🔀 VLAN 虚拟局域网：网络流量的隐形隔离墙

VLAN (Virtual Local Area Network 虚拟局域网) 是现代网络架构中不可或缺的二层（OSI 数据链路层）隔离技术，其核心规范定义于 IEEE 802.1Q 标准。它的主要职责是在不改变物理布线的情况下，将一个物理的局域网在逻辑上划分成多个相互独立的广播域。

对于构建结构严谨的数据中心或企业级网络而言，理解 VLAN 是实现网络安全隔离与流量整流的绝对前提。本指南将全面拆解 VLAN 的核心原理、标签机制以及在虚拟化环境中的实际应用。

---

1. 为什么需要 VLAN？打破物理边界

要理解 VLAN，首先必须理解广播域（Broadcast Domain）。 在一个传统的、未划分 VLAN 的交换机网络中，如果一台设备发送广播包（例如 ARP 请求寻找某个 IP 的 MAC 地址，或者 DHCP 请求获取 IP），交换机会将这个包复制并转发给该交换机上的所有其他端口。

随着网络规模的扩大，这会带来两个致命问题：

1. 广播风暴与性能损耗：大量的广播包会占用宝贵的网络带宽，并消耗所有接收设备的 CPU 资源去处理这些通常与它们无关的报文。
2. 安全风险：同一物理网络下的所有设备都在同一个局域网内。访客的手机、不安全的 IoT 智能家居、核心的 NAS 存储以及运行关键业务的容器集群，彼此之间没有任何网络隔离，容易导致横向移动攻击（Lateral Movement）。

VLAN 的出现解决了这些问题： 它允许网络管理员在逻辑上将一台物理交换机“切分”成多台虚拟交换机。位于 VLAN 10 的设备发送的广播包，绝对无法跨越二层边界到达 VLAN 20 的设备。不同 VLAN 之间的通信，必须强制上交到第三层（网络层，即路由器或防火墙）进行路由和安全策略审查。

---

2. 核心机制：IEEE 802.1Q 标签 (Tagging)

既然大家都插在同一台物理交换机上，交换机是如何区分哪个数据包属于哪个 VLAN 的呢？答案是 VLAN 标签（VLAN Tag）。

根据 IEEE 802.1Q 标准，当一个标准的以太网数据帧进入交换机内部时，交换机会在数据帧的源 MAC 地址和类型（Type）字段之间，硬塞入一个 4 字节（32 bit） 的 VLAN 标签。

这个 4 字节的标签包含了几个关键信息，其中最核心的是：

• VID (VLAN ID)：占据 12 个比特位。这意味着 VLAN ID 的取值范围是 0 到 4095。
  • 0 和 4095 保留，不可使用。
  • 1 通常是所有交换机出厂的默认 VLAN（Native VLAN），处于安全最佳实践，核心业务通常不建议使用 VLAN 1。
  • 可供我们自由分配的 VLAN ID 范围是 2 到 4094。

规范说明：由于插入了 4 字节的 Tag，原本最大 1518 字节的普通以太网帧，变成了 1522 字节（即 802.1Q 帧）。现代网络设备都能完美兼容这种微小的 MTU 变化，但在极少数老旧或特殊配置的网络中，可能会引发 MTU 丢包问题。

---

3. 交换机的“门神”：端口类型 (Access 与 Trunk)

为了让打了标签的数据包在网络中正确流转，且不影响那些“听不懂” VLAN 的普通设备（如 PC、打印机），交换机的端口通常被配置为两种主要模式：

3.1 Access 端口 (接入端口)

• 对接对象：终端设备（如台式机、普通服务器、不带 VLAN 感知能力的虚拟机）。
• 行为逻辑：终端设备通常不认识 VLAN 标签。当终端发送一个纯净的数据包进入 Access 端口时，交换机会根据该端口的配置，自动给数据包**打上（Add）**对应的 VLAN Tag（例如 PVID 30）。当数据包要从 Access 端口离开交换机发给终端时，交换机会负责把 Tag **剥离（Strip）**掉，恢复成纯净的数据包。
• 一句话总结：Access 端口是终端设备的翻译官，负责偷偷打标签和撕标签。

3.2 Trunk 端口 (汇聚/中继端口)

• 对接对象：其他交换机、路由器、虚拟化宿主机的虚拟网桥（如 Proxmox VE 的 vmbr0）。
• 行为逻辑：Trunk 端口就像是一条多车道的高速公路。它允许多个或所有 VLAN 的数据包携带各自的 Tag 完整地通过。接收端的设备必须自己具备解析 802.1Q 标签的能力（即 VLAN Aware），才能正确识别和分流这些数据。
• 一句话总结：Trunk 端口是干线物流，原汁原味地传输带有标签的数据。

---

4. 虚拟化与软路由中的 VLAN 实践

在现代 All-In-One (AIO) 架构中，VLAN 的概念从物理硬件延伸到了软件层面。

admin@server:~# cat /etc/network/interfaces

虚拟化组件	角色与行为	典型配置场景
PVE Linux Bridge (vmbr0)	带 VLAN 感知的虚拟核心交换机	开启 VLAN Aware 后，vmbr0 充当支持 802.1Q 的核心交换机。它不仅连接物理网口，还连接所有虚拟机。
软路由 (VM)	单臂路由 (Router on a Stick)	软路由的虚拟网卡通过 PVE 连接到 vmbr0（相当于插在 Trunk 口）。在内部创建 vlan10, vlan30 等接口，它就成为了所有 VLAN 的默认网关和不同 VLAN 间通信的防火墙。
普通 VM	接入层设备	在 PVE 虚拟机硬件配置中为其网卡指定 VLAN Tag=30。这相当于把这个 VM 插在了 vmbr0 的一个 Access 端口上。VM 内部的操作系统无需进行任何 VLAN 配置。

工程陷阱：在使用单臂路由架构时，所有 VLAN 之间的横向（East-West）通信流量，都会先离开源虚拟机，进入底层的虚拟网桥，然后被送入软路由虚拟机进行路由和防火墙过滤，最后再发往目的虚拟机。虽然都在同一台物理机内存中完成，但这仍然会消耗一定量的 CPU 资源来处理虚拟化网络开销和防火墙规则匹配。

📚 权威规范参考

• IEEE 802.1Q: IEEE Standard for Local and metropolitan area networks - Bridges and Bridged Networks (定义了 VLAN 基础架构与标签机制)
• IEEE 802.1p: Traffic Class Expediting and Dynamic Multicast Filtering (作为 802.1Q 标签头的一部分，定义了 QoS 优先级)