วิธีตั้ง VLAN บน Router D-Link แยกเครือข่ายพนักงาน Guest กล้อง และ Server อย่างเป็นระบบ

 การตั้ง VLAN บน Router D-Link ช่วยแบ่งเครือข่าย LAN เดียวออกเป็นหลาย Network เสมือน ทำให้อุปกรณ์แต่ละกลุ่มสามารถอยู่คนละ Subnet และกำหนดสิทธิ์การเข้าถึงแตกต่างกันได้

ตัวอย่างเช่น สำนักงานอาจแยกพนักงาน ลูกค้า กล้องวงจรปิด และ Server ออกจากกัน แม้อุปกรณ์ทั้งหมดจะใช้งานผ่าน Switch และ Router ชุดเดียวกัน

บทความนี้จาก comsiam จะอธิบายตั้งแต่ VLAN ID, IP Address, DHCP, Tagged/Untagged, Access Port, Trunk Port, PVID ไปจนถึงการกำหนด Inter-VLAN Routing และวิธีตรวจสอบเมื่อ VLAN ใช้งานไม่ได้

① VLAN คืออะไร

VLAN ย่อมาจาก

Virtual Local Area Network

เป็นเทคโนโลยีที่ใช้แบ่ง Network ทาง Logical โดยไม่จำเป็นต้องแยก Switch ทางกายภาพทุกเครือข่าย

ตัวอย่าง

VLAN 10 → Staff
VLAN 20 → Guest
VLAN 30 → CCTV
VLAN 40 → Server

แต่ละ VLAN สามารถมี IP Network ของตัวเอง

VLAN 10
192.168.10.0/24

VLAN 20
192.168.20.0/24

VLAN 30
192.168.30.0/24

VLAN 40
192.168.40.0/24

ช่วยให้บริหาร Network ได้เป็นระบบมากกว่าการให้อุปกรณ์ทั้งหมดอยู่ในวงเดียว

② ทำไมสำนักงานควรใช้ VLAN

หากไม่มี VLAN อุปกรณ์ทั้งหมดอาจอยู่ใน Network เช่น

192.168.1.0/24

รวมทั้ง

พนักงาน
ลูกค้า
CCTV
Printer
Server
Access Point
IoT

ทำให้การควบคุมความปลอดภัยและ Traffic ทำได้ยาก

เมื่อใช้ VLAN สามารถแยกแต่ละกลุ่มออกจากกันและสร้าง Policy เพิ่มเติมได้

③ ตัวอย่างการแบ่ง VLAN ที่ใช้งานง่าย

สำหรับสำนักงานขนาดเล็กสามารถเริ่มจาก

VLAN 10
Staff
192.168.10.0/24

VLAN 20
Guest
192.168.20.0/24

VLAN 30
CCTV
192.168.30.0/24

VLAN 40
Server
192.168.40.0/24

ไม่ควรสร้าง VLAN จำนวนมากเกินความจำเป็นตั้งแต่เริ่มต้น

④ VLAN ID คืออะไร

VLAN ID หรือ VID คือหมายเลขที่ใช้ระบุว่า Ethernet Frame เป็นสมาชิกของ VLAN ใด

ตัวอย่าง

VLAN ID 10
→ Staff

VLAN ID 20
→ Guest

VLAN ID 30
→ CCTV

อุปกรณ์ทุกตัวที่ต้องส่ง VLAN ผ่านกันต้องใช้ VLAN ID ให้ตรงกัน

⑤ VLAN ID ไม่ใช่ IP Address

ตัวอย่าง

VLAN ID:
20

และ

Gateway:
192.168.20.1

เป็นคนละค่า

VLAN ID ใช้ระบุ VLAN ส่วน IP Address ใช้สำหรับการสื่อสารใน Layer 3

จึงไม่จำเป็นต้องใช้ VLAN ID 20 กับ Network 192.168.20.0/24 เสมอไป แต่การตั้งเลขให้สัมพันธ์กันช่วยให้จำง่าย

