虛擬局域網(VLAN)，是英文Virtual Local Area Network的縮寫，是指網絡中的站點不拘泥于所處的物理位置，而可以根據需要靈活地加入不同的邏輯子網中的一種網絡技術。

　　基于交換式以太網的虛擬局域網在交換式以太網中，利用VLAN技術，可以將由交換機連接成的物理網絡劃分成多個邏輯子網。也就是說，一個虛擬局域網中的站點所發送的廣播數據包將僅轉發至屬于同一VLAN的站點。

　　在交換式以太網中，各站點可以分別屬于不同的虛擬局域網。構成虛擬局域網的站點不拘泥于所處的物理位置，它們既可以掛接在同一個交換機中，也可以掛接在不同的交換機中。虛擬局域網技術使得網絡的拓撲結構變得非常靈活，例如位于不同樓層的用戶或者不同部門的用戶可以根據需要加入不同的虛擬局域網。

　　劃分虛擬局域網主要出于三種考慮：

　　第一是基于網絡性能的考慮。對于大型網絡，現在常用的Windows NetBEUI是廣播協議，當網絡規模很大時，網上的廣播信息會很多，會使網絡性能惡化，甚至形成廣播風暴，引起網絡堵塞。那怎么辦呢?可以通過劃分很多虛擬局域網而減少整個網絡范圍內廣播包的傳輸，因為廣播信息是不會跨過VLAN的，可以把廣播限制在各個虛擬網的范圍內，用術語講就是縮小了廣播域，提高了網絡的傳輸效率，從而提高網絡性能。

　　第二是基于安全性的考慮。因為各虛擬網之間不能直接進行通訊，而必須通過路由器轉發，為高級的安全控制提供了可能，增強了網絡的安全性。在大規模的網絡，比如說大的集團公司，有財務部、采購部和客戶部等，它們之間的數據是保密的，相互之間只能提供接口數據，其它數據是保密的。我們可以通過劃分虛擬局域網對不同部門進行隔離。

　　第三是基于組織結構上考慮。同一部門的人員分散在不同的物理地點，比如集團公司的財務部在各子公司均有分部，但都屬于財務部管理，雖然這些數據都是要保密的，但需統一結算時，就可以跨地域(也就是跨交換機)將其設在同一虛擬局域網之中，實現數據安全和共享。采用虛擬局域網有如下優勢：抑制網絡上的廣播風暴;增加網絡的安全性;集中化的管理控制。

　　基于交換式的以太網要實現虛擬局域網主要有三種途徑：基于端口的虛擬局域網、基于MAC地址(網卡的硬件地址)的虛擬局域網和基于IP地址的虛擬局域網。

　　(1)基于端口的虛擬局域網

　　基于端口的虛擬局域網是最實用的虛擬局域網，它保持了最普通常用的虛擬局域網成員定義方法，配置也相當直觀簡單，就局域網中的站點具有相同的網絡地址，不同的虛擬局域網之間進行通信需要通過路由器。采用這種方式的虛擬局域網其不足之處是靈活性不好。例如，當一個網絡站點從一個端口移動到另外一個新的端口時，如果新端口與舊端口不屬于同一個虛擬局域網，則用戶必須對該站點重新進行網絡地址配置，否則，該站點將無法進行網絡通信。在基于端口的虛擬局域網中，每個交換端口可以屬于一個或多個虛擬局域網組，比較適用于連接服務器。

　　(2) 基于MAC地址的虛擬局域網

　　在基于MAC地址的虛擬局域網中，交換機對站點的MAC地址和交換機端口進行跟蹤，在新站點入網時根據需要將其劃歸至某一個虛擬局域網，而無論該站點在網絡中怎樣移動，由于其MAC地址保持不變，因此用戶不需要進行網絡地址的重新配置。這種虛擬局域網技術的不足之處是在站點入網時，需要對交換機進行比較復雜的手工配置，以確定該站點屬于哪一個虛擬局域網。

