Apa Itu VLAN: Cara Kerja, Jenis, dan Penerapan di Kantor
· 8 menit baca
Daftar isi9 bagian
Satu kabel LAN di kantor kecil biasanya berisi semua perangkat sekaligus: komputer staf, printer, kamera CCTV, access point tamu, sampai NAS tempat file perusahaan disimpan. Selama jumlah perangkat masih belasan, semuanya tampak berjalan normal. Masalah mulai muncul ketika ada laptop tamu yang kena malware, atau ketika admin ingin membatasi siapa saja yang boleh membuka halaman login router.
Memisahkan jaringan secara fisik dengan menambah switch untuk setiap kelompok itu mahal dan tidak praktis. VLAN menawarkan jalan tengah: satu switch, satu kabel uplink, tetapi beberapa jaringan logis yang tidak bisa saling melihat kecuali memang diizinkan.
Kenapa Satu Jaringan Datar Cepat Jadi Masalah
Jaringan tanpa pemisahan disebut jaringan datar. Semua perangkat berada di broadcast domain yang sama, sehingga setiap paket broadcast seperti ARP request, DHCP discover, dan pengumuman mDNS dikirim ke semua port. Dengan 50 perangkat aktif, trafik broadcast masih kecil, tetapi makin banyak perangkat makin sering pula permintaan yang tidak perlu diproses semua orang.
Persoalan kedua adalah keamanan. Jika laptop tamu mendapat alamat dari subnet yang sama dengan server, tidak ada yang menghentikan tamu itu mencoba membuka Winbox, mencoba share folder, atau memindai port. Firewall di router bisa menahan sebagian, tetapi trafik antar perangkat dalam satu subnet tidak pernah melewati router, jadi tidak pernah difilter.
Persoalan ketiga adalah kerapian. Ketika satu departemen minta prioritas bandwidth, admin harus menandai perangkat satu per satu berdasarkan IP. Dengan VLAN, penandaan cukup dilakukan sekali per jaringan, bukan per perangkat.
VLAN Bekerja di Lapisan 2, Bukan Lapisan 3
VLAN adalah cara memberi tanda pada frame Ethernet. Switch membaca tanda itu dan memutuskan port mana yang boleh menerima frame tersebut, tanpa melihat alamat IP sama sekali. Karena bekerja di lapisan 2, VLAN tidak membutuhkan gateway dan tidak peduli perangkat di dalamnya memakai IP apa.
Router baru terlibat ketika paket harus menyeberang dari satu VLAN ke VLAN lain. Di titik itulah aturan firewall, NAT, dan queue berlaku.
VLAN dan subnet sering dianggap hal yang sama padahal berbeda. VLAN mengatur bagaimana frame diangkut di dalam kabel dan switch. Subnet mengatur pembagian alamat IP di lapisan 3. Praktik yang umum adalah satu VLAN satu subnet, tetapi secara teknis satu VLAN bisa memuat beberapa subnet, dan satu subnet bisa tersebar di beberapa VLAN. Pembahasan cara menghitung subnet ada di artikel subnetting dasar yang membahas CIDR dan netmask sampai contoh perhitungan.
Isi Tag 802.1Q
Standar IEEE 802.1Q menyisipkan 4 byte tambahan ke dalam frame Ethernet. Frame yang belum diberi tanda disebut untagged, dan frame yang sudah diberi tanda disebut tagged.
| Field | Panjang | Isi |
|---|---|---|
| TPID | 16 bit | Nilai tetap 0x8100 sebagai penanda tag 802.1Q |
| PCP | 3 bit | Prioritas 0 sampai 7 untuk QoS |
| DEI | 1 bit | Penanda paket yang boleh dibuang lebih dulu saat antrean padat |
| VID | 12 bit | Nomor VLAN, nilai yang bisa dipakai 1 sampai 4094 |
Karena VID hanya 12 bit, jumlah VLAN yang bisa dipakai dalam satu infrastruktur adalah 4094. Nomor 0 dipakai untuk frame prioritas tanpa VLAN, dan 4095 dicadangkan sehingga tidak boleh dipakai. Penambahan 4 byte membuat frame maksimum naik dari 1518 menjadi 1522 byte, hal ini penting saat ada perangkat yang memaksa MTU tertentu.
