VLAN（Virtual Local Area Network）即虛擬局域網(wǎng)，是一組邏輯上的設備和用戶(hù)，這些設備和用戶(hù)并不受物理位置的限制，可以根據功能、部門(mén)及應用等因素將他們組織起來(lái)，相互之間的通信就好像它們在同一網(wǎng)段中一樣，因此稱(chēng)為虛擬局域網(wǎng)。
1. 設置VLAN的目的
設置
VLAN的主要目的是限制廣播包的傳播范圍和降低廣播包的影響。所有以太網(wǎng)數據包，如單播（unicast）、組播（multicast）、廣播（broadcast），以及未知（unknown）的數據包，都將只在VLAN內傳送。這樣在一定程度上可以提高網(wǎng)絡(luò )的安全性。
如圖1中，是一個(gè)由3臺二層交換機（交換機1~3）連接了大量客戶(hù)機構成的網(wǎng)絡(luò )，每臺交換機有多個(gè)端口。我們知道，在基于以太網(wǎng)的通信中，必須在數據幀中指定目標MAC地址才能實(shí)現終端設備間的正常通信，即當計算機A要與計算機B通信時(shí)，計算機A必須先廣播“ARP Request”信息，來(lái)嘗試獲取計算機B的MAC地址。交換機1收到ARP請求后，會(huì )將它轉發(fā)給除接收端口外的其他所有端口，這個(gè)過(guò)程即Flooding。接著(zhù)，交換機2、3在收到廣播幀后也會(huì )Flooding。最終ARP請求會(huì )被轉發(fā)到同一網(wǎng)絡(luò )中的所有客戶(hù)機上。
這個(gè)ARP請求原本是為了獲得計算機B的MAC地址而發(fā)出的，可事實(shí)上，數據幀卻傳遍了整個(gè)網(wǎng)絡(luò )，導致所有的計算機都收到了它。如此一來(lái)，一方面廣播信息消耗了網(wǎng)絡(luò )整體的帶寬，另一方面，收到廣播信息的計算機還要消耗一部分CPU時(shí)間來(lái)對它進(jìn)行處理。這造成了網(wǎng)絡(luò )帶寬和CPU運算能力的大量無(wú)謂消耗。
如果整個(gè)網(wǎng)絡(luò )中只有一個(gè)廣播域，那么一旦發(fā)出廣播信息，就會(huì )傳遍整個(gè)網(wǎng)絡(luò )，并且對網(wǎng)絡(luò )中的主機帶來(lái)額外的負擔。因此，設置VLAN對限制廣播包的傳播范圍和降低廣播包對整個(gè)網(wǎng)絡(luò )的影響就顯得尤為重要。
2. VLAN實(shí)現機制
首先，在一臺未設置任何VLAN的二層交換機上，任何廣播幀都會(huì )被轉發(fā)給除接收端口外的所有其他端口。例如，計算機A發(fā)送廣播信息后，會(huì )被轉發(fā)給端口2、3、4。
這是，如果在交換機上生成紅、藍兩組VLAN；同時(shí)設置端口1、2屬于紅色VLAN；端口3、4屬于藍色VLAN。再從A發(fā)出廣播幀時(shí)，交換機就只會(huì )把它轉發(fā)給同屬于一個(gè)VLAN的其他端口，即端口2。同理，計算機C發(fā)送廣播信息時(shí)，只會(huì )被轉發(fā)給端口4，而不會(huì )被轉發(fā)給端口1和端口2。
就這樣，VLAN通過(guò)限制廣播幀轉發(fā)的范圍分割了廣播域。上圖中為了便于說(shuō)明，以紅、藍兩色識別不同的VLAN，在實(shí)際使用中則是用“VLAN ID”來(lái)區分的。為了更直觀(guān)地描述VLAN，也可以將圖中的一臺交換機看做是紅、藍兩臺虛擬的交換機；若要在已有的VLAN外生成新的VLAN，則可以看做是又添加了新的交換機。
VLAN生成的邏輯上的交換機是互不相通的。那么，我們要如何實(shí)現不同的VLAN間的通信呢？我們知道，VLAN是廣播域，而通常兩個(gè)廣播域之間由路由器連接，廣播域之間來(lái)往的數據包都是由路由器中繼的。因此，VLAN間的通信也需要路由器提供中繼服務(wù)，這被稱(chēng)作“VLAN間路由”。
3. VLAN優(yōu)點(diǎn)
（1）廣播風(fēng)暴防范
限制網(wǎng)絡(luò )上的廣播，將網(wǎng)絡(luò )劃分為多個(gè)VLAN可減少參與廣播風(fēng)暴的設備數量。LAN分段可以防止廣播風(fēng)暴波及整個(gè)網(wǎng)絡(luò )。VLAN可以提供建立防火墻的機制，防止交換網(wǎng)路的過(guò)量廣播。使用VLAN，可以將某個(gè)交換端口或用戶(hù)賦予某一個(gè)特定的VLAN組，該VLAN組可以在一個(gè)交換網(wǎng)中或跨接多個(gè)交換機，在一個(gè)VLAN中的廣播不會(huì )送到VLAN之外。同樣，相鄰的端口不會(huì )收到其他VLAN產(chǎn)生的廣播。這樣可以減少廣播流量，釋放帶寬給用戶(hù)應用，減少廣播的產(chǎn)生。
（2）安全
增強局域網(wǎng)的安全性，含有敏感數據的用戶(hù)組可與網(wǎng)絡(luò )的其余部分隔離，從而降低信息泄露的可能性。不同的VLAN內的報文在傳輸時(shí)是相互隔離的，即一個(gè)VLAN內的用戶(hù)不能和其他VLAN內的用戶(hù)直接通信，如果不同VLAN間要進(jìn)行通信，則需要通過(guò)路由器或三層交換機等三層設備。
（3）降低成本
現有帶寬和上行鏈路的利用率更高，減少網(wǎng)絡(luò )升級的需求，從而節約成本。
（4）性能提高
將第二層平面網(wǎng)絡(luò )劃分為多個(gè)邏輯工作組（廣播域）可以減少網(wǎng)絡(luò )上不必要的流量并提高性能。
（5）提高用戶(hù)工作效率
擁有相似網(wǎng)絡(luò )需求的用戶(hù)將共享同一個(gè)VLAN可以使得網(wǎng)絡(luò )管理更加方便，提高用戶(hù)工作效率。
（6）簡(jiǎn)化項目管理或應用管理
VLAN將用戶(hù)和網(wǎng)絡(luò )設備聚合到一起，以支持商業(yè)需求或地域上的需求。通過(guò)職能劃分，項目管理或特殊應用的處理都變得十分方便。此外，也很容易確定升級網(wǎng)絡(luò )服務(wù)的影響范圍。
（7）增加網(wǎng)絡(luò )連接的靈活性
借助VLAN技術(shù)，能將不同地點(diǎn)、不同網(wǎng)絡(luò )、不同用戶(hù)組合在一起，形成一個(gè)虛擬的網(wǎng)絡(luò )環(huán)境，就像使用本地LAN一樣方便、靈活、有效。LAN可以降低移動(dòng)或變更工作站地理位置的管理費用，特別是一些業(yè)務(wù)情況有經(jīng)常性變動(dòng)的公司使用VLAN后，這部分管理費用會(huì )大大降低。
