Создание виртуальных сетей (VLAN)

Создание VLAN

UniFi позволяет создавать VLAN на шлюзах UniFi и сторонних шлюзах, а также предлагает альтернативу для небольших объектов — VLAN Magic.

VLAN на шлюзах UniFi

Это основной способ создания VLAN в развертываниях UniFi.

1. В UniFi Network перейдите в Settings > Networks и создайте новую виртуальную сеть.

2. Назовите сеть.

3. При необходимости настройте параметры, такие как VLAN ID, диапазон подсетей, DHCP, изоляция, фильтрация контента и DNS.

4. Нажмите Apply Changes.

По умолчанию, VLAN, созданные на шлюзах UniFi, не назначают устройства автоматически. См. следующий раздел для вариантов назначения.

VLAN на сторонних шлюзах

Если вы используете сторонний шлюз, сначала необходимо создать VLAN на нем, прежде чем UniFi сможет их распознать.

1. Настройте подсеть, VLAN ID и параметры DHCP на стороннем шлюзе.

2. В UniFi перейдите в Settings > Networks и создайте новую виртуальную сеть.

3. В разделе Router выберите Third-party Gateway.

4. Используйте тот же VLAN ID, что и на стороннем шлюзе, для согласованности.

5. Нажмите Apply Changes.

Большинство сторонних шлюзов по умолчанию блокируют меж-VLAN-общение. При необходимости настройте маршрутизацию и правила межсетевого экрана (фаервола) на шлюзе.

VLAN Magic: упрощение для небольших объектов

VLAN Magic упрощает создание VLAN, позволяя назначать VLAN напрямую по MAC-адресу сразу нескольким устройствам.

1. В разделе Network нажмите Topology в левой панели.

2. Нажмите символ “⊕”, чтобы открыть панель создания виртуальной сети.

3. Назовите VLAN и выберите устройства из топологии.

4. (По желанию) Включите изоляцию сети или блокировку доступа в интернет.

5. Нажмите Apply Changes.

VLAN Magic не поддерживается на следующих моделях коммутаторов:

• USW Flex

• USW Flex Mini

• USW Ultra

• USW Flex 2.5G series

• ECS Aggregation

Назначение устройств в VLAN

VLAN сегментируют сеть для повышения безопасности, оптимизации трафика и упрощения управления. UniFi предлагает статическое и динамическое назначение VLAN, в зависимости от требований сети.

Чтобы настроить VLAN, следуйте руководству по созданию виртуальных сетей. Ниже приведены методы назначения VLAN, классифицированные по сложности и применению.

Простое / Статическое назначение VLAN

Эти методы используют SSID или порты коммутатора для назначения VLAN, без необходимости аутентификации.

Назначение VLAN для WiFi SSID

Каждому SSID можно назначить один VLAN, чтобы все подключенные устройства оставались в пределах заданного VLAN. Для большей гибкости можно использовать PPSK (Per-Password VLAN), который позволяет использовать несколько VLAN на одном SSID, где VLAN определяется по введенному паролю.

Этот метод подходит для простого разделения Wi-Fi без сложной аутентификации.

Назначение VLAN для проводных клиентов

VLAN можно назначать напрямую на порты коммутатора, чтобы каждое устройство, подключенное к определенному порту, автоматически попадало в заданный VLAN. Это подходит для стационарных устройств — серверов, принтеров, рабочих станций и пр. 

Продвинутое / Динамическое назначение VLAN

Динамическое назначение VLAN обеспечивает большую гибкость за счёт использования аутентификации по учетным данным пользователя или свойствам устройства.

Подходит для сетей, где устройства или пользователи могут перемещаться между точками доступа и портами, но при этом должны сохранять свою VLAN.

Назначение VLAN на основе логина и пароля

Аутентификация RADIUS (802.1X) позволяет назначать VLAN на основе учетных данных пользователя. При входе в систему сервер RADIUS определяет, в какой VLAN должен попасть пользователь.

Идеально подходит для организаций, где разные отделы нуждаются в разном доступе, например, бухгалтерия — в «Accounting VLAN».

Назначение VLAN по MAC-адресу через RADIUS

Вместо учетных данных пользователя VLAN назначается по MAC-адресу устройства. Это позволяет устройству всегда подключаться к одному VLAN, даже при перемещении. Полезно для IoT-устройств, камер и др. клиентов, которым нужен стабильный VLAN. 

Требуется шлюз UniFi. Это наиболее распространенный способ назначения VLAN по MAC-адресу.

Назначение VLAN по MAC через Virtual Network Override

Шлюзы UniFi поддерживают функцию Virtual Network Override (VNO), которая динамически назначает VLAN на основе MAC-адреса устройства на уровне шлюза. Это упрощает сегментацию, без необходимости настройки коммутаторов или точек доступа.

Также требует шлюз UniFi. Упрощенный способ назначения VLAN по MAC — полезно, если WPA3 Enterprise не поддерживается или как альтернатива PPSK, который недоступен на частоте 6 ГГц.

Как извлечь максимум из VLAN

VLAN повышают сегментацию, безопасность и эффективность управления трафиком. Понимание принципов их работы позволяет добиться максимальной пользы:

• Сегментация сети: Разделяйте устройства и сервисы для повышения производительности и уменьшения перегрузки.

• Безопасность: Ограничьте доступ между VLAN для усиления защиты.

• Управление трафиком: Контролируйте меж-VLAN-трафик для повышения эффективности.