VLAN原理

VLAN（Virtual Local Area Network）即虚拟局域网，是将一个物理的局域网在逻辑上划分成多个广播域的技术。通过在交换机上配置VLAN，可以实现在同一个VLAN内的用户可以进行二层互访，而不同VLAN间的用户被二层隔离。这样既能够隔离广播域，又能够提升网络的安全性。

 图1.1

如图所示，不同VLAN之间相互隔离，只有相同的VLAN才能收到广播报文，如图1.1所示，A发布广播报文，只有处在相同VLAN的B和C才能够收到。

图1.2 

VLAN帧相比于普通帧在于多了一个Tag标识，Tag标识中包含了VLAN的ID，VLAN ID用于区分不同的VLAN区域，如图1.2所示。

 图1.3

主机和交换机之间的链路为接入链路(Access)，交换机与交换机之间的链路为干道链路(Trunk)，如图1.3所示。

图1.4

每个交换机的端口对应其所连接的主机的PVID，比如所连接的主机属于VLAN2，那么这个连着VLAN2的主机的端口就是PVID2，如图1.4所示。

图1.5 

接收帧时：接入链路(Access)会在收到无Tag的帧后打上一个VLAN的Tag标志。如果接收到有Tag的帧（通常是被攻击）也会将帧Tag中的VLAN ID更改为该端口的PVID，并不是直接丢弃。

转发帧时：接入链路(Access)转发的出口PVID必须和该帧中的VLAN ID相同，否则不会转发，需要注意的是，该带Tag的帧通过转发认证后，在转发前会移除掉Tag。如图1.5所示。

图1.6 

接收帧时：干道链路(Trunk)收到无Tag的帧时和接入链路(Access)一样处理，会打上VLAN Tag标志。而当收到带Tag的帧时不变。

转发帧时：干道链路(Trunk)需要看该帧的VLAN ID是否在转发出口的allow-pass中。如果在就会直接转发，如果不在则会丢弃。如图1.6所示。