工业现场的设备数量一直在增长。PLC、传感器、HMI、服务器……一个中等规模的车间可能有几百台设备需要联网。

设备一多，网络流量就上来了。广播消息占用的带宽、设备处理负担、网络拥堵，这些问题慢慢浮现。与此同时，网络安全的要求也更高了——不同车间的数据需要隔离，不能让所有人随便访问所有设备。

虚拟局域网（VLAN）就是用来解决这些问题的。

VLAN是什么

简单说，VLAN就是在同一个物理交换机上切出多个互相隔离的虚拟子网。每个VLAN像一个独立的网络，有自己的广播域和安全策略。

举个例子：一家工厂把办公网、生产网和仓储网放在同一个物理网络里，但通过VLAN把它们分开。办公区的电脑看不到生产设备的实时数据，仓储系统也不会收到办公网广播消息的干扰。

这种隔离不是靠重新布线实现的，而是在交换机上做配置。设备还是连在同一个交换机上，但通过VLAN划分后，不同VLAN之间不能直接通信，就像连在不同交换机上一样。

为什么工业现场需要VLAN

工业网络和办公室网络不太一样，对实时性和可靠性的要求更高。VLAN在工业场景里主要解决两类问题：

流量管理

工业通信里有大量广播消息。设备入网、IP地址分配、服务发现，这些过程都会产生广播帧。设备数量少的时候还好，但现场有几百个节点时，广播流量会占用相当一部分带宽和设备处理能力。

VLAN把网络切分成更小的广播域，广播消息只在当前VLAN内传播，不会扩散到整个网络。这对实时控制通信（比如PLC之间的数据交换）有帮助，少了不必要的干扰。

网络安全

工业网络里，不同区域的设备安全等级不同。比如办公网的电脑权限低，控制网的设备权限高。通过VLAN隔离，可以限制不同区域之间的访问，即使办公网某台电脑中毒了，恶意流量也到不了控制网。

另外，运维人员、工程师、第三方服务商，可以按角色分配不同的VLAN访问权限，减少误操作和内部威胁的可能性。

VLAN怎么划分

最常见的划分方式有三种：

基于端口：交换机上的每个端口归属于某个VLAN。接在端口A的设备就在VLAN 10，接在端口B的设备就在VLAN 20。这种最简单，也最常用。

基于MAC地址：按照设备的MAC地址来划分，不管设备插在哪个端口，都属于指定的VLAN。灵活性更高，但配置和维护麻烦一些。

基于协议：按网络协议类型来划分，用得比较少。

工业现场最常用的是基于端口的方式，配置简单，容易理解。

VLAN间通信怎么办

VLAN之间默认是不通的。如果生产管理系统需要读取控制网的数据，就需要通过路由来实现VLAN间的通信。

通常的做法是在核心交换机或路由器上配置VLAN间路由，给每个VLAN分配一个子接口，由路由器来转发跨VLAN的数据包。

需要注意一点：跨VLAN通信会产生延迟，虽然对大多数数据采集和监控场景影响不大，但如果涉及实时控制，最好把需要高频交互的设备放在同一个VLAN里，避免跨路由通信。

部署VLAN要留意什么

VLAN不是什么新东西，在商业网络里用了二十多年了。但在工业现场部署，有几件事值得提前想清楚：

先做网络评估：哪些设备需要互访，哪些需要隔离，哪些流量是实时的。先把需求理清楚，再规划VLAN划分方案。

避免过度复杂：VLAN数量不是越多越好。划分太细会增加管理负担，出问题也难排查。一般按功能区域（控制网、监控网、办公网）和通信需求来划分就够了。

考虑未来扩展：设备会不断增加，预留一些VLAN ID和端口，避免后续扩容时重新调整整个网络。

更新和维护：现场设备变动频繁，新增设备、设备迁移都要同步更新VLAN配置，否则新设备可能拿不到正确的网络访问权限。

并不是所有设备都支持VLAN

VLAN需要在管理型交换机上配置，普通的非网管交换机不支持。如果现场用的是非网管交换机，想用VLAN功能，需要先更换设备。

另外，老旧设备可能不识别VLAN标签（802.1Q），连接这类设备的端口需要配置为untagged端口，或者使用Access端口模式。

最后

VLAN不是新东西，但在工业网络里越来越实用。设备多了，流量大了，安全要求高了，自然需要一种工具来理清网络关系。

它不解决所有问题，但能解决网络隔离和广播控制这两个很实际的问题。对于正在扩容或升级网络的中大型工业现场，VLAN是值得考虑的一项基础配置。