VLAN（Virtual Local Area Network）即虛擬局域網，是將一個物理的LAN在邏輯上劃分成多個廣播域的通信技術。VLAN內的主機間可以直接通信，而VLAN間不能直接通信，從而將廣播報文限制在一個VLAN內。VLAN之間的通信是通過第3層的路由器來完成的。與傳統的局域網技術相比較，VLAN技術更加靈活，它具有以下優點：網絡設備的移動、添加和修改的管理開銷減少；可以控制廣播活動；可提高網絡的安全性。

一、基于接口的VLAN劃分

1、按端口劃分VLAN

許多VLAN廠商都利用交換機的端口來劃分VLAN成員。被設定的端口都在同一個廣播域中。例如，一個交換機的1，2，3，4，5端口被定義為虛擬網AAA，同一交換機的6，7，8端口組成虛擬網BBB。這樣做允許各端口之間的通訊，并允許共享型網絡的升級。但是，這種劃分模式將虛擬網限制在了一臺交換機上。第二代端口VLAN技術允許跨越多個交換機的多個不同端口劃分VLAN，不同交換機上的若干個端口可以組成同一個虛擬網。以交換機端口來劃分網絡成員，其配置過程簡單明了。因此，從目前來看，這種根據端口來劃分VLAN的方式仍然是最常用的一種方式。

2、按MAC地址劃分VLAN

這種劃分VLAN的方法是根據每個主機的MAC地址來劃分，即對每個MAC地址的主機都配置它屬于哪個組。這種劃分VLAN方法的最大優點就是當用戶物理位置移動時，即從一個交換機換到其他的交換機時，VLAN不用重新配置，所以，可以認為這種根據MAC地址的劃分方法是基于用戶的VLAN，這種方法的缺點是初始化時，所有的用戶都必須進行配置，如果有幾百個甚至上千個用戶的話，配置是非常累的。而且這種劃分的方法也導致了交換機執行效率的降低，因為在每一個交換機的端口都可能存在很多個VLAN組的成員，這樣就無法限制廣播包了。另外，對于使用筆記本電腦的用戶來說，他們的網卡可能經常更換，這樣，VLAN就必須不停地配置。

3、按網絡層劃分

這種劃分VLAN的方法是根據每個主機的網絡層地址或協議類型(如果支持多協議)劃分的，雖然這種劃分方法是根據網絡地址，比如IP地址，但它不是路由，與網絡層的路由毫無關系。這種方法的優點是用戶的物理位置改變了，不需要重新配置所屬的VLAN，而且可以根據協議類型來劃分VLAN，這對網絡管理者來說很重要，還有，這種方法不需要附加的幀標簽來識別VLAN，這樣可以減少網絡的通信量。這種方法的缺點是效率低，因為檢查每一個數據包的網絡層地址是需要消耗處理時間的(相對于前面兩種方法)，一般的交換機芯片都可以自動檢查網絡上數據包的以太網幀頭，但要讓芯片能檢查IP幀頭，需要更高的技術，同時也更費時。當然，這與各個廠商的實現方法有關。

4、按IP組播劃分

IP組播實際上也是一種VLAN的定義，即認為一個組播組就是一個VLAN，這種劃分的方法將VLAN擴大到了廣域網，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴展，當然這種方法不適合局域網，主要是效率不高。

5、基于規則的VLAN

也稱為基于策略的VLAN。這是最靈活的VLAN劃分方法，具有自動配置的能力，能夠把相關的用戶連成一體，在邏輯劃分上稱為“關系網絡”。網絡管理員只需在網管軟件中確定劃分VLAN的規則（或屬性），那么當一個站點加入網絡中時，將會被“感知”，并被自動地包含進正確的VLAN中。同時，對站點的移動和改變也可自動識別和跟蹤。采用這種方法，整個網絡可以非常方便地通過路由器擴展網絡規模。有的產品還支持一個端口上的主機分別屬于不同的VLAN，這在交換機與共享式Hub共存的環境中顯得尤為重要。自動配置VLAN時，交換機中軟件自動檢查進入交換機端口的廣播信息的IP源地址，然后軟件自動將這個端口分配給一個由IP子網映射成的VLAN。

6、按用戶定義、非用戶授權劃分

基于用戶定義、非用戶授權來劃分VLAN，是指為了適應特別的VLAN網絡，根據具體的網絡用戶的特別要求來定義和設計VLAN，而且可以讓非VLAN群體用戶訪問VLAN，但是需要提供用戶密碼，在得到VLAN管理的認證后才可以加入一個VLAN。[4]

以上劃分VLAN的方式中，基于端口的VLAN端口方式建立在物理層上；MAC方式建立在數據鏈路層上；網絡層和IP廣播方式建立在第三層上。

圖5-17?基于接口的VLAN劃分組網圖

?