　　(3)基于IP地址的虛擬局域網

　　在基于IP地址的虛擬局域網中，新站點在入網時無需進行太多配置，交換機則根據各站點網絡地址自動將其劃分成不同的虛擬局域網。在三種虛擬局域網的實現技術中，基于IP地址的虛擬局域網智能化程度最高，實現起來也最復雜。

　　(4).根據IP組播劃分VLAN

　　IP 組播實際上也是一種VLAN的定義，即認為一個組播組就是一個VLAN，這種劃分的方法將VLAN擴大到了廣域網，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴展，當然這種方法不適合局域網，主要是效率不高。

　　(5).基于規則的VLAN

　　也稱為基于策略的VLAN。這是最靈活的VLAN劃分方法，具有自動配置的能力，能夠把相關的用戶連成一體，在邏輯劃分上稱為“關系網絡”。網絡管理員只需在網管軟件中確定劃分VLAN的規則(或屬性)，那么當一個站點加入網絡中時，將會被“感知”，并被自己地包含進正確的VLAN中。同時，對站點的移動和改變也可自動識別和跟蹤。

　　采用這種方法，整個網絡可以非常方便地通過路由器擴展網絡規模。有的產品還支持一個端口上的主機分別屬于不同的VLAN，這在交換機與共享式Hub共存的環境中顯得尤為重要。自動配置VLAN時，交換機中軟件自動檢查進入交換機端口的廣播信息的IP源地址，然后軟件自動將這個端口分配給一個由IP子網映射成的VLAN。

　　以上劃分VLAN的方式中，基于端口的VLAN端口方式建立在物理層上;MAC方式建立在數據鏈路層上;網絡層和IP廣播方式建立在第三層上。
　　使用VLAN優點

　　使用VLAN具有以下優點：

　　1、控制廣播風暴

　　一個VLAN就是一個邏輯廣播域，通過對VLAN的創建，隔離了廣播，縮小了廣播范圍，可以控制廣播風暴的產生。

　　2、提高網絡整體安全性

　　通過路由訪問列表和MAC地址分配等VLAN劃分原則，可以控制用戶訪問權限和邏輯網段大小，將不同用戶群劃分在不同VLAN，從而提高交換式網絡的整體性能和安全性。

　　3、網絡管理簡單、直觀

　　對于交換式以太網，如果對某些用戶重新進行網段分配，需要網絡管理員對網絡系統的物理結構重新進行調整，甚至需要追加網絡設備，增大網絡管理的工作量。而對于采用VLAN技術的網絡來說，一個VLAN可以根據部門職能、對象組或者應用將不同地理位置的網絡用戶劃分為一個邏輯網段。在不改動網絡物理連接的情況下可以任意地將工作站在工作組或子網之間移動。利用虛擬網絡技術，大大減輕了網絡管理和維護工作的負擔，降低了網絡維護費用。在一個交換網絡中，VLAN提供了網段和機構的彈性組合機制。

　　三層交換技術

　　傳統的路由器在網絡中有路由轉發、防火墻、隔離廣播等作用，而在一個劃分了VLAN以后的網絡中，邏輯上劃分的不同網段之間通信仍然要通過路由器轉發。由于在局域網上，不同VLAN之間的通信數據量是很大的，這樣，如果路由器要對每一個數據包都路由一次，隨著網絡上數據量的不斷增大，路由器將不堪重負，路由器將成為整個網絡運行的瓶頸。

　　在這種情況下，出現了第三層交換技術，它是將路由技術與交換技術合二為一的技術。三層交換機在對第一個數據流進行路由后，會產生一個MAC地址與IP地址的映射表，當同樣的數據流再次通過時，將根據此表直接從二層通過而不是再次路由，從而消除了路由器進行路由選擇而造成網絡的延遲，提高了數據包轉發的效率，消除了路由器可能產生的網絡瓶頸問題。可見，三層交換機集路由與交換于一身，在交換機內部實現了路由，提高了網絡的整體性能。

