Native VLAN là gì? Phân biệt VLAN mặc định và xử lý native VLAN mismatch

Native VLAN là VLAN được dùng để phân loại frame không gắn thẻ 802.1Q nhận trên một cổng trunk, trong cấu hình thông thường. Trên nhiều switch Cisco, giá trị khởi tạo là VLAN 1, nhưng người quản trị có thể đổi sang VLAN khác. Vì vậy, Native VLAN không đồng nghĩa với “VLAN 1” và cũng không mặc nhiên là VLAN quản trị.

Điểm dễ gây lỗi nằm ở hai đầu liên kết: frame đi qua cáp không mang VLAN ID, nên mỗi switch phải hiểu thống nhất nó thuộc VLAN nào. Bài viết này giải thích cơ chế đó, cách kiểm tra native VLAN mismatch và cách đối chiếu với PVID trên giao diện TP-Link.

Native VLAN hoạt động như thế nào?

Trunk 802.1Q có thể mang nhiều VLAN trên cùng một đường kết nối. Thẻ 802.1Q giúp đầu nhận biết frame thuộc VLAN nào. Với lưu lượng không có thẻ, switch cần một quy tắc phân loại tại cổng nhận; đó là vai trò của Native VLAN trong cấu hình trunk Cisco thông thường.

Ví dụ hai switch cùng dùng Native VLAN 99 trên đường uplink:

1. Switch A chuyển frame thuộc VLAN 99 ra trunk dưới dạng không gắn thẻ.
2. Switch B nhận frame không có VLAN ID và xếp nó vào VLAN 99 theo cấu hình tại cổng.
3. Lưu lượng VLAN 10 hoặc 20 đi qua cùng đường trunk với thẻ tương ứng, nếu các VLAN này được phép truyền.

Đây là hành vi thông thường được mô tả trong tài liệu trunk của Cisco Catalyst 9300. Một số nền tảng có tùy chọn gắn thẻ cả Native VLAN; cần kiểm tra model, phiên bản và cấu hình thực tế trước khi kết luận “Native VLAN luôn đi không thẻ”.

Nếu cần xem lại cách chia mạng nhân viên, khách và camera, bạn có thể đọc bài VLAN là gì và sơ đồ VLAN cho văn phòng trước.

Phân biệt Native VLAN, default VLAN, management VLAN và PVID

Ba vai trò default, native và management có thể cùng mang ID 1 ở trạng thái ban đầu, nhưng vẫn là những khái niệm khác nhau. Hướng dẫn VLAN của Cisco là cơ sở để phân biệt các vai trò này.

Native VLAN mismatch là gì?

Native VLAN mismatch là tình trạng hai đầu của cùng một đường trunk đặt Native VLAN khác nhau. Chẳng hạn, switch A dùng VLAN 10 còn switch B dùng VLAN 20. Khi A gửi frame VLAN 10 không gắn thẻ, B có thể xếp frame nhận được vào VLAN 20 nếu các điều kiện chuyển tiếp và lọc cho phép.

Hệ quả có thể là lưu lượng bị đưa sang miền quảng bá ngoài dự kiến, mất kết nối ở một số nhóm thiết bị hoặc cổng/VLAN liên quan bị STP chặn. Những VLAN khác đang truyền có thẻ có thể vẫn hoạt động, nên việc “máy vẫn vào Internet” chưa chứng minh trunk đúng.

Cần phân biệt hai tín hiệu trên thiết bị Cisco:

• CDP-4-NATIVE_VLAN_MISMATCH: CDP phát hiện cấu hình Native VLAN khác nhau và đưa ra cảnh báo; bản thân thông báo này không chứng minh CDP đã chặn cổng.
• PVID inconsistency trong PVST+: STP phát hiện bất nhất liên quan BPDU và có thể chặn chuyển tiếp ở phần bị ảnh hưởng để ngăn vòng lặp. Lệch chế độ access/trunk cũng là nguyên nhân cần kiểm tra.

Không tắt CDP hoặc STP để làm biến mất dấu hiệu lỗi. Cần xử lý cấu hình hai đầu theo hướng dẫn chẩn đoán PVID inconsistency của Cisco.

Cách kiểm tra Native VLAN ở cả hai đầu trunk

Trước khi sửa, xác định đúng cặp cổng nối nhau, model, phiên bản phần mềm và đường quản trị. Sao lưu cấu hình, có phương án truy cập dự phòng và thống nhất thời điểm thay đổi nếu đây là mạng đang vận hành.

Với Catalyst 9300 chạy Cisco IOS XE thuộc phạm vi tài liệu được dẫn, có thể bắt đầu bằng các lệnh chỉ đọc dưới đây. Thay tên cổng bằng cổng thực tế ở từng đầu:

show interfaces gigabitethernet 1/0/2 switchport
show interfaces gigabitethernet 1/0/2 trunk
show vlan dot1q tag native

Đối chiếu chế độ hoạt động, trường Native VLAN, danh sách VLAN được phép và trạng thái gắn thẻ Native VLAN. Trên thiết bị hỗ trợ, dùng thêm show spanning-tree inconsistentports khi có dấu hiệu STP chặn. Cú pháp và kết quả hiển thị có thể khác theo dòng máy.

