Wykład ten stanowi most łączący wiedzę z wykładu zerowego (przełączniki i routery) z bardziej zaawansowanymi zagadnieniami warstwy 2 i 3 modelu OSI. Skupimy się na technologiach Ethernet, które są fundamentem nowoczesnych sieci LAN, oraz na protokołach takich jak ARP i koncepcji VLAN. Zrozumienie tych mechanizmów jest absolutnie niezbędne dla każdego administratora sieci.

Po ukończeniu wykładu będziesz w stanie wyjaśnić działanie przełączania i routingu, co stanowi solidną podstawę do dalszego rozwoju w dziedzinie administracji sieciami. Wiedza ta ma bezpośrednie zastosowanie praktyczne, ponieważ omawiane technologie są powszechne w każdej sieci, od domowych po globalne centra danych.

Zalecana literatura uzupełniająca obejmuje trzy pozycje, które znacząco pogłębią wiedzę zdobytą podczas wykładu. Książka "Ethernet. Biblia administratora" to wyczerpujące kompendium wiedzy o technologii Ethernet, od podstaw fizycznych po zaawansowane zagadnienia przełączania. "Sieci komputerowe. Najczęstsze problemy i ich rozwiązania" koncentruje się na praktycznych aspektach diagnostyki i rozwiązywania problemów sieciowych.

Podręcznik "GNS3. Emulowanie sieci komputerowych Cisco" wprowadza w świat symulacji sieci, umożliwiając praktyczne ćwiczenie konfiguracji urządzeń Cisco w środowisku wirtualnym bez potrzeby posiadania fizycznego sprzętu. Zachęcam do korzystania z tych materiałów podczas samodzielnej nauki.

Zrozumienie różnic między modelem OSI a TCP/IP jest kluczowe dla prawidłowej interpretacji procesów sieciowych. Model OSI, opracowany przez ISO, jest modelem teoretycznym, który dzieli komunikację na siedem warstw, z których każda ma ściśle określone zadania. Model TCP/IP, stworzony dla potrzeb ARPANET, jest modelem praktycznym, który stał się podstawą dzisiejszego Internetu.

Proces enkapsulacji, czyli dodawania nagłówków przez kolejne warstwy, jest fundamentalny dla zrozumienia, jak dane podróżują przez sieć. Każda warstwa dodaje swój własny nagłówek do danych otrzymanych z warstwy wyższej, tworząc strukturę, która jest następnie przekazywana w dół stosu sieciowego aż do warstwy fizycznej, gdzie zostaje wysłana przez medium transmisyjne.

Ścisła zależność między warstwą fizyczną a warstwą łącza danych sprawia, że Ethernet jako technologia obejmuje obie te warstwy. Warstwa fizyczna definiuje parametry transmisji, takie jak napięcia, typy złączy (RJ-45), rodzaje kabli (skrętka, światłowód) oraz techniki kodowania sygnału. Warstwa łącza danych wykorzystuje te fizyczne właściwości do niezawodnego przesyłania ramek.

Podział warstwy L2 na podwarstwy MAC i LLC ma praktyczne znaczenie. LLC umożliwia współdziałanie różnych protokołów warstwy sieciowej (IPv4, IPv6) z różnymi technologiami warstwy łącza danych (Ethernet, Wi-Fi). Dzięki temu ten sam stos TCP/IP może działać zarówno w sieci przewodowej, jak i bezprzewodowej.

Ewolucja Ethernetu rozpoczęła się w latach 70. XX wieku w laboratoriach Xerox PARC, gdzie Robert Metcalfe i jego zespół opracowali pierwszą wersję tej technologii. Początkowo Ethernet działał na grubym kablu koncentrycznym (10BASE5) z prędkością 10 Mbps. Z czasem pojawiły się kolejne standardy: Thin Ethernet (10BASE2), Twisted Pair (10BASE-T) i wreszcie Fast Ethernet (100BASE-TX) oraz Gigabit Ethernet (1000BASE-T).

Każda kolejna generacja Ethernetu zwiększała przepustowość przy jednoczesnym zachowaniu wstecznej kompatybilności. Przejście od koncentratorów do przełączników było kamieniem milowym, który umożliwił wykorzystanie pełnej przepustowości łącza dla każdego urządzenia i całkowicie wyeliminował problem kolizji w typowych sieciach biurowych.

