra cổng cắm và PVID trước. Nếu đúng IP nhưng không đến gateway, kiểm tra membership, tag ở hai đầu uplink và interface VLAN. Nếu đến gateway nhưng không mở website, kiểm tra DNS, đường ra Internet và firewall. Khách vẫn thấy tài nguyên nội bộ thì đối chiếu lại nguồn, đích và thứ tự rule.

Tư vấn cấu hình VLAN cho văn phòng

Gửi ICT Sài Gòn model router, switch, AP, sơ đồ kết nối, dải IP hiện có và danh sách quyền truy cập cần giữ. Với camera, bổ sung IP NVR, người được xem và nhu cầu truy cập từ xa. Các thông tin này giúp xác định phạm vi thi công mạng LAN hoặc bảo trì hệ thống mạng, lựa chọn thiết bị và lập kịch bản chuyển đổi phù hợp.