VLAN আর trunking — এক switch-এ অনেক নেটওয়ার্ক

১ · এক অফিস, তিন বিভাগ, একটাই switch — সমস্যাটা কোথায়

ঢাকার মতিঝিলে একটি মাঝারি আকারের কোম্পানির অফিস কল্পনা করুন। তিনতলা জুড়ে প্রায় ৮০টি কম্পিউটার। দোতলায় হিসাব বিভাগ (accounts) — বেতন, ব্যাংক লেনদেন, ভ্যাটের ফাইল। তিনতলায় HR — কর্মীদের ব্যক্তিগত তথ্য, নিয়োগের কাগজ। আর নিচতলার রিসেপশনে অতিথিদের জন্য ফ্রি Wi-Fi. সব কম্পিউটার আর Wi-Fi-র access point তার দিয়ে যুক্ত কয়েকটি switch-এ, যেগুলো আবার একে অপরের সাথে যুক্ত।

পর্ব ১২-এ দেখেছেন, switch প্রতিটি frame-এর গন্তব্য MAC ঠিকানা দেখে শুধু সঠিক port-এ পাঠায়। কিন্তু একটি ব্যতিক্রম আছে: broadcast frame — গন্তব্য ff:ff:ff:ff:ff:ff, অর্থাৎ “সবার জন্য”. Switch এমন frame পেলে যে port দিয়ে এসেছে সেটি বাদে সব port-এ পাঠিয়ে দেয় (flooding). কোনো কম্পিউটার যখন পাশের যন্ত্রের MAC খোঁজে (ARP, পর্ব ১৮), বা চালু হয়ে ঠিকানা চায় (DHCP, পর্ব ১৮), তখন broadcast পাঠায়। অর্থাৎ broadcast নেটওয়ার্কের স্বাভাবিক, দৈনন্দিন জিনিস।

একটি বড় flat LAN-এর তিনটি সমস্যা

VLAN আসার আগে সমাধান ছিল প্রতিটি বিভাগের জন্য আলাদা switch, আলাদা তার, আর বিভাগগুলোর মাঝে একটি router. খরচ বেশি, আর কর্মী সরলেই তার বদল। Virtual LAN (VLAN) একটি ভৌত switch-কে কয়েকটি যৌক্তিক switch-এ ভাগ করে। প্রতিটি VLAN-এর frame শুধু সেই VLAN-এর port-গুলোর মধ্যেই চলে; অন্য VLAN-এ যেতে হলে router পার হতে হয়, ঠিক যেন আলাদা দুটি নেটওয়ার্ক।

২ · Access port — প্রতিটি port একটি VLAN-এর

সবচেয়ে সাধারণ VLAN হলো port-based VLAN: switch-এর প্রতিটি port-কে একটি VLAN নম্বর দেওয়া হয়। এমন port-কে বলে access port. PC, প্রিন্টার, IP ক্যামেরা — সাধারণ যন্ত্র যুক্ত হয় access port-এ। যন্ত্রটি জানেই না সে কোন VLAN-এ; সে সাধারণ Ethernet frame পাঠায়, tag ছাড়া। Switch frame-টি যে port-এ ঢুকল তা দেখে মনে মনে ধরে নেয় “এটি VLAN 10-এর”, আর সেই VLAN-এর ভেতরেই সিদ্ধান্ত নেয়।

আমাদের অফিসের দুটি switch-এর port-এর ভাগ এরকম (এই পর্বের সব উদাহরণে এটিই ব্যবহার হবে):

VLAN-সচেতন switch তার MAC address table-ও VLAN অনুযায়ী আলাদা রাখে: প্রতিটি সারি আসলে (VLAN, MAC) → port. VLAN 10-এ শেখা কোনো MAC দিয়ে VLAN 20-এর frame কোথাও পাঠানো হয় না। আর broadcast বা অচেনা গন্তব্যের frame flood হয় শুধু সেই VLAN-এর port-গুলোতে। এই একটি নিয়মই VLAN-এর সব জাদু।

vlan 10
 name ACCOUNTS
vlan 20
 name HR
vlan 30
 name GUEST
!
interface GigabitEthernet0/1
 description PC-A (accounts)
 switchport mode access          ! এই port কখনো trunk হবে না
 switchport access vlan 10       ! port-টি VLAN 10-এর
 switchport nonegotiate          ! DTP-র trunk-আলোচনা বন্ধ (অংশ ৭)
!
SW1# show vlan brief
VLAN Name        Status    Ports
---- ----------- --------- ------------------
1    default     active
10   ACCOUNTS    active    Gi0/1, Gi0/3
20   HR          active    Gi0/2
30   GUEST       active    Gi0/4

এটি একটি উদাহরণ, চালানোর কোড নয়। Juniper, MikroTik, HP/Aruba বা সাধারণ সস্তা “smart switch”-এর ওয়েব-পাতায় একই ধারণা ভিন্ন নামে থাকে — কোথাও “untagged member”, কোথাও “PVID” (port VLAN ID). নাম যা-ই হোক, প্রশ্ন একটাই: এই port-এ tag ছাড়া আসা frame কোন VLAN-এ যাবে?

