

图解 VLAN 原理

丰沃创新

2021-06-27

导读：VLAN 原理VLAN 技术通过给数据帧插入 VLAN 标签（又叫 VLAN TAG）的方式，让交换机能够分

VLAN 原理

VLAN 技术通过给数据帧插入 VLAN 标签（又叫 VLAN TAG）的方式，让交换机能够分辨出各个数据帧所属的 VLAN 。

VLAN 标签是用来区分数据帧所属 VLAN 的，是 4 个字节长度的字段，插入到以太网帧头部上。VLAN 标签会插入到源 MAC 地址后面， IEEE 802.1Q 标准有这个格式定义和字段构成说明。

TPID （标签协议标识符）：
长度 2 个字节，值为 0x8100 ，用来表示这个数据帧携带了 802.1Q 标签。不支持 802.1Q 标准的设备收到这类数据帧，会把它丢弃。
TCI （标签控制信息）：
长度 2 个字节，又分为三个子字段，用来表示数据帧的控制信息：
优先级（ Priority ）：长度为 3 比特，取值范围 0 ~ 7 ，用来表示数据帧的优先级。取值越大，优先级越高。当交换机发送拥塞是，优先转发优先级高的数据帧。
CFI （规范格式指示器）：长度为 1 比特，取值非 0 即 1 。
VLAN ID （ VLAN 标识符）：长度为 12 比特，用来表示 VLAN 标签的数值。取值范围是 1 ~ 4094 。

划分 VLAN 后，交换机如何处理广播报文？

交换机上划分了多个 VLAN 时，在交换机接收到广播数据帧时，只会将这个数据帧在相同 VLAN 的端口进行广播。

划分 VLAN 后，交换机如何处理目的 MAC 地址不在 MAC 地址表中的单播数据帧？

交换机上划分了多个 VLAN 时，当交换机接收到一个目的 MAC 地址不存在于自己 MAC 地址表中的单播数据帧时，只会将这个数据帧在相同 VLAN 的端口进行泛洪。

划分 VLAN 后，不同 VLAN 的主机能否通信？

划分多 VLAN 的环境中，即使交换机 MAC 地址表里保存了某个数据帧的目的 MAC 地址条目，若这个目的 MAC 地址所对应的端口与数据帧的入端口在不同的 VLAN 中，交换机也不会通过 MAC 地址表中的端口发送数据帧。

小结：在不使用路由转发的前提下，交换机不会从一个 VLAN 的端口中接收到的数据帧，转发给其它 VLAN 的端口。

怎么区分不同的 VLAN ？

通过 VLAN ID 进行区分，例如 VLAN 10 和 VLAN 20 就是不同的 VLAN 。

VLAN 技术有哪些好处？

增加了广播域的数量，减小了每个广播域的规模，也减少了每个广播域中终端设备的数量；
增强了网络安全性，保障网络安全的方法增加了；
提高了网络设计的逻辑性，可以规避地理、物理等因素对于网络设计的限制。

划分 VLAN

我们可以使用不同的方法，把交换机上的每个端口划分到某个 VLAN 中，以此在逻辑上分隔广播域。

交换机通常会使用基于端口划分 VLAN 的方法。在交换机上手动配置，绑定交换机端口和 VLAN ID 的关系。

优点：配置简单。想要把某个端口划分到某个 VLAN 中，只需要把端口的 PVID （端口 VLAN ID ）配置到相应的 VLAN ID 即可。

缺点：当终端设备移动位置是，可能需要为终端设备连接的新端口重新划分 VLAN 。

除了这种方法外，还可以使用基于 MAC 地址划分 VLAN 、基于 IP 地址划分 VLAN 、基于协议划分 VLAN 、基于策略划分 VLAN 等方法来划分 VLAN。

PVID ：接口默认 VLAN ID ，是交换机端口配置的参数，默认值是 1 。

跨交换机 VLAN 原理

终端设备不会生成带 VLAN 标签的数据帧，它们发出的数据帧叫做无标记帧（ Untagged ）。它们连接的交换机会给无标记帧打上 VLAN 标签。交换机通过每个端口的 PVID ，判断从这个接口收到的无标记帧属于哪个 VLAN ，并在转发时，插入相应的 VLAN 标签，从而将无标记帧变为标记帧（ Tagged ）。

