Default setup मध्ये, एकाच switch ला जोडलेलं किंवा एकाच Wi-Fi ला connect असलेलं प्रत्येक device साधारण दुसऱ्या प्रत्येक device ला "बघू" शकतं. एका flat network असलेल्या small office मध्ये, याचा अर्थ guest चा laptop, office चं CCTV system, finance team चा PC, आणि file server हे सगळे technically एकमेकांपर्यंत पोहोचू शकतात. VLAN (Virtual LAN) हे थांबवण्याचा मार्ग आहे.
VLAN actually काय करतो
VLAN एका physical network चे वेगवेगळे logical networks मध्ये विभाजन करतो, जरी सगळं एकाच switches आणि cabling मधून जात असलं तरी. वेगवेगळ्या VLAN वरची devices default मध्ये एकमेकांशी बोलू शकत नाहीत — त्यांच्यामध्ये specific traffic allow करायचं असेल तर ते firewall किंवा router मधून explicitly allow करावं लागतं, म्हणजे एखादं compromised किंवा नको असलेलं device आपोआप बाकी सगळ्यांपर्यंत पोहोचत नाही.
सामान्य office मध्ये segmentation कसं होतं
- Servers VLAN — file server, AD server, आणि इतर core infrastructure, फक्त गरज असणाऱ्या staff devices ना reachable
- Staff/Windows PCs VLAN — रोजची work devices
- Guest Wi-Fi VLAN — visitors ला फक्त internet access, internal systems पर्यंत कुठलाही मार्ग नाही
- CCTV VLAN — cameras आणि DVR/NVR बाकी network पासून वेगळे, कारण IP cameras वर हल्ले होण्याचं प्रमाण जास्त आणि त्यांना security updates क्वचितच मिळतात
- IP Phones VLAN — voice traffic वेगळा ठेवला जातो जेणेकरून तो data traffic मुळे प्रभावित होणार नाही किंवा त्यात जायचा मार्ग बनणार नाही
एक real deployment
एका financial advisory firm च्या second-floor office साठी, मी rack, cabling, switches सुरुवातीपासून सेटअप केले, आणि IP phones, guest Wi-Fi, servers, CCTV, embedded terminal devices, Windows PCs साठी वेगवेगळे VLANs configure केले. यासोबतच, एक proxy server असा configure केला की काही machines ना फक्त त्यांना लागणाऱ्या internal application पर्यंतच पोहोचता येईल — general internet access अजिबात नाही. हे combination (VLAN segmentation + controlled outbound access) actually limit करतं की एखादं device compromised झालं तर किती नुकसान होईल.
Small office साठी हे गरजेचं आहे का
तुझ्याकडे CCTV, guest Wi-Fi, किंवा IP phones असतील regular business network सोबत — तर हो. हीच devices सगळ्यात जास्त outdated, manufacturer कडून नीट secure न केलेली, किंवा staff व्यतिरिक्त इतरांना (guests, camera च्या network port जवळून जाणारा delivery staff) accessible असण्याची शक्यता असते. यांना core business data पासून वेगळं करणं हे खर्चाच्या तुलनेत सगळ्यात जास्त value देणारा infrastructure बदल आहे — बहुतांश काम आधीच असलेल्या switches वर फक्त configuration time चं आहे.