Inter-VLAN routing là gì? Kết nối các VLAN và kiểm soát quyền truy cập

Inter-VLAN routing là quá trình định tuyến lưu lượng giữa các VLAN bằng thiết bị Layer 3, như router, firewall hoặc switch có chức năng định tuyến. Ví dụ, máy nhân viên thuộc VLAN 10 cần truy cập đầu ghi camera trong VLAN 30: lưu lượng phải đi qua gateway và được chính sách truy cập cho phép.

Tạo VLAN giúp chia mạng thành các miền riêng, nhưng chưa trả lời được ai được kết nối tới đâu. Bài viết này hướng dẫn xác định đường đi gói tin, chọn vị trí thực thi chính sách và kiểm tra cả kết nối được phép lẫn kết nối phải bị chặn. Nếu cần nền tảng về chia mạng, xem trước bài VLAN là gì và sơ đồ VLAN cho văn phòng.

Gói tin đi qua các VLAN như thế nào?

Dùng kế hoạch IPv4 giả định sau để minh họa; các VLAN và địa chỉ phải được điều chỉnh theo hệ thống thực tế:

Giả sử máy nhân viên là 192.168.10.20/24, đầu ghi là 192.168.30.10/24:

1. Máy nhân viên nhận biết địa chỉ đầu ghi nằm ngoài subnet của mình.
2. Máy gửi lưu lượng tới gateway 192.168.10.1.
3. Thiết bị Layer 3 tra bảng định tuyến và xét ACL/firewall áp dụng trên đường đi.
4. Nếu được phép, lưu lượng được chuyển sang VLAN 30 tới đầu ghi.
5. Đầu ghi cần đường trả lời hợp lệ, trong ví dụ là gateway 192.168.30.1; lưu lượng phản hồi cũng phải phù hợp chính sách.

Các giao diện VLAN đang hoạt động trên cùng thiết bị định tuyến thường tạo các tuyến kết nối trực tiếp tương ứng. Không cần tự thêm static route cho mọi cặp VLAN nếu các mạng đã nằm trực tiếp trong cùng bảng định tuyến và chức năng Layer 3 đã được bật đúng. Hướng dẫn Inter-VLAN của Cisco minh họa vai trò của giao diện VLAN và gateway.

Chọn router, firewall hay switch Layer 3?

Router-on-a-stick và SVI được giải thích trong tài liệu Inter-VLAN Routing của Cisco Press. Switch có quản lý không mặc nhiên là switch có thể định tuyến; cần đọc đúng model và phiên bản.

Đặt rule tại nơi lưu lượng thực sự đi qua. Nếu switch Layer 3 tự định tuyến giữa VLAN 10 và 30, firewall chỉ nằm trên đường Internet có thể không nhìn thấy luồng đó. Không thể dựa vào rule trên firewall phía trên để mặc định bảo vệ mọi luồng nội bộ. Tài liệu Layer 3 của UniFi minh họa sự khác biệt khi định tuyến tại switch hoặc gateway.

Lập ma trận quyền truy cập trước khi cấu hình

Thay yêu cầu “các VLAN phải thông nhau” bằng danh sách nguồn, đích, dịch vụ và chiều khởi tạo. Với ví dụ trên, có thể đặt các yêu cầu sau:

TCP 443 không đại diện cho mọi chức năng xem camera. Ứng dụng hoặc luồng video có thể cần dịch vụ khác; phải tra đúng đầu ghi và cách sử dụng. Quyền mạng cũng không thay thế tài khoản, mật khẩu và phân quyền trên NVR.

Lưu lượng cùng VLAN có thể được switch chuyển trực tiếp. Gateway ACL không kiểm soát được luồng không đi qua gateway; tài liệu switch ACL của UniFi phân biệt phạm vi này. Truy cập quản trị chính router cũng cần được kiểm tra riêng theo cơ chế bảo vệ dịch vụ quản trị của thiết bị.

Minh họa giao diện gateway VLAN và ACL trên router

Hai ảnh dưới là thao tác trên emulator chính thức TP-Link ER605, ở chế độ standalone. Chúng minh họa vị trí trường cấu hình, chưa áp dụng lên thiết bị thật và chưa chứng minh kết nối thành công.

Network → LAN → Add: ví dụ nhập tên NHANVIEN, địa chỉ giao diện 192.168.10.1, subnet mask 255.255.255.0 và VLAN 10. Địa chỉ này là gateway dự kiến của mạng nhân viên, không phải địa chỉ của mọi máy trong VLAN.