Access, Trunk, dan Hybrid
Ada tiga cara port memperlakukan tag, dan salah memahami ketiganya adalah penyebab paling umum konfigurasi VLAN gagal.
| Mode port | Frame keluar | Frame masuk | Biasanya dipakai untuk |
|---|---|---|---|
| Access | Untagged, tag dilepas | Untagged, diberi PVID | Komputer, printer, kamera, access point yang tidak paham VLAN |
| Trunk | Tagged untuk semua VLAN yang diizinkan | Tagged | Uplink ke switch lain, router, atau access point dengan SSID ganda |
| Hybrid | Sebagian untagged, sebagian tagged | Keduanya diterima | Perangkat yang butuh VLAN manajemen bertag tetapi port pengguna tanpa tag |
PVID atau Port VLAN ID adalah VLAN default untuk frame untagged yang masuk ke port. Pada port access, PVID menentukan perangkat itu masuk VLAN berapa. Pada trunk, PVID menentukan native VLAN, yaitu VLAN yang frame-nya tetap diangkut tanpa tag. Banyak insiden keamanan sederhana terjadi karena native VLAN dibiarkan di nomor 1 dan dipakai bersama di semua trunk.
Rencana VLAN untuk Kantor Kecil
Sebelum menyentuh menu RouterOS, tulis dulu rencananya. Contoh berikut memakai satu router, satu switch, dan tiga kelompok perangkat.
| VLAN ID | Nama | Subnet | Gateway | Port | Keterangan |
|---|---|---|---|---|---|
| 10 | Kantor | 10.10.10.0/24 | 10.10.10.1 | ether2 | Komputer dan printer staf |
| 20 | Tamu | 10.10.20.0/24 | 10.10.20.1 | ether3 | Hanya internet, tanpa akses ke VLAN lain |
| 30 | CCTV | 10.10.30.0/24 | 10.10.30.1 | ether4 | Kamera, hanya boleh diakses dari VLAN 10 |
| 99 | Manajemen | 10.10.99.0/24 | 10.10.99.1 | bridge | Akses Winbox dan SSH ke router |
Berikan jarak antar nomor VLAN, misalnya kelipatan 10. Saat kantor bertambah dan butuh VLAN baru, tidak perlu menyusun ulang urutan yang sudah jalan.
Konfigurasi Bridge VLAN Filtering di RouterOS v7
Langkah di bawah memakai satu bridge sebagai tempat semua port berkumpul. Pastikan konfigurasi lama sudah diekspor lebih dulu, karena mengaktifkan VLAN filtering bisa memutus sesi Winbox yang sedang berjalan. Cara menyimpan konfigurasi ada di artikel backup konfigurasi MikroTik.
- Buat bridge dan masukkan semua port. Port yang akan menjadi access diberi PVID sesuai VLAN-nya.
/interface/bridge
add name=bridge-lan
/interface/bridge/port
add bridge=bridge-lan interface=ether2 pvid=10
add bridge=bridge-lan interface=ether3 pvid=20
add bridge=bridge-lan interface=ether4 pvid=30
add bridge=bridge-lan interface=ether1- Daftarkan VLAN di tabel bridge. Port access masuk daftar untagged, port uplink dan bridge itu sendiri masuk daftar tagged.
/interface/bridge/vlan
add bridge=bridge-lan tagged=bridge-lan,ether1 untagged=ether2 vlan-ids=10
add bridge=bridge-lan tagged=bridge-lan,ether1 untagged=ether3 vlan-ids=20
add bridge=bridge-lan tagged=bridge-lan,ether1 untagged=ether4 vlan-ids=30
add bridge=bridge-lan tagged=bridge-lan,ether1 vlan-ids=99- Aktifkan VLAN filtering. Langkah ini yang mengubah tabel di atas dari sekadar catatan menjadi aturan yang benar-benar dijalankan.
/interface/bridge
set bridge-lan vlan-filtering=yes- Buat interface VLAN untuk gateway tiap jaringan. Interface ini yang nanti diberi alamat IP.
/interface/vlan
add name=vlan10-kantor interface=bridge-lan vlan-id=10
add name=vlan20-tamu interface=bridge-lan vlan-id=20
add name=vlan30-cctv interface=bridge-lan vlan-id=30
add name=vlan99-mgmt interface=bridge-lan vlan-id=99- Beri alamat IP pada masing-masing interface VLAN, lalu pasang DHCP server supaya perangkat mendapat alamat otomatis.
/ip/address
add address=10.10.10.1/24 interface=vlan10-kantor
add address=10.10.20.1/24 interface=vlan20-tamu
add address=10.10.30.1/24 interface=vlan30-cctv
add address=10.10.99.1/24 interface=vlan99-mgmt
/ip/pool
add name=pool-kantor ranges=10.10.10.20-10.10.10.200
add name=pool-tamu ranges=10.10.20.20-10.10.20.200
/ip/dhcp-server
add name=dhcp-kantor interface=vlan10-kantor address-pool=pool-kantor disabled=no
add name=dhcp-tamu interface=vlan20-tamu address-pool=pool-tamu disabled=no- Sebelum mengaktifkan firewall antar VLAN, uji dulu dari dua komputer berbeda. Jika port access sudah benar, komputer di VLAN 10 akan mendapat alamat 10.10.10.x dan bisa membuka 10.10.10.1.