⑥ เตรียมแผน VLAN ก่อนตั้งจริง

ก่อนเข้า Router ควรวางตาราง เช่น

VLAN 10
Name: Staff
Gateway: 192.168.10.1
Subnet: 255.255.255.0

VLAN 20
Name: Guest
Gateway: 192.168.20.1
Subnet: 255.255.255.0

VLAN 30
Name: CCTV
Gateway: 192.168.30.1
Subnet: 255.255.255.0

จะช่วยป้องกัน Network ซ้ำกันภายหลัง

⑦ ห้ามใช้ Subnet ซ้ำกัน

ตัวอย่างที่ผิด

VLAN 10
192.168.1.0/24

VLAN 20
192.168.1.0/24

สอง VLAN ใช้ Subnet เดียวกันจะสร้างปัญหา Routing

ควรแยกเป็น

VLAN 10
192.168.10.0/24

VLAN 20
192.168.20.0/24

ให้ชัดเจน

⑧ ตรวจว่า Router D-Link รองรับ VLAN หรือไม่

Router D-Link ไม่ได้รองรับการสร้าง VLAN แบบธุรกิจทุกโมเดล

ฟังก์ชัน VLAN ที่ละเอียดมักพบมากกว่าในอุปกรณ์ตระกูล Business Router หรือ Unified Services Router

ให้ค้นหาเมนู เช่น

VLAN
VLAN Settings
LAN VLAN
Port VLAN
802.1Q VLAN

หาก Router มีเพียง IPTV VLAN อาจไม่ได้หมายความว่าจะสามารถสร้าง VLAN สำหรับ Staff, Guest และ CCTV ได้เต็มรูปแบบ

⑨ เข้าหน้าจัดการ Router

เชื่อมต่อคอมพิวเตอร์กับ Router แล้วเข้า Gateway ของ D-Link

ตัวอย่าง

192.168.0.1

หรือ IP ที่ผู้ดูแลระบบกำหนดไว้

จากนั้น Login ด้วยบัญชี Administrator

สำหรับ D-Link DSR บาง Firmware เมนู VLAN อยู่ในส่วน Network และสามารถสร้าง VLAN พร้อม IP, Subnet และ DHCP ของแต่ละ VLAN ได้

⑩ เปิดใช้งาน VLAN

หาก Router มีตัวเลือก

VLAN Enable

ให้เปิดใช้งานก่อนสร้าง VLAN ใหม่

จากนั้นกด

Save

หรือ

Apply

ก่อนเพิ่ม VLAN ตามที่ Router กำหนด

⑪ สร้าง VLAN สำหรับพนักงาน

ตัวอย่าง

Name:
Staff

VLAN ID:
10

IP Address:
192.168.10.1

Subnet Mask:
255.255.255.0

Gateway ของเครื่องใน Staff VLAN จะเป็น

192.168.10.1

หาก Router ทำหน้าที่ Routing ให้ VLAN นี้

⑫ เปิด DHCP สำหรับ Staff VLAN

หากต้องการให้ Router แจก IP อัตโนมัติ สามารถกำหนด DHCP

ตัวอย่าง

Gateway:
192.168.10.1

DHCP Range:
192.168.10.100
ถึง
192.168.10.200

เมื่อเครื่องพนักงานเชื่อมต่อเข้าพอร์ตหรือ SSID ของ VLAN 10 ก็จะได้รับ IP จากวงนี้

