VLAN là gì ? Khái niệm về VLAN

VLAN là mạng LAN ảo dùng để chia một hệ thống chuyển mạch vật lý thành nhiều miền quảng bá độc lập. Các thiết bị thuộc cùng VLAN có thể giao tiếp với nhau như đang nằm trong cùng một mạng LAN, kể cả khi chúng được kết nối vào những switch khác nhau.

Nói đơn giản, VLAN giúp quản trị viên chia mạng theo phòng ban, chức năng hoặc mức độ bảo mật mà không phải kéo một hệ thống dây riêng cho từng nhóm. Nhờ đó, mạng dễ quản lý hơn, giảm lưu lượng broadcast và hạn chế việc thiết bị không liên quan nhìn thấy nhau.

VLAN là gì?

VLAN là viết tắt của Virtual Local Area Network, nghĩa là mạng cục bộ ảo. Mỗi VLAN tạo thành một miền quảng bá riêng trong hệ thống mạng Layer 2.

Trong một switch thông thường, các cổng có thể được chia thành nhiều nhóm. Mỗi nhóm được gán vào một VLAN khác nhau. Thiết bị cắm vào các cổng thuộc cùng VLAN sẽ nằm chung một miền quảng bá, còn thiết bị ở VLAN khác sẽ được tách biệt.

Ví dụ, một công ty có thể chia mạng thành:

• VLAN 10 dành cho phòng Kế toán.
• VLAN 20 dành cho phòng Kinh doanh.
• VLAN 30 dành cho hệ thống camera.
• VLAN 40 dành cho khách truy cập Wi-Fi.
• VLAN 99 dành cho quản trị thiết bị mạng.

Mặc dù tất cả thiết bị có thể kết nối vào cùng một hệ thống switch, chúng vẫn được tách thành các mạng logic khác nhau. Đây chính là giá trị cốt lõi của VLAN.

VLAN hoạt động như thế nào?

Mỗi VLAN được xem như một mạng riêng ở Layer 2. Khung broadcast được tạo trong VLAN nào sẽ chỉ được chuyển tiếp tới các cổng thuộc VLAN đó.

Khi một máy tính trong VLAN 10 gửi gói ARP broadcast, switch sẽ chuyển khung này tới những cổng khác trong VLAN 10. Các cổng thuộc VLAN 20 hoặc VLAN 30 không nhận được khung broadcast đó.

Nhờ cách chia này, một hệ thống switch vật lý có thể phục vụ nhiều mạng logic cùng lúc mà không làm tất cả thiết bị nằm chung một miền quảng bá khổng lồ.

Mỗi VLAN có phải là một mạng IP riêng không?

Trong thiết kế mạng phổ biến, mỗi VLAN thường được gắn với một subnet IP riêng.

Cách tổ chức này giúp việc định tuyến, cấp phát DHCP, kiểm soát truy cập và xử lý sự cố rõ ràng hơn.

Vì sao VLAN được sử dụng trong mạng doanh nghiệp?

VLAN không chỉ giúp chia mạng cho gọn. Công nghệ này còn hỗ trợ bảo mật, kiểm soát broadcast và tổ chức hệ thống theo đúng nhu cầu vận hành.

Giảm phạm vi broadcast

Nếu toàn bộ thiết bị nằm trong một mạng Layer 2 duy nhất, mỗi khung broadcast có thể được chuyển tới rất nhiều cổng. Khi số lượng thiết bị tăng, lượng broadcast cũng tăng theo.

VLAN chia mạng thành nhiều miền quảng bá nhỏ. Broadcast của phòng Kế toán không cần đi tới camera, máy chấm công hay mạng Wi-Fi khách.

Tăng khả năng phân tách và bảo mật

Thiết bị ở hai VLAN khác nhau không thể giao tiếp trực tiếp ở Layer 2. Muốn trao đổi dữ liệu, lưu lượng phải đi qua router hoặc switch Layer 3.

Điều này cho phép quản trị viên áp dụng ACL, firewall hoặc chính sách kiểm soát giữa các nhóm thiết bị. Ví dụ, mạng Wi-Fi khách có thể chỉ được phép truy cập Internet và bị chặn hoàn toàn khỏi hệ thống máy chủ nội bộ.

