外观
VLAN 与 Trunk 基础
VLAN（Virtual Local Area Network）在一台或多台交换机上划分逻辑广播域。不同 VLAN 的二层广播默认互不转发，从而控制广播范围，并按部门、业务或安全域组织终端。
Access 与 Trunk
Access 端口通常连接终端，只属于一个 VLAN，收发普通的无标签以太网帧。Trunk 端口通常连接交换机、路由器或虚拟化主机，可以同时承载多个 VLAN，常使用 IEEE 802.1Q 标签标识帧所属的 VLAN。
| 链路类型 | 典型连接对象 | 承载 VLAN | 帧标签 |
|---|---|---|---|
| Access | PC、打印机、摄像头 | 通常一个 | 离开端口时通常无标签 |
| Trunk | 交换机、路由器、虚拟化主机 | 多个 | 除 Native VLAN 外通常带 802.1Q 标签 |
转发过程
终端发出的无标签帧进入 Access 端口后，交换机按端口的 PVID 将帧归入对应 VLAN，并在该 VLAN 的 MAC 地址表中学习源 MAC。帧经过 Trunk 发送时会添加 802.1Q 标签，对端交换机根据标签恢复 VLAN 上下文。
不同 VLAN 之间需要三层设备执行路由，可使用路由器子接口、三层交换机 SVI 等方式实现。实际配置中还应限制 Trunk 允许通过的 VLAN 范围，并确保链路两端的 Native VLAN 配置一致。