VLAN 与 Trunk：有序组织交换网络

VLAN 划分二层广播域。接入端口将终端流量归入一个 VLAN；802.1Q Trunk 链路承载多个 VLAN。VLAN 间通信需要路由和明确设计的安全规则。

VLAN 隔离广播域

在没有额外分段的情况下，同一 VLAN 中的端口共享一个广播域。较小的广播域有助于组织管理，并限制广播流量和故障影响范围。逻辑分组可以依据通信需求，而不必由物理布线位置决定。

接入端口将无标签的终端流量归入一个 VLAN。Trunk 使用 IEEE 802.1Q 标签传输多个获准 VLAN 的帧；本征 VLAN 是否不带标签，取决于配置。这个四字节标签位于源 MAC 地址与类型字段之间，携带范围为 1–4094 的 VLAN ID。

即使位于同一台物理交换机，不同 VLAN 的设备也需要三层路由才能通信。只有存在控制 VLAN 间流量的规则时，分段才成为安全措施。应围绕必要通信规划服务器、用户、管理、语音和访客网络，而不只是按部门划分。

终端可以发送普通以太网帧，由交换机为其指定接入 VLAN；网络设备之间的链路则可以承载多个 VLAN。以下 Cisco 风格示例用于说明配置，只应应用到预定接口和已经约定的网络设计。

接入端口：interface Gi0/1 → switchport mode access → switchport access vlan 10
Trunk 端口：interface Gi0/24 → switchport mode trunk → switchport trunk allowed vlan 10,20

两端的 Trunk 模式、本征 VLAN 和允许 VLAN 列表应一致。某个 VLAN 如果未被 Trunk 允许，可能只在部分网络中可用。本征 VLAN 不匹配可能造成警告、流量误分类和安全问题。不要在没有需要时，让每条 Trunk 都承载所有 VLAN。

许多环境会限制 VLAN 1 和自动 Trunk 协商。应禁用未使用的接入端口，并将其放入未使用的 VLAN。管理访问应位于独立、受控的网络。

检查 VLAN 是否存在、端口模式、接入 VLAN、Trunk 允许列表和生成树状态。MAC 表应显示终端位于预期的 VLAN 与端口。如果缺少条目，可能是帧没有到达，或在更早位置被丢弃。

ping 不是完整的 VLAN 测试，因为路由、ACL 和主机防火墙也会影响结果。抓包和针对性的二层检查，有助于将分段问题与更高层的故障分开。

VLAN 自动就是一个安全区域吗？

它隔离二层广播域。安全还需要受控路由、防火墙规则、安全的交换机配置，以及适当的终端防护。

什么是本征 VLAN？

在 802.1Q Trunk 上，这个 VLAN 的流量通常不带标签发送。两端必须对其归属采用一致配置。