VLAN簡介

VLAN（Virtual Local Area Network，虛擬局域網）技術可以把一個物理LAN劃分成多個邏輯的LAN——VLAN，每個VLAN是一個廣播域，處于同一VLAN的主機能夠直接互通，而處于不同VLAN的主機不能夠直接互通，

基于埠劃分VLAN

VLAN可以基于埠進行劃分，它按照設備埠來定義VLAN成員，將指定埠加入到指定VLAN中之后，埠就可以轉發該VLAN的報文，
在某VLAN內，可根據需要配置埠加入Untagged埠串列或Tagged埠串列（即配置埠為Untagged埠或Tagged埠），從Untagged埠發出的該VLAN報文不帶VLAN Tag，從Tagged埠發出的該VLAN報文帶VLAN Tag，
埠的鏈路型別分為三種，在埠加入某VLAN時，對不同鏈路型別的埠加入的埠串列要求不同：

• Access：埠只能發送一個VLAN的報文，發出去的報文不帶VLAN Tag，該埠只能加入一個VLAN的Untagged埠串列，
• Trunk：埠能發送多個VLAN的報文，發出去的埠預設VLAN的報文不帶VLAN Tag，其他VLAN的報文都必須帶VLAN Tag，在埠預設VLAN中，該埠只能加入Untagged埠串列；在其他VLAN中，該埠只能加入Tagged埠串列，
• Hybrid：埠能發送多個VLAN的報文，埠發出去的報文可根據需要配置某些VLAN的報文帶VLAN Tag，某些VLAN的報文不帶VLAN Tag，在不同VLAN中，該埠可以根據需要加入Untagged埠串列或Tagged埠串列，

VLAN介面

不同VLAN間的主機不能直接通信，通過設備上的VLAN介面，可以實作VLAN間的三層互通，VLAN介面是一種三層的虛擬介面，它不作為物理物體存在于設備上，每個VLAN對應一個VLAN介面，VLAN介面的IP地址可作為本VLAN內網路設備的網關地址，對需要跨網段的報文進行基于IP地址的三層轉發，

注意事項
VLAN 1為系統預設VLAN，用戶不能手工創建和洗掉，
VLAN1為埠預設VLAN的編號，埠收到不帶VLAN Tag的報文時，會在預設VLAN中傳輸；發送預設VLAN的報文時，Access和Trunk埠會去掉VLAN Tag再發送，Hybrid埠可配置是否去掉VLAN Tag再發送，Access埠的預設VLAN就是它所在的VLAN，Trunk埠和Hybrid埠可以允許多個VLAN通過，能夠配置埠預設VLAN，
根據埠在轉發報文時對VLAN Tag的不同處理方式，可將埠的鏈路型別分為三種：

• Access：埠只能發送一個VLAN的報文，發出去的報文不帶VLAN Tag，一般用于和不能識別VLAN Tag的用戶終端設備相連，或者不需要區分不同VLAN成員時使用，
• Trunk：埠能發送多個VLAN的報文，發出去的埠預設VLAN的報文不帶VLAN Tag，其他VLAN的報文都必須帶VLAN Tag，通常用于網路傳輸設備之間的互連，
• Hybrid：埠能發送多個VLAN的報文，埠發出去的報文可根據需要配置某些VLAN的報文帶VLAN Tag，某些VLAN的報文不帶VLAN Tag，一般用于相連的網路設備或用戶終端中，部分識別VLAN Tag、部分不識別VLAN Tag的情況，

鏈路型別

vlan的鏈路型別可以分為接入鏈路和干道鏈路，

• （1）接入鏈路（access link）指的交換機到用戶設備的鏈路，即是接入到戶，可以理解為由交換機向用戶的鏈路，由于大多數電腦不能發送帶vlan tag的幀，所以這段鏈路可以理解為不帶vlan tag的鏈路，

• （2）干道鏈路（trunk link）指的交換機到上層設備如路由器的鏈路，可以理解為向廣域網走的鏈路，這段鏈路由于要靠vlan來區分用戶或者服務，所以一般都帶有vlan tag，

埠型別

埠型別在以前主要分為兩種，基本上用的也是access和trunk這兩種埠，

• （1）access埠：它是交換機上用來連接用戶電腦的一種埠，只用于接入鏈路，例如：當一個埠屬于vlan 10時，那么帶著vlan 10的資料幀會被發送到交換機這個埠上，當這個資料幀通過這個埠時，vlan 10 tag 將會被剝掉，到達用戶電腦時，就是一個以太網的幀，而當用戶電腦發送一個以太網的幀時，通過這個埠向上走，那么這個埠就會給這個幀加上一個vlan 10 tag，而其他vlan tag的幀則不能從這個埠上下發到電腦上，