Adres MAC jest 48-bitową liczbą, zapisywaną najczęściej w formacie heksadecymalnym z dwukropkami lub myślnikami oddzielającymi poszczególne bajty (np. 00:1A:2B:3C:4D:5E). Jest on przypisywany przez producenta karty sieciowej podczas produkcji i zazwyczaj pozostaje niezmienny przez cały okres użytkowania urządzenia, choć w systemach operacyjnych można go zmienić programowo (MAC spoofing).

W odróżnieniu od adresów IP, które mogą być zmieniane w zależności od sieci, do której podłączone jest urządzenie, adres MAC jest trwale związany z interfejsem sieciowym. To sprawia, że jest on niezawodnym identyfikatorem w obrębie sieci lokalnej, ale nie nadaje się do routingu w skali globalnej, ponieważ nie zawiera informacji o lokalizacji urządzenia w topologii sieci.

Organizacja IEEE (Institute of Electrical and Electronics Engineers) zarządza przydziałem prefiksów OUI dla producentów sprzętu sieciowego. Każdy producent, który chce produkować urządzenia z interfejsami Ethernet, musi wykupić własny, unikalny prefiks OUI. Dzięki temu możliwe jest jednoznaczne określenie producenta na podstawie pierwszych trzech bajtów adresu MAC.

W praktyce istnieją publiczne bazy danych OUI (np. na stronie IEEE), które umożliwiają szybkie sprawdzenie producenta na podstawie adresu MAC. Jest to często wykorzystywane w diagnostyce sieciowej oraz w mechanizmach bezpieczeństwa, takich jak filtrowanie adresów MAC czy identyfikacja nieznanych urządzeń pojawiających się w sieci.

Rozróżnienie między unicast, multicast i broadcast ma fundamentalne znaczenie dla projektowania wydajnych sieci. Ramki unicast są przekazywane tylko do jednego odbiorcy, co minimalizuje obciążenie sieci. Ramki broadcast są niezbędne do działania wielu protokołów (ARP, DHCP), ale nadmierna liczba rozgłoszeń może znacząco obniżyć wydajność sieci.

Adres multicast umożliwia komunikację grupową, gdzie ramka jest dostarczana tylko do urządzeń, które zadeklarowały chęć jej odbioru. W warstwie 2 adresy multicast Ethernet mają najmłodszy (najmniej znaczący) bit pierwszego oktetu ustawiony na 1. Ramki multicast są przetwarzane przez przełączniki w sposób szczególny - są one przekazywane tylko na te porty, do których podłączone są urządzenia zainteresowane daną grupą multicastową.

Standard Ethernet II (DIX) został opracowany przez firmy Digital Equipment Corporation, Intel i Xerox i jest najczęściej używanym formatem ramki Ethernet we współczesnych sieciach. Jego struktura jest stosunkowo prosta, ale zawiera wszystkie niezbędne elementy do prawidłowego funkcjonowania komunikacji w sieci lokalnej. Ramka Ethernet II rozpoczyna się od 6-bajtowego adresu docelowego, a kończy na 4-bajtowym polu FCS.

Zrozumienie struktury ramki jest kluczowe dla analizy ruchu sieciowego. Narzędzia takie jak Wireshark potrafią dekomponować ramkę na poszczególne pola, co umożliwia szczegółową diagnostykę problemów sieciowych. Każde pole ramki ma ściśle określoną funkcję i długość, co wynika z definicji standardu IEEE.

Preambuła i SFD są często pomijane podczas analizy ruchu sieciowego, ponieważ są one obsługiwane na poziomie sprzętowym przez interfejs sieciowy. Preambuła składa się z 7 bajtów o wzorcu 10101010, które pozwalają odbiornikowi na zsynchronizowanie się z sygnałem nadajnika. Synchronizacja ta jest niezbędna do poprawnego odczytania strumienia bitów, ponieważ nadajnik i odbiornik mogą mieć nieznacznie różne częstotliwości zegarów.

Pole SFD (10101011) różni się od preambuły ostatnim bitem - zamiast 0 pojawia się 1. Ta subtelna różnica jest wykrywana przez układ odbiornika jako znacznik końca synchronizacji i początku właściwych danych. Dzięki temu odbiornik wie dokładnie, od którego bitu rozpoczyna się adres docelowy MAC ramki.

