Co to jest VLAN i czym różni się od LAN?

1. LAN – co to w ogóle jest?

LAN (Local Area Network) to klasyczna sieć lokalna – kilka lub kilkadziesiąt urządzeń (komputery, laptopy, drukarki, telefony, IoT) połączonych na ograniczonym obszarze: w domu, biurze, szkole, jednym budynku.

Charakterystyczne cechy LAN:

• ograniczony obszar – jedna lokalizacja (dom, piętro, budynek);
• wspólna infrastruktura fizyczna – kable Ethernet, przełączniki, router, access pointy Wi‑Fi;
• brak logicznego podziału – wszystkie urządzenia są w jednej domenie rozgłoszeniowej (broadcastowej), jeśli nie zastosujemy dodatkowych mechanizmów;
• podsieci IP – zazwyczaj jedna lub kilka (np. 192.168.0.0/24 dla domu).

W uproszczeniu: zwykła „sieć w domu lub firmie” to właśnie LAN.

2. Co to jest VLAN – definicja i idea

VLAN (Virtual Local Area Network) to wirtualna (logiczna) sieć lokalna wydzielona w ramach większej fizycznej sieci LAN.

Podobne

LibreELEC na Raspberry Pi 4 – instalacja i konfiguracja

2026-06-02

Resizable BAR – co to jest i czy zwiększa wydajność gier

2026-06-02

Jak sprawdzić RAM w komputerze i poznać prędkość pamięci

2026-06-02

Najważniejsze:

• logiczny podział – jedna fizyczna sieć rozbita na kilka odizolowanych sieci wirtualnych;
• warstwa 2 modelu OSI – wszystko odbywa się na przełącznikach zarządzalnych w oparciu o tagowanie ramek;
• IEEE 802.1Q – standard, który definiuje m.in. tagowanie VLAN (VLAN ID 1–4094).

Masz jeden fizyczny switch i jedną wiązkę kabli – a logicznie możesz stworzyć kilka osobnych sieci:

Podobne

Jak wyłączyć klawiaturę w macOS do czyszczenia i nie tylko

2026-06-02

Jak anulować Apple TV i inne subskrypcje Apple

2026-06-03

Sprzęt poleasingowy – zalety, ryzyko i jak kupować rozsądnie

2026-06-02

• VLAN 10 – biuro;
• VLAN 20 – goście;
• VLAN 30 – monitoring (kamery IP).

Te sieci nie „widzą się” wzajemnie w warstwie 2 – jakby były podłączone do osobnych switchy.

3. VLAN vs LAN – najważniejsze różnice

Poniższa tabela zestawia kluczowe różnice między klasycznym LAN a VLAN:

4. Jak działa VLAN od środka?

4.1. Warstwa 2 i standard 802.1Q

VLAN jest mechanizmem warstwy 2 – dotyczy ramek Ethernet i sposobu, w jaki są one przełączane między portami switcha.

Standard IEEE 802.1Q opisuje, jak do ramki Ethernet dodawany jest tag VLAN – niewielkie pole zawierające m.in. VLAN ID (numer VLAN, 1–4094).

Podobne

Jak przeskanować kanały w telewizorze i przywrócić brakujące stacje

2026-06-02

AirPods Pro – redukcja hałasu nie działa? Sprawdź najczęstsze przyczyny

2026-06-02

Nintendo Switch – gwarancja, naprawa i kiedy warto wymienić konsolę

2026-06-02

Dzięki temu przełącznik wie, do którego VLAN‑u należy dana ramka i nie prześle jej do portów przypisanych do innego VLAN‑u.

4.2. Porty access i trunk (tagowane i nietagowane)

Na przełącznikach zarządzalnych wyróżniamy dwa tryby portów wykorzystywane przy VLAN:

Porty access (nietagowane/untagged)

W praktyce ich rola wygląda tak:

• służą do podłączania urządzeń końcowych – komputery, drukarki, kamery, access pointy,
• urządzenie nie widzi tagów VLAN – dla niego to zwykły Ethernet,
• port przypisuje każdej ramce z/do urządzenia konkretny VLAN ID (np. VLAN 10).