⑬ สร้าง Guest VLAN

ตัวอย่าง

Name:
Guest

VLAN ID:
20

Gateway:
192.168.20.1

Subnet:
255.255.255.0

DHCP เช่น

192.168.20.100
ถึง
192.168.20.250

Guest Network ควรถูกจำกัดไม่ให้เข้าถึง Server หรืออุปกรณ์ภายในที่ไม่จำเป็น

⑭ สร้าง CCTV VLAN

ตัวอย่าง

Name:
CCTV

VLAN ID:
30

Gateway:
192.168.30.1

Subnet:
255.255.255.0

อุปกรณ์ เช่น

NVR
IP Camera
CCTV Workstation

สามารถอยู่ใน Network นี้

ช่วยแยก Traffic กล้องออกจาก Network ของพนักงาน

⑮ สร้าง Server VLAN

ตัวอย่าง

Name:
Server

VLAN ID:
40

Gateway:
192.168.40.1

Server VLAN อาจใช้สำหรับ

File Server
Application Server
NAS
Database

แล้วใช้ Firewall กำหนดว่าพนักงานกลุ่มใดสามารถเข้าถึงได้

⑯ Access Port คืออะไร

Access Port เหมาะกับอุปกรณ์ปลายทางที่ไม่ต้องรู้เรื่อง VLAN Tag

ตัวอย่าง

Port 1
→ Access VLAN 10
→ Staff PC

เมื่อ Staff PC ส่ง Ethernet Frame แบบปกติเข้ามา Router หรือ Switch จะถือว่า Traffic นั้นอยู่ VLAN 10 ตาม Port Configuration

ใน D-Link DSR โหมด Access ใช้พอร์ตเป็นสมาชิก VLAN เดียว และ Traffic ของอุปกรณ์ปลายทางออกแบบ Untagged

⑰ ตัวอย่าง Access Port สำหรับพนักงาน

LAN Port 1

Mode:
Access

PVID:
10

VLAN:
10

จากนั้นต่อ

Staff PC

เข้ากับ Port 1

เครื่องควรได้รับ IP เช่น

192.168.10.100

⑱ Access Port สำหรับ CCTV

ตัวอย่าง

LAN Port 2

Mode:
Access

VLAN:
30

PVID:
30

จากนั้นสามารถต่อ NVR หรือ Camera Network เข้า Port นี้

อุปกรณ์ที่ไม่ได้รองรับ VLAN Tag ก็ยังใช้งานได้

⑲ Trunk Port คืออะไร

Trunk Port ใช้สำหรับส่งหลาย VLAN ผ่านสาย Physical Link เส้นเดียว

ตัวอย่าง

D-Link Router
│
│ VLAN 10
│ VLAN 20
│ VLAN 30
│
↓
Managed Switch

แทนที่จะใช้สายหนึ่งเส้นต่อ VLAN สามารถส่งหลาย VLAN ผ่านสายเดียวโดยใช้ Tag

D-Link DSR ระบุว่า Trunk สามารถเป็นสมาชิกหลาย VLAN และใช้ Tag เพื่อแยก Traffic ของ VLAN ต่าง ๆ บน Physical Link เดียวกัน