Riêng lệnh kiểm tra native tagging được mô tả trong Cisco VLAN command reference. Không bật tùy chọn gắn thẻ toàn hệ thống chỉ để thử sửa một uplink, vì phạm vi tác động có thể rộng hơn cặp cổng đang kiểm tra.

Ví dụ cấu hình Native VLAN trên Cisco

Giả sử thiết kế đã chọn VLAN 99 làm Native VLAN; VLAN này đã tồn tại và được phép trên hai đầu. Hai cổng uplink đã hoạt động ở chế độ trunk, chưa bật native tagging và đường quản trị đã được kiểm tra. Lệnh thay đổi riêng Native VLAN có dạng:

configure terminal
interface gigabitethernet 1/0/2
 switchport trunk native vlan 99
end

Áp dụng giá trị tương ứng ở cổng đối diện theo kế hoạch, không mặc định tên cổng hai switch giống nhau. Đây là ví dụ cú pháp theo tài liệu, chưa được chạy trên mạng thật. Nó không tạo VLAN, không thiết lập DHCP, gateway hay chính sách truy cập.

Sau thay đổi, đọc lại trạng thái hai đầu, thử lưu lượng cần dùng và kiểm tra quản trị trước khi lưu cấu hình khởi động theo hướng dẫn của thiết bị. Không chép nguyên ví dụ VLAN 99 nếu hệ thống hiện tại đang dùng VLAN đó cho mục đích khác.

Trên TP-Link: kiểm tra PVID và Untagged riêng

Trên giao diện TP-Link TL-SG216E được minh họa, hai nhóm thiết lập nằm ở hai tab. Theo hướng dẫn Omada Agile (Easy Managed) Switch New VI, PVID dùng cho chiều nhận frame không gắn thẻ; Tagged/Untagged xác định cách gửi frame ra cổng trong từng VLAN.

Ảnh dưới là thao tác trên emulator chính thức, dừng ở biểu mẫu trước khi áp dụng. Chúng giúp nhận diện trường cấu hình; không chứng minh VLAN 99 đã được tạo hoặc mạng đã truyền dữ liệu.

1. Kiểm tra chiều gửi tại VLAN Config. Trong ví dụ, VLAN ID là 99 và Port 2 được chọn Untagged. Điều này biểu diễn ý định gửi frame của VLAN 99 ra cổng 2 không có thẻ. Các VLAN cần truyền có thẻ phải được kiểm tra riêng.

2. Kiểm tra chiều nhận tại Port Config. Chọn cùng cổng 2 và đối chiếu PVID 99. PVID chỉ có hiệu lực đúng khi bật 802.1Q và VLAN tương ứng tồn tại; đồng thời phải kiểm tra membership của cổng. Không chỉ đổi PVID rồi kết luận đã hoàn tất Native VLAN.

Khi triển khai thực tế, cần tạo VLAN và thiết lập membership trước, phối hợp đầu đối diện, rà các membership Untagged cũ theo khả năng của model, rồi đặt PVID và kiểm tra. Ingress Checking là bộ lọc theo membership, không thay thế PVID hoặc quy tắc gắn thẻ. Bạn có thể xem trình tự đầy đủ trong bài cấu hình VLAN cho văn phòng trên switch TP-Link.

Checklist sau khi xử lý mismatch

• Đọc lại cấu hình và trạng thái thực tế ở cả hai cổng, kể cả sau khi lưu.
• Kiểm tra cảnh báo CDP/STP liên quan; xác nhận phần từng bị chặn đã trở về trạng thái phù hợp.
• Thử riêng lưu lượng không thẻ và các VLAN có thẻ cần sử dụng trong phạm vi kiểm thử được phép.
• Kiểm tra địa chỉ IP, DHCP nếu dùng, gateway và truy cập ứng dụng của từng nhóm.
• Xác nhận vẫn truy cập được thiết bị quản trị; kiểm tra các giới hạn truy cập giữa nhóm nhân viên, khách và camera.

Đổi Native VLAN không tự tạo cách ly bảo mật. Chính sách giữa các VLAN vẫn cần gateway và ACL/firewall phù hợp. Nếu uplink đã đúng mà máy còn mất mạng, cần kiểm tra thêm DHCP, định tuyến và chính sách truy cập.

Khi nào cần kiểm tra lại hệ thống mạng văn phòng?

Nên rà soát khi thay switch, thêm access point, nối thiết bị khác hãng hoặc gặp tình trạng chỉ một nhóm máy/camera mất kết nối sau khi đổi uplink. Với hệ thống nhiều switch, sơ đồ cặp cổng và bảng VLAN giúp đối chiếu nhanh hơn việc thay từng giá trị theo phỏng đoán.

Gửi model switch, sơ đồ kết nối và cấu hình VLAN của hai cổng uplink để ICT Sài Gòn tư vấn kiểm tra mạng. Khi gửi ảnh hoặc bản trích cấu hình, hãy che mật khẩu và thông tin truy cập. Tùy nhu cầu, bạn có thể tham khảo dịch vụ thi công mạng LAN hoặc bảo trì hệ thống mạng để xác định phạm vi khảo sát phù hợp.