Mạng LAN ảo chia một bộ chuyển mạch công nghiệp có quản lý thành các miền quảng bá Lớp 2 riêng biệt. Bộ chuyển mạch không chỉ đơn thuần phân màu cáp: cơ sở dữ liệu chuyển tiếp, việc phát tràn quảng bá và phát tràn unicast chưa biết địa chỉ đích đều được giới hạn theo VLAN. Thiết bị đầu cuối thường sử dụng cổng access không gắn thẻ, trong khi đường trunk uplink mang nhiều VLAN với thẻ IEEE 802.1Q.
Việc phân tách VLAN thực sự kiểm soát những gì
Các khung quảng bá và khung chưa biết địa chỉ đích vẫn nằm trong VLAN của chúng. Nhờ đó, thiết bị điều khiển, camera và trạm kỹ thuật có thể dùng chung phần cứng chuyển mạch mà không dùng chung một miền quảng bá. Giao tiếp giữa các VLAN cần có bộ định tuyến, bộ chuyển mạch Lớp 3 hoặc tường lửa, nơi chính sách có thể giới hạn hướng truyền và các dịch vụ được phép.
VLAN không phải là một hệ thống bảo mật hoàn chỉnh. Xác thực thiết bị, bảo vệ mặt phẳng quản lý, quy tắc truy cập liên VLAN và kiểm soát thay đổi vẫn cần được thiết kế rõ ràng.
Chiều vào và chiều ra của cổng access
Hầu hết PLC, HMI và camera đều gửi các khung Ethernet thông thường không gắn thẻ. Khi một khung như vậy đi vào cổng access, bộ chuyển mạch gán khung đó vào ID VLAN của cổng, hay PVID. Bên trong bộ chuyển mạch, việc học địa chỉ MAC và chuyển tiếp diễn ra trong ngữ cảnh VLAN đó. Khi khung rời cổng access, bộ chuyển mạch thường loại bỏ thẻ 802.1Q trước khi chuyển đến thiết bị đầu cuối.
Sự không nhất quán giữa PVID, các VLAN được phép và cách xử lý ở chiều ra có thể gây ra lưu lượng một chiều, dịch vụ DHCP không đúng hoặc quảng bá đi vào sai vùng. Khi khắc phục sự cố, phải kiểm tra cả việc phân loại ở chiều vào lẫn cách xử lý ở chiều ra.
Cách đường trunk mang nhiều VLAN
Đường trunk 802.1Q chèn một thẻ chứa mã định danh VLAN, cho phép nhiều miền quảng bá sử dụng chung một đường uplink cáp đồng hoặc cáp quang. Cả hai đầu phải cho phép cùng các VLAN và thống nhất cách xử lý lưu lượng không gắn thẻ hoặc lưu lượng native. Trunk không phải là gộp liên kết: mọi VLAN vẫn chia sẻ dung lượng của cùng một liên kết vật lý.
Hãy lập kế hoạch cho tổng tải ổn định và tải đột biến của tất cả VLAN. Các đợt lưu lượng video tăng vọt, hoạt động tải xuống phục vụ kỹ thuật và lưu lượng điều khiển có thể tranh chấp trong hàng đợi uplink dù các miền quảng bá đã được phân tách. QoS và hoạch định dung lượng vẫn cần thiết.
PVID và việc gắn thẻ phụ thuộc vào hướng truyền
PVID chủ yếu phân loại khung không gắn thẻ đi vào một cổng. Tư cách thành viên có gắn thẻ hoặc không gắn thẻ thường mô tả cách khung rời cổng. Kỹ sư nên trả lời riêng ba câu hỏi: cổng chấp nhận những VLAN nào, khung không gắn thẻ ở chiều vào thuộc VLAN nào, và mỗi khung ở chiều ra giữ lại hay bị loại bỏ thẻ.
Bản bắt gói tin có thể không hiển thị tiêu đề 802.1Q khi điểm sao chép lưu lượng nằm sau vị trí loại bỏ thẻ hoặc khi bộ điều hợp bắt gói tin loại bỏ thẻ. Hãy ghi lại vị trí sao chép lưu lượng và đối chiếu bản bắt gói tin với các bảng VLAN, bảng MAC và bộ đếm cổng.
Cấu hình và nghiệm thu trong công nghiệp
Lập bảng bao quát từng thiết bị, cổng chuyển mạch, VLAN, mạng con IP, cổng mặc định và luồng liên vùng được phép. Tách lưu lượng quản lý khỏi lưu lượng video dung lượng lớn, đồng thời vô hiệu hóa các cổng không sử dụng hoặc đưa chúng vào một VLAN cô lập. Chốt phiên bản cấu hình trước khi đưa vào vận hành.
Thử nghiệm nghiệm thu cần xác minh giao tiếp trong cùng VLAN, việc chặn hoặc định tuyến liên VLAN theo yêu cầu, khả năng giới hạn quảng bá, khôi phục đường trunk và khả năng giữ nguyên cấu hình sau khi khởi động lại. Hãy thử nghiệm với tải điều khiển, video và bảo trì thực tế thay vì chỉ dựa vào lệnh ping đơn giản. Khả năng VLAN trên các bộ chuyển mạch công nghiệp FCTEL khác nhau tùy theo model và firmware; hãy tham khảo tài liệu hiện hành và xác thực cấu trúc liên kết mục tiêu.