⑳ ตัวอย่าง Trunk ระหว่าง Router กับ Switch

กำหนด Router Port เช่น

Port 4
Mode: Trunk

Allowed VLAN:
10
20
30
40

จากนั้นฝั่ง Managed Switch ต้องกำหนด Port ที่ต่อ Router ให้รองรับ VLAN เดียวกัน

หาก Router ส่ง VLAN 30 แต่ Switch ไม่อนุญาต VLAN 30 Traffic จะไม่ผ่าน

㉑ Trunk ระหว่าง Switch กับ Access Point

ตัวอย่าง

Router
↓
Managed Switch
↓
Trunk Port
↓
Access Point

Access Point สามารถมีหลาย SSID เช่น

Staff Wi-Fi
→ VLAN 10

Guest Wi-Fi
→ VLAN 20

ทำให้ SSID สองชื่อใช้สาย LAN เส้นเดียวแต่ถูกแยก Network กันได้

㉒ Tagged คืออะไร

Tagged Traffic คือ Ethernet Frame ที่มี VLAN ID ติดไปกับ Frame

ตัวอย่าง

Frame
VLAN ID 20

Switch หรือ Router ที่รองรับ 802.1Q จะอ่าน Tag แล้วรู้ว่า Frame เป็นของ VLAN ใด

Tagged มักใช้บน

Trunk

ระหว่างอุปกรณ์ Network

㉓ Untagged คืออะไร

Untagged Frame ไม่มี VLAN Tag ติดมา

อุปกรณ์ทั่วไป เช่น

Desktop PC
Printer
NVR

มักส่ง Traffic แบบ Untagged

Switch จะใช้ Configuration ของ Port หรือ PVID เพื่อกำหนดว่า Frame นั้นควรอยู่ VLAN ใด

㉔ PVID คืออะไร

PVID ย่อมาจาก

Port VLAN ID

ใช้ระบุว่า Untagged Traffic ที่เข้าพอร์ตควรถูกจัดเข้า VLAN ใด

ตัวอย่าง

PVID 20

หมายความว่า Untagged Frame ที่เข้าพอร์ตนั้นจะถูกนำเข้า VLAN 20 ตาม Port Configuration

D-Link อธิบายหลักการนี้ไว้ในโหมด General ของ DSR เช่นกัน

㉕ PVID ผิดจะเกิดอะไรขึ้น

สมมติ Port สำหรับ CCTV ควรเป็น

PVID 30

แต่ตั้งผิดเป็น

PVID 20

กล้องอาจถูกส่งเข้า Guest VLAN แทน

อาการที่พบได้ เช่น

• ได้ IP ผิดวง

• DHCP ไม่ได้

• Ping Gateway ไม่ได้

• NVR หากล้องไม่เจอ

จึงต้องตรวจ PVID ทุกครั้ง

㉖ General Mode คืออะไร

D-Link DSR บางรุ่นมีโหมด

General

ซึ่งสามารถรับทั้ง Tagged และ Untagged Traffic และเป็นสมาชิกหลาย VLAN ได้

Traffic Untagged จะถูกจัดเข้า VLAN ตาม PVID ส่วน VLAN Membership กำหนดว่า Port นั้นรองรับ VLAN ใดบ้าง

ความสามารถนี้อาจไม่เหมือนกันใน D-Link ทุกรุ่น

㉗ Access กับ Trunk เลือกอย่างไร

จำง่าย ๆ

อุปกรณ์ปลายทางทั่วไป
→ Access

เช่น

PC
Printer
NVR

ส่วน

อุปกรณ์ Network ที่ต้องส่งหลาย VLAN
→ Trunk

เช่น

Managed Switch
Access Point
อีก Router

㉘ ตัวอย่าง Network แบบสมบูรณ์

Internet
↓
D-Link Router
│
│ Trunk VLAN 10,20,30
↓
Managed Switch
│
├─ Port 1 Access VLAN 10
│  → Staff PC
│
├─ Port 2 Access VLAN 30
│  → NVR
│
└─ Port 3 Trunk
   ↓
   Access Point
   ├─ Staff SSID → VLAN 10
   └─ Guest SSID → VLAN 20

นี่เป็นโครงสร้างที่ใช้ได้กับสำนักงานจำนวนมาก

㉙ Inter-VLAN Routing คืออะไร

เมื่อแยก VLAN แล้ว แต่ละ VLAN จะเป็นคนละ IP Network

หากต้องการให้

VLAN 10

ติดต่อ

VLAN 40

ต้องมี Router หรือ Layer 3 Device ทำ Routing ระหว่าง VLAN

เรียกว่า

Inter-VLAN Routing

D-Link DSR บาง Firmware มีตัวเลือก Activate InterVLAN Routing ตอนสร้าง VLAN เพื่ออนุญาตหรือปิดการ Routing ระหว่าง VLAN

