网络vlan是什么意思,VLAN与子网的区别

题图来自Unsplash，基于CC0协议

导读

VLAN是构建在局域网交换机和路由器之上的逻辑网络，是一个软件定义、可编排的网络，允许网络具有更多自定义可能，而无需构建物理上的新网络，扩展了物理网络并减少了层级结构。

VLAN实现虚拟网络隔离，不需要物理上的链接就可以创建逻辑网络段，从而在安全性、性能、管理和广播控制方面提供优势，帮助网络在物理上隔离业务流、防止攻击传播和避免无谓的广播流量，提升网络的灵活性和响应能力，每个VLAN就相当于一个独立的物理网络，但逻辑上独立，这样实现了网络资源的池化与隔离。

VLAN利用交换机第二层和第三层的功能来划分独立的逻辑网络，可基于交换端口、MAC地址、IP地址、策略等多种方式来划分，例如可以通过华为交换机终端口设置VLAN属性，将交换机的不同端口划分到不同的VLAN组，实现数据流的逻辑隔离，这使得网络结构更加灵活，配置VLAN相当于定义了一个新的虚拟物理网段，是创建逻辑上独立子网的超级子网，支持相互访问控制，虚拟隔离且独立路由。

VLAN弥补了广播域的弊端，实现了广播列表控制，在VLAN中广播仅限于该VLAN内部，不属于同一VLAN设备不接收该VLAN的广播流量，层数为二层配置，二层设备通常分为源设备、中间设备和目的设备，例如交换机内部结构类似于透明网桥，通过MAC地址表进行数据帧转发，不同VLAN之间转换需要借助路由功能，实现不同VLAN之间的通信路由，主流配置支持静态路由配置、动态路由协议分配，如OSPF、RIP等，以及设备故障时采用CEF、FRR等快速响应机制，非常高效可靠，每个VLAN拥有独立的广播域，提升了网络吞吐量，提供了访问控制能力，有助于组织内部网络管理与资源分配。

VLAN通过标签或标识来区分网络流量，从而实现不同VLAN之间的隔离，例如，将管理服务器与终端设备放在不同的VLAN，限制它们之间的通信，保护关键资源，减轻出现问题时对影响范围，防火墙可在不同VLAN之间构建策略，提供更细粒度的访问控制策略，从而提高网络安全水平。

VLAN划分从物理交换机上特定端口划分开始，配置VLAN类型基本按照”交换机－端口－划分VLAN值”来定义管理，各类网络交换机上支持不同的划分方式，如静态模式、基于主机MAC地址、基于网络层协议和IP子网等方式，根据企业需求灵活设置，例如按部门切割成财务部、开发部、销售部各自的VLAN隔离，或者按应用场景划分服务器区、用户区、管理区等，管理员在配置后自由配置，不依赖物理位置，非常便于网络维护。

VLAN与子网是不同的概念，VLAN是基于第二层的数据链路层地址进行逻辑划分，是交换机上的成员关系，而子网是基于IP地址网络层的概念，是可路由网络的一部分，每个VLAN可以有多个子网，但通常VLAN对应一个子网，而一个子网也可以使用多个VLAN，尽管这种情况较少见，主要的区别在于层级和管理方式，一个子网是逻辑广播域，而VLAN也是逻辑广播域，但VLAN允许广播域被进一步划分子网，实现逻辑隔离，是有迹可循的。

举个例子，某公司网络配置了一台支持VLAN的交换机，有三个VLAN：行政部VLAN10，财务部VLAN20，工程部VLAN30。在交换机配置中，将行政部员工台式机连接的端口加入VLAN10，将财务部列凭证服务器端口指定为VLAN20，并设置各VLAN对应唯一的子网IP段，工程部内部服务器与终端通过IP配置，工程部VLAN独立广播、稳定运行、易于管理，不同部门间通信设置为拒绝，防止信息泄漏，提升了网络安全性，而访问互联网或公司应用服务器，路由转发时指定VLAN内的所有主机和设备之间的逻辑连接关系。

总之，VLAN是现代网络架构中的核心技术，支持更多的网络分段和资源隔离，提升了网络安全、灵活性和管理效率，无论是从部署成本的降低，还是网络性能的优化，都得到了显著提升，是不可少的基础特性之一。