一种将局域网（LAN）设备从逻辑上划分（注意，不是从物理上划分）成一个个网段（或者
说是更小的局域网LAN），从而实现虚拟工作组（单元）的数据交换技术。
VLAN这一新兴技术主要应用于交换机和路由器中，但目前主流应用还是在交换机之中
。不过不是所有交换机都具有此功能，只有三层以上交换机才具有此功能，这一点可以查
看相应交换机的说明书即可得知。VLAN的好处主要有三个：
(1)端口的分隔。即便在同一个交换机上，处于不同VLAN的端口也是不能通信的。这
样一个物理的交换机可以当作多个逻辑的交换机使用。
(2)网络的安全。不同VLAN不能直接通信，杜绝了广播信息的不安全性。
(3)灵活的管理。更改用户所属的网络不必换端口和连线，只更改软件配置就可以了。
VLAN技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻
辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理
上形成的LAN有着相同的属性。由于它是从逻辑上划分，而不是从物理上划分，所以同一个
VLAN内的各个工作站没有限制在同一个物理范围中，即这些工作站可以在不同物理LAN网段
。由VLAN的特点可知，一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有
助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。 VLAN除了能将网络划
分为多个广播域，从而有效地控制广播风暴的发生，以及使网络的拓扑结构变得非常灵活
的优点外，还可以用于控制网络中不同部门、不同站点之间的互相访问。
VLAN在交换机上的实现方法，可以大致划分为六类:
1. 基于端口的VLAN
这是最常应用的一种VLAN划分方法，应用也最为广泛、最有效，目前绝大多数VLAN协
议的交换机都提供这种VLAN配置方法。这种划分VLAN的方法是根据以太网交换机的交换端
口来划分的，它是将VLAN交换机上的物理端口和VLAN交换机内部的PVC（永久虚电路）端口
分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。
对于不同部门需要互访时，可通过路由器转发，并配合基于MAC地址的端口过滤。对某
站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上，设定可通
过的MAC地址集。这样就可以防止非法入侵者从内部盗用IP地址从其他可接入点入侵的可能
。
从这种划分方法本身我们可以看出，这种划分的方法的优点是定义VLAN成员时非常简
单，只要将所有的端口都定义为相应的VLAN组即可。适合于任何大小的网络。它的缺点是
如果某用户离开了原来的端口，到了一个新的交换机的某个端口，必须重新定义。
2. 基于MAC地址的VLAN
这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配
置他属于哪个组，它实现的机制就是每一块网卡都对应唯一的MAC地址，VLAN交换机跟踪属
于VLAN MAC的地址。这种方式的VLAN允许网络用户从一个物理位置移动到另一个物理位置
时，自动保留其所属VLAN的成员身份。