৩ · Trunk আর 802.1Q tag — এক তারে অনেক VLAN

এবার সমস্যা: হিসাব বিভাগের PC-A আছে SW1-এ, আর PC-D আছে SW2-তে। দুজনেই VLAN 10-এর। দুই switch-এর মাঝে প্রতিটি VLAN-এর জন্য আলাদা তার টানলে তিনটি VLAN-এ তিনটি তার, পঞ্চাশটি VLAN-এ পঞ্চাশটি — অসম্ভব। সমাধান: একটিই তার, কিন্তু প্রতিটি frame-এর গায়ে একটি লেবেল — “আমি VLAN 10-এর”. এই তারকে বলে trunk, আর লেবেলটি হলো VLAN tag.

Tag কোথায় বসে, দেখতে কেমন

802.1Q tag বসে উৎস MAC ঠিকানার ঠিক পরে, EtherType ঘরের আগে। আগে যেখানে EtherType থাকত (যেমন IPv4-এর জন্য 0x0800), সেখানে এখন tag-এর প্রথম দুই byte 0x8100. এই বিশেষ মান দেখেই প্রাপক বোঝে, “এটি সাধারণ frame নয়, এর পরে আরও ২ byte VLAN-তথ্য, তারপর আসল EtherType.”

 Ethernet II frame, tag ছাড়া                                     (bytes)
┌─────────┬─────────┬──────────┬──────────────────┬─────┐
│ Dst MAC │ Src MAC │EtherType │ Payload          │ FCS │
│    6    │    6    │    2     │ 46–1500          │  4  │   সর্বোচ্চ 1518
└─────────┴─────────┴──────────┴──────────────────┴─────┘
 802.1Q tag-সহ frame
┌─────────┬─────────┬────────────┬──────────┬──────────────┬─────┐
│ Dst MAC │ Src MAC │ 802.1Q tag │EtherType │ Payload      │ FCS │
│    6    │    6    │     4      │    2     │ 42–1500      │  4  │   সর্বোচ্চ 1522
└─────────┴─────────┴────────────┴──────────┴──────────────┴─────┘
 ৪ byte-এর tag (৩২ bit) ভেঙে দেখলে
┌────────────────────────┬─────┬─────┬──────────────────┐
│ TPID = 0x8100          │ PCP │ DEI │ VID              │
│ 16 bit                 │  3  │  1  │ 12 bit           │
└────────────────────────┴─────┴─────┴──────────────────┘
                          └──── TCI (16 bit) ────────────┘

৪,০৯৪ কোথা থেকে এলো — ছোট্ট একটি প্রমাণ

VID-এর জন্য ১২ bit. প্রতিটি bit দুই রকম হতে পারে, তাই মোট আলাদা মান ২ × ২ × … (১২ বার) = ২^১২ = ৪,০৯৬, অর্থাৎ 0 থেকে 4095. এর মধ্যে দুটি মান মান-নির্ধারক সংস্থা সংরক্ষিত রেখেছে:

• VID 0 (0x000): “কোনো VLAN নয়” — frame-এ শুধু অগ্রাধিকার (PCP) বসানোর জন্য tag দেওয়া হয়েছে (priority-tagged frame). Switch একে port-এর নিজের VLAN-এর frame হিসেবে ধরে।
• VID 4095 (0xFFF): সংরক্ষিত, সাধারণ frame-এ ব্যবহার নিষেধ।

তাই ব্যবহারযোগ্য VLAN = ৪,০৯৬ − ২ = ৪,০৯৪ (1 থেকে 4094). পরীক্ষায় প্রায়ই “৪,০৯৬” লিখে নম্বর কাটা যায় — মানের সংখ্যা আর ব্যবহারযোগ্য সংখ্যা আলাদা। এর ওপর কিছু vendor নিজেদের জন্য আরও কয়েকটি নম্বর রেখে দেয় (যেমন Cisco-র পুরোনো switch-এ 1002–1005); এটি vendor-এর নিয়ম, মানের নয়।

Frame-এর আকার: ১,৫১৮ থেকে ১,৫২২

Tag ছাড়া সর্বোচ্চ Ethernet frame = ৬ + ৬ + ২ + ১,৫০০ + ৪ = ১,৫১৮ byte (preamble বাদে)। Tag বসলে ৪ byte বাড়ে: ১,৫২২ byte. লক্ষ করুন, payload-এর সর্বোচ্চ সীমা (MTU ১,৫০০) বদলায়নি — IP-র কাছে কোনো পার্থক্য নেই। ন্যূনতম frame ৬৪ byte-ই থাকে; tag-ও সেই ৬৪-এর মধ্যে গোনা হয়, তাই tag-সহ frame-এ ন্যূনতম payload ৪২ byte যথেষ্ট। আর একটি জরুরি বিষয়: শেষের FCS (CRC, পর্ব ০৯) পুরো frame-এর ওপর হিসাব হয়, তাই tag বসানো বা খোলার সময় switch-কে FCS নতুন করে হিসাব করতে হয়।

