На одном участке часто живут несколько сетей: управление оборудованием, камеры, офисные компьютеры, сеть счётчиков. Пока их немного, всё работает на одном коммутаторе. С ростом нагрузки выясняется, что обновление компьютера мешает обмену с приводами. VLAN позволяют разделить трафик на одной физической инфраструктуре.
Что даёт разделение
Изоляция широковещательного трафика.
Ограничение влияния офисных сетей.
Разграничение доступа.
Упрощение диагностики.
Что не решает
Помехи в кабеле.
Перегрузку одного устройства.
Отказ блока питания.
VLAN — логика, а не защита от физики.
Как устроить
Каждый порт относится к своей сети.
Транк между коммутаторами несёт несколько сетей.
Маркировка кадров на транке.
Планирование
Сеть управления.
Сеть оборудования.
Сеть камер.
Сеть верхнего уровня.
Адресация
Своя подсеть на каждую сеть.
Статические адреса на оборудовании.
Документирование диапазонов.
Правила доступа
Маршрутизация между сетями — только где нужно.
Ограничение доступа к оборудованию.
Отдельный путь для инженерного доступа.
Как проверить
Проверьте связь внутри каждой сети.
Проверьте, что из офисной сети оборудование недоступно без разрешения.
Убедитесь, что цикл обмена не изменился.
Типичные ошибки
Все порты в одной сети.
Транк без согласования.
Адреса из одной подсети на разные сети.
Нет документации.
Как начать без риска для производства
Не переводите всю сеть на VLAN за одну ночь. Начните с одного коммутатора, где живут офисные устройства и оборудование: вынесите офисные порты в отдельную сеть, проверьте работу линии в течение смены. Затем расширяйте на остальные шкафы. Пошаговый переход позволяет откатиться за минуты, если что-то пойдёт не так, и не требует останова участка.
Как поступить с адресами
Каждой логической сети — своя подсеть. Это упрощает маршрутизацию и поиск: по адресу сразу видно, откуда пришёл пакет. Не назначайте оборудованию адреса из офисного диапазона «чтобы было проще»: при смене схемы такие решения забываются и создают конфликты. Ведите таблицу подсетей рядом с таблицей адресов устройств.
Как ограничить доступ к оборудованию
Оборудование не должно быть доступно из офисной сети напрямую. Маршрутизацию между сетями включают только для нужных сервисов, а инженерный доступ организуют отдельным путём с паролем. Такое разделение защищает от случайного изменения параметров и от вредоносных программ на рабочих станциях. Даже простая изоляция уже снижает риск.
Как проверить после настройки
Прогоните проверку: связь с оборудованием внутри сети, отсутствие доступа из офисной, нормальный цикл обмена, работа диагностики. Обязательно проверьте голосовую или видеосвязь, если она есть: неправильная приоритизация проявляется именно там. Результат запишите в журнал изменений.
Как избежать ошибок на транках
Транк должен быть согласован на обоих концах: одинаковый набор сетей и одинаковый режим. Рассинхронизация приводит к тому, что часть кадров теряется или попадает не туда. Проверяйте транки после каждого изменения и документируйте, какие сети разрешены на каждом порту. Подпись «транк, сети 10 и 20» на бирке избавляет от неверных догадок.
Как быть с камерами и мультимедиа
Камеры дают ровный поток, который занимает полосу, но редко бывает критичен по задержке, если только не используется видеонаблюдение с аналитикой. Отдельная сеть камер освобождает управление от лишнего трафика. Если общий коммутатор перегружен, вынесите камеры первыми: они дают много данных и мало пользы для станка.
Как документировать схему сетей
Схема с коммутаторами, транками и подсетями — обязательный документ. На ней отметьте, какие порты в какой сети, где включена маршрутизация между сетями и кто имеет доступ. Без такой схемы через полгода конфигурация станет загадкой, а любое изменение — риском. Схему хранят вместе с паспортом сети и обновляют при каждом изменении.
Как поступить при смене подрядчика
Новый подрядчик должен получить схему, список паролей в опечатанном виде и перечень правил. Часто оказывается, что предыдущий специалист вёл конфигурацию «в голове», и после его ухода сеть невозможно изменить без риска. Требуйте документацию при приёмке работ, как и для шкафа или программы контроллера.
Как связать VLAN с беспроводным доступом
Точки доступа на участке тоже должны попадать в нужную сеть: гостевая — отдельно, инженерная — с паролем. Беспроводной доступ к оборудованию удобен при наладке, но требует ограничений, иначе параметры можно менять с телефона из любой точки цеха. Заведите отдельную сеть для инженерного Wi-Fi и отключите её, когда работы закончены.
Итог по риску
Переводите сеть по частям. Массовое изменение за ночь может остановить участок на дни.
Изоляция оборудования от офисной сети — первый шаг. Дальнейшее дробление — по необходимости.
VLAN не исправляет плохой кабель и не защищает от перегрева коммутатора. Логика и физика решаются отдельно.
Начните с двух сетей: оборудование и всё остальное. Дальнейшее дробление — по мере появления задач.
Своя подсеть на каждую сеть и статические адреса на оборудовании. По адресу сразу видно, откуда пришёл пакет.
Переводите по одному коммутатору и проверяйте после каждого шага. Массовое изменение за ночь повышает риск длинного простоя.
Разделение сетей оправдано, когда появляются камеры, офисные станции и внешний доступ. Начните с изоляции офиса и документируйте каждое изменение.
Одинаковые настройки на обоих концах и подпись на порту. Рассинхронизация транка выглядит как случайная потеря пакетов.
Наладчику нужно понимать, в какой сети он работает. Один короткий инструктаж снимает попытки подключить ноутбук в неправильный порт.
Разделение сетей не заменяет пароли и ограничение прав, но снижает поверхность атаки и число случайных воздействий.
После настройки проверьте связь внутри сети, отсутствие доступа извне и цикл обмена. Изменения фиксируйте в журнале.
VLAN — инструмент гигиены сети участка. Две сети, понятные адреса и схема дают больше, чем сложная конфигурация без документации.
Изоляция офисной сети от оборудования — первая задача, которую решает VLAN. Она снижает и нагрузку, и риск случайных изменений.
Две-три логические сети закрывают большинство задач участка. Дробить на десяток сетей без необходимости — усложнение.
VLAN разделяют трафик и снижают взаимное влияние, но требуют плана и документирования. Начинайте с двух сетей: оборудование и всё остальное.