本文档主要讲的是ARP与VLAN技术。包括RFC 826（ARP）、IEEE 802.1Q（VLAN）、IEEE 802.1s（MSTP）等相关知识。

一、ARP协议

（Address Resolution Protocol，RFC 826）

ARP是TCP/IP协议栈中二层与三层之间的衔接协议，核心功能是实现同一广播域内IP地址到MAC地址（Media Access Control Address，媒体访问控制地址）的动态映射。

1.1 ARP标准工作流程

ARP交互分为请求、响应两个阶段，全程在二层广播域内完成：

• ARP请求（广播报文）

源主机已知目标IP但未知目标MAC时，构造ARP Request报文：目的MAC字段填充为FF-FF-FF-FF-FF-FF（广播地址），操作码（Opcode）置为1。报文发送后，交换机收到该广播帧后执行两项操作：

将源MAC与入接口的映射关系写入CAM表（Content Addressable Memory，MAC地址表底层存储）；

将该报文泛洪至除入接口外的所有同广播域接口。

• ARP响应（单播报文）

仅目标IP匹配的设备会回复ARP Reply报文：操作码置为2，目的MAC置为源主机的MAC地址，以单播形式发送。交换机收到后查询CAM表，将报文精准转发至源主机接口。

映射缓存

双方将“IP-MAC”映射关系存入本地ARP缓存表：Windows系统默认老化时间为1200秒，Linux系统默认60秒；支持静态绑定条目，静态条目优先级高于动态条目，永不老化。

1.2 ARP扩展机制与安全规范

• 免费ARP（Gratuitous ARP）

属于特殊ARP请求：Sender IP与Target IP字段填充为自身IP，操作码为1。核心作用：

IP冲突检测：若收到响应则说明局域网内存在IP地址冲突；

地址变更通告：虚拟机迁移、VRRP主备切换时发送，触发全网设备更新ARP缓存。

• ARP缓存老化机制

动态条目超时后会自动删除，下次通信需重新发起ARP请求，避免目标设备离线后仍保留无效映射。

• ARP欺骗防护

ARP协议无身份认证机制，攻击者可伪造ARP响应实施中间人攻击。标准防护方案：

网关侧静态绑定合法设备的IP-MAC映射；

交换机开启DAI（Dynamic ARP Inspection，动态ARP检测），仅转发与DHCP Snooping绑定表匹配的ARP报文。

• ARP泛洪防护

攻击者伪造大量虚假ARP请求填满交换机CAM表，导致设备拒绝服务。防护方案：配置端口安全（Port Security），限制单接口最大MAC地址学习数量（默认1个，可按需调整）。

1.3 ARP报文结构

• ARP报文封装在以太网帧的数据段，结构如下：

注：以太网帧总长度为14字节帧头 + 28字节ARP + 4字节FCS，不足64字节时需填充，符合IEEE 802.3最小帧长规范。

---

二、VLAN技术

（Virtual Local Area Network，IEEE 802.1Q）

VLAN是将物理二层网络逻辑划分为多个独立广播域的技术，核心作用是缩小广播域范围、提升网络安全性、简化网络管理。

2.1 VLAN技术背景

传统二层网络中，所有设备处于同一广播域，广播帧（ARP请求、DHCP Discover等）会泛洪至所有设备，存在三大问题：

• 带宽浪费：广播流量占用有效链路带宽；

• 安全风险：跨部门/跨租户数据可被任意监听；

• 性能下降：CAM表规模随设备数量增长，转发效率降低。

VLAN通过逻辑隔离将广播域限制在单个VLAN内，不同VLAN的广播帧无法互通，仅能通过三层设备转发。

2.2 802.1Q帧封装规范

IEEE 802.1Q是VLAN的标准封装协议，在以太网帧的源MAC地址与Type/Length字段之间插入4字节的Tag字段，结构如下：

注：插入Tag后以太网帧最大长度从1518字节变为1522字节，称为“小巨型帧（Baby Giant Frame）”，主流网络设备均支持。

2.3 Native VLAN规范

• Native VLAN是Trunk链路的特殊配置：当Trunk接口收到未携带802.1Q Tag的帧时，默认将其归类到Native VLAN，默认值为VLAN 1。

• 兼容性设计：用于对接不支持802.1Q的老式设备，此类设备发送的帧无Tag，交换机自动归入Native VLAN转发；

• 风险提示：若Trunk链路两端的Native VLAN配置不一致，会导致VLAN泄漏（VLAN Leaking），即A侧的VLAN X流量被B侧归入VLAN Y，是网络运维的高危隐患，生产环境需手动修改默认Native VLAN（如改为VLAN 999）。

2.4 VLAN与生成树协议的联动

• VLAN解决了广播域过大的问题，但物理环路仍需生成树协议（Spanning Tree Protocol，STP）防环，主流方案有两种：

• PVST+（Per-VLAN Spanning Tree Plus）：Cisco私有协议，为每个VLAN独立运行一棵生成树，链路利用率高但设备资源消耗大；

• MSTP（Multiple Spanning Tree Protocol，IEEE 802.1s）：国际标准，将多个VLAN映射到一个MST实例（MSTI），默认所有VLAN归属于实例0（IST，内部生成树），大幅降低设备资源消耗，是企业级网络的主流选择。