নিচের simulator একটি ৪ byte-এর tag-কে hex থেকে ভেঙে ঘরগুলো দেখায়, আর উল্টো দিকে ঘরের মান থেকে tag বানায়। Bit সরানো (>>>, <<) আর মুখোশ (&) দিয়েই পুরো কাজ — switch-এর hardware-ও মূলত এটাই করে।

// 802.1Q tag = TPID (16 bits) + TCI (16 bits: PCP 3 | DEI 1 | VID 12).
function decode(hex) {
  const v = parseInt(hex.replace(/\s/g, ""), 16) >>> 0;   // 32-bit tag
  const tpid = v >>> 16, tci = v & 0xffff;
  const pcp = tci >>> 13, dei = (tci >>> 12) & 1, vid = tci & 0x0fff;
  let note = "VLAN " + vid;
  if (vid === 0) note = "priority tag only (no VLAN)";
  if (vid === 0xfff) note = "reserved VID - invalid";
  const kind = tpid === 0x8100 ? "802.1Q C-tag" : tpid === 0x88a8 ? "802.1ad S-tag" : "not a VLAN tag";
  console.log(hex.padEnd(10) + " TPID=0x" + tpid.toString(16).padStart(4, "0") +
    " (" + kind + ")  PCP=" + pcp + " DEI=" + dei + " VID=" + vid + "  -> " + note);
}
function encode(pcp, dei, vid, tpid = 0x8100) {
  if (pcp > 7 || dei > 1 || vid < 1 || vid > 4094) return "out of range";
  const tci = (pcp << 13) | (dei << 12) | vid;
  const hex = ((tpid << 16) | tci) >>> 0;
  return hex.toString(16).padStart(8, "0").toUpperCase().replace(/(..)(?=.)/g, "$1 ");
}
console.log("--- decode ---");
["8100000A", "81000014", "8100A00A", "8100B063", "81000FFF", "88A80064"].forEach(decode);
console.log("--- encode ---");
console.log("PCP=0 DEI=0 VID=10   ->", encode(0, 0, 10));
console.log("PCP=5 DEI=0 VID=150  ->", encode(5, 0, 150));
console.log("PCP=0 DEI=0 VID=4094 ->", encode(0, 0, 4094));
console.log("PCP=0 DEI=0 VID=4095 ->", encode(0, 0, 4095));

--- decode ---
8100000A   TPID=0x8100 (802.1Q C-tag)  PCP=0 DEI=0 VID=10  -> VLAN 10
81000014   TPID=0x8100 (802.1Q C-tag)  PCP=0 DEI=0 VID=20  -> VLAN 20
8100A00A   TPID=0x8100 (802.1Q C-tag)  PCP=5 DEI=0 VID=10  -> VLAN 10
8100B063   TPID=0x8100 (802.1Q C-tag)  PCP=5 DEI=1 VID=99  -> VLAN 99
81000FFF   TPID=0x8100 (802.1Q C-tag)  PCP=0 DEI=0 VID=4095  -> reserved VID - invalid
88A80064   TPID=0x88a8 (802.1ad S-tag)  PCP=0 DEI=0 VID=100  -> VLAN 100
--- encode ---
PCP=0 DEI=0 VID=10   -> 81 00 00 0A
PCP=5 DEI=0 VID=150  -> 81 00 A0 96
PCP=0 DEI=0 VID=4094 -> 81 00 0F FE
PCP=0 DEI=0 VID=4095 -> out of range

৪ · Frame-এর যাত্রা — কোথায় tag লাগে, কোথায় খোলে

এবার পুরো ছবি একসাথে দেখি। প্রথমে একটি broadcast: হিসাব বিভাগের PC-A একটি ARP request পাঠাল (“192.168.10.14 কার? তার MAC কী?”)। কে কে শুনবে?

এবার একই অফিসে একটি সাধারণ (unicast) frame-কে byte ধরে অনুসরণ করি — PC-A থেকে PC-D-তে ১,৫০০ byte payload-এর একটি frame. MAC ঠিকানা ছোট রাখতে ধরে নিচ্ছি PC-A = 02:..:0a, PC-D = 02:..:0d, আর দুই switch আগেই এই MAC-গুলো শিখে রেখেছে (পর্ব ১২)।

Native VLAN — tag ছাড়া frame কোথায় যায়

Trunk-এ tag-হীন frame আসতেই পারে — পুরোনো hub, tag না বোঝা কোনো যন্ত্র, বা switch-এর নিজস্ব কিছু নিয়ন্ত্রণ-বার্তা। 802.1Q-এর নিয়ম: trunk port-এ tag ছাড়া আসা frame যাবে সেই port-এর native VLAN-এ (মানের ভাষায় PVID). অনেক switch-এ ডিফল্ট native VLAN হলো VLAN 1. অংশ ৭-এ দেখবেন, এই সুবিধাটিই একটি আক্রমণের দরজা খুলতে পারে, তাই নিরাপদ নকশায় native VLAN-কে একটি অব্যবহৃত VLAN (যেমন 999) বানানো হয়, যেখানে কোনো যন্ত্র নেই।

interface GigabitEthernet0/24
 description Uplink to SW2
 switchport trunk encapsulation dot1q     ! কিছু পুরোনো মডেলে লাগে, নতুনে এই লাইন নেই
 switchport mode trunk
 switchport nonegotiate                   ! DTP বন্ধ
 switchport trunk native vlan 999         ! অব্যবহৃত VLAN, দুই প্রান্তে একই
 switchport trunk allowed vlan 10,20,99   ! শুধু দরকারি VLAN (30 নেই)
!
SW1# show interfaces trunk
Port      Mode   Encapsulation  Status    Native vlan
Gi0/24    on     802.1q         trunking  999

