Configurare un VLAN trunk port: guida pratica

Il trunk port è una delle configurazioni più importanti negli switch managed: permette a una singola porta di trasportare il traffico di più VLAN, distinguendole tramite tag 802.1Q. Senza trunk non si possono interconnettere switch in topologie complesse né collegare AP che gestiscono più SSID con VLAN diverse. Vediamo come configurarli correttamente.

Access port vs Trunk port

Una access port appartiene a una sola VLAN: i pacchetti entrano e escono senza tag, e l'host collegato non sa nemmeno che esiste la VLAN. Una trunk port invece trasporta più VLAN, aggiungendo un tag 802.1Q (4 byte) a ogni pacchetto per indicare a quale VLAN appartiene. Una VLAN può essere configurata come native sul trunk: i suoi pacchetti viaggiano senza tag, comoda per traffico legacy.

Quando usare i trunk

I trunk si usano principalmente tra switch (uplink), tra switch e router/firewall (router-on-a-stick), tra switch e server di virtualizzazione (più VLAN per più VM), tra switch e access point WiFi (più SSID su VLAN diverse), tra switch e telefoni IP (telefono in VLAN voice, PC in VLAN data sulla stessa porta).

Procedura passo-passo

1. Crea le VLAN sullo switch (es. VLAN 10 data, VLAN 20 voice, VLAN 99 management).
2. Identifica la porta che diventerà trunk (es. porta 24 verso un'altro switch).
3. Configura la porta in trunk mode: su Cisco IOS è switchport mode trunk, su Mikrotik è bridge vlan tagged.
4. Specifica le VLAN consentite: switchport trunk allowed vlan 10,20,99.
5. Imposta la native VLAN se necessario (default 1, ma è meglio cambiare per sicurezza).
6. Abilita DTP=off per evitare negoziazione automatica (più sicura).
7. Configura LLDP per identificare i vicini collegati.
8. Sul lato opposto fai la stessa configurazione speculare.
9. Verifica con show interface trunk o monitor.tools.bandwidth-test.

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• Native VLAN mismatch: se le due estremità hanno native VLAN diverse, ci sono leak di traffico tra VLAN. Sempre identiche.
• VLAN consentite incomplete: dimentichi di aggiungere una VLAN e i client non hanno connettività. Aggiungi sempre tutte le VLAN necessarie esplicitamente.
• Trunk verso device che non lo supporta: PC consumer riceve traffico tagged e va in tilt. Trunk solo verso device managed.
• STP che blocca il trunk: STP può mettere il link in blocking, devi configurare correttamente la priorità.
• VLAN 1 come native: vulnerabilità storica VLAN hopping. Cambia a VLAN dedicata di management.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con VLAN trunk port, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per VLAN trunk port questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: Trunk consuma più banda?
R: Solo 4 byte di overhead per pacchetto, trascurabili.

D: Quante VLAN su un trunk?
R: Lo standard arriva a 4094, ma in pratica conviene non superare le 50-100 per gestibilità.

D: Posso fare trunk su WiFi?
R: Non direttamente, ma AP enterprise gestiscono SSID-VLAN mapping internamente.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.