一、vlan概念

  vlan，即virtual lan，中文全称是虚拟局域网，是一种将一个物理上的局域网进一步划分为多个逻辑上的局域网（即虚拟局域网）的技术，划分之后每一个逻辑上的虚拟局域网都是一个个独立的广播域。

二、vlan作用

  首先，一个局域网内就是一个广播域，也就是说广播报文或者目的不明的单播报文（这里的广播和单播都是指的二层广播和单播）将会被发送到该局域网内的所有主机上。
  如图2-1所示，一个二层交换机下面接了4个主机，那么这4台主机就组成了一个局域网，也就是一个广播域。从任意一台pc发出的广播或者目的不明的单播报文从交换机端口进入后，便会被交换机转发至除源端口之外（其实源端口也会发送，但是会被丢弃掉）的所有端口，那么其他3台主机都将会收到此报文。这个过程称之为交换机的"洪泛"。

图2-1 一个二层交换机组成的局域网

  正是因为交换机的洪泛，所以当出现广播报文时，广播报文会占用局域网的大量带宽，从而影响整个局域网内的正常报文的通信。而广播报文在局域网中也是经常会出现的，例如arp请求、dhcp等都是广播报文。
  vlan技术的提出，很好地解决了这个问题，通过划分vlan，从而将广播流量从原先的整个局域网内控制在一个vlan内，避免了很多不必要的带宽浪费。同时，vlan技术也能够起到隔离和区分不同用户流量的作用。如图2-2所示，红蓝两种颜色代表在原来局域网上进一步划分出的两个vlan，而广播报文只会在vlan内转发，绝对不会跨越不同vlan进行转发，从图上来说，就是从红色端口进入的广播报文不可能会被转发至蓝色端口出去，而只会转发至其他所有的红色端口上。

图2-2 划分vlan之后的局域网

三、vlan报文格式

  前面知道了vlan可以用来在局域网中划分出不同的广播域，下面来介绍下vlan如何实现广播域的划分的，也就是vlan的原理。
  首先来温习一下以太网帧的格式，如图3-1所示。以太网帧头部由目的mac地址、源mac地址和type类型字段组成，其中类型字段主要是为了标识承载的上层协议类型，例如上层是IPv4协议时，type值就是0x0800，对于IPv6协议就是0x86dd。这些字段用wireshark随便抓个报文就可以看到了。

图3-1 以太网帧格式

  将局域网划分为多个vlan以后，那么如何去标识局域网内不同的vlan呢？就拿图2-2来说，红蓝两种颜色只是为了方便理解所画出来的，在真实的交换机上可不是有红蓝两种颜色的端口用来区分出不同的vlan。所以为了标识不同的vlan，引入了vlan id（就是个数字）的概念，比如说图2-2中红色vlan的vlan id为10，蓝色vlan的vlan id为20，那么就可以用vlan 10来代表红色vlan，用vlan 20来代表蓝色vlan。
  光是引入vlan id的概念还不够，必须还要在报文中体现出来，因为网络设备处理的对象都是报文，只有报文中携带了vlan id，网络处理报文的时候才知道该报文是属于哪一个vlan，然后根据不同的vlan采用一些不同的处理。所以就有了IEEE 802.1Q标准的带有vlan tag的以太网帧格式，格式如图3-2所示。

图3-2 带有vlan tag的以太网帧格式

  从图3-2的格式可以看出，相比于标准以太网格式，IEEE 802.1Q标准在以太网帧格式中增加了4字节的vlan tag标签，vlan tag可以分为两部分：

• TPID（Tag Protocol Identifier），占用2个字节。为了让处理报文的设备能够识别出这是一个带有vlan tag的报文，所以这个字段不可以和以太网帧格式的type类型字段的值有冲突，IEEE 802.1Q标准将这个字段固定取值为0x8100。
• 一部分是TCI（Tag Control Information），占用2个字节。这个部分还可以进一步细分为三个小部分。
  • pri字段：IEEE.802.1p标准定义的优先级字段，占3bit，取值范围为0~7，并且值越大，优先级越高。
  • cfi字段：标识是否为规范格式，占1bit，取值范围为0~1。在以太网中，此值固定为0。
  • vlan标识字段：这个字段就是重点了，也就是前面提到的vlan id，占12bit，取值范围为0~4095，其中0和4095被标准预留，所以vlan id的真实取值范围是1~4094。

