Em primeiro lugar, já sei que existem 2 tipos de VLAN:
- VLAN baseada em porta
- VLAN baseada em tags (também conhecido como IEEE 802.1q)
Estou usando um TP-Link TL-R480T+ v6. O manual afirma que seu switch usa a porta VLAN - estou bem com isso.
4.3.5.6 Porta VLAN
A função VLAN pode evitar a tempestade de broadcast em LANs e aumentar a segurança da rede. Ao criar VLANs em uma LAN física, você pode dividir a LAN em várias LANs lógicas, cada uma com seu próprio domínio de broadcast. Hosts na mesma VLAN se comunicam entre si como se estivessem em uma LAN. No entanto, hosts em VLANs diferentes não podem se comunicar diretamente. Portanto, os pacotes de broadcast são limitados em uma VLAN.
O TL-R480T+ fornece a função Port VLAN, que permite criar várias VLANs lógicas para as portas LAN com base em seus números de porta.
Veja como fica na interface da web:
De fato, impede que hosts de diferentes VLANs se comuniquem entre si. Mas a primeira coisa estranha que encontrei depois de configurar 3 VLANs diferentes é que: a interface do roteador que se conecta ao switch usa um único endereço IP 192.168.0.1para todas as VLANs. Um host de qualquer VLAN pode se conectar ao roteador usando esse endereço. Como isso pode acontecer?
Presumi que internamente seu roteador criou 3 interfaces virtuais diferentes voltadas para 3 VLANs, com o mesmo endereço IP 192.168.0.1para todas as 3 interfaces (parece estúpido demais para ser verdade). Mas então, acabei de perceber que o servidor DHCP integrado também se conectava a todas as VLANs e distribuía endereços não duplicados para clientes pertencentes a diferentes VLANs. Por que fez isso?
Decidi usar 2 computadores conectados a 2 portas diferentes (ou VLANs) e os configurei para usar o mesmo endereço IP. Adivinha? Um deles não funcionou devido a conflito de IP. Desde quando os hosts de diferentes domínios de transmissão não podem usar o mesmo endereço IP?
Alguém consegue adivinhar como essa coisa funciona sob o capô?
Isso se parece muito com o recurso de isolamento de porta (também conhecido como "VLAN privada") encontrado em muitos switches.
Ignore "VLAN" em seu nome. Na verdade, ele deve funcionar como uma sub-rede única normal (domínio de transmissão único), exceto que todas as portas 'cliente' ou 'não confiável' só podem enviar/receber quadros Ethernet para o 'roteador' ou porta 'confiável' - mas não diretamente entre si.
(Ou em outras palavras: Do ponto de vista do roteador, todos os clientes estão em um único domínio de broadcast, nada mudou em relação à Ethernet regular. O roteador ainda resolve endereços IP da mesma forma, sejam duplicados ou não. Apenas da perspectiva dos clientes, porque o cliente só tem permissão para enviar quadros para o roteador, o resultado é como se cada cliente tivesse um domínio de transmissão virtual separado de todos os outros. Portanto, a descrição do TP-Link não está errada, apenas incompleta.)
Por exemplo, se você tiver uma rede pública cheia de dispositivos mutuamente não confiáveis – como uma LAN de dormitório ou Wi-Fi de cafeteria – você deseja que os clientes tenham apenas acesso à Internet, mas não possam entrar em contato uns com os outros. (Os APs Wi-Fi têm o mesmo recurso, mas chamam de "isolamento do cliente".)
Isso evita que você crie um grande número de minúsculas VLANs, sub-redes IP e pools DHCP, cada um contendo apenas um dispositivo cliente (e cada endereço IP sendo vinculado a uma porta física devido às VLANs geralmente serem atribuídas estaticamente).
Às vezes, o isolamento de porta é usado junto com Proxy-ARP, onde o roteador responde a solicitações ARP em nome de toda a LAN. Isso permitiria que os clientes se alcançassem novamente, mas apenas por meio do roteador – o que permite que os pacotes sejam filtrados usando as regras de firewall do roteador, de maneira semelhante ao tráfego entre VLANs.