Dễ quản lý theo phòng ban hoặc chức năng

VLAN giúp nhóm người dùng theo chức năng thay vì vị trí cắm dây. Một nhân viên thuộc phòng Kế toán có thể ngồi ở tầng khác nhưng vẫn được đưa vào VLAN Kế toán.

Quản trị viên chỉ cần cấu hình đúng VLAN trên cổng switch, thay vì phải kéo toàn bộ nhân sự về cùng một khu vực vật lý. Khá tiện đúng không, Haha :))

Hỗ trợ mở rộng hệ thống

Khi doanh nghiệp có thêm switch, VLAN có thể được mở rộng qua các đường trunk. Nhờ đó, cùng một VLAN có thể xuất hiện trên nhiều switch và nhiều tầng khác nhau.

Tách biệt các loại thiết bị

Trong hệ thống hiện đại, quản trị viên thường chia riêng VLAN cho:

• Máy tính người dùng.
• Máy chủ.
• Điện thoại IP.
• Camera giám sát.
• Thiết bị IoT.
• Wi-Fi nội bộ.
• Wi-Fi khách.
• Thiết bị quản trị mạng.

Cách phân tách này giúp giảm ảnh hưởng khi một nhóm thiết bị gặp lỗi hoặc bị tấn công.

• VLAN tăng số lượng miền quảng bá trong khi giảm kích thước của chúng.
• VLAN giảm rủi ro bảo mật bằng cách giảm số lượng máy chủ nhận bản sao của các khung mà bộ chuyển mạch tràn vào.
• bạn có thể giữ các máy chủ lưu trữ dữ liệu nhạy cảm trên một VLAN riêng biệt để cải thiện bảo mật.
• bạn có thể tạo thiết kế mạng linh hoạt hơn nhóm người dùng theo bộ phận thay vì theo vị trí thực tế.
• các thay đổi mạng có thể đạt được một cách dễ dàng chỉ bằng cách cấu hình một cổng vào VLAN thích hợp.

Điều gì xảy ra nếu mạng không sử dụng VLAN?

Nếu không chia VLAN, phần lớn cổng switch có thể nằm trong cùng một miền quảng bá. Khi một thiết bị gửi broadcast, khung sẽ được chuyển tới tất cả cổng liên quan trong miền đó.

Ví dụ, máy chủ A gửi một gói ARP broadcast. Nếu toàn bộ mạng chỉ có một VLAN, nhiều máy tính, camera, máy in và thiết bị khác đều phải nhận rồi xử lý khung này, dù phần lớn không liên quan.

Khi số lượng thiết bị còn ít, ảnh hưởng có thể chưa rõ ràng. Nhưng khi mạng phát triển lên hàng trăm hoặc hàng nghìn thiết bị, một miền quảng bá quá lớn sẽ khiến việc vận hành, xử lý sự cố và kiểm soát bảo mật trở nên khó khăn hơn.

Khi chia VLAN, broadcast từ máy chủ A chỉ được chuyển tới những cổng thuộc cùng VLAN. Thiết bị ở VLAN khác không nhận được khung này và cũng không biết quá trình broadcast vừa diễn ra.

Thiết bị ở hai VLAN khác nhau có giao tiếp được không?

Có, nhưng lưu lượng phải được định tuyến qua thiết bị Layer 3. Switch Layer 2 thông thường không tự chuyển tiếp dữ liệu giữa hai VLAN khác nhau.

Để các VLAN giao tiếp, hệ thống có thể sử dụng:

• Router với mô hình Router-on-a-Stick.
• Switch Layer 3 sử dụng SVI.
• Firewall làm gateway cho từng VLAN.
• Thiết bị SD-WAN hoặc gateway chuyên dụng.

Inter-VLAN Routing là gì?

Inter-VLAN Routing là quá trình định tuyến lưu lượng giữa các VLAN. Mỗi VLAN thường có một địa chỉ gateway riêng.

Ví dụ:

• VLAN 10 sử dụng gateway 192.168.10.1.
• VLAN 20 sử dụng gateway 192.168.20.1.

Khi máy tính trong VLAN 10 muốn truy cập máy chủ ở VLAN 20, lưu lượng sẽ được gửi tới gateway, sau đó thiết bị Layer 3 thực hiện định tuyến sang VLAN đích.