• （2）trunk埠：這個埠是交換機之間或者交換機和上層設備之間的通信埠，用于干道鏈路，一個trunk埠可以擁有一個主vlan和多個副vlan，這個概念可以舉個例子來理解：例如：當一個trunk埠有主vlan 10 和多個副vlan11、12、30時，帶有vlan 30的資料幀可以通過這個埠，通過時vlan 30不被剝掉；當帶有vlan 10的資料幀通過這個埠時也可以通過，如果一個不帶vlan 的資料幀通過，那么將會被這個埠打上vlan 10 tag，這種埠的存在就是為了多個vlan的跨越交換機進行傳遞，
  也可以看出，這兩種鏈路方式恰好對應兩種埠方式，理解起來也不算困難，原理理解了，當看到交換機時，配置幾遍就完全明白了，

• access和truck 主要是區分VLAN中交換機的埠型別
  truck埠為與其它交換機埠相連的VLAN匯聚口,access埠為交換機與VLAN域中主機相連的埠
  trunk一般是打tag標記的,一般只允許打了該tag標記的vlan 通過,所以該埠可以允許多個打tag標記的vlan 通過,而access埠一般是untag不打標記的埠,而且一個access vlan埠只允許一個access vlan通過.

• access,trunk,hybid是三種埠屬性；
  具有access性質的埠只能屬于一個vlan，且該埠不打tag；
  具有trunk性質的埠可以屬于多個vlan，且該埠都是打tag的；
  具有hybid性質的埠可以屬于多個vlan，至于該埠在vlan中是否打tag由用戶根據具體情況而定；

交換機三種埠模式Access、Hybrid和Trunk

埠有三種模式：access，hybrid，trunk，
access性質的埠只能屬于一個vlan，且該埠不打tag，trunk可以屬于多個vlan，可以接收和發送多個vlan的報文，一般用于交換機之間的連接;hybrid也可以屬于多個vlan，可以接收和發送多個vlan的報文，可以用于交換機之間的連接也可以用于交換機和用戶計算機之間的連接，trunk和hybrid的區別主要是，hybrid埠可以允許多個vlan的報文不打標簽，而 trunk埠只允許預設vlan的報文不打標簽，同一個交換機上不能hybrid和trunk并存，

VLAN幀格式

IEEE802.1Q標準，vlan幀的格式

tag報文結構的變化是在源mac地址和目的mac地址之后，加上了4bytes的vlan資訊，也就是vlan tag頭；一般來說這樣的報文普通PC機的網卡是不能識別的 帶802.1Q的幀是在標準以太網幀上插入了4個位元組的標識，其中包含：

• 2個位元組的協議識別符號（TPID)，當前置0x8100的固定值，表明該幀帶有802.1Q的標記資訊，
• 2個位元組的標記控制資訊（TCI），包含了三個域，
• Priority域，占3bits，表示報文的優先級，取值0到7，7為最高優先級，0為最低優先級，該域被802.1p采用，
• 規范格式指示符（CFI)域，占1bit，0表示規范格式，應用于以太網；1表示非規范格式，應用于Token Ring，
• VLAN ID域，占12bit，用于標示VLAN的歸屬，

以太網埠有三種鏈路型別：Access、Hybrid和Trunk

• Access型別的埠只能屬于1個VLAN，一般用于連接計算機的埠；
• Trunk型別的埠可以允許多個VLAN通過，可以接收和發送多個VLAN的報文，一般用于交換機之間連接的埠；
• Hybrid型別的埠可以允許多個VLAN通過，可以接收和發送多個VLAN的報文，可以用于交換機之間連接，也可以用于連接用戶的計算機，
  Hybrid埠和Trunk埠在接收資料時，處理方法是一樣的，唯一不同之處在于發送資料時：Hybrid埠可以允許多個VLAN的報文發送時不打標簽，而Trunk埠只允許預設VLAN的報文發送時不打標簽，

預設VLAN

• Access埠只屬于1個VLAN，所以它的預設VLAN就是它所在的VLAN，不用設定；
• Hybrid埠和Trunk埠屬于多個VLAN，所以需要設定預設VLAN ID，預設情況下，Hybrid埠和Trunk埠的預設VLAN為VLAN 1
  如果設定了埠的預設VLAN ID，當埠接收到不帶VLAN Tag的報文后，則將報文轉發到屬于預設VLAN的埠；
• 當埠發送帶有VLAN Tag的報文時，如果該報文的VLAN ID與埠預設的VLAN ID相同，則系統將去掉報文的VLAN Tag，然后再發送該報文，

注：對于華為交換機預設VLAN被稱為“Pvid Vlan”， 對于思科交換機預設VLAN被稱為“Native Vlan”

