VLAN hoạt động như thế nào?

1. VLAN hoạt động như thế nào?

Để hiểu cách VLAN phân chia mạng, trước hết cần hiểu một nguyên tắc quan trọng:

Thiết bị đầu cuối (PC, Laptop, Server, Printer…) không biết VLAN là gì. Chính Switch là thiết bị chịu trách nhiệm phân loại, gắn VLAN ID và chuyển tiếp Frame đến đúng Broadcast Domain.

Nói cách khác, VLAN hoàn toàn là một cơ chế hoạt động ở Layer 2 (Data Link Layer). Máy tính vẫn gửi và nhận Ethernet Frame như bình thường, còn Switch sẽ quyết định Frame đó thuộc VLAN nào và được phép đi đến đâu.

Để thực hiện điều này, các Switch sử dụng chuẩn IEEE 802.1Q, trong đó Ethernet Frame được bổ sung một trường thông tin đặc biệt gọi là VLAN Tag.

1.1. Nguyên lý hoạt động của VLAN

Về bản chất, VLAN hoạt động dựa trên việc gán mỗi cổng (Switch Port) hoặc mỗi Ethernet Frame vào một VLAN cụ thể.

Mỗi VLAN đại diện cho một Broadcast Domain độc lập. Switch sẽ sử dụng VLAN ID để xác định phạm vi truyền của Frame và đảm bảo Broadcast không vượt ra ngoài VLAN tương ứng.

Giả sử một doanh nghiệp có ba phòng ban:

VLAN	Phòng ban	Mạng IP
VLAN 10	Kế toán	192.168.10.0/24
VLAN 20	Nhân sự	192.168.20.0/24
VLAN 30	Kinh doanh	192.168.30.0/24

Ba phòng ban cùng sử dụng chung một Switch 48 cổng.

Khi PC của phòng Kế toán gửi một Ethernet Frame, Switch sẽ kiểm tra cổng nhận Frame.

Ví dụ:

Port 1 thuộc VLAN 10.

Switch sẽ đánh dấu:

Frame thuộc VLAN 10

Sau đó Switch chỉ chuyển Frame đến:

• Các Port Access thuộc VLAN 10
• Các Trunk Port cho phép VLAN 10 đi qua

Frame không bao giờ được chuyển đến VLAN 20 hoặc VLAN 30, trừ khi phải thực hiện Inter-VLAN Routing thông qua Router hoặc Layer 3 Switch.

Nhờ vậy:

• Broadcast được giới hạn.
• Hiệu suất tăng.
• Các phòng ban được cô lập hoàn toàn.

Đây chính là nguyên lý cốt lõi làm nên sức mạnh của VLAN.

1.2. Chuẩn IEEE 802.1Q

Để các Switch của nhiều nhà sản xuất có thể hoạt động tương thích với nhau, IEEE đã ban hành chuẩn IEEE 802.1Q, quy định cách đánh dấu (Tagging) Ethernet Frame khi truyền qua các liên kết mang nhiều VLAN.

IEEE 802.1Q là chuẩn VLAN phổ biến nhất hiện nay và được hỗ trợ bởi hầu hết các thiết bị mạng của Cisco, Juniper, HPE Aruba, Huawei, Dell, MikroTik, Extreme Networks và nhiều hãng khác.

Ý tưởng rất đơn giản:

Khi Ethernet Frame đi qua một Trunk Port, Switch sẽ chèn thêm 4 byte vào Frame.

Bốn byte này chứa thông tin:

• Frame thuộc VLAN nào.
• Mức ưu tiên của lưu lượng (QoS).
• Một số thông tin điều khiển khác.

Nhờ đó, Switch ở đầu bên kia có thể xác định chính xác Frame thuộc VLAN nào để chuyển tiếp đến đúng Broadcast Domain.

Điều quan trọng cần nhớ là:

• Access Port: Frame không có VLAN Tag (Untagged).
• Trunk Port: Frame có VLAN Tag (Tagged).

Chính vì vậy, máy tính thông thường không cần hỗ trợ IEEE 802.1Q; mọi việc đều do Switch thực hiện.

1.3. Cấu trúc Ethernet Frame có gắn VLAN Tag

Để hiểu VLAN hoạt động như thế nào, trước tiên chúng ta cần xem Ethernet Frame thay đổi ra sao khi đi qua một liên kết Trunk.

