一文读懂VLAN：网络设备的隐藏神器

最新推荐文章于 2025-05-02 14:07:46 发布

大雨淅淅

最新推荐文章于 2025-05-02 14:07:46 发布

阅读量622

点赞数 18

分类专栏： # linux网络协议栈文章标签：服务器开发语言网络协议网络

本文链接：https://blog.csdn.net/xiaoyingxixi1989/article/details/147657180

版权

3.7 按用户定义、非用户授权划分 VLAN

一、VLAN 究竟是什么？

想象一下，你负责管理一个大型企业的网络，这个网络中有成百上千台设备，分布在不同的楼层、不同的部门，有财务部、销售部、研发部等等。每个部门都有自己的业务需求和安全要求。比如财务部处理着公司的核心财务数据，安全性要求极高；销售部则需要频繁地与外部客户进行数据交互；研发部专注于内部的产品研发，需要一个相对独立稳定的网络环境。

在传统的网络架构下，所有设备都处于同一个大的局域网中，就好像大家都住在一个没有分区的巨大社区里，彼此之间可以随意 “串门”，这就导致了严重的广播风暴问题，大量的广播消息在网络中传播，占用了大量的网络带宽，使得网络性能大幅下降。而且，不同部门之间的数据安全也无法得到保障，任何一个设备都可以轻易地访问其他设备的数据，这无疑是一个巨大的安全隐患。

为了解决这些问题，VLAN 应运而生。VLAN，全称 Virtual Local Area Network，即虚拟局域网，它就像是给这个巨大的社区划分了不同的功能区，比如住宅区、商业区、办公区等。每个功能区都有自己的规则和限制，不同功能区之间不能随意通行。在网络中，VLAN 通过将一个物理的局域网在逻辑上划分成多个广播域，实现了不同设备之间的隔离和管理。每个 VLAN 都是一个独立的广播域，广播报文只能在同一个 VLAN 内传播，不会扩散到其他 VLAN 中，从而有效地控制了广播风暴，提高了网络的性能和安全性。

二、VLAN 的工作原理大揭秘

那么 VLAN 究竟是如何工作的呢？这就涉及到 VLAN 的核心技术 —— 标签（Tag）。当数据帧进入交换机时，交换机会根据端口的配置，给数据帧打上一个 VLAN 标签，这个标签就像是一个包裹上的快递单，上面记录了这个数据帧所属的 VLAN 信息。

以一个简单的例子来说明，假如你有两个部门，市场部和技术部，分别属于 VLAN10 和 VLAN20。市场部的一台电脑 A 要向技术部的电脑 B 发送数据。电脑 A 发送的数据帧首先到达连接它的交换机端口，这个端口被配置为属于 VLAN10，交换机会给这个数据帧打上 VLAN10 的标签。交换机内部有一个转发表，它会根据这个标签以及目标 MAC 地址，在转发表中查找对应的转发端口。由于电脑 B 属于 VLAN20，而交换机的转发表知道 VLAN10 和 VLAN20 是不同的广播域，所以它不会直接将数据帧转发给电脑 B，而是将数据帧转发到与 VLAN20 相关的端口（如果存在这样的端口连接到电脑 B 所在的网络），或者转发到连接路由器或三层交换机的端口，以实现不同 VLAN 之间的通信。

在这个过程中，VLAN 标签起到了关键的作用。它让交换机能够准确地识别数据帧所属的 VLAN，从而实现不同 VLAN 之间的隔离和数据转发。不同 VLAN 之间的数据通信不能直接进行，必须借助路由器或三层交换机等三层设备。这是因为不同 VLAN 属于不同的广播域，它们在数据链路层是相互隔离的，只有通过网络层的路由功能，才能实现不同 VLAN 之间的通信。就好比两个不同小区的居民（不同 VLAN 的设备），如果要相互拜访（通信），不能直接穿过小区的围墙（数据链路层的隔离），而需要通过小区门口的道路（网络层的路由）来实现。