Tại đây, quản trị viên có thể đặt chính sách cho phép hoặc từ chối. Không phải cứ có định tuyến là mọi VLAN được phép truy cập lẫn nhau.

Cổng Access và cổng Trunk khác nhau thế nào?

Access và trunk là hai kiểu cổng rất quan trọng khi triển khai VLAN.

Access Port là gì?

Access Port thường được dùng để kết nối thiết bị đầu cuối. Cổng này được gán vào một VLAN cụ thể.

Ví dụ, cổng GigabitEthernet1/0/10 được gán vào VLAN 20. Máy tính kết nối vào cổng đó sẽ trở thành thành viên của VLAN 20.

interface GigabitEthernet1/0/10
 switchport mode access
 switchport access vlan 20

Trunk Port là gì?

Trunk Port cho phép nhiều VLAN cùng đi qua một liên kết vật lý. Trunk thường được sử dụng giữa hai switch hoặc giữa switch với router, firewall và access point.

interface GigabitEthernet1/0/48
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,40

Trong ví dụ trên, đường trunk chỉ cho phép VLAN 10, 20, 30 và 40 đi qua.

Thẻ 802.1Q trong VLAN là gì?

IEEE 802.1Q là tiêu chuẩn dùng để gắn thông tin VLAN vào khung Ethernet khi khung đi qua đường trunk.

Khi switch gửi một khung thuộc VLAN 20 qua trunk, thiết bị sẽ thêm VLAN ID vào phần thẻ 802.1Q. Switch ở đầu bên kia đọc VLAN ID này để biết khung thuộc VLAN nào.

Nếu không có cơ chế gắn thẻ, switch nhận sẽ không thể phân biệt khung của VLAN 10, VLAN 20 hay VLAN 30 trên cùng một đường truyền.

Native VLAN là gì?

Native VLAN là VLAN có thể được truyền dưới dạng không gắn thẻ trên trunk 802.1Q, tùy cấu hình và nền tảng thiết bị.

Native VLAN ở hai đầu trunk cần được cấu hình thống nhất. Nếu không khớp, hệ thống có thể xuất hiện cảnh báo, lỗi kết nối hoặc nguy cơ bảo mật.

Trong môi trường doanh nghiệp, không nên tùy tiện sử dụng VLAN mặc định làm native VLAN cho toàn bộ hệ thống. Cách triển khai cụ thể cần dựa trên tiêu chuẩn vận hành của từng đơn vị.

VLAN ID là gì?

VLAN ID là số dùng để xác định một VLAN trong hệ thống.

Với chuẩn 802.1Q, VLAN ID được chia thành các nhóm thường gặp:

VLAN ID 0 và 4095 được dành riêng, không sử dụng như VLAN thông thường.

Không phải thiết bị nào cũng hỗ trợ đầy đủ mọi dải VLAN theo cùng một cách. Khi triển khai, cần kiểm tra model switch và phiên bản phần mềm đang sử dụng.

Có những loại VLAN nào?

VLAN có thể được đặt tên theo mục đích sử dụng. Một số loại phổ biến gồm:

Data VLAN

Data VLAN dùng để truyền dữ liệu của người dùng như máy tính, laptop hoặc thiết bị văn phòng.

Voice VLAN

Voice VLAN dành cho điện thoại IP. Việc tách riêng thoại giúp áp dụng QoS và chính sách bảo mật thuận tiện hơn.

Management VLAN

Management VLAN dùng để quản trị switch, access point, controller, firewall và các thiết bị hạ tầng.

VLAN quản trị không nên cho người dùng thông thường truy cập trực tiếp. Hệ thống nên có ACL, firewall hoặc mạng quản trị riêng để kiểm soát.

Guest VLAN

Guest VLAN dành cho khách truy cập. VLAN này thường chỉ được phép ra Internet và bị chặn truy cập tài nguyên nội bộ.

Native VLAN

Native VLAN xử lý khung không gắn thẻ trên liên kết trunk 802.1Q. Hai đầu trunk phải có cấu hình phù hợp để tránh mismatch.

Parking VLAN

Parking VLAN được dùng để đưa các cổng chưa sử dụng vào một VLAN riêng, hạn chế nguy cơ ai đó cắm thiết bị vào cổng trống rồi truy cập mạng nội bộ.

VLAN tĩnh và VLAN động khác nhau thế nào?