Trong một mạng Ethernet thông thường (không sử dụng VLAN), mỗi Frame chỉ bao gồm các trường thông tin cơ bản như địa chỉ MAC đích (Destination MAC), địa chỉ MAC nguồn (Source MAC), loại giao thức (EtherType), dữ liệu (Payload) và mã kiểm tra lỗi (FCS).

Khi Frame cần đi qua Trunk Port giữa hai Switch, chuẩn IEEE 802.1Q sẽ bổ sung thêm một trường đặc biệt gọi là VLAN Tag. Trường này được chèn ngay sau Source MAC và trước EtherType, giúp Switch ở đầu bên kia xác định chính xác Frame thuộc VLAN nào.

Sau khi được gắn VLAN Tag, cấu trúc Ethernet Frame sẽ trở thành:

Điểm quan trọng cần lưu ý là IEEE 802.1Q không thay đổi nội dung dữ liệu của Frame, mà chỉ bổ sung thêm 4 byte (32 bit) để lưu thông tin nhận dạng VLAN.

Cụ thể:

• Destination MAC được giữ nguyên để xác định thiết bị nhận.
• Source MAC được giữ nguyên để xác định thiết bị gửi.
• EtherType vẫn cho biết loại giao thức đang được truyền (IPv4, IPv6, ARP,…).
• Payload chứa toàn bộ dữ liệu của người dùng và hoàn toàn không bị chỉnh sửa.
• FCS (Frame Check Sequence) vẫn được tính toán lại để đảm bảo tính toàn vẹn của Frame sau khi VLAN Tag được thêm vào.

Điểm khác biệt duy nhất là sự xuất hiện của 802.1Q VLAN Tag, có kích thước 4 byte (32 bit). Trường này không chứa dữ liệu của người dùng mà chỉ mang thông tin phục vụ cho việc phân loại và chuyển tiếp Frame trong hệ thống mạng.

Nói cách khác, VLAN Tag đóng vai trò như một “nhãn nhận dạng” được Switch gắn lên Frame trong quá trình truyền qua các đường Trunk. Nhờ nhãn này, các Switch có thể biết chính xác Frame thuộc VLAN nào để chuyển tiếp đến đúng Broadcast Domain.

Một điểm rất quan trọng là thiết bị đầu cuối như PC, Laptop, Server hoặc Printer hoàn toàn không nhìn thấy VLAN Tag. Việc gắn (Tagging) và loại bỏ (Untagging) VLAN Tag được thực hiện hoàn toàn tự động bởi các Switch hỗ trợ chuẩn IEEE 802.1Q. Khi Frame rời khỏi Access Port để đến thiết bị đích, VLAN Tag sẽ được loại bỏ, vì vậy thiết bị đầu cuối vẫn nhận được một Ethernet Frame tiêu chuẩn như trong mạng LAN thông thường.

Ghi nhớ: IEEE 802.1Q không thay đổi dữ liệu của người dùng, mà chỉ bổ sung 4 byte VLAN Tag để định danh VLAN trong quá trình truyền qua Trunk Port. Chính cơ chế Tagging và Untagging này là nền tảng giúp nhiều VLAN có thể cùng hoạt động trên một hạ tầng mạng vật lý mà vẫn được cô lập hoàn toàn với nhau. Đây là một trong những yếu tố cốt lõi làm nên hiệu quả, tính linh hoạt và khả năng mở rộng của công nghệ VLAN trong các hệ thống mạng doanh nghiệp hiện đại.

1.4. Thành phần của VLAN Tag

Khi nhắc đến VLAN Tag, nhiều người thường nghĩ đây chỉ là một trường dùng để lưu VLAN ID. Tuy nhiên, theo chuẩn IEEE 802.1Q, VLAN Tag không chỉ chứa thông tin về VLAN mà còn bao gồm nhiều thành phần khác nhau nhằm hỗ trợ định danh VLAN, ưu tiên lưu lượng (QoS) và quản lý tắc nghẽn mạng.

Toàn bộ 802.1Q Tag có kích thước 4 byte (32 bit) và được chia thành hai phần chính:

• TPID (Tag Protocol Identifier) – 16 bit
• TCI (Tag Control Information) – 16 bit

Trong đó, trường TCI tiếp tục được chia thành ba thành phần nhỏ:

• PCP (Priority Code Point) – 3 bit
• DEI (Drop Eligible Indicator) – 1 bit
• VLAN ID (VLAN Identifier) – 12 bit

Mỗi trường đảm nhận một vai trò riêng trong quá trình Switch xử lý và chuyển tiếp Ethernet Frame.