Porty trunk (tagowane/tagged)

Tak działają w sieci:

• łączą dwa switche lub switch z routerem/firewallem,
• po jednym kablu przenoszą ruch wielu VLAN‑ów jednocześnie – dzięki tagom 802.1Q w ramkach,
• ramki są oznaczane odpowiednim VLAN ID, więc drugi switch wie, do którego VLAN‑u należą.

Przykład praktyczny przypisania portów:

• port 1 – access, VLAN 10 (komputery pracowników),
• port 2 – access, VLAN 20 (goście Wi‑Fi),
• port 24 – trunk, VLAN 10/20/30 (połączenie z drugim switchem albo z routerem).

4.3. VLAN a domena rozgłoszeniowa

Każdy VLAN tworzy osobną domenę rozgłoszeniową (broadcast domain). Pakiety broadcast (np. ARP, DHCP Discover) z VLAN 10 nie trafią do portów VLAN 20 czy 30. To poprawia wydajność (mniej zbędnego ruchu) i bezpieczeństwo (mniej możliwości podsłuchu czy skanowania).

5. Po co stosuje się VLAN? – główne korzyści

5.1. Większe bezpieczeństwo

VLAN umożliwia separację ruchu między grupami urządzeń:

• goście w Wi‑Fi w VLAN 20 nie mają dostępu do serwerów firmowych w VLAN 10, jeśli nie zezwolisz na to na routerze/firewallu,
• kamery IP w osobnym VLAN ograniczają ryzyko, że atak na rejestrator da dostęp do reszty sieci,
• ryzykowne/niezaufane urządzenia IoT (inteligentne gniazdka, tanie kamery, TV) można zamknąć w dedykowanym VLAN.

To jeden z najprostszych i najtańszych sposobów podniesienia bezpieczeństwa sieci.

5.2. Lepsza wydajność i mniejszy ruch broadcast

Duże, płaskie sieci LAN generują dużo ruchu broadcast/multicast, co obciąża wszystkie urządzenia. Podział na VLAN‑y redukuje liczbę ramek broadcast w każdym segmencie (każdy VLAN ma własną domenę rozgłoszeniową) i zmniejsza obciążenie hostów, które nie muszą przetwarzać nieistotnych pakietów z innych działów. W efekcie sieć w biurach i szkołach działa szybciej i bardziej responsywnie.

5.3. Elastyczność i łatwiejsze zarządzanie

Z VLAN‑ami możesz zorganizować środowisko tak, by było wygodne w utrzymaniu:

• grupować urządzenia według funkcji lub działu, a nie fizycznego położenia,
• dział księgowości może być w jednym VLAN‑ie, nawet jeśli pracownicy siedzą na różnych piętrach,
• łatwo przenosić stanowiska – zmieniasz VLAN portu na switchu zamiast przepinać kabel na inny sprzęt,
• zarządzać regułami firewall/trasami między całymi VLAN‑ami (np. VLAN goście → tylko internet, bez dostępu do VLAN firma).

5.4. Oszczędność na sprzęcie

Zamiast kupować osobne przełączniki dla różnych działów i prowadzić osobne fizyczne okablowanie, możesz wykorzystać jeden zestaw przełączników zarządzalnych i skonfigurować na nich kilka VLAN‑ów. To częsty scenariusz w małych i średnich firmach – tani sposób na segmentację sieci.

6. Przykładowe zastosowania VLAN w praktyce

6.1. Małe biuro

Załóżmy, że masz następujący zestaw:

• jeden router (z wyjściem do internetu),
• dwa przełączniki zarządzalne (24 porty),
• jeden–dwa access pointy Wi‑Fi obsługujące kilka SSID.