Trong hệ thống thực, còn cần cấu hình các mạng còn lại, DHCP hoặc IP tĩnh, VLAN trên uplink và cổng thiết bị đầu cuối. Hướng dẫn nhiều mạng LAN của Omada mô tả trình tự này. Phần tagged, untagged và PVID có thể xem tại bài cấu hình VLAN cho văn phòng.

Firewall → Access Control → Add: xác định đúng chiều LAN→LAN, mạng nguồn, mạng đích, dịch vụ, hành động và trạng thái phiên theo khả năng firmware.

Thứ tự rule và chiều phản hồi cần được kiểm tra riêng

Nếu thiết kế cần một ngoại lệ hẹp trong phạm vi chặn rộng, đặt ngoại lệ đúng thứ tự xử lý của thiết bị. Chẳng hạn, cho phép máy 192.168.10.20 tới dịch vụ HTTPS của NVR trước quy tắc chặn các truy cập khác từ mạng nhân viên sang mạng camera.

Không mặc định lưu lượng còn lại sẽ bị chặn. Gateway ACL Omada trong tài liệu hãng có hành vi cho phép ngầm khi không khớp rule; Cisco IOS IP ACL trong hướng dẫn ACL của Cisco lại có chặn ngầm. Với ACL cần gắn vào interface, phải kiểm tra cả interface và chiều áp dụng.

ACL tĩnh không mặc nhiên theo dõi phiên như stateful firewall. Chặn toàn bộ một chiều có thể chặn cả phản hồi cần thiết; hãy phân biệt phiên được khởi tạo mới với lưu lượng trả lời. Tài liệu lọc theo phiên của Cisco giải thích sự khác biệt với ACL cơ bản. Tên tùy chọn States và hành vi cụ thể cần đối chiếu đúng firmware.

Checklist kiểm tra sau khi cấu hình Inter-VLAN

1. Kiểm tra IP, subnet mask và gateway của máy nguồn, đích; đối chiếu DHCP nếu dùng.
2. Kiểm tra VLAN membership và uplink đang mang đúng VLAN cần thiết.
3. Đối chiếu giao diện Layer 3, bảng định tuyến và đường về từ mạng đích.
4. Thử gateway và đích bằng ping nếu ICMP được cho phép; sau đó kiểm tra dịch vụ ứng dụng thực tế.
5. Thử cả nguồn được phép và nguồn bị chặn, với các phiên mới. Xác nhận dịch vụ đích vẫn hoạt động từ nguồn hợp lệ để tránh nhầm lỗi ứng dụng thành ACL đã chặn đúng.
6. Kiểm tra log, bộ đếm rule nếu thiết bị hỗ trợ; kiểm tra lại đường quản trị trước khi lưu cấu hình và bàn giao.

Ping thành công chưa chứng minh HTTPS hoặc xem video hoạt động. Ngược lại, ping thất bại có thể do chính sách ICMP hay firewall trên máy đích, chưa đủ để kết luận thiếu route. Ví dụ bài viết dùng IPv4; nếu hệ thống bật IPv6, cần chính sách tương ứng cho IPv6.

Vì sao các VLAN liên lạc được nhưng chưa ra Internet?

Inter-VLAN routing và truy cập Internet là hai phần khác nhau. Không cần NAT chỉ để các subnet nội bộ được định tuyến với nhau, nhưng lưu lượng Internet phải có đường đi, đường về và chính sách/NAT phù hợp với mô hình upstream.

Nếu gateway VLAN đặt trên switch Layer 3, một default route từ switch tới router chưa đủ: router phía trên còn phải biết đường về các subnet qua switch và xử lý NAT/policy cần thiết. Ví dụ mạng nhiều subnet của Omada minh họa các thành phần này; tùy chọn và khả năng hỗ trợ cần được xác nhận theo model. Đồng thời kiểm tra DNS để phân biệt lỗi phân giải tên với lỗi kết nối IP.

Chuẩn bị gì để khảo sát định tuyến và phân quyền?

Gửi model router/switch, sơ đồ VLAN/subnet và bảng ai cần truy cập dịch vụ nào để ICT Sài Gòn tư vấn phương án định tuyến và phân quyền. Bổ sung vị trí gateway, kết nối uplink và các ứng dụng cần giữ hoạt động sẽ giúp xác định đúng phạm vi triển khai, kiểm thử và báo giá.

Với mạng mới hoặc cần tổ chức lại, tham khảo dịch vụ thi công mạng LAN. Nếu hệ thống đang gặp lỗi kết nối hoặc quyền truy cập không đúng thiết kế, có thể xem dịch vụ bảo trì hệ thống mạng để chuẩn bị nội dung khảo sát phù hợp.