Cấu hình VLAN trên switch GTWave: Access, Trunk, Hybrid, Voice, QinQ

VLAN (Virtual LAN) là tính năng được dùng nhiều nhất trên mọi switch quản lý, và switch GTWave cung cấp đầy đủ các kiểu cấu hình VLAN theo chuẩn 802.1Q. Bài này – thuộc chuỗi hướng dẫn cấu hình switch GTWave – đi qua toàn bộ tình huống thực tế: tách VLAN cho camera, lập trunk giữa các switch, gộp IP phone và PC trên một cổng, đồng bộ VLAN tự động, và Q-in-Q cho hạ tầng nhà mạng. Giả định bạn đã hoàn tất cài đặt và truy cập lần đầu.

1. Ba chế độ cổng cốt lõi

Mọi cấu hình VLAN xoay quanh ba chế độ cổng. Hiểu đúng ba chế độ này là hiểu 80% về VLAN.

Chế độ	Xử lý tag	Dùng cho
Access	Vào/ra đều untagged, chỉ một VLAN	Nối thiết bị đầu cuối: PC, camera, AP
Trunk	Vào/ra tagged 802.1Q (trừ native), nhiều VLAN	Nối switch–switch, switch–router
Hybrid	Tagged hoặc untagged tùy từng VLAN	Linh hoạt nhất, chủ yếu cho QinQ

VLAN 1 là VLAN mặc định: mọi cổng đều là thành viên untagged của VLAN 1 và không thể xóa VLAN 1. Thực hành tốt là đẩy quản trị và dữ liệu ra các VLAN khác, chỉ giữ VLAN 1 (hoặc một VLAN không dùng như 999) làm native trunk.

2. Tạo VLAN và gán access port cho thiết bị đầu cuối

Tình huống điển hình nhất: tạo VLAN 200 cho hệ thống camera và gán dải cổng ge1/5 đến ge1/8 vào đó.

Switch# configure terminal
Switch(config)# vlan database
Switch(config-vlan)# vlan 200 name CAMERA
Switch(config-vlan)# exit
Switch(config)# interface range ge1/5-8
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 200
Switch(config-if-range)# no shutdown
Switch(config-if-range)# end
Switch# write

Trên Web UI L2, quy trình gồm hai bước: vào VLAN Configuration → VLAN Configuration tạo VID 200, rồi VLAN Configuration → VLAN Port Configuration đặt từng cổng ge1/5–ge1/8 sang mode Access, VLAN 200, Apply, và cuối cùng Save Current Configuration.

Kiểm tra:

Switch# show vlan
VLAN  Name      Status   Ports
1     default   active   ge1/1-4, ge1/9-24
200   CAMERA    active   ge1/5-8

Switch# show interface switchport ge1/5
Administrative Mode: access
Access Mode VLAN: 200

3. Trunk port giữa hai switch

Trunk mang nhiều VLAN qua một liên kết. Tình huống: cổng ge1/24 nối lên core, cho phép VLAN 100 (quản lý), 200 (camera), 300 (văn phòng), với native VLAN 999 không dùng để chống tấn công VLAN hopping.

Switch(config)# vlan database
Switch(config-vlan)# vlan 100, 200, 300, 999
Switch(config-vlan)# exit
Switch(config)# interface ge1/24
Switch(config-ge1/24)# switchport mode trunk
Switch(config-ge1/24)# switchport trunk native vlan 999
Switch(config-ge1/24)# switchport trunk allowed vlan none
Switch(config-ge1/24)# switchport trunk allowed vlan add 100,200,300
Switch(config-ge1/24)# no shutdown
Switch(config-ge1/24)# end
Switch# write

Lưu ý quan trọng: gõ switchport trunk allowed vlan none trước rồi mới add để bắt đầu từ trạng thái sạch. Nếu chỉ add mà không none, toàn bộ VLAN 1–4094 vẫn được forward – đây là lỗi cấu hình trunk hay gặp nhất, bên cạnh việc quên no shutdown và đặt native VLAN lệch nhau giữa hai đầu (gây log spam “native VLAN mismatch”).

4. Voice VLAN cho IP phone dùng chung cổng với PC

Trong môi trường văn phòng, IP phone thường có cổng switch tích hợp để cắm tiếp PC. Voice VLAN tách thoại (cần ưu tiên) khỏi dữ liệu trên cùng một cổng vật lý. Tình huống: cổng ge1/10, IP phone thuộc VLAN 50 (voice), PC thuộc VLAN 30 (data).

Switch(config)# vlan database
Switch(config-vlan)# vlan 30 name DATA
Switch(config-vlan)# vlan 50 name VOICE
Switch(config-vlan)# exit
Switch(config)# voice-vlan oui 001B.5400.0000 mask FFFF.FF00.0000 description Cisco-IP-Phone
Switch(config)# interface ge1/10
Switch(config-ge1/10)# switchport mode access
Switch(config-ge1/10)# switchport access vlan 30
Switch(config-ge1/10)# voice-vlan vlan 50
Switch(config-ge1/10)# voice-vlan port enable
Switch(config-ge1/10)# end
Switch# write

Switch nhận diện IP phone qua OUI (ba byte đầu của MAC nhà sản xuất), tự gắn lưu lượng thoại vào VLAN 50 với ưu tiên cao, trong khi lưu lượng PC vẫn untagged ở VLAN 30. Để hoàn thiện ưu tiên thoại đầu cuối, kết hợp với QoS trong bài Bảo mật và QoS.

