基于Spring Boot的同人创作分享平台：从架构设计到落地实践
2026/10/8 9:32:17
1. 从“一锅粥”的局域网说起：VLAN到底解决了什么
搞网络的人应该都有过这种经历：办公室里几十台电脑插在同一个交换机上，打印机、监控、服务器、员工PC全部混在一个大网里。今天张三的电脑中病毒了，ARP广播在网内狂发，所有终端一起掉线；明天行政部想给财务共享一台网盘，但又不想让销售部看到财务的共享文件夹，结果只能靠 Windows 账号权限一层层去卡，麻烦得要命。
这就是传统 LAN（Local Area Network，局域网）最典型的痛点：一个广播域就是一个大房间，房间里所有人说的话，其他人全都能听见。LAN 这个概念本身并不复杂，它是把一组位于同一物理区域内的设备连接到一起，让它们可以相互通信。早期的局域网就是一个物理网段，所有设备都处于同一个冲突域或广播域，数据帧靠广播就能传到每一个角落。
在设备数量少、业务简单的时候，这没什么问题。但网络规模一大，广播帧越来越多（ARP 请求、DHCP 发现、NetBIOS 名字解析等等），就会白白吃掉带宽，还会带来安全隐患。更麻烦的是，同一个物理网络里的设备，在逻辑上没有办法被分开——你想把财务部、研发部、监控系统隔离开，除非重新布线、换交换机，否则就只能忍受这种“一锅粥”的状态。
于是 VLAN（Virtual LAN，虚拟局域网）就出现了。VLAN 的思路说白了就是：不改变物理布线的前提下，把一台或多台交换机连接的网络，从逻辑上切成多个相互隔离的广播域。同一个 VLAN 里的设备像在同一个局域网里一样通信，不同 VLAN 之间默认互相隔离，就像被一堵看不见的墙隔开。
我在实际的项目里经常遇到用户问：既然要隔离，直接多买几台交换机不就行了，为什么非要用 VLAN？这个问题问到点子上了。多买设备当然可以，但成本高、布线复杂、管理分散。而 VLAN 只需要在已有的交换机上做配置，就能把一台物理交换机“劈”成好几台逻辑交换机，这才是它最核心的价值所在。
2. 帧、标签与802.1Q：VLAN在数据链路层是怎么工作的
2.1 交换机怎么知道一个数据帧属于哪个“房间”
要理解 VLAN 的运行原理，先要知道以太网交换机在数据链路层看什么。传统以太网帧的结构很简单：目的 MAC、源 MAC、类型/长度、数据、校验。交换机拿到一个帧，靠 MAC 地址表决定从哪个端口转发出去，仅此而已。
但有了 VLAN 以后，交换机必须能区分每个帧属于哪个 VLAN。如果设备发出来的普通以太网帧本身没有任何身份标记，交换机光靠看帧头是分辨不出来的。这个时候就需要在帧结构里加入一个“身份证”。
标准做法是 IEEE 802.1Q。它在传统以太网帧的源 MAC 地址之后、类型字段之前，四字节信息。这四字节拆开看是两层含义：前面两个字节是 Tag Protocol Identifier（TPID），固定值为 0x8100，表示“这个帧是带 VLAN 标签的”；后面两个字节是 Tag Control Information（TCI），其中最低的 12 位就是 VLAN ID，取值范围 0 到 4095，其中 0 和 4095 保留，实际可用范围是 1 到 4094。
所以，一个带 802.1Q 标签的帧，就是被工整地写上“我是 VLAN 10 的人”的数据帧。交换机收到带标签的帧，一看到 VLAN ID 是 10，就知道该往哪些端口转发了。这就是 VLAN 能跨交换机、跨设备生效的根本原因——标准统一，标签说话。
2.2 Access 和 Trunk：两种主要端口角色
光有标签还不够，交换机每个端口得先明确自己的“归属”，否则它不知道该把收到的帧加上标签，还是撕掉标签。端口角色主要分两类：
- Access 端口：通常接终端设备（PC、打印机、网络摄像头）。它只属于一个 VLAN，叫端口的默认 VLAN（一般也叫 PVID，Port VLAN ID）。Access 口收到的普通帧，打上 PVID 的标签后交给交换机内部去查表转发；从 Access 口转发出去的帧，会撕掉标签，还原成普通帧。原因很简单——终端设备一般不明白 802.1Q 是什么东西，你给它一个带标签的帧，它大概率直接把它丢了。
