VLAN là gì? Sơ đồ tách mạng nhân viên, khách và camera cho văn phòng

VLAN (Virtual Local Area Network) là mạng LAN ảo, cho phép chia một hệ thống mạng vật lý thành các nhóm mạng riêng ở lớp 2. Nhờ đó, máy tính nhân viên, thiết bị của khách và camera có thể dùng chung hạ tầng switch nhưng thuộc các miền quảng bá khác nhau. Muốn kiểm soát việc liên lạc giữa các nhóm, doanh nghiệp cần cấu hình định tuyến cùng danh sách kiểm soát truy cập (ACL) hoặc tường lửa (firewall) phù hợp.

Ví dụ, khách đến văn phòng cần Internet nhưng không cần mở thư mục nội bộ. Camera cần gửi hình về đầu ghi, còn nhân viên chỉ được xem camera khi có quyền. Đây là những nhu cầu nên xác định trước khi chọn thiết bị hoặc tạo VLAN.

Nếu cần tìm hiểu kiến thức nền trước, bạn có thể xem phần giải thích mạng LAN là gì.

Khi nào văn phòng nên chia VLAN?

Nhu cầu tách mạng thường xuất hiện khi những nhóm thiết bị có quyền sử dụng khác nhau đang dùng chung mạng nội bộ:

• Khách cần Wi-Fi nhưng không được truy cập máy in, máy chủ hoặc thư mục của công ty.
• Camera cần ghi hình liên tục, còn quyền xem đầu ghi chỉ dành cho một số người.
• Doanh nghiệp muốn tách việc quản trị router, switch và AP khỏi thiết bị làm việc hằng ngày.

VLAN giúp tổ chức các nhóm này trên cùng hạ tầng. Mức kiểm soát thực tế còn phụ thuộc cách gán cổng, Wi-Fi và chính sách truy cập; không có ngưỡng số nhân viên hoặc số camera cố định để áp dụng cho mọi văn phòng.

VLAN hoạt động thế nào?

Trong một VLAN, lưu lượng broadcast được giới hạn trong miền đó thay vì đi đến mọi thiết bị trên toàn hệ thống. Hai thiết bị thuộc hai VLAN khác nhau không trao đổi trực tiếp ở lớp 2; chúng cần đi qua router hoặc switch có khả năng định tuyến lớp 3. Tài liệu Cisco về định tuyến và ACL giữa VLAN giải thích cơ chế này.

Để hình dung đường đi của dữ liệu, cần phân biệt hai kiểu kết nối thường gặp:

• Access/untagged: thường dùng cho máy tính, máy in hoặc camera thuộc một VLAN. Thiết bị đầu cuối thông thường không cần tự xử lý VLAN tag.
• Trunk/tagged: thường nối switch với gateway, switch khác hoặc access point, vận chuyển nhiều VLAN trên cùng đường cáp bằng chuẩn 802.1Q. Cổng có thể mang thêm một mạng untagged/native theo thiết kế.

PVID xác định VLAN cho khung dữ liệu (frame) untagged đi vào cổng. Danh sách VLAN được phép, cách tagged/untagged và PVID phải phù hợp với thiết kế ở các đầu kết nối, tránh đưa lưu lượng không có tag vào nhầm mạng. Có thể đối chiếu cách dùng thuật ngữ trong giải thích tagged và untagged của TP-Link.

Sơ đồ tách mạng nhân viên, khách và camera

Xét văn phòng minh họa có 25 nhân viên, hai access point, tám camera IP và một đầu ghi NVR. Gateway kết nối Internet và làm điểm kiểm soát lưu lượng giữa các VLAN; switch có quản lý phân phối mạng đến thiết bị. Trong ví dụ này, mỗi nhóm sử dụng một mạng con IP (subnet) riêng.

VLAN 99 được thêm để phân biệt quản trị thiết bị với công việc hằng ngày. Con số 99 không mặc nhiên có nghĩa đây là native VLAN. Các subnet /24 được chọn cho dễ đọc; khi triển khai cần kiểm tra trùng địa chỉ với mạng hiện hữu và VPN.

Mạng dây và Wi-Fi phải cùng tuân theo sơ đồ

Cổng nối PC được gán VLAN 10, cổng camera thuộc VLAN 30. Access point ánh xạ ICT-Staff vào VLAN 10 và ICT-Guest vào VLAN 20; uplink của AP phải vận chuyển đúng các VLAN cần sử dụng, bao gồm mạng quản trị nếu thiết kế yêu cầu.

Mỗi subnet cần cơ chế cấp IP, gateway và DNS đúng. DHCP có thể chạy trên gateway hoặc máy chủ phù hợp; không nhất thiết switch nào cũng làm DHCP server. Hướng dẫn tạo VLAN của Ubiquiti cũng phân biệt việc tạo mạng với việc gán thiết bị qua SSID hoặc cổng switch.

Phân quyền giữa VLAN: tách nhóm chưa đủ

Không nên giả định cứ tạo ba VLAN là khách đã bị chặn khỏi mạng nhân viên. Nếu gateway cho phép định tuyến giữa các subnet, lưu lượng vẫn có thể đi qua. Chính sách thực tế phụ thuộc thiết bị, firmware và cấu hình.