Adresy MAC w ramce Ethernet są zawsze umieszczane w stałej kolejności: najpierw docelowy, potem źródłowy. Jest to ważne dla przełączników, ponieważ najpierw odczytują one adres docelowy w celu podjęcia decyzji o forwardingu, a dopiero potem analizują adres źródłowy do celów uczenia się tablicy CAM. Taka kolejność umożliwia szybkie przetwarzanie ramek.

Warto zauważyć, że adres MAC źródłowy w ramce jest zawsze adresem unicast (nie może być broadcastem ani multicastem), podczas gdy adres docelowy może być dowolnego typu. Na podstawie adresu źródłowego przełącznik buduje swoją tablicę CAM, zapamiętując, na którym porcie pojawił się dany adres MAC.

Pole EtherType jest kluczowym elementem umożliwiającym demultipleksację w warstwie łącza danych. Gdy ramka dociera do hosta odbiorcy, system operacyjny odczytuje pole EtherType, aby dowiedzieć się, jakiemu protokołowi warstwy sieciowej ma przekazać zawartość ramki. Dzięki temu ta sama karta sieciowa może odbierać ruch dla różnych protokołów (IPv4, IPv6, ARP) i kierować go do odpowiednich procesów.

Wartości EtherType są przydzielane i rejestrowane przez IEEE. Oprócz standardowych wartości, takich jak 0x0800 (IPv4) i 0x0806 (ARP), istnieją również wartości dla protokołów eksperymentalnych i specyficznych dla producentów. Znajomość najważniejszych wartości EtherType jest przydatna podczas analizy ruchu sieciowego za pomocą narzędzi takich jak tcpdump czy Wireshark.

Minimalny rozmiar ramki (64 bajty) wynika z konstrukcji mechanizmu CSMA/CD. Aby wykryć kolizję, nadawca musi transmitować ramkę wystarczająco długo, aby sygnał kolizji zdążył do niego wrócić, zanim zakończy transmisję. Dla sieci Ethernet 10 Mbps maksymalna odległość między urządzeniami wynosiła 2500 metrów, co wymagało minimalnego rozmiaru ramki 64 bajtów.

MTU (Maximum Transmission Unit) określa maksymalny rozmiar pola danych w ramce. Dla standardowego Ethernetu MTU wynosi 1500 bajtów. Jeśli pakiet z warstwy wyższej jest większy, musi zostać podzielony na mniejsze fragmenty (fragmentacja IP). Jumbo Frames, z MTU do 9000 bajtów, są stosowane w sieciach centrów danych do zwiększenia wydajności, ponieważ redukują liczbę nagłówków przypadającą na jednostkę danych.

Algorytm CRC (Cyclic Redundancy Check) używany w Ethernetie jest CRC-32, który generuje 32-bitową sumę kontrolną. Jest to bardzo skuteczna metoda wykrywania błędów transmisji - potrafi wykryć wszystkie błędy pojedyncze i podwójne, wszystkie błędy nieparzystej liczby bitów oraz wszystkie błędy w blokach o długości mniejszej niż 32 bity.

Warto podkreślić, że pole FCS obejmuje swoim zasięgiem całą ramkę od adresu docelowego do pola danych (łącznie z wypełnieniem). Preambuła i SFD nie są uwzględniane w obliczeniach CRC. Jeśli ramka zostanie odrzucona z powodu błędu FCS, odpowiedzialność za retransmisję spada na protokoły wyższych warstw, takie jak TCP.

Koncentratory były powszechnie używane w latach 90. XX wieku, zanim przełączniki stały się dostępne w przystępnych cenach. Ich główną zaletą była prostota i niski koszt, ale wady związane z wydajnością i bezpieczeństwem stopniowo doprowadziły do ich wycofania z użycia. Współcześnie koncentratory można spotkać jedynie w starszych instalacjach lub w roli prostych urządzeń do diagnostyki sieci.

Działanie koncentratora w warstwie fizycznej oznacza, że nie ma on pojęcia o adresach MAC, ramkach czy pakietach. Dla koncentratora każdy sygnał elektryczny jest po prostu strumieniem bitów, który musi zostać zregenerowany i powielony. To powoduje, że w sieci z koncentratorem całe dostępne pasmo jest dzielone przez wszystkie podłączone urządzenia.

