VLAN（虚拟局域网）

VLAN(Virtual Local Area Network,虚拟局域网)是一种在数据链路层把一个物理局域网从逻辑上划分成多个相互隔离的广播域的技术,让共用同一批交换机和网线的设备,表现得像处在各自独立的网络中。

概述

在传统局域网里,接在同一台交换机上的所有设备都属于同一个广播域:任何一台设备发出的广播包,其他设备都会收到。设备一多,广播流量会拖累网络性能,而且任何两台设备之间默认都能互相访问,存在安全隐患。VLAN 的思路是「物理上一张网,逻辑上多张网」——通过给交换机端口或数据帧打上 VLAN 标签,把设备分进不同的虚拟网络,彼此的广播和直接通信被隔断。

划分 VLAN 后,不同 VLAN 之间如需通信,必须经过路由器或三层交换机转发,管理员可以在这个转发点上设置访问控制策略。相关的帧标签机制由 IEEE 802.1Q 标准定义,俗称「打 Tag」,是目前最通用的 VLAN 实现方式,交换机之间承载多个 VLAN 的链路通常称为 Trunk(干道)。

主要特点

• 逻辑隔离:不同 VLAN 之间二层互不可见,天然阻断广播风暴蔓延和随意互访。
• 不受物理位置限制:同一 VLAN 的成员可以分布在不同楼层、不同交换机上,按部门或用途灵活分组。
• 提升安全性:可将办公网、访客网、监控摄像头、IoT 设备分到不同 VLAN,降低横向渗透风险。
• 节省成本:无需为每个隔离网络单独布线和购置交换机,一套物理设备承载多张逻辑网络。
• 便于管理:调整网络归属只需改交换机配置,不必重新插拔线缆。

常见应用场景

企业网络中,VLAN 几乎是标配:按部门划分网段、隔离服务器区与办公区、为 IP 电话单独开语音 VLAN 等。在家庭和小型网络里,玩软路由(如 OpenWrt、iKuai)的用户也常用 VLAN 实现「单线复用」——用一根网线同时跑光猫拨号和内网数据,或把 NAS、智能家居设备与主力设备隔离。数据中心则在 VLAN 基础上进一步发展出 VXLAN 等覆盖网络技术,以突破传统 VLAN 数量上限、支撑大规模虚拟化。

常见问题

问:VLAN 和 VPN 是一回事吗?答:不是。VLAN 是在本地网络内部做逻辑隔离的二层技术;VPN 是跨越公网建立加密隧道、把远程设备接入内网的技术,二者解决的问题完全不同。

问:不同 VLAN 之间还能互相访问吗?答:默认不能直接互通,需要通过路由器或三层交换机做 VLAN 间路由,并可在此配置防火墙规则,按需放行特定流量。

问:家用普通交换机支持 VLAN 吗?答:非管理型的「傻瓜交换机」一般不支持;需要选择带管理功能的交换机(网管交换机)或支持 802.1Q 的路由器、软路由才能划分 VLAN。