TPID (Tag Protocol Identifier)

TPID là trường đầu tiên của VLAN Tag, có độ dài 16 bit.

Giá trị chuẩn của trường này luôn là: 0x8100

Đây là một giá trị đặc biệt được IEEE quy định nhằm giúp Switch nhận biết rằng Ethernet Frame đang sử dụng chuẩn IEEE 802.1Q và có chứa thông tin VLAN.

Nói cách khác, TPID giống như một “dấu hiệu nhận biết”, báo cho Switch rằng Frame này đã được gắn VLAN Tag và cần được xử lý theo cơ chế VLAN thay vì một Ethernet Frame thông thường.

PCP (Priority Code Point)

PCP là trường có độ dài 3 bit, cho phép biểu diễn 8 mức ưu tiên, từ 0 đến 7.

Trường này được sử dụng cho Quality of Service (QoS) nhằm ưu tiên xử lý các loại lưu lượng quan trọng trong mạng.

Ví dụ:

• Voice over IP (VoIP)
• Video Conference
• Streaming Video
• Storage Traffic (SAN)

Trong thực tế, lưu lượng thoại thường được gán mức ưu tiên cao hơn lưu lượng Web hoặc Email nhằm đảm bảo chất lượng cuộc gọi, giảm độ trễ (Latency), hiện tượng giật (Jitter) và mất gói (Packet Loss).

Nhờ trường PCP, các Switch và Router có thể xử lý trước những lưu lượng quan trọng khi hệ thống mạng xảy ra tắc nghẽn.

DEI (Drop Eligible Indicator)

DEI là trường có độ dài 1 bit.

Trường này cho biết liệu Ethernet Frame có thể bị loại bỏ (Drop) khi mạng xảy ra nghẽn hay không.

Trong điều kiện hoạt động bình thường, tất cả Frame đều được chuyển tiếp như nhau. Tuy nhiên, khi đường truyền bị quá tải, Switch hoặc Router có thể ưu tiên giữ lại các Frame quan trọng và loại bỏ những Frame được đánh dấu là có thể bỏ qua.

Vì vậy, DEI đóng vai trò hỗ trợ các cơ chế QoS và Traffic Congestion Management, giúp sử dụng tài nguyên mạng hiệu quả hơn trong những thời điểm lưu lượng tăng cao.

VLAN ID (VLAN Identifier)

VLAN ID là trường quan trọng nhất trong toàn bộ VLAN Tag.

Trường này có độ dài 12 bit, cho phép biểu diễn tối đa 4096 giá trị, từ 0 đến 4095.

Switch sử dụng VLAN ID để xác định Ethernet Frame thuộc VLAN nào và quyết định phạm vi chuyển tiếp của Frame.

Ví dụ:

• VLAN ID = 10 → VLAN Kế toán
• VLAN ID = 20 → VLAN Nhân sự
• VLAN ID = 30 → VLAN Kinh doanh

Khi Switch nhận được một Ethernet Frame có VLAN ID bằng 10, Frame đó chỉ được chuyển tiếp đến các Access Port thuộc VLAN 10 hoặc các Trunk Port được phép mang VLAN 10.

Frame sẽ không được chuyển sang VLAN 20 hoặc VLAN 30, trừ khi phải đi qua thiết bị Layer 3 để thực hiện Inter-VLAN Routing.

Chính cơ chế này tạo nên sự cô lập giữa các Broadcast Domain, giúp VLAN trở thành giải pháp phân đoạn mạng hiệu quả trong các hệ thống doanh nghiệp hiện đại.

Tóm tắt các thành phần của VLAN Tag

Thành phần	Độ dài	Chức năng
TPID	16 bit	Nhận biết Ethernet Frame sử dụng chuẩn IEEE 802.1Q (giá trị chuẩn 0x8100).
PCP	3 bit	Xác định mức ưu tiên của lưu lượng để hỗ trợ Quality of Service (QoS).
DEI	1 bit	Đánh dấu Frame có thể bị loại bỏ khi xảy ra nghẽn mạng.
VLAN ID	12 bit	Định danh VLAN và xác định Broadcast Domain mà Ethernet Frame thuộc về.

