VLAN是一种网络技术。它的全称是虚拟局域网。网络设备很多。电脑、打印机、服务器都需要连接。传统网络把所有设备放在一个广播域。广播域就像一个大房间。房间里的人大声说话。所有人都能听见。设备发送广播信息时也这样。所有设备都会收到。网络设备越来越多。广播信息变得很多。网络变得拥挤。网络效率降低。我们需要管理网络。我们需要隔离广播。物理隔离是一个方法。我们用路由器或更多交换机。但这样成本很高。布线也很麻烦。VLAN技术解决这个问题。它在交换机上创建虚拟网络。这些虚拟网络是逻辑的。它们不依赖物理位置。同一台交换机的设备可以划分到不同VLAN。不同交换机的设备可以划分到同一VLAN。VLAN基于逻辑划分。不是基于物理连线。这很灵活。

VLAN如何工作。交换机有端口。每个端口可以分配一个VLAN编号。比如VLAN10，VLAN20。连接端口的设备就属于那个VLAN。同一VLAN的设备可以互相通信。就像在一个小房间里。不同VLAN的设备不能直接通信。就像在不同房间。他们听不见对方广播。广播信息只在本VLAN内传播。这减少了不必要的流量。网络变得干净。我们想让他们通信就需要路由器。路由器连接不同VLAN。它就像一扇门。打开门，房间之间才能来往。这就是VLAN间路由。

VLAN的类型有很多。基于端口的VLAN最常见。管理员手动设置端口属于哪个VLAN。设备插在哪个端口就属于哪个VLAN。这很直接。管理也方便。基于MAC地址的VLAN是另一种。它看设备的MAC地址。MAC地址是网卡的身份证。交换机根据MAC地址决定VLAN。设备换端口也没关系。VLAN身份跟着设备走。这适合移动办公。基于协议的VLAN也有。它根据数据包类型划分。比如IP数据包归一个VLAN。IPX数据包归另一个VLAN。现在用得不多。基于子网的VLAN也有。它看设备的IP地址。同一个IP子网就在同一个VLAN。这需要设备配置好IP。它和网络层关联更紧。

VLAN的好处很明显。它提高网络性能。广播域被分割变小。广播流量局限在小范围。网络带宽更有效利用。它增强网络安全。不同部门可以放在不同VLAN。财务部一个VLAN。技术部一个VLAN。他们之间默认隔离。敏感数据不容易泄露。除非设置允许通信。它简化网络管理。添加移动设备变得容易。员工换工位。网络插头换到新位置。如果基于端口VLAN，管理员要改设置。如果基于MAC地址VLAN，设备自动进入正确VLAN。管理员工作变少。它降低网络成本。以前需要很多路由器隔离。现在一台交换机支持多个VLAN。节省了硬件开支。

VLAN技术需要一些协议支持。重要的协议是IEEE802.1Q。这是通用标准。它给数据帧打标签。数据帧是网络中传输的数据块。标签里包含VLAN信息。交换机之间需要传递带VLAN的数据。普通数据帧没有VLAN信息。802.1Q在数据帧头插入一个标签。标签有四字节。其中12位表示VLANID。VLANID范围是1到4094。这足够一般网络使用。交换机识别这个标签。知道数据属于哪个VLAN。然后做出转发决定。另一个协议是ISL。它是思科早期的私有协议。现在用得少了。802.1Q是行业标准。

配置VLAN的步骤不复杂。我们有一台交换机。首先创建VLAN。给VLAN起个名字。比如VLAN10叫“办公室”。VLAN20叫“会议室”。然后分配端口。进入端口配置模式。设置端口为接入模式。指定它属于VLAN10。连接这个端口的电脑就进入“办公室”VLAN。交换机之间连接需要干道端口。干道端口传递多个VLAN的数据。它必须支持802.1Q标签。我们设置端口为干道模式。允许哪些VLAN通过可以指定。所有VLAN都通过也可以。这样VLAN就跨交换机延伸了。

VLAN设计中要考虑一些问题。VLAN1是默认VLAN。所有端口初始在VLAN1。最好不用它。因为不安全。我们新建VLAN用于管理。管理VLAN专门管理交换机。这样更安全。VLAN划分要有计划。按部门划分是常见做法。销售部一个VLAN。研发部一个VLAN。按功能划分也可以。服务器单独一个VLAN。摄像头单独一个VLAN。网络打印机单独一个VLAN。规划好IP地址。每个VLAN通常对应一个子网。比如VLAN10用192.168.10.0/24。VLAN20用192.168.20.0/24。这样不容易混乱。

三层交换机很重要。传统路由器做VLAN间路由。但路由器速度有时跟不上。三层交换机有路由功能。它内部实现VLAN间转发。速度很快。现在企业网常用三层交换机。它成为网络核心。我们配置VLAN接口。每个VLAN有一个虚拟接口。我们叫它SVI。给SVI配置IP地址。这个地址就是该VLAN的网关。VLAN内的设备把网关设为这个地址。数据要出去，就发给网关。三层交换机查看路由表。决定转发到哪个VLAN。这样通信就完成了。

VLAN技术还在发展。私有VLAN提供更细隔离。同一个VLAN内的端口也可以隔离。它们只能和上行端口通信。这用在酒店或公共场所。客人之间不能互访。但都能上网。这增加了安全性。动态VLAN配合认证服务器。用户登录时，服务器告诉交换机该用户属于哪个VLAN。这非常灵活。无线网络也用VLAN。无线接入点支持多个SSID。每个SSID映射到一个VLAN。客人连客人WiFi，进入一个VLAN。员工连内部WiFi，进入另一个VLAN。数据就分开了。

VLAN是网络的基础。它不神秘。它就是逻辑分组。它让网络结构更清晰。它让管理更轻松。它让网络更安全。学习网络技术必须理解VLAN。实际工作中大量使用VLAN。没有VLAN，大型网络很难管理。我们配置交换机时经常配置VLAN。这是网络工程师的基本技能。了解原理，动手配置，就能掌握。VLAN技术本身不复杂。但它的思想影响很大。虚拟化思想也用在其他地方。比如虚拟专用网。比如虚拟服务器。逻辑隔离，物理共享。这是现代计算的重要理念。