5. GVRP – đồng bộ VLAN tự động giữa các switch

GVRP cho phép switch học VLAN từ neighbor mà không cần khai báo thủ công ở từng thiết bị.

Switch(config)# gvrp enable
Switch(config)# interface ge1/24
Switch(config-ge1/24)# gvrp registration enable
Switch(config-ge1/24)# end
Switch# show gvrp

⚠ GVRP phát tán VLAN khắp domain và có thể gây mất kiểm soát phạm vi broadcast. Với hệ thống production, VILINK X khuyến nghị không dùng GVRP mà quản lý VLAN thủ công bằng script/Ansible — an toàn và dễ kiểm soát hơn.

6. QinQ (Q-in-Q) cho ISP và mạng Metro

QinQ lồng một tag VLAN bên ngoài (outer) lên tag của khách hàng (inner), cho phép nhà mạng phân tách khách hàng mà vẫn giữ nguyên VLAN nội bộ của họ. Tình huống: outer 100 cho khách A, outer 200 cho khách B.

Switch(config)# interface ge1/1
Switch(config-ge1/1)# switchport mode trunk
Switch(config-ge1/1)# switchport trunk allowed vlan add 100,200
Switch(config-ge1/1)# qinq uplink
Switch(config)# interface ge1/2
Switch(config-ge1/2)# switchport mode hybrid
Switch(config-ge1/2)# switchport hybrid allowed vlan add 100 egress-tagged disable
Switch(config-ge1/2)# qinq customer
Switch(config-ge1/2)# qinq outer-vid 100 inner-vid 500
Switch(config-ge1/2)# end
Switch# show qinq

7. Chế độ Hybrid và VLAN Mapping

Hybrid cho phép một cổng là thành viên của nhiều VLAN với hỗn hợp tagged/untagged – hiếm dùng trừ trường hợp đặc biệt:

Switch(config)# interface ge1/15
Switch(config-ge1/15)# switchport mode hybrid
Switch(config-ge1/15)# switchport hybrid native vlan 1
Switch(config-ge1/15)# switchport hybrid allowed vlan add 10 egress-tagged enable
Switch(config-ge1/15)# switchport hybrid allowed vlan add 20 egress-tagged disable

VLAN Mapping đổi VLAN ID khi lưu lượng vào switch – hữu ích khi hai mạng có VLAN ID trùng nhau:

Switch(config)# interface ge1/1
Switch(config-ge1/1)# vlan-mapping vlan 100 map-vlan 1000
Switch(config-ge1/1)# vlan-mapping enable

8. Xử lý sự cố VLAN thường gặp

Triệu chứng	Hướng kiểm tra
PC trong access port không ping được nhau	Cùng VLAN không? show vlan
PC không nhận DHCP	DHCP server có ở cùng VLAN, hoặc chưa cấu hình DHCP relay
Trunk hai bên log spam	Native VLAN lệch nhau, đặt khớp hai đầu
Mất kết nối sau khi thêm allowed vlan	Quên none/remove all trước khi add
Đổi trunk → access không xóa native tag	Cần no switchport trunk native vlan trước khi đổi mode
show vlan không thấy VLAN mới	Chưa exit khỏi vlan database hoặc chưa save

Với PC không nhận DHCP, hãy đối chiếu thêm bài Dịch vụ DHCP. Nếu nghi vấn loop khi mở rộng VLAN qua nhiều switch, xem Chống loop và ring.

9. Sáu thực hành tốt khi thiết kế VLAN

Thứ nhất, không dùng VLAN 1 cho quản lý hay dữ liệu trong production – chỉ giữ làm native không dùng. Thứ hai, tạo một VLAN “rác” (ví dụ 999) làm native trunk để chống VLAN hopping. Thứ ba, trunk chỉ liệt kê đúng những VLAN cần thiết, không dùng all trừ khi test. Thứ tư, đặt tên VLAN có nghĩa như MGMT, CAMERA, IOT, GUEST thay vì chỉ số. Thứ năm, lập tài liệu VLAN plan gồm VID, mục đích, subnet, gateway và dải DHCP. Cuối cùng, tránh GVRP trong production.

Bài tiếp theo trong chuỗi

Sau khi đã phân VLAN, nếu switch cấp nguồn camera hãy chuyển sang Cấu hình PoE và Intelligent PoE. Nếu cần định tuyến giữa các VLAN, xem Định tuyến Layer 3 để cấu hình SVI làm gateway. Quay lại trang tổng hợp switch GTWave để xem toàn bộ chuỗi.

VILINK X tư vấn thiết kế VLAN plan và triển khai switch GTWave cho dự án camera, doanh nghiệp và công nghiệp. Liên hệ Phòng Kỹ thuật để được hỗ trợ.