虚拟局域网VLAN

VLAN概述

VLAN实现机制

[IEEE 802.1Q帧](#IEEE 802.1Q帧)

VLAN概述

虚拟局域网（Virtual Local Area Network，VLAN）是将一种局域网内的站点划分成与物理位置无关的逻辑组的技术，一个逻辑组就是一个VLAN，VLAN中的各站点具有某些共同的应用需求

VLAN实现机制

IEEE 802.1Q帧

TPID
PRI
CFI
VID

以太网交换机的接口类型

Access 和 Trunk/Hybrid 最大区别：

Access直接丢弃所有入站带标签帧
Trunk/Hybrid 只丢弃不在允许列表的带标签帧；

Access

Access端口接收

给"未打标签"的不同以太网MAC帧，打标签（VID=PVID）

收到带标签帧 ：默认丢弃

正常组网下，Access 端口不会收到带标签帧；就算收到，默认直接丢弃

原因：Access 端口只属于 1 个本地 VLAN，设计上只处理终端发来的无标签报文，终端 PC / 手机不会发带标签帧

Access端口发送

对VID等于PVID的帧，去标签并转发该帧

对VID不等于PVID的帧 ，不转发、丢弃

所以从Access接口转发出去的帧，是不带有VLAN标签的普通以太网MAC帧

Trunk

Trunk端口接收

接收"未打标签"的帧，打标签

接收"已打标签的帧"

Trunk端口发送

对VID等于PVID的帧，"去标签"再转发

对VID不等于PVID的帧，直接转发

互联的Trunk端口的PVID值不等，可能会造成转发错误

Hybrid

Hybrid接收

接收"未打标签"的帧，打标签

接收"已打标签的帧"

Hybrid发送

查看帧的VID是否在端口的"去标签"列表中：

若存在，则"去标签"后再转发；

若不存在，则直接转发；

不同VLAN的主机互通

二层交换机仅能同 VLAN 二层转发，不同 VLAN 属于独立广播域、不同 IP 网段，跨 VLAN 通信必须经过三层路由设备

传统 VLAN 间路由（多臂路由，初代方案）

1. 拓扑原理

二层交换机每个 VLAN 单独拉出一条 Access 物理线缆，分别直连路由器不同物理接口；路由器每个接口配置对应 VLAN 网段 IP 作为网关，依靠路由器 CPU 做三层转发实现互通

2. 完整转发流程

VLAN10 主机发包，目标 MAC 为路由器 G0/0 接口 MAC；
交换机 Access 口无标签转发至路由器 G0/0；
路由器三层解封装，查路由表从 G0/1 接口发出；
交换机另一 Access 口剥离标签送达 VLAN20 终端

3. 优缺点

优点：无 VLAN 标签封装，配置简单，无单链路带宽瓶颈；故障隔离，单 VLAN 链路断开不影响其他 VLAN。
致命缺点：极度浪费路由器物理接口，VLAN 数量越多，所需线缆、端口成倍增加；路由器端口成本高、数量有限，扩展性极差。

4. 适用场景

仅实验室少量 VLAN 演示，现网企业网络已完全淘汰

单臂路由（Router-on-a-Stick，第二代过渡方案）

实际网络环境中,会在一台交换机上创建大量的VLAN,每个VLAN使用一个路由器接口作为默认网关,路由器接口就不够用了

为了节省路由器的接口,使用一个接口来连接交换机,无论哪个VLAN的流量都通过这一个接口进出路由器,实现所有VLAN之间的流量转发

1. 核心定义

仅用一条物理 Trunk 链路连接二层交换机与路由器，路由器物理接口下创建多个逻辑子接口，每个子接口绑定 802.1Q VLAN 标签、配置对应网段网关 IP，一条链路承载全部 VLAN 跨网段流量

2. 关键配置规则（华为设备）

交换机互联端口：port link-type trunk，放行所有业务 VLAN；接入终端端口为 Access；
路由器物理接口仅开启，不配置 IP；
子接口配置：dot1q termination vid X 封装对应 VLAN 标签、配置网段 IP、arp broadcast enable 开启 ARP 广播（必配）。

3. 完整转发流程

PC1（VLAN10）发送 IP 报文，目标 MAC 为路由器子接口 MAC；
交换机 Access 口打上 VLAN10 标签，Trunk 口带标签转发给路由器；
路由器根据标签匹配子接口，剥除标签、三层路由查表，TTL-1；
重新封装目标 VLAN20 标签，原路 Trunk 链路发回交换机；
交换机剥离标签，从对应 Access 口转发至目标 PC

4. 优缺点

优势：极大节省路由器物理接口，新增 VLAN 仅需新增子接口，无需布线；组网成本低，适合小型网络学习、临时分支组网。
缺陷： ① 所有跨 VLAN 流量共享单条 Trunk 物理链路，天然带宽瓶颈； ② 路由器依靠 CPU 软件转发，大流量下延迟高、吞吐低； ③ 单点故障，链路 / 路由器故障直接中断全部 VLAN 互通。

5. 适用场景

小型门店、实验室教学、临时测试网络，不推荐中大型企业核心层使用

从流量走向上看单臂路由,舍近求远,交换机上两个不同的VLAN端口流量,无法直接通过交换机直接完成数据转发,因为二层交换机没有三层转发能力

二层交换机&三层交换机-CSDN博客

三层交换技术（第三代主流商用方案）

1. 核心概念

三层交换机集成二层交换 ASIC 芯片 + 三层路由模块 ，通过VLANIF（SVI）虚拟三层接口实现 VLAN 间路由，每个 VLAN 创建一个 VLANIF 并配置 IP，作为该 VLAN 默认网关，无外部路由器依赖

