È lo strumento pratico con cui si realizza la segmentazione. Senza VLAN, separare uffici, produzione e ospiti richiederebbe cavi e apparati distinti per ciascuno; con le VLAN si ottiene lo stesso risultato sull’infrastruttura che c’è già.
Ogni gruppo vive in una rete propria e per parlare con le altre deve passare da un punto di controllo, tipicamente il firewall, dove si decide cosa è permesso. È lì che si stabilisce, per esempio, che il Wi-Fi degli ospiti raggiunga solo Internet e nient’altro.
A che serve, spiegato senza gergo
Una VLAN permette di avere più reti separate sugli stessi cavi e sugli stessi apparati. Invece di stendere un secondo impianto fisico per tenere distinti gli ospiti dai server, si configurano gli switch perché trattino certi collegamenti come se appartenessero a reti diverse.
È il mattone con cui si costruisce la segmentazione, e il vantaggio è che si fa senza opere murarie: la stessa presa che oggi porta la rete degli uffici può domani portare quella della produzione, cambiando una configurazione invece che un cavo.
Il limite da conoscere è che le VLAN da sole separano, ma non controllano: perché il traffico fra due porzioni sia filtrato secondo regole, serve qualcosa che stia in mezzo e decida — tipicamente il firewall. Dividere senza mettere regole fra le parti dà un ordine migliore, non una difesa.
Perché conta per un’azienda
È il modo economicamente sostenibile di segmentare una rete esistente. Non richiede rifare il cablaggio, il che elimina l’obiezione principale delle aziende che rimandano la separazione.
L’errore che vediamo più spesso
Le VLAN separano solo se qualcuno definisce le regole fra di esse. Configurarle e poi permettere a tutte di parlarsi liberamente è un lavoro fatto a metà che dà una falsa sensazione di sicurezza.