1## 业务二层隔离vlan技术

VLAN是什么

VLAN是在物理交换机上划分出的逻辑网络，对应 OSI 第二层，使单播、广播、多播帧仅在同一 VLAN 内转发，不同 VLAN 间二层完全隔离。

冲突域与广播域

冲突域：

物理层上来说就是指电信号可能发生碰撞的区域（信号可能会发生碰撞的一片物理区域），只能一个数据，如果同时过数据就会损坏；

Hub（集线器）是指所有端口共享一个冲突域；
交换机：每个端口都是一个独立的冲突域（可以隔离冲突，不可以隔离广播）

交换机怎么去解决这个问题呢？

交换机通过记住每台设备的MAC地址，它可以把数据帧精确低从入端口送到出端口，让数据帧不在所有口广播。同时还可以把数据缓存起来。
所以交换机的每一个端口都是一个独立的冲突域，如果端口是全双工模式，那么发送跟接受都分开了，冲突域就不存在了，

广播域：

是数据链路层的概念，指的是广播帧可以达到的范围。
交换机默认所有的端口都在同一个广播域内。
VLAN的本质就是在交换机上切割广播域，一个VLAN就是一个广播域。

标签机制（802.1Q）

1.在以太网帧中插入4字节的802.1Q帧

2.标签字段
· TPID：固定为0 * 8100（代号，原来的0 * 0800会被挪到VLAN标签后面），表示这是一个802.1Q帧，让接收设备按照802.1Q的标签规则来读取后面的PCP、CFI、VID。

· PCP（VIP通道凭证）：3位优先级；QoS（服务质量）使用，共8个优先级，7是最高优先级
（通常是给网络控制报文，如生成树协议），6和5是常用于语音跟视频流量的。

· CFI：1位规范格式指示符。这是历史遗留的字段，以前用来兼容以太网跟令牌环网的，现在基本上都是空着的（为0）

· VID（房间号）：12位VLAN ID。这是最核心的字段，明确指明了这个数据属于哪个VLAN，交换机就是通过这个读取“房间号”，决定数据帧的去向的，是二层隔离的关键。

VLAN ID范围与规定

0、4096：系统保留不可使用。

1：默认VLAN，所有的端口默认属于VLAN 1，不能删除。

2-1001：普通vlan（以太网）

1002 - 1005：Cisco 设备上为令牌环和FDDI保留，不可删除；华为/华三设备无限制，2-4094都可以使用。

1006 - 4094：扩展范围vlan。

为什么要用到VLAN？

1、隔离广播，缩小广播域，避免广播洪范影响全网段，提升广播效率。
2、增强安全性：二层流量天然隔离，防止跨部门数据被直接窃听。
3、网络规划更灵活：可以打破物理位置的限制，按照部门、职能、项目灵活划分逻辑工作组。
4、便于访问控制：隔离后再配合 ACL（过滤）或者防火墙，实现受控的跨VLAN访问。

在哪些场景？怎么划分？

Where

VLAN的部署是贯穿整个园区网的三层架构，每一层的用法都不一样
1、接入层（vlan起点）
这是VLAN最常部署的地方，终端用户和设备从这里接入网络。
设备：二层交换机

2、汇聚层（vlan的边界与路由点）
汇聚层是多台接入交换机的流量汇聚点，也是Vlan间通信的关键节点。
设备：三层交换机

3、核心层（vlan的高速通道）（有待补充）
主要关注极速转发，高速Trunk或者路由口。

WHO（怎么划分）

1、基于端口：最常见，将交换机端口指定到某个VLAN

2、基于MAC地址：根据终端MAC自动匹配VLAN，用户漫游不受物理限制。

3、基于协议：例如区分IP与IPX流量，划入不同的VLAN

4、基于子网：根据IP子网划分

5、按业务或角色划分：按部门、设备类型或者按安全等级划分

6、基于认证划分（主流）
场景：用户连接到网络之后先通过802.3x输入用户名以及密码或者证书验证，认证服务器再动态把该端口划入对应的VLAN。

具体：终端连接——>交换机触发802.3X认证——>用户名密码送到RADIUS服务器。服务器验证成功后，下发一个属性告诉服务器把这个账号分到某某VLAN中。

优点：与用户身份绑定，与物理端口无关；可以做到随时随地体验，安全性也是最高。
缺点：需要部署认证服务器、配置策略复杂，运维门槛高。

适用场景：大型企业、校园、政府等对安全和办公移动要求高的环境。

HOW（原理）

一、端口类型

1、Access 端口

作用：连接终端用户设备（PC、打印机等）

入：收到无标签帧，打上本端口所属VLAN的Tag
出：转发数据时剥离Tag，发出标签的以太网帧
特点：只允许本VLAN通过

2、Trunk 端口

作用：交换机之间、交换机与路由器之间的互链链路，承载多个VLAN流量。

出（发）：对Native VLAN（默认VLAN 1）的帧不打标签直接发送，其余VLAN的帧必须带Tag。

入（收）：不带标签的帧一律划入Native VLAN。

厂商差异
Cisco：默认所有VLAN能通过Trunk
华为/华三：Trunk默认只允许VLAN 1通过，其余需要手动添加

Hybrid端口

作用：适配IP电话、部分终端无法识别802.1Q等复杂场景。

与Trunk区别：可以基于每个VLAN分别指定该VLAN的帧是带Tag还是不带Tag转发。
Trunk 只能有一个 VLAN (Native VLAN) 不带 Tag，Hybrid 可以做到多个 VLAN 都不带 Tag，灵活性更高。

注意：二层隔离后想要不同的VLAN间互访必须借助三层设备。