Port tagowany – co to znaczy, czym różni się od nietagowanego i kiedy się go używa (VLAN 802.1Q)

Hasła „tagged”, „untagged”, „trunk” i „PVID” potrafią zniechęcić przy pierwszej konfiguracji zarządzalnego switcha. W praktyce cała idea sprowadza się do jednego pytania: czy urządzenie po drugiej stronie kabla rozumie VLAN-y, czy nie. Poniżej tłumaczę to od podstaw, z tabelami i przykładem, który możesz przenieść na własną sieć.

Czym jest VLAN?

VLAN (Virtual LAN) to logicznie wydzielona sieć w ramach jednej fizycznej infrastruktury. Urządzenia w różnych VLAN-ach nie widzą się nawzajem, choć są podłączone do tego samego przełącznika – tak, jakby stały na osobnych switchach. Każdy VLAN to osobna domena rozgłoszeniowa, więc ruch broadcast z jednej sieci nie zalewa pozostałych.

Typowe zastosowania:

• oddzielenie sieci dla gości od sieci domowej lub firmowej,
• odizolowanie kamer IP i urządzeń IoT (żarówek, gniazdek, odkurzaczy),
• osobna sieć do zarządzania sprzętem sieciowym,
• podział sieci firmowej na działy.

VLAN-y działają w warstwie 2 modelu OSI i są opisane standardem IEEE 802.1Q. Ruch między VLAN-ami przechodzi tylko przez router lub przełącznik warstwy 3, gdzie można go kontrolować regułami zapory.

Port tagowany – co to znaczy?

Przełącznik musi jakoś wiedzieć, do którego VLAN-u należy dana ramka. Gdy ramka wychodzi przez port tagowany, przełącznik dokleja do niej 4-bajtowy tag 802.1Q z numerem VLAN. Urządzenie po drugiej stronie (inny switch, router, punkt dostępowy) odczytuje tag i od razu wie, do której sieci ramka należy.

Dzięki temu jeden kabel między dwoma switchami może przenosić np. VLAN 10, 20 i 30 jednocześnie. Bez tagowania potrzebowałbyś osobnego kabla dla każdej sieci.

Port tagowany a nietagowany – porównanie

Cecha	Port nietagowany (untagged / access)	Port tagowany (tagged / trunk)
Ramki wychodzące	bez znacznika VLAN	ze znacznikiem 802.1Q
Liczba VLAN-ów	jeden	wiele
Co podłączamy	komputer, drukarka, konsola, kamera, TV	switch, router, punkt dostępowy, serwer, hypervisor
Czy urządzenie musi znać VLAN-y	nie	tak
Typowy błąd	zły PVID – urządzenie trafia do złej sieci	brak VLAN-u na liście tagowanych – sieć „nie dochodzi”

Zwykły komputer czy drukarka nie rozumieją tagów i odrzucają takie ramki albo nie wiedzą, co z nimi zrobić. Dlatego urządzenia końcowe podłącza się do portów nietagowanych. Wyjątkiem są serwery z wirtualizacją (Proxmox, ESXi, Hyper-V) i NAS-y, które same obsługują VLAN-y na swojej karcie sieciowej.

Rodzaje portów: access, trunk, hybrid

Nazewnictwo zależy od producenta, ale idea jest ta sama:

• Access (Cisco) / untagged (TP-Link, Netgear, HP) – port w jednym VLAN-ie, ramki bez tagu.
• Trunk (Cisco) / tagged w kilku VLAN-ach – port przenoszący wiele VLAN-ów z tagami. Ruch jednego wybranego VLAN-u (natywnego) może iść bez tagu.
• Hybrid (np. Huawei, H3C) – port, na którym część VLAN-ów jest tagowana, a część nie. W TP-Linku czy MikroTiku to po prostu port tagged w kilku VLAN-ach i untagged w jednym.

PVID i VLAN natywny

PVID (Port VLAN ID) mówi przełącznikowi, do którego VLAN-u przypisać ramkę, która przyszła bez tagu. Na porcie dla komputera w VLAN 20 ustawiasz: untagged w VLAN 20 i PVID = 20. Jeśli zapomnisz o PVID, komputer wyśle ruch do domyślnego VLAN 1, a odpowiedzi z VLAN 20 nie dostanie – typowy objaw to brak adresu IP.

VLAN natywny (native VLAN) to w terminologii Cisco VLAN, którego ruch na łączu trunk przechodzi bez tagu. Domyślnie jest to VLAN 1. Ważna zasada: VLAN natywny musi być taki sam po obu stronach łącza. Inaczej ruch z jednego VLAN-u „przecieka” do innego. Ze względów bezpieczeństwa często zmienia się natywny VLAN na nieużywany numer zamiast 1.