　　在以三層交換機為核心的千兆網絡中，為保證不同職能部門管理的方便性和安全性以及整個網絡運行的穩定性，可采用VLAN技術進行虛擬網絡劃分。VLAN子網隔離了廣播風暴，對一些重要部門實施了安全保護;且當某一部門物理位置發生變化時，只需對交換機進行設置，就可以實現網絡的重組，非常方便、快捷，同時節約了成本。

　　交換機充當的角色

　　交換機的好處在于其可以隔離沖突域，每個端口就是一個沖突域，因此在一個端口單獨接計算機的時候，該計算機是不會與其它計算機產生沖突的，也就是帶寬是獨享的，交換機能做到這一點關鍵在于其內部的總線帶寬是足夠大的，可以滿足所有端口的全雙工狀態下的帶寬需求，并且通過類似電話交換機的機制保護不同的數據包能夠到達目的地，可以把HUB和交換機比喻成單排街道與高速公路。

　　IP廣播是屬于OSI的第三層，是基于TCP/IP協議的，其產生和原理這里就不多講了，大家可以看看TCP/IP協議方面的書籍。交換機是無法隔離廣播的，就像HUB無法隔離沖突域一樣，因為其是工作在OSI第二層的，無法分析IP包，但我們可以使用路由器來隔離廣播域，路由器的每個端口可以看成是一個廣播域，一個端口的廣播無法傳到另外一個端口(特殊設置除外)，因此在規模較大，機器較多的情況下我們可以使用路由器來隔離廣播。

　　下面開始歸入正題。

　　通常，只有通過劃分子網才可以隔離廣播，但是VLAN的出現打破了這個定律，用二層的東西解決三層的問題很是奇怪，但是的確做到了。VLAN中文叫做虛擬局域網，它的作用就是將物理上互連的網絡在邏輯上劃分為多個互不相干的網絡，這些網絡之間是無法通訊的，就好像互相之間沒有連接一樣，因此廣播也就隔離開了。

　　VLAN的實現原理非常簡單，通過交換機的控制，某一VLAN成員發出的數據包交換機只發個同一VLAN的其它成員，而不會發給該VLAN成員以外的計算機。

　　使用VLAN的目的不僅僅是隔離廣播，還有安全和管理等方面的應用，例如將重要部門與其它部門通過VLAN隔離，即使同在一個網絡也可以保證他們不能互相通訊，確保重要部門的數據安全;也可以按照不同的部門、人員，位置劃分VLAN，分別賦給不同的權限來進行管理。

　　VLAN的劃分有很多種，我們可以按照IP地址來劃分，按照端口來劃分、按照MAC地址劃分或者按照協議來劃分，常用的劃分方法是將端口和IP地址結合來劃分VLAN，某幾個端口為一個VLAN，并為該VLAN配置IP地址，那么該VLAN中的計算機就以這個地址為網關，其它VLAN則不能與該VLAN處于同一子網。

　　如果兩臺交換機都有同一VLAN的計算機，怎么辦呢，我們可以通過VLAN Trunk來解決。

　　如果交換機1的VLAN1中的機器要訪問交換機2的VLAN1中的機器，我們可以把兩臺交換機的級聯端口設置為Trunk端口，這樣，當交換機把數據包從級聯口發出去的時候，會在數據包中做一個標記(TAG)，以使其它交換機識別該數據包屬于哪一個VLAN，這樣，其它交換機收到這樣一個數據包后，只會將該數據包轉發到標記中指定的VLAN，從而完成了跨越交換機的VLAN內部數據傳輸。VLAN Trunk目前有兩種標準，ISL和802.1q，前者是Cisco專有技術，后者則是IEEE的國際標準，除了Cisco兩者都支持外，其它廠商都只支持后者。