㉚ ควรเปิด Inter-VLAN Routing ทุก VLAN หรือไม่

ไม่ควรเปิดโดยไม่มีแผน

ตัวอย่าง Guest VLAN

VLAN 20

โดยทั่วไปไม่ควรให้เข้าถึง

Staff
Server
CCTV

ดังนั้นควรออกแบบ Firewall Policy ร่วมกับ Inter-VLAN Routing

㉛ VLAN ไม่ได้เท่ากับ Firewall

การแยก VLAN ช่วยแยก Broadcast Domain และ Network Segment แต่หาก Router เปิด Routing ระหว่าง VLAN โดยไม่มี Firewall จำกัด อุปกรณ์ต่าง VLAN อาจยังติดต่อกันได้

ดังนั้นต้องใช้

VLAN
+
Routing
+
Firewall Policy

ร่วมกันเพื่อควบคุม Security

㉜ ตัวอย่าง Policy สำหรับ Guest

แนวทางทั่วไปคือ

Guest VLAN
→ Internet
Allow

แต่

Guest VLAN
→ Staff VLAN
Deny

Guest VLAN
→ CCTV VLAN
Deny

Guest VLAN
→ Server VLAN
Deny

ทำให้ลูกค้าใช้อินเทอร์เน็ตได้แต่ไม่เห็นระบบภายใน

㉝ ตัวอย่าง Policy สำหรับ Staff

Staff อาจได้รับสิทธิ์

Staff
→ Internet
Allow

Staff
→ Printer
Allow

Staff
→ Server
Allow ตาม Service

แต่ไม่จำเป็นต้องให้ Staff ทุกเครื่องเข้าถึง CCTV Management

㉞ ตัวอย่าง Policy สำหรับ CCTV

CCTV VLAN อาจกำหนด

CCTV
→ NVR
Allow

และจำกัด

Camera
→ Internet

หากกล้องไม่จำเป็นต้องออกอินเทอร์เน็ต

เป็นการลดความเสี่ยงด้าน Security

㉟ DHCP ต้องแยกแต่ละ VLAN

แต่ละ VLAN ควรมี DHCP Scope ของตัวเอง

ตัวอย่าง

VLAN 10
192.168.10.100-200

VLAN 20
192.168.20.100-250

VLAN 30
192.168.30.100-200

หากไม่มี DHCP และ Client ไม่ได้ตั้ง Static IP เครื่องอาจไม่ได้รับ IP ที่ใช้งานได้

㊱ DHCP Relay คืออะไร

ใน Network ที่มี DHCP Server กลาง Router อาจใช้

DHCP Relay

แทนการทำ DHCP Server ในทุก VLAN

ตัวอย่าง

VLAN 10
VLAN 20
VLAN 30
↓
DHCP Relay
↓
Central DHCP Server

เหมาะกับระบบองค์กรที่บริหาร DHCP จาก Server กลาง

㊲ VLAN กับ Managed Switch ต้องตั้งให้ตรงกัน

หาก Router มี

VLAN 10
VLAN 20
VLAN 30

แต่ Switch มีเพียง

VLAN 10
VLAN 20

Traffic VLAN 30 อาจถูก Drop

ต้องสร้าง VLAN Membership และกำหนด Tagged/Untagged ของแต่ละ Port ให้สอดคล้องกันทุกอุปกรณ์

㊳ Switch แบบ Unmanaged ใช้ VLAN ได้ไหม

Unmanaged Switch ทั่วไปไม่สามารถกำหนด VLAN Membership ราย Port ได้

หากต้องการแยก

Staff
Guest
CCTV

บน Switch ตัวเดียวอย่างเป็นระบบ ควรใช้ Managed หรือ Smart Managed Switch ที่รองรับ 802.1Q VLAN

