【簡介】
虛擬局域網 Virtual Local Area Network
用于在二層交換機上分割廣播域的技術，就是VLAN。VLAN所指的LAN特指使用路由器或交換機分割的網絡，即廣播域。
【用途】
如果僅有一個廣播域，有可能會影響到網絡整體的傳輸性能，因為廣播幀會傳播到網絡中的每一臺主機，對每一臺主機CPU造成負擔。
通過利用VLAN，我們可以自由設計廣播域的構成，提高網絡設計的自由度。
【機制】
通常，在一臺未設置任何VLAN的二層交換機上，任何廣播幀都會被轉發(fā)給除接收端口外的所有其他端口（Flooding）。
VLAN通過限制廣播幀轉發(fā)的范圍分割了廣播域，以 VLAN ID 來區(qū)分的不同的VLAN。劃分不同的VLAN后，廣播幀只會在同一VLAN內轉發(fā)。
在交換機上設置VLAN后，如果未做其他處理，VLAN間是無法通信的，而通常兩個廣播域之間由路由器連接，廣播域之間來往的數據包都是由路由器中繼的。
因此，VLAN間的通信也需要路由器提供中繼服務，這被稱作“VLAN間路由”。VLAN間路由，可以使用普通的路由器，也可以使用三層交換機。
【交換機的端口】
交換機的端口，可以分為以下兩種：
訪問鏈接（Access Link）
匯聚鏈接（Trunk Link）
“將不同交換機相同VLAN通過端口并聯起來。但是擴展性和管理效率都不好。讓交換機間互聯的網線集中到一根上，這時使用的就是匯聚鏈接（Trunk Link）”
① 訪問鏈接
只屬于一個VLAN，且僅向該VLAN轉發(fā)數據幀的端口，通常連客戶機。
設置VLAN的順序是：生成VLAN，設定訪問鏈接（決定各端口屬于哪一個VLAN）
設定訪問鏈接的方法：
（1）靜態(tài)VLAN （Port Based VLAN）
基于端口的VLAN，明確指定各端口屬于哪個VLAN的設定方法。不適合那些需要頻繁改變拓補結構的網絡
（2）動態(tài)VLAN
根據每個端口所連的計算機，隨時改變端口所屬的VLAN的設定方法。
分為以下三類，其間的差異，主要在于根據OSI參照模型哪一層的信息決定端口所屬的VLAN。決定端口所屬VLAN時利用的信息在OSI中的層面越高，就越適于構建靈活多變的網絡。
1）基于MAC地址的VLAN（MAC Based VLAN）
通過查詢并記錄端口所連計算機上網卡的MAC地址來決定端口的所屬。
假定有一個MAC地址“A”被交換機設定為屬于VLAN“10”，那么不論MAC地址為“A”的這臺計算機連在交換機哪個端口，該端口都會被劃分到VLAN10中去。
計算機連在端口1時，端口1屬于VLAN10；而計算機連在端口2時，則是端口2屬于VLAN10。
2）基于子網的VLAN（Subnet Based VLAN）
通過所連計算機的IP地址，來決定端口所屬VLAN的
即使計算機因為交換了網卡或是其他原因導致MAC地址改變，只要它的IP地址不變，就仍可以加入原先設定的VLAN。
3）基于用戶的VLAN（User Based VLAN）
根據交換機各端口所連的計算機上當前登錄的用戶，來決定該端口屬于哪個VLAN
② 匯聚鏈接
能夠轉發(fā)多個不同VLAN的通信的端口，也可用來形成跨越多臺交換機的VLAN。
匯聚鏈路上流通的數據幀，都被附加了用于識別分屬于哪個VLAN的特殊信息。
案例：
① A發(fā)送的數據幀從交換機1經過匯聚鏈路到達交換機2時，在數據幀上附加了表示屬于VLAN a的標記。
② 交換機2收到數據幀后，經過檢查VLAN標識發(fā)現這個數據幀是屬于VLAN a的。
③ 因此去除標記后根據需要將復原的數據幀只轉發(fā)給其他屬于VLAN a的端口。經過確認目標MAC地址并與MAC地址列表比對后只轉發(fā)給目標MAC地址所連的端口。
只有當數據幀是一個廣播幀、多播幀或是目標不明的幀時，它才會被轉發(fā)到所有屬于VLAN a的端口
“匯聚鏈路上流通著多個VLAN的數據，自然負載較重。因此，在設定匯聚鏈接時，有一個前提就是必須支持100Mbps以上的傳輸速度?！?/p>
【匯聚方式】
在交換機的匯聚鏈接上，可以通過對數據幀附加VLAN信息，構建跨越多臺交換機的VLAN。
附加VLAN信息的方法 IEEE802.1Q 和 ISL
① EEE802.1Q，經過IEEE認證的對數據幀附加VLAN識別信息的協議
EEE802.1Q所附加的VLAN識別信息，位于數據幀中“發(fā)送源MAC地址”與“類別域（Type Field）”之間。具體內容為2字節(jié)的TPID和2字節(jié)的TCI，共計4字節(jié)。
這時數據幀上的CRC是插入TPID、TCI后，對包括它們在內的整個數據幀重新計算后所得的值。而當數據幀離開匯聚鏈路時，TPID和TCI會被去除，這時還會進行一次CRC的重新計算。
