虚拟局域网解决什么
虚拟局域网把一台或一组交换机在逻辑上切成多个广播域，同一域内的流量不会外泄到其他域。工业现场的用处有三个：限制广播与风暴的影响范围、按功能或区域划分边界、为不同安全等级的设备建立隔离层。它不改变物理接线，但会显著改变日常排错的方式。
基本信息
| 主要作用 | 划分广播域、限制广播与风暴范围、隔离不同业务 |
|---|---|
| 划分依据 | 按功能、按区域、按安全等级 |
| 端口类型 | 接入端口属于某一虚拟局域网，干道端口承载多个并打标签 |
| 常见误区 | 认为划分后就安全了，实际上跨域仍可经三层设备互通 |
| 地址规划 | 每个域通常对应独立网段，便于管理与策略配置 |
| 排错影响 | 同一网段可能分布在多台设备上，抓包与定位要在正确端口进行 |
典型使用场景
- 把控制网与视频、办公网分开，避免视频突发影响控制报文
- 限制广播域规模，降低广播风暴的波及范围
- 按车间划分，便于按区域施加访问策略
- 为安全等级不同的设备建立隔离层，例如控制层与信息层
- 排查故障时定位广播与未知单播的来源范围
- 分期改造，先用逻辑隔离争取窗口期
划分前要确定的事
划分前要确定的事
按功能还是按区域划分 # 两种维度混用会让边界难以维护
每个域对应哪个网段 # 地址规划要与域划分同步做
哪些端口是干道 # 干道承载多个域并打标签
跨域通信经过哪台设备 # 三层互通的路径与策略要明确
域内是否需要组播 # 组播边界要随域一起设计
文档如何维护 # 域与端口的对应关系要随时可查划分维度对照
| 维度 | 划分方式 | 适用与注意 |
|---|---|---|
| 按功能 | 控制、监控、视频、办公各自成域 | 策略清晰，需梳理跨域依赖 |
| 按区域 | 车间或工段各自成域 | 便于按区域管理与扩展 |
| 按安全等级 | 控制层与信息层分开 | 需配合三层策略与访问控制 |
| 按设备类型 | 同类设备归入同域 | 规模小时简单，扩展后容易混乱 |
虚拟局域网只是二层隔离，不等于安全隔离。跨域流量经三层设备中转时仍可到达，必须配合访问控制策略、路由限制与防火墙，否则隔离只停留在广播层面。
工业设备常存在硬编码地址或固定网段假设。改造前要逐型号核对手册：有的老设备只能与同网段设备通信，强行划到不同域会直接失联。
划分虚拟局域网涉及干道配置与三层互通，是最容易造成断网的操作之一。变更应安排在停机窗口，提前备份配置，并把每个域与端口的对应关系记录下来。