目录VLAN概述VLAN实现机制​IEEE 802.1Q帧以太网交换机的接口类型AccessTrunkHybridVLAN概述虚拟局域网Virtual Local Area NetworkVLAN是将一种局域网内的站点划分成与物理位置无关的逻辑组的技术一个逻辑组就是一个VLANVLAN中的各站点具有某些共同的应用需求VLAN实现机制IEEE 802.1Q帧TPIDPRICFIVID以太网交换机的接口类型Access 和 Trunk/Hybrid 最大区别Access直接丢弃所有入站带标签帧Trunk/Hybrid 只丢弃不在允许列表的带标签帧AccessAccess端口接收给“未打标签”的不同以太网MAC帧打标签VIDPVID收到带标签帧默认丢弃正常组网下Access 端口不会收到带标签帧就算收到默认直接丢弃原因Access 端口只属于 1 个本地 VLAN设计上只处理终端发来的无标签报文终端 PC / 手机不会发带标签帧Access端口发送对VID等于PVID的帧去标签并转发该帧对VID不等于PVID的帧不转发、丢弃所以从Access接口转发出去的帧是不带有VLAN标签的普通以太网MAC帧TrunkTrunk端口接收接收未打标签的帧打标签接收“已打标签的帧”Trunk端口发送对VID等于PVID的帧“去标签”再转发对VID不等于PVID的帧直接转发互联的Trunk端口的PVID值不等可能会造成转发错误HybridHybrid接收接收未打标签的帧打标签接收“已打标签的帧”Hybrid发送查看帧的VID是否在端口的“去标签”列表中若存在则“去标签”后再转发若不存在则直接转发不同VLAN的主机互通二层交换机仅能同 VLAN 二层转发不同 VLAN 属于独立广播域、不同 IP 网段跨 VLAN 通信必须经过三层路由设备传统 VLAN 间路由多臂路由初代方案1. 拓扑原理二层交换机每个 VLAN 单独拉出一条 Access 物理线缆分别直连路由器不同物理接口路由器每个接口配置对应 VLAN 网段 IP 作为网关依靠路由器 CPU 做三层转发实现互通2. 完整转发流程VLAN10 主机发包目标 MAC 为路由器 G0/0 接口 MAC交换机 Access 口无标签转发至路由器 G0/0路由器三层解封装查路由表从 G0/1 接口发出交换机另一 Access 口剥离标签送达 VLAN20 终端3. 优缺点优点无 VLAN 标签封装配置简单无单链路带宽瓶颈故障隔离单 VLAN 链路断开不影响其他 VLAN。致命缺点极度浪费路由器物理接口VLAN 数量越多所需线缆、端口成倍增加路由器端口成本高、数量有限扩展性极差。4. 适用场景仅实验室少量 VLAN 演示现网企业网络已完全淘汰单臂路由Router-on-a-Stick第二代过渡方案实际网络环境中,会在一台交换机上创建大量的VLAN,每个VLAN使用一个路由器接口作为默认网关,路由器接口就不够用了为了节省路由器的接口,使用一个接口来连接交换机,无论哪个VLAN的流量都通过这一个接口进出路由器,实现所有VLAN之间的流量转发1. 核心定义仅用一条物理 Trunk 链路连接二层交换机与路由器路由器物理接口下创建多个逻辑子接口每个子接口绑定 802.1Q VLAN 标签、配置对应网段网关 IP一条链路承载全部 VLAN 跨网段流量2. 关键配置规则华为设备交换机互联端口port link-type trunk放行所有业务 VLAN接入终端端口为 Access路由器物理接口仅开启不配置 IP子接口配置dot1q termination vid X封装对应 VLAN 标签、配置网段 IP、arp broadcast enable开启 ARP 广播必配。3. 完整转发流程PC1VLAN10发送 IP 报文目标 MAC 为路由器子接口 MAC交换机 Access 口打上 VLAN10 标签Trunk 口带标签转发给路由器路由器根据标签匹配子接口剥除标签、三层路由查表TTL-1重新封装目标 VLAN20 标签原路 Trunk 链路发回交换机交换机剥离标签从对应 Access 口转发至目标 PC4. 优缺点优势极大节省路由器物理接口新增 VLAN 仅需新增子接口无需布线组网成本低适合小型网络学习、临时分支组网。缺陷 ① 所有跨 VLAN 流量共享单条 Trunk 物理链路天然带宽瓶颈 ② 路由器依靠 CPU 软件转发大流量下延迟高、吞吐低 ③ 单点故障链路 / 路由器故障直接中断全部 VLAN 互通。5. 适用场景小型门店、实验室教学、临时测试网络不推荐中大型企业核心层使用从流量走向上看单臂路由,舍近求远,交换机上两个不同的VLAN端口流量,无法直接通过交换机直接完成数据转发,因为二层交换机没有三层转发能力二层交换机三层交换机-CSDN博客三层交换技术第三代主流商用方案1. 