Możesz zaplanować VLAN‑y w taki sposób:

• VLAN 10 – biuro (pracownicy) – komputery, drukarki, serwer NAS;
• VLAN 20 – goście – sieć Wi‑Fi tylko z dostępem do internetu;
• VLAN 30 – monitoring – kamery IP i rejestrator;
• VLAN 40 – administracja/IT – sprzęt krytyczny (router, kontroler Wi‑Fi, zarządzanie switchami).

Najważniejsze korzyści z takiego podziału:

• goście nie zobaczą serwera plików ani drukarek,
• atak na kamerę IP nie daje naturalnie dostępu do sieci firmowej,
• IT może zdalnie zarządzać sprzętem z VLAN 40 z ograniczonych adresów.

6.2. Sieć domowa „na poważnie”

Coraz więcej użytkowników domowych dzieli sieć na VLAN‑y, np.:

• VLAN 10 – domownicy – laptopy i telefony;
• VLAN 20 – goście – osobne SSID dla odwiedzających;
• VLAN 30 – IoT/smart home – TV, żarówki, gniazdka, kamery.

Dzięki VLAN‑om telewizor Smart TV ani urządzenia IoT nie mają bezpośredniego dostępu do Twojego laptopa (tylko do internetu – zgodnie z regułami firewall), a goście nie widzą Twoich prywatnych zasobów (NAS, drukarki itd.).

6.3. Szkoły, uczelnie, hotele

Typowy podział VLAN w takich środowiskach wygląda następująco:

• VLAN nauczycieli/kadry – dostęp do zasobów dydaktycznych i urządzeń kadry;
• VLAN uczniów/studentów – odseparowane stanowiska i urządzenia uczniów;
• VLAN gości – dostęp wyłącznie do internetu;
• VLAN administracji – systemy szkolne/biznesowe i dokumenty;
• VLAN monitoringu/bezpieczeństwa – kamery, rejestratory, systemy alarmowe.

Uczniowie nie mają dostępu do systemów działających w VLAN administracji, a hotelowi goście nie widzą siebie nawzajem ani infrastruktury hotelu – mają tylko internet.

7. Instrukcja – jak w praktyce skonfigurować VLAN (przykładowo)

Interfejs może się różnić w zależności od producenta (Cisco, MikroTik, TP‑Link, Ubiquiti itd.), ale logika konfiguracji jest zbliżona.

7.1. Co jest potrzebne?

Niezbędne elementy do uruchomienia VLAN:

• przełącznik zarządzalny – z obsługą VLAN 802.1Q;
• router – obsługujący wiele podsieci/VLAN (lub router L3/switch L3), jeśli chcesz komunikację między VLAN‑ami;
• access pointy – które potrafią przypisać różne SSID do różnych VLAN‑ów.

7.2. Ogólny schemat konfiguracji VLAN na przełączniku

1. Zaloguj się do panelu zarządzania przełącznikiem (WWW/CLI).
2. Utwórz VLAN‑y – nadaj im numery i czytelne nazwy:

• VLAN 10 – „biuro”,
• VLAN 20 – „goście”,
• VLAN 30 – „kamery”.

3. Przypisz porty access do odpowiednich VLAN‑ów:

• porty 1–8 → VLAN 10 (komputery biurowe),
• porty 9–12 → VLAN 20 (access point do Wi‑Fi gości),
• porty 13–16 → VLAN 30 (kamery IP).

Porty access oznacz jako untagged w odpowiednim VLAN‑ie.

4. Skonfiguruj port trunk – przenoszący ruch wielu VLAN‑ów jednym łączem.

Na przykład: port 24 ustaw jako trunk dla VLAN 10, 20 i 30; włącz tagowanie (tagged) dla tych identyfikatorów, aby mogły iść jednym kablem do routera lub drugiego switcha.