交換機介面出入資料處理程序

• Acess埠收報文:
  收到一個報文,判斷是否有VLAN資訊：如果沒有則打上埠的PVID，并進行交換轉發,如果有則直接丟棄（預設）
• Acess埠發報文：
  將報文的VLAN資訊剝離，直接發送出去
• trunk埠收報文：
  收到一個報文，判斷是否有VLAN資訊：如果沒有則打上埠的PVID，并進行交換轉發，如果有判斷該trunk埠是否允許該 VLAN的資料進入：如果可以則轉發，否則丟棄
• trunk埠發報文：
  比較埠的PVID和將要發送報文的VLAN資訊，如果兩者相等則剝離VLAN資訊，再發送，如果不相等則直接發送
• hybrid埠收報文：
  收到一個報文,判斷是否有VLAN資訊：如果沒有則打上埠的PVID，并進行交換轉發，如果有則判斷該hybrid埠是否允許該VLAN的資料進入：如果可以則轉發，否則丟棄(此時埠上的untag配置是不用考慮的，untag配置只對發送報文時起作用)
• hybrid埠發報文：
  – 1、判斷該VLAN在本埠的屬性（disp interface 即可看到該埠對哪些VLAN是untag， 哪些VLAN是tag）
  – 2、如果是untag則剝離VLAN資訊，再發送，如果是tag則直接發送

配置華為交換機的hybrid埠模式：

[Switch-Ethernet0/1]int e0/1
[Switch-Ethernet0/1]port link-type hybrid
[Switch-Ethernet0/1]port hybrid pvid vlan 10
[Switch-Ethernet0/1]port hybrid vlan 10 20 untagged
[Switch-Ethernet0/1] int e0/2
[Switch-Ethernet0/2]port link-type hybrid
[Switch-Ethernet0/2]port hybrid pvid vlan 20
[Switch-Ethernet0/2]port hybrid vlan 10 20 untagged

分析：
此時inter e0/1和inter e0/2下的所接的PC是可以互通的，但互通時資料所走的往返vlan是不同的，

以下以inter e0/1下的所接的pc1訪問inter e0/2下的所接的pc2為例進行說明

pc1所發出的資料，由inter0/1所在的pvid vlan10封裝vlan10的標記后送入交換機，交換機發現inter e0/2允許vlan 10的資料通過，于是資料被轉發到inter e0/2上，由于inter e0/2上vlan 10是untagged的，于是交換機此時去除資料包上vlan10的標記，以普通包的形式發給pc2，此時pc1->p2走的是vlan10

再來分析pc2給pc1回包的程序，pc2所發出的資料，由inter0/2所在的pvid

vlan20封裝vlan20的標記后送入交換機，交換機發現inter e0/1允許vlan 20的資料通過，于是資料被轉發到inter e0/1上，由于inter e0/1上vlan 20是untagged的，于是交換機此時去除資料包上vlan20的標記，以普通包的形式發給pc1，此時pc2->pc1走的是vlan20

Cisco

Cisco 交換機 設備 access、trunk、hybrid 埠的處理流程
為交換機設備上access、trunk、hybrid埠的處理流程：注：資料幀在交換機內部處理時，均帶有vlan tag，
a）access埠
發送（從交換機內部往外發送）：

• 帶有vlan tag：洗掉tag后，發送
• 不帶vlan tag：不可能出現
  接收：
• 帶有vlan tag：若該tag等于該access埠的pvid，則可以接收，進入交換機內部
• 不帶vlan tag：添加該access埠的pvid，進入交換機內部
  b）trunk埠（允許發送native VLAN資料的時候，可以不加tag）
  發送（從交換機內部往外發送）：
• 帶有vlan tag：若tag等于該trunk埠的pvid，則洗掉tag后發送；否則保留tag直接發送
• 不帶vlan tag：不可能出現
  接收：
• 帶有vlan tag：保留該tag，進入交換機內部
• 不帶vlan tag：添加該trunk埠的pvid，進入交換機內部
  c）hybrid埠（允許發送多個VLAN資料的時候，可以不加tag）
  發送（從交換機內部往外發送）：
• 帶有vlan tag：是否帶tag進行發送，取決于用戶配置（用戶可以配置tagged list，untagged list）
• 不帶vlan tag：不可能出現
  接收：
• 帶有vlan tag：保留該tag，進入交換機內部
• 不帶vlan tag：添加該hybrid埠的pvid，進入交換機內部

另外需要注意的是：
（1）Trunk埠不能和isolate-user-vlan同時配置；Hybrid埠可以和isolate-user-vlan同時配置，但如果預設VLAN是在isolate-user-vlan中建立了映射的VLAN，則不允許修改預設VLAN ID，只有在解除映射后才能進行修改，
（2） 本Hybrid埠或Trunk埠的預設VLAN ID和相連的對端交換機的Hybrid埠或Trunk埠的預設VLAN ID必須一致，否則報文將不能正確傳輸，