Cấu hình VLAN trên switch GTWave: Access, Trunk, Voice VLAN và QinQ

VLAN là công cụ phân tách mạng logic mà không cần thêm phần cứng — một switch vật lý chạy được nhiều mạng độc lập, mỗi mạng có broadcast domain riêng. Trong hệ thống camera và an ninh, VLAN thường dùng để tách luồng camera khỏi luồng IT văn phòng, cô lập mạng quản lý, và kiểm soát luồng traffic giữa các phân vùng mạng.

Bài này là bài thứ hai trong chuỗi hướng dẫn switch GTWave, giả định switch đã được cài đặt và bảo mật theo bài cài đặt và truy cập switch GTWave lần đầu. Nội dung đi qua toàn bộ tình huống thực tế: tạo VLAN cho camera, cấu hình trunk giữa các switch, tách thoại và dữ liệu trên cùng một cổng, và Q-in-Q cho hạ tầng có yêu cầu phức tạp hơn.

Ba chế độ cổng và cách chọn đúng

Toàn bộ cấu hình VLAN xoay quanh ba chế độ cổng. Chọn sai chế độ là nguyên nhân phổ biến nhất khiến thiết bị không thông mạng dù VLAN đã tạo đúng.

VLAN 1 là VLAN mặc định trên tất cả cổng và không thể xóa. Thực hành chuẩn là không dùng VLAN 1 cho quản trị hay dữ liệu trong production — tạo VLAN riêng cho từng mục đích và giữ VLAN 1 (hoặc một VLAN không dùng như 999) làm native trunk.

Tạo VLAN và gán access port cho thiết bị đầu cuối

Tình huống điển hình trong dự án camera: tạo VLAN 200 cho hệ thống camera và gán dải cổng ge1/5 đến ge1/8.

Switch# configure terminal

Switch(config)# vlan database

Switch(config-vlan)# vlan 200 name CAMERA

Switch(config-vlan)# exit

Switch(config)# interface range ge1/5-8

Switch(config-if-range)# switchport mode access

Switch(config-if-range)# switchport access vlan 200

Switch(config-if-range)# no shutdown

Switch(config-if-range)# end

Switch# write

Trên Web UI L2, quy trình gồm hai bước: vào VLAN Configuration → VLAN Configuration tạo VID 200, rồi VLAN Configuration → VLAN Port Configuration đặt từng cổng ge1/5 đến ge1/8 sang mode Access, VLAN 200, Apply, và Save Current Configuration.

Kiểm tra sau khi cấu hình:

Switch# show vlan

VLAN  Name      Status   Ports

1     default   active   ge1/1-4, ge1/9-24

200   CAMERA    active   ge1/5-8

Switch# show interface switchport ge1/5

Administrative Mode: access

Access Mode VLAN: 200

Trunk port giữa hai switch

Trunk mang nhiều VLAN qua một liên kết duy nhất bằng cách gắn tag 802.1Q vào mỗi frame. Khi hệ thống có nhiều switch — ví dụ access switch tầng một kết nối lên core switch — trunk là cách để VLAN camera, VLAN quản lý và VLAN văn phòng đi qua cùng một liên kết mà vẫn tách biệt nhau.

Ví dụ: cổng ge1/24 nối lên core, cho phép VLAN 100 (quản lý), 200 (camera), 300 (văn phòng), với native VLAN 999 không dùng để chống tấn công VLAN hopping:

Switch(config)# vlan database

Switch(config-vlan)# vlan 100, 200, 300, 999

Switch(config-vlan)# exit

Switch(config)# interface ge1/24

Switch(config-ge1/24)# switchport mode trunk

Switch(config-ge1/24)# switchport trunk native vlan 999

Switch(config-ge1/24)# switchport trunk allowed vlan none

Switch(config-ge1/24)# switchport trunk allowed vlan add 100,200,300

Switch(config-ge1/24)# no shutdown

Switch(config-ge1/24)# end

Switch# write

Hai lỗi hay gặp nhất với trunk: bỏ qua lệnh switchport trunk allowed vlan none trước khi add (khiến tất cả VLAN 1-4094 vẫn được forward), và để native VLAN lệch nhau giữa hai đầu trunk (gây log spam “native VLAN mismatch” liên tục). Luôn kiểm tra cả hai đầu liên kết khi trunk không hoạt động đúng.

Voice VLAN cho IP phone dùng chung cổng với PC

Trong môi trường văn phòng, IP phone thường có cổng switch tích hợp để cắm tiếp PC. Voice VLAN tách thoại (cần ưu tiên) khỏi dữ liệu trên cùng một cổng vật lý. Switch nhận diện IP phone qua OUI (ba byte đầu của MAC nhà sản xuất), tự gắn lưu lượng thoại vào VLAN 50 với ưu tiên cao, trong khi lưu lượng PC vẫn untagged ở VLAN 30.

