VLAN原理

一、 VLAN 基础概念与核心价值

在传统的以太网中，所有连接到同一交换机或集线器的设备都处于同一个广播域中。随着网络规模的扩大，广播流量会显著消耗带宽，导致网络性能下降，且缺乏有效的逻辑隔离手段。VLAN（Virtual Local Area Network，虚拟局域网）技术应运而生，它允许网络管理员在物理网络基础上，逻辑地划分出多个独立的广播域。

为什么需要 VLAN？

想象一家拥有1000名员工的公司，如果所有员工都在同一个二层网络中，不仅广播包会占据大量带宽，而且任何一台感染病毒的主机都可能迅速蔓延至全网。VLAN通过逻辑分组，将网络划分为财务部VLAN、市场部VLAN、研发部VLAN等，每个VLAN拥有独立的子网，既保证了内部通信效率，又实现了安全隔离。

二、 VLAN 工作原理与 IEEE 802.1Q 标准

VLAN的核心在于“标签”（Tag）。在标准的以太网帧中，数据帧并不包含VLAN信息。为了实现VLAN功能，IEEE 802.1Q协议标准定义了如何在以太网帧中插入4字节的标签字段，以标识该帧属于哪个VLAN。

802.1Q 标签结构详解

当数据帧从一个支持VLAN的交换机端口发出时，如果该端口被配置为Trunk模式，交换机会在源MAC地址和类型/长度字段之间插入4字节的802.1Q Tag。这4字节包含以下关键信息：

• ① TPID (Tag Protocol Identifier): 固定为0x8100，表示这是一个802.1Q标签帧。
• ② PCP (Priority Code Point): 3位，用于QoS优先级标记。
• ③ DEI (Drop Eligible Indicator): 1位，用于标记是否可丢弃。
• ④ VID (VLAN Identifier): 12位，表示VLAN ID，取值范围1-4094。

端口类型：Access 与 Trunk

理解VLAN工作原理，必须区分两种主要的交换机端口模式：

Native VLAN（本征VLAN）

在Trunk链路上，有一个特殊的VLAN被称为Native VLAN。默认情况下，Native VLAN是VLAN 1。发送到Native VLAN的帧在Trunk链路上不带标签传输。这是为了兼容不支持802.1Q标签的老式设备。然而，出于安全考虑，建议将Native VLAN更改为一个未使用的VLAN ID，并确保链路两端的Native VLAN设置一致，以避免“VLAN跳跃”攻击。

三、 VLAN 配置实战指南

掌握VLAN原理后，接下来是通过实际配置来验证和理解。以下以主流厂商（如Cisco IOS风格）为例，展示如何创建VLAN并配置端口。

Switch> enable
Switch# configure terminal
Switch(config)# vlan 10
Switch(config-vlan)# name Sales
Switch(config-vlan)# exit
Switch(config)# vlan 20
Switch(config-vlan)# name Engineering
Switch(config-vlan)# exit
                            

Switch(config)# interface gigabitethernet 0/1
Switch(config-if)# description User PC in Sales Dept
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# exit
Switch(config)# interface gigabitethernet 0/2
Switch(config-if)# description User PC in Engineering Dept
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20
Switch(config-if)# exit
                            

SwitchA(config)# interface gigabitethernet 0/24
SwitchA(config-if)# switchport mode trunk
SwitchA(config-if)# switchport trunk allowed vlan 10,20,30
SwitchA(config-if)# exit
SwitchB(config)# interface gigabitethernet 0/24
SwitchB(config-if)# switchport mode trunk
SwitchB(config-if)# switchport trunk allowed vlan 10,20,30
SwitchB(config-if)# exit
                            

四、 VLAN 间路由：打破逻辑隔离

虽然VLAN提供了隔离，但在实际应用中，不同部门间往往需要通信（如销售查询数据库）。这时就需要通过VLAN间路由（Inter-VLAN Routing）来实现。主要有两种实现方式：

1. 单臂路由（Router-on-a-Stick）

这是一种利用路由器的一个物理接口，通过创建多个子接口（Sub-interfaces）来对应不同VLAN的方案。每个子接口配置一个VLAN的IP地址作为该VLAN的网关，并封装802.1Q标签。

Router(config)# interface gigabitethernet 0/0.10
Router(config-subif)# encapsulation dot1Q 10
Router(config-subif)# ip address 192.168.10.1 255.255.255.0
Router(config-subif)# exit
Router(config)# interface gigabitethernet 0/0.20
Router(config-subif)# encapsulation dot1Q 20
Router(config-subif)# ip address 192.168.20.1 255.255.255.0
                            

缺点：所有VLAN间流量都经过同一个物理接口，可能成为带宽瓶颈。

2. 三层交换机（Layer 3 Switch）

现代网络中，更推荐使用三层交换机进行VLAN间路由。三层交换机内部集成了硬件路由引擎，可以像二层交换机一样高速转发数据包，同时具备路由功能。通过创建SVI（Switch Virtual Interface）接口，为每个VLAN分配一个虚拟IP地址作为网关。

Switch(config)# ip routing
Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.10.1 255.255.255.0
Switch(config-if)# no shutdown
Switch(config)# interface vlan 20
Switch(config-if)# ip address 192.168.20.1 255.255.255.0
Switch(config-if)# no shutdown
                            

优点：基于硬件ASIC芯片转发，性能远高于单臂路由，延迟极低，适合大规模网络。

五、 VLAN 常见问题解答 (FAQ)

六、 延伸知识：与 VLAN 紧密相关的周边技术

深入理解VLAN原理，还需要了解与之紧密相关的网络技术，它们共同构成了现代企业网络的基础架构。