- Trunk 端口：通常用来连接交换机与交换机、交换机与路由器。Trunk 口需要“放通”（allow）一个或多个 VLAN，让这些 VLAN 的帧都能经过这条链路传输。帧在 Trunk 口上一般保持带标签的状态。
这里有个新手最容易混淆的点：Trunk 口默认也会打标签，但打的是 PVID 对应的标签，而不是“所有帧都保持原生”。比如 Trunk 口的 PVID 是 1，那么一个来自 VLAN 1 且原本不带标签的帧，经过这个 Trunk 口时会被打上 VLAN 1 的标签。其他放通的、原本就带对应标签的帧，则保持不变。
用生活类比理解：Access 口像小区单元门，每个人（数据帧）进门前要刷自己的门禁卡（打标），进去以后就是自己家那一层（对应 VLAN）；Trunk 口像连接两栋楼的地下通道，里面的人需要保持自己的楼层标识（带标签），方便到了对面楼也能找到正确的楼层。
2.3 VLAN 表与 MAC 地址表的配合
交换机内部其实有两张核心表在协同工作。一张是VLAN 表，记录这个交换机上创建了哪些 VLAN、每个端口属于哪个 VLAN、Trunk 放通了哪些 VLAN；另一张是MAC 地址表，在传统表项里多加了一个字段：MAC 对应的源端口和 VLAN ID。
转发流程大致是这样：
- 一个无标签的帧从 Access 口进来，交换机给它打上 PVID 标签。
- 交换机在 MAC 表里查目的 MAC。如果命中，并且目的端口和源端口在同一个 VLAN，直接转发；如果目的端口不在同一个 VLAN，丢弃。
- 如果 MAC 表没命中，就向源端口所属 VLAN 内的所有端口泛洪（广播），但不跨到其他 VLAN。
正是这个“查表必带 VLAN ID”的机制，保证了不同 VLAN 之间不会误转发数据帧。物理上是同一个交换机，逻辑上却像好几台完全独立的交换机，隔离就是这样实现的。
3. LAN 和 VLAN 的一纸对照：区别、适用场景与常见误解
搞清楚原理之后，用表格把两者的差异摆出来，会清晰很多。下面这张表是我在培训时经常拿出来讲的一张：
| 维度 | LAN | VLAN |
|---|---|---|
| 定义 | 物理上直接相连的一组设备构成的广播域 | 通过配置在逻辑上划分出的独立广播域 |
| 划分方式 | 靠物理拓扑，一台交换机/一个网段 | 靠 VLAN ID 逻辑划分，不依赖物理位置 |
| 广播域范围 | 物理范围内的所有设备 | 仅限同一个 VLAN ID 内的设备 |
| 通信隔离 | 无法在逻辑上隔离，除非换物理设备 | 不同 VLAN 默认隔离，需要三层设备才可互通 |
| 跨设备延伸 | 需要重新布线或新增交换机 | 通过 Trunk 链路轻松扩展到多台交换机 |
| 管理灵活性 | 低，改动物理结构才能调整 | 高，配置改动即可，甚至可按端口、MAC、IP 细分 |
| 成本 | 单台设备成本低，但整体布线改造贵 | 依赖支持 802.1Q 的网络设备，多数现代交换机已内置 |
| 适用场景 | 小型家庭网络、临时组网、要求不高的小办公网 | 大中型企业、数据中心、多业务隔离网络 |
我在建网时有个习惯：如果这个局域网里的设备不超过 20 台、业务单一、没有跨部门隔离需求，直接用普通 LAN 反而简单高效；但只要涉及的部门多、需要区分业务优先级、或者有安全等级不同的区域，就必须上 VLAN。
这里顺便澄清几个常见的误解：
- 误区一：VLAN 就是把 IP 地址段换了就行。不对。VLAN 是二层隔离，IP 子网只是为了在三层做路由时对应上。不配置 VLAN，只改 IP 地址，广播照样全网走。
- 误区二：VLAN 越多越好。每个 VLAN 都是一个独立的广播域，但过多的 VLAN 会增加三层路由和 ACL（访问控制列表）的复杂度。规划时要平衡隔离需求和管理成本。
