虚拟局域网

虚拟局域网（Virtual LAN，VLAN）是在桥接网络中划分逻辑二层广播域的机制，属于以太网交换与桥接的组织方式，不是虚拟专用网络（VPN）。IEEE 802.1Q规范体系规定了支持VLAN的桥接网络。交换机据帧所属的VLAN进行转发，使一个组的广播不会仅因共用交换硬件就进入另一个组。

设办公室有A、B两组终端，分别放入VLAN 10和VLAN 20。同一台交换机可以同时服务两组；如果两台交换机之间正确传送这两个VLAN，分处两台设备的A组终端仍可属于同一广播域。因此，机箱、楼层或网线的位置不直接定义VLAN边界，端口成员关系和链路配置才决定逻辑分组。

参考：[1] [2]

连接普通终端的接入端口通常收发无标签帧，由端口配置把收到的帧归入指定VLAN。连接交换设备或路由设备的干道链路则可承载多个VLAN；802.1Q标签让接收端区分帧属于哪个逻辑网络，避免把共用链路误当作同一广播域。

带标签链路并不意味着线上所有帧必然带标签。某些配置通过本征VLAN处理无标签流量，两端设置必须相互一致。标签中的VLAN标识用于二层分类，不是终端IP地址，也不会自动告诉路由器该组使用什么IP前缀。允许通过哪些VLAN、无标签流量归入哪一组，都需要明确配置。

参考：[2] [3] [4]

可以为A组配置10.10.10.0/24，为B组配置10.10.20.0/24，并让各自网关位于相应VLAN。这是常见的一个VLAN配一个IP子网的设计，不表示VLAN编号和IP子网在概念上相等。仅把终端地址改成同一前缀，不能消除已经建立的二层隔离；同样，VLAN 10也没有必须使用某个特定地址段的含义。

A组访问B组时，可先把IP数据包交给本组网关，由路由器或具备三层功能的交换机选择出接口，再在B组所在VLAN中发送。外部路由器可以通过一条干道上的不同子接口分别接入两组。干道负责共同承载二层流量，路由功能负责跨网段转送，两者不能相互替代；是否允许跨组访问，还取决于相应的访问控制策略。

参考：[2] [3]

VLAN有助于限制广播范围并组织网络，但其效果依赖接入成员、干道允许列表、本征VLAN及三层策略等配置。以Linux桥接实现为例，VLAN过滤默认关闭；启用后，转发判断才同时考虑MAC地址与VLAN信息。因此，不能看到帧上存在标签，就推定设备已经按预期执行隔离。

标签标明所属网络，并不隐藏帧的内容，也不替代身份认证、端点防护或通信加密。错误地把端口加入另一组，或在网关放行不应通过的流量，都可能破坏原有分组意图。VLAN解决的是二层网络如何分组的问题，而不是单独构成一套完整安全方案。

参考：[3] [4]