Vlan 全称虚拟局域网，核心就是在物理局域网里面，不用改动网线和交换机硬件接线，依靠交换机软件逻辑，把同一个物理交换机甚至跨多台交换机上的端口划分成多个独立的广播域，不同 Vlan 默认互相隔离，就算接在同一台交换机上，不同 Vlan 的设备默认也不能直接通信。传统局域网是一个大广播域，一台设备发送广播包，整个网段所有主机都会收到，主机数量一多广播风暴就会变严重，同时不同部门共用一个大网段，安全管控很难做，Vlan 就是为了解决广播域过大、安全隔离、灵活分组这几个核心需求诞生的技术，它是二层交换机最基础也是最重要的功能，广泛用在企业内网机房办公网监控网语音网这类场景。
为什么需要 Vlan
传统物理局域网所有端口同属一个广播域，所有广播帧会转发给域内全部端口，随着终端数量增加，广播流量持续占用带宽，还容易引发广播风暴让整网瘫痪。同时业务混在同一个网段，办公电脑监控摄像头电话终端全部互通，一旦某台终端中毒，很容易横向扩散攻击其他业务设备。Vlan 可以按照部门业务类型楼层来划分逻辑分组，不需要重新布线，调整分组只需要修改交换机端口所属 Vlan，改动非常灵活，还能天然实现二层隔离，不同 Vlan 之间如果没有三层设备做路由，二层层面无法直接访问。
Vlan 基础工作原理
交换机内部维护 Vlan 数据库，也就是 Vlan 表，每一个 Vlan 都有对应的编号 Vlan ID，标准范围是 1 到 4094，其中 Vlan1 是交换机默认 Vlan，所有端口出厂默认都属于 Vlan1，这个 Vlan 一般不建议继续用来承载业务。交换机端口分为两种核心模式，接入端口 Access 和中继端口 Trunk。
Access 端口一般接终端电脑打印机这类设备，这个端口只属于单个 Vlan，进出端口的帧不带 Vlan 标签，终端设备本身不识别 Vlan 标签。
Trunk 端口一般用在交换机和交换机，交换机和路由器之间互联，链路可以同时承载多个 Vlan 的数据，数据帧经过 Trunk 链路的时候会打上 802.1Q 标签，标签里面记录 Vlan ID，对端交换机读取标签，就知道这个帧属于哪一个 Vlan，再转发到对应 Vlan 内部。
| 端口模式 | 所属 Vlan | 帧标签特点 | 典型对接设备 |
|---|---|---|---|
| Access | 仅属于单个 Vlan | 进出端口剥离或者不打标签 | 电脑 打印机 AP 终端 |
| Trunk | 同时承载多个 Vlan | 帧携带 802.1Q 标签 | 交换机互联 三层路由器 |
Vlan 通信规则
同一个 Vlan 内部属于同一个广播域，二层可以直接互通，不需要三层设备。不同 Vlan 属于不同广播域，二层默认隔离，想要跨 Vlan 通信，必须借助三层设备，常见方式是单臂路由或者三层交换机做 Vlan 间路由，也就是给每个 Vlan 配置对应的三层虚接口 SVI，作为该 Vlan 终端的默认网关，终端把跨网段数据包发给网关，由三层设备完成转发。
Vlan 配置基本步骤
第一步，在交换机上创建需要使用的 Vlan，填写 Vlan 编号和 Vlan 名称。
第二步，把连接终端的端口设置成 Access 模式，并且把端口加入指定 Vlan。
第三步，如果交换机之间互联，把互联端口配置成 Trunk 模式，放行需要通过的 Vlan，必要时设置本征 Vlan。
第四步，如需跨 Vlan 互通，在三层交换机或者路由器上配置 Vlan 对应的网关地址，开启 Vlan 间路由。
第五步，测试同 Vlan 主机互 ping，测试不同 Vlan 在未开启路由的时候是否无法互通，验证隔离效果。
Vlan 本质是二层逻辑划分技术，核心价值就是拆分广播域实现业务隔离，提升网络安全性，降低广播风暴风险，同时让网络分组调整不用改动物理布线，是现代企业局域网组网必备基础技术。
【常见问题】
问题 1 Vlan 能不能完全替代物理网段的安全防护
回答 1 Vlan 可以实现二层默认隔离，降低横向访问风险，但是 Vlan 本身不是防火墙，一旦配置跨 Vlan 路由之后，不同 Vlan 就可以三层互通，依然需要配合访问控制策略，不能只依靠 Vlan 来实现全部安全防护。
问题 2 Vlan ID 最大可以用到多少
回答 2 标准 802.1Q 协议 Vlan ID 可用范围是 1 到 4094，0 和 4095 属于保留编号，普通业务 Vlan 不能使用，很多交换机都支持这个全范围 Vlan。
问题 3 Trunk 链路上面的本征 Vlan 有什么作用
回答 3 本征 Vlan 是 Trunk 链路上不打标签的 Vlan，默认一般是 Vlan1，所有不带标签的帧都会被划入这个本征 Vlan，生产环境建议修改本征 Vlan，不要继续使用默认 Vlan1，避免安全隐患。
问题 4 同一个 Vlan 跨多台交换机还能直接通信吗
回答 4 只要两台交换机之间 Trunk 链路正确放行这个 Vlan，跨交换机的同 Vlan 终端仍然属于同一个广播域，二层可以直接互通，不需要三层路由。
【免责申明】
本文内容为 Vlan 技术原理科普说明，不同品牌交换机命令行配置存在差异，实际组网部署请结合设备官方手册与现场业务规划操作，配置错误可能造成网络中断，本文不承担相关网络故障责任。