Port      Vlans allowed on trunk
Gi0/24    10,20,99

নিচের simulator দুই switch-এর এই নকশাটি চালায়: কোন port কোন VLAN-এর, trunk-এ কোন VLAN অনুমোদিত, native কোনটি। তারপর তিনজনের broadcast-এর পথ ছাপে — কোথায় tag বসল, কোথায় খুলল, কে পেল।

// Two switches joined by a trunk (port 24). Access ports carry one VLAN, untagged.
const sw = {
  SW1: { 1: ["PC-A", 10], 2: ["PC-B", 20], 3: ["PC-C", 10], 4: ["Guest-1", 30] },
  SW2: { 1: ["PC-D", 10], 2: ["PC-E", 20], 3: ["Guest-2", 30] },
};
const trunk = { allowed: [10, 20, 99], native: 999 };    // VLAN 30 is pruned
function broadcast(from) {
  const [s0, p0] = Object.entries(sw).flatMap(([s, ports]) =>
    Object.keys(ports).filter(p => ports[p][0] === from).map(p => [s, p]))[0];
  const vlan = sw[s0][p0][1], got = [];
  console.log(`\n${from} sends a broadcast; ${s0} port ${p0} is access VLAN ${vlan}`);
  console.log(`  ${s0}: frame arrives untagged -> switch marks it VLAN ${vlan}`);
  const flood = (s, inPort, act) => {
    for (const [p, [host, v]] of Object.entries(sw[s]))
      if (p !== inPort && v === vlan) { got.push(host);
        console.log(`  ${s} port ${p} (access ${v}): ${act} -> ${host} receives`); }
  };
  flood(s0, p0, "sent untagged");
  const s1 = s0 === "SW1" ? "SW2" : "SW1";
  if (!trunk.allowed.includes(vlan)) {
    console.log(`  ${s0} port 24 (trunk): VLAN ${vlan} not allowed -> not sent`);
  } else {
    const how = vlan === trunk.native ? "sent UNTAGGED (native)" : `tag VID=${vlan} inserted (+4 bytes)`;
    console.log(`  ${s0} port 24 (trunk): ${how}`);
    console.log(`  ${s1} port 24 (trunk): reads VID=${vlan}, floods inside VLAN ${vlan}`);
    flood(s1, "24", "tag removed");
  }
  console.log(`  received by: ${got.join(", ") || "nobody"}`);
}
["PC-A", "PC-E", "Guest-1"].forEach(broadcast);

PC-A sends a broadcast; SW1 port 1 is access VLAN 10
  SW1: frame arrives untagged -> switch marks it VLAN 10
  SW1 port 3 (access 10): sent untagged -> PC-C receives
  SW1 port 24 (trunk): tag VID=10 inserted (+4 bytes)
  SW2 port 24 (trunk): reads VID=10, floods inside VLAN 10
  SW2 port 1 (access 10): tag removed -> PC-D receives
  received by: PC-C, PC-D

PC-E sends a broadcast; SW2 port 2 is access VLAN 20
  SW2: frame arrives untagged -> switch marks it VLAN 20
  SW2 port 24 (trunk): tag VID=20 inserted (+4 bytes)
  SW1 port 24 (trunk): reads VID=20, floods inside VLAN 20
  SW1 port 2 (access 20): tag removed -> PC-B receives
  received by: PC-B

Guest-1 sends a broadcast; SW1 port 4 is access VLAN 30
  SW1: frame arrives untagged -> switch marks it VLAN 30
  SW1 port 24 (trunk): VLAN 30 not allowed -> not sent
  received by: nobody

৫ · VLAN থেকে VLAN-এ — inter-VLAN routing

VLAN আলাদা করল চমৎকারভাবে — এত ভালোভাবে যে HR-এর PC-B এখন হিসাব বিভাগের ফাইল সার্ভারে যেতেই পারে না! কিন্তু কিছু যোগাযোগ তো দরকার: সবাই প্রিন্টার আর ইন্টারনেটে যাবে, HR বেতনের তথ্য পাঠাবে হিসাবে। আলাদা VLAN মানে আলাদা layer-2 নেটওয়ার্ক, তাই এদের মাঝে frame সরাসরি যেতে পারে না — যেতে হবে network layer (layer 3) দিয়ে, router-এর মাধ্যমে। একে বলে inter-VLAN routing.