2.5 二层交换机接口类型

（华为VRP系统标准定义）

交换机二层接口按VLAN处理方式分为三类：

Access接口（类比：专属通道）

• 应用场景：连接PC、打印机等终端设备；

• 核心规则：仅能属于一个VLAN，接口PVID（Port VLAN ID，端口默认VLAN）唯一；

处理逻辑：

• 入方向：收到未标记帧时打上PVID；收到已标记帧时，仅当VLAN ID等于PVID时接收，否则直接丢弃；

• 出方向：强制剥离VLAN Tag，因为终端设备网卡不支持802.1Q解析，收到带Tag的帧会直接丢弃。

Trunk接口（类比：跨设备中继通道）

• 应用场景：连接交换机、路由器等网络设备；

• 核心规则：允许指定VLAN列表通过，需配置Allowed VLAN List；

处理逻辑：

• 入方向：收到未标记帧时打上Native VLAN的PVID；收到已标记帧时，仅当VLAN ID在Allowed VLAN List内时接收，否则丢弃；

• 出方向：仅Native VLAN的帧剥离Tag，其余VLAN的帧保留Tag转发。

Hybrid接口（华为私有，类比：多功能通道）

• 应用场景：灵活适配IP电话、服务器等特殊设备，无需修改接口类型即可调整Tag处理规则；

• 核心规则：可独立配置Tagged VLAN List（发送时保留Tag）和Untagged VLAN List（发送时剥离Tag）；

• 典型场景：连接IP电话时，语音VLAN配置为Tagged，电话下挂的PC VLAN配置为Untagged，一个接口同时支持两类设备接入。

2.6 VLAN划分方式

（IEEE 802.1Q支持的标准分类）

---

三、VLAN应用与跨VLAN通信

3.1 核心应用场景

• 部门隔离：不同业务部门（如财务部、研发部）划分至独立VLAN，广播流量与数据完全隔离，防止敏感信息泄露；

• 多租户隔离：写字楼、IDC机房中，不同租户分配独立VLAN，共用物理网络设备但数据互不干扰，等同于逻辑独立网络；

• 语音与数据隔离：语音流量划入独立VLAN，配置最高PRI优先级，保障通话质量，即使网络拥塞也不影响语音传输。

3.2 跨VLAN通信规范

VLAN天然隔离二层广播，不同VLAN间的通信必须通过三层设备（路由器或三层交换机）转发，核心铁律：同一VLAN内的设备必须处于同一IP子网，跨VLAN通信必须经过网关。

• 单臂路由（Router-on-a-Stick）

实现原理：路由器物理接口创建多个子接口（Sub-interface），每个子接口对应一个VLAN的网关，终结802.1Q Tag后执行三层路由转发；

配置要点：子接口必须手动开启arp broadcast enable，因为华为VRP系统默认子接口不转发广播ARP请求，否则无法解析对端MAC地址；

局限性：所有VLAN间流量均经过单一物理接口，存在带宽瓶颈与单点故障风险，仅适用于小型网络。

• 三层交换机（企业主流方案）

实现原理：交换机内置路由引擎，通过SVI（Switched Virtual Interface，交换虚拟接口，华为设备中称为Vlanif接口）作为VLAN的网关，转发基于硬件ASIC（专用集成电路）实现，支持线速路由；

核心技术：遵循“一次路由，多次交换”原则：首个数据包由CPU完成路由查表，后续同数据流的数据包由ASIC直接转发，转发效率远高于单臂路由；

优势：无单点故障、无带宽瓶颈，支持大规模网络部署。

---

四、核心流程串联：跨VLAN通信完整流程

以财务部（VLAN 10，IP网段192.168.10.0/24）主机A访问研发部（VLAN 20，IP网段192.168.20.0/24）主机B为例：

• ARP请求阶段：主机A发现目标IP跨网段，向网关192.168.10.1（三层交换机Vlanif10接口）发送ARP请求，报文为无Tag的广播帧；

• Access接口入方向处理：交换机连接主机A的Access接口收到帧后，打上VLAN 10的Tag；

• Trunk链路传输：若跨交换机转发，Tag保留，通过Trunk链路传输至三层交换机；

• 三层转发：三层交换机Vlanif10接口收到帧后剥离Tag，查询路由表发现目标网段为192.168.20.0/24，对应出接口为Vlanif20，重新打上VLAN 20的Tag；

• Trunk链路传输：携带VLAN 20 Tag的帧通过Trunk链路传输至研发部所在交换机；

• Access接口出方向处理：连接主机B的Access接口收到帧后，剥离VLAN 20的Tag，将无Tag的帧发送至主机B；

• ARP响应阶段：主机B回复的ARP响应与数据帧沿原路径反向传输，流程一致。

---

五、小结

ARP负责“认脸”（IP转MAC），VLAN负责“划区”（隔离广播域），二者结合配合三层路由，共同构成了现代企业网络隔离广播、安全互通的基石。