- 误区三：VLAN 就是加了个标签，性能会下降。这个担心没必要。802.1Q 的处理在交换机芯片上是硬件完成的，多打一个标签对转发性能几乎没有影响。
4. VLAN 划分的三种思路：端口、MAC、子网各自的脾气
VLAN 划分方式直接决定了“一台设备接入后，会被自动分到哪个房间”。常见的方案有三种，各有各的适用场景，我挨个说一下实际项目中怎么挑。
4.1 基于端口的 VLAN：最稳妥也最常用
原理最简单：交换机的某个端口属于哪个 VLAN，是配置死的。比如把交换机的 1-8 号口划给 VLAN 10，9-16 号口划给 VLAN 20。PC 插在 1 号口，它就自动属于 VLAN 10。
这种方式的优点是清晰、稳定、容易排查问题：一根网线插哪个口，归属就固定了，即使换了一台新电脑，只要插同一个口，还是原来的 VLAN。缺点是灵活性差，用户换位置就得改端口配置。
我自己的选择经验是：办公网这种“人的工位相对固定”的场景，优先用端口 VLAN。原因很现实，出了问题抓包定位快，一看端口就知道是哪台设备。
4.2 基于 MAC 的 VLAN：适合移动性强的终端
这种方式不看端口，看设备的 MAC 地址。设备插在任何一个端口上，交换机根据 MAC 查表，自动把设备划到指定的 VLAN。
它的优势是“人跟着设备走”，笔记本拿到哪个工位，都自动进入原来的部门 VLAN。缺点也很明显：MAC 地址表需要维护，加一台设备就得提前录一条 MAC，否则设备接入后默认落在 PVID 对应的 VLAN 里。而且 MAC 地址是可以伪装的，安全强度一般，不适合做严格隔离的区域。
实际项目中，我一般只在会议室、开放办公区这种“不是固定工位、但人员身份相对明确”的区域用 MAC VLAN。访客和正式员工的 MAC 分开录，进门就自动落到不同 VLAN。
4.3 基于子网的 VLAN：按 IP 说话
当设备本身对 IP 地址的归属比较敏感时，可以按 IP 子网划 VLAN。交换机根据设备发送过来的帧解析出源 IP，命中某个子网规则，就把它分到对应的 VLAN。
这种方式的灵活性最高，但也最挑设备——它要求交换机对 IP 层信息做识别，对芯片能力有要求，低端交换机会出现规则数上限不够用的情况。它适合“设备 IP 已经按业务规划好，只是想省去逐端口配置”的场景。实际部署时我发现它有个优点：终端改插到任何口，只要 IP 不变，VLAN 就不变，非常适合临时调整工位的大型办公区。
4.4 三种方式的选型小结
| 划分方式 | 优点 | 缺点 | 推荐场景 |
|---|---|---|---|
| 端口 VLAN | 配置直观，排查容易 | 用户换位需改配置 | 大多数企业办公网 |
| MAC VLAN | 灵活支持移动办公 | 需要维护 MAC 表 | 会议室、开放区 |
| 子网 VLAN | 不依赖端口和 MAC | 对交换机能力要求高 | IP 规划明确的网络 |
5. VLAN 间通信：单臂路由与三层交换机的实际取舍
5.1 为什么不同 VLAN 之间默认“老死不相往来”
前面提到了 VLAN 的隔离机制：二层广播被限制在 VLAN 内，MAC 地址表查不到跨 VLAN 的转发路径。这就带来一个实际后果：VLAN 10 的 PC 想访问 VLAN 20 的打印机，光靠二层交换机永远 ping 不通。
要让两个 VLAN 互通，必须引入三层设备——路由器或三层交换机。原因很简单，不同 VLAN 本质上是不同的广播域，广播域之间只能靠路由来沟通，就像两个独立的房间之间，得通过一扇门才能走来走去。
5.2 单臂路由：一根线解决跨 VLAN 通信
单臂路由（Router-on-a-stick）是入门最友好的方案。做法是：把交换机的某个 Trunk 口连到路由器的一个物理口上，然后在路由器的这个物理口下创建多个子接口，每个子接口对应一个 VLAN，并设置好 VLAN ID 和该网段的网关。
以华为/多数主流设备的配置风格为例，思路是这样：
- 进入物理接口，启用子接口 GE0/0/1.10，封装 dot1q vlan 10，IP 设为 192.168.10.1/24。
