VLAN（虚拟局域网）是建立在交换式局域网之上的一种逻辑子网。VLAN采用网络管理软件把连接到交换机上的计算机分成若干个VLAN，一个VLAN组成一个逻辑广播域，同一VLAN中的成员之间能够通信，不同VLAN用户之间不能直接通信，如果需要通信必须通过路由设备。因此，VLAN有助于控制广播风暴、简化网络管理、提高网络安全，并使计算机的布署非常灵活。

1.VLAN概述

VLAN的目的是把一个大的广播域（物理子网）分成若干个小的独立的广播域（逻辑子网）。考虑这样一种情况，如果一个部门有20台计算机，其中10台属于业务部，另外10台属于研发部，而这20台计算机处于一个办公区内，如果要想将这20台计算机划分为研发和业务两个广播域，应该怎么办呢？

路由器不转发广播流量，可以用来划分广播域。但用路由器来隔离广播风暴有一个很大的缺点，那就是路由器通常会成为子网间通信的瓶颈，而且同一部门的计算机必须连至同一台交换机上，如图9-6a所示。

图9-6　广播域的隔离

a）使用路由器隔离广播域　b）使用VLAN隔离广播域

利用具有VLAN功能的交换机同样可以实现广播域的隔离，如图9-6b所示，图中的三台交换机也可以用一台交换机代替。图9-6b中研发计算机被划在一个VLAN中，业务计算机被划在另一个VLAN中。为了隔离广播风暴，不同VLAN的设备不能通过交换机直接通信，例如，研发计算机和业务计算机之间想要通信的话，还得另有一台路由器或使用三层交换机的路由功能才能互通。

2.VLAN的三种划分方式

交换机划分VLAN共有三种方式：基于端口、MAC地址和IP地址划分VLAN。

1）基于端口划分VLAN。通过端口划分时，既可以把同一交换机的不同端口划分在不同的VLAN内，也可以把不同交换机的不同端口划分在同一VLAN内。例如，在图9-6中，工作区1内部交换机的端口1～10可以划分给VLAN1，端口11～20可以划分给VLAN2，在工作区2内部交换机上也采用同样的划分。这样，不同工作区内同一部门的计算机只要连接在属于同一VLAN的端口上即可。

2）基于MAC地址划分的VLAN。当一台主机连接到一个交换机的端口时，交换机根据它所发送帧的源MAC地址，向VMPS（VLAN成员策略服务器）服务器发送请求，检索VMPS中的MAC地址数据库，该数据库是MAC地址到VLAN的映射表。如果找到匹配的MAC地址，交换机就将该端口分配给该匹配项所指定的VLAN；如果没有找到匹配项，就分配给默认的VLAN（这需要预定义默认VLAN）。

与端口划分相比，这种划分方式比较灵活，属于某个VLAN的终端可以随意移动物理位置，交换机配合VMPS可以动态地将端口分配给不同的VLAN。但是在网络设备数量较大、终端较多时，创建和更新数据库是非常繁琐和艰难的。

3）基于IP地址划分VLAN。IP地址涉及网络层，因此只有三层交换机可以基于IP地址划分VLAN，这种划分的工作方式与基于MAC类似，只不过这时主机的标识变成了IP地址。

在实际的应用中，很少有使用MAC和IP划分VLAN的组网方式，基于端口的VLAN划分是最常用也是最简单、方便的划分方式。(www.daowen.com)

3.VLAN内部数据交换

在交换机上可以划分多个不同的VLAN，在不同的交换机上也可以将端口划分在同一个VLAN中。那么交换机如何识别不同的VLAN内的主机发送的数据呢？如果数据交换发生在同一个VLAN内的主机间，并且两台主机接入的是同一个二层交换机，那么它们之间的通信很简单，交换机只需要做简单的二层转发即可。如果这两台主机分别接入的是不同的交换机，则需要使用VLAN链路聚集（Trunking）技术来解决它们之间的通信问题。

VLAN链路聚集技术使用干线（Trunk）在单条物理链路上承载多个VLAN的流量，如图9-7所示。通过这条公共链路，VLAN1中的主机可以与其他交换机中VLAN1的主机通信，VLAN2亦然。

图9-7　Trunking示意图

干线上传输的数据并不是普通的MAC帧，图9-8是IEEE 802.1Q对以太网MAC帧的封装格式，其中PRI是用户优先权；CFI是规范格式指示器，用于区分以太网和令牌环网的接口，总被设置为0；VLANID是VLAN的标识。

图9-8　在干线上传输MAC帧时的IEEE 802.1Q封装格式

对于大型网络而言，在每个交换机上都配置VLAN信息是十分庞大和复杂的工作，而且维护起来十分困难。VTP（VLAN链路聚集协议）能够在整个交换网络中分发和同步VLAN信息，这样，只需要在某几台设备中配置VLAN信息，然后通过VTP协议向其他设备动态分发消息。交换机只能在802.1 Q干线上传送VTP消息。

交换机在干线中扩散整个管理域的VTP通告，交换机每隔5min就发送一次通告消息，或者在VLAN配置发生更改时发送通告消息。

4.VLAN间的数据交换

划分VLAN的目的就是为了防止广播风暴，因此，不同VLAN间的主机无法直接通信，它们之间的数据交换必须通过三层设备来实现，例如，路由器或三层交换机。

VLAN之间使用路由器互通时，只要把路由器用一条线接到交换机上就行了。IP数据报送到路由器，又原路送回来（跨越了不同逻辑子网），因此形象地称为单臂路由。