2. 核心转发机制：一次路由，多次交换

首包流程（三层路由）：未知跨 VLAN 流量，三层引擎查路由表、ARP 表完成三层转发，生成硬件流表；
后续同流数据包：直接匹配硬件流表，二层芯片线速转发，无需 CPU 参与，转发效率接近纯二层交换。

3. 转发逻辑对比单臂路由

单臂路由流量需要两次跨设备往返（交换机→路由器→交换机）；三层交换所有转发在设备内部背板完成，无外部链路损耗。

4. 优缺点

优势： ① 硬件 ASIC 线速转发，吞吐高、延迟极低，无单链路瓶颈； ② 转发在交换机内部完成，节省外部路由器与布线； ③ 端口密度高，扩展性强，支持冗余、链路聚合，可靠性高；
缺点：三层交换机硬件采购成本高于纯二层交换机。

5. 适用场景

企业园区网核心、写字楼、校园网、数据中心接入层，当前行业标准主流方案

对比维度	传统多臂路由	单臂路由	三层交换 VLANIF
核心设备	纯路由器	路由器 + 二层交换机	三层交换机
网关载体	路由器物理接口	路由器逻辑子接口	交换机虚拟 VLANIF 接口
VLAN 标签	全程无标签	Trunk 链路带 802.1Q 标签	设备内部识别标签，外部无往返转发
转发方式	CPU 软件转发	CPU 软件转发	ASIC 硬件线速转发
带宽瓶颈	无单链路瓶颈	单 Trunk 链路瓶颈	内部高速背板，无瓶颈
端口消耗	极高，一个 VLAN 占用一个路由口	仅占用 1 个路由物理口	不消耗外部路由端口
单点故障风险	低，链路相互隔离	极高，单链路故障全网断互通	低，支持冗余拓扑
现网使用	完全淘汰	小型临时网络 / 实验	大中型企业标准首选

跨 VLAN 通信本质：不同网段三层路由，必须存在三层网关；
单臂路由核心关键点：Trunk 链路、子接口 dot1q 封装、arp broadcast enable；
三层交换核心特征：VLANIF 接口、一次路由多次交换、硬件线速转发；

三层交换机能否取代路由器？

不能完全取代

内网园区可以替代，广域网 / 复杂业务不能完全替代

三层交换机 核心是二层交换 ASIC 芯片 ，三层转发只是附加功能，擅长处理以太网、同类型内网 IP 流量，靠硬件快速转发局域网跨 VLAN 流量；接口大多是电口 / 光口以太网
路由器 专门的三层设备，CPU + 专用路由操作系统，擅长广域网、跨不同链路类型、复杂控制策略、多协议互联，支持大量广域网接口与专业路由特性

三层交换机可以完全替代路由器的场景（内网园区）

企业内网、校园网、写字楼局域网内部，三层交换完全能取代路由器做 VLAN 间路由：

跨 VLAN 内网互通（VLANIF/SVI 接口替代单臂路由、多臂路由）；

内网静态路由、OSPF/IS-IS 内网 IGP 路由协议；

内网 ACL 访问控制、简单 NAT、链路聚合、冗余备份；

内网设备之间三层转发，硬件线速，性能远超路由器软件转发

这种场景下，不需要单独采购路由器，三层交换机承担内网所有三层转发工作
三层交换机无法替代路由器的场景（必须单独用路由器）

1. 互联网出口 / 广域网互联

运营商专线、PPPoE 拨号、光纤 SDH、MPLS、VPN 专线、4G/5G 无线广域网链路，三层交换机缺少对应广域网物理接口与协议驱动；

连接运营商公网需要NAT 地址转换（大并发、多地址池、双向 NAT）、IPSec/SSL VPN、GRE 隧道，三层交换机 NAT 性能弱、功能残缺，企业出口一律用路由器

2. 复杂路由与高级网络特性

BGP 边界网关协议：对接运营商、跨城多园区互联，三层交换机 BGP 功能简陋、性能差，企业边界必须路由器；

高级 QoS 流量管控：复杂队列调度、流量整形、广域网带宽优化，路由器调度能力更强；

复杂安全功能：防火墙策略、攻击防御、流量审计、专线加密，专业路由器 / 防火墙更完善；

多介质异构网络互通：以太网 ↔ 串口 / ATM/E1 专线，三层交换机不支持非以太网链路

3. 大型跨区域组网、多分支互联

多异地分支机构通过公网 VPN 互联，需要路由器做 VPN 隧道、分支路由分发，三层交换机无法胜任

4. 特殊业务场景

语音网关、工业串口对接、运营商核心骨干网；

高并发大流量 NAT、海量会话表项，三层交换机硬件表项容量不足

能力	三层交换机	路由器
内网跨 VLAN 路由	⭐极强（硬件线速）	⭐弱（CPU 软件转发，性能低）
IGP 协议（OSPF/RIP）内网	支持，够用	完整支持
BGP、运营商互联	简化版，不适合边界	完整商用功能，标准边界设备
广域网链路（E1/SDH/MPLS）	不支持	原生支持各类广域网接口
NAT、VPN 隧道（IPSec/GRE）	简易功能，并发低	高性能、完整策略控制
接口类型	仅以太网电 / 光口	以太网 + 串口 + 专线 + 无线等多类型接口
QoS、流量整形、广域网优化	基础流量限速	精细化多级调度、广域网优化