6.13 使用二层交换机切分网络（VLAN）

📄 一句话概括

VLAN（虚拟局域网）＝用配置把一台二层交换机切成多台"虚拟交换机"：端口分组、各组一个独立的广播域，组内照常互通、组间彻底隔离。本质是逻辑切分——不买设备、不动布线，改配置就能改网络形状；靠 802.1Q 标签在交换机之间认路，跨 VLAN 通信则要交给三层设备（6.12 的 SVI）。

📝 本节和前面几节的关系

5.9~5.14 讲二层交换机时反复出现"一台交换机就是一个广播域"，泛洪时的广播人人都得听。本节就是回答"能不能把这一台拆成几台"——能，靠 VLAN。5.6 讲帧格式时留下的"最大 1522 字节"伏笔，本节揭晓出处。6.12 讲的 SVI 虚拟网关，正是为这里切出来的每个 VLAN 当门牌。

一、为什么要把网络切开：一个大广播域的三个麻烦

二层交换机泛洪时，广播帧会送到除来源外的所有端口（5.11）——广播域越大，麻烦越明显：

白干活：ARP 请求、DHCP 发现这类广播，交换机上每台设备都得收下、看一眼、再丢掉。几百台机器的网络里，这类无关广播会持续占带宽、耗 CPU（就是 5.16 说的"满格却卡"的另一张脸）。
不设防：同一广播域内的设备可以直接互相尝试访问。访客机、财务机、打印机挤在一个域里，谁都能敲敲门。
不灵活：想按部门隔离，传统做法是再买一台交换机、重新布线——改一次组织架构就要动一次墙。

需求很清楚：隔离要能按"逻辑"来做，而不是按"物理位置"来做。

二、VLAN：一台设备当多台用（第一张配图）

VLAN = Virtual LAN，虚拟局域网。做法很朴素：把交换机的端口分成若干组，每组配一个 VLAN 号。

一台 24 口交换机切成 VLAN 10 / 20 / 30 → 端口 1~8、9~16、17~24 各成一体；
组内：同 VLAN 之间照常转发（MAC 表、泛洪那一套全部照旧）；
组间：跨 VLAN 的帧交换机不转发——哪怕两台电脑的网线插在相邻两口、IP 配成同一个网段，也通不了。隔离在二层就做绝了；
于是一台物理设备，逻辑上变成了三台互不打扰的交换机。

按端口划分（静态 VLAN）最常用也最直白。也可以按 MAC 地址、按协议等自动归类（动态 VLAN），但"按口分"最好管：人换座位，改配置就行。

三、怎么切：两种角色不同的端口

配 VLAN 时，端口会扮演两种角色：

角色	接谁	带几个 VLAN	标签怎么处理
Access 口（接入链路）	电脑、打印机、AP 等终端	只属于1 个 VLAN	进：交换机打标签；出：交换机剥标签
Trunk 口（干道链路）	交换机、路由器、三层设备	同时承载多个 VLAN	帧带着标签过去，靠标签认路

Trunk 的用处一眼可见：同一 VLAN 可以跨多台交换机延伸——A 楼和 B 楼的交换机用 Trunk 口对接，研发部的人在两栋楼各有一半端口，但仍然是同一个广播域。这就是 VLAN 最值钱的地方：网段跟着人走，不跟着墙走。

VLAN 号的范围：802.1Q 规定 VLAN ID 是 12 位 → 最多 4094 个可用（1 常作默认 VLAN，4094/4095 有保留用途）。

四、帧上要带路条：802.1Q 标签（第二张配图）

交换机之间怎么一眼认出"这一帧属于哪个 VLAN"？答案是往帧里插一个标签：

位置：源 MAC 与类型字段之间，插入 4 字节；
内容：2 字节 TPID（0x8100） 表示"这是 802.1Q 帧" + 2 字节 TCI（其中 12 位就是 VLAN ID）；
结果：普通以太帧最大 1518 字节 → 加上这 4 字节变成 1522 字节。

对上了——5.6 讲帧格式时那个"1522 字节"的出处就在这里。

两个易漏的细节：

标签只在 Trunk 链路和交换机内部有意义；到 Access 口发往终端前会被剥掉——电脑的网卡根本不认识标签，VLAN 对终端完全透明；
这 4 字节算在帧长里，仍受最小帧 64 字节、MTU 1500 那一套规矩约束（5.6）。

五、切完不是终点：跨 VLAN 还得靠三层

VLAN 负责隔开，不负责连通。要让它俩通，必须请三层设备出面（6.12）：

三层交换机：给每个 VLAN 配一个 SVI 虚拟接口当网关，机内完成跨 VLAN 转发（快，主流做法）；
路由器（单臂路由）：一个物理口切多个子接口当各 VLAN 的网关（老做法，容易成瓶颈）。