㊴ Access Point ต้องรองรับ VLAN ด้วย

หากต้องการ

SSID Staff
→ VLAN 10

SSID Guest
→ VLAN 20

Access Point ต้องรองรับการผูก SSID กับ VLAN ID

หาก AP ไม่รองรับ VLAN ก็ไม่สามารถแยกหลาย SSID เป็นหลาย VLAN ผ่าน Trunk แบบนี้ได้

㊵ VLAN สำหรับ IP Phone

ระบบบางแห่งมี

Data VLAN

และ

Voice VLAN

ตัวอย่าง

PC → VLAN 10
IP Phone → VLAN 50

ช่วยให้สามารถสร้าง QoS และ Security Policy สำหรับ Voice แยกจาก Data ได้

㊶ VLAN ช่วย QoS ได้อย่างไร

เมื่อ Traffic ถูกแบ่งเป็น VLAN สามารถสร้าง Policy ได้ง่ายขึ้น เช่น

Voice VLAN
→ Highest Priority

CCTV VLAN
→ High

Guest VLAN
→ Normal

แต่ความสามารถขึ้นอยู่กับ Router หรือ Firewall ที่ใช้งาน

㊷ VLAN ช่วยจำกัด Bandwidth ได้อย่างไร

Router ธุรกิจบางระบบสามารถกำหนด Bandwidth ตาม Interface หรือ VLAN

ตัวอย่าง

Guest VLAN
→ Maximum 100 Mbps

ในขณะที่

Staff VLAN
→ ไม่จำกัดตาม Policy

ช่วยป้องกัน Guest ใช้ Internet จนกระทบระบบงาน

㊸ VLAN ใช้ร่วมกับ Captive Portal ได้ไหม

ได้ในอุปกรณ์ที่รองรับ

ตัวอย่าง

Guest SSID
↓
VLAN 20
↓
Captive Portal
↓
Internet

D-Link DSR รองรับการกำหนด Captive Portal ในการตั้ง VLAN บาง Firmware จึงสามารถนำไปใช้กับ Guest Network ได้

㊹ VLAN ใช้งานไม่ได้ควรตรวจอะไร

ตรวจตามลำดับ

1. VLAN ID ตรงกันหรือไม่
2. Router สร้าง VLAN แล้วหรือยัง
3. VLAN Enable หรือไม่
4. Port Mode ถูกหรือไม่
5. Tagged/Untagged ถูกหรือไม่
6. PVID ถูกหรือไม่
7. Switch มี VLAN นั้นหรือไม่
8. AP Tag VLAN ถูกหรือไม่
9. DHCP ของ VLAN เปิดหรือไม่
10. Firewall Block หรือไม่

㊺ ได้ IP ผิด VLAN แก้อย่างไร

ตัวอย่าง Staff PC ควรได้

192.168.10.x

แต่กลับได้

192.168.20.x

ให้ตรวจ

Access VLAN
PVID
Native/Untagged VLAN
SSID VLAN ID

เป็นอันดับแรก

มักเกิดจาก Port ถูกกำหนดไปยัง VLAN ผิด

㊻ ไม่ได้รับ IP Address

ถ้า Client แสดง IP ในลักษณะ

169.254.x.x

อาจหมายถึงไม่ได้รับ DHCP Lease

ตรวจ

VLAN DHCP Server
Trunk
Allowed VLAN
PVID
Tagged/Untagged
DHCP Relay

ให้ครบ

㊼ Ping Gateway ไม่ได้

หาก Client ได้

192.168.20.100

Gateway

192.168.20.1

แต่ Ping Gateway ไม่ได้ ให้ตรวจ Layer 2 ก่อน เช่น

Port VLAN
VLAN Membership
PVID
Trunk
SSID VLAN Tag

เพราะ Packet อาจยังไปไม่ถึง Interface ของ Router

㊽ Ping Gateway ได้แต่ Internet ไม่ได้

หาก Client Ping Gateway ได้แล้ว แต่ Internet ไม่ได้ ให้ตรวจ

WAN
DNS
NAT
Firewall
Access Policy
Default Route

ในขั้นตอนต่อไป

แสดงว่า VLAN Layer 2/3 เบื้องต้นอาจทำงานแล้ว

㊾ VLAN ติดต่อกันไม่ได้

หากตั้งใจให้ Staff ติดต่อ Server แต่ไม่ได้ ให้ตรวจ

Inter-VLAN Routing
Firewall
Server Firewall
Subnet Mask
Gateway

อย่ารีบเปลี่ยน Tagged/Untagged หาก Client สามารถเข้าถึง Gateway ของ VLAN ตัวเองได้อยู่แล้ว