三、VLAN 的划分方法大盘点

在了解了 VLAN 的基本概念和工作原理后，接下来让我们深入探讨一下 VLAN 的划分方法。不同的划分方法各有优缺点，适用于不同的网络场景，网络管理员需要根据实际需求来选择合适的划分方式。

3.1 基于端口划分 VLAN

这是最常用、最基本的划分方法，就像是给不同的房间贴上不同的标签。网络管理员直接将交换机的端口分配到不同的 VLAN 中，每个端口只能属于一个 VLAN 。比如，将交换机的 1 - 5 端口划分到 VLAN10，6 - 10 端口划分到 VLAN20。

这种划分方法的优点显而易见，配置简单直观，易于理解和实施，就像把不同的物品放进不同的抽屉一样简单。它适用于网络拓扑相对稳定、设备位置固定的场景，比如企业的办公区，每个员工的电脑位置基本固定，通过基于端口划分 VLAN 可以方便地进行网络管理。而且它的稳定性高，端口与 VLAN 的绑定关系固定，不易出错。

然而，它也存在一些局限性。当设备移动时，比如员工更换办公位置，电脑连接到了其他端口，就需要重新配置 VLAN，这在大规模网络中会带来很大的工作量。同时，VLAN 数量受限于物理端口数量，扩展性有限。想象一下，如果公司需要临时增加一个 VLAN，而交换机的端口已经全部分配完了，就会非常麻烦。

3.2 基于 MAC 地址划分 VLAN

基于 MAC 地址划分 VLAN，是根据设备网卡的 MAC 地址来分配 VLAN 成员。每块网卡都有一个全球唯一的 MAC 地址，交换机通过学习和记录端口所连接设备的 MAC 地址，来决定该端口所属的 VLAN 。这就好比给每个人发一张独一无二的门禁卡，无论你走到哪个房间，只要刷卡就能进入相应的区域。

这种划分方法最大的优势在于灵活性高，设备移动时，VLAN 配置自动跟随，无需重新配置。对于移动设备较多的环境，如会议室、无线网络覆盖区域等，非常适用。例如，在会议室中，不同部门的人员带着笔记本电脑接入网络，基于 MAC 地址划分 VLAN 可以确保他们自动进入各自部门的 VLAN，方便快捷。而且，特定 MAC 地址只能访问特定 VLAN，增强了网络的安全性，防止未授权访问。

但是，它也有不可忽视的缺点。初始化时需要对所有用户进行配置，当设备数量众多时，工作量巨大。并且，交换机需要维护庞大的 MAC 地址与 VLAN 映射表，这会消耗大量的内存和处理资源，降低交换机的执行效率。如果 MAC 地址配置不当，还可能导致网络性能问题。

3.3 基于网络层协议划分 VLAN

基于网络层协议划分 VLAN，是根据网络层使用的协议类型，如 IP、IPX、DECnet、AppleTalk 等，将设备划分到不同的 VLAN 中。这种划分方式可以使广播域跨越多个交换机，对于希望针对应用和服务来组织用户的网络管理员具有很大的吸引力。比如，企业中同时运行 IP 和 IPX 两种协议，通过基于网络层协议划分 VLAN，可以将使用 IP 协议的设备划分到一个 VLAN，将使用 IPX 协议的设备划分到另一个 VLAN 。

它的优点是用户主机物理位置改变后，不需要重新配置所属的 VLAN，而且可以根据协议类型来划分 VLAN，适用于需要针对不同应用和服务来组织用户的场景。此外，这种方法不需要附加的帧标签来识别 VLAN，可以减少网络的通信量。

然而，它的缺点是效率较低。因为交换机需要检查每一个数据包的网络层地址，这需要消耗大量的处理时间。一般的交换机芯片可以自动检查以太网帧头，但要检查 IP 帧头则需要更高的技术，也更费时，这与各个厂商的实现方法有关。