5. Zapisz konfigurację i przetestuj – sprawdź, czy urządzenia w tym samym VLAN‑ie widzą się nawzajem, a urządzenia w różnych VLAN‑ach – nie.

7.3. Konfiguracja routera (routowanie między VLAN‑ami)

Jeśli np. VLAN 10 ma mieć dostęp do internetu i do VLAN 30 (kamery), a VLAN 20 – tylko do internetu, wykonaj na routerze poniższe kroki:

1. Utwórz interfejsy logiczne dla VLAN‑ów (np. eth0.10, eth0.20, eth0.30) albo przypisz VLAN‑y do konkretnych portów (zależnie od sprzętu).
2. Nadaj interfejsom adresy IP – po jednym dla każdego VLAN‑u, np.:

• VLAN 10 – 192.168.10.1/24,
• VLAN 20 – 192.168.20.1/24,
• VLAN 30 – 192.168.30.1/24.

3. Skonfiguruj DHCP dla każdej podsieci (oddzielne pule adresów).
4. Dodaj reguły firewall/ACL określające dozwoloną komunikację między VLAN‑ami i internetem.

Przykładowo: VLAN 20 ma mieć tylko internet (blokada dostępu do 192.168.10.0/24 i 192.168.30.0/24), a VLAN 10 – internet oraz dostęp do 192.168.30.0/24 (podgląd kamer).

To właśnie router (lub switch warstwy 3) umożliwia komunikację między VLAN‑ami – bez niego VLAN‑y są całkowicie odseparowane w warstwie 2.

8. Typowe błędy przy konfiguracji VLAN

1. Brak zrozumienia różnicy tag/untag

Urządzenia końcowe zazwyczaj nie obsługują tagów VLAN, więc ich porty muszą być untagged w konkretnym VLAN. Tagowanie (trunk) stosuje się między switchami i do routerów/firewalli.

2. Port trunk skonfigurowany jako access

Skutkuje to brakiem przenoszenia ruchu wielu VLAN‑ów między urządzeniami i „rozłączaniem” sieci.

3. Brak routingu między VLAN‑ami, gdy jest potrzebny

Host z VLAN 10 nie będzie pingował hosta z VLAN 20, dopóki nie skonfigurujesz routera do routingu między nimi i nie zezwolisz na ruch w firewallu – to zachowanie jest domyślne.

4. Zbyt duża liczba urządzeń w jednym, niezabezpieczonym VLAN‑ie

Wrzucenie wszystkiego do jednego VLAN (np. „VLAN 1 default”) niweluje zalety segmentacji i zwiększa powierzchnię ataku.

5. Nieprzemyślane mapowanie SSID → VLAN

Sieć Wi‑Fi dla gości nie powinna być w tym samym VLAN‑ie co laptopy firmowe. Skorzystaj z VLAN na AP i rozdziel ruch gości od reszty.

9. VLAN a klasyczny LAN – prostym językiem

LAN to podstawowa sieć lokalna – wszystko w jednym „worku” (jeden segment lub kilka fizycznie rozdzielonych).

VLAN to sposób na podzielenie tej sieci na kilka osobnych worków (segmentów) bez kupowania osobnych switchy i prowadzenia nowych kabli.

Kluczowe efekty VLAN:

• bezpieczeństwo – ruch między VLAN‑ami można kontrolować, ograniczać lub blokować;
• wydajność – mniej niepotrzebnego ruchu broadcast w każdej podsieci;
• elastyczność – urządzenia logicznie razem, nawet jeśli fizycznie są rozproszone.

Dlatego VLAN to dziś standard w sieciach firmowych i coraz częściej także w zaawansowanych sieciach domowych.

Jeśli chcesz, w kolejnym kroku mogę przygotować konkretny, krok‑po‑kroku przykład konfiguracji VLAN na wybranym sprzęcie (np. TP‑Link, MikroTik, Ubiquiti, Cisco) – gotowy do wklejenia jako osobny poradnik.