- 再建子接口 GE0/0/1.20，封装 dot1q vlan 20，IP 设为 192.168.20.1/24。
交换机侧把接路由器的口配成 Trunk，放通 VLAN 10 和 VLAN 20。这样，两个 VLAN 的默认网关分别是路由器的两个子接口，PC 发往异网段的流量先送到网关，再由路由器查路由表后转发到另一个子接口。
这个方案的瓶颈也明显：所有跨 VLAN 流量都挤在同一条物理链路上，流量一大就拥塞。我在小网络（几十台设备）里用单臂路由没出过什么问题，但到了几百台设备的场景，会明显感觉跨网段访问变慢。
5.3 三层交换机：把路由搬到硬件里
三层交换机是更主流的方案。它本质上是“带有路由引擎的交换机”，在硬件层面实现 VLAN 间路由。配置方法通常是在交换机上给每个 VLAN 创建 VLANIF 接口（SVI，Switched Virtual Interface），然后配上 IP 地址作为该 VLAN 内设备的网关。
例如：
- 创建 VLAN 10，绑定端口，配置 interface Vlanif10，IP 为 192.168.10.1。
- 创建 VLAN 20，绑定端口，配置 interface Vlanif20，IP 为 192.168.20.1。
只要交换机开启了 IP 路由功能（很多企业级交换机默认开启，或需要一条简单命令打开），这两个 VLANIF 之间就能互相路由。整个过程完全在交换机内部完成，不需要额外拉线到路由器。
三层交换机适合绝大多数中大型局域网。它看似比单臂路由“贵一点”，但省了一台独立路由器，而且转发性能强很多。我自己的底线建议是：设备超过 50 台，直接考虑三层交换机，别在单臂路由上过度省钱。
6. 一次真实的 VLAN 改造案例：从“一锅粥”到清晰隔离
讲一个我经历过的典型项目，可能会帮你看完前文后，把原理真正串起来。
一家做设计的公司，四层楼，每层一台 24 口交换机，核心是一台普通二层交换机，所有设备混在一个网段。客户反复抱怨两个问题：设计部每次传大文件时，整层楼的网都卡；财务和设计部连在同一台设备上，偶尔会误访到对方共享文件。
我的方案分三步走：
第一步：重新规划 VLAN 和 IP 段。财务部划到 VLAN 10，IP 段 192.168.10.0/24；设计部划到 VLAN 20，IP 段 192.168.20.0/24；监控和无线单独分一个 VLAN 30，IP 段 192.168.30.0/24。网关全部放在核心三层交换机上。
第二步：调整接入层交换机配置。每层的 24 口交换机按工位归属，把对应端口划到对应 VLAN。上行口和核心交换机相连的口改成 Trunk，放通 10、20、30 三个 VLAN。
第三步：配置核心交换机及互通规则。在核心上创建三个 VLANIF，把网关地址分别配上；再通过 ACL 策略，只允许财务和设计访问共享服务器所在的 VLAN，监控网段则做单向访问控制。
改造后效果立竿见影：设计部传大文件，广播域只剩设计部内部，财务那边的网络不受一点影响；财务和设计之间无法直接二层互通，必须经过核心三层，访问权限完全可管。客户后来感叹说，原来加几个网段改改配置就能解决的事，之前他们差点买了三套新的物理网络设备。
这个案例里最值得关注的点是：VLAN 的威力不在于“把网络变小”，而在于“把网络按业务切开”——既保持了物理布线的简单，又获得了逻辑隔离的灵活。
7. 我踩过的 VLAN 配置坑：PVID、Trunk 放通和抓包核验
7.1 Access 口配错 PVID：看起来通了，其实到处丢包
PVID 是端口默认 VLAN ID。Access 口本质上只允许一个 VLAN 通过，收到无标签帧就以 PVID 打标。我犯过的一个低级错误是：把 Access 口的 PVID 配成了 VLAN 1，但端口实际划分到 VLAN 10。结果 PC 发出的帧全部被当成 VLAN 1 处理，而交换机内部把 VLAN 1 的转发域限制在别的端口上，PC 连网关都 ping 不通。
