VLAN a Segregace Sítí na Mikrotik a Ubiquiti

Úvod do VLAN

Virtuální lokální sítě (VLAN) umožňují logickou segmentaci sítě bez nutnosti fyzického oddělení pomocí různých switchů. Díky VLAN lze zlepšit bezpečnost, zvýšit výkon sítě a efektivněji řídit síťový provoz.

Důvody pro použití VLAN

• Segregace síťového provozu – oddělení interní, hostovské a IoT sítě
• Bezpečnost – izolace citlivých zařízení (např. servery, platební terminály)
• Správa sítě – snížení broadcast provozu, lepší přehlednost
• QoS – priorizace provozu pro kritické aplikace (např. VoIP, videokonference)

VLAN na Mikrotik

Na zařízeních Mikrotik lze VLAN implementovat několika způsoby:

• Bridge VLAN Filtering (doporučená metoda)
• SwOS VLAN konfigurace (u switchů se SwOS)
• VLAN konfigurace pomocí RouterOS na portech

Konfigurace VLAN pomocí Bridge VLAN Filtering

1. Vytvoření Bridge:

   /interface bridge add name=bridge1 vlan-filtering=yes
2. Přidání VLAN do Bridge:

   /interface bridge vlan add bridge=bridge1 vlan-ids=10 tagged=ether1,ether2 untagged=ether3
3. Přiřazení VLAN k portům:

   /interface bridge port add bridge=bridge1 interface=ether1 pvid=10

VLAN na Ubiquiti

Ubiquiti umožňuje správu VLAN primárně prostřednictvím UniFi Controlleru nebo ruční konfigurací v EdgeOS či Switch CLI.

Konfigurace VLAN v UniFi Controlleru

1. Vytvoření VLAN sítě:
   • Jděte do Settings > Networks
   • Vytvořte New Network
   • Vyberte VLAN Only a zadejte VLAN ID
2. Konfigurace portů:
   • Jděte do Devices > Switch > Ports
   • Nastavte režim portu (Tagged/Untagged)

Konfigurace VLAN v EdgeOS (EdgeRouter)

1. Přidání VLAN do interface:

   set interfaces ethernet eth1 vif 10 address 192.168.10.1/24
2. Nastavení DHCP pro VLAN:

   set service dhcp-server shared-network-name VLAN10 subnet 192.168.10.0/24 range 0 start 192.168.10.100 stop 192.168.10.200

Segregace sítí a bezpečnost

Pro správné oddělení sítí je důležité:

• Použití firewall pravidel pro blokování neautorizované komunikace mezi VLAN
• Použití management VLAN k oddělení správy síťových zařízení
• Implementace privátních VLAN na Ubiquiti pro další izolaci klientů
• Použití RADIUS autentizace pro dynamické přiřazování VLAN

Oddělení VLAN pomocí firewallu

Na Mikrotiku lze oddělit VLAN pomocí firewall pravidel v /ip firewall filter:

/ip firewall filter add chain=forward action=drop in-interface=vlan10 out-interface=vlan20

Toto pravidlo zakáže komunikaci mezi VLAN10 a VLAN20.

Na EdgeRouteru lze použít:

set firewall name VLAN10-VLAN20 default-action drop
set firewall name VLAN10-VLAN20 rule 10 action accept
set interfaces ethernet eth1 vif 10 firewall in name VLAN10-VLAN20
set interfaces ethernet eth1 vif 20 firewall in name VLAN10-VLAN20

Tento příkaz vytvoří firewall pravidlo pro zablokování provozu mezi VLAN.

Testování a troubleshooting

• Na Mikrotiku použít příkaz:

  /interface vlan print
• Na Ubiquiti ověřit VLAN pomocí:

  show interfaces switchport
• Kontrola paketů pomocí Wireshark

Závěr

Použití VLAN umožňuje efektivní řízení sítě, zvyšuje bezpečnost a optimalizuje provoz. Mikrotik a Ubiquiti nabízí flexibilní metody konfigurace, které lze přizpůsobit potřebám dané organizace.