【网络】VLAN（虚拟局域网）技术详解
VLAN是一种将物理局域网在逻辑上划分为多个独立广播域的技术，允许一台物理交换机像多台独立的“虚拟交换机”一样工作。
一、为什么需要VLAN？
| 传统局域网的痛点 | VLAN 提供的解决方案 |
|---|---|
| 广播风暴：广播帧泛滥全网，消耗资源。 | 隔离广播域：广播帧仅在本VLAN内传播。 |
| 安全性差：所有主机二层互通，易被窥探。 | 逻辑隔离：不同部门/安全等级的用户二层隔离。 |
| 管理僵化：网络结构受物理位置和布线限制。 | 灵活组网：基于逻辑（非物理位置）划分工作组，变动只需修改配置。 |
核心目的：限制广播域，提升网络性能、安全性和管理灵活性。
二、VLAN的工作原理：标签与端口
1. VLAN标签（802.1Q Tag）
交换机在原始以太网帧的“源MAC地址”和“类型”字段间插入4字节标签，其中VLAN ID（12位）是关键，用于标识帧所属的VLAN（范围1-4094）。
2. 端口的三种关键类型
理解数据在端口如何处理是掌握VLAN的关键，其完整处理流程如下：
3. 三种端口模式对比
| 特性 | Access口 | Trunk口 | Hybrid口（华为/华三） |
|---|---|---|---|
| 主要用途 | 连接终端设备 | 连接网络设备 | 通用混合模式，可连接终端或设备 |
| 允许通过的VLAN | 仅1个（PVID） | 多个（允许列表） | 多个（允许列表） |
| 接收处理 | 只接收无标签帧，并打上PVID | 接收带标签帧；对无标签帧打上PVID | 可灵活定义每个VLAN的入向是“带标签”还是“无标签” |
| 发送处理 | 发送前总是剥离标签 | 通常保留标签，仅当VLAN ID=PVID时剥离 | 可针对每个VLAN配置出向带标签(Tag)或不带标签(Untag) |
| 灵活性 | 低 | 中 | 极高 |
三、VLAN的划分方法
| 划分方法 | 原理 | 适用场景 | 优缺点 |
|---|---|---|---|
| 基于端口 | 将物理端口静态指定到某个VLAN。 | 最常用、最稳定。适用于位置固定的用户。 | 优：简单、安全、高效。 缺：用户移动需重配。 |
| 基于MAC地址 | 根据终端设备的MAC地址动态划分。 | 用户设备移动频繁（如医院推车）。 | 优：用户移动无需重配。 缺：初始配置繁琐。 |
| 基于协议 | 根据网络层协议类型划分。 | 现已很少使用。 | 早期多协议网络有用。 |
| 基于IP子网 | 根据源IP地址所属子网划分。 | 常用于简化三层交换机的管理。 | 优：便于三层规划统一。 缺：需IP正确，有欺骗风险。 |
| 基于策略 | 结合多种条件（MAC+IP+端口等）。 | 安全性和灵活性要求极高的场景。 | 优：非常灵活精准。 缺：配置复杂，需策略服务器。 |
四、典型应用场景示例
场景：一个中小型公司网络
- VLAN 10：研发部- 隔离保密数据。
- VLAN 20：市场部- 需常访问内外网。
- VLAN 30：财务部- 安全性要求最高。
- VLAN 99：管理VLAN- 网络设备管理，与业务流量隔离。
- VLAN 200：服务器区- 集中部署服务器。
网络架构与数据流：
- 接入层：PC通过交换机的Access口接入各自部门的VLAN。
- 互联链路：接入与核心交换机间用Trunk口，允许必要VLAN（10,20,30,99,200）通过。
- 核心层：核心交换机作为三层网关，为各VLAN配置SVI接口（如
VLANIF 10）并配置IP（如192.168.10.1/24），实现VLAN间路由。 - 策略控制：在核心交换机上配置ACL，实现细粒度访问控制（如“市场部可访问服务器区的Web，但禁止访问财务部”）。
五、重要补充概念
- 默认VLAN：通常是VLAN 1，所有端口初始属于它。建议将用户数据规划在其他VLAN，保留VLAN 1用于未使用端口。
- 本征VLAN：Trunk口上一个特殊的VLAN，其数据以无标签形式传输。两端设备Trunk口的本征VLAN必须一致，否则会导致通信问题。
- VLAN修剪：在Trunk链路上只允许必要的VLAN流量通过，以节约带宽。
六、总结
VLAN是现代企业网络的基石，通过逻辑隔离解决了物理网络的局限性。掌握VLAN的核心在于理解：
- VLAN标签（802.1Q）是跨设备传递成员信息的机制。
- 端口类型（Access/Trunk/Hybrid）决定了标签的“打上”、“保留”或“剥离”，是控制数据流的关键。
- 结合三层交换和ACL，可以在实现隔离的同时，构建安全、可控、易管理的企业网络。