Network layer-এর এক ঝলক (বিস্তারিত পর্ব ১৫–১৭-এ)

প্রতিটি VLAN-কে একটি আলাদা IP subnet দেওয়া হয় — মহল্লার মতো: “192.168.10.x” মহল্লা হিসাব বিভাগের, “192.168.20.x” HR-এর। /24 মানে ঠিকানার প্রথম ২৪ bit (প্রথম তিনটি সংখ্যা) মহল্লার নাম, শেষ সংখ্যাটি বাড়ির নম্বর। প্রতিটি কম্পিউটার জানে নিজের IP ঠিকানা, নিজের মহল্লা, আর মহল্লার বাইরে যেতে হলে কার কাছে চিঠি দিতে হবে — সেই মোড়ের ডাকঘরই default gateway, সাধারণত router-এর একটি ঠিকানা। গন্তব্য নিজের মহল্লায় হলে কম্পিউটার সরাসরি পাঠায় (ARP দিয়ে MAC জেনে); বাইরে হলে frame পাঠায় gateway-র MAC-এ, আর router ঠিক করে পরের পথ। এই হিসাব (কোন ঠিকানা কোন subnet-এ) পর্ব ১৬–১৭-এ, router কীভাবে পথ বাছে তা পর্ব ১৫ আর ২২-এ বিস্তারিত দেখবেন।

উপায় ১ — Router-on-a-stick

ছোট অফিসে একটি router আর একটি switch থাকলে সবচেয়ে সস্তা পথ: router-এর একটিমাত্র physical port-কে switch-এর একটি trunk port-এ যুক্ত করা। Router সেই একটি port-কে কয়েকটি যৌক্তিক ভাগে ভাগ করে — প্রতিটি VLAN-এর জন্য একটি subinterface, প্রতিটির নিজস্ব VLAN tag আর নিজস্ব gateway ঠিকানা। ছবিতে router যেন একটি লাঠির মাথায় বসে আছে — তাই নাম router-on-a-stick.

interface GigabitEthernet0/0
 no shutdown                                ! মূল port, নিজে কোনো IP নেই
!
interface GigabitEthernet0/0.10
 encapsulation dot1Q 10                     ! VID 10-এর frame এখানে
 ip address 192.168.10.1 255.255.255.0      ! VLAN 10-এর gateway
!
interface GigabitEthernet0/0.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0      ! VLAN 20-এর gateway

এবার দেখি, হিসাব বিভাগের PC-A (VLAN 10, 192.168.10.11) কীভাবে HR-এর PC-B-কে (VLAN 20, 192.168.20.12) একটি packet পাঠায়। দুজনেই SW1-এ, আর router R1 যুক্ত SW1-এর একটি trunk port-এ।

উপায় ২ — Layer-3 switch আর SVI

অফিস বড় হলে router-on-a-stick-এর একটি তার bottleneck হয়ে যায়: VLAN থেকে VLAN-এর সব traffic সেই তার দিয়ে দুবার যায়, আর router-এর CPU-ও সব packet দেখে। সমাধান layer-3 switch — একটি switch, যার ভেতরেই routing-এর ক্ষমতা আছে। প্রতিটি VLAN-এর জন্য switch-এর ভেতরে একটি যৌক্তিক interface বানানো হয়, যার নাম SVI (Switched Virtual Interface). SVI-ই সেই VLAN-এর gateway. Routing হয় switch-এর বিশেষ chip-এ (ASIC), সাধারণত port-এর পূর্ণ গতিতে, কোনো বাইরের তার ছাড়াই।

ip routing                                  ! switch-এ routing চালু
!
interface Vlan10
 ip address 192.168.10.1 255.255.255.0      ! VLAN 10-এর gateway (SVI)
!
interface Vlan20
 ip address 192.168.20.1 255.255.255.0

Linux আর Windows-এ VLAN

VLAN শুধু switch-এর বিষয় নয়। একটি Linux সার্ভার একটি network card দিয়েই কয়েকটি VLAN-এ থাকতে পারে — card-টি switch-এর trunk port-এ যুক্ত থাকলে। Kernel-এর 8021q module প্রতিটি VLAN-এর জন্য একটি আলাদা virtual interface বানায়, যা tag বসায় আর খোলে। নিচের কমান্ডগুলো root অধিকার চায় আর আসল trunk ছাড়া কিছু দেখাবে না, তাই এখানে চালানো যায় না — একটি সাধারণ Linux মেশিনের উদাহরণ:

$ sudo ip link add link eth0 name eth0.10 type vlan id 10
$ sudo ip addr add 192.168.10.50/24 dev eth0.10
$ sudo ip link set eth0.10 up
$ ip -d link show eth0.10
5: eth0.10@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP ...
    link/ether 52:54:00:12:34:56 brd ff:ff:ff:ff:ff:ff promiscuity 0 ...
    vlan protocol 802.1Q id 10 <REORDER_HDR> ...
$ sudo ip link del eth0.10          # মুছে ফেলা

PS> Set-NetAdapter -Name "Ethernet" -VlanID 10    # card-এর driver সমর্থন করলে তবেই
PS> Get-NetAdapter -Name "Ethernet" | Format-List Name, VlanID

এখানে পার্থক্যটি লক্ষ করুন: Linux-এ এক card-এ অনেক VLAN interface একসাথে বানানো যায় (eth0.10, eth0.20…), আর পুরোনো vconfig কমান্ডের বদলে এখন ip link ব্যবহার হয়। Windows-এ VLAN সমর্থন অনেকটাই network card-এর driver-এর ওপর নির্ভর করে; অনেক সাধারণ ল্যাপটপের card-এ এই সেটিংই থাকে না। macOS-এ System Settings-এর Network অংশে “Manage Virtual Interfaces” থেকে VLAN যোগ করা যায়।