㊿ Checklist ตั้ง VLAN บน D-Link

✓ วางแผน VLAN ก่อน
✓ VLAN ID ไม่ซ้ำ
✓ IP Subnet ไม่ซ้ำ
✓ สร้าง VLAN บน Router
✓ กำหนด Gateway
✓ กำหนด DHCP
✓ Access Port ถูก VLAN
✓ PVID ถูกต้อง
✓ Trunk อนุญาต VLAN ที่ต้องใช้
✓ Switch ตั้ง VLAN ตรงกับ Router
✓ AP Tag VLAN ถูกต้อง
✓ Inter-VLAN Routing ตามความจำเป็น
✓ Firewall แยก Staff/Guest/CCTV
✓ ทดสอบ DHCP
✓ Ping Gateway
✓ ทดสอบ Internet
✓ ทดสอบการเข้าถึงระหว่าง VLAN

ตัวอย่าง VLAN สำหรับสำนักงาน

สามารถเริ่มจากโครงสร้าง

VLAN 10 – Staff
192.168.10.0/24

VLAN 20 – Guest
192.168.20.0/24

VLAN 30 – CCTV
192.168.30.0/24

VLAN 40 – Server
192.168.40.0/24

กำหนด Policy เช่น

Staff → Internet
Allow

Staff → Server
Allow ตามที่จำเป็น

Guest → Internet
Allow

Guest → Internal VLAN
Deny

CCTV → NVR
Allow

CCTV → Staff
Deny

ทำให้ Network มีโครงสร้างชัดเจนและควบคุม Security ได้ง่ายขึ้น

ข้อผิดพลาดที่พบบ่อยในการตั้ง VLAN

ข้อผิดพลาดที่พบได้บ่อย ได้แก่

• Router ไม่รองรับ VLAN แบบที่ต้องการ

• VLAN ID Router กับ Switch ไม่ตรงกัน

• ตั้ง Access Port เป็น Trunk ผิด

• ตั้ง Trunk เป็น Access

• PVID ผิด

• Tagged/Untagged ผิด

• ลืม Allow VLAN บน Trunk

• DHCP ผิดวง

• ใช้ Subnet ซ้ำกัน

• AP ไม่รองรับ VLAN

• เปิด Inter-VLAN Routing มากเกินความจำเป็น

• ไม่มี Firewall แยก Guest จาก Network ภายใน

สรุป

การตั้ง VLAN บน Router D-Link เป็นพื้นฐานสำคัญของเครือข่ายธุรกิจ เพราะช่วยแบ่งพนักงาน Guest กล้องวงจรปิด Server และอุปกรณ์อื่นออกเป็น Network แยกจากกัน แม้จะใช้ Infrastructure ชุดเดียวกัน

หัวใจสำคัญที่ต้องเข้าใจคือ

VLAN ID
Access Port
Trunk Port
Tagged
Untagged
PVID
DHCP
Inter-VLAN Routing
Firewall

ควรเริ่มด้วย VLAN จำนวนน้อยก่อน เช่น Staff, Guest และ CCTV จากนั้นทดสอบทีละ VLAN ตั้งแต่ DHCP → Gateway → Internet → Inter-VLAN Access

แนวทางของ comsiam คืออย่าสร้าง VLAN เพียงเพื่อแบ่ง IP แต่ควรออกแบบ Security Policy ไปพร้อมกัน โดยเฉพาะ Guest และ CCTV ที่ไม่ควรสามารถเข้าถึงระบบภายในทั้งหมดได้โดยอัตโนมัติ