Bảng sau là đề xuất cho tình huống minh họa, chưa được áp dụng trên một hệ thống cụ thể. Nguyên tắc là cho phép đúng nhu cầu, thay vì mở toàn bộ các VLAN với nhau.

Chặn mạng nội bộ không đồng nghĩa chặn mọi truy cập đến gateway. Máy khách vẫn có thể cần DHCP, DNS hoặc dịch vụ khác do gateway cung cấp. Tương tự, camera có thể cần đồng bộ giờ, cập nhật hoặc cloud theo model; các ngoại lệ phải được ghi rõ.

Cần bảo toàn lưu lượng phản hồi của những kết nối đã cho phép. Firewall stateful và ACL stateless xử lý việc này khác nhau; không sao chép quy tắc chặn hai chiều mà chưa kiểm tra ứng dụng.

Camera và NVR cùng VLAN trao đổi qua switch, nên luồng này không đi qua firewall giữa VLAN. Nếu cần cách ly cả các camera với nhau, phải thiết kế thêm và bảo đảm việc ghi hình vẫn hoạt động. Tài liệu Ubiquiti về network isolation và client isolation phân biệt phạm vi của gateway, switch và AP.

Cần thiết bị nào để triển khai VLAN?

Với sơ đồ trên, cần kiểm tra ba thành phần:

• Gateway/router: hỗ trợ VLAN, các subnet tương ứng, DHCP hoặc DHCP relay cần thiết, định tuyến và chính sách firewall/ACL.
• Switch có quản lý: hỗ trợ 802.1Q, gán VLAN theo cổng và quản lý uplink. Nếu dùng ACL tại switch, kiểm tra đúng khả năng của model.
• Access point: hỗ trợ ánh xạ SSID vào VLAN, cùng cơ chế quản trị phù hợp.

PoE là khả năng cấp nguồn qua cáp mạng, khác với VLAN. Có PoE chưa đủ để kết luận switch tách được mạng theo yêu cầu.

Một số switch unmanaged truyền nguyên frame có VLAN tag, nhưng không cung cấp quyền cấu hình VLAN theo từng cổng. Có thể giữ switch đó để mở rộng một nhóm duy nhất phía sau cổng access phù hợp; không coi nó là điểm phân tách ba nhóm. TP-Link xác nhận cơ chế truyền nguyên frame tagged ở các switch unmanaged của hãng.

Nhìn gì trên giao diện cấu hình?

Trước khi nhập cấu hình, nên lập bảng VLAN ID, subnet, cổng nối thiết bị và quyền truy cập. Hai ảnh dưới minh họa vị trí thông tin trên trình giả lập TL-SG2424, sử dụng giao diện mẫu đời cũ. Đây không phải khuyến nghị mua model này; thiết bị và firmware khác có thể dùng tên mục khác.

Phần nhập tham số cụ thể cần bám tài liệu đúng model và firmware. Sao lưu cấu hình, chuẩn bị đường truy cập quản trị dự phòng và lịch chuyển đổi trước khi thay đổi mạng đang sử dụng. Có thể tham khảo thêm quy trình lắp đặt mạng LAN để lập kế hoạch triển khai tổng thể.

Checklist kiểm tra sau cấu hình

• Máy nối từng cổng và SSID nhận đúng subnet, gateway, DNS.
• Nhân viên dùng được ứng dụng nội bộ cần thiết.
• Khách vào Internet được nhưng không mở được tài nguyên nội bộ bị cấm.
• Camera ghi hình; máy được cấp quyền xem NVR được.
• Thiết bị không được cấp quyền không mở được giao diện quản trị.
• Các ngoại lệ và lưu lượng phản hồi hoạt động đúng; kiểm tra cả IPv6 nếu sử dụng.

Không chỉ dựa vào ping: ICMP bị chặn chưa chứng minh dịch vụ khác đã bị chặn. Cần kiểm tra luồng ứng dụng thực tế và lưu kết quả cùng sơ đồ, danh sách cổng, bản sao cấu hình để bàn giao.

Câu hỏi thường gặp về VLAN

Đổi tên Wi-Fi khách đã tách mạng chưa?

Chưa chắc. Phải kiểm tra SSID được gán vào mạng nào và chính sách truy cập đang áp dụng.

VLAN có làm Internet nhanh hơn không?

VLAN không tăng tốc độ gói cước hay dung lượng uplink. Nó giúp giới hạn miền quảng bá và tổ chức chính sách; hiệu năng còn phụ thuộc tải, thiết bị và đường truyền.

Mỗi VLAN có cần một access point riêng?

Không nhất thiết. Một AP hỗ trợ nhiều SSID ánh xạ VLAN có thể phục vụ nhiều nhóm, nếu uplink và năng lực thiết bị đáp ứng.

VLAN có thay thế mật khẩu và firewall không?

Không. Vẫn cần xác thực Wi-Fi, quản lý tài khoản, cập nhật thiết bị và quy tắc truy cập phù hợp.

Tư vấn phương án VLAN cho văn phòng

Để chọn phương án phù hợp, hãy gửi ICT Sài Gòn mặt bằng, model router/switch/AP hiện có, số nhân viên, khách, camera và danh sách người cần truy cập NVR, máy in hoặc máy chủ. Đội ngũ kỹ thuật có thể dựa trên các đầu vào này để tư vấn phạm vi thi công mạng LAN hoặc bảo trì hệ thống mạng.