某數據中心的交換機Switch，根據不同用戶對接口的需求，將每個用戶所擁有的接口劃分到不同的VLAN，實現數據中心中不同用戶業務的完全隔離。可以認為每個用戶擁有獨立的"虛擬交換機"，每個VLAN就是一個"虛擬工作組"。

基于MAC的VLAN劃分

圖5-18?基于MAC的VLAN劃分組網圖

?

如所示，某數據中心中，UserA初始與SwitchA相連。由于用戶地點調整，需要將UserA調整接入交換機的另一個接口。為了保證UserA在改變地點后，仍然能夠與UserC繼續通信。可在交換機SwitchA上配置基于MAC地址劃分VLAN。只要UserA的MAC地址不變，UserA改變接入接口時，并不影響VLAN的劃分，不需要更改配置。

二、 VLAN間通信

VLAN間互通有兩種方式，以下分別介紹。

多個VLAN屬于同一個設備

圖5-19?多個VLAN屬于同一個設備互通組網圖

?

如所示，如果VLAN2、VLAN3和VLAN4僅屬于SwitchA，即VLAN2、VLAN3和VLAN4不是跨交換機的VLAN，可在SwitchA上為每個VLAN配置一個虛擬路由接口，實現VLAN2、VLAN3和VLAN4間的路由。

多個VLAN跨越設備

圖5-20?多個VLAN跨越設備互通組網圖

?

如所示，VLAN2、VLAN3和VLAN4是跨交換機的VLAN，可在SwitchA和SwitchB上為每個VLAN配置一個虛擬路由接口。除此以外，還需要在SwitchA和SwitchB之間配置靜態路由或運行路由協議。

三、 VLAN Aggregation

圖5-21?VLAN Aggregation應用組網圖

?

如所示，共有4個VLAN，如果VLAN間需要互通，在Switch上要為每個VLAN配置一個IP地址。

將VLAN21和VLAN22聚合到Super VLAN 2中；將VLAN31和VLAN32聚合到Super VLAN 3中。這樣只需在Switch上為Super VLAN分配IP地址，節約了IP地址資源。

在Switch上配置VLAN間的Proxy ARP，使同一Super VLAN下的不同Sub VLAN間的用戶可以互通。

四、 配置任務概覽

介紹VLAN的配置任務。

VLAN的配置任務如表5-7所示。

表5-7?VLAN配置任務概覽

五、 配置注意事項

介紹VLAN的配置注意事項。

涉及網元

無需其他網元配合。

License支持

VLAN特性是交換機的基本特性，無需獲得License許可即可應用此功能。

版本支持

表5-8?支持本特性的最低軟件版本

特性依賴和限制

· 建議獨立規劃業務VLAN和管理VLAN，以便業務VLAN上發生的任何廣播風暴不會影響到交換機的管理。

· 實際運用中，Trunk接口需要透傳哪些VLAN就透傳哪些VLAN，不建議使用port trunk allow-pass vlan all命令透傳所有VLAN。

· VLAN 1是系統自帶的VLAN，不需要創建，也不可以刪除，不能配置為管理VLAN或Super-VLAN。在骨干網設備上，建議取消接口加入VLAN 1，從而避免廣播風暴。

· 對于CE6870EI，基于MAC地址劃分VLAN功能與端口安全功能、MAC地址學習限制規則沖突。

· 除CE6870EI和CE6880EI外的其他設備，基于MAC地址劃分的VLAN不支持基于VLAN的鏡像。

· 對于CE6870EI，基于MAC地址劃分VLAN功能時配置mac-vlan enable或undo mac-vlan enable命令后會有少量報文丟棄，請謹慎操作。