Điểm cốt lõi cần ghi nhớ: Trong toàn bộ VLAN Tag, VLAN ID là trường quan trọng nhất vì nó quyết định Ethernet Frame thuộc VLAN nào. Trong khi đó, TPID giúp Switch nhận biết đây là một Frame sử dụng chuẩn IEEE 802.1Q, còn PCP và DEI hỗ trợ ưu tiên lưu lượng và quản lý tắc nghẽn để tối ưu hiệu suất của hệ thống mạng. Bốn thành phần này phối hợp với nhau giúp VLAN không chỉ phân chia Broadcast Domain mà còn nâng cao khả năng quản lý và chất lượng dịch vụ trong các mạng doanh nghiệp hiện đại.

1.5. VLAN ID và phạm vi sử dụng

Do VLAN ID có độ dài 12 bit, nên số lượng giá trị lý thuyết là: 2^12 = 4096

Tức là từ: 0 → 4095

Tuy nhiên, không phải tất cả đều được sử dụng.

VLAN ID	Ý nghĩa
0	Chỉ mang thông tin ưu tiên (Priority Tag), không thuộc VLAN nào
1	VLAN mặc định của hầu hết Switch
2 – 1001	VLAN thông thường (Normal Range VLAN)
1002 – 1005	Dành riêng cho Token Ring và FDDI (Cisco Legacy)
1006 – 4094	Extended Range VLAN
4095	Giá trị dự phòng (Reserved), không được sử dụng

Như vậy:

Tổng số VLAN khả dụng là 4094 VLAN (1–4094).

Khuyến nghị trong doanh nghiệp

Không nên sử dụng VLAN 1 cho người dùng cuối.

Thay vào đó nên quy hoạch như:

VLAN	Chức năng
VLAN 10	Accounting
VLAN 20	HR
VLAN 30	Sales
VLAN 40	IT
VLAN 50	Server
VLAN 60	Voice
VLAN 70	CCTV
VLAN 80	Guest WiFi
VLAN 99	Management

Việc quy hoạch nhất quán sẽ giúp hệ thống dễ mở rộng và thuận tiện trong quản trị.

1.6. Ví dụ minh họa quá trình truyền Frame qua VLAN

Để hiểu rõ cách VLAN hoạt động trong thực tế, hãy xem xét một ví dụ đơn giản gồm hai Switch Layer 2 được kết nối với nhau thông qua một đường Trunk sử dụng chuẩn IEEE 802.1Q.

Hai máy tính PC-A và PC-B đều thuộc VLAN 10, nhưng được kết nối vào hai Switch khác nhau. Mặc dù dữ liệu phải đi qua đường Trunk giữa hai Switch, cả hai máy tính vẫn giao tiếp với nhau như thể đang nằm trong cùng một mạng LAN.

Điều quan trọng cần lưu ý là thiết bị đầu cuối không hề nhận biết sự tồn tại của VLAN. Toàn bộ quá trình gắn thẻ (Tagging), đọc thẻ (Tag Processing) và loại bỏ thẻ (Untagging) đều do các Switch thực hiện một cách tự động.

Bước 1. PC-A gửi Ethernet Frame

Quá trình bắt đầu khi PC-A tạo một Ethernet Frame để gửi đến PC-B.

Do PC-A được kết nối thông qua Access Port, thiết bị chỉ tạo một Ethernet Frame tiêu chuẩn, bao gồm các trường như Destination MAC, Source MAC, EtherType và Payload.

Ở thời điểm này, Frame hoàn toàn không chứa VLAN Tag, bởi các thiết bị đầu cuối như PC, Laptop, Server hay Printer không hiểu và cũng không cần xử lý thông tin VLAN.

Nói cách khác, đối với PC-A, việc truyền dữ liệu hoàn toàn giống như trong một mạng Ethernet thông thường.

Bước 2. Switch A xác định VLAN của Frame

Khi Ethernet Frame đi vào Switch A, thiết bị sẽ kiểm tra cổng nhận dữ liệu.

Giả sử Frame được nhận tại cổng GigabitEthernet 0/1 (Gi0/1) và cổng này đã được cấu hình là:

Switchport Mode : Access

Access VLAN     : VLAN 10

Dựa trên cấu hình của Access Port, Switch xác định rằng Ethernet Frame này thuộc VLAN 10.