৬ · ভালো VLAN নকশা — অভিজ্ঞদের অভ্যাস

VLAN বানানো সহজ; ভালো VLAN নকশা অভিজ্ঞতার বিষয়। আমাদের মতিঝিলের অফিসের জন্য একটি পরিচ্ছন্ন পরিকল্পনা এরকম হতে পারে (subnet-গুলো private ঠিকানা থেকে, পর্ব ১৯):

• আলাদা management VLAN: switch আর access point-এর নিজেদের কনফিগারেশন-পাতা (SSH, ওয়েব) শুধু VLAN 99 থেকে খোলা যাবে। অতিথি বা সাধারণ কর্মীর VLAN থেকে switch-এর login পাতা দেখাই উচিত নয়।
• অতিথিকে আলাদা রাখা: অতিথি VLAN-কে firewall নিয়মে শুধু ইন্টারনেটে যেতে দিন। Wi-Fi-তে “client isolation” চালু করলে একই অতিথি VLAN-এর দুটি ফোনও একে অপরকে দেখে না।
• VLAN 1-এ ব্যবহারকারী নয়: বহু switch-এ VLAN 1 ডিফল্ট — নতুন port, native VLAN আর কিছু নিয়ন্ত্রণ-protocol সবই সেখানে। ভুলে কনফিগার না করা port-ও VLAN 1-এ থাকে। তাই ব্যবহারকারীর traffic অন্য VLAN-এ রাখা, আর অব্যবহৃত port বন্ধ করে একটি “পার্কিং” VLAN-এ রাখা নিরাপদ অভ্যাস।
• Trunk ছাঁটাই (pruning): switchport trunk allowed vlan দিয়ে শুধু দরকারি VLAN পার হতে দিন। যে switch-এ VLAN 30-এর কোনো port নেই, সেখানে VLAN 30-এর broadcast পাঠানো অপচয়, আর ঝুঁকিও।
• নামকরণ আর নথি: VLAN নম্বর আর subnet-এর তৃতীয় সংখ্যা মিলিয়ে রাখুন (VLAN 20 ↔ 192.168.20.0/24) — রাত দুটোয় সমস্যা খুঁজতে গেলে এই সামঞ্জস্য অনেক সময় বাঁচায়।

Voice VLAN — এক তারে PC আর IP ফোন

অনেক অফিসে ডেস্কে একটি IP ফোন, আর ফোনের পেছনের port-এ PC যুক্ত — দেয়ালের একটি তার দিয়েই দুটি যন্ত্র চলে। ফোনের ভেতরে ছোট একটি switch থাকে। এখানে switch port-টি একসাথে দুটি VLAN বহন করে: PC-র data যায় tag ছাড়া, access VLAN-এ (যেমন 10); ফোন নিজের কথার frame-এ tag বসায় voice VLAN-এর (যেমন 150), PCP 5 দিয়ে, যাতে ভিড়ে কথা আগে যায়। ফোন কোন VLAN ব্যবহার করবে তা সাধারণত switch-এর কাছ থেকে LLDP-MED বা Cisco-র CDP বার্তায় শিখে নেয়।

interface GigabitEthernet0/7
 switchport mode access
 switchport access vlan 10       ! PC-র data, tag ছাড়া
 switchport voice vlan 150       ! ফোনের কথা, tag 150

৭ · VLAN hopping — ঝুঁকি বোঝা আর দরজা বন্ধ করা

VLAN-এর নিরাপত্তা নির্ভর করে একটি অনুমানের ওপর: একটি access port-এর যন্ত্র শুধু নিজের VLAN-এই frame পাঠাতে পারে। VLAN hopping হলো সেই অনুমান ভাঙার কৌশলগুলোর নাম — কোনো আক্রমণকারী নিজের VLAN থেকে অন্য VLAN-এ frame পাঠিয়ে ফেলে। এখানে আমরা শুধু ধারণাটি আর প্রতিরক্ষা দেখব, যাতে নিজের নেটওয়ার্ক ঠিকভাবে কনফিগার করতে পারেন; অন্যের নেটওয়ার্কে এমন কিছু পরীক্ষা করা বেআইনি ও অনৈতিক।

ঝুঁকি ১ — Switch spoofing

Cisco-র অনেক switch-এ DTP (Dynamic Trunking Protocol) নামে একটি সুবিধা থাকে: দুই প্রান্ত নিজেরা আলোচনা করে ঠিক করে port-টি trunk হবে কি না। মডেলভেদে ডিফল্ট আলাদা, কিন্তু কোনো port যদি “অন্য প্রান্ত চাইলে trunk হব” অবস্থায় থাকে, তাহলে সেই port-এ যুক্ত একটি কম্পিউটার নিজেকে switch হিসেবে পরিচয় দিয়ে trunk চালু করিয়ে নিতে পারে। তখন সে সব অনুমোদিত VLAN-এর frame পায় আর পাঠাতে পারে। একে বলে switch spoofing.