· 對于CE6870EI，基于子網劃分的VLAN做三層轉發時，需要配置接口的PVID與關聯子網的VLAN ID相同。

· 當接口配置了PVID，并且通過執行命令encapsulation untag配置二層子接口接收不帶VLAN Tag的報文，如果二層子接口狀態為Up，則untag的報文通過二層子接口接入VXLAN進行轉發；如果二層子接口狀態為Down，則通過PVID進行轉發。

· QinQ二層子接口上封裝的外層VLAN不能和對應二層主接口配置的缺省VLAN以及允許通過的VLAN相同。

· VLAN、VXLAN、Carrier VLAN、主接口以及單板互通模式為增強模式時的Eth-Trunk接口共享系統資源，系統資源不足可能會導致這些特性的配置失敗。

· 保留VLAN

· 保留VLAN與普通VLAN相沖突，配置的保留VLAN不能作為普通VLAN使用。

· 創建的保留VLAN只有在設備重啟后才會生效，正在使用的VLAN不能配置為保留VLAN。

· 對于CE6855HI、CE7855EI的三層主接口專用保留VLAN：

· 不用重啟即可生效。可以為三層主接口配置多個保留VLAN范圍段，最多支持8段，且不同的主接口專用的保留VLAN范圍不允許有重疊。

· 執行命令undo vlan reserved for main-interface?startvlanid?to?endvlanid取消保留VLAN范圍時，不支持取消部分保留VLAN，必須整段范圍取消，且如果有主接口加入了其中一個保留VLAN，則不能執行undo vlan reserved for main-interface命令。

· 主接口專用的保留VLAN不能和通過執行命令vlan reserved配置的二層保留VLAN范圍重疊。

· 如果通過GVRP學習到的動態VLAN屬于主接口專用的保留VLAN范圍內，則學習不到該動態VLAN。

· 在SVF系統中，通過執行命令encapsulation?dot1q vid?vid配置二層子接口的VID不能是該主接口專用的保留VLAN范圍段中的VLAN ID。

· VLAN聚合

· 配置某VLAN為Super-VLAN后，該VLAN類型改變為super，不允許任何物理接口加入該VLAN。

· 一個VLAN不能同時加入多個不同的Super-VLAN中。

· Super-VLAN與Sub-VLAN必須為不同的VLAN。

· Super-VLAN對應的VLANIF接口配置IP地址后，Proxy ARP才能生效。

· MUX VLAN

· 使能MUX VLAN功能的接口不能加入同一個MUX VLAN組中的其他VLAN。

· MUX VLAN組中的所有成員VLAN必須在同一個STP實例中，否則會導致流量不通或者有成環風險。對于QinQ和VLAN Mapping的成員VLAN，也是如此。

· Access類型接口只能加入一個MUX VLAN組，Trunk、Hybrid類型接口可以加入多個MUX VLAN組，最多可以加入32個MUX VLAN組。

· 如果指定VLAN已經用于Principal VLAN，那么該VLAN不能再在VLAN Mapping、VLAN Stacking、Super-VLAN、Sub-VLAN的配置中使用。

· 如果指定VLAN已經用于Group VLAN或Separate VLAN，那么該VLAN不能再用于創建VLANIF接口，或者在VLAN Mapping、VLAN Stacking、Super-VLAN、Sub-VLAN的配置中使用。

· 禁止接口MAC地址學習功能或限制接口MAC地址學習數量會影響MUX VLAN功能的正常使用。

· MUX VLAN功能與接口安全功能、基于VLAN ID的靈活QinQ功能、VBST功能均互斥，不能同時配置。

· 對于同一個VLAN，不支持同時配置CE VLAN和MUX VLAN。

· 對于除CE6810LI外的其他設備，MUX VLAN級聯場景中，Principal VLAN（主VLAN）支持創建VLANIF接口，但該VLANIF接口不能對Sub VLAN（從VLAN）上送的流量進行三層轉發。