当两台交换机通过端口连接时，收到的数据帧是标记帧还是无标记帧？交换机端口会如何处理呢？

交换机根据连接的设备类型，判断各个接口收到的数据帧是否打标，来配置交换机接口的类型。

如果交换机接口收到无标记帧，由交换机根据这个接口所在 VLAN 为数据帧打上 VLAN 标签；同时接口发送数据帧时，也不携带 VLAN 标签。应该把这类接口配置为 Access （接入）接口， Access 接口连接的链路称为 Access 链路。
如果交换机接口收到多个 VLAN 的流量，也就是收到了标记帧；同时为了让对端设备能够区分不同 VLAN 的流量，通过接口发出的流量会打上 VLAN 标签。应该把这类接口配置为 Trunk （干道）接口，相应的链路称为 Trunk 链路。

跨交换机发送数据

主机 A 以主机 F 的 MAC 地址作为目的 MAC 地址封装了一个数据帧，从网卡发送出去。

交换机 A 在 Access 接口收到数据帧。查询 MAC 地址表，发现数据帧的目的地址是与交换机 B 相连的 Trunk 接口。于是交换机给数据帧打上 Access 接口的 PVID 配置，即给数据帧打上 VLAN 10 的标签，并从 Trunk 接口转发给交换机 B 。

交换机 B 在 trunk 接口收到数据帧。查看 MAC 地址表，发现是 VLAN 10 的数据帧，目的地址设备是连接在 VLAN 10 的一个 Access 接口上。于是去掉数据帧的 VLAN 标签，并从这个 Access 接口转发给主机 F 。

模拟实验

Access 接口和 Trunk 接口的配置

实验拓扑图

实验要求

将 SW 1 （即交换机 1）和 SW 2 （即交换机 2）相连的接口配置为 Trunk 接口，允许传输 VLAN 5 的数据；
将 PC （即主机）与 SW 相连接口配置为 Access 接口，接口的 PVID 配置为 VLAN 5 。

实验步骤

SW 1 上的配置如下：

检查 SW 1 的接口配置，使用命令 display vlan 查看接口 VLAN 情况。

Hybrid 接口的配置

三种接口类型特点：

Access 接口：这种接口只能属于一个 VLAN，只能接收和发送一个 VLAN 的数据。通常用于连接终端设备，比如主机或服务器等。
Trunk 接口：这种接口能够接收和发送多个 VLAN 的数据，通常用于连接交换机。
Hybrid 接口：这种接口能够接收和发送多个 VLAN 的数据，可用于交换机的链路，也可用于终端设备。与 Trunk 接口的区别是，发送数据时 Trunk 接口只会摘掉 PVID 标签，而 Hybrid 接口能够不携带 VLAN 标签发送多个 VLAN 数据。

实验拓扑图

实验要求

新建 3 个 VLAN ，PC 1 属于 VLAN 2 ，PC 2 属于 VLAN 3 ，Server 1 （即服务器 1）属于 VLAN 10 ；
通过 Hybrid 接口实现 VLAN 2 和 VLAN 3 不能互通，但 VLAN 2 和 VLAN 3 都能与 VLAN 10 进行通信。

实验步骤

SW 1 的 E0/0/2 接口，只允许通过 VLAN 2 ， PC 1 又需要访问 VLAN 10 ，但是无法识别 VLAN 标签信息，因此配置 Hybrid 的 PVID 为 VLAN 2 ，同时放通 VLAN 2 和 VLAN 10 。E0/0/3 接口配置同理。E0/0/1 接口需要放通 VLAN 2 、 VLAN 3 和 VLAN 10 的流量，对端交换机又需要识别 VLAN 标签，因此以带 VLAN 标签的形式放通 VLAN 2 、 VLAN 3 和 VLAN 10 的流量。SW 1 上的配置如下：

SW 2 的 E0/0/1 接口配置和 SW 1 的 E0/0/1 接口同理。SW 2 的 E0/0/10 接口，只允许通过 VLAN 10 ， Server 1 又需要放通 VLAN 2 和 VLAN 3 的流量，因此配置 Hybrid 的 PVID 为 VLAN 10 ，同时放通 VLAN 2 、 VLAN 3 和 VLAN 10 。SW2 上的配置如下：