TPID的值，固定為0x8100。交換機通過TPID，來確定數據幀內附加了基于IEEE802.1Q的VLAN信息。而實質上的VLAN ID，是TCI中的12位元。由于總共有12位，因此最多可供識別4096個VLAN。
【VLAN間路由】
兩臺計算機即使連接在同一臺交換機上，只要所屬的VLAN不同就無法直接通信。
因為在LAN內的通信，必須在數據幀頭中指定通信目標的MAC地址。而為了獲取MAC地址，TCP/IP協議下使用的是ARP。ARP解析MAC地址的方法，則是通過廣播。
計算機分屬不同的VLAN，即分屬不同的廣播域，收不到彼此的廣播報文。
為了能夠在VLAN間通信，需要利用OSI參照模型中更高一層——網絡層的信息（IP地址）來進行路由。
“交換機通過對各端口所連計算機MAC地址的學習，生成MAC地址列表（端口：MAC地址：VLAN）”
① 路由器提供路由功能
當使用一條網線連接路由器與交換機、進行VLAN間路由時，需要用到匯聚鏈接。
首先將用于連接路由器的交換機端口設為匯聚鏈接，而路由器上的端口也必須支持匯聚鏈路。雙方用于匯聚鏈路的協議自然也必須相同。接著在路由器上定義對應各個VLAN的“子接口（Sub Interface）”。
盡管實際與交換機連接的物理端口只有一個，但在理論上我們可以把它分割為多個虛擬端口。VLAN將交換機從邏輯上分割成了多臺，因而用于VLAN間路由的路由器，也必須擁有分別對應各個VLAN的虛擬接口。
（1）同一VLAN內通信時數據的流程
計算機A與同一VLAN內的計算機B之間通信，收發(fā)信雙方同屬一個VLAN之內的通信，一切處理均在交換機內完成。
1）計算機A發(fā)出ARP請求信息，請求解析B的MAC地址。
2）交換機收到數據幀后，檢索MAC地址列表中與收信端口同屬一個VLAN的表項。
3）計算機B連接在端口2上，于是交換機將數據幀轉發(fā)給端口2，最終計算機B收到該幀。
（2）不同VLAN間通信時數據的流程：發(fā)送方——交換機——路由器——交換機——接收方
計算機A（VLAN 1）與不同VLAN的計算機C（VLAN 2）通信，需要通過路由器
1）計算機A從通信目標的IP地址得出C與本機不屬于同一個網段，向設定的默認網關（Default Gateway，GW，即路由器）轉發(fā)數據幀，在發(fā)送數據幀之前，用ARP獲取路由器的MAC地址
2）得到路由器的MAC地址R后，發(fā)送往C去的數據幀，此數據幀中，目標MAC地址是路由器的地址R，但目標IP地址仍是最終要通信的對象C的地址。
3）交換機收到數據幀后，檢索MAC地址列表中與發(fā)出端口同屬一個VLAN的表項。由于匯聚鏈路會被看作屬于所有的VLAN，交換機連接路由器端口也屬于被參照對象，則通過匯聚鏈接往MAC地址R發(fā)送數據幀。
4）路由器收到數據幀后，確認其VLAN識別信息，由于它是屬于VLAN 1的數據幀，因此交由VLAN 1的子接口接收。然后根據路由器內部的路由表，判斷該向哪里中繼。即從VLAN 2的接口轉發(fā)
這時，數據幀的目標MAC地址被改寫成計算機C的目標地址，且附加了屬于VLAN 2識別信息
5）交換機收到數據幀后，根據VLAN標識信息從MAC地址列表中檢索屬于VLAN 2的表項。交換機將數據幀除去VLAN識別信息后轉發(fā)給計算機C
“隨著VLAN之間流量的不斷增加，很可能導致路由器成為整個網絡的瓶頸?！?/p>
② 三層交換機（Layer 3 Switch）提供路由功能
本質上就是“帶有路由功能的（二層）交換機”。內置的路由模塊與交換模塊使用ASIC硬件處理，與傳統的路由器相比，可以實現高速路由。路由與交換模塊是匯聚鏈接的，由于是內部連接，可以確保相當大的帶寬。
同一VLAN內通信時數據的流程：原理同路由器路由
不同VLAN間通信時數據的流程：原理同路由器路由
使用路由器連接時，一般需要在LAN接口上設置對應各VLAN的子接口；而三層交換機則是在內部生成“VLAN接口（VLAN Interface）”。VLAN接口，是用于各VLAN收發(fā)數據的接口。
③ 加速VLAN傳輸
流（Flow），一連串數據
只要將流最初的數據正確地路由以后，后繼的數據理應也會被同樣地路由。后繼的數據不再需要路由器進行路由處理；通過省略反復進行的路由操作，可以進一步提高VLAN間路由的速度。
首先，整個流的第一塊數據，照常由交換機轉發(fā)→路由器路由→再次由交換機轉發(fā)到目標所連端口。將第一塊數據路由的結果記錄到緩存里保存下來
之后，同一個流的第二塊以后的數據到達交換機后，直接通過查詢先前保存在緩存中的信息查出“轉發(fā)端口號”后就可以轉發(fā)給目標所連端口了。