Ví dụ: cổng ge1/10, IP phone thuộc VLAN 50, PC thuộc VLAN 30:

Switch(config)# vlan database

Switch(config-vlan)# vlan 30 name DATA

Switch(config-vlan)# vlan 50 name VOICE

Switch(config-vlan)# exit

Switch(config)# voice-vlan oui 001B.5400.0000 mask FFFF.FF00.0000 description Cisco-IP-Phone

Switch(config)# interface ge1/10

Switch(config-ge1/10)# switchport mode access

Switch(config-ge1/10)# switchport access vlan 30

Switch(config-ge1/10)# voice-vlan vlan 50

Switch(config-ge1/10)# voice-vlan port enable

Switch(config-ge1/10)# end

Switch# write

Để ưu tiên thoại hoạt động đúng đầu cuối, kết hợp Voice VLAN với cấu hình QoS — chi tiết nằm ở bài viết Bảo mật và QoS

GVRP — đồng bộ VLAN tự động giữa các switch

GVRP cho phép switch học VLAN từ switch lân cận mà không cần khai báo thủ công ở từng thiết bị.

Switch(config)# gvrp enable

Switch(config)# interface ge1/24

Switch(config-ge1/24)# gvrp registration enable

Switch(config-ge1/24)# end

Switch# show gvrp

⚠ GVRP phát tán VLAN khắp domain và có thể làm mất kiểm soát phạm vi broadcast. Với hệ thống production — đặc biệt hệ thống camera an ninh — nên quản lý VLAN thủ công thay vì dùng GVRP. Kiểm soát tay tốn thêm thời gian cấu hình ban đầu nhưng an toàn và không có rủi ro VLAN tự phát tán ngoài ý muốn.

QinQ cho hạ tầng nhà mạng và Metro

QinQ lồng một tag VLAN bên ngoài (outer) lên tag của khách hàng (inner), cho phép nhà mạng phân tách lưu lượng nhiều khách hàng mà vẫn giữ nguyên VLAN nội bộ của từng khách.

Tình huống: outer VLAN 100 cho khách A, outer VLAN 200 cho khách B:

Switch(config)# interface ge1/1

Switch(config-ge1/1)# switchport mode trunk

Switch(config-ge1/1)# switchport trunk allowed vlan add 100,200

Switch(config-ge1/1)# qinq uplink

Switch(config)# interface ge1/2

Switch(config-ge1/2)# switchport mode hybrid

Switch(config-ge1/2)# switchport hybrid allowed vlan add 100 egress-tagged disable

Switch(config-ge1/2)# qinq customer

Switch(config-ge1/2)# qinq outer-vid 100 inner-vid 500

Switch(config-ge1/2)# end

Switch# show qinq

Hybrid port và VLAN Mapping

Hybrid cho phép một cổng là thành viên của nhiều VLAN với hỗn hợp tagged và untagged – ít dùng trong cấu hình thông thường, chủ yếu cho các trường hợp đặc biệt:

Switch(config)# interface ge1/15

Switch(config-ge1/15)# switchport mode hybrid

Switch(config-ge1/15)# switchport hybrid native vlan 1

Switch(config-ge1/15)# switchport hybrid allowed vlan add 10 egress-tagged enable

Switch(config-ge1/15)# switchport hybrid allowed vlan add 20 egress-tagged disable

VLAN Mapping đổi VLAN ID khi lưu lượng vào switch — dùng khi hai mạng có VLAN ID trùng nhau cần kết nối:

Switch(config)# interface ge1/1

Switch(config-ge1/1)# vlan-mapping vlan 100 map-vlan 1000

Switch(config-ge1/1)# vlan-mapping enable

Xử lý sự cố VLAN thường gặp

Với PC không nhận DHCP, đối chiếu thêm bài Dịch vụ DHCP trên switch GTWave. Nếu nghi vấn loop khi mở rộng VLAN qua nhiều switch, xem bài Chống loop và mạng vòng trên switch GTWave

Sáu thực hành tốt khi thiết kế VLAN

•  Không dùng VLAN 1 cho quản lý hay dữ liệu trong production — chỉ giữ làm native không dùng
•  Tạo một VLAN “rác” (ví dụ 999) làm native trunk để chống VLAN hopping
•  Trunk chỉ liệt kê đúng những VLAN cần thiết, không dùng all trừ khi test
•  Đặt tên VLAN có nghĩa như MGMT, CAMERA, IOT, GUEST thay vì chỉ số
•  Lập tài liệu VLAN plan gồm VID, mục đích, subnet, gateway và dải DHCP
•  Tránh GVRP trong môi trường production

Lưu ý khi cấu hình VLAN cho hệ thống camera Ikegawa

Switch GTWave tương thích với mọi thiết bị PoE chuẩn 802.3af/at/bt. Phần dưới là lưu ý riêng khi kết hợp với camera Ikegawa — nếu bạn đang dùng hãng camera khác, các bước cấu hình PoE/VLAN phía trên vẫn áp dụng hoàn toàn.