VLAN tĩnh và VLAN động khác nhau ở cách thiết bị được gán vào VLAN.

VLAN tĩnh

VLAN tĩnh dựa trên cổng switch. Quản trị viên cấu hình cổng nào thuộc VLAN nào.

Đây là mô hình phổ biến vì dễ hiểu, dễ kiểm tra và phù hợp với phần lớn hệ thống doanh nghiệp.

VLAN động

VLAN động gán thiết bị vào VLAN dựa trên thông tin như địa chỉ MAC, tài khoản người dùng, chứng thực 802.1X hoặc chính sách từ hệ thống NAC.

Mô hình này linh hoạt hơn nhưng yêu cầu hệ thống xác thực, policy và vận hành phức tạp hơn.

Ví dụ VLAN trong một doanh nghiệp

Giả sử doanh nghiệp có bốn nhóm thiết bị:

• 100 máy tính văn phòng.
• 30 điện thoại IP.
• 50 camera.
• Mạng Wi-Fi dành cho khách.

Thay vì đưa tất cả vào cùng một mạng, quản trị viên có thể thiết kế:

Nếu camera bị tấn công, việc tách VLAN và giới hạn truy cập giúp giảm nguy cơ thiết bị đó kết nối trực tiếp tới máy tính nhân viên.

Cách cấu hình VLAN cơ bản trên switch Cisco

Ví dụ dưới đây minh họa cách tạo VLAN và gán một cổng access. Cú pháp có thể khác tùy dòng switch và phiên bản phần mềm.

Tạo VLAN

configure terminal
vlan 20
 name SALES
exit

Gán cổng vào VLAN

interface GigabitEthernet1/0/10
 switchport mode access
 switchport access vlan 20
 spanning-tree portfast
exit

Kiểm tra VLAN

show vlan brief

Lệnh này hiển thị danh sách VLAN và các cổng access đang thuộc từng VLAN.

Kiểm tra đường trunk

show interfaces trunk

Lệnh này giúp xác định cổng trunk đang hoạt động, native VLAN và danh sách VLAN được phép đi qua.

Những lỗi VLAN thường gặp

VLAN chưa được tạo trên switch

Cổng có thể đã được gán VLAN nhưng VLAN tương ứng chưa tồn tại hoặc chưa hoạt động đúng trên switch.

VLAN không được phép đi qua trunk

VLAN tồn tại ở cả hai switch nhưng bị thiếu trong danh sách allowed VLAN. Khi đó, thiết bị ở hai đầu không thể giao tiếp qua đường trunk.

Native VLAN không khớp

Hai đầu trunk sử dụng native VLAN khác nhau, gây cảnh báo và có thể dẫn tới lưu lượng bị xử lý sai.

Thiếu cấu hình Inter-VLAN Routing

Thiết bị trong cùng VLAN giao tiếp bình thường nhưng không truy cập được VLAN khác. Nguyên nhân thường là thiếu gateway, SVI, route hoặc chính sách firewall.

Sai subnet hoặc default gateway

Máy tính được cắm đúng VLAN nhưng cấu hình IP sai subnet hoặc sai gateway. Đây là lỗi rất phổ biến khi xử lý sự cố.

Spanning Tree chặn đường truyền

VLAN và trunk đều đúng nhưng một cổng đang ở trạng thái blocking hoặc bị ảnh hưởng bởi lỗi spanning tree.

Checklist kiểm tra khi thiết bị không liên lạc qua VLAN

1. Kiểm tra địa chỉ IP, subnet mask và default gateway của thiết bị.
2. Kiểm tra cổng switch đang ở đúng access VLAN hay chưa.
3. Xác nhận VLAN tồn tại bằng lệnh show vlan brief.
4. Kiểm tra trạng thái vật lý của cổng.
5. Kiểm tra đường trunk bằng show interfaces trunk.
6. Xác nhận VLAN được phép đi qua trunk.
7. Kiểm tra native VLAN ở hai đầu.
8. Kiểm tra bảng MAC trên switch.
9. Kiểm tra SVI hoặc gateway của VLAN.
10. Kiểm tra ACL, firewall và chính sách định tuyến.

VLAN có phải là giải pháp bảo mật tuyệt đối không?