这里需要提一下，vlan id为0的vlan报文被称为优先级tag报文，当网络收到了此种报文时，网络设备将认为此报文不属于任何一个vlan，所以其处理方式将和不带vlan tag报文的处理方式相同，但是该报文的vlan tag中的pri优先级字段是有效的，可以被利用的。

  拿图2-2举个例子，如果配置红色vlan为vlan 10，蓝色vlan为vlan 30，那么从红色端口进入的以太网报文将被打上vlan id为10的tag标签；从蓝色端口进入的以太网报文将被打上vlan id为20的tag标签。

三、vlan的划分方式

  vlan可以在一个局域网中划分出多个虚拟局域网出来，那么划分的方式就有很多种。vlan划分的意思就是说标识出哪些报文应该打上哪些vlan id的tag标签，那么靠什么来表征这些报文就是其划分方式。通常来说，vlan的划分方式有以下几种：

• 基于端口的划分方式，依靠报文的入端口来划分vlan。比如图2-2中的vlan的划分就是基于端口的，其规则就是从端口1、2进入的报文将打上红色vlan的tag，从端口3、4进入的报文将打上蓝色vlan的tag。
• 基于mac地址的划分方式，依靠报文的mac地址来划分vlan。
• 基于ip地址的划分方式，依靠报文的ip地址来划分vlan。
• 基于用户的划分方式，依靠报文所属的用户来划分vlan。

四、几个vlan的相关概念

• tag报文：指的是携带vlan tag标签的报文，并且vlan id处于1~4094范围之间。
• untag报文：指的是不携带vlan tag标签的报文。
• Priority tag报文：前面也提到了，就是指带有vlan tag标签，但是vlan id=0的报文，这种报文主要是为了利用tag标签中的pri优先级字段。在vlan id的处理方式上，其和untag报文的处理方式相同。
• Native vlan：指的是端口的默认vlan，这个也可以叫做PVID，native vlan缺省值就是1。对于Access模式的端口来说，其native vlan就是其所属的vlan。

五、几种端口模式

  当报文进出交换机端口时，端口可以对报文采取不同的处理方式，这些不同的处理方式就对应了交换机端口的不同模式。交换机上的端口模式有以下几种：

• Access模式

  1. 当收到报文时
     • 如果报文带有tag，则判断是否和端口的pvid相同，如果不同，则将报文丢弃；如果相同，则将接受报文，不对tag做任何处理。
     • 如果报文不带有tag，则接受报文，并将报文打上端口的pvid。
  2. 当发出报文时
     • 如果报文带有tag，则将报文的tag剥离，发送出去。

• Trunk模式

  1. 当收到报文时
     • 如果报文带有tag，则判断报文所带的vlan id允不允许进入该端口，如果允许，则接受该报文，不对vlan tag做任何处理；如果不允许，则丢弃该报文。
     • 如果报文不带有tag，则接受报文，并打上端口的pvid。
  2. 当发出报文时
     • 如果报文带有tag，判断tag是否和端口的pvid相同，如果相同，则将报文的tag剥离，发送出去；如果不相同，则保持报文的tag，发送出去。

• Hybrid模式

  1. 当收到报文时
     • 如果报文带有tag，则判断报文所带的vlan id允不允许进入该端口，如果允许，则接受该报文，不对vlan tag做任何处理；如果不允许，则丢弃该报文。
     • 如果报文不带有tag，则接受报文，并打上端口的pvid。
  2. 当发出报文时
     • 如果报文带有tag，判断是否配置发送出的数据帧携带tag，如果配置了，则保持报文的tag，发送出去；如果没有配置，则将tag剥离，发送出去。

以上处理方式是以华为交换机设备为例，不同厂商的交换机设备可能在某些处理细节上有不一致的地方。

六、二层转发原理

  这里介绍下二层转发的原理。我们都知道，三层转发基于IP地址实现，二层转发基于mac地址实现，在这个基础上，针对二层转发，更详细具体一点地说，其转发原理可以归纳总结为一句话：基于源mac地址学习，基于目的mac地址转发。