Lúc này, mặc dù Frame vẫn chưa chứa VLAN Tag, Switch đã lưu thông tin VLAN tương ứng trong quá trình xử lý nội bộ.

Bước 3. Switch A gắn VLAN Tag trước khi truyền qua Trunk

Khi cần chuyển tiếp Frame sang Switch B thông qua đường Trunk, Switch A sẽ thực hiện cơ chế Tagging theo chuẩn IEEE 802.1Q.

Cụ thể, Switch sẽ chèn thêm một trường 802.1Q Tag có kích thước 4 byte (32 bit) vào Ethernet Frame.

Trong VLAN Tag này sẽ chứa:

• VLAN ID = 10
• Thông tin ưu tiên (PCP)
• Thông tin quản lý lưu lượng (DEI)

Sau khi được gắn Tag, Ethernet Frame mang đầy đủ thông tin để các Switch khác trong hệ thống có thể xác định chính xác Broadcast Domain mà Frame thuộc về.

Điều cần nhấn mạnh là:

• Địa chỉ MAC nguồn vẫn giữ nguyên.
• Địa chỉ MAC đích vẫn giữ nguyên.
• Payload không hề thay đổi.

Switch chỉ bổ sung thêm thông tin nhận dạng VLAN mà không làm thay đổi dữ liệu của người dùng.

Bước 4. Switch B đọc VLAN Tag

Khi Ethernet Frame đến Switch B, thiết bị sẽ kiểm tra trường 802.1Q Tag.

Từ VLAN Tag, Switch đọc được:

VLAN ID = 10

Ngay sau đó, Switch tra cứu MAC Address Table của VLAN 10 để xác định cổng mà thiết bị đích đang kết nối.

Nhờ vậy, Switch biết chính xác Ethernet Frame cần được chuyển đến Access Port nào mà không ảnh hưởng đến các VLAN khác trong hệ thống.

Đây chính là cơ chế giúp nhiều VLAN có thể cùng hoạt động trên một hạ tầng mạng vật lý nhưng vẫn hoàn toàn độc lập với nhau.

Bước 5. Switch B loại bỏ VLAN Tag và chuyển Frame đến PC-B

Trước khi Ethernet Frame được gửi ra Access Port kết nối với PC-B, Switch B sẽ thực hiện quá trình Untagging.

Toàn bộ trường 802.1Q VLAN Tag sẽ được loại bỏ khỏi Ethernet Frame.

Frame sau khi rời khỏi Access Port sẽ trở lại đúng định dạng Ethernet chuẩn như khi được PC-A tạo ra ban đầu.

Kết quả là PC-B nhận được một Ethernet Frame hoàn toàn bình thường, không chứa VLAN Tag và không hề biết rằng dữ liệu vừa đi qua một hệ thống VLAN với nhiều Switch và đường Trunk.

Đối với các thiết bị đầu cuối, toàn bộ quá trình Tagging và Untagging đều diễn ra một cách hoàn toàn trong suốt (Transparent).

2. Điểm cốt lõi cần ghi nhớ

Qua ví dụ trên, có thể thấy rằng VLAN hoàn toàn là cơ chế xử lý của Switch ở Layer 2. Thiết bị đầu cuối không tạo, không đọc và cũng không xử lý VLAN Tag.

Trong suốt quá trình truyền dữ liệu:

• Ethernet Frame chỉ được gắn VLAN Tag khi đi qua Trunk Port.
• Các Access Port luôn gửi và nhận Ethernet Frame ở dạng không gắn Tag (Untagged).
• Switch sử dụng VLAN ID trong trường 802.1Q Tag để xác định Broadcast Domain và quyết định phạm vi chuyển tiếp của Frame.
• Trước khi Frame được chuyển đến thiết bị đầu cuối, VLAN Tag luôn được loại bỏ, giúp các máy tính giao tiếp với nhau như trong một mạng Ethernet thông thường.

Chính cơ chế Tagging – Forwarding – Untagging này là nền tảng của công nghệ VLAN, cho phép nhiều mạng logic cùng chia sẻ một hạ tầng vật lý mà vẫn đảm bảo khả năng cô lập lưu lượng, tối ưu hiệu suất và tăng cường bảo mật. Đây cũng là nguyên lý cốt lõi được áp dụng trong hầu hết các hệ thống mạng doanh nghiệp, trung tâm dữ liệu và hạ tầng điện toán đám mây hiện đại.