Budowa tagu 802.1Q

Tag ma 4 bajty i jest wstawiany między adres MAC nadawcy a pole typu ramki:

Pole	Rozmiar	Znaczenie
TPID	16 bitów	zawsze 0x8100 – oznacza ramkę z tagiem 802.1Q
PCP (Priority)	3 bity	priorytet ramki 0–7, używany przez QoS (np. dla VoIP)
DEI	1 bit	czy ramkę można odrzucić przy przeciążeniu
VID (VLAN ID)	12 bitów	numer VLAN-u

12 bitów daje 4096 wartości, ale 0 i 4095 są zarezerwowane, więc do dyspozycji masz VLAN-y 1–4094. W sprzęcie Cisco numery 1–1005 to zakres normalny, a 1006–4094 – rozszerzony; 1002–1005 są historycznie zarezerwowane dla Token Ring i FDDI. Dodanie tagu zwiększa maksymalny rozmiar ramki z 1518 do 1522 bajtów.

Kiedy używa się portu tagowanego? Przykład z domu

Załóżmy prostą sieć domową z zarządzalnym switchem, routerem obsługującym VLAN-y i punktem dostępowym Wi-Fi z kilkoma SSID:

VLAN	Sieć	Do czego
10	Dom	komputery, telefony, NAS
20	Goście	Wi-Fi dla gości, tylko internet
30	IoT	kamery, żarówki, odkurzacz

Konfiguracja portów na switchu:

Port	Podłączone urządzenie	Ustawienie
1	router	tagged: 10, 20, 30
2	punkt dostępowy Wi-Fi	tagged: 10, 20, 30 (każdy SSID w innym VLAN-ie)
3	komputer	untagged: 10, PVID 10
4	NAS	untagged: 10, PVID 10
5	kamera IP	untagged: 30, PVID 30

Router ma dla każdego VLAN-u osobny interfejs, serwer DHCP i reguły zapory (np. goście i IoT nie mają dostępu do sieci 10). Port 1 i 2 to właśnie porty tagowane – jeden kabel, trzy sieci. Jeśli planujesz taki domowy lab z serwerem i NAS-em, przeczytaj też, czy domowy lab IT ma jeszcze sens. O tym, jaki router da sobie radę z VLAN-ami lepiej niż sprzęt od operatora, piszę w tekście jaki router zamiast standardowego UPC.

Najczęstsze błędy przy konfiguracji portów tagowanych

• Zablokowanie sobie dostępu do switcha. Zmieniając VLAN zarządzania, łatwo odciąć port, z którego właśnie się łączysz. Zmieniaj ustawienia z portu, którego nie ruszasz, i zapisuj konfigurację dopiero po sprawdzeniu.
• Brak VLAN-u na łączu między switchami. Urządzenie w VLAN 30 na drugim switchu nie dostaje adresu, bo VLAN 30 nie jest dodany jako tagged na porcie łączącym.
• Niezgodny VLAN natywny po obu stronach trunku.
• Zły PVID na porcie urządzenia końcowego.
• Komputer podłączony do portu tylko tagowanego – zwykła karta sieciowa nie rozumie tagów, więc nie dostanie adresu. Wbudowana karta w płycie głównej to w domyślnej konfiguracji właśnie takie urządzenie; jak ją ustawić, opisałem w poradniku o wbudowanej karcie sieciowej.
• Niezarządzalny switch w środku sieci z VLAN-ami. Tanie switche bez zarządzania zwykle przepuszczają tagi, ale nie dają żadnej kontroli – lepiej nie mieszać.

Najczęściej zadawane pytania

Co to jest port tagowany?

To port przełącznika lub routera, który wysyła i odbiera ramki Ethernet z dodanym znacznikiem VLAN (tagiem 802.1Q). Dzięki temu jednym kablem można przesyłać ruch kilku sieci VLAN, a urządzenie po drugiej stronie wie, do której sieci należy każda ramka.

Jaka jest różnica między VLAN-em tagowanym a nietagowanym?

Na porcie nietagowanym (untagged) ramki wychodzą bez znacznika i port należy do jednego VLAN-u – tak podłącza się komputery, drukarki czy kamery. Na porcie tagowanym (tagged) ramki mają znacznik z numerem VLAN, więc przez jeden port może przechodzić wiele sieci – tak łączy się switche, routery i punkty dostępowe.

Co to jest port trunk?

Trunk to określenie z terminologii Cisco na port przenoszący wiele VLAN-ów z tagami 802.1Q. W przełącznikach TP-Link, Netgear czy MikroTik ten sam efekt uzyskasz, dodając port jako tagged do kilku VLAN-ów.

Ile może być sieci VLAN?

Pole VLAN ID ma 12 bitów, czyli 4096 wartości, ale 0 i 4095 są zarezerwowane. Do użytku zostają numery od 1 do 4094. Tańsze switche obsługują często znacznie mniej VLAN-ów jednocześnie, np. kilkadziesiąt.

Co to jest PVID?

PVID (Port VLAN ID) to numer VLAN-u, do którego przełącznik przypisze ramki przychodzące na dany port bez tagu. Na porcie dla komputera PVID powinien być równy VLAN-owi, w którym port jest ustawiony jako untagged.