Mechanizm CSMA/CD (Carrier Sense Multiple Access with Collision Detection) był stosowany w sieciach Ethernet z koncentratorami do zarządzania dostępem do współdzielonego medium. Przed wysłaniem danych urządzenie nasłuchiwało (Carrier Sense), czy medium jest wolne. Jeśli tak, rozpoczynało transmisję, jednocześnie monitorując ją pod kątem kolizji (Collision Detection).

W praktyce przy wykorzystaniu pasma powyżej 30-40% sieć z koncentratorem stawała się praktycznie bezużyteczna z powodu lawinowego wzrostu liczby kolizji. Algorytm CSMA/CD (z wykładniczym czasem oczekiwania - exponential backoff) próbował radzić sobie z tym problemem, ale przy dużej liczbie urządzeń skuteczność komunikacji drastycznie spadała.

Przełącznik stanowi fundamentalną różnicę w porównaniu z koncentratorem, ponieważ podejmuje decyzje w warstwie łącza danych, a nie tylko w warstwie fizycznej. Analizując adresy MAC zawarte w ramkach, przełącznik jest w stanie przekazywać ramki tylko do tych portów, do których podłączony jest odbiorca, zamiast rozsyłać je na wszystkie porty.

Mikro-segmentacja, czyli tworzenie osobnych domen kolizyjnych dla każdego portu, umożliwia jednoczesną komunikację wielu par urządzeń bez wzajemnych zakłóceń. Ponadto przełączniki domyślnie negocjują tryb pełnodupleksowy (Full-Duplex) z podłączonymi urządzeniami, co eliminuje kolizje i podwaja dostępną przepustowość na każdym łączu.

Pamięć CAM (Content Addressable Memory) różni się zasadniczo od tradycyjnej pamięci RAM. W RAM dane są wyszukiwane po adresie komórki pamięci, podczas gdy w CAM wyszukiwanie odbywa się po zawartości - podajemy adres MAC, a pamięć zwraca numer portu. To sprawia, że wyszukiwanie w CAM jest wykonywane w jednym cyklu zegara, niezależnie od liczby przechowywanych wpisów.

Mechanizm starzenia się wpisów (aging) jest niezbędny do utrzymania aktualności tablicy CAM. Gdy urządzenie zostanie odłączone lub przeniesione na inny port, stary wpis zostanie usunięty po upływie czasu wygaśnięcia (domyślnie 300 sekund w większości przełączników). Dzięki temu przełącznik automatycznie dostosowuje się do zmian w sieci.

Proces uczenia się jest w pełni automatyczny i nie wymaga ingerencji administratora. Przełącznik analizuje każdą przychodzącą ramkę i na podstawie źródłowego adresu MAC aktualizuje swoją tablicę CAM. Jeśli adres jest już znany, przełącznik odświeża czas życia wpisu. Jeśli jest nowy, dodaje nowy wpis.

Warto zauważyć, że przełącznik uczy się tylko na podstawie źródłowych adresów MAC. Jeśli urządzenie nigdy nie wysłało żadnej ramki, przełącznik nie będzie wiedział, na którym porcie się znajduje. W takiej sytuacji ramki adresowane do tego urządzenia będą zalewane na wszystkie porty (flooding), dopóki urządzenie nie odpowie na jakiekolwiek zapytanie.

Przekazywanie (forwarding) jest podstawowym trybem pracy przełącznika, który zapewnia wysoką wydajność sieci. Gdy przełącznik zna lokalizację zarówno nadawcy, jak i odbiorcy, ramka jest przesyłana wyłącznie przez port prowadzący do odbiorcy, a pozostałe porty pozostają wolne do obsługi innych transmisji.

W praktyce oznacza to, że w dobrze zaprojektowanej sieci większość ruchu jest przekazywana selektywnie, a zalewanie występuje rzadko - głównie dla ramek broadcast i w początkowym okresie działania przełącznika, gdy tablica CAM nie zawiera jeszcze wszystkich wpisów.