Saat mengubah konfigurasi yang berisiko memutus akses, aktifkan Safe Mode di Winbox atau tekan Ctrl+X di terminal. Jika koneksi terputus, RouterOS membatalkan perubahan terakhir secara otomatis setelah sesi berakhir.
Yang Sering Bikin VLAN Tidak Jalan
- VLAN filtering lupa diaktifkan. Tabel VLAN sudah diisi, tetapi semua port masih berperilaku seperti switch biasa.
- PVID port tidak diset. Frame untagged dari komputer masuk ke VLAN 1, bukan VLAN yang dituju.
- Bridge tidak dimasukkan sebagai tagged member. Akibatnya router kehilangan akses ke VLAN manajemen meski port uplink sudah benar.
- Satu sisi trunk, sisi lain access. Switch tetangga harus menerima frame bertag pada port yang sama.
- Firewall antar VLAN belum dibuat. VLAN hanya memisahkan broadcast domain, bukan pengganti aturan filter. Tanpa aturan di chain forward, perangkat di VLAN tamu masih bisa mencoba menghubungi gateway VLAN lain. Pola pengamanan dasarnya dibahas di artikel mengamankan router MikroTik.
Cara Menguji Hasil Konfigurasi
Periksa tabel VLAN dan status port lebih dulu dengan /interface/bridge/vlan print dan /interface/bridge/port print detail. Kolom PVID harus sesuai rencana, dan setiap VLAN harus punya daftar tagged serta untagged yang benar.
Uji ping dari komputer di VLAN 10 ke gateway 10.10.10.1. Setelah itu coba ping ke 10.10.20.1. Hasil yang diharapkan adalah gagal, karena router belum diberi aturan yang mengizinkan. Jika ping antar VLAN berhasil padahal belum ada aturan, biasanya ada port yang masih menjadi anggota bridge lain atau ada interface VLAN yang salah menempel.
Untuk melihat trafik yang benar-benar lewat, pakai /tool/torch interface=ether1 saat ada perangkat di VLAN 20 membuka internet. Frame yang keluar ke uplink akan terlihat bertag, sedangkan trafik ke perangkat access terlihat tanpa tag.
Kapan VLAN Justru Berlebihan
VLAN menambah satu lapisan yang harus dirawat. Di rumah dengan satu router dan sepuluh perangkat, memisahkan jaringan tamu lewat hotspot dengan client isolation jauh lebih sederhana daripada membangun bridge VLAN filtering. Konfigurasi hotspot untuk WiFi publik sudah dibahas terpisah dan tidak menuntut perencanaan tabel VLAN.
VLAN mulai masuk akal ketika ada minimal tiga kelompok perangkat dengan kebutuhan berbeda, ketika ada kamera atau perangkat IoT yang tidak boleh menyentuh file kantor, atau ketika jaringan harus dipecah tanpa menambah kabel. Untuk jaringan yang lebih besar, rencana VLAN juga harus dibarengi rencana alamat IP yang rapi, karena dua hal itu saling mengunci.
Mulai dari satu VLAN tamu dan satu VLAN manajemen. Dua VLAN itu sudah cukup untuk merasakan manfaat pemisahan tanpa membuat tabel konfigurasi yang sulit dilacak saat ada masalah di jam kerja.
Pertanyaan yang sering diajukan
Apa itu VLAN dalam bahasa sederhana?
VLAN adalah cara membagi satu switch dan satu kabel menjadi beberapa jaringan logis yang terpisah, sehingga perangkat di satu VLAN tidak bisa langsung melihat perangkat di VLAN lain tanpa diizinkan oleh router.
Apakah VLAN sama dengan subnet?
Tidak. VLAN bekerja di lapisan 2 dan mengatur pengangkutan frame di dalam kabel serta switch, sedangkan subnet bekerja di lapisan 3 dan mengatur pembagian alamat IP. Satu VLAN umumnya diberi satu subnet, tetapi keduanya tetap konsep berbeda.
Berapa jumlah VLAN yang bisa dibuat?
Nomor VLAN yang bisa dipakai adalah 1 sampai 4094, karena field VID pada tag 802.1Q hanya 12 bit. Nomor 0 dipakai untuk frame prioritas tanpa VLAN dan nomor 4095 dicadangkan.
Kenapa VLAN tidak jalan setelah bridge VLAN filtering diaktifkan?
Penyebab paling sering adalah PVID port belum diset, port belum didaftarkan sebagai untagged atau tagged di tabel bridge VLAN, atau bridge itu sendiri belum dimasukkan sebagai tagged member untuk VLAN manajemen.
Apakah VLAN bisa menggantikan firewall?
Tidak. VLAN hanya memisahkan broadcast domain, sehingga trafik antar VLAN tetap harus diatur lewat firewall filter di chain forward. Tanpa aturan filter, perangkat di VLAN tamu masih bisa mencoba menghubungi gateway VLAN lain.