ঝুঁকি ২ — Double tagging

এটি native VLAN-এর নিয়মের সুযোগ নেয়। ধরুন trunk-এর native VLAN 1, আর আক্রমণকারীর access port-ও VLAN 1-এ। সে এমন একটি frame বানায়, যাতে দুটি tag: বাইরেরটি VLAN 1, ভেতরেরটি লক্ষ্য VLAN 20. প্রথম switch বাইরের tag দেখে frame-টিকে VLAN 1-এর ধরে; trunk-এ পাঠানোর সময় VLAN 1 native বলে tag ছাড়া পাঠাতে গিয়ে শুধু বাইরের tag সরায়। ভেতরের tag (20) থেকে যায়। পরের switch সেই tag পড়ে frame-টিকে VLAN 20-এ পৌঁছে দেয়। এটি একমুখী — উত্তর ফেরার পথ নেই — আর তখনই সম্ভব যখন আক্রমণকারী native VLAN-এ আছে। কিন্তু একমুখী একটি ক্ষতিকর packet-ও অনেক সময় যথেষ্ট। একে বলে double tagging.

vlan dot1q tag native                       ! native VLAN-এর frame-ও tag-সহ (প্ল্যাটফর্ম সমর্থন করলে)
!
interface range GigabitEthernet0/1 - 20
 switchport mode access
 switchport nonegotiate
!
interface range GigabitEthernet0/21 - 23     ! অব্যবহৃত port
 switchport access vlan 998                  ! পার্কিং VLAN, কোথাও route হয় না
 shutdown

৮ · ৪,০৯৪-এর সীমা পেরিয়ে — Q-in-Q আর VXLAN

একটি অফিসে ৪,০৯৪টি VLAN কখনো লাগে না। কিন্তু দুই ধরনের প্রতিষ্ঠানের কাছে এই সংখ্যা ছোট: (১) যে সেবাদাতা অনেক গ্রাহক-প্রতিষ্ঠানকে একই নেটওয়ার্ক দিয়ে যুক্ত করে, আর প্রতিটি গ্রাহক নিজের VLAN নম্বর নিজে বাছতে চায়; (২) বড় data center আর cloud, যেখানে হাজার হাজার গ্রাহকের প্রত্যেকের কয়েকটি করে আলাদা নেটওয়ার্ক লাগে।

Q-in-Q (802.1ad) — tag-এর ওপর tag

সেবাদাতা গ্রাহকের tag-সহ frame-এর বাইরে নিজের আরেকটি tag বসায়। বাইরেরটির নাম S-tag (service), TPID 0x88A8; ভেতরেরটি গ্রাহকের C-tag (customer), 0x8100. IEEE ২০০৫ সালে একে 802.1ad হিসেবে মান করে, লোকমুখে নাম Q-in-Q. দুটি ১২ bit-এর ঘর মিলে তাত্ত্বিকভাবে ৪,০৯৪ × ৪,০৯৪ = ১,৬৭,৬০,৮৩৬টি জোড়া, খরচ প্রতি frame-এ ৮ byte. গ্রাহক A আর গ্রাহক B দুজনেই VLAN 10 ব্যবহার করলেও সমস্যা নেই — বাইরের tag আলাদা।

VXLAN — layer-2 নেটওয়ার্ক layer-3-এর ওপর

Data center-এর সমস্যা শুধু সংখ্যা নয়। একটি virtual machine এক rack থেকে আরেক rack-এ সরলেও তার IP ঠিকানা আর layer-2 নেটওয়ার্ক একই রাখতে হয়, অথচ বড় layer-2 নেটওয়ার্ক মানে বিশাল broadcast domain আর spanning tree-র বন্ধ রাখা link (পর্ব ১২)। VXLAN (Virtual eXtensible LAN, RFC 7348, ২০১৪) সমাধান করে পুরো Ethernet frame-কে একটি UDP packet-এর ভেতরে মুড়ে (UDP port 4789) সাধারণ IP নেটওয়ার্ক দিয়ে পাঠিয়ে। প্রতিটি আলাদা নেটওয়ার্কের পরিচয় একটি ২৪ bit-এর VNI (VXLAN Network Identifier): ২^২৪ = ১,৬৭,৭৭,২১৬ — প্রায় ১.৬৮ কোটি segment, 802.1Q-এর ৪,০৯৬ গুণ। দাম: প্রতি frame-এ ৫০ byte বাড়তি header (বাইরের Ethernet ১৪ + IPv4 ২০ + UDP ৮ + VXLAN ৮), তাই নিচের নেটওয়ার্কের MTU বাড়াতে হয়। বিস্তারিত leaf-spine নকশাসহ পর্ব ৫২-এ, আর cloud-এর VPC-তে এর ব্যবহার পর্ব ৫৪-এ।