Filtrowanie pokazuje inteligencję przełącznika w optymalizacji ruchu. Jeśli dwa urządzenia są podłączone do tego samego portu (na przykład poprzez dodatkowy koncentrator), przełącznik rozpoznaje, że komunikacja między tymi urządzeniami nie wymaga jego pośrednictwa i odrzuca ramkę. Dzięki temu przełącznik nie marnuje zasobów na przetwarzanie ruchu, który i tak dotarłby do odbiorcy.

W nowoczesnych sieciach, gdzie do każdego portu podłączone jest tylko jedno urządzenie, filtrowanie występuje rzadko. Jednak wciąż może być przydatne w sytuacjach, gdy port przełącznika jest połączony z koncentratorem lub w konfiguracjach tymczasowych.

Zalewanie jest koniecznym mechanizmem w sytuacjach, gdy przełącznik nie zna lokalizacji docelowego adresu MAC. Gdy nowe urządzenie pojawia się w sieci, przełącznik początkowo nie wie, na którym porcie się znajduje. Wszystkie ramki adresowane do tego urządzenia są zalewane na wszystkie porty, dopóki przełącznik nie „nauczy się" adresu na podstawie ramki wysłanej przez to urządzenie.

Zalewanie jest również wykorzystywane dla ramek broadcast (adres FF:FF:FF:FF:FF:FF), które z definicji mają dotrzeć do wszystkich urządzeń w sieci. Ramki broadcast są niezbędne do działania protokołów takich jak ARP czy DHCP, ale nadmierne zalewanie może obniżyć wydajność sieci. Dlatego w dużych sieciach stosuje się VLAN-y do podziału domen rozgłoszeniowych.

Zrozumienie różnicy między domeną kolizyjną a domeną rozgłoszeniową jest kluczowe dla projektowania sieci. Przełącznik tworzy osobną domenę kolizyjną dla każdego portu, co eliminuje kolizje i umożliwia pracę w trybie Full-Duplex. Nie izoluje jednak domen rozgłoszeniowych - ramka broadcast wysłana przez jedno urządzenie zostanie rozesłana przez przełącznik na wszystkie porty.

Routery i przełączniki warstwy 3 są urządzeniami, które izolują domeny rozgłoszeniowe - każdy port routera znajduje się w innej domenie rozgłoszeniowej. VLAN-y umożliwiają osiągnięcie tego samego efektu na przełącznikach, dzieląc jedną fizyczną sieć na wiele logicznych domen rozgłoszeniowych.

Wybór trybu pracy przełącznika ma wpływ na opóźnienie i niezawodność transmisji. Store-and-Forward jest domyślnym trybem w większości przełączników, ponieważ zapewnia najwyższą jakość transmisji - uszkodzone ramki są odrzucane i nie propagowane dalej. Wadą jest nieco większe opóźnienie, które rośnie wraz z rozmiarem ramki.

Cut-Through minimalizuje opóźnienie, ale może propagować uszkodzone ramki. Tryb ten jest stosowany w środowiskach, gdzie priorytetem jest niskie opóźnienie, takich jak centra danych obsługujące transakcje giełdowe. Fragment-Free stanowi kompromis - sprawdza pierwsze 64 bajty, co pozwala wyeliminować większość uszkodzonych ramek (runts) bez pełnego buforowania.

ARP jest protokołem warstwy łącza danych (L2), ale jego zadaniem jest obsługa adresów IP (L3). Działa on bezpośrednio na ramkach Ethernet, co oznacza, że komunikaty ARP nie są routowane - pozostają w obrębie jednej sieci lokalnej. Protokół ARP jest zdefiniowany w RFC 826 i jest niezbędny do działania każdej sieci IP opartej na Ethernet.

Gdy host chce wysłać dane do innego hosta, najpierw sprawdza, czy adres docelowy znajduje się w tej samej sieci (na podstawie maski podsieci). Jeśli tak, wysyła zapytanie ARP. Jeśli nie, pakiet jest kierowany do bramy domyślnej, a ARP jest używany do znalezienia adresu MAC bramy.

Ramka ARP Request jest wysyłana jako broadcast (docelowy MAC FF:FF:FF:FF:FF:FF), co oznacza, że wszystkie urządzenia w sieci lokalnej otrzymują to zapytanie. Każde urządzenie sprawdza, czy zapytany adres IP jest jego własnym adresem. Jeśli nie, ramka jest ignorowana na poziomie stosu sieciowego.

