VLAN（Virtual Local Area Network，虚拟局域网）是一种将物理局域网划分成多个逻辑上独立的虚拟网络的技术。VLAN不依赖于设备的物理位置，而是通过逻辑划分，将局域网内的设备虚拟地组织到同一组。这种技术允许网络管理员按照不同的需求，将不同区域、不同楼层，甚至不同交换机上的设备，划分到同一个VLAN中，使其表现得像一个独立的子网。

                

VLAN的基本原理

VLAN是在二层交换机上配置的，可以基于端口、MAC地址或协议来划分VLAN。交换机在接收到数据包时，会根据VLAN标识将数据包发送到对应的VLAN。

1，虚拟网络划分：管理员可以根据需要将物理网络中的设备划分为多个虚拟局域网，每个VLAN都有一个唯一的VLAN ID来标识它。

2，VLAN封装：交换机会根据端口配置将接收到的数据帧封装到对应的VLAN中，每个数据帧都会添加一个VLAN标签，其中包含了源地址、目的地址和VLAN ID。

3，VLAN隔离：交换机上的端口根据配置只接收属于特定VLAN的数据帧，这样不同VLAN上的设备之间就无法直接通信，实现了隔离。

4，VLAN间通信：如果需要不同VLAN之间的通信，可以通过交换机上的路由功能实现，交换机会根据VLAN ID和路由表来转发数据帧。

        ​​​​​​​        

以太网二层接口类型

1，Access接口：交换机上常用来连接用户PC、服务器等终端设备的接口，Access接口所连接的这些设备的网卡往往只收发无标记帧。Access接口只能加入一个VLAN。

2，Trunk接口：Trunk接口允许多个VLAN的数据帧通过，这些数据帧通过802.1Q Tag实现区分，Trunk接口常用于交换机之间的互联，也用于连接路由器、防火墙等设备的子接口。

3，Hybrid接口：Hybrid接口与Trunk接口类似，也允许多个VLAN的数据帧通过，这些数据帧通过802.1Q Tag实现区分，用户可以灵活指定Hybrid接口在发送某个VLAN的数据帧时是否携带Tag。

                           

VLAN应用场景

场景一：基于端口的VLAN划分

某商务楼内有多家公司，为了降低成本，多家公司共用网络资源，各公司分别连接到一台二层交换机的不同接口，并通过统一的出口访问Internet。

VLAN划分：为了保证各公司业务的独立和安全，可将每个公司所连接的接口划分到不同的VLAN，实现公司间业务数据的完全隔离。可以认为每个公司拥有独立的网络，每个VLAN就是一个“虚拟工作组”。

        ​​​​​​​        ​​​​​​​

场景二：基于MAC的VLAN划分

某个公司的网络中，网络管理者将同一部门的员工划分到同一VLAN。为了提高部门内的信息安全，要求只有本部门员工的主机才可以访问特定网络资源。

VLAN划分：为了保证非本部门员工不能访问网络资源，可在SW1上配置基于MAC地址划分VLAN。这样新的主机接入网络，就无法访问公司的网络资源。

               ​​​​​​​        

VLAN作为网络管理和安全的核心技术，已成为现代企业网络的标准配置，它通过逻辑分组、广播域隔离、提升安全性和便捷管理等特点，使网络结构更灵活高效，让VLAN在各种企业和数据中心网络中得到广泛应用。