VLAN（虛擬局域網(wǎng)）的配置是一個(gè)容不得絲毫馬虎的領(lǐng)域。一旦設(shè)置不當(dāng)，輕則導(dǎo)致網(wǎng)絡(luò)性能下降，重則引發(fā)數(shù)據(jù)泄露和安全漏洞，甚至可能使整個(gè)網(wǎng)絡(luò)架構(gòu)陷入混亂。因此，掌握 VLAN 在最基礎(chǔ)層面的工作機(jī)制，是確保網(wǎng)絡(luò)穩(wěn)定、安全運(yùn)行的關(guān)鍵所在。今天我們雖然不會(huì)深入剖析 VLAN 的底層架構(gòu)，但將為您提供一個(gè)全面且清晰的視角，幫助您深入理解 VLAN 的本質(zhì)、運(yùn)行機(jī)制以及如何高效地進(jìn)行配置。

1 什么是VLAN?

VLAN 是“Virtual Local Area Network”（虛擬局域網(wǎng)）的縮寫(xiě)，它是一種實(shí)用技術(shù)，可在交換機(jī)上劃分不同網(wǎng)絡(luò)。傳統(tǒng)網(wǎng)絡(luò)隔離需構(gòu)建多個(gè)獨(dú)立物理網(wǎng)絡(luò)段，如員工和訪客網(wǎng)絡(luò)，讓它們并行運(yùn)行。而 VLAN 技術(shù)可在同一套網(wǎng)絡(luò)基礎(chǔ)設(shè)施上承載多個(gè)邏輯網(wǎng)絡(luò)，實(shí)現(xiàn)高效網(wǎng)絡(luò)劃分與隔離，并允許在物理網(wǎng)絡(luò)設(shè)備上創(chuàng)建虛擬網(wǎng)絡(luò)，顯著提高網(wǎng)絡(luò)資源利用率。

為了更形象地說(shuō)明，我們可以做一個(gè)類(lèi)比：子網(wǎng)是在路由器或“第 3 層設(shè)備”（基于 IP 的設(shè)備）中劃分網(wǎng)絡(luò)的方法，而 VLAN 則在基于 MAC 地址的網(wǎng)絡(luò)中，為第 2 層設(shè)備提供了類(lèi)似功能。它們都旨在通過(guò)邏輯劃分優(yōu)化網(wǎng)絡(luò)架構(gòu)，但 VLAN 更側(cè)重于在交換機(jī)層面實(shí)現(xiàn)網(wǎng)絡(luò)隔離與管理。

VLAN 的實(shí)施規(guī)則和標(biāo)準(zhǔn)由 IEEE（電氣和電子工程師協(xié)會(huì)）在其 IEEE 802.1Q 標(biāo)準(zhǔn)中定義。該標(biāo)準(zhǔn)為 VLAN 的設(shè)計(jì)、配置和互操作性提供明確指導(dǎo)，確保 VLAN 技術(shù)在不同設(shè)備和網(wǎng)絡(luò)環(huán)境下高效、一致運(yùn)行。

2 VLAN實(shí)際上是如何工作的？

如果用最簡(jiǎn)單的方式來(lái)解釋?zhuān)琕LAN 是通過(guò)“標(biāo)簽”來(lái)實(shí)現(xiàn)其功能的。這些標(biāo)簽就像是給數(shù)據(jù)幀貼上的“小便簽”，它們由幾個(gè)額外的字節(jié)組成，其中包含了諸如 VLAN 成員資格等關(guān)鍵信息。

普通以太網(wǎng)幀

普通以太網(wǎng)幀是傳統(tǒng)二層網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)幕締卧?，其結(jié)構(gòu)由固定頭部、負(fù)載數(shù)據(jù)及校驗(yàn)字段構(gòu)成。幀的頭部包含目的地址（6字節(jié)，目標(biāo)設(shè)備的MAC地址）和源地址（6字節(jié)，發(fā)送設(shè)備的MAC地址），用于標(biāo)識(shí)通信端點(diǎn)；緊隨其后的長(zhǎng)度/類(lèi)型字段（2字節(jié)）定義數(shù)據(jù)長(zhǎng)度或上層協(xié)議類(lèi)型（如IPv4/IPv6）；數(shù)據(jù)字段（46-1500字節(jié)）承載實(shí)際傳輸內(nèi)容（如用戶數(shù)據(jù)或控制信息）；末尾的幀校驗(yàn)序列（FCS）（4字節(jié)）通過(guò)CRC算法驗(yàn)證數(shù)據(jù)完整性，防止傳輸錯(cuò)誤。整個(gè)幀的總長(zhǎng)度范圍為64至1518字節(jié)，這種設(shè)計(jì)既滿足高效傳輸需求，又兼容網(wǎng)絡(luò)設(shè)備的最小幀長(zhǎng)限制。由于不含VLAN標(biāo)簽，普通以太網(wǎng)幀僅能在單一廣播域內(nèi)傳輸，適用于未劃分邏輯隔離的傳統(tǒng)網(wǎng)絡(luò)環(huán)境。