工程上还有个固定习惯：一个 VLAN 配一个 IP 子网（3.11 的掩码）。但要分清概念——

VLAN 是二层概念（广播域），子网是三层概念（IP 网段）。 习惯上一一对应、便于管理，但两者不是同一回事：一个是"隔墙"，一个是"门牌"。

六、动手 Demo83：在家也能看到 VLAN

登录家用路由器管理页（6.2 Demo72），找 "IPTV / 机顶盒专用口" 或 "VLAN 设置"——把某个 LAN 口划给 IPTV，本质就是给这个口单独分了一个 VLAN。这就是 VLAN 的民用版。
30 秒实验：把你电脑的网线插到那个标着 IPTV 的口上，再看 ipconfig——拿不到原来网段的地址（要么是 169.254 的"没谈成"地址，要么是另一个网段）。同一台路由器、相邻的网口，网段却变了，这就是 VLAN 在干活。
插回普通 LAN 口，敲 ipconfig /all 仔细看——看不到任何 VLAN 相关信息。VLAN 对终端完全透明，这是它的设计目标，不是你哪里配错了。
单位/学校交换机（有账号的话）：
show vlan brief → VLAN 表：哪个 VLAN 有哪些端口；
show interfaces trunk → 干道口：哪些口在承载多个 VLAN。
30 秒推演：同一间办公室里，相邻两台电脑插在同一台交换机上，一个划进 VLAN 10、一个划进 VLAN 20——它们 ping 不通，哪怕 IP 配成同网段也没用（二层不给转发）。而插在同一 VLAN 里的两台，隔几栋楼也照样通。
全部完成。你现在能说清：VLAN 切的是什么、标签在哪加、终端为什么感觉不到。

七、常见误区

"VLAN 是路由器/三层设备的功能"——VLAN 是二层交换机的功能，一台普通二层交换机就能切；三层设备的作用是让切开的 VLAN 能互通。
"划 VLAN 要买新设备或重新布线"——纯配置动作，物理连接一根都不用动。
"VLAN 之间默认能通"——默认不通，这是它隔离的意义所在；要通就得加三层设备。
"VLAN 就是子网"——层次不同：VLAN 是二层广播域（隔墙），子网是三层 IP 网段（门牌）。工程上习惯一一对应，但概念不能混。
"标签是电脑打上去的"——终端不认标签；打标签、剥标签都发生在交换机的 Access 口进出处。
"VLAN 能防住所有攻击"——它只隔离广播域。同一个 VLAN 内部的横向攻击（比如 ARP 欺骗）它管不了，还得靠端口安全、私有 VLAN、ACL 这些手段。
"VLAN 号想设多大都行"——12 位，最多 4094 个可用。

八、动手自测

点开自测（先自己答，再展开）

1. 一个大广播域有哪三个麻烦？ 2. VLAN 切的是"物理"还是"逻辑"？切完之后一台交换机变成了什么？ 3. 相邻两口的两台电脑，一个 VLAN 10、一个 VLAN 20，IP 配成同网段能通吗？为什么？ 4. Access 口和 Trunk 口分别接什么、承载几个 VLAN？ 5. 要让同一 VLAN 跨两栋楼延伸，两头用什么口对接？ 6. 802.1Q 标签插在哪里、几字节？为什么"1522 字节"要感谢它？ 7. 为什么电脑上看不到 VLAN 的任何信息？ 8. VLAN 号最多有多少个可用？ 9. 跨 VLAN 通信要靠什么设备？两种常见做法是什么？ 10. VLAN 和子网在概念上怎么区分？

答案：① 广播白耗资源、设备之间不设防、按部门隔离只能靠重复布线。② 逻辑；一台物理交换机变成多台互不打扰的虚拟交换机（多个独立广播域）。③ 不通。二层交换机不跨 VLAN 转发，配成同网段也没用。④ Access 口接终端、只属 1 个 VLAN（进出各打/剥标签）；Trunk 口接交换机或三层设备、承载多个 VLAN（帧带标签过）。⑤ Trunk 口（干道链路）。⑥ 插在源 MAC 与类型之间，4 字节；1518 + 4 = 1522，正是 5.6 里以太帧最大长度的两个数字。⑦ 标签在 Access 口出方向会被剥掉，终端网卡不认识标签，VLAN 对终端透明。⑧ 12 位 → 4094 个可用。⑨ 三层设备；三层交换机配 SVI（主流）或路由器做单臂路由（老做法）。⑩ VLAN 是二层概念（广播域、隔墙），子网是三层概念（IP 网段、门牌）；工程上习惯一个 VLAN 对应一个子网。

九、下一步学什么

☑ 6.14（按教材顺序） —— 使用VLAN的好处（使用VLAN的好处） ✅ 已完成：本节把 VLAN 的账算完——切开之后到底赚到什么（广播域变小 / 天然隔离 / 位置自由 / 省钱省线好排障，四笔同源）、边界在哪（只隔广播域不是防火墙 / 逻辑隔离非物理 / 切太碎反而慢）。