VLAN基础：从物理隔离到逻辑隔离的进化
各位同学，今天我们来聊聊VLAN。说实话，VLAN这个概念在刚入行时，我也觉得挺绕的。但后来我发现，搞懂它，你的网络设计能力会上一个台阶。
VLAN，全称是Virtual Local Area Network，虚拟局域网。说白了，就是把一个物理网络，切成多个逻辑网络。为什么要这么做？我举个例子你就明白了。
核心思想：VLAN让不同部门、不同业务的数据包，在同一个交换机上互不干扰。就像一栋楼里，不同公司租了不同楼层，电梯虽然共用，但门禁卡只能刷到自己那一层。
VLAN的定义与作用
VLAN的定义其实很简单：它是一组逻辑上的设备或用户，这些设备或用户并不受物理位置的限制。你可以把分布在办公楼不同角落的财务部员工，全部划到同一个VLAN里。
它的作用，我总结为三点：
- 广播隔离：没有VLAN时，一个广播包能传遍整个网络。有了VLAN，广播只在本VLAN内传播。我记得有一次，客户公司网络卡得要命，一查发现ARP广播风暴，整个二层网络都在吼。划分VLAN后，问题立刻解决。
- 安全隔离：不同VLAN之间默认不能通信。财务部的数据，研发部看不到。我在项目中遇到过，某公司要求财务服务器只能被财务部访问，用VLAN一隔，再配合ACL，完美解决。
- 灵活管理：员工换座位，不用换网线。只要把新端口划到对应VLAN，网络配置自动生效。你想想看，几百人的公司，如果每次搬家都要重新布线，那得多崩溃。
我的个人习惯：在设计VLAN时，我会预留VLAN 1作为管理VLAN，但从不把用户数据放在VLAN 1里。为什么？因为VLAN 1是默认VLAN，很多攻击都盯着它。避坑指南：我曾经见过有人把所有端口都放在VLAN 1，结果一个环路故障，全网瘫痪。嗯，这里要注意。
Access端口与Trunk端口的区别
这两个端口类型，是VLAN配置中的核心概念。很多新手搞混，其实区分起来很简单。
| 特性 | Access端口 | Trunk端口 |
|---|---|---|
| 用途 | 连接终端设备（PC、打印机、服务器） | 连接交换机之间、交换机与路由器 |
| VLAN成员 | 只属于一个VLAN | 可以承载多个VLAN |
| 数据帧格式 | 不带标签（Untagged） | 带802.1Q标签（Tagged） |
| 典型配置 | port access vlan 10 | port trunk allow-pass vlan 10 20 30 |
我简单解释一下：
- Access端口：就像小区的大门，只认一个门牌号。数据包进出时，交换机负责打标签或剥标签。终端设备根本不知道VLAN的存在。我建议，所有连接PC的端口都用Access模式，简单可靠。
- Trunk端口：就像高速公路，可以同时跑多个车道的车。数据包带着VLAN标签在交换机之间传输。我曾经在配置Trunk时，忘了允许某个VLAN通过，结果那个VLAN的用户全断网了。排查了半天，才发现是Trunk端口没放行。
避坑指南：我曾经见过有人把Trunk端口配置成Access，结果两个交换机之间只能传一个VLAN的数据。还有一次，有人把Access端口配置成Trunk，终端设备收到带标签的数据帧，直接丢弃，导致无法上网。记住：Access端口是给终端用的，Trunk端口是给交换机之间用的。
VLAN的划分方式
VLAN怎么划分？主要有三种方式。每种方式都有适用场景，我分别说说。
1. 基于端口划分
这是最常用、最简单的方式。你把交换机的某个端口，指定给某个VLAN。比如，端口1-10划给VLAN 10，端口11-20划给VLAN 20。
# 华为交换机配置示例
[Huawei] vlan batch 10 20
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] port link-type access
[Huawei-GigabitEthernet0/0/1] port default vlan 10
优点：配置简单，管理直观。缺点：用户换端口，VLAN就变了。我在项目中遇到过，某公司员工经常换座位，每次都要改端口配置，很麻烦。后来我建议他们改用基于MAC的划分。
2. 基于MAC地址划分
这种划分方式，是根据设备的MAC地址来分配VLAN。无论设备插到哪个端口，只要MAC地址在列表里，就自动划到对应VLAN。
# 华为交换机配置示例
[Huawei] vlan 10
[Huawei-vlan10] mac-vlan mac-address 00e0-fc12-3456
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] mac-vlan enable
优点：用户移动性高，插哪都能用。缺点：MAC地址维护工作量大，而且MAC地址可以被伪造。我个人习惯，只在终端数量少、且对移动性要求高的场景使用。比如，会议室里的无线AP，用MAC划分VLAN就很方便。
3. 基于协议划分
这种划分方式，是根据数据包的三层协议类型来划分VLAN。比如，IP流量走VLAN 10，IPX流量走VLAN 20。现在IPX基本绝迹了，所以这种方式用得很少。
说实话，我在实际项目中几乎没见过基于协议划分的VLAN。因为现在网络基本都是IP协议，划分的意义不大。但如果你在维护一些老旧的工业网络，可能会遇到。
我的建议：对于绝大多数企业网络，基于端口划分VLAN就足够了。如果员工流动性大，可以考虑基于MAC划分。至于基于协议划分，了解一下就行，实际用到的概率很低。
好了，VLAN的基础知识就讲到这里。下一章，我们会聊聊VLAN间路由，也就是如何让不同VLAN之间互相通信。你想想看，如果财务部和研发部需要共享一台打印机，但它们在两个不同的VLAN里，该怎么办？嗯，这就是我们下一章要解决的问题。