· 對于CE6810LI，Principal VLAN（主VLAN）和Sub VLAN(從VLAN)均不支持創建VLANIF接口。

· VLAN流量統計

· 對于CE6870EI，針對MUX VLAN的流量統計功能無效。

· 流量統計信息是累增的，系統不會自動清除。如需清空VLAN的流量，可執行reset vlan statistics命令清除指定VLAN的統計信息。

· 流量統計功能需要占用系統資源，系統資源不足可能會導致配置失敗，請在不需要流量統計時及時關閉此功能。

· 對于V100R006C00之前的版本，對于所有款型設備，由于VLAN流量統計->MQC流量統計->VLANIF接口流量統計（這三個流量統計功能存在優先級順序，優先級高低順序從左至右），同時配置時只有優先級高的流量統計功能生效。從V100R006C00版本開始，對于CE6850HI、CE6850U-HI、CE6851HI、CE6855HI、CE6860EI、CE6870EI、CE7850EI、CE7855EI、CE8850、CE8860EI，VLAN的流量統計與這二者不互斥，對于CE6880EI，VLAN流量統計功能優先級高于VLANIF流量統計。

· 對于CE6870EI，出方向的流量統計不包括三層轉發的報文。

· 對于CE6870EI設備上綁定了EVN實例的VLAN，其流量統計出方向計數不準確。

· 對于CE6880EI交換機，當轉發報文的模式配置為直通（Cut Through）模式時，設備不支持VLAN流量統計功能。如果需要使用該功能，建議執行命令assign forward mode store-and-forward將轉發報文模式修改為存儲轉發模式。

· VLANIF流量統計

使用undo statistics enable命令關閉VLANIF的流量統計功能后，將終止對VLANIF流量的統計，以前統計的流量信息會被清空。

使用VLANIF接口的流量統計可能對轉發性能產生影響（如在滿端口線速轉發時可能會導致部分端口不能線速轉發），請在必要的場景下合理使用。

對于CE6880EI交換機：

· 若VLANIF接口對應的VLAN下使能了流量統計功能，VLANIF接口統計三層流量，VLAN統計二層流量。

· 不支持區分單播和組播報文分別統計，不支持區分IPv4和IPv6報文類型統計。

· 不支持統計錯誤報文和設備本身產生發送出的報文（如ping報文）。

對于CE6870EI交換機：

· VLANIF接口的流量統計功能需要占用系統ACL資源，由于系統ACL資源有限，打開過多的流量統計將會導致其它功能申請不到ACL資源。最多支持對100個VLANIF接口進行流量統計。

· 不支持統計錯誤報文、MPLS報文和攜帶VXLAN封裝的報文，不支持區分單播和組播報文分別統計。

· 僅支持對IPv4單播報文的統計，其中不包括帶有IPv4封裝頭的GRE報文、IPv6 over IPv4報文和EVN特性封裝使用的VXLAN報文。

· 不支持統計設備本身產生發送出的報文（如ping報文）。

· 由于M-LAG單向隔離機制>MQC（流量監管、流量統計、報文過濾）>查詢指定五元組信息以及源MAC地址、目的MAC地址的報文的出接口>本地VLAN鏡像>sFlow>NetStream>VLANIF接口統計（此類業務存在優先級順序，優先級高低順序從左至右），在接口出方向上配置時只有優先級高的生效。例如，在VLANIF接口上同時配置報文過濾以及VLANIF接口統計，優先生效的是報文過濾。

· 在MPLS TE隧道接口和使能MPLS TE的VLANIF接口上同時使能流量統計時，對于接收到的下一跳是TE隧道接口的報文，只會統計為MPLS TE隧道接口流量而不會統計為VLANIF接口流量。

· 在配置VXLAN的解封裝設備上，VLANIF入方向流量統計不支持統計攜帶VXLAN封裝的報文。在配置VXLAN的封裝設備上，如果設備上沒有配置VXLAN流量統計功能且配置NVO3網關的增強模式為非環回模式時，VLANIF出方向流量統計支持統計攜帶VXLAN封裝的報文，否則VLANIF出方向無法統計。

對于除CE6870EI和CE6880EI以外的交換機：

· VLANIF接口的流量統計功能需要占用系統ACL資源，由于系統ACL資源有限，打開過多的流量統計將會導致其它功能申請不到ACL資源。最多支持對100個VLANIF接口進行流量統計。

· Super-VLAN和MUX VLAN對應的VLANIF接口不支持流量統計。

· 不支持統計錯誤報文、MPLS報文和攜帶VXLAN封裝的報文。

· 不支持區分單播和組播報文分別統計。

· 不支持統計設備本身產生發送出的報文（如ping報文）。