Không. VLAN giúp phân tách mạng ở Layer 2 nhưng không tự động tạo ra một hệ thống bảo mật hoàn chỉnh.

Để tăng mức độ an toàn, VLAN nên được kết hợp với:

• ACL giữa các VLAN.
• Firewall hoặc segmentation gateway.
• 802.1X và hệ thống NAC.
• Port Security.
• DHCP Snooping.
• Dynamic ARP Inspection.
• IP Source Guard.
• Quản lý tài khoản và phân quyền thiết bị.
• Giám sát lưu lượng và nhật ký truy cập.

Nếu mọi VLAN đều được phép truy cập tự do qua router hoặc firewall, việc chia VLAN chỉ mang lại lợi ích về tổ chức và broadcast, chưa tạo ra phân vùng bảo mật thực sự.

VLAN và subnet khác nhau như thế nào?

Trong thiết kế phổ biến, một VLAN tương ứng với một subnet. Tuy nhiên, hai khái niệm này không hoàn toàn giống nhau: VLAN là phân đoạn Layer 2, còn subnet là phân đoạn địa chỉ IP ở Layer 3.

VLAN và VXLAN có giống nhau không?

VLAN và VXLAN đều được dùng để phân đoạn mạng, nhưng hoạt động theo cách khác nhau.

VLAN sử dụng VLAN ID trong khung Ethernet và phù hợp với mạng LAN truyền thống. VXLAN đóng gói lưu lượng Layer 2 bên trong UDP để truyền qua mạng Layer 3, thường xuất hiện trong data center và hệ thống mạng quy mô lớn.

VLAN có khoảng không gian ID nhỏ hơn, trong khi VXLAN sử dụng VNI 24 bit và hỗ trợ số lượng phân đoạn lớn hơn nhiều. Với mạng văn phòng hoặc campus thông thường, VLAN vẫn là công nghệ phổ biến và dễ triển khai hơn.

Những lưu ý khi thiết kế VLAN

• Không tạo VLAN tùy tiện nếu chưa có kế hoạch địa chỉ IP rõ ràng.
• Mỗi VLAN nên có tên thể hiện đúng mục đích sử dụng.
• Hạn chế sử dụng VLAN 1 cho người dùng và quản trị.
• Không cho phép toàn bộ VLAN đi qua mọi đường trunk nếu không cần thiết.
• Kiểm tra native VLAN ở cả hai đầu trunk.
• Phân tách mạng khách, camera, IoT và quản trị.
• Áp dụng ACL hoặc firewall giữa các VLAN.
• Sao lưu cấu hình trước khi thay đổi VLAN trên hệ thống đang hoạt động.
• Cập nhật sơ đồ mạng và bảng ánh xạ VLAN, subnet, gateway.
• Không xóa VLAN khi chưa kiểm tra cổng access, trunk và dịch vụ đang sử dụng.

• Bước 1: Xác định nhu cầu chính và nhóm người đọc cần hướng tới.
• Bước 2: Sắp xếp nội dung theo từng ý rõ ràng, tránh gom quá nhiều thông tin vào một đoạn.
• Bước 3: Bổ sung ví dụ, lưu ý hoặc chi phí nếu phần đó giúp người đọc dễ quyết định hơn.
• Bước 4: Rà lại câu chữ để bài tự nhiên, không bị cảm giác máy móc.

Kết luận

VLAN là mạng LAN ảo dùng để chia một hệ thống chuyển mạch thành nhiều miền quảng bá độc lập. Công nghệ này giúp giảm broadcast, phân tách thiết bị, tổ chức mạng theo phòng ban và hỗ trợ áp dụng chính sách bảo mật rõ ràng hơn.

Thiết bị trong cùng VLAN có thể giao tiếp ở Layer 2. Muốn liên lạc giữa các VLAN, hệ thống cần router, switch Layer 3 hoặc firewall thực hiện Inter-VLAN Routing.

Khi triển khai VLAN, quản trị viên cần hiểu rõ access port, trunk port, 802.1Q, native VLAN, subnet và gateway. Việc chia VLAN chỉ thực sự hiệu quả khi đi kèm thiết kế địa chỉ IP, chính sách truy cập và tài liệu vận hành rõ ràng.

Trợ Giúp Nhanh. Nội dung cập nhật tháng 7/2026.

Thời gian cập nhật: 16/07/2026 22:50