VLAN

Oppdatert: juli 2026 · 7 min lesetid

Et VLAN (Virtual Local Area Network, «virtuelt lokalnett») er en logisk oppdeling av ett fysisk nettverk i flere adskilte soner. Enheter i ulike VLAN-er kan ikke kommunisere direkte – trafikken må gå via en ruter eller brannmur som bestemmer hva som er lov. Alt som trengs er en managed switch med 802.1Q-støtte; kabler og porter gjenbrukes som de er.

Hvorfor bry seg? De fleste SMB-er kjører alt på ett flatt nettverk: servere, PC-er, skrivere, IP-kameraer og gjestetrådløst – alt i samme subnett. Det betyr at en kompromittert gjeste-PC teoretisk kan nå filserveren. VLAN løser dette uten å trekke nye kabler.

Hva er et VLAN?

VLAN er definert i IEEE 802.1Q-standarden. Hver nettverkspakke får en VLAN-tag (4 byte) som forteller switchen hvilken sone pakken tilhører. Switchen holder trafikken adskilt på Layer 2, som om hvert VLAN var sin egen fysiske switch.

Skal to VLAN-er likevel snakke sammen, må trafikken rutes. Det finnes to måter å rute mellom VLAN-er: en brannmur med VLAN-subinterfaces (kalt «router-on-a-stick», typisk 1–5 ms latens), eller en Layer 3-switch som ruter i maskinvare (under 1 ms). For de fleste SMB-er er brannmur-løsningen enklest og gir både ruting og sikkerhet i én boks.

Hvorfor bruke VLAN?

Sikkerhet: En kompromittert IoT-enhet (kamera, skriver) kan ikke nå filserveren hvis de er på ulike VLAN-er med brannmurregler mellom. Riktig segmentering reduserer spredning av ransomware og lateral bevegelse i nettverket.

Ytelse: Hvert VLAN er et eget broadcast-domene. Det betyr at broadcast-pakker (ARP, DHCP) bare når enhetene i samme VLAN – ikke hele nettverket. For nettverk med 50+ enheter gjør dette merkbar forskjell.

Orden: VLAN tvinger deg til å tenke gjennom nettverksstrukturen. Hvilke enheter henger sammen? Hvem trenger tilgang til hva? Resultatet er et ryddigere og enklere nettverk å feilsøke.

VLAN-ID, tagging og trunk (802.1Q)

VLAN-ID-er går fra 1 til 4 094 og bæres i 802.1Q-taggen i pakkeheaderen. VLAN 1 er standard (default) på de fleste switcher – og bør unngås for data fordi den også brukes til administrasjonstrafikk internt i switchen.

To portbegreper er viktige:

• Tagged (trunk): Pakken bærer VLAN-ID-en i headeren, og porten kan frakte flere VLAN-er samtidig. Brukes mellom switcher og mellom switch og brannmur/ruter.
• Untagged (access): Pakken har ingen VLAN-tag; porten tilhører ett bestemt VLAN. Brukes mot sluttenheter (PC, skriver, kamera) som ikke vet om VLAN.

Trunk-porter har i tillegg et «native VLAN» – VLAN-et som brukes for untagged trafikk på trunken. Det må være likt i begge ender, ellers får du mystiske tilkoblingsproblemer.

Utstyret du trenger

To ting er påkrevd:

1. Managed switch med 802.1Q VLAN-støtte. En web-managed switch er nok for de fleste SMB-er. Uadministrerte switcher støtter ikke VLAN. Skal switchen også frakte lagrings- eller virtualiseringstrafikk, se guiden om å velge riktig 10GbE-switch.
2. Ruter eller brannmur som kan opprette VLAN-grensesnitt (subinterfaces). pfSense på en Netgate-appliance, OPNsense, Ubiquiti USG eller en Layer 3-switch dekker behovet.

Eksisterende kabler og porter gjenbrukes. Du trenger ikke kjøpe nye kabler – VLAN er en logisk oppdeling som skjer i programvaren. Mangler du managed switch eller brannmur, finnes begge deler brukt blant nettverksutstyret hos Axentra.