ARP Reply jest wysyłany jako unicast bezpośrednio do nadawcy zapytania. Zawiera on adres MAC urządzenia, które odpowiedziało. Po otrzymaniu odpowiedzi, nadawca zapisuje parę (IP, MAC) w swojej lokalnej tablicy ARP, aby uniknąć wysyłania kolejnego zapytania ARP przed następną transmisją do tego samego adresu IP.

Tablicę ARP można wyświetlić w systemie Windows za pomocą polecenia arp -a, a w systemach Linux/Mac za pomocą arp -n. Przykładowy wpis zawiera adres IP, odpowiadający mu adres MAC, typ mapowania (dynamiczny/statyczny) oraz interfejs. Wpisy dynamiczne są dodawane automatycznie przez protokół ARP i mają ograniczony czas życia.

Czas życia wpisów w tablicy ARP (ARP cache timeout) zależy od systemu operacyjnego. W Windows domyślnie wynosi 2-10 minut dla wpisów nieużywanych, w Linux około 30-60 sekund. Krótki czas życia zapewnia szybkie dostosowanie się do zmian w sieci (np. wymiana karty sieciowej), ale zwiększa liczbę zapytań ARP.

RARP został zdefiniowany w RFC 903 i działał na zasadzie odwrotnej do ARP - urządzenie wysyłało swój adres MAC w zapytaniu broadcast, a serwer RARP odpowiadał, przydzielając adres IP. Protokół ten miał jednak poważne ograniczenia: wymagał obecności serwera RARP w każdym segmencie sieci (ponieważ zapytania były broadcastami, a nie są routowane).

RARP został zastąpiony przez BOOTP (Bootstrap Protocol), który umożliwiał przesyłanie dodatkowych informacji konfiguracyjnych (np. adresu bramy, serwera DNS). Następnie BOOTP został wyparty przez DHCP (Dynamic Host Configuration Protocol), który jest dziś standardem automatycznej konfiguracji urządzeń sieciowych.

Atak ARP Spoofing jest jednym z najłatwiejszych do przeprowadzenia w sieci lokalnej, ponieważ protokół ARP nie weryfikuje autentyczności otrzymywanych odpowiedzi. Atakujący może wysłać sfałszowaną odpowiedź ARP, w której deklaruje, że adres IP bramy domyślnej jest powiązany z jego własnym adresem MAC. Wszystkie urządzenia, które przyjmą tę fałszywą informację, będą kierować ruch przeznaczony do Internetu do komputera atakującego.

Obroną przed ARP Spoofing jest stosowanie mechanizmów takich jak Dynamic ARP Inspection (DAI) na przełącznikach zarządzalnych, który weryfikuje poprawność pakietów ARP z bazą danych DHCP Snooping. Innymi metodami są statyczne wpisy ARP (na małych sieciach) oraz szyfrowanie ruchu na poziomie aplikacji (HTTPS, SSH).

Technologia VLAN została opracowana w odpowiedzi na ograniczenia fizycznej infrastruktury sieciowej. Przed wprowadzeniem VLAN-ów, zmiana przynależności urządzenia do innej sieci wymagała fizycznego przełączenia kabla w szafie kablowej. VLAN-y umożliwiają dokonywanie takich zmian programowo, poprzez konfigurację przełącznika.

VLAN-y są implementowane przez dodawanie do ramek Ethernet specjalnych znaczników (tagów 802.1Q), które identyfikują przynależność do sieci wirtualnej. Dzięki temu przełączniki mogą przekazywać ramki tylko do portów należących do tego samego VLAN-u, tworząc logiczną izolację nawet w obrębie jednego fizycznego urządzenia.

Bezpieczeństwo sieci jest jednym z głównych powodów wdrażania VLAN-ów. Dzieląc sieć na oddzielne VLAN-y dla różnych działów (księgowość, HR, IT), uniemożliwiamy użytkownikom z jednego działu dostęp do zasobów innego działu bez odpowiednich uprawnień. Dodatkowo, w przypadku infekcji wirusem w jednym VLAN-ie, pozostałe VLAN-y pozostają chronione.