核心概念三层交换机集成二层交换 ASIC 芯片 三层路由模块通过VLANIFSVI虚拟三层接口实现 VLAN 间路由每个 VLAN 创建一个 VLANIF 并配置 IP作为该 VLAN 默认网关无外部路由器依赖2. 核心转发机制一次路由多次交换首包流程三层路由未知跨 VLAN 流量三层引擎查路由表、ARP 表完成三层转发生成硬件流表后续同流数据包直接匹配硬件流表二层芯片线速转发无需 CPU 参与转发效率接近纯二层交换。3. 转发逻辑对比单臂路由单臂路由流量需要两次跨设备往返交换机→路由器→交换机三层交换所有转发在设备内部背板完成无外部链路损耗。4. 优缺点优势 ① 硬件 ASIC 线速转发吞吐高、延迟极低无单链路瓶颈 ② 转发在交换机内部完成节省外部路由器与布线 ③ 端口密度高扩展性强支持冗余、链路聚合可靠性高缺点三层交换机硬件采购成本高于纯二层交换机。5. 适用场景企业园区网核心、写字楼、校园网、数据中心接入层当前行业标准主流方案对比维度传统多臂路由单臂路由三层交换 VLANIF核心设备纯路由器路由器 二层交换机三层交换机网关载体路由器物理接口路由器逻辑子接口交换机虚拟 VLANIF 接口VLAN 标签全程无标签Trunk 链路带 802.1Q 标签设备内部识别标签外部无往返转发转发方式CPU 软件转发CPU 软件转发ASIC 硬件线速转发带宽瓶颈无单链路瓶颈单 Trunk 链路瓶颈内部高速背板无瓶颈端口消耗极高一个 VLAN 占用一个路由口仅占用 1 个路由物理口不消耗外部路由端口单点故障风险低链路相互隔离极高单链路故障全网断互通低支持冗余拓扑现网使用完全淘汰小型临时网络 / 实验大中型企业标准首选跨 VLAN 通信本质不同网段三层路由必须存在三层网关单臂路由核心关键点Trunk 链路、子接口 dot1q 封装、arp broadcast enable三层交换核心特征VLANIF 接口、一次路由多次交换、硬件线速转发三层交换机能否取代路由器不能完全取代内网园区可以替代广域网 / 复杂业务不能完全替代三层交换机核心是二层交换 ASIC 芯片三层转发只是附加功能擅长处理以太网、同类型内网 IP 流量靠硬件快速转发局域网跨 VLAN 流量接口大多是电口 / 光口以太网路由器专门的三层设备CPU 专用路由操作系统擅长广域网、跨不同链路类型、复杂控制策略、多协议互联支持大量广域网接口与专业路由特性三层交换机可以完全替代路由器的场景内网园区企业内网、校园网、写字楼局域网内部三层交换完全能取代路由器做 VLAN 间路由跨 VLAN 内网互通VLANIF/SVI 接口替代单臂路由、多臂路由内网静态路由、OSPF/IS-IS 内网 IGP 路由协议内网 ACL 访问控制、简单 NAT、链路聚合、冗余备份内网设备之间三层转发硬件线速性能远超路由器软件转发这种场景下不需要单独采购路由器三层交换机承担内网所有三层转发工作三层交换机无法替代路由器的场景必须单独用路由器1. 互联网出口 / 广域网互联运营商专线、PPPoE 拨号、光纤 SDH、MPLS、VPN 专线、4G/5G 无线广域网链路三层交换机缺少对应广域网物理接口与协议驱动连接运营商公网需要NAT 地址转换大并发、多地址池、双向 NAT、IPSec/SSL VPN、GRE 隧道三层交换机 NAT 性能弱、功能残缺企业出口一律用路由器2. 复杂路由与高级网络特性BGP 边界网关协议对接运营商、跨城多园区互联三层交换机 BGP 功能简陋、性能差企业边界必须路由器高级 QoS 流量管控复杂队列调度、流量整形、广域网带宽优化路由器调度能力更强复杂安全功能防火墙策略、攻击防御、流量审计、专线加密专业路由器 / 防火墙更完善多介质异构网络互通以太网 ↔ 串口 / ATM/E1 专线三层交换机不支持非以太网链路3. 大型跨区域组网、多分支互联多异地分支机构通过公网 VPN 互联需要路由器做 VPN 隧道、分支路由分发三层交换机无法胜任4. 特殊业务场景语音网关、工业串口对接、运营商核心骨干网高并发大流量 NAT、海量会话表项三层交换机硬件表项容量不足能力三层交换机路由器内网跨 VLAN 路由⭐极强硬件线速⭐弱CPU 软件转发性能低IGP 协议OSPF/RIP内网支持够用完整支持BGP、运营商互联简化版不适合边界完整商用功能标准边界设备广域网链路E1/SDH/MPLS不支持原生支持各类广域网接口NAT、VPN 隧道IPSec/GRE简易功能并发低高性能、完整策略控制接口类型仅以太网电 / 光口以太网 串口 专线 无线等多类型接口QoS、流量整形、广域网优化基础流量限速精细化多级调度、广域网优化