VLAN i praksis: eksempel for SMB

Start enkelt. Tre til fem VLAN-er dekker de fleste SMB-er:

I server-VLAN-et (20) plasserer du alt som skal beskyttes best: filserveren – for eksempel en HPE DL380 Gen10 eller Dell R740 – pluss backup-mål og hypervisor-management. Klientene i VLAN 30 får da bare tilgang til akkurat de tjenestene brannmurreglene åpner for (SMB-fildeling, print), mens gjester og IoT ikke ser serverne i det hele tatt.

Konfigurasjon steg for steg

Eksempel med pfSense og en managed switch:

1. På switchen:

1. Opprett VLAN 10, 20 og 30 i switch-grensesnittet.
2. Sett porten mot pfSense som trunk: alle VLAN-er tagged.
3. Sett portene mot sluttenheter som access: ett VLAN per port, untagged.

2. På pfSense:

1. Interfaces > Assignments > VLANs – opprett VLAN 10, 20, 30 på LAN-interfacet.
2. Interfaces > Assignments – tilordne hvert VLAN til et grensesnitt.
3. Aktiver hvert grensesnitt og sett gateway-IP (f.eks. 192.168.10.1 for VLAN 10).
4. Services > DHCP Server – aktiver DHCP per VLAN med riktig adresseområde.
5. Firewall > Rules – legg til regler per VLAN. Start med å blokkere alt mellom VLAN-er, og åpne bare det som trengs.

3. Test: Koble en PC til en access-port i VLAN 30. Sjekk at den får IP fra riktig DHCP-område og kan nå internett, men ikke serverne i VLAN 20 (med mindre du har tillatt det i brannmurreglene).

Vanlige feil

VLAN mangler på trunk: Hvis du oppretter et nytt VLAN men glemmer å legge det til som tagged på trunk-porten, når trafikken aldri brannmuren. Alltid sjekk trunk-konfigurasjonen når du legger til et VLAN.

VLAN 1 til data: VLAN 1 er standard på alle switcher og brukes internt til administrasjon (CDP, STP). Bruk den aldri for vanlig datatrafikk. Flytt alle porter til egne VLAN-er og la VLAN 1 være tom.

Feil native VLAN: Trunk-porter har et «native VLAN» – det er VLAN-et som brukes for untagged trafikk. Sørg for at native VLAN stemmer overens i begge ender av trunken. Mismatch gir mystiske tilkoblingsproblemer.

Manglende IP-planlegging: Hvert VLAN trenger et eget subnett. Overlappende subnett gjør at ruting feiler. Planlegg subnettene før du begynner å konfigurere.

DHCP fungerer ikke i nytt VLAN: DHCP-broadcast stopper ved VLAN-grensen. Hvis DHCP-serveren din er sentralisert (f.eks. på en Windows Server), trenger du DHCP relay (også kalt IP helper) på ruteren/brannmuren for å videresende DHCP-forespørsler. I pfSense konfigurerer du enten DHCP-server per VLAN-grensesnitt, eller setter opp DHCP relay under Services > DHCP Relay.

Tror VLAN er brannmur: VLAN segmenterer på Layer 2 – det hindrer direkte kommunikasjon. Men uten brannmurregler på ruteren/brannmuren kan trafikk fortsatt rutes mellom VLAN-er. VLAN + brannmurregler = sikkerhet. VLAN alene = orden, men ikke sikkerhet.

Trunk-porter mot sluttenheter: Sett aldri en trunk-port mot en PC eller annen sluttenhet. Trunk-porter bør kun gå mot switcher, brannmurer og servere som faktisk trenger tilgang til flere VLAN-er. En feilkonfigurert trunk kan utsette nettverket for VLAN hopping-angrep (switch spoofing og double tagging) – der en angriper sender trafikk inn i VLAN-er den ikke hører til.

Ofte stilte spørsmål

Neste steg

Begynn med tre VLAN-er: servere, klienter og gjest. Sett opp trunk-porten mot brannmuren og access-porter for hver sone. Test at klienter får internett men ikke når serverne uten godkjente brannmurregler. Når det fungerer, legg til IoT-VLAN og administrasjons-VLAN etter behov.