Khi triển khai hệ thống camera Ikegawa trên switch GTWave, một số điểm cần lưu ý để VLAN hoạt động đúng ngay từ đầu:

Tách VLAN camera và VLAN quản lý ngay từ bước thiết kế

Đặt toàn bộ camera Ikegawa vào VLAN riêng (ví dụ VLAN 200), NVR nên đặt cùng VLAN với camera để tránh phải cấu hình routing giữa VLAN — nếu tách NVR ra VLAN riêng thì cần thêm L3 routing hoặc DHCP relay. Management switch GTWave đặt vào VLAN quản lý riêng (ví dụ VLAN 100). Tách từ đầu giúp cô lập traffic giám sát, dễ QoS và dễ troubleshoot khi có sự cố.

Trunk phải có đủ các VLAN camera đi qua

Khi hệ thống có nhiều switch — access switch tại tầng nối lên core — trunk giữa các switch phải allowed đủ VLAN camera và NVR. Lỗi hay gặp nhất là trunk chỉ allowed VLAN quản lý, dẫn đến camera thông mạng trong switch access nhưng NVR ở switch khác không thấy camera.

IGMP Snooping cần bật khi dùng multicast

Camera Ikegawa hỗ trợ ONVIF và dùng multicast cho một số tính năng phát hiện thiết bị. Bật IGMP Snooping trên switch GTWave để kiểm soát multicast traffic, tránh flood toàn bộ VLAN camera khi có nhiều NVR và camera hoạt động đồng thời. Lưu ý: cần có IGMP Querier hoạt động trong VLAN camera, nếu không multicast có thể bị chặn hoàn toàn thay vì chỉ được kiểm soát. Cấu hình IGMP Snooping chi tiết nằm ở bài Giám sát và quản trị switch GTWave: SNMP, RMON, LLDP và Syslog

Native VLAN phải khớp trên cả hai đầu trunk

Lỗi native VLAN mismatch xuất hiện thường xuyên khi kết nối switch GTWave với switch của hãng khác trong cùng dự án. Luôn kiểm tra và đặt khớp native VLAN trước khi bàn giao hệ thống.

Câu hỏi thường gặp

Access port và trunk port khác nhau thế nào?

Access port chỉ thuộc một VLAN và truyền traffic không có tag — dùng cho thiết bị đầu cuối như camera, PC. Trunk port mang nhiều VLAN qua tag 802.1Q — dùng để kết nối switch với switch hoặc switch với router.

Vì sao không nên dùng VLAN 1 cho production?

VLAN 1 là VLAN mặc định trên mọi cổng, không thể xóa và dễ bị khai thác qua tấn công VLAN hopping. Đẩy quản trị và dữ liệu ra VLAN khác, giữ VLAN 1 làm native không dùng là thực hành bảo mật cơ bản.

Trunk không thông sau khi cấu hình thì kiểm tra gì trước tiên?

Kiểm tra theo thứ tự: native VLAN có khớp cả hai đầu không, allowed VLAN có đúng không (dùng show interface trunk), no shutdown đã chạy chưa, và cáp vật lý có vấn đề không.

GVRP có nên dùng trong hệ thống camera không?

Không khuyến nghị. GVRP tự phát tán VLAN khắp domain, khó kiểm soát trong môi trường production. Quản lý VLAN thủ công tốn thêm thời gian cấu hình ban đầu nhưng an toàn và dễ troubleshoot hơn.

QinQ dùng trong trường hợp nào?

QinQ chủ yếu dùng cho hạ tầng nhà mạng và Metro Ethernet khi cần phân tách lưu lượng nhiều khách hàng mà vẫn giữ nguyên VLAN nội bộ của từng khách. Trong dự án camera thông thường, QinQ không cần thiết.

PC không nhận DHCP sau khi gán vào VLAN mới thì xử lý thế nào?

Kiểm tra DHCP server có scope cho VLAN đó chưa. Nếu DHCP server ở VLAN khác, cần cấu hình DHCP relay trên interface VLAN của switch L3 để forward DHCP request qua VLAN boundary

Trường Sơn Solutions là nhà phân phối ủy quyền GTWave tại Việt Nam, hỗ trợ tư vấn thiết kế VLAN plan và cung cấp switch GTWave cho dự án camera, doanh nghiệp và công nghiệp trên toàn quốc, kèm đầy đủ hồ sơ CO/CQ cho dự án đầu tư công. Liên hệ để được hỗ trợ.

• Điện thoại: 0909 490 007
• Email: info@truongsonsolutions.com