帶VLAN標(biāo)簽的以太網(wǎng)幀

帶VLAN標(biāo)簽的以太網(wǎng)幀通過(guò)擴(kuò)展傳統(tǒng)幀結(jié)構(gòu)，在源地址后插入4字節(jié)字段，構(gòu)建出兼具邏輯隔離與流量管控能力的二層通信機(jī)制。該標(biāo)簽包含四個(gè)部分：TPID（2字節(jié)）以固定值 0x0811 聲明遵循802.1Q標(biāo)準(zhǔn)協(xié)議；PRI（3比特）劃分0-7級(jí)優(yōu)先級(jí)，為語(yǔ)音、視頻等實(shí)時(shí)業(yè)務(wù)提供QoS保障；CFI（1比特）通過(guò)置零標(biāo)識(shí)以太網(wǎng)格式，確保與傳統(tǒng)網(wǎng)絡(luò)兼容；核心的VID（12比特）則承載1-4094范圍的VLAN ID，如同虛擬網(wǎng)絡(luò)的“數(shù)字身份證”，精準(zhǔn)引導(dǎo)交換機(jī)將數(shù)據(jù)幀路由至對(duì)應(yīng)邏輯通道。借助這一設(shè)計(jì)，單一物理網(wǎng)絡(luò)可被切割為多個(gè)并行虛擬網(wǎng)絡(luò)——例如隔離財(cái)務(wù)系統(tǒng)與訪客Wi-Fi，或?yàn)镮oT設(shè)備單獨(dú)劃分廣播域。既保留硬件資源共享的成本優(yōu)勢(shì)，又通過(guò)VID映射實(shí)現(xiàn)流量隔離、資源優(yōu)化與安全管理，最終達(dá)成靈活組網(wǎng)與風(fēng)險(xiǎn)控制的雙重目標(biāo)。

實(shí)際工作原理

要了解 VLAN 在實(shí)際中的工作原理，可以想象在交換機(jī)內(nèi)設(shè)置 VLAN 時(shí)創(chuàng)建了一條數(shù)據(jù)流量通道。每條通道相互獨(dú)立、并行運(yùn)行，并連接到分配給該通道的不同端口?！胺峙涞酵ǖ馈本褪俏覀兯f(shuō)的 VLAN 成員資格，如下圖所示：

您可以清晰地看到，這些數(shù)據(jù)流量通道貫穿整個(gè)交換機(jī)，并最終連接到那些被分配了相應(yīng) VLAN 成員資格的端口。這意味著，當(dāng)一個(gè)數(shù)據(jù)幀通過(guò)特定的 VLAN 進(jìn)入交換機(jī)后，它能夠與任何屬于該 VLAN 的端口進(jìn)行通信。

VLAN 入站流量

那么，一個(gè)數(shù)據(jù)幀究竟是如何被分配到 VLAN 10、20 或 30 的呢？決定入站幀被分配到哪個(gè)VLAN的關(guān)鍵在于該幀是否已被其源設(shè)備標(biāo)記了 VLAN 標(biāo)簽。如果幀帶有 VLAN 標(biāo)簽，交換機(jī)會(huì)讀取其中的 VLAN ID（VID）。若該 VID 與交換機(jī)端口的 VLAN 成員資格匹配，幀便能順利“駛?cè)胂鄳?yīng)通道”。而更引人關(guān)注的是那些完全未標(biāo)記的以太網(wǎng)幀。此時(shí)，所謂的 PVID（基于端口的 VLAN ID）開(kāi)始發(fā)揮作用。PVID 負(fù)責(zé)選擇正確的通道，將未標(biāo)記且入站的幀放置到通道上——PVID 只在符合這兩個(gè)標(biāo)準(zhǔn)的幀上起作用。例如，若某個(gè)端口的 PVID 被設(shè)置為 1，那么所有未標(biāo)記的入站流量都將被分配到 VLAN 1，相當(dāng)于被引導(dǎo)“駛?cè)胪ǖ?#1”。

