一、VLAN技术概况
　　
　　VLAN（Virtual Local Area Network）的中文名为"虚拟局域网"，注意不是"VPN"（虚拟专用网）。VLAN是一种将局域网设备从逻辑上划分（注意，不是从物理上划分）成一个个网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。但又不是所有交换机都具有此功能，只有VLAN协议的第三层以上交换机才具有此功能，这一点可以查看相应交换机的说明书即可得知。
　　
　　VLAN技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。
　　
　　交换技术的发展，也加快了新的交换技术（VLAN）的应用速度。通过将企业网络划分为虚拟网络VLAN网段，可以强化网络管理和网络安全，控制不必要的数据广播。在共享网络中，一个物理的网段就是一个广播域。而在交换网络中，广播域可以是有一组任意选定的第二层网络地址（MAC地址）组成的虚拟网段。这样，网络中工作组的划分可以突破共享网络中的地理位置限制，而完全根据管理功能来划分。这种基于工作流的分组模式，大大提高了网络规划和重组的管理功能。在同一个VLAN中的工作站，不论它们实际与哪个交换机连接，它们之间的通讯就好象在独立的交换机上一样。同一个VLAN中的广播只有VLAN中的成员才能听到，而不会传输到其他的VLAN中去，这样可以很好的控制不必要的广播风暴的产生。同时，若没有路由的话，不同VLAN之间不能相互通讯，这样增加了企业网络中不同部门之间的安全性。网络管理员可以通过配置VLAN之间的路由来全面管理企业内部不同管理单元之间的信息互访。交换机是根据用户工作站的MAC地址来划分VLAN的。所以，用户可以自由的在企业网络中移动办公，不论他在何处接入交换网络，他都可以与VLAN内其他用户自如通讯。
　　
　　VLAN网络可以是有混合的网络类型设备组成，比如：10M以太网、100M以太网、令牌网、FDDI、CDDI等等，可以是工作站、服务器、集线器、网络上行主干等等。
　　
　　二、VLAN在交换机上的实现方法，可以大致划分为六类:
　　
　　1. 基于端口划分的VLAN
　　
　　2. 基于MAC地址划分VLAN
　　
　　3. 基于网络层协议划分VLAN
　　
　　4. 根据IP组播划分VLAN
　　
　　5. 按策略划分VLAN
　　
　　6. 按用户定义、非用户授权划分VLAN
　　
　　三、VLAN实现原理
　　
　　1、静态VLAN
　　
　　在VLAN管理员最初配置交换机Port和VLAN ID的对应关系时，就已经固定了这种对应关系，即这个Port只能对应这个VLAN ID，之后无法进行更改，除非管理员再重新配置。
　　
　　当一台设备接到这个Port上的时候，怎么判断该主机的VLAN ID与Port对应呢，这里是根据IP配置决定的，我们知道每个VLAN都有一个子网号，并对应着哪些Port，如果设备要求的IP地址和该Port对应的VLAN的子网号不匹配，则连接失败，该设备将无法正常通信。所以除了连接到正确的Port外，也必须给设备分配属于该VLAN网络段的IP地址，这样才能加入到该VLAN中。
　　
　　2、动态VLAN
　　
　　交换机自动配置Port为主机所属的VLAN。这里有三种分类：基于MAC，基于IP，基于用户
　　
　　3、基于MAC的VLAN（例如二层交换机）
　　
　　将所有主机的硬件地址都加入到VALN的管理数据库中，例如，一主机随便连接到交换机的一个动态VLAN的Port时，管理数据库将根据主机的MAC地址查询到该主机要加入VLAN 2中，然后自动设置该Port为VLAN 2。缺点是当主机更换了网卡之后，管理数据库需要重新设定。
　　
　　4、基于IP的VLAN（例如三层交换机）
　　
　　与基于MAC不同，这种方法会记录子网ID与VLAN ID的映射，而不论主机的网卡怎么变换，只要他的IP不变，交换机就可以根据主机的子网ID自动设置对应的VLAN ID。
　　
　　5、基于用户的VLAN
　　
　　根据操作系统的登录用户决定VLAN。
　　
　　6、Access接口和Trunk接口
　　
　　交换机中，有两种类型的接口：接入端口（Access）和中继端口（Trunk），Access接口只能用来连接用户主机，只能属于一个VLAN，因此该接口只传输本VLAN的数据。
　　
　　以上介绍的都是基于一台交换机划分VLAN的情况，当要实现跨两台甚至更多交换机呢，基于Access接口已经无法实现了，我们需要加入Trunk接口连接交换机。
　　
　　四、VLAN的优越性
　　
　　1. 增加了网络连接的灵活性
　　
　　借助VLAN技术，能将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的网络环境，就像使用本地LAN一样方便、灵活、有效。VLAN可以降低移动或变更工作站地理位置的管理费用，特别是一些业务情况有经常性变动的公司使用了VLAN后，这部分管理费用大大降低。
　　
　　2. 控制网络上的广播
　　
　　VLAN可以提供建立防火墙的机制，防止交换网络的过量广播。使用VLAN，可以将某个交换端口或用户赋于某一个特定的VLAN组，该VLAN组可以在一个交换网中或跨接多个交换机， 在一个VLAN中的广播不会送到VLAN之外。同样，相邻的端口不会收到其他VLAN产生的广播。这样可以减少广播流量，释放带宽给用户应用，减少广播的产生。
　　
　　3. 增加网络的安全性
　　
　　因为一个VLAN就是一个单独的广播域，VLAN之间相互隔离，这大大提高了网络的利用率，确保了网络的安全保密性。人们在LAN上经常传送一些保密的、关键性的数据。保密的数据应 提供访问控制等安全手段。一个有效和容易实现的方法是将网络分段成几个不同的广播组，网络管理员限制了VLAN中用户的数量，禁止未经允许而访问VLAN中的应用。交换端口可以基于应用类型和访问特权来进行分组，被限制的应用程序和资源一般置于安全性VLAN中。