vlan技术思维导图：
VLAN（Virtual LAN）：
翻译成中文是“虚拟局域网”。LAN可以是由少数几台家用计算机构成的网络，也可以是数以百计的计算机构成的企业网络。VLAN所指的LAN特指使用路由器分割的网络——也就是广播域。
那么，为什么需要分割广播域呢？那是因为，如果仅有一个广播域，有可能会影响到网络整体的传输性能
在理解了“为什么需要VLAN”之后，接下来让我们来了解一下交换机是如何使用VLAN分割广播域的。
首先，在一台未设置任何VLAN的二层交换机上，任何广播帧都会被转发给除接收端口外的所有其他端口（Flooding）---泛洪，VLAN通过限制广播帧转发的范围分割了广播域。
vlan技术产生背景：
路由器具有隔离广播域的功能，而交换机没有，为了解决广播域的问题，引入VLAN，通过逻辑上的划分，减小广播域范围
vlan的作用及特点：
作用：将一个物理网络划分为多个逻辑网络，从而实现将一个大的广播域划分为多个不同的，规模小的广播域
特点：
同一VLAN内的主机可以通信，不同VLAN内的主机不能通过 二层交换机通信，只能借助三层设备通信
vlan的实现过程：
（1）同一交换机VLAN内的通信
工作过程：
pc发送数据帧进入交换机，会被打上VLAN tag；VLAN tag中的VLAN id就是收到数据帧的接口的所属VLAN；一旦数据帧被打上VLAN tag，就变成了802.1Q格式的帧；
交换机检查数据帧的目的MAC地址，进行判断；若目的Mac地址对应的接口允许tag中的VLAN id通过，则数据帧可以转发；否则，丢弃该帧
数据帧从接口发往pc前，会剥离VLAN tag，使之还原为标准的以太网帧格式
（2）跨交换机的同一vlan的通信
工作过程：
数据帧从主机出来后会进入到交换机，交换机收到后会给此数据帧打上一个vlan tag（tag中的vlan ID就是交换机收到数据帧接口的vlan ID），此时数据帧变成了一个802.1q格式的帧。在发送端802.1Q格式的数据帧离开交换机时，检查该接口的vlan允许列表，若允许，则带标签发送，反之则丢弃。接收端的交换机收到后，交换机检查目标MAC地址的主机接口所属的vlan ID，如果此vlan ID与802.1q帧格式中的vlan ID一致，则转发该数据帧，否则丢弃。
注意：数据从交换机发往主机前，需要剥离掉vlan TAG，使之还原为原始的以太网数据帧。
vlan的划分方式：（五种划分方式）
（1）基于接口划分：
VLAN的范围：0-4095，其中0和4095为系统保留，1-4094用户可用
PVID：缺省VLAN，默认VLAN 1
优点：划分方式简单，容易实现
缺点：主机移动，需要重新配置VLAN
（2）基于IP地址划分：
建立IP地址与VLANID的映射关系
优点：易于主机移动
（3）基于MAC地址划分：
建立MAC地址与VLANID的映射关系
缺点：配置易出错，主机不易移动
（4）基于协议划分：
建立协议簇类型和VLAN id的映射关系
（5）基于策略的划分：
多种方式的组合，需要管理员预先设置策略
注意：VLAN划分方式排序优先级：MAC>IP>协议>端口
交换机接口类型：
access：
（1）定义：一般连接PC、服务器等终端设备，一个接口只能加入一个VLAN。
（2）特点：
接收帧：
收到untagged的数据帧，打上该接口PVID的标签，并接收；
收到tagged数据帧，与该接口PVID比较，相同则接受，不同则丢弃；
发送帧：
剥离标签发送
trunk：
（1）定义：一般用于交换机间互连、路由器、防火墙等设备的子接口；
可以允许多个VLAN的数据帧通过；
（2）特点：
接收帧：
untagged数据帧，打上该接口的PVID的标签，同时看下该接口的PVID是否在接口允许列表中，如果在就并接收，否则丢弃；
tagged数据帧，查看VID是否在该接口允许列表中，如果在则接收，反之则丢弃；
发送帧：
VID在允许列表中，且VID与PVID一致，则剥离标签发送；
VID在允许列表中，但VID与PVID不一致，则直接带标签发送；
不在允许列表中，则直接丢弃；
hybrid：
（1）定义：
既可连接pc或者路由器，能来连接交换机，可以允许多个VLAN的数据通过；
可以手动配置hybrid端口发出的数据帧，哪个VLAN保留标签，哪个VLAN撕掉标签；
hybrid收到未打tag的帧，会重新打上缺省VLAN的tag；
（2）特点：
接收帧：
untagged数据帧，打上PVID的标签，并接收；
tagged数据帧，查看VID是否在允许列表中，如果在则接收，反之则丢弃；
发送帧：
Tag中的VLAN ID与pvid一致，则剥离tag并发送；
Tag中的VLAN ID与pvid不一致：
Tag中的VLAN ID出现在tagged表中，则保留tag发送；
Tag中的VLAN ID出现在untagged表中，则剥离tag发送；
（3）hybird应用（每个PC都能和服务器通信，但PC之间不互通）
[SW2-GigabitEthernet0/0/2]port hybrid untagged vlan 10 100 配置untag的vlan列表
批量进入端口配置
方法1：[SW2]int range g0/0/1 to g0/0/4
方法2：[SW2]port-group group-member GigabitEthernet 0/0/2 to GigabitEthernet 0/0/4
vlan间通信背景：
同一VLAN内通信，可以通过二层交换机实现；
VLAN间的通信，只能依靠三层设备（路由器、三层交换机）
（1）使用路由器物理接口
特点：在路由器上配接口IP，作为主机网关。但这需要路由器与每个VLAN建立一条物理连接，路由器接口很少，浪费路由器接口。
（2）使用路由器子接口（单臂路由）
特点：一旦出故障，网络就瘫痪了。
配置命令
[r1]int g0/0/0.1 创建子接口
[r1-GigabitEthernet0/0/0.1]dot1q termination vid 2 封装802.1q格式
[r1-GigabitEthernet0/0/0.1]arp broadcast enable 开启arp广播
（3）使用三层交换机的VLANIF接口
二层接口与三层接口对比
1、二层接口不能配置IP，三层可以配置IP
2、二层接口只有转发功能，三层接口有转发和路由的功能
3、二层接口不能隔离广播域，但三层接口可以