默認(rèn)情況下，所有網(wǎng)絡(luò)設(shè)備端口和交換機(jī)都預(yù)設(shè)為 PVID 1，并且屬于 VLAN 1（未標(biāo)記）。這意味著，如果你將一臺(tái)計(jì)算機(jī)連接到交換機(jī)上，而沒(méi)有進(jìn)行任何手動(dòng)配置，且該交換機(jī)連接到網(wǎng)關(guān)，那么憑借 PVID 1 和 VLAN 1 未標(biāo)記成員資格的默認(rèn)設(shè)置，這些設(shè)備能夠立刻相互通信。因?yàn)檫@些默認(rèn)設(shè)置將它們置于同一網(wǎng)絡(luò)之中。讓我們?cè)賮?lái)看一個(gè)可視化示例：

當(dāng)PC向網(wǎng)關(guān)發(fā)送流量時(shí)，下層交換機(jī)端口的PVID=1會(huì)將未標(biāo)記流量分配至VLAN 1的“虛擬通道”。由于上層交換機(jī)端口（連接網(wǎng)關(guān)的端口）同樣屬于VLAN 1的未標(biāo)記成員，數(shù)據(jù)幀在轉(zhuǎn)發(fā)時(shí)會(huì)移除VLAN標(biāo)簽（VID=1），確保網(wǎng)關(guān)能夠接收此流量。

網(wǎng)關(guān)處理完請(qǐng)求后，返回的響應(yīng)幀同樣不帶標(biāo)簽。此時(shí)，上層交換機(jī)端口的PVID=1會(huì)再次將未標(biāo)記幀歸入VLAN 1通道，并向下轉(zhuǎn)發(fā)至PC連接的端口。由于下層端口也屬于VLAN 1的未標(biāo)記成員，交換機(jī)在發(fā)送前移除標(biāo)簽，使PC能夠正常解析數(shù)據(jù)幀。

流量路徑解析

PC → 交換機(jī)：

PC發(fā)送未標(biāo)記幀 → 交換機(jī)根據(jù)端口PVID=1分配至VLAN 1 → 檢查目標(biāo)地址并轉(zhuǎn)發(fā)。

交換機(jī) → 網(wǎng)關(guān)：

交換機(jī)剝離VLAN 1標(biāo)簽 → 發(fā)送未標(biāo)記幀至網(wǎng)關(guān) → 網(wǎng)關(guān)按默認(rèn)VLAN 1處理。

反向通信：

網(wǎng)關(guān)返回未標(biāo)記幀 → 交換機(jī)通過(guò)PVID=1分配至VLAN 1 → 轉(zhuǎn)發(fā)至PC。

3. 總結(jié)

通過(guò)本文的深入探討，您應(yīng)該已經(jīng)對(duì) VLAN 的核心概念、運(yùn)作機(jī)制及配置要點(diǎn)有了更為透徹的洞察。把握 VLAN 的關(guān)鍵原理，尤其是其如何借助標(biāo)簽與 PVID 機(jī)制在同一套物理網(wǎng)絡(luò)架構(gòu)中巧妙劃分出多個(gè)邏輯網(wǎng)絡(luò)，是實(shí)現(xiàn)網(wǎng)絡(luò)安全防護(hù)與資源高效利用的關(guān)鍵所在。深刻理解這些原理，將賦予您在實(shí)際網(wǎng)絡(luò)部署中精準(zhǔn)配置與高效管理 VLAN 的能力，從而保障網(wǎng)絡(luò)的穩(wěn)健運(yùn)行與安全防護(hù)。盡管本文僅觸及 VLAN 廣袤知識(shí)領(lǐng)域的一隅，但愿它能為您真正吃透 VLAN 本質(zhì)、厘清 PVID 與 VLAN 成員資格的差異提供堅(jiān)實(shí)起點(diǎn)，助力您在 VLAN 配置與管理的征途中穩(wěn)步前行。

這里是專(zhuān)注于工業(yè)通信技術(shù)的HMS，更多工業(yè)物聯(lián)網(wǎng)洞察和技術(shù)知識(shí)可關(guān)注公眾號(hào)：HMS工業(yè)網(wǎng)絡(luò)，業(yè)內(nèi)大咖都在看！我們立志幫助您解決工業(yè)通信、設(shè)備連接PLC、不同設(shè)備集成控制的通信問(wèn)題，有問(wèn)題歡迎私信哦！