原理简述：

1. 为了能减少广播,提高局域网安全性。通过VLAN 技术将一个物理的LAN在逻辑上划分成为多个广播域。Vlan内的主机可以直接通信，而vlan间不能直接互通（在这样的情况下，广播报文被闲置在一个VLAN内，同时提高网络的安全性）。不同的VLAN 使用不同的VLAN ID 区分开，VLAN ID 范围是0-4095，可配置的值范围是1-4094，其中的0和4095为保留取值。

VLAN 的优点

（1）灵活构建虚拟工作组：用VLAN可以划分不同的用户到不同的工作组，同一工作组的用户也不必局限于某一固定的物理范围，网络构建和维护更方便灵活。

（2）限制广播域：广播被限制在一个VLAN内，节省了宽带，提高了网络处理能力。

(3)增强局域网的安全性：不同VLAN内的报文在传输时是相互隔离的，即一个VLAN内的用户不能和其它VLAN内的用户直接通信。

(4)提高了网络的健壮性：故障被限制在一个VLAN内，本VLAN内的故障不会影响其他VLAN的正常工作。

VLAN 数据帧

1. Access接口特点：
   • 仅允许VLAN ID与接口PVID相同的数据帧通过。

• Access接口接收数据帧：
  • 当Access接口从链路上收到一个Untagged帧，交换机会在这个帧中添加上VID为PVID的Tag，然后对得到的Tagged帧   进行转发操作（泛洪、转发、丢弃）。
  • 当Access接口从链路上收到一个Tagged帧，交换机会检查这个帧的Tag中的VID是否与PVID相同。如果相同，则对这个Tagged帧进行转发操作；如果不同，则直接丢弃这个Tagged帧。
• Access接口发送数据帧：
  • 当一个Tagged帧从本交换机的其他接口到达一个Access接口后，交换机会检查这个帧的Tag中的VID是否与PVID相同：
    • 如果相同，则将这个Tagged帧的Tag进行剥离，然后将得到的Untagged帧从链路上发送出去；

如果不同，则直接丢弃这个Tagged帧。

二．实验内容：

  在交换机上划分不同的VLAN ，并将连接主机的交换机接口配置成access接口划分到相应的VLAN 内。实现部门内同一部门可以互访，不同部门不能互访。

注：本实验先做蓝色部分

实训步骤：

1. 完成实验的基本配置操作，测试所有各直连链路的连通性，使所有pc互访

创建VLAN

配置完成后可以通过display vlan 命令查看vlan的相关信息。在没有接口加入创建vlan中时，默认情况下，交换机的所有接口都属于VLAN 1.

配置Access接口：

   使用port link-type access 命令配置配置交换机接口类型为access类型。使用port default vlan 10命令配置接口允许通过的vlan 是vlan 10.

测试：

   在交换机上将不同的接口加入不同的VLAN 中后，属于相同的vlan处于同一个广播域，相互间可以互访，不同的vlan不是同一个广播域，之间不能访问。因此pc1可以访问pc2，不能访问pc3