本文概览
VLAN
Virtual Local Area Network，即虚拟局域网，用于将局域网的物理拓扑与逻辑拓扑解耦。将一个物理的局域网在逻辑上划分成多个广播域，VLAN 内的网络设备可以直接通信，跨 VLAN 不能直接通信，必须经由路由器等路由设备,从而将广播报文限制在单个广播域内。
VLAN 出现的背景
随着以太网的迅猛发展，网络接入设备呈指数级增长。而以太网在节点间传输数据基于共享物理介质，局域网中的网络设备越多，冲突的概率就会越高，性能会显著下降。其次，广播帧传递的范围太大，导致局域网的带宽资源、网络设备处理广播帧的 CPU 资源等资源的无谓消耗，影响整个局域网的性能。除此之外，在企业管理中，随着人员的变动，添加新设备时常常需要重新布线。而且通常会将不同部门划分不同的网络，以提高安全性。 虽然路由器也可以分割广播域，但由于路由器设备的价格较贵，而且分割的局域网个数受限于路由器的端口，而路由器本身的端口数量较少。在这种环境下，用于在交换机（特指二层交换机）上分割局域网的 VLAN 技术应运而生。
总结一下局域网物理拓扑的缺点：
- 网络设备越多，冲突概率越高，导致性能下降
- 广播风暴消耗资源，影响局域网的整体性能
- 扩展性低，无法灵活的分割网络
VLAN 的作用
VLAN 的出现解决了局域网物理拓扑带来的限制，其作用说白了只有一点，按需分割广播域。将一个物理网络划分成多个逻辑网络，可以理解为将一台真实的交换机在逻辑上分为了多个交换机。
VLAN 数据帧格式
重新复习一遍传统以太网帧的格式的解析
IEEE 802.1Q 标准协议1的 VLAN 数据帧格式，是在传统以太网帧的目的 MAC 地址和源 MAC 地址字段之后，协议类型字段之前加入 4 个字节的 VLAN 标签（VLAN Tag 简称 Tag），用于标识数据帧所属的 VLAN。下图中的红色部分表示 VLAN 标签。
以下仅对 VLAN 标签作出解释，其他字段的含义可查看传统以太网帧的格式
- TPID：Tag protocol identifier 标签协议标识符，表示数据帧类型，0x8100 表示 IEEE 802.1Q 帧，长度为 2 个字节
- TCI：Tag control information，包含了数据帧控制信息，同样由 2 个字节组成
- PCP（PRI）：Priority code point，表示数据帧的优先级。之前的名称为 PRI，具体含义没变。PCP 占 3 bits，所以取值范围为 0 ～ 8，值越大表示优先级越高。如果发生拥塞，交换机首先发送优先级最高的数据包
- DEI（CFI）：Drop eligible indicator 丢弃资格标识符，表示 MAC 地址封装是否符合规范格式，之前的名称为 CFI。DEI 占 1 bit，0 表示 MAC 地址以标准格式进行封装
- VID：VLAN identifier，表示帧所属的 VLAN。一般情况下在 TCI 中，只关心 VID。VID 占 12 bits，取值范围为 0 ～ 4095，总计可以标识 4096 个 VLAN
在一个 VLAN 网络中，数据帧由两种类型，有标记帧（tagged frame）和无标记帧（untagged frame）。交换设备的端口按照处理数据帧的能力，分为 Access 接口、Trunk 接口和 Hybrid 接口。每个接口都可以配置一个默认的 VLAN ID，用于为 untagged frame 添加 VLAN Tag。称为缺省 VLAN ID，即 PVID（Port Default VLAN ID）。
| 接口类型 | 作用 | 可处理的数据帧 |
|---|---|---|
| Access | 连接终端设备，如计算机或 IP 电话 | 单个 VLAN 的数据帧，即 untagged frame。 |
| Trunk | 连接交换机之间或交换机与路由器之间 | 多个 VLAN 的数据帧，通过 VLAN 标签区分。即可同时收发 tagged、untagged frame。 untagged frame 仅存在于发送数据帧时剥离 VLAN 标签，转发给特定 VLAN |
| Hybrid | 结合 Access 和 Trunk 的功能，可连接终端设备，同时处理多个 VLAN | 单个或多个 VLAN 的数据帧，根据配置确定 |
VLAN 的优缺点
- 优点
- 按需分割广播域
- 减少广播流量
- 提高安全性
- 简化管理成本
- 缺点
- VLAN ID 仅有 4096 个，在大型网络中不够用
- 虽然可以从逻辑上划分成多个网络，但真实的数据帧无法脱离物理网络，即全部是 underlay 网络，会带来以下问题
- 交换机需要学习转发多个 VLAN 的数据帧，而交换机的内存有限且比较宝贵。当交换机 MAC 地址表不足以支持存储网络中的所有设备时，未存储 MAC 地址的设备的数据帧的转发，需要泛洪
- 不同的 VLAN ID 通常会分配不同的 IP 地址段，当业务集中在某个 IP 段内时，会导致网络资源分配不均
- 若局域网内使用 STP/RSTP 协议避免环路，则整个网络中的多个 VLAN 仅构造一颗树
VLAN 通信过程解析
为了更好的理解 VLAN 的实际通信过程，我们将分别从 VLAN 内通信、跨 VLAN 通信两个方面来详细描述及实践，其中又分别包括了同设备和跨设备两种类型。
VLAN 内通信
同设备
同设备同 VLAN 内通信，交换机与设备的连接如上图所示。设备 A 想要与设备 B 通信。
同设备 VLAN 内抓包实践
-
gns3 网络拓扑及配置
GNS3 -
按照图中所示分别配置 A、B 的 IP 地址为 10.1.1.10、10.1.1.20
配置 A 
配置 B - A：ip 10.1.1.10/24 10.1.1.1
- B：ip 10.1.1.20/24 10.1.1.1
-
跨设备
跨设备 VLAN 内抓包实践
跨 VLAN 通信
同设备
同设备跨 VLAN 抓包实践
跨设备
跨设备跨 VLAN 抓包实践
VLAN 的应用
-
除了 IEEE 802.1Q 还有 ISL，两者都可在数据帧中附加 VLAN 信息。唯一的区别是 ISL 是 Cisco 产品独有的，仅能在 Cisco 网络设备间使用。 ↩︎