图6-1 二层交换组网

  如图6-1所示，为一个基本的二层组网拓扑，其中A、B和C三台主机分别于交换机的Port 1、2、3端口相连，这里以主机A去ping通主机B的流程来介绍二层转发原理。

1. 当主机A想要ping主机B时：
   • 在封装ping报文的三层头部时，可以直接使用ping的IP地址进行填充（这个是ping的时候就已经指定了的），在封装报文的二层头部时，主机A会去查找本机的arp表（arp表就是记录mac地址和IP地址对应关系的表项），此时查找不到主机B的IP地址对应的mac地址，由于主机B和主机A就处于同一个网段内，此时主机A便会向局域网发送arp广播报文请求主机B的mac地址。
   • 该arp广播报文到达了交换机的port 1后，交换机首先根据该报文的源mac地址和入端口port 1，在设备内部学习生成一条mac表项（mac表就是记录mac地址和端口的对应关系的表项），然后由于该arp报文的目的mac地址为广播地址，所以交换机会洪泛该报文，也就是将该报文转发至除port 1端口之外的所有端口，那么连在port 2上的主机B将会接受到该报文。
   • 收到该报文后，主机B判断该arp报文请求的就是我自己的mac地址，便会单播回应arp响应报文，该响应报文的源mac地址为主机B的mac地址，目的mac为主机A的mac地址。
   • 报文从port 2端口到达交换机后，交换机首先根据该报文的源mac地址和入端口port 2，在设备内部学习生成一条mac表项，然后根据报文的目的mac地址查询mac表项，可以查询到该目的mac的出端口为port 1（之前学习到的表项），便将该报文从port 1中转发出去。
   • 主机A收到arp响应报文，获取到了主机B的mac地址，便可以正常封装ping包的二层头部信息，将ping报文发送出去，同时会新增一条主机B对应的arp表项。
   • ping报文到达交换机后，根据报文的源mac地址和入端口进行mac表表项老化时间的刷新（mac表项的更新也是基于源mac地址的，如果此时使用源mac地址查询到的端口和报文实际的入端口不一致，则说明主机所连的端口发生了变化，这种现象叫做mac地址的漂移），根据ping报文的目的mac地址查找到出端口为port 2，将报文从port 2转发出去，到达主机B。
2. 主机B回应主机A的ping报文，和前面提到的流程类似。

  前面详细地介绍了一下基于mac地址的二层转发原理，在引入vlan以后，其实转发原理差不多，只不过mac表项中需要增加一项匹配内容，那就是报文所属的vlan，即将原来的“基于mac地址进行转发”修改成“基于mac地址和vlan进行转发”并且在洪泛时只在同一vlan中进行广播，而不会向所有端口转发。
  引入vlan之后，同时也引入了两种源mac地址学习建立mac表项的方式，分别是SVL（Shared Vlan Learning）方式和IVL（Independent Vlan Learning）方式，两者的区别在于mac表项中是否允许存在mac地址相同，而vlan不同的表项。前者的的mac表是以mac地址为键值存储（查询的时候也是如此），所以mac地址在mac表项中一定唯一；后者的mac表是以mac+vlan为键值存储（查询的时候也是如此），所以可以允许mac相同，但是vlan不同的表项存在。

七、三层交换机的转发原理

  介绍完二层转发原理，趁热打铁，再来总结下三层交换机的转发原理，注意是三层交换机，而不是路由器。之所以强调这一点，这是因为三层交换机和路由器的转发原理还是有区别的，对于路由器来说，只会涉及三层转发，基于IP地址完成，而三层交换机中既会涉及二层转发（基于mac地址）也会涉及到三层转发（基于IP地址），并且通常利用硬件完成二三层的转发。图7-1展示的是一个三层交换机的硬件结构，图7-2展示的是一个三层交换机的应用场景。

图7-1 三层交换机硬件结构

图7-2 三层交换机组网图

  根据图7-1，三层交换机的ASIC部分主要根据二三层硬件转发表项完成硬件转发，CPU部分主要就是完成软件三层转发功能、硬件表项和软件表项的配置和维护功能。下面就以图7-2中的主机A和主机B之间的通信来介绍交换机三层转发的原理，这对理解ont的转发会有一定的帮助。

图7-3 三层转发流程

资料：http://www.h3c.com/cn/d_200911/655251_97665_0.htm