Wydajność sieci również zyskuje na podziale na VLAN-y. Ruch broadcastowy (ARP, DHCP) jest izolowany w obrębie jednego VLAN-u, co oznacza, że urządzenia w innych VLAN-ach nie są obciążone jego przetwarzaniem. W sieci bez VLAN-ów, liczba rozgłoszeń rośnie wraz z liczbą urządzeń, co może prowadzić do przeciążenia sieci.

Identyfikator VLAN (VID) jest 12-bitowym polem w tagu 802.1Q, co daje zakres od 0 do 4095. VID 0 jest zarezerwowany do identyfikacji priorytetu (Priority Tagging), a VID 4095 jest zarezerwowany do celów implementacyjnych. Praktyczny zakres użytecznych VLAN-ów to 1-4094.

VLAN 1 ma szczególne znaczenie - jest to domyślny VLAN na wszystkich przełącznikach. Wszystkie porty przełącznika początkowo należą do VLAN 1. Z punktu widzenia bezpieczeństwa zaleca się zmianę domyślnego VLAN-u na inny numer, ponieważ ataki często celują w VLAN 1. Dodatkowo, ruch zarządczy (telnet, SSH, SNMP) często odbywa się w VLAN-ie 1.

Port Access jest najprostszym w konfiguracji typem portu VLAN. Administrator przypisuje port do konkretnego VLAN-u poleceniem (np. switchport access vlan 10 w Cisco IOS). Urządzenie podłączone do tego portu nie musi „wiedzieć" o istnieniu VLAN-ów - otrzymuje standardowe ramki Ethernet bez tagów 802.1Q.

Gdy przełącznik odbiera ramkę z portu Access, wewnętrznie dodaje do niej tag VLAN przed przekazaniem do innych portów w tym samym VLAN-ie. Gdy ramka jest wysyłana przez port Access, przełącznik usuwa tag VLAN, tak aby urządzenie końcowe otrzymało standardową ramkę Ethernet.

Port Trunk umożliwia przesyłanie ruchu z wielu VLAN-ów przez jedno fizyczne łącze. Jest to niezbędne przy łączeniu przełączników, gdy chcemy, aby VLAN-y były dostępne w całej sieci, a nie tylko na jednym przełączniku. Bez trunków, każdy VLAN wymagałby osobnego fizycznego połączenia między przełącznikami.

Standard IEEE 802.1Q definiuje sposób tagowania ramek Ethernet. Tag 802.1Q jest czterobajtowym polem wstawianym między źródłowy adres MAC a pole EtherType. Zawiera on 12-bitowy identyfikator VLAN (VID). Ważną koncepcją jest Native VLAN - VLAN, który nie jest tagowany na łączu trunkowym. Domyślnie jest to VLAN 1.

Standard IEEE 802.1Q został opracowany przez Institute of Electrical and Electronics Engineers jako ustandaryzowana metoda tagowania VLAN. Przed jego wprowadzeniem istniały zastrzeżone implementacje różnych producentów, które nie były ze sobą kompatybilne (np. ISL - Inter-Switch Link firmy Cisco). 802.1Q rozwiązał ten problem, wprowadzając jeden, otwarty standard.

Ramka z tagiem 802.1Q ma zmodyfikowaną strukturę: po źródłowym adresie MAC pojawia się 4-bajtowy znacznik, który zmienia położenie pola EtherType. Ze względu na zwiększenie rozmiaru ramki, MTU na łączach trunkowych musi być ustawione na co najmniej 1504 bajty. Większość nowoczesnych urządzeń obsługuje to ustawienie automatycznie.

Pole TPID (Tag Protocol Identifier) o wartości 0x8100 działa jak nowy EtherType, informując urządzenia odbiorcze, że ramka zawiera tag 802.1Q. Po odczytaniu tej wartości układ sieciowy wie, że kolejne 2 bajty to TCI, a nie dane. Dzięki temu urządzenia obsługujące 802.1Q mogą prawidłowo interpretować tagowaną ramkę.

Pole PCP (Priority Code Point) umożliwia nadawanie priorytetów ramkom w mechanizmach QoS (Quality of Service). Wartości PCP od 0 do 7 określają priorytet ruchu - od ruchu tła (0) po ruch krytyczny (7). Pole DEI (Drop Eligible Indicator) wskazuje, czy ramka może być odrzucona w przypadku przeciążenia sieci. Pole VID (VLAN Identifier) to 12-bitowy identyfikator VLAN-u (zakres 0-4095).