VXLAN-এ মোড়ানো frame (বাইরের IPv4, বাইরের tag ছাড়া)                        (bytes)
┌──────────┬───────┬──────┬────────┬─────────────────────────────────┬─────┐
│ Outer    │ Outer │ UDP  │ VXLAN  │ ভেতরের Ethernet frame (FCS ছাড়া) │ FCS │
│ Ethernet │ IPv4  │ 4789 │ VNI 24b│ 14 + payload ≤ 1500             │     │
│   14     │  20   │  8   │   8    │ ≤ 1514                          │  4  │
└──────────┴───────┴──────┴────────┴─────────────────────────────────┴─────┘

নিচের calculator তিনটি পদ্ধতির ID-সংখ্যা আর খরচ তুলনা করে, কয়েকটি পরিস্থিতিতে কত bit লাগবে বের করে, আর VXLAN-এর জন্য নিচের নেটওয়ার্কের ন্যূনতম MTU হিসাব করে।

// How many separate segments does each ID field allow, and what does it cost?
const fmt = n => n.toLocaleString("en-US");
const rows = [
  // name, ID bits, reserved values, extra bytes per frame
  ["802.1Q VLAN", 12, 2, 4],
  ["Q-in-Q (802.1ad)", 24, 0, 8],
  ["VXLAN VNI", 24, 0, 50],
];
console.log("scheme             bits   raw values     usable IDs   extra bytes");
for (const [name, bits, reserved, extra] of rows) {
  let usable = 2 ** bits - reserved;
  if (name.startsWith("Q-in-Q")) usable = 4094 * 4094;   // two 12-bit tags, each 1..4094
  console.log(name.padEnd(18) + String(bits).padStart(5) + fmt(2 ** bits).padStart(14) +
    fmt(usable).padStart(15) + String(extra).padStart(13));
}
console.log("\nVXLAN / 802.1Q ratio: " + (2 ** 24 / 2 ** 12) + " times more IDs");
// Bits needed for N tenants x V VLANs each (plus 2 reserved values like 802.1Q)
for (const [tenants, perTenant] of [[1, 50], [100, 50], [2000, 300]]) {
  const need = tenants * perTenant;
  const bits = Math.ceil(Math.log2(need + 2));
  console.log(`${fmt(tenants)} tenant(s) x ${perTenant} VLANs = ${fmt(need)} segments -> ` +
    `needs ${bits} bits; 802.1Q ${need <= 4094 ? "OK" : "NOT enough"}, ` +
    `VXLAN ${need <= 2 ** 24 ? "OK" : "NOT enough"}`);
}
// Underlay MTU: inner 1500-byte IP packet + inner Ethernet header 14 + VXLAN 8 + UDP 8 + IPv4 20
const outerIP = 1500 + 14 + 8 + 8 + 20;
console.log(`\nVXLAN outer IPv4 packet = ${outerIP} bytes -> underlay MTU must be >= ${outerIP}`);

scheme             bits   raw values     usable IDs   extra bytes
802.1Q VLAN          12         4,096          4,094            4
Q-in-Q (802.1ad)     24    16,777,216     16,760,836            8
VXLAN VNI            24    16,777,216     16,777,216           50

VXLAN / 802.1Q ratio: 4096 times more IDs
1 tenant(s) x 50 VLANs = 50 segments -> needs 6 bits; 802.1Q OK, VXLAN OK
100 tenant(s) x 50 VLANs = 5,000 segments -> needs 13 bits; 802.1Q NOT enough, VXLAN OK
2,000 tenant(s) x 300 VLANs = 600,000 segments -> needs 20 bits; 802.1Q NOT enough, VXLAN OK

VXLAN outer IPv4 packet = 1550 bytes -> underlay MTU must be >= 1550

৯ · AI-এর যুগে VLAN নকশা আর কনফিগারেশন

“আমার অফিসের জন্য VLAN config লিখে দিন” — AI কয়েক সেকেন্ডে পঞ্চাশ লাইনের সুন্দর কনফিগারেশন দেবে। সমস্যা হলো, switch-এর কনফিগারেশনে একটি ভুল লাইন পুরো অফিসকে নেটওয়ার্কের বাইরে ফেলে দিতে পারে, বা চুপচাপ একটি নিরাপত্তা-ছিদ্র রেখে দিতে পারে — আর দূর থেকে কনফিগার করলে নিজেকেও switch থেকে বের করে দিতে পারেন। VLAN-এ AI-এর ভুলগুলো চেনা ধরনের:

AI-এর config চালানোর আগে — চেকলিস্ট

• কমান্ডগুলো আমার switch-এর vendor আর firmware-এর ডকুমেন্টেশনের সাথে মিলিয়েছি
• প্রতিটি trunk-এর allowed তালিকা আর native VLAN দুই প্রান্তে একই কি না দেখেছি
• আগে ল্যাবে বা একটি অতিরিক্ত switch-এ/simulator-এ চালিয়ে দেখেছি, আর পুরোনো config-এর backup রেখেছি
• প্রয়োগের পরে অতিথি VLAN থেকে ভেতরের subnet-এ যাওয়া যায় না, আর management VLAN ছাড়া switch-এর login খোলে না — নিজে পরীক্ষা করেছি
• শুধু নিজের বা অনুমতিপ্রাপ্ত নেটওয়ার্কে কাজ করেছি; tag আর frame দেখতে নিজের ল্যাবে packet capture করেছি (পর্ব ৫৫)