排查方法很朴素：先看端口状态，再查端口 PVID 与实际所属 VLAN 是否一致。很多厂商设备的命令里，display port vlan一下就能看出端口的 PVID 和允许通过的 VLAN。
7.2 Trunk 放通了 VLAN 但忘了带 PVID
接核心交换机时，我把 Trunk 口放通了 10、20、30，但端口默认 PVID 还是 1。结果连在 Access 口（VLAN 10）的 PC 发的无标签帧，在进入 Trunk 口时被交换机认为要从 PVID=1 转发，直接被核心侧其他 VLAN 1 的端口收走了，跨交换机通信直接不通。
正确做法是：Trunk 口的 PVID 要与往这个口发无标签帧的网段保持一致。如果这个口接的是另一个交换机，且对端只通过 Access 口接某些特定 VLAN 设备，PVID 就要设置为对应 VLAN。
7.3 用 Wireshark 抓包核验 VLAN 标签
配置完了，怎么确认 VLAN 真的生效？我的习惯是找一台 PC 接在 Trunk 口或者镜像口上用 Wireshark 抓包。
- 从 Access 口接入的 PC 发出的普通 ARP 包，是不带 802.1Q 标签的。如果抓到带 Tag 的包，说明这个口很可能配成了 Trunk 或者 PVID 对不上。
- 在 Trunk 口上抓包，应该能看到带 VLAN Tag 的帧。Wireshark 里的“Frame”解析树中，会明确看到
802.1Q Virtual LAN信息，里面有 VLAN ID。
很多人配置完成后喜欢 ping 通了就不管了，我建议多看一眼“通了到底走没走 VLAN”，尤其是跨交换机场景。抓包是最直接的验证手段。
7.4 关于 VLAN 1 和“原生 VLAN”的提醒
VLAN 1 是交换机的默认 VLAN，所有端口初始都属于它。默认情况下，VLAN 1 往往放通在所有 Trunk 上，而且带 VLAN 标签的管理流量有时也走它。如果图省事把关键业务放 VLAN 1，等于把一个隔离方案的“墙”直接打开了缺口。
我碰到过一种典型问题：管理员在某台交换机上把所有业务 VLAN 都划分好了，但没注意 Trunk 口默认放通 VLAN 1，导致相邻交换机下接在 VLAN 1 里的 PC，反而能访问到本应隔离的网络。解决办法很简单：在 Trunk 口上明确只放通需要的 VLAN，把不需要的 VLAN 从放通列表里移除。
7.5 不要忽略“管理 VLAN”的规划
VLAN 规划时如果把交换机的管理地址和管理 VLAN 混进业务网段，虽然能跑起来，但安全性和故障排查都会变难。我通常会把管理 VLAN 独立划出一个 VLAN，比如 VLAN 100，并单独给它一个私网网段，交换机的管理 IP 放到这个 VLAN 里。这样即使用户把业务网段搞乱了，管理通道依然独立，还能远程进去救火。
8. 总结我个人的配置习惯
踩过这么多坑之后，我在做 VLAN 规划时已经形成了一套比较固定的习惯，这里分享出来给大家参考：
- 先画拓扑，再分 VLAN，最后配 IP。这一步看起来多花十分钟，实际上能省下后面一大半的排查时间。
- 每个 VLAN 尽量对应一个连续的 IP 子网，网关统一使用 .1 或 .254，方便记忆和写 ACL。
- Access 口只配一个 PVID，Trunk 口务必显式放通所需 VLAN，不要依赖默认。
- 跨交换机互联的链路全部做成 Trunk，并统一两端的放通列表和 PVID，避免“一边放通一边默认”的错位。
- 用抓包来验证原理，不要只靠 ping。ping 通过只能说明三层通，不能说明 VLAN 划分符合预期。
LAN 和 VLAN 的区别，说深了能写一本书，但最核心的就三句话：LAN 靠物理拓扑划界，VLAN 靠标签和配置划界；LAN 的广播域固定，VLAN 的广播域可随意调整；LAN 划算在小规模，VLAN 划算在灵活隔离。把这三句话吃透，再结合一次实际的抓包和配置，差不多就能理解整个二层的世界了。