VLAN 技术

VLAN 技术的需求

介绍：VLAN（Virtual Local Area Network，虚拟局域网）是在物理局域网基础上，通过逻辑划分形成的独立网络，工作于 OSI 模型第二层（数据链路层），核心价值是隔离广播域、增强网络安全性并提升网络管理灵活性，是企业级局域网设计的核心技术之一。

需求：传统二层交换机所有端口默认处于同一个广播域，随着网络规模扩大，会出现广播风暴风险（广播帧在全网扩散，占用大量带宽，导致网络性能下降）、安全性差（不同部门设备处于同一广播域，数据易被窃取或干扰）、管理繁琐（设备物理位置固定，调整工作组需重新布）。

解决：VLAN 通过将单台物理交换机 “逻辑拆分” 为多台独立交换机，让不同 VLAN 内的设备仅在本 VLAN 内通信，从根本上解决上述问题。

VLAN ID取值

VLAN ID：区分不同 VLAN 的标识，基于 802.1Q 标准，VLAN ID 为 12 位二进制数，范围与用途如下：

VLAN标签格式

VLAN 的核心作用

1. 隔离广播域，提升网络性能

每个 VLAN 独立广播域，避免广播帧在全网扩散，减少带宽浪费，降低 “广播风暴” 风险（如一个部门的广播帧不会影响其他部门 VLAN）。

2. 增强网络安全性

不同 VLAN 间默认无法直接通信（需三层设备转发），可实现业务隔离（如 “研发 VLAN” 与 “办公 VLAN” 隔离），防止非授权设备访问敏感数据。

3. 灵活构建虚拟工作组

VLAN 划分不受设备物理位置限制，只需通过配置调整端口所属 VLAN，即可将不同物理位置的设备归入同一工作组（如跨楼层的研发人员归入 “研发 VLAN”），减少布线调整成本。

4. 简化网络管理

按部门划分 VLAN 后，故障排查、流量监控可按 VLAN 精准定位，降低管理复杂度（如仅需监控 “服务器 VLAN” 的流量，无需关注全网）。

VLAN 的划分方式

VLAN 划分需结合业务需求选择，主流划分方式如下：

VLAN 的关键端口类型

1. Access 端口（接入端口）

· 核心作用：连接终端设备（如 PC、服务器），仅允许一个 VLAN的流量通过；

· 标签操作规则：

· 接收数据：终端发送的 “无标签帧”，自动添加端口所属 VLAN 的标签（如 Access 端口属 VLAN10，接收帧添加 VLAN10 标签）；

· 发送数据：剥离帧的 VLAN 标签，以 “无标签帧” 发送给终端（终端无法识别标签）；

· 默认配置：交换机所有端口初始为 Access 端口，归属 VLAN1。

2. Trunk 端口（干道端口）

· 核心作用：连接交换机与交换机、交换机与三层设备，允许多个 VLAN 的流量通过（实现跨交换机 VLAN 通信）；

· 标签操作规则：

· 接收数据：若帧带标签且在 “允许 VLAN 列表” 内，直接转发；若帧无标签，添加 “Native VLAN”（默认 VLAN1）标签；

· 发送数据：仅剥离 “Native VLAN” 的标签（无标签发送），其他 VLAN 的帧带标签发送；

· 允许 VLAN 列表：控制哪些 VLAN 可通过 Trunk 端口（Cisco 默认允许所有 VLAN，华为 / 华三默认不允许任何 VLAN，需手动配置）。

3. Hybrid 端口（混合端口，华为 / 华三主流）

· 核心作用：兼具 Access 与 Trunk 功能，可连接终端或其他交换机，支持多个 VLAN 无标签发送（Trunk 仅允许 Native VLAN 无标签）；

· 标签操作规则：

· 通过 “PVID”（端口默认 VLAN）定义无标签帧的归属 VLAN；

· 通过 “Untagged VLAN 列表” 指定哪些 VLAN 的帧发送时剥离标签，“Tagged VLAN 列表” 指定带标签发送的 VLAN；

· 适用场景：需灵活控制标签转发的场景（如连接 IP 电话与 PC 的同一端口，分别归属 “语音 VLAN” 和 “办公 VLAN”）。

VLAN 的工作流程

1. 单交换机 VLAN 通信流程

以 “基于端口划分 VLAN” 为例（PC1 属 VLAN10，PC2 属 VLAN10，PC3 属 VLAN20）：

• PC1 发送数据帧（无标签）到交换机 Access 端口（属 VLAN10）；
• 交换机为帧添加 VLAN10 标签，查询 MAC 地址表，发现 PC2 在同一 VLAN10 的 Access 端口；
• 交换机剥离 VLAN10 标签，将无标签帧发送给 PC2；
• PC3 属 VLAN20，交换机不会将 VLAN10 的帧转发到 VLAN20 端口，实现 VLAN 隔离。

2. 跨交换机 VLAN 通信流程

需通过 Trunk 端口连接两台交换机（SWA 与 SWB），流程如下：

• PC1（SWA 的 VLAN10 Access 端口）发送无标签帧，SWA 添加 VLAN10 标签；
• SWA 通过 Trunk 端口（允许 VLAN10）将带 VLAN10 标签的帧发送给 SWB；
• SWB 接收帧后，查询 MAC 地址表，发现 PC4（SWB 的 VLAN10 Access 端口）；
• SWB 剥离 VLAN10 标签，将无标签帧发送给 PC4；
• 若帧属未允许的 VLAN（如 VLAN30），Trunk 端口会丢弃该帧。

3. 跨 VLAN 通信条件

VLAN 间默认无法通信（二层隔离），需通过三层设备（路由器、三层交换机） 实现转发，核心方式为：

· 单臂路由：路由器一个物理端口通过子接口对应多个 VLAN，子接口配置不同 VLAN 的网关 IP；

· 三层交换机 SVI（交换虚拟接口）：为每个 VLAN 创建 SVI 接口并配置网关 IP，通过三层转发实现 VLAN 间通信（效率高于单臂路由）。

广播域与冲突域

广播域：广播帧（目的 MAC 为FFFF.FFFF.FFFF）能到达的设备范围。路由器的三层接口处于独立的广播域中，终端主机发出的广播帧在三层接口被终止。VLAN 的核心作用是缩小广播域—— 每个 VLAN 对应一个独立广播域，广播帧仅在所属 VLAN 内转发

冲突域：冲突域是指能够发生电信号冲突的物理网段。HUB的所有接口都在同一个冲突域中，终端主机共享HUB的带宽。交换机每个